• 快捷搜索
  • 全站搜索

FinTech 时代信息安全的挑战及应对

2017-12-08 16:34:03作者:中国工商银行信息科技部副总经理 张艳编辑:金融咨询网
FinTech时代的到来,对于银行业是巨大的挑战,也是难得的机遇,工商银行将继续围绕从边界防御转向全面防御、从被动防护转向主动防护、从使用传统工具防护转向利用大数据技术和安全技术结合防护的总体策略,持续优化信息安全管理体系。

FinTech时代的到来,对于银行业是巨大的挑战,也是难得的机遇,工商银行将继续围绕从边界防御转向全面防御、从被动防护转向主动防护、从使用传统工具防护转向利用大数据技术和安全技术结合防护的总体策略,持续优化信息安全管理体系。

图片5.jpg
中国工商银行信息科技部副总经理 张艳

  近年来,金融科技FinTech在全球范围内发展迅猛,随着大数据、云计算、区块链、人工智能、生物识别、物联网等FinTech代表性技术的广泛应用,技术驱动金融创新已深入人心,进一步促进了包括金融机构和非金融机构在内的各大企业产品和服务的创新热潮,与此同时,各种新业务模式和技术方法也带来了新的安全挑战。

  工商银行一直高度重视信息安全工作,坚持顶层设计,目前已形成了以保护客户安全以及银行安全为核心,以组织保障和制度建设为两翼、技术手段和管理措施为支撑的信息安全管理体系,提升了全行的信息安全防护水平。为进一步适应FinTech时代的快速发展,工商银行在信息安全管理体系基础上,深化新技术研究和应用,有效应对信息安全风险。

一、金融科技(FinTech)发展带来的安全挑战

  互联网金融、大数据、云计算、区块链、人工智能、生物识别、物联网等作为FinTech时代的典型技术代表,引领了金融创新的潮流,但在综合运用新技术的同时,其带来的信息安全风险也不容小觑。

  1.互联网金融的快速发展带来一定的安全隐患

  互联网金融注重合作、创新、融合、快速响应,新业务的快速推出在给客户带来便利性的同时也带来一定的安全隐患。随着外部合作的增加,接入渠道的增多无形中加大了遭受外部攻击的风险;随着各种APP等新业务的推广,网络边界也愈来愈模糊,边界安全防范难度愈来愈大;伴随着线上线下融合的发展模式逐渐兴起,风险的传播和扩散更加容易;对于银行业自身来讲,由于业务条线多、功能复杂,同时互联网金融产品又要求快速响应,增加了新产品新业务安全风险的隐患;同时,随着地下产业链的规模化、集团化发展,不法分子对于银行的新技术和新业务了解得更加深入,也导致了金融安全风险的增多。

  2.海量数据成为外部黑客攻击的重要渠道

  大数据技术是目前被广泛应用的一种数据分析与运用的技术,为实现大数据技术的应用,海量数据存储成为必不可少的环节。当今金融企业的海量数据难免涉及客户隐私,这些数据由于涉及范围广、内容关联度高,并有可能被用于攻击其他机构,逐渐成为黑客攻击的重点。黑客往往通过盗取并分析黑产大数据实现对客户的精准诈骗;通过拖库、洗库、撞库等方式实现对银行客户的资金窃取。

  3.云平台资源的复用给数据有效隔离带来困难

  云计算具有超大规模、虚拟化、高可靠性、通用性、高可扩展性、按需服务等特点,提供随时可用的、便捷的、按需通过网络访问的各类计算资源共享池,然而云平台的系统资源复用、物理边界模糊、虚拟存储位置不确定、虚拟化管理等虚拟化技术的应用往往也给各个层面的数据有效隔离带来困难,容易造成信息泄露的风险。

  4.区块链采取的密码技术本身被破解可能给整个区块链及链上产品带来较大风险

  区块链本质上是一种公开透明、不可篡改、可追溯的分布式数据库记账技术,是点对点网络、密码技术、共识机制等多项现有技术的融合创新。如果密码技术本身被攻破或破解,会对整个区块链带来较大风险;客户个人对于私钥的保存也至关重要,一旦私钥丢失,则会对客户自身财产带来损失;随着科技的不断进步,计算机算力日益增强,对区块链本身的共识机制也会带来挑战。

  5.人工智能飞速发展带来的安全问题也不容忽视

  随着AlphaGo在围棋领域的异军突起,引起人们对人工智能的极大关注。人工智能是利用计算机的软硬件来模拟人的思维过程和智能行为,包括深度学习、计算机视觉、智能机器人、自然语言处理、语音识别、图像及视频内容识别、智能交互等多个分支领域,从而使机器能胜任一些复杂工作。与通用软硬件产品类似,人工智能产品也不可避免地存在安全漏洞,黑客可利用这些漏洞对人工智能产品的学习系统进行攻击,使其产生错误的结果,达到控制产品的目的,从而对客户的财产安全带来威胁。

  6.生物识别技术应用过程中的安全和隐私问题需要解决

  生物识别技术是通过计算机与光学、声学、生物传感器和生物统计学原理等高科技手段密切结合,利用人体固有的生理特性和行为特征来进行个人身份的鉴定,包括指纹识别、声音识别、视网膜识别、签名识别、人脸识别等多种类别。生物识别在给客户带来便利性的同时,其安全和隐私问题也要进行关注,每个客户都有独一无二的脸、指纹、虹膜等身份信息,一旦此类敏感信息被非法获取,将会给客户带来安全风险。

  7.无处不在的物联网存在的潜在信息泄露风险需警惕

  物联网技术是通过信息传感设备,把物品与互联网连接起来,进行信息交换和通信,以实现智能化识别、定位、跟踪、监控和管理,将客观世界中的物品信息最大程度数据化。物联网的运用极大地丰富了客户的生活形态,可穿戴设备、家庭空调系统、安全摄像头在给生活带来便利的同时,其安全状态也越来越需要关注,目前互联网上的部分搜索引擎可以索引和提供全球数百万联网设备的详细信息,有些设备本身的安全性不够,黑客可以利用这些设备当做“肉鸡”对网络发起攻击,也可以利用这些设备对客户的日常生活带来影响,干涉和泄露客户的隐私信息。

二、积极布局FinTech新技术研究和应用,有效应对信息安全风险

  工商银行通过建立包括治理、管理、技术三个层次18个专业领域的信息安全管理体系,构筑了有效的信息安全防线。同时紧跟FinTech脚步,高度关注金融科技发展趋势,通过组建创新实验室和信息安全研究团队,主动布局信息安全新技术前瞻性研究及应用探索,持续优化信息安全管理体系,有效应对信息安全风险。

  1.在大力发展互联网金融的同时做好信息安全

  围绕工商银行e-ICBC战略,建设了“融e购”、“融e联”和“融e行”三大平台,同时推出工银e支付、逸贷、工银e生活等互联网金融产品,并积极与互联网企业开展技术合作,推动工商银行互联网金融业务实现跨越式发展。为有效应对互联网金融业务快速发展过程中面临的金融欺诈风险,工商银行加强了对客户资金交易的全流程保护,一是紧跟安全支付和客户交付技术发展趋势,完善事前控制方式;二是不断优化反欺诈系统的模型和策略,提高事中控制效率;三是推进跨部门联动响应机制,提供事后溯源分析能力。

  2.继续强化大数据研究和应用,积极抵御拖库、洗库、撞库风险

  工商银行非常重视大数据的应用与发展,将“大数据与信息化银行”战略作为三大战略之一,并在客户营销、产品使用、风险防控、经营管理等领域应用成效显著。为有效抵御外部黑客针对数据库发起的攻击,工商银行从数据库本身、攻击路径、攻击入口三方面实施防御,积极应对数据泄露风险,一是通过自主开发用户管理平台实现对数据库用户的严格管理,同时通过信息安全模型对非法操作进行监控和告警;二是通过严格控制内网网络设备策略,对可能的攻击路径进行限制;三是通过流量采集、监控和处置对可疑的攻击流量进行封禁。

  3.大力推广云平台,注重数据安全管理

  工商银行根据研发及运维的实际需求定制研发基础设施云平台(IaaS)和应用平台云(PaaS)及其他专业云生态服务平台,目前服务范围已覆盖计算、存储、网络、程序运行、数据处理、应用集成等方面。为进一步加强对云平台数据的安全管理,工商银行对云平台总体架构进行梳理,并重点针对IaaS、PaaS云平台提出安全加固措施,从而实现对用户权限管理、数据隔离、安全审计等方面的管控,提升云平台安全性。

  4.积极尝试区块链技术应用,采取多项措施保障加密体系安全

  工商银行高度关注区块链方面的技术跟踪与研究,完成了“基于区块链技术的金融产品交易平台”的系统建设,实现账户贵金属转账功能;同时协同贵州省政府利用区块链技术实现扶贫项目及用款审批的透明运作,保障扶贫资金的封闭运行管理。为了保障区块链技术加密体系的安全性,工商银行一是通过构造客户端和服务器端的双向CA认证保证交易接入安全;二是通过控制不同用户操作区块链应用的权限实现对用户的分级管理;三是通过增加包括国密算法在内的新加密算法提升加密安全性。

  5.持续推进智能化建设,建立“数据驱动”的智能风控模式

  工商银行在反欺诈领域运用神经网络模型防范客户欺诈,实时判断电子银行每笔交易的欺诈风险,有效防范了客户资金损失风险;在客户服务领域,于2016年投产了新一代智能机器人产品。为及时发现人工智能产品的安全漏洞及黑客的攻击,工商银行逐步建立“数据驱动”的风控模式,充分利用机器学习算法与大数据结合,开展动态自学习的高效检测模型研究,主动识别客户异常行为,及时发现安全漏洞及黑客的新型攻击手法。

  6.谨慎使用生物识别技术,注重安全和隐私信息保护

  工商银行已经实现网点柜员的指纹授权与身份认证、个人手机银行的指纹登录和支付。人脸识别技术也已完成产品的验证及人脸识别原型体验环境的搭建。考虑到生物技术的可靠性和安全性,目前工商银行对于生物识别技术的使用主要是在相关业务辅助场景下推广,并通过自身信息系统的安全保护措施对客户的相关生物信息进行保护,避免客户信息的泄露。

  7.持续创新物联网运用场景,有效预防客户信息泄露

  工商银行物联网技术目前主要应用于业务运营和流程管控方面,业务运营方面研发了实物现金运营管理系统,同时积极应用物联网技术实现移动物品定位追踪的功能,首个汽车专项分期付款业务已成功试点投产。为有效预防客户信息泄露,一是积极引入威胁情报,及时发现并解决新的安全漏洞;二是做好日常的安全风险评估,及时整改安全风险;三是做好行内信息系统安全监控和处置,从而避免黑客入侵造成信息泄露。

三、持续优化信息安全管理体系,有力支撑未来的信息化银行建设

  FinTech时代的到来,对于银行业是巨大的挑战,也是难得的机遇,工商银行将继续围绕从边界防御转向全面防御、从被动防护转向主动防护、从使用传统工具防护转向利用大数据技术和安全技术结合防护的总体策略,持续优化信息安全管理体系。

  一是加强信息安全管理,通过建立完善网络与信息安全通报机制,统筹管理各类信息及信息系统安全事件和风险隐患情况,快速处置信息及信息系统安全事件和风险,并对重大信息安全威胁隐患进行预警。

  二是加快科技队伍的优化转型,充分发挥信息安全研究团队的技术研究能力,加强新安全技术的落地转化,形成全面防御体系。

  三是继续加强安全监控与处置平台建设,开展威胁情报模块建设,加快信息安全模型挖掘,持续提升内外部安全威胁检测和响应的能力,推动被动防护转向主动防护。

  四是继续充分利用大数据、人工智能等新技术,在使用传统安全技术进行防护的同时,实现海量业务数据与IT数据的收集及大数据模型挖掘分析,提高安全防范的深入性。

(文章来源:《中国金融电脑》杂志)

扫码即可手机
阅读转发此文

本文评论

相关文章