再次，加强网络银行的网络安全防护设计。完整的网络安全防护设计包括：第一，系统的外部保护，包括通信加密、防火墙等，如有必要可附加物理上的隔离，作为网络与网络之间的屏障。系统的内部防护，包括防火墙和路由器过滤设施，其主要功能是数据包过滤和代理服务，它们作为不同层次之间和不同数据库之间的屏障。第二，加强本地工作站/平台安全环境。包括个人访问控制和配置检查功能、防护工具和程序。入网访问控制作为网络访问的第一层控制，它控制哪些用户能够登录到服务器并获得网络资源，控制准许用户入网的时间及其操作权限。入网控制分为三个步骤：用户名的识别和验证、用户口令的识别与验证、用户账号的限制与检查。这一路径信息的保密性与完整性依赖SSL3.0来实现，但目前国内市场上使用的浏览器和Web服务器只支持40位数据加密，而这种加密方式几乎无密可谈，必须采用JavaApplet技术，在应用层实现高强度的加密，借以控制非法用户的侵入。一定的防护工具和程序必不可少，在计算机病毒达几千种的今天，任何上网的计算机都必须具有防病毒的工具和程序，才能更好地维护整个系统的安全。第三，入侵检测系统。前面已经提到，国内计算机操作系统的安全性能最高只能达到美国标准的C级，利用这些设施建立的网络，即使采用加密、防火墙等安全措施，其安全水平也不可能有根本性的提高。要从根本上改善网络的安全现状，必须发展网络攻击检测技术。网络检测技术是根据用户的历史行为，基于用户的当前操作完成对攻击的检测，并留下攻击证据，为数据恢复和事故处理提供依据。攻击检测过程是一个机器与人对抗的决策分析过程，其技术基础是基于知识的智能推理，可分为实时攻击检测和事后攻击检测。第四，设计可靠牢固的、可修复的基础设施，能够抵消攻击或系统由于自身原因崩溃时所造成的破坏，并在事后可稳步恢复。
当然，网络的安全性能与网络的效率是反比例线性关系，安全性能设计得越完善，系统的效率就越低，即要求网络系统越安全，则对通信的限制和使用的难度越大，尤其是网络银行这种要求普遍使用才能盈利的行业，必须在网络安全与效率之间作出适当的选择。
网络银行的管理风险监管
一、网络银行管理风险概述
管理风险是指网络银行由于管理不善而造成的风险。网络银行的安全问题是一个典型的人机关系问题，所有的安全保密功能是由人设计和实现的，而破坏和干扰各种安全和保密功能的也是人。安全的最薄弱环节是人的粗心大意，如登录和使用计算机后不退出系统就离开了终端，与他人共用计算机存取口令，将重要的机密信息存入不适当的计算机文件中，在操作中不严格遵守安全程序，没有保密意识，将重要信息泄露等。因此，网络银行的安全防范很大程度上还是要依赖于完善的管理制度。
计算机信息系统的安全层次可以分为逻辑层次和软件层次。计算机信息系统安全逻辑层次从外向内依次为：职业道德、法律规范纪律、安全物理环境、安全硬件、安全软件、信息。也就是说，处于最外层的人是安全对抗的核心要素，是最需要层层防范的。人必须冲破5个层次的保护，才能实施对信息核心的危害。计算机信息系统安全软件层次分为两类：技术行为的安全规范要求；人员行为的安全规范要求。具体从外向内分为：社会行为道德规范、计算机安全法律规范、安全等级技术措施要求、安全管理规范规章制度要求、安全系统形式化描述证明、日常运行安全维护管理、安全系统技术实现、人员安全教育培训管理。我们从中可以看出，计算机信息系统安全软件层次主要针对的还是人及其行为的规范。所以，网络银行的安全防范必须以人为主，在注重技术防范的同时，加强管理，包括计算机系统设施的管理和人员的管理，建立完善的内部控制系统，最大限度地防范管理风险。
二、网络银行中常见的管理风险
（一）银行内部职工的欺诈行为和破坏行为
银行内部职员利用工作方便之际，很容易就能获取客户私人资料，有的职员使用客户的账户进行各种风险性投资，如炒卖股票和外汇等，将交易风险转嫁到客户身上。他们也可能直接偷窃电子货币，让客户蒙受损失，或者制造假的电子货币从中获利。网络银行的网络操作使内部犯罪更容易发生，因为内部人员对网络密码、认证方式都了如指掌，居心不良或在交易中求胜心切的员工都可能试图超越权限进行交易。尤其是在网络银行时代，混业经营成为必然的趋势，客户需求个性化的、全方位的金融服务，由某一个网络银行既为客户代理股票交易，同时进行保险投资，还有一部分定期存款，这就为网络银行职员挪用客户资金、借用客户账户进行牟利交易，提供了方便的条件。由于网络银行的网络操作方式方便、快捷、不留痕迹，瞬间即可完成上亿元资金的转移，如果没有特殊情况发生，网络银行职员一般都会利用其丰富的从业经验，做得滴水不漏，这种不易察觉、却获利颇丰的诱惑常常让一些没有职业道德的银行职员铤而走险。另外，还有一部分银行职员素质较低，在工作不顺利或心情不愉快的时候，有时也会借物消愁，或借物解恨，破坏银行的网络设施，造成巨大的损失。
（二）网络银行的战略决策失误或技术选择错误
战略风险是指经营决策错误，或决策执行不当，或对行业变化束手无策，对银行的收益或资本形成长远和现实的影响。战略风险是银行在开展网络银行业务时面临的最重大的风险之一。这种风险来自如下四个方面：一个机构战略目标的整体兼容性，为实现这些目标而制定的经营战略，为实现这些目标而动用的资源以及实施过程的质量。这四个方面的实现程度直接关系到战略风险的防范能否成功，而这四个要素的优劣又取决于银行管理层能力的高低以及决策机制的正确与否。银行管理层在决定开展某一项业务之前，必须事先了解该项业务将面临的具体风险，并肯定有足够档次的技术和管理信息系统来支持这样的风险业务。同时还应该考虑该产品和技术是否同银行战略规划中的有形业务目标相一致，是否具备足够的专家和资源来对网络银行业务的风险进行识别、监督和控制。在制定规划和决策的过程中，应当重点考虑特定的业务需求如何用网络银行产品来实现，而不能将网络银行产品当做一个独立的目标。应当让银行的技术专家以及销售和操作部门的经理共同参与决策和规划，他们应确保使规划同银行的所有业务目标相一致，并在银行的风险承受范围之内。因此，在网络银行产品的设计、实施和监控的方式上，管理层的战略眼光将起决定性的作用。而管理层的战略眼光能否适应互联网时代高新技术的飞速发展，取决于管理层的组成人员是否具备相应的知识结构和市场经验，还决定于这个管理层是否具有良好的决策机制，是否能广纳贤士，是否具有开放式的管理方法。有时管理层自以为是，观念老化，将一切新事物拒之门外，用一成不变的思维去应对时代的新变化，这必然导致战略风险的发生。这种与管理层能力的高低紧密联系的风险还有技术选择风险。信息技术，特别是网络技术的快速进步，有可能使网络银行面临技术选择风险，一旦网络银行的创立者在面临多种技术选择时作出了错误的判断，选择了一种最后被技术变革所淘汰的技术方案，则可能使其经营的网络银行处于技术陈旧、网络过时的竞争劣势。网络银行技术选择失误，将使网络银行面临巨大的技术机会损失，甚至是巨大的商业机会损失。
三、网络银行中管理风险监管
面对网络银行的管理风险，我们认为应从以下几个方面进行风险监管。
（一）加强网络银行内控机制的建立
网络犯罪多数是内部人员所为，因此，金融机构应建立内控机制，加强内部管理，克服自身存在的风险隐患。首先，建立业务操作管理制度和权限制约原则。落实岗位责任制，确定系统操作人员的操作过程和权限，每一步操作，业务人员和技术人员必须分离，每个级别的人员都要受权限控制；对操作密码要严格控制，指定专人负责并定期更换，杜绝未经授权而操作支付系统的核算程序；由专人保管必要的系统操作记录；记载操作人、时间、操作内容等以备查。其次，建立健全网络银行电子支付安全管理组织制度。加强对安全管理人员的安全技术和安全规程培训；各支付系统的技术人员、监管人员共同建立对话、磋商机制；在电子支付的风险防范和金融科技的资源信息共享等方面开展行业管理；加大宣传力度，增加使用电子支付系统的客户和商家的安全意识和安全保护知识。再次，严格签约时的身份认证。为从源头上防范网络银行欺诈风险，对于私人客户，银行应严格审查申请人的身份证件和开户材料，并保证签约柜台的双人操作；对于单位客户应严格审查客户的营业执照和年审情况，并对单位提交的网络银行服务申请表上的单位公章和印鉴，与该单位在本行开户时的预留公章和印鉴予以核对，对企业印鉴的审查，银行应增设电子验印等先进的验印设施，切实防范管理风险。
也有学者认为，商业银行等机构在开展电子银行业务和发行电子货币时应针对上述主要风险，在满足和具备基本条件的情况下加强内部管理，主要采取如下措施：（1）计算机软、硬件条件（如系统、产品和服务防范攻击、欺诈的脆弱性测试）应能够满足基本的要求。（2）银行和机构内部职员系统操作技能、职业道德应满足一定的要求。应对员工进行定期的培训、评估和测试。（3）应能够对交易进行实时检测、跟踪记录和校验，以防止欺诈和有助于解决纠纷。（4）应具备系统备用方案和应急计划及技术升级计划，以满足不断技术进步的要求和应付突发事件。（5）让客户明确责、权、利和纠纷解决的办法，对客户也要进行一定的应用培训和安全教育。（6）对可疑交易、犯罪行为进行模拟处理和演练，以防患于未然。（7）要保证电子货币资金的流动性。加强对电子货币资金的投资管理，对投资范围和投资数额进行一定的控制，并加强流动性检测，定期进行评审。
（二）加强网络安全的常规防护管理措施
管理是网络银行安全经营的关键，因为人是系统中的决定性因素，安全技术必须与安全管理结合才能发挥作用，网络银行的网络系统必须有一整套安全管理制度用于规范系统和操作人员的行为。这些规范包括：操作人员设置和职能权限、网络系统日常操作维护规范、安全扫描/监控工具使用规范、系统应急处理措施、安全审计制度、业务审计制度和机房出入制度等。具体内容包括
（1）网络安全的常规防护管理措施。
第一，物理防护。要保护计算机系统、网络服务器、打印机、磁盘等硬件实体和通信链路免受自然灾害、人为破坏和搭线；加强PC机管理，建立物品进出机房登记制度，加强门卫管理制度，在机房无人时或休息日要锁好门窗；同时，按时检查机房防火设施，确保各种设备处于良好状态。第二，做好备份。备份是避免损失的有效途径。一旦用户对Fdisk或Format变得糊涂起来，或者出现服务器或PC机被窃或重大硬件故障，只有通过备份才能恢复数据。对备份的保存和管理，是一件需要认真对待的事情，应将备份存储于远离热源的阴凉处，并要防止被盗或其他损伤，同时及时为一份备份标明出处、日期、内容等。美国“9.11”事件中，位于世贸大厦的公司都毁于一旦，这些公司在事后都存在一个重建的问题。这时，那些网络安全日常维护做得好的公司的优势就体现出来了，据称，一些公司因为不仅将公司的所有资源都进行了备份，而且存储在不同的地方，虽然存储于世贸大厦的文件都毁灭了，但存储于其他地方的资料能够立刻被启用，因此能够在最短的时间内恢复工作，赢取了绝佳的工作机遇，创造了巨大的效益。第三，预防病毒。防止病毒的最好办法就是禁用所有PC机上的A驱动器和光驱，这似乎有些过于苛刻。但一定要注意，切记使用外来磁盘和光盘，特别是盗版光盘，这些光盘携带大量的病毒，会对计算机的安全造成极大的威胁。而且盗版软件容易引起诉讼、带有病毒或者存在安全“后门”，并且由于不能获得使用支持，盗版软件使用效率也不能很好发挥，因此所有软件都要使用正版软件。第四，正确使用硬件。在不使用PC时，注意关闭机器，这样既可以延长机器寿命，也能够防止闯入者私下使用网络。台式PC机和服务器工作时，不要轻易移动，防止磁头碰撞磁盘表面，造成数据和部件永久性毁损。在机器处于开机状态时，不要插拔联线或鼠标、键盘等，这些行为都有可能损伤部件。第五，安全审计。网络银行要对安全性事件进行记载，形成审计日志。安全性事件包括登录/退出系统、更换口令、更换密钥等，并且委派专人负责分析安全审计日志，及时发现不安全线索，采取措施，加以预防。
（2）网络银行的业务控制管理措施。
