文 / 汪德嘉

　　新形勢下商業(yè)銀行信息安全體系建設(shè)面臨諸多挑戰(zhàn)。銀行業(yè)應(yīng)當(dāng)在構(gòu)建 無邊界信息安全防御體系、加強(qiáng)隱私保護(hù)及信息安全風(fēng)險(xiǎn)管理方面快速 轉(zhuǎn)型，并結(jié)合大數(shù)據(jù)技術(shù)及信息安全技術(shù)，轉(zhuǎn)變傳統(tǒng)防御思維，采取全 面防御、主動(dòng)防護(hù)的積極措施。

　　在數(shù)字經(jīng)濟(jì)迅猛發(fā)展的今天，我國銀行金融機(jī)構(gòu)數(shù)字 化轉(zhuǎn)型工作取得長足進(jìn)步，信息系統(tǒng)建設(shè)不斷完善，從引進(jìn) 學(xué)習(xí)到自主創(chuàng)新，從單機(jī)應(yīng)用到數(shù)據(jù)集中，從柜臺(tái)電算化到 電子銀行，信息技術(shù)的發(fā)展和廣泛應(yīng)用，為商業(yè)銀行的業(yè)務(wù) 發(fā)展和經(jīng)營管理提供了強(qiáng)有力的支撐，極大地豐富了銀行服 務(wù)的產(chǎn)品和類型，有效提升了銀行服務(wù)的效率和質(zhì)量，與此 同時(shí)，信息技術(shù)的廣泛、深入應(yīng)用也極大地增強(qiáng)了銀行對信 息科技的依賴性，帶來前所未有的安全風(fēng)險(xiǎn)。

　　從信息技術(shù)角度來看具體有以下潛在安全風(fēng)險(xiǎn)：首 先，金融消費(fèi)者聚集的高度碎片化數(shù)據(jù)規(guī)模正在不斷增加， 銀行信息系統(tǒng)的體量越來越龐大，運(yùn)行環(huán)境越來越復(fù)雜，信 息系統(tǒng)的高度耦合可能使得小問題導(dǎo)致大事件。其次，隨 著移動(dòng)互聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)、區(qū)塊鏈等新技術(shù)的廣泛應(yīng) 用，信息系統(tǒng)的基礎(chǔ)架構(gòu)不斷調(diào)整，現(xiàn)有的信息安全防御體 系面臨失效的風(fēng)險(xiǎn)。再次，以金融欺詐為目標(biāo)的黑色產(chǎn)業(yè)鏈 已成規(guī)模，正在利用大數(shù)據(jù)等先進(jìn)技術(shù)對銀行業(yè)實(shí)施精準(zhǔn)詐 騙。隨著以開放銀行和數(shù)字貨幣為代表的數(shù)字金融業(yè)務(wù)不斷 向前發(fā)展，銀行業(yè)信息安全風(fēng)險(xiǎn)管理面臨新的挑戰(zhàn)。

　　金融科技不斷向前發(fā)展，無論是金融機(jī)構(gòu)內(nèi)部安全運(yùn) 營體系化建設(shè)，還是應(yīng)用安全風(fēng)險(xiǎn)監(jiān)測分析，都在發(fā)生著 深刻的變化，可從以下三方面加強(qiáng)金融科技網(wǎng)絡(luò)安全：一 是構(gòu)建無邊界的信息安全防御體系;二是保障數(shù)字空間隱 私安全;三是層次化提升銀行業(yè)安全風(fēng)險(xiǎn)防控。

　　構(gòu)建無邊界金融信息安全防御體系

　　縱觀網(wǎng)絡(luò)安全發(fā)展歷史，入侵檢測、防火墻以及反病 毒等傳統(tǒng)邊界安全防護(hù)產(chǎn)品一直占據(jù)市場主導(dǎo)地位。由此 研發(fā)出各種應(yīng)用系統(tǒng)及工具，其設(shè)計(jì)基礎(chǔ)理念是：由于企 業(yè)邊界的外部存在病毒、木馬等各種安全威脅，安全產(chǎn)品 通過在企業(yè)的邊界網(wǎng)關(guān)處加上各式各樣的“鎖”，將危險(xiǎn) 擋在外部。

　　然而，在云計(jì)算與大數(shù)據(jù)時(shí)代，網(wǎng)絡(luò)安全的邏輯框架 已從單純的邊界防護(hù)，上升到整個(gè)網(wǎng)絡(luò)空間安全的概念。 移動(dòng)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、自帶設(shè)備(BYOD)等新興技術(shù)帶 來巨大變化，機(jī)構(gòu)與企業(yè)的數(shù)據(jù)不再局限于有形的邊界。 在此背景下，金融機(jī)構(gòu)IT架構(gòu)也在發(fā)生變革，金融業(yè)務(wù)云 化，數(shù)據(jù)呈現(xiàn)海量集中部署、價(jià)值更高、邊界更模糊等特 點(diǎn)。如何實(shí)現(xiàn)對海量數(shù)據(jù)泄露事件的溯源和業(yè)務(wù)數(shù)據(jù)的風(fēng) 險(xiǎn)分析，成為金融行業(yè)當(dāng)前及未來要面臨的一大考驗(yàn)。

通付盾金融賦能解決方案全景圖

　　以涉及信貸生命線全周期的數(shù)據(jù)治理為例。銀行的 重要且敏感數(shù)據(jù)大部分集中在應(yīng)用系統(tǒng)中，例如客戶的聯(lián) 絡(luò)信息、資產(chǎn)信息等，如果不慎泄露，不僅給客戶帶來損 失，也會(huì)給商業(yè)銀行帶來不利的聲譽(yù)影響，因此數(shù)據(jù)安全 在數(shù)據(jù)管理和治理過程中相當(dāng)重要。此外，對銀行數(shù)據(jù)本 身而言，信貸業(yè)務(wù)發(fā)展加快了數(shù)據(jù)膨脹的速度，也帶來了 數(shù)據(jù)不一致等問題，業(yè)務(wù)部門的頻繁增加和剝離同樣會(huì)對 數(shù)據(jù)治理提出挑戰(zhàn)。這些日益復(fù)雜的內(nèi)外因素決定了我國銀行業(yè)對數(shù)據(jù)治理的超高標(biāo)準(zhǔn)要求，然而行業(yè)對應(yīng)的經(jīng)驗(yàn) 能力卻稍顯薄弱。

　　一種針對性的解決方案是搭建起一套數(shù)據(jù)源管理平 臺(tái)，基于大數(shù)據(jù)處理技術(shù)，提供多數(shù)據(jù)源融合、并符合數(shù) 據(jù)隱私保護(hù)標(biāo)準(zhǔn)的統(tǒng)一數(shù)據(jù)源管理，平臺(tái)建立統(tǒng)一的數(shù)據(jù) 輸入輸出標(biāo)準(zhǔn)、幫助客戶提升數(shù)據(jù)融合、數(shù)據(jù)管理及數(shù)據(jù) 應(yīng)用能力，例如接口一站式接入、在線測試、實(shí)時(shí)監(jiān)控、 智慧任務(wù)、數(shù)據(jù)路由器等。

　　基于大數(shù)據(jù)處理技術(shù)，數(shù)據(jù)源管理平臺(tái)可以實(shí)現(xiàn)對第 三方服務(wù)商的服務(wù)接口整合以及標(biāo)準(zhǔn)化轉(zhuǎn)換，供各方進(jìn)行 數(shù)據(jù)調(diào)用，并可通過服務(wù)配置快速適配外部接口;為降低 服務(wù)成本，根據(jù)不同數(shù)據(jù)的變更特性進(jìn)行緩存，避免短時(shí) 間重復(fù)調(diào)用，同時(shí)也可對服務(wù)內(nèi)外部接口轉(zhuǎn)換、緩存策略 等進(jìn)行快速配置;統(tǒng)一落地?cái)?shù)據(jù)安全管控要求;提供訪問 鑒權(quán)、加密解密等。在性能上，平臺(tái)可以實(shí)現(xiàn)數(shù)據(jù)接入免 代碼、多種數(shù)據(jù)源預(yù)置、多樣數(shù)據(jù)傳輸方式、覆蓋廣泛加 密算法、數(shù)據(jù)流動(dòng)利器、多類屬性映射、實(shí)現(xiàn)對海量數(shù)據(jù) 源調(diào)用的高速高效運(yùn)行。

通付盾數(shù)據(jù)源管理平臺(tái)

　　在數(shù)據(jù)源管理平臺(tái)基礎(chǔ)上，銀行機(jī)構(gòu)結(jié)合自身強(qiáng)有力 的組織架構(gòu)，完善的管理制度及工作流程支撐，規(guī)范數(shù)據(jù)管 理各項(xiàng)工作的開展，從而發(fā)現(xiàn)、充實(shí)、集成和管理數(shù)據(jù)的整 個(gè)生命周期，提升企業(yè)風(fēng)險(xiǎn)管理能力及精細(xì)化管理要求。

　　基于智能技術(shù)保障數(shù)字空間隱私安全

　　近年來，各行各業(yè)都在加速步入數(shù)字化新時(shí)代，金融 行業(yè)也不例外。分布式加密賬本、人工智能、大數(shù)據(jù)、云 計(jì)算等技術(shù)高速發(fā)展，沖擊著金融行業(yè)技術(shù)的飛速更迭， 各大金融機(jī)構(gòu)經(jīng)歷了最原始的紙質(zhì)時(shí)代，電子時(shí)代，大數(shù) 據(jù)以及云平臺(tái)時(shí)代，并正在向著區(qū)塊鏈時(shí)代邁進(jìn)，數(shù)字貨 幣的火熱也促進(jìn)了金融行業(yè)KYC/KYB/KYT的發(fā)展。然 而，由于通常審核程序和流程復(fù)雜，加上傳統(tǒng)金融機(jī)構(gòu)發(fā) 展至今體量龐大、模式固化、中心化程度極高，導(dǎo)致各個(gè) 機(jī)構(gòu)間形成信息壁壘，溝通效率降低，因此對于金融機(jī)構(gòu) 來說，合規(guī)工作逐漸成為一項(xiàng)棘手的負(fù)擔(dān)。

　　此外，目前的KYC/KYB/KYT體系基本都由中心化的機(jī)構(gòu)來進(jìn)行審核，這就意味著經(jīng)過審核(不管審核通過 與否)的用戶所上傳的個(gè)人信息，除了用在通過審核之 外，并不知道是否被機(jī)構(gòu)挪作他用或直接用來變現(xiàn)，從而 造成用戶個(gè)人隱私泄露。如何保護(hù)個(gè)人的信息或數(shù)據(jù)資產(chǎn) 的安全性，是KYC/KYB/KYT本身衍生出的問題，也是 未來的挑戰(zhàn)。

　　針對上述問題，行業(yè)內(nèi)出現(xiàn)了多種解決方案，可包含 遠(yuǎn)程實(shí)名認(rèn)證、用戶安全性核查、企業(yè)遠(yuǎn)程開戶、HUE多 因子身份認(rèn)證等多種方式，并面向不同用戶提供不同場景 的解決方案。比如，面向個(gè)人用戶，可通過綜合運(yùn)用證照 OCR、生物識(shí)別、活體檢測、數(shù)據(jù)核驗(yàn)、設(shè)備指紋、反欺 詐等技術(shù)，并基于分布式加密賬本和去中心數(shù)字身份的方 式，使得用戶身份信息和隱私信息均加密存儲(chǔ)在用戶本地， 保護(hù)用戶數(shù)據(jù)主權(quán)和隱私安全，為用戶提供安全、合規(guī)、便 捷的用戶身份和安全性審查服務(wù)。

用戶安全性核查使用流程

中小企業(yè)遠(yuǎn)程開戶

　　面向企業(yè)用戶，可基于銀行線下開戶的流程及要求， 對包括企業(yè)工商信息、營業(yè)執(zhí)照、法人身份證等相關(guān)證件 進(jìn)行驗(yàn)證，并通過在線視頻當(dāng)面核查企業(yè)開戶意愿、經(jīng)營 情況、辦公環(huán)境等信息，基于許可區(qū)塊鏈安全技術(shù)，采用 生物識(shí)別、證件識(shí)別、活體檢測等智能交互方式，實(shí)時(shí)連 接權(quán)威數(shù)據(jù)源進(jìn)行交叉驗(yàn)證，滿足中小企業(yè)遠(yuǎn)程開戶安 全、便捷、合規(guī)的綜合性需求。

　　此外，可以采用PKI、數(shù)字簽名技術(shù)以及指紋、時(shí)空 碼等多項(xiàng)安全專利技術(shù)，將身份認(rèn)證與授權(quán)管理服務(wù)應(yīng)用 于轉(zhuǎn)賬、支付、取現(xiàn)等業(yè)務(wù)場景及機(jī)器身份識(shí)別、安全 訪問管理等物聯(lián)網(wǎng)場景。驗(yàn)證結(jié)果可在區(qū)塊鏈上儲(chǔ)存、傳 輸，KYC/KYB/KYT的驗(yàn)證結(jié)果也將可以多次使用;所 有個(gè)人和企業(yè)數(shù)據(jù)在區(qū)塊鏈上加密存儲(chǔ)，只有在獲得本人 授權(quán)的情況下才可以使用，從而確保用戶隱私信息安全。

　　層次化提升銀行業(yè)安全風(fēng)險(xiǎn)防控

　　從本質(zhì)上看，信息安全風(fēng)險(xiǎn)不僅客觀存在，而且時(shí)刻 變化。在金融科技時(shí)代下，商業(yè)銀行面臨的信息安全風(fēng)險(xiǎn)呈 現(xiàn)出一些新特點(diǎn)，如：新技術(shù)帶來了新的安全漏洞;傳統(tǒng)安 全手段無法有效應(yīng)對新安全威脅;新研發(fā)模式導(dǎo)致了更多的系統(tǒng)缺陷等。從風(fēng)險(xiǎn)管理角度看，銀行業(yè)應(yīng)當(dāng)從信息安全日 常管理、信息安全風(fēng)險(xiǎn)管理及信息安全審計(jì)角度，構(gòu)建信息 安全管理多道防線，層次化落實(shí)安全風(fēng)險(xiǎn)防控。

　　比如，從“代碼”角度提高銀行業(yè)信息安全風(fēng)險(xiǎn)管 理。研究顯示，超過50%的安全漏洞由錯(cuò)誤的編碼產(chǎn)生， 開發(fā)人員一般關(guān)注業(yè)務(wù)功能的實(shí)現(xiàn)，安全開發(fā)意識(shí)和安全 開發(fā)技能不足，想要確保程序在交付之前和交付之后都是 安全的，就需要注意Web應(yīng)用安全測試技術(shù)識(shí)別程序中架 構(gòu)的薄弱點(diǎn)和漏洞。

通付盾IAST代碼審查系統(tǒng)

　　當(dāng)前最前沿的交互式應(yīng)用安全測試技術(shù)之一是 “IAST”。目前行業(yè)已經(jīng)開發(fā)出基于“IAST”技術(shù)的 IAST代碼審查系統(tǒng)，該系統(tǒng)主要由三部分組成：核心檢測 能力，平臺(tái)基礎(chǔ)功能和外部集成接口。其中核心檢測能力基于交互式應(yīng)用安全檢測技術(shù)實(shí)現(xiàn)，包括服務(wù)端和檢測探針; 平臺(tái)基礎(chǔ)功能則提供了各類豐富的操作功能，包括組織結(jié)構(gòu) 配置、權(quán)限分配、安全弱點(diǎn)檢測管理、統(tǒng)計(jì)分析等;外部集 成接口為平臺(tái)與其他研發(fā)過程中的系統(tǒng)對接預(yù)留接口。

　　當(dāng)前整個(gè)社會(huì)都在經(jīng)歷數(shù)字化轉(zhuǎn)型，新形勢下商業(yè)銀 行信息安全體系建設(shè)面臨諸多挑戰(zhàn)，綜上建議，目前銀行 業(yè)應(yīng)當(dāng)在構(gòu)建無邊界信息安全防御體系、加強(qiáng)隱私保護(hù)及 信息安全風(fēng)險(xiǎn)管理方面快速轉(zhuǎn)型，并且結(jié)合大數(shù)據(jù)技術(shù)及 信息安全技術(shù)，轉(zhuǎn)變傳統(tǒng)防御思維，采取全面防御、主動(dòng) 防護(hù)的積極措施，實(shí)現(xiàn)外部有效防御與內(nèi)部完備防護(hù)，保 障客戶交易過程資金和信息安全。

特別提醒：本網(wǎng)內(nèi)容轉(zhuǎn)載自其他媒體，目的在于傳遞更多信息，并不代表本網(wǎng)贊同其觀點(diǎn)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實(shí)，對本文以及其中全部或者部分內(nèi)容、文字的真實(shí)性、完整性、及時(shí)性本站不作任何保證或承諾，并請自行核實(shí)相關(guān)內(nèi)容。本站不承擔(dān)此類作品侵權(quán)行為的直接責(zé)任及連帶責(zé)任。如若本網(wǎng)有任何內(nèi)容侵犯您的權(quán)益，請及時(shí)聯(lián)系我們，本站將會(huì)在24小時(shí)內(nèi)處理完畢。