FOCUS
新金融 新安全
轉(zhuǎn)變安全防護思路,助力新金融安全發(fā)展
引言
新金融是在互聯(lián)網(wǎng)和信息技術(shù)革命推動下,伴隨著移動化、大數(shù)據(jù)、云計算等新興技術(shù)出現(xiàn)的新的金融生態(tài)和金融服務(wù)產(chǎn)品及模式,是金融業(yè)發(fā)展的新領(lǐng)域。伴隨著云計算、大數(shù)據(jù)、移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)等這些新興IT技術(shù)的發(fā)展與落地,傳統(tǒng)信息安全的邊界越來越模糊,新的攻擊形態(tài)層出不窮,安全威脅呈現(xiàn)復(fù)雜常態(tài)化趨勢。對金融領(lǐng)域的良性發(fā)展構(gòu)成極大威脅,對整個互聯(lián)網(wǎng)金融行業(yè)的健康發(fā)展產(chǎn)生了不利影響?;ヂ?lián)網(wǎng)復(fù)雜化趨勢使得金融銀行業(yè)的安全防護發(fā)生了本質(zhì)變化,線上線下融合的安全、互聯(lián)網(wǎng)作為新基礎(chǔ)設(shè)施的安全以及金融數(shù)據(jù)安全等新型安全問題,正在成為新金融環(huán)境下的新的探索領(lǐng)域。
隨著2017年6月1日起正式實施《網(wǎng)絡(luò)安全法》,為金融行業(yè)安全提供了法律保障。各金融機構(gòu)更加需要加強對新金融環(huán)境下的安全防護意識,轉(zhuǎn)變安全防護思路,在新金融領(lǐng)域快速發(fā)展過程中,通過加速建立自主可控信息安全技術(shù)產(chǎn)業(yè)體系和不斷完善金融信息安全法規(guī)制度、標準規(guī)范體系等措施,提高金融領(lǐng)域信息安全防范能力。
新金融面臨的安全挑戰(zhàn)
傳統(tǒng)互聯(lián)網(wǎng)金融風險依然突出
傳統(tǒng)的金融安全風險仍在存在,原有的木馬、蠕蟲、網(wǎng)絡(luò)中間人攻擊、數(shù)據(jù)安全等安全風險并沒有隨著新金融、新技術(shù)的發(fā)展而減少,并且隨著移動互聯(lián)網(wǎng)和物聯(lián)網(wǎng)等新技術(shù)的發(fā)展,安全防護風險在移動終端和物聯(lián)網(wǎng)終端領(lǐng)域更是進行了變化與升級,使安全問題更難發(fā)現(xiàn)、安全防護也更復(fù)雜;
核心設(shè)備和技術(shù)長期依賴于國外,底層技術(shù)難以掌握,存在安全隱患。目前在金融領(lǐng)域中操作系統(tǒng)、數(shù)據(jù)庫、芯片以及一些安全設(shè)備仍然采用國外設(shè)備,這些軟硬件中存在的后門、漏洞等風險對我國金融領(lǐng)域仍是一個監(jiān)管空白;各金融機構(gòu)也只是被動的等待產(chǎn)品的升級和變更,沒有做到主動防御,主動處理;
新金融新技術(shù)帶來新的安全威脅
在互聯(lián)網(wǎng)金融快速發(fā)展過程中,移動互聯(lián)網(wǎng)、云計算、虛擬化技術(shù)等已經(jīng)成為了時下的熱點,在新技術(shù)和新模式提升金融業(yè)務(wù)和效率的同時,也給金融機構(gòu)帶來了新的安全挑戰(zhàn)。
從移動互聯(lián)網(wǎng)技術(shù)來講,由于銀行業(yè)務(wù)是動態(tài)的,數(shù)據(jù)的傳輸經(jīng)過很多環(huán)節(jié),安全的核心是敏感數(shù)據(jù)的傳輸和存儲以及身份驗證,身份驗證安全機制薄弱,不能滿足高安全性的需要。與傳統(tǒng)技術(shù)不同,針對手機銀行的攻擊手段也發(fā)展的很快,如重放攻擊、截屏攻擊、釣魚攻擊、中間人攻擊等方式可能對現(xiàn)有的安全控制措施造成威脅。除此之外,惡意WIFI的連接等網(wǎng)絡(luò)環(huán)境不受控導(dǎo)致用戶傳輸數(shù)據(jù)被竊聽和篡改風險;
從云計算技術(shù)來看,目前對云計算特別是金融業(yè)務(wù)云遷移相關(guān)的有效監(jiān)管還亟待加強。部分金融用戶已經(jīng)開始將部分業(yè)務(wù)托管到云服務(wù)廠商,而對云服務(wù)廠商安全性監(jiān)管尚不健全,云服務(wù)持續(xù)性為金融機構(gòu)運營帶來風險,云應(yīng)用托管商受資金、社會環(huán)境、當?shù)胤傻纫蛩刂萍s,不可避免地發(fā)生服務(wù)中斷事故,這將為企業(yè)帶來巨大的損失;同時金融數(shù)據(jù)存儲安全也成為另一個信息安全隱患,一旦云端服務(wù)器遭到黑客入侵,金融數(shù)據(jù)就面臨丟失或被竊的風險。因此云業(yè)務(wù)由于交易是基于互聯(lián)網(wǎng)且由用戶自助完成,和基于傳統(tǒng)渠道相比,會有更強的安全性要求;需要全生命周期更嚴格的防護,以確保金融用戶的數(shù)據(jù)安全。
安全防護思路轉(zhuǎn)變
新金融快速發(fā)展的過程中,金融機構(gòu)需要結(jié)合自身的實際情況,及時掌握和應(yīng)對新形勢下的安全問題;這也是中國金融行業(yè)的安全決策者們,在金融行業(yè)快速發(fā)展中,需要思考的;信安世紀在金融領(lǐng)域深耕細作多年,對新金融新技術(shù)帶來業(yè)務(wù)變革的過程中新安全防護思路有以下一些認識:
從絕對安全向安全易用平衡轉(zhuǎn)變
關(guān)于安全措施有一個基本的矛盾:隨著安全防護的增加,安全系統(tǒng)的可用性卻在下降,而如果想保障用戶的易用,用戶的安全性就存在隱患,之前在金融領(lǐng)域中,由于監(jiān)管的要求以及金融行業(yè)的特殊性,金融機構(gòu)都會首選更高強度的安全手段來保障業(yè)務(wù),即使犧牲掉用戶用戶的易用性;但是隨著互聯(lián)網(wǎng)的發(fā)展,特別是移動領(lǐng)域的快速發(fā)展,這個思路也在發(fā)生著轉(zhuǎn)變,從絕對安全向安全易用平衡發(fā)展來過渡;舉個例子:USBKEY作為個人和企業(yè)網(wǎng)銀的一個重要安全手段,一直在金融業(yè)務(wù)中特別是資金業(yè)務(wù)中一直是作為首要甚至是唯一實現(xiàn)用戶身份認證、保密性和不可否認性的安全輔助要素,但是隨著移動手機銀行的發(fā)展,雖然很多銀行推出了基于音頻USBKEY、藍牙USBKEY等針對于手機銀行的安全輔助措施,但是由于額外新增加的外設(shè),還是給用戶造成了很大的易用弊端,而互聯(lián)網(wǎng)企業(yè)推出的微信、支付寶以及采用信安世紀零私鑰簽名認證技術(shù)的手機網(wǎng)銀業(yè)務(wù)等,則摒棄了這些終端外設(shè),給用戶全新易用體驗;在易用的同時防護強度也達到了人行、銀監(jiān)會、國密局等相關(guān)監(jiān)管單位的安全要求;
從前后臺均安全向前段易用、后臺風控轉(zhuǎn)變
傳統(tǒng)的金融安全防護措施希望是在業(yè)務(wù)系統(tǒng)的各個方向上均能夠?qū)崿F(xiàn)安全,從用戶的前端環(huán)境安全,到前后端的通訊安全,再到后臺的前置、核心等等,每個階段都希望能夠給用戶做到絕對安全保障,這也導(dǎo)致了對用戶前端易用性和可維護性的下降。反而沒有從用戶實際行為分析入手,因此也需要轉(zhuǎn)變思路,增加用戶后臺行為風控預(yù)警,增強前端安全易用;特別是在根據(jù)用戶的一些網(wǎng)絡(luò)環(huán)境、時間、地點、交易具體內(nèi)容等多方面做到大數(shù)據(jù)分析提前預(yù)警;信安世紀在基于大數(shù)據(jù)和云計算平臺實現(xiàn)基于用戶行為的身份認證產(chǎn)品既是通過對前端用戶的不同環(huán)境、不同操作行為進行的后臺預(yù)警,加強對用戶的風險控制;
從單一認證形態(tài)到多元認證轉(zhuǎn)變
金融行業(yè)安全認證手段也在發(fā)生著變化,原有的金融安全認證防護手段以簡單口令認證、令牌認證、證書認證等為主,隨著大數(shù)據(jù)、云計算、移動等新技術(shù)對新金融的補充,認證手段也將向多元化發(fā)展:包括零身份認證、生物識別認證、基于大數(shù)據(jù)的用戶行為身份這些認證手段也都將作為新的安全認證手段加入;
從多系統(tǒng)不同防御到統(tǒng)一防護轉(zhuǎn)變
傳統(tǒng)金融業(yè)務(wù)安全防護還是以單一業(yè)務(wù)系統(tǒng)出發(fā),根據(jù)某一單獨業(yè)務(wù)特性進行全面安全防護;但是隨著金融技術(shù)的發(fā)展,特別是可信金融云計算平臺的發(fā)展和部署,原有單一業(yè)務(wù)防護技術(shù)手段面臨著基礎(chǔ)架構(gòu)平臺共享、業(yè)務(wù)防護同質(zhì)化等新問題,需要將單一業(yè)務(wù)系統(tǒng)防護想多平臺整體安全防護考慮。例如原有安全應(yīng)用設(shè)備簽名服務(wù)器、動態(tài)口令服務(wù)器均為某一單獨業(yè)務(wù)系統(tǒng)采購和使用,造成各系統(tǒng)密碼及密鑰應(yīng)用策略不一致,算法類型、密鑰長度、實現(xiàn)方式等方面差異較大,系統(tǒng)安全強度參差不齊。因此需要從整體統(tǒng)一防護思路著手,進行新的調(diào)整;
從被動防御到主動防護
面對金融行業(yè)攻擊者的升級與變化,金融機構(gòu)的安全防護也需轉(zhuǎn)變思路,從被動到主動,力求掌握網(wǎng)絡(luò)空間斗爭的主動權(quán)用數(shù)據(jù)提高用戶的運營能力,提升金融機構(gòu)主動檢測、預(yù)警、快速響應(yīng)安全威脅的能力;逐步形成預(yù)防、防護、響應(yīng)一體的技術(shù)保障體系。
信安世紀助力新金融安全發(fā)展
針對于新金融新技術(shù)帶來的新型安全威脅,信安世紀作為金融領(lǐng)域信息安全的企業(yè),與合作伙伴及各商業(yè)銀行客戶長期保持著良好的信任與合作關(guān)系,共同促進金融行業(yè)信息安全發(fā)展;目前信安世紀已經(jīng)在多家銀行建立基于PKI技術(shù)、國產(chǎn)密碼算法穩(wěn)定、安全、高效的信息安全防護架構(gòu);并且隨著新金融發(fā)展信安世紀在移動安全認證、大數(shù)據(jù)風控和認證領(lǐng)域也進行了大量的技術(shù)預(yù)研,研發(fā)出符合新金融趨勢、適用于金融機構(gòu)產(chǎn)品和解決方案;幫助金融機構(gòu)在面對新金融發(fā)展過程中的安全防護應(yīng)對.未來信安世紀也將一直緊抓全球金融業(yè)的發(fā)展趨勢,來更好的適應(yīng)快速變化的金融安全需求,助力中國金融業(yè)快速安全發(fā)展。