加强信息系统安全建设 做好国库支付电子化管理 ——在地方国库支付电子化管理业务需求研讨会上的讲话.docx

赵永旺：加强信息系统安全建设 做好国库支付电子化管理 在地方国库支付电子化管理业务需求研讨会上的讲话（节选）这次研讨会主要内容是围绕“十二五”期间财政国库信息化工作面临的新形势和新任务，重点研究分析国库支付电子化管理有关问题，明确思路、统一认识，做好国库改革的技术支撑。一、国库支付电子化管理的有关问题据我们了解，一些地方财政部门已经推进了国库支付电子化管理，主要是财库业务的电子化。很多地方则对这个新生事物很感兴趣，或向我们询问情况，或提出工作建议，希望能从中央层面在全国推进此事。根据财政部与人民银行国库业务电子化管理的经验，和我们了解的地方情况看，这项工作比较复杂、难度也比较大，其中要重点把握好以下几个问题：（一）正确认识管理与技术在安全问题中的关系。国库管理工作对信息系统和网络的依赖程度不断加深，系统与业务紧密结合、相互影响、相互促进，安全问题主要表现在“两个两方面”。首先，信息安全有两方面含义：一是保密问题，涉及国家安全，是“高压线”，坚决不能碰；二是数据篡改、流失问题造成的业务影响，对国库来说“信息就是钱”，也要高度重视。这两方面问题都很重要，解决起来也有两方面工作：一是业务管理中人为因素造成的管理风险，如关键业务岗位没有落实“不兼容岗位分设”和“岗位牵制”等内控原则，最近国库资金管理中暴露出的一些问题基本上都是这个因素造成的；二是由于计算机软、硬件产品本身技术漏洞造成的安全问题。因此，我们研究财政资金安全管理问题，要从管理和技术两个层面入手。安全专家经常讲“三分技术、七分管理”，如果管理措施不到位，技术手段再强、再严密也发挥不出实际作用，也会存在漏洞。（二）正确认识电子化管理与安全的关系。财政部从2009年开始进行国库支付业务电子化管理试点，目前已经实现了与人民银行的完全无纸化和与代理银行的部分无纸化（主要是授权支付额度）。在此过程中，我们最关心的就是安全问题。经过深入论证后，我们认为，在传统管理方式下，资金安全的控制集中反映在纸质拨款单及印鉴管理上，实际上是一种单环节的管理。电子化管理，把原来这种单个环节的管理扩展为依靠流程设置、规则校验及相关电子安全产品共同作用的立体“防护网”，是一项非常复杂的系统工程，不能简单地理解为取消纸单，就是提高效率。电子化管理首先要考虑的就是建立安全支撑体系。实事求是地讲，一些地方在这方面做得还不是很到位。（三）推进电子化管理要坚持的几条原则。电子化管理是国库业务观念更新、管理进步、技术提升的重要标志，涉及法律、管理与技术多方面的问题，具体工作中要注意坚持以下几条原则：一是法律能允许。要以电子签名法为依据，和相关部门签订工作协议，规定双方的职责义务、业务范围、安全机制等，做到有法可依，有据可查。部里实施财库电子化试点工作，首先就是与人民银行签订相关协议，目前执行效果还不错。二是安全有保证。要加强内部制度建设，特别是要建立并完善电子支付指令发送、确认、差错处理和应急处理等新的电子支付管理流程。要充分利用先进信息技术，从技术上保证“进不来、拿不走、看不到、改不了、赖不掉”。目前，我们还不敢说完全做到了，但在向这个目标努力。三是推进分步骤。要结合改革进度和信息化程度，大致按照先人民银行、后代理银行、最后部门和预算单位的顺序，在不断总结经验的基础上，逐步开展有关工作。除了这三条原则，还要特别注意严格遵循国库集中支付制度的基本框架，确保电子化管理不走偏。二、推进有关工作的初步思路国库电子化管理工作非常复杂，有很多难题需要解决：首先，这对我们国库系统的同志来说，是一项全新的课题。我们以往建设和应用的系统大都是流程性、生产型的系统。对于支付电子化管理这种安全性要求非常高、与信息技术结合非常紧密的系统建设，我们经验不足。其次，没有哪两个省的业务管理模式是完全一致的，市县一级也都存在这个问题。但是，各个地方的安全性要求或安全标准应有一个统一要求。分头搞，不但会造成重复建设，还不能及时共享先进经验。实际上，低水平的重复，恐怕很难搞出好东西。根据这些情况，我们对推进地方支付电子化管理，初步提出一个工作思路，供大家参考：一是充分学习成熟经验。“他山之石，可以攻玉”。我们自己经验不足，但可以向专业机构和相关专家学习。所以这次会议，除了进行内部讨论和交流，还特别邀请了专家对信息安全和电子支付有关问题进行专题介绍。为大家介绍信息安全形势和政策的毕马宁主任，他所在单位公安部信息安全等级保护评估中心，也就是公安部第三研究所，是我国最权威的三个信息系统安全评估机构之一。他将为大家介绍当前信息安全总体形势并解读有关政策。稍后为大家介绍电子支付有关情况的，是来自工商银行总行的曾凯同志。工商银行在网上银行、电子支付等方面具有相当的业务积累和专业经验，我们去考察学习后感到，工商银行在系统安全建设方面很有成效。通过讲授，同志们要开拓视野、提高认识，争取做到系统建设起点高、方向明、措施实。二是央地共建。推进地方电子化管理，最终要落实在地方财政部门。但地方情况差别大，一些具体业务情况中央并不全面掌握。因此，我们考虑，推进这项工作，应该由中央和地方共同合作。从以前财政部推进地方部门预算和地方支付管理系统建设的经验看，地方同志充分且深度地参与其中，是工作取得成功的重要因素之一，应继续发扬传统和优势。回去后，同志们要及时向领导汇报，全力配合好我们的工作，这样最后做出来的东西，才能好用、管用。两位专家也要继续对我们进行支持和指导。三是安全管理系统和管理规范相结合。这项工作是一次探索，每个省的情况都不一样，但又不可能搞成一个省一个模式。因此，在支付电子化管理工作具体推进上，我们想尝试建设一套基本的安全支撑控件，利用成熟安全技术和产品，解决电子印章、安全传输、信息留痕等一系列问题，争取不与特定的支付系统和管理模式绑定，提高其通用性，满足不同单位需要，适应不同系统。在此基础上，根据各地管理实际，制定出一套基本的安全管理规范，统一安全管理要求和业务操作。应该说，这套系统不同于以往建设和推广的软件系统，想法比较新颖，工作思路有突破，难度自然比较大。希望大家认真学习，结合要求积极讨论，重点研究我们的思路是否可行，首先解决有和无的问题，再研究系统通用性和有效性的平衡问题，以及具体实现步骤，为今后的工作奠定坚实基础。