《自助设备密钥加密的风险与审计要点.doc》由会员分享，可在线阅读，更多相关《自助设备密钥加密的风险与审计要点.doc（3页珍藏版）》请在三一文库上搜索。
1、自助设备密钥加密的风险与审计要点自助设备密钥加密的风险与审计要点交通银行股份有限公司青岛分行审计部于雪征随着电子银行业务的不断发展,ATM等自助设备承担了越来越多的银行交易业务,发展势头日趋迅猛,近来,各家商业银行自助设备不断增加.但是,由于自助设备密钥加密的使用与管理需要银行内多个部门共同协作,且在日常管理中易被忽视,缺少监督,加密的操作环节有较多漏洞,极易引起密钥的外泄,存在较大的风险隐患.一风险表现商业银行自助设备密钥的使用与日常管理存在较大问题,主要表现在两个方面.1.操作流程方面在密钥产生环节,未做到电脑,自助设备主管部门和第三方监督部门共同产生密钥;未将三段密钥分别保管;未实行三方
2、签章封存密钥且无保管记录.在密钥注入环节,三个部门的人员未做到现场操作,而是通过电话将三个密码告知外包技术人员.密钥加注完毕后,未能按规定做到对已开封的密钥重新分别封装入指定信封,并三方签章.在密钥销毁环节,无销毁前密钥保管情况记录.2.内部控制方面主要存在监控设施调试成功时间晚于加密密钥注入时间,未做到对自助设备进行全过程监控;自助设备主机记录的密钥注入时间与登记簿记录时间不一致;登记簿多为散页装订,未进行防撕页编号且缺少部门相关人员签章等现象.二,审计要点(1)在系统数据库中,调取抽查时段自助设备主密钥最后一次修改的时间记录(通过主密钥名字可以看到自助设备柜员号信息,在属性中可看到最后一次
3、修改的时间记52录),作为自助设备密钥生成记录(包含生成和重置).(2)根据自助设备电子柜员号,在自助设备电子流水中查询设备注入主密钥的时间.(3)将上述两个结果进行比对,并与密钥生成登记簿,注入登记簿进行对比,看登记记录是否一致,这可反映出业务操作是否有虚假情况.另外,对有时间差的设备,查看其保管登记簿,看是否合规.(4)抽查部分监控录像,一是检查监控设施是否涵盖了密钥注入的全过程,二是查看三个部门的相关人员是否真实到现场操作.(5)现场检查各类记录簿及保管箱,检查是否符合内控管理规定.三风险防范措施规范自助设备加密密钥的使用与管理,是保障银行和客户资金安全的重要环节.针对上述易形成风险的环节,笔者提出以下防范措施.(1)从流程上规范操作,使加密密钥的产生,交接,注入,更换,销毁以及封存保管过程严密,杜绝操作环节上的漏洞.(2)加强内控管理,按要求设置和记录相关登记,明确责任.(3)加强再监督,在对银行业自助设备检查时,将自助设备密钥加密工作纳入检查范围.定期通过核对系统与登记簿记录,现场检查密钥保管情况,抽调录像检查现场操作人员操作情况等手段对密钥管理进行监督,确保自助设备业务的健康快速发展,保障持卡人的资金安全.CCC风险管理栏目编辑:周少晨