文 / 汪德嘉

　　新形勢下商業(yè)銀行信息安全體系建設(shè)面臨諸多挑戰(zhàn)。銀行業(yè)應(yīng)當(dāng)在構(gòu)建 無邊界信息安全防御體系、加強隱私保護及信息安全風(fēng)險管理方面快速 轉(zhuǎn)型，并結(jié)合大數(shù)據(jù)技術(shù)及信息安全技術(shù)，轉(zhuǎn)變傳統(tǒng)防御思維，采取全 面防御、主動防護的積極措施。

　　在數(shù)字經(jīng)濟迅猛發(fā)展的今天，我國銀行金融機構(gòu)數(shù)字 化轉(zhuǎn)型工作取得長足進步，信息系統(tǒng)建設(shè)不斷完善，從引進 學(xué)習(xí)到自主創(chuàng)新，從單機應(yīng)用到數(shù)據(jù)集中，從柜臺電算化到 電子銀行，信息技術(shù)的發(fā)展和廣泛應(yīng)用，為商業(yè)銀行的業(yè)務(wù) 發(fā)展和經(jīng)營管理提供了強有力的支撐，極大地豐富了銀行服 務(wù)的產(chǎn)品和類型，有效提升了銀行服務(wù)的效率和質(zhì)量，與此 同時，信息技術(shù)的廣泛、深入應(yīng)用也極大地增強了銀行對信 息科技的依賴性，帶來前所未有的安全風(fēng)險。

　　從信息技術(shù)角度來看具體有以下潛在安全風(fēng)險：首 先，金融消費者聚集的高度碎片化數(shù)據(jù)規(guī)模正在不斷增加， 銀行信息系統(tǒng)的體量越來越龐大，運行環(huán)境越來越復(fù)雜，信 息系統(tǒng)的高度耦合可能使得小問題導(dǎo)致大事件。其次，隨 著移動互聯(lián)網(wǎng)、云計算、大數(shù)據(jù)、區(qū)塊鏈等新技術(shù)的廣泛應(yīng) 用，信息系統(tǒng)的基礎(chǔ)架構(gòu)不斷調(diào)整，現(xiàn)有的信息安全防御體 系面臨失效的風(fēng)險。再次，以金融欺詐為目標(biāo)的黑色產(chǎn)業(yè)鏈 已成規(guī)模，正在利用大數(shù)據(jù)等先進技術(shù)對銀行業(yè)實施精準(zhǔn)詐 騙。隨著以開放銀行和數(shù)字貨幣為代表的數(shù)字金融業(yè)務(wù)不斷 向前發(fā)展，銀行業(yè)信息安全風(fēng)險管理面臨新的挑戰(zhàn)。

　　金融科技不斷向前發(fā)展，無論是金融機構(gòu)內(nèi)部安全運 營體系化建設(shè)，還是應(yīng)用安全風(fēng)險監(jiān)測分析，都在發(fā)生著 深刻的變化，可從以下三方面加強金融科技網(wǎng)絡(luò)安全：一 是構(gòu)建無邊界的信息安全防御體系;二是保障數(shù)字空間隱 私安全;三是層次化提升銀行業(yè)安全風(fēng)險防控。

　　構(gòu)建無邊界金融信息安全防御體系

　　縱觀網(wǎng)絡(luò)安全發(fā)展歷史，入侵檢測、防火墻以及反病 毒等傳統(tǒng)邊界安全防護產(chǎn)品一直占據(jù)市場主導(dǎo)地位。由此 研發(fā)出各種應(yīng)用系統(tǒng)及工具，其設(shè)計基礎(chǔ)理念是：由于企 業(yè)邊界的外部存在病毒、木馬等各種安全威脅，安全產(chǎn)品 通過在企業(yè)的邊界網(wǎng)關(guān)處加上各式各樣的“鎖”，將危險 擋在外部。

　　然而，在云計算與大數(shù)據(jù)時代，網(wǎng)絡(luò)安全的邏輯框架 已從單純的邊界防護，上升到整個網(wǎng)絡(luò)空間安全的概念。 移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、自帶設(shè)備(BYOD)等新興技術(shù)帶 來巨大變化，機構(gòu)與企業(yè)的數(shù)據(jù)不再局限于有形的邊界。 在此背景下，金融機構(gòu)IT架構(gòu)也在發(fā)生變革，金融業(yè)務(wù)云 化，數(shù)據(jù)呈現(xiàn)海量集中部署、價值更高、邊界更模糊等特 點。如何實現(xiàn)對海量數(shù)據(jù)泄露事件的溯源和業(yè)務(wù)數(shù)據(jù)的風(fēng) 險分析，成為金融行業(yè)當(dāng)前及未來要面臨的一大考驗。

通付盾金融賦能解決方案全景圖

　　以涉及信貸生命線全周期的數(shù)據(jù)治理為例。銀行的 重要且敏感數(shù)據(jù)大部分集中在應(yīng)用系統(tǒng)中，例如客戶的聯(lián) 絡(luò)信息、資產(chǎn)信息等，如果不慎泄露，不僅給客戶帶來損 失，也會給商業(yè)銀行帶來不利的聲譽影響，因此數(shù)據(jù)安全 在數(shù)據(jù)管理和治理過程中相當(dāng)重要。此外，對銀行數(shù)據(jù)本 身而言，信貸業(yè)務(wù)發(fā)展加快了數(shù)據(jù)膨脹的速度，也帶來了 數(shù)據(jù)不一致等問題，業(yè)務(wù)部門的頻繁增加和剝離同樣會對 數(shù)據(jù)治理提出挑戰(zhàn)。這些日益復(fù)雜的內(nèi)外因素決定了我國銀行業(yè)對數(shù)據(jù)治理的超高標(biāo)準(zhǔn)要求，然而行業(yè)對應(yīng)的經(jīng)驗 能力卻稍顯薄弱。

　　一種針對性的解決方案是搭建起一套數(shù)據(jù)源管理平 臺，基于大數(shù)據(jù)處理技術(shù)，提供多數(shù)據(jù)源融合、并符合數(shù) 據(jù)隱私保護標(biāo)準(zhǔn)的統(tǒng)一數(shù)據(jù)源管理，平臺建立統(tǒng)一的數(shù)據(jù) 輸入輸出標(biāo)準(zhǔn)、幫助客戶提升數(shù)據(jù)融合、數(shù)據(jù)管理及數(shù)據(jù) 應(yīng)用能力，例如接口一站式接入、在線測試、實時監(jiān)控、 智慧任務(wù)、數(shù)據(jù)路由器等。

　　基于大數(shù)據(jù)處理技術(shù)，數(shù)據(jù)源管理平臺可以實現(xiàn)對第 三方服務(wù)商的服務(wù)接口整合以及標(biāo)準(zhǔn)化轉(zhuǎn)換，供各方進行 數(shù)據(jù)調(diào)用，并可通過服務(wù)配置快速適配外部接口;為降低 服務(wù)成本，根據(jù)不同數(shù)據(jù)的變更特性進行緩存，避免短時 間重復(fù)調(diào)用，同時也可對服務(wù)內(nèi)外部接口轉(zhuǎn)換、緩存策略 等進行快速配置;統(tǒng)一落地數(shù)據(jù)安全管控要求;提供訪問 鑒權(quán)、加密解密等。在性能上，平臺可以實現(xiàn)數(shù)據(jù)接入免 代碼、多種數(shù)據(jù)源預(yù)置、多樣數(shù)據(jù)傳輸方式、覆蓋廣泛加 密算法、數(shù)據(jù)流動利器、多類屬性映射、實現(xiàn)對海量數(shù)據(jù) 源調(diào)用的高速高效運行。

通付盾數(shù)據(jù)源管理平臺

　　在數(shù)據(jù)源管理平臺基礎(chǔ)上，銀行機構(gòu)結(jié)合自身強有力 的組織架構(gòu)，完善的管理制度及工作流程支撐，規(guī)范數(shù)據(jù)管 理各項工作的開展，從而發(fā)現(xiàn)、充實、集成和管理數(shù)據(jù)的整 個生命周期，提升企業(yè)風(fēng)險管理能力及精細化管理要求。

　　基于智能技術(shù)保障數(shù)字空間隱私安全

　　近年來，各行各業(yè)都在加速步入數(shù)字化新時代，金融 行業(yè)也不例外。分布式加密賬本、人工智能、大數(shù)據(jù)、云 計算等技術(shù)高速發(fā)展，沖擊著金融行業(yè)技術(shù)的飛速更迭， 各大金融機構(gòu)經(jīng)歷了最原始的紙質(zhì)時代，電子時代，大數(shù) 據(jù)以及云平臺時代，并正在向著區(qū)塊鏈時代邁進，數(shù)字貨 幣的火熱也促進了金融行業(yè)KYC/KYB/KYT的發(fā)展。然 而，由于通常審核程序和流程復(fù)雜，加上傳統(tǒng)金融機構(gòu)發(fā) 展至今體量龐大、模式固化、中心化程度極高，導(dǎo)致各個 機構(gòu)間形成信息壁壘，溝通效率降低，因此對于金融機構(gòu) 來說，合規(guī)工作逐漸成為一項棘手的負擔(dān)。

　　此外，目前的KYC/KYB/KYT體系基本都由中心化的機構(gòu)來進行審核，這就意味著經(jīng)過審核(不管審核通過 與否)的用戶所上傳的個人信息，除了用在通過審核之 外，并不知道是否被機構(gòu)挪作他用或直接用來變現(xiàn)，從而 造成用戶個人隱私泄露。如何保護個人的信息或數(shù)據(jù)資產(chǎn) 的安全性，是KYC/KYB/KYT本身衍生出的問題，也是 未來的挑戰(zhàn)。

　　針對上述問題，行業(yè)內(nèi)出現(xiàn)了多種解決方案，可包含 遠程實名認證、用戶安全性核查、企業(yè)遠程開戶、HUE多 因子身份認證等多種方式，并面向不同用戶提供不同場景 的解決方案。比如，面向個人用戶，可通過綜合運用證照 OCR、生物識別、活體檢測、數(shù)據(jù)核驗、設(shè)備指紋、反欺 詐等技術(shù)，并基于分布式加密賬本和去中心數(shù)字身份的方 式，使得用戶身份信息和隱私信息均加密存儲在用戶本地， 保護用戶數(shù)據(jù)主權(quán)和隱私安全，為用戶提供安全、合規(guī)、便 捷的用戶身份和安全性審查服務(wù)。

用戶安全性核查使用流程

中小企業(yè)遠程開戶

　　面向企業(yè)用戶，可基于銀行線下開戶的流程及要求， 對包括企業(yè)工商信息、營業(yè)執(zhí)照、法人身份證等相關(guān)證件 進行驗證，并通過在線視頻當(dāng)面核查企業(yè)開戶意愿、經(jīng)營 情況、辦公環(huán)境等信息，基于許可區(qū)塊鏈安全技術(shù)，采用 生物識別、證件識別、活體檢測等智能交互方式，實時連 接權(quán)威數(shù)據(jù)源進行交叉驗證，滿足中小企業(yè)遠程開戶安 全、便捷、合規(guī)的綜合性需求。

　　此外，可以采用PKI、數(shù)字簽名技術(shù)以及指紋、時空 碼等多項安全專利技術(shù)，將身份認證與授權(quán)管理服務(wù)應(yīng)用 于轉(zhuǎn)賬、支付、取現(xiàn)等業(yè)務(wù)場景及機器身份識別、安全 訪問管理等物聯(lián)網(wǎng)場景。驗證結(jié)果可在區(qū)塊鏈上儲存、傳 輸，KYC/KYB/KYT的驗證結(jié)果也將可以多次使用;所 有個人和企業(yè)數(shù)據(jù)在區(qū)塊鏈上加密存儲，只有在獲得本人 授權(quán)的情況下才可以使用，從而確保用戶隱私信息安全。

　　層次化提升銀行業(yè)安全風(fēng)險防控

　　從本質(zhì)上看，信息安全風(fēng)險不僅客觀存在，而且時刻 變化。在金融科技時代下，商業(yè)銀行面臨的信息安全風(fēng)險呈 現(xiàn)出一些新特點，如：新技術(shù)帶來了新的安全漏洞;傳統(tǒng)安 全手段無法有效應(yīng)對新安全威脅;新研發(fā)模式導(dǎo)致了更多的系統(tǒng)缺陷等。從風(fēng)險管理角度看，銀行業(yè)應(yīng)當(dāng)從信息安全日 常管理、信息安全風(fēng)險管理及信息安全審計角度，構(gòu)建信息 安全管理多道防線，層次化落實安全風(fēng)險防控。

　　比如，從“代碼”角度提高銀行業(yè)信息安全風(fēng)險管 理。研究顯示，超過50%的安全漏洞由錯誤的編碼產(chǎn)生， 開發(fā)人員一般關(guān)注業(yè)務(wù)功能的實現(xiàn)，安全開發(fā)意識和安全 開發(fā)技能不足，想要確保程序在交付之前和交付之后都是 安全的，就需要注意Web應(yīng)用安全測試技術(shù)識別程序中架 構(gòu)的薄弱點和漏洞。

通付盾IAST代碼審查系統(tǒng)

　　當(dāng)前最前沿的交互式應(yīng)用安全測試技術(shù)之一是 “IAST”。目前行業(yè)已經(jīng)開發(fā)出基于“IAST”技術(shù)的 IAST代碼審查系統(tǒng)，該系統(tǒng)主要由三部分組成：核心檢測 能力，平臺基礎(chǔ)功能和外部集成接口。其中核心檢測能力基于交互式應(yīng)用安全檢測技術(shù)實現(xiàn)，包括服務(wù)端和檢測探針; 平臺基礎(chǔ)功能則提供了各類豐富的操作功能，包括組織結(jié)構(gòu) 配置、權(quán)限分配、安全弱點檢測管理、統(tǒng)計分析等;外部集 成接口為平臺與其他研發(fā)過程中的系統(tǒng)對接預(yù)留接口。

　　當(dāng)前整個社會都在經(jīng)歷數(shù)字化轉(zhuǎn)型，新形勢下商業(yè)銀 行信息安全體系建設(shè)面臨諸多挑戰(zhàn)，綜上建議，目前銀行 業(yè)應(yīng)當(dāng)在構(gòu)建無邊界信息安全防御體系、加強隱私保護及 信息安全風(fēng)險管理方面快速轉(zhuǎn)型，并且結(jié)合大數(shù)據(jù)技術(shù)及 信息安全技術(shù)，轉(zhuǎn)變傳統(tǒng)防御思維，采取全面防御、主動 防護的積極措施，實現(xiàn)外部有效防御與內(nèi)部完備防護，保 障客戶交易過程資金和信息安全。

特別提醒：本網(wǎng)內(nèi)容轉(zhuǎn)載自其他媒體，目的在于傳遞更多信息，并不代表本網(wǎng)贊同其觀點。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實，對本文以及其中全部或者部分內(nèi)容、文字的真實性、完整性、及時性本站不作任何保證或承諾，并請自行核實相關(guān)內(nèi)容。本站不承擔(dān)此類作品侵權(quán)行為的直接責(zé)任及連帶責(zé)任。如若本網(wǎng)有任何內(nèi)容侵犯您的權(quán)益，請及時聯(lián)系我們，本站將會在24小時內(nèi)處理完畢。