謝仲良

“一個(gè)產(chǎn)品或一套解決方案的成功，離不開對(duì)市場(chǎng)需求的準(zhǔn)確了解。而這一定要從CIO采購成本和采購緊迫感的上下文來定義市場(chǎng)需求?！辟愰T鐵克（Symantec）西部地區(qū)系統(tǒng)工程部高級(jí)總監(jiān)夏虹認(rèn)為。

11月22日，賽門鐵克公司在北京召開主題為“邁向新大陸”的中國用戶大會(huì)。據(jù)悉，這是繼賽門鐵克與Veritas合并后的首次中國用戶大會(huì)。在當(dāng)天下午的講座上，賽門鐵克西部地區(qū)系統(tǒng)工程部高級(jí)總監(jiān)夏虹關(guān)于美國金融業(yè)信息安全的報(bào)告受到了聽眾的好評(píng)。本刊記者在講座結(jié)束后的第一時(shí)間對(duì)夏虹博士進(jìn)行了專訪。

信息安全

屬于風(fēng)險(xiǎn)管理

從20世紀(jì)90年代開始，國際銀行業(yè)內(nèi)幾次大的倒閉或交易損失事件令人記憶猶新。1991 年，國際商業(yè)信貸銀行 (BCCI) 因?yàn)?00億美元的巨額損失而倒閉；1995年，擁有233年歷史的巴林銀行因?yàn)榧倜敖灰锥归]；同樣是在1995年，紐約大和銀行因未授權(quán)交易損失 11 億美元。

通過研究這些案例，不難發(fā)現(xiàn)風(fēng)險(xiǎn)對(duì)于銀行來說意味著什么?？梢哉f，風(fēng)險(xiǎn)就是銀行的業(yè)務(wù)基礎(chǔ)。銀行就是通過評(píng)估和管理信用風(fēng)險(xiǎn)而獲得成功的。銀行的風(fēng)險(xiǎn)管理越有效，銀行的整個(gè)經(jīng)營管理就越成功，就更能保證銀行的成功和可持續(xù)發(fā)展。

而信息安全則是銀行風(fēng)險(xiǎn)管理中的題中之意，信息安全對(duì)每個(gè)金融機(jī)構(gòu)的經(jīng)營來講都至關(guān)重要。賽門鐵克西部地區(qū)系統(tǒng)工程部高級(jí)總監(jiān)夏虹指出，如果敏感信息或客戶數(shù)據(jù)出現(xiàn)泄露或丟失的情況，可能會(huì)因訴訟或法律制裁而受到處罰，以及給企業(yè)的信譽(yù)造成極大的負(fù)面影響，甚至最終導(dǎo)致客戶的大規(guī)模流失。

根據(jù)美國國家銀行業(yè)規(guī)范制定機(jī)構(gòu)——巴塞爾銀行監(jiān)管委員于 2001 年制定的新巴塞爾協(xié)定 (Basel II Accord)規(guī)定，要求銀行提高準(zhǔn)備金，或者證明能夠系統(tǒng)地控制其信用和經(jīng)營風(fēng)險(xiǎn)。新巴塞爾協(xié)定將經(jīng)營風(fēng)險(xiǎn)定義為“由于內(nèi)部過程、人員或系統(tǒng)缺乏或失效，或外部事件引起的損失的風(fēng)險(xiǎn)”。顯然，該協(xié)定也將信息安全控制問題提到了重要的位置上。

變化創(chuàng)造機(jī)會(huì)

隨著企業(yè)將信息安全提到議事日程之上，Symantec也很快找到了大施拳腳的機(jī)會(huì)。夏虹指出，企業(yè)在信息安全一般是從兩個(gè)方面來進(jìn)行的。一方面，在管理流程上，對(duì)企業(yè)管理流程進(jìn)行修改，對(duì)其現(xiàn)有管理實(shí)踐進(jìn)行修改，從而加強(qiáng)信息安全的管理；另一方面，在相應(yīng)的技術(shù)基礎(chǔ)上，通過技術(shù)來提高企業(yè)的信息安全。

“因?yàn)榘踩皇枪揪S生的手段，不可能要求公司員工成天進(jìn)行信息安全的檢查報(bào)告。而在這一過程中，Symantec看到了機(jī)會(huì)。可以為這些企業(yè)提供相關(guān)的技術(shù)和解決方案。”夏虹說。

據(jù)悉，一般做法是，Symantec和世界上幾大著名管理咨詢公司合作。管理咨詢公司去做管理流程的風(fēng)險(xiǎn)評(píng)估；Symantec則提供相應(yīng)的安全技術(shù)產(chǎn)品和解決方案。

夏虹強(qiáng)調(diào)，企業(yè)管理者的安全意識(shí)最為重要。不解決管理層面的問題，技術(shù)層面的安全也難以真正發(fā)揮作用；而管理流程上的許多復(fù)雜問題，僅僅靠買技術(shù)來解決是不可能的。

在信息安全產(chǎn)品/解決方案設(shè)計(jì)方面，夏虹認(rèn)為，一個(gè)產(chǎn)品或一套解決方案的成功，離不開對(duì)市場(chǎng)需求的準(zhǔn)確了解。夏虹指出，人人都知道市場(chǎng)需求重要，但是歸結(jié)到怎么樣確切知道需求很難。以往去做調(diào)查的時(shí)候，10個(gè)客戶會(huì)有9個(gè)說需要，大家就來開發(fā)，但是產(chǎn)品出來后，客戶卻說價(jià)位不對(duì)，這種調(diào)查方式顯然不是正確的。“在美國徹底的市場(chǎng)經(jīng)濟(jì)環(huán)境下，CIO是經(jīng)過多年職業(yè)訓(xùn)練的，他會(huì)嚴(yán)格按照各種IT產(chǎn)品對(duì)公司主營業(yè)務(wù)的影響程度來決定購買。所以我們一定要從CIO采購成本和采購緊迫感的上下文來定義市場(chǎng)需求?！毕暮鐝?qiáng)調(diào)說。

夏虹認(rèn)為，信息安全目前也開始成為一種服務(wù)。夏虹談道，早在四、五年前，網(wǎng)絡(luò)泡沫消退后，美國IT業(yè)面臨著一個(gè)“冬天”。很多人開始對(duì)IT技術(shù)的重要性提出質(zhì)疑。IT對(duì)公司的作用是什么？對(duì)公司主營業(yè)務(wù)和盈收有無幫助？同時(shí)，在巨大的成本壓力下，公司開始對(duì)IT的角色進(jìn)行重新定位。而在這一過程中，導(dǎo)致了企業(yè)對(duì)服務(wù)的需求。

“比如手機(jī)通話是通訊公司提供的一種服務(wù)。服務(wù)意味著要注重服務(wù)質(zhì)量，要求能準(zhǔn)確計(jì)算服務(wù)費(fèi)用?！毕暮缯f，“很多人覺得如果IT也能做到這樣，對(duì)不同部門的要求提供不同的服務(wù)，從而精確地來計(jì)算成本，并且CIO可以清楚地告訴CEO錢是如何花的，也能夠?qū)崿F(xiàn)四個(gè)9、五個(gè)9這種量化的標(biāo)準(zhǔn)?！毕暮缯J(rèn)為，很多因素促成了這一趨勢(shì)。

國內(nèi)銀行

面臨巨大挑戰(zhàn)

在信息安全方面，夏虹認(rèn)為國內(nèi)外銀行的需求是同樣的，很多問題也是相同的。但是他指出，國內(nèi)銀行與國外銀行對(duì)信息安全的敏感度不一樣。“比如客戶那么大，但是隨著意識(shí)的提高。美國單個(gè)客戶的法律意識(shí)很高，如果出現(xiàn)客戶資料流失的情況，美國的客戶一般都會(huì)采用法律程序來解決，而且出事后造成的名譽(yù)以及各種訴訟成本都是很大的，而中國客戶在這方面的意識(shí)可能就比較淡薄了。”夏虹說。

眾所周知，隨著WTO規(guī)定期限的臨近，國外銀行也加快了在中國市場(chǎng)排兵布陣的節(jié)奏。有業(yè)內(nèi)人士指出，隨著市場(chǎng)競(jìng)爭(zhēng)環(huán)境的完善、客戶消費(fèi)需求和法律意識(shí)的提高，國內(nèi)銀行將迎來前所未有的巨大挑戰(zhàn)。夏虹認(rèn)為，進(jìn)入中國的國外銀行可能會(huì)把信息安全作為自己的一項(xiàng)競(jìng)爭(zhēng)優(yōu)勢(shì)，并借機(jī)來爭(zhēng)奪國內(nèi)高質(zhì)量的行業(yè)用戶?！爸袊y行如果不跟上這一步伐，是有很大風(fēng)險(xiǎn)的?！毕暮缯f。