科技創新必然帶來新的風險，當前商業銀行金融科技創新步伐持續加快，系統的復雜性、用戶的多樣性、應用環境的差異性對網絡安全提出了更高的要求。面對這些挑戰，建設銀行將持續優化智慧安全體系，不斷提升安全服務和保障能力。

　　文 | 中國建設銀行信息技術管理部總經理 金磐石

　　科技是現代金融的核心競爭力。近年來， 互聯網、大數據、云計算、人工智能、生物特征識別等前沿技術與現代金融業務有機結合，迸發出強大的創新活力，移動金融、電子支付、網絡信貸、智慧銀行等金融科技應用不斷涌現， 顯著提升金融服務效率、降低服務成本，深刻改變了人們的生產生活方式。

　　全天候、多渠道的金融科技在帶給客戶方便快捷體驗的同時，也給不法分子作案提供了便利條件，黑客攻擊、網絡詐騙等安全風險越來越突出，各類安全事件層出不窮。面對金融科技蓬勃發展大潮，建設銀行堅持科技創新和網絡安全同步發展，明確自身戰略定位和發展重點，深入分析金融科技創新趨勢下面臨的網絡安全問題，探究問題根源，構建了智慧型、主動式安全防護體系，為金融科技創新保駕護航。

　　一、金融科技的機遇與網絡安全挑戰

　　金融科技給銀行帶來三大發展機遇。

　　一是科技與金融緊密結合，大大拓寬了客戶服務范圍。以建設銀行“小微快貸”為例，對于小企業，傳統的信貸調查方式，成本效益不成比例，但金融科技的發展改變了這種局面，通過搭建互聯網平臺，利用大數據技術，對小企業交易信息及社會化信息進行在線分析，能準確識別客戶并判斷客戶信用情況、在線審批和發放貸款。

　　二是提供了更為豐富靈活的服務方式。移動互聯網、微信等渠道，使得實時為客戶服務成為現實，以建設銀行為例，手機銀行已服務超過2.4 億客戶，網銀支付、賬號支付、快捷支付、掃碼支付、云閃付等構成完善的支付產品體系， 能夠充分滿足客戶在不同應用場景、不同風險偏好下的產品選擇。大數據、人工智能技術的應用，可根據客戶行為偏好，為客戶組合定制產品，讓每個客戶都能體驗到VIP 級“貼心”服務。

　　三是有力支撐銀行經營轉型。目前建設銀行已累計投放智慧柜員機近6 萬臺，可“一站式”為用戶提供兩百余項常用業務辦理功能，柜面業務遷移率達81%，釋放了數萬名前臺柜員，為員工走出柜臺參與營銷奠定了基礎。

　　然而，金融科技的廣泛應用，既帶動互聯網經濟快速發展，也催動黑客產業不斷壯大，以盜取資金為目的的常規攻擊不斷衍變，高級持續威脅(APT)、病毒木馬等攻擊手段花樣翻新，使得金融科技面臨嚴峻安全挑戰。

　　一是網絡攻擊影響越來越大。2016 年2 月，孟加拉國中央銀行在美國紐約聯邦儲備銀行開設的賬戶遭到不法分子攻擊，失竊8100 萬美元，不法分子收集信息、入侵、盜取資金、洗錢等手法非常專業。2016 年7 月，不法分子攻擊臺灣某銀行自助渠道系統，遠程控制ATM 設備自動吐鈔，60 小時內狂掃7000 萬元新臺幣現金。2017 年5 月12 日晚，全球大規模爆發“永恒之藍” 勒索蠕蟲病毒，中毒機器的磁盤文件被加密，只有支付贖金才能解密恢復，100 多個國家和地區的幾十萬臺電腦遭受攻擊。

　　二是網絡數據泄露愈演愈烈，隨著互聯網用戶與銀行客戶信息的“大同”，特別是郵箱、微博等密碼與網銀密碼一致，任何一家互聯網平臺出現客戶信息泄露，都可能被不法分子用來進行關聯分析，進而利用這些信息實施欺詐或暴力猜解客戶網銀密碼，威脅銀行客戶資金安全。

　　三是有組織的電信網絡詐騙越來越專業。當前電信網絡詐騙已經成為社會公害，且從廣撒網式的“盲騙”轉向“精準詐騙”，呈現跨渠道、長期潛伏、專業劇本化趨勢。據報道，網絡電信詐騙已形成完整的黑色產業鏈，網絡詐騙從業人數超過160 萬人，詐騙“年產值”高達上千億元。要確保金融科技的平穩健康發展，必須妥善解決好網絡安全的問題。

　　二、智慧安全保障體系建設思路

　　基于對金融科技“全渠道、普惠、智慧”特點的深入分析和網絡安全形勢的清醒判斷，總結金融安全發展趨勢集中在三個方面：

　　一是移動互聯網金融的發展將十分重視用戶體驗，安全與用戶體驗的平衡是未來趨勢。

　　二是電子渠道威脅將愈演愈烈，跨渠道的攻擊將是未來趨勢，企業級、全渠道的安全策略動態快速調整勢在必行。

　　三是單純的安全產品已不足以應對威脅，靈活可定制的安全服務才是未來的發展趨勢。

　　為此，建設銀行依托新一代核心系統建設的契機，從安全架構頂層設計入手，充分結合金融科技應用場景，堅持安全與用戶體驗并重，樹立并踐行“安全即服務”理念，充分運用威脅情報、大數據挖掘、智能風控等技術，建立縱深“多層水閘式”的防控體系，可實時、動態調整安全防護策略， 做到信息安全智慧防控。具體建設中遵循如下原則。

　　1. 降低業務風險

　　建設“靈活、可配置”的安全服務，全面支撐業務未來創新和快速發展需要，減少新型業務產品安全風險。以電子渠道交易風險為切入點，加強風險監控，在客戶交易行為、客戶屬性、商戶屬性等方面明確防控規則，保障資金交易安全。以推進信息資產集中管控為突破點，解決客戶敏感信息泄露風險，全面提升數據安全管控能力，實現數據安全管理的全生命周期覆蓋，保障客戶信息資產安全。

　　2. 提升用戶體驗

　　以客戶為中心，實現透明、一站式的用戶登錄服務，提高用戶體驗和黏度。平衡安全與用戶體驗，以客戶風險等級為基礎采取針對性的安全防護措施，提供差異化的安全服務。平衡安全與服務效率，保證業務服務高效的同時提供完備適當的安全服務，實現風險控制與業務發展價值最大化。

　　3. 強化企業級架構管控

　　通過制定完備、有效、精細、流程清晰的安全策略管理機制，強化企業級安全管控能力。針對客戶、渠道、產品制定安全策略，明確各種業務場景的安全模式。建設統一、標準、獨立的安全架構技術組件，集中為上層應用提供完備的安全服務。

　　三、智慧安全保障體系建設成果

　　1. 構建SECaaS 基礎平臺，將安全智慧融入信息系統

　　基于“安全即服務(SECaaS)”的設計理念，建設銀行構建了SECaaS 安全基礎平臺。該平臺采用面向服務架構、云計算、組件化、可視化開發等技術，將安全功能從應用中解耦，實現安全功能的組件化、標準化和參數化，形成以客戶認證、密碼服務、安全監控、安全策略管理等7 個安全組件為核心，以290 余個安全服務為代表的“安全功能庫”。所有安全功能由策略管理中心動態調配，可依據所面臨的風險，智能匹配適用的安全策略，啟動相應的安全功能，從而靈活應對已知和未知威脅帶來的風險。

　　以加密服務為例，應用組件只需調用一個加密的服務功能，即可用加密組件進行數據加密。后臺復雜的安全邏輯，包括采用何種算法，如何協商、生成、更新和交換密鑰等，都被安全服務封裝起來。更形象地說，表面上看業務應用就是用了加密服務去加密一條數據，但后臺其實已經實現了國密算法的選擇和改造以及復雜的密鑰管理過程。因為是以服務的方式提供安全功能，業務應用可專注業務功能開發，無需關注安全服務的具體實現方式。

　　SECaaS 安全技術基礎平臺有力支撐了建設銀行信息系統的安全運行，目前客戶認證服務認證交易量日均4000 萬筆，密鑰管理服務交易日均21 萬筆，安全監控服務日均采集日志2600 萬筆，交易日志處理日均1440 萬筆，安全策略管理中心日均交易5 萬筆，高峰期最高可達12 萬筆。

　　2. 建立智慧型、主動式交易風控體系，保障客戶資金安全

　　依托SECaaS 安全平臺，建設銀行實現了網上交易風險管控由傳統的被動式應對到主動式防控的轉變，建立了智能化網絡風險防控體系。

　　首先通過對各個渠道的歷史交易數據、歷史安全事件和互聯網上發生的信息泄露事件進行梳理分析和數據搜集、挖掘，形成客戶賬戶分級模型;然后將賬戶分級模型加載到安全策略管理中心，由安全策略管理中心根據賬戶分級動態調整各個安全服務，同時配合安全監控組件對各個渠道的業務交易進行全方位、全流程的交易監控，基于差異化的交易風險安全策略庫，運用智能的關聯分析、風險估值等手段，預警交易中的潛在風險，并聯動自動化的應對機制和人工參與等處置措施，完成風險交易智能化處理，在風險交易尚未導致客戶資金損失前進行處置，做到“事中”控制風險。

　　近三年，建設銀行智能風控體系主動識別、攔截和處置網絡金融渠道風險交易累計近10 萬筆，避免客戶資金損失近7 億元， 為打造網絡安全交易環境、保障客戶資金賬務安全發揮了重要作用。

　　3. 積極應用安全新技術，以安全創新促金融創新

　　金融科技快速發展的同時，也涌現出越來越多的安全新技術。為不斷豐富安全服務和功能，有力支持業務創新，建設銀行持續開展手機盾、生物特征等安全新技術的研究與應用，并根據交易環境和風險評估情況實施智慧認證，進一步提升用戶體驗。

　　一是在業內率先與手機廠商合作進行手機盾的研究與應用，實現客戶私鑰在手機eSE 安全芯片中生成且不可導出，手機提供的TEE 可信環境獨占手機顯示屏，智能反顯交易簽名，確保所見即所簽，達到與二代網銀盾同等的安全級別。同時，客戶開通手機盾無需到網點，在線即可完成簽約和激活，而且存放于手機芯片中，無需額外硬件，大大提高了易用性。

　　二是積極開展生物特征識別技術的研究，先后完成指紋、聲紋、人臉等識別技術的應用與投產，其中手機銀行指紋認證在2.4 億手機銀行客戶中全面推廣，人臉識別在全國10 萬臺ATM 設備上支持刷臉取款，手機銀行聲紋認證近100 萬客戶主動開啟使用。

　　三是基于豐富的認證措施及各認證措施易用性情況，推出智慧認證服務功能。根據客戶的交易位置、交易設備、交易金額等要素對當前的交易風險進行評估，對于高風險交易增加認證措施，對于中風險交易保持認證措施，對于低風險交易減免認證措施，在提升用戶體驗的同時，防控交易風險。

　　四、未來工作展望

　　科技創新必然帶來新的風險，當前商業銀行金融科技創新步伐持續加快，系統的復雜性、用戶的多樣性、應用環境的差異性對網絡安全提出了更高的要求。面對這些挑戰，建設銀行將持續優化智慧安全體系，不斷提升安全服務和保障能力。

　　一是持續提升主動智慧風控能力。探索建立基于大數據和人工智能技術的主動式安全態勢感知模型，深入挖掘冒用他人開立賬戶、販賣銀行卡等行為，提前、主動發現和應對安全威脅。持續完善風控大腦，精準判別賬戶所有者，基于歷史數據對賬戶所有者建立立體化的識別方式，讓賬戶后臺根據賬戶、設備、位置、行為、關系以及偏好等形成一個具有判斷力、識別力的大腦，確保只有合法用戶使用才可以生效，攻擊者即便獲取了密碼等信息也無法實施資金盜竊，實現更加智能靈活的安全防護。

　　二是進一步完善金融安全生態圈?；ヂ摼W環境下，每個企業都不能獨善其身，必須與外部機構形成合力，多措并舉防控金融科技風險。建設銀行將加大與公安機關、監管部門、電信運營商、銀行同業及互聯網公司之間的溝通協作，完善針對電信網絡詐騙、偽基站、個人信息買賣、網絡攻擊等網絡金融案件聯合協查和快速響應機制，共筑金融科技創新安全防控生態圈。

責任編輯：Rachel