文 / 中国民生银行信息科技部 魏巍 付佳
数字化转型重塑了银行的业务模式和金融生态格局，银行的业务生态愈加开放融合，银行内部的资源（如数据、应用、系统），也随之更加开放，给银行信息安全防御带来了严峻的挑战。在此背景下，民生银行基于零信任安全架构，建设了一套企业级安全访问控制体系，重塑了外部访问的可信边界，有效支撑了我行业务生态高效安全地开放，为我行的数字化转型保驾护航。
银行数字化转型下信息安全防御面临的挑战
近年来，金融业数字化转型不断推进，银行的业务生态对外更加开放与融合。例如开放银行模式已在多家商业银行全面开展，其以生态场景为触点，通过API、SDK、小程序等技术连接生态各方，有效地把银行的业务和服务数字化，也使银行业务系统与合作机构的业务系统更加互联互通。又如近年来金融外包规模持续扩大，外包服务领域从传统的开发、运维人力服务延伸到机房基础设施、金融业务和数据的处理，外包人员接触金融机构业务的深度与广度均显著增加，数据保护需求愈加迫切。可见，在数字化转型过程中，银行信息安全防御工作面临严峻的挑战，总结来说，有以下三点。
1.网络攻击风险加剧。银行业务的开放融合导致银行的网络边界逐渐模糊，原有的防护边界和手段无法满足银行与合作机构间业务互联互通的安全需求，银行内部资源的暴露面被扩大，攻击链路被延长。
2.欺诈风险加剧。生态开放意味着多方共同参与构建金融服务场景，这使得业务模式、数据交互和风险类型更加多样化，传统的静态信任模型被打破，账号、设备、网络、应用访问来源均不可信，欺诈风险加剧。
3.数据泄露风险加剧。当前云计算、大数据、AI等技术持续推动科技赋能业务，数据已越来越成为关键的生产要素，也成为专业黑客组织和网络黑灰产的窃取目标。然而，开放的业务生态使得数据交互模式和交互环节增多，任何一个环节被忽视，都会成为数据防护的薄弱点，导致数据泄露。
基于零信任架构的安全访问控制体系建设
针对上述挑战，民生银行以零信任安全架构为基础，将云、虚拟化、数据安全防护、大数据、AI等技术有机结合在一起，建立了一套企业级安全访问控制体系，使合作机构的应用或人员可以安全合规访问银行内部资源，有效防范网络攻击风险、欺诈风险和数据安全风险。
该体系共包含三个层面，一是平台层，民生银行建立了企业级轻量化的安全访问云平台，对外提供安全访问环境；二是模型层，基于云平台，民生银行围绕外部机构安全访问可能存在的风险，建设实施多个零信任自适应认证的动态信任模型，实现动态授权和访问控制，及时感知并阻断风险访问行为；三是数据安全标准层，民生银行研究建设了面向行外开放场景下的数据安全分类分级防护标准，并基于云平台，可自动标记不同级别的敏感数据，依据标准实施差异化的防护策略，提升数据安全防护的精度和效率。
1.企业级轻量化的安全访问云平台。如图所示，该平台为外部机构的应用系统（API形式）和人员（非驻场外包形式）提供了访问行内内部资源的安全环境，共包括4个模块。一是以零信任架构为基础的客户端和后台安全访问控制模块，实现安全访问的“闸口”。该模块利用SPA单包授权技术和双向加密隧道建立了可信代理；利用动态访问控制引擎实现应用接口级安全访问控制；利用信任评估引擎，连接大数据风险智能感知模块，实现持续动态的信任评估；利用端点威胁感知技术，并集成多种身份认证方式，实现多因素、多维度认证，防范欺诈风险。二是数据安全防护模块，通过网络流量解析，自动对敏感数据进行标签标记，实现分类分级管控；同时具备数据级细粒度访问控制能力，且内置数据安全防护组件，业务系统无需改造即可实现动态脱敏、添加水印、数据混淆等安全防护机制。三是虚拟云端操作环境，利用虚拟化技术和VDI技术，为外部机构人员提供云端的虚拟化操作环境，包括虚拟桌面和虚拟应用等服务，将操作环境上移至云端，使场所、设备和操作环境相互隔离，保证了数据不落地的同时极大降低了外部人员处理开放业务时的环境要求，无需专用设备或专用网络，提升了业务处理效率。同时该模块具备快速、弹性的资源管理能力，能够敏捷响应用户数量、使用需求的变化，提高资源利用效率、控制成本。四是大数据风险智能感知模块，采用Flink、Spark、Redis、Hive等大数据技术栈，作为信任评估的基石，运行零信任自适应认证的动态信任模型，进行持续的评估和安全响应，响应延时可不超过20ms。
图 外部机构访问银行内部资源示意图
2.自适应认证的动态信任模型。建立并运行有效的动态信任模型，是践行零信任理念、防护外部机构安全访问内部资源的关键。为此，民生银行围绕外部机构安全访问面临的网络攻击、欺诈和数据安全三个主要风险，梳理构建了场景化的安全风险防御策略库。目前，该策略库已包含防范暴力破解、仿冒身份、未授权访问、敏感数据泄露等20余类风险的安全防御策略，准确性、实用性强。其次，民生银行利用机器学习、专家经验等技术，依托大数据风险智能感知模块，将安全防御策略落地成自适应认证的动态信任模型（如敏感信息异常访问识别模型、API异常访问识别模型等）。这些模型从身份、环境、历史行为分析等维度综合对访问主体执行信任评估，同时从业务性质、安全影响度等维度综合对访问的客体资源执行信任评估，并依据评估结果，执行不同的处置策略，包括但不限于阻断、二次认证、放行、会话熔断等，从而实现了动态访问控制和授权，及时感知并阻断风险访问行为。
3.面向行外开放场景下的数据安全分类分级防护标准和防御路径。根据中国人民银行发布的《个人金融信息保护技术规范》(JR/T 0171-2020)、《金融数据安全数据安全分级指南》(JR/T 0197—2020)、《金融数据安全数据生命周期安全规范》(JR/T 0223—2021)等监管要求，民生银行制定了面向行外开放场景下的数据安全分类分级指南，明确了对不同类别、不同级别敏感数据的防御标准和防御策略。其次，依托数据安全防护模块和大数据风险智能感知模块，该体系可有效实施并运行这些差异化的数据安全防护策略，提升了数据安全防护的精度和效率。
综上，民生银行基于零信任架构，建立了一套以身份为中心，以识别、持续认证、动态访问控制、审计以及监测为链条，以最小化动态授权为核心，以多维信任算法为基础，认证可达末端的企业级安全访问控制体系，实现开放业务和非驻场外包业务场景下的安全合规访问。目前，安全访问云平台已在银企直联、开放银行、委外催收等业务场景下应用，纳管了216个API，对接委外催收机构97家，实时拦截访问过程中的账号欺诈、API接口攻击、终端环境异常、敏感数据异常访问等风险，有效地支撑了全行业务安全高效地开放。
体系在后续银行数字化转型过程中的应用前景展望
2021年3月，国家正式发布的《中华人民共和国国民经济和社会发展第十四个五年规划和2035年远景目标纲要》的第五篇专门阐述了数字化转型的内涵和对数字化发展的各方面要求。中国人民银行2021年12月也发布了《金融科技发展规划（2022—2025年）》，对金融机构数字化转型提出了具体的指导要求。以这些文件为纲领，金融机构未来将会陆续进入数字化转型的关键阶段，数字化的金融创新服务将深入各行各业及人民日常生活场景中，银行各类业务将会持续地对外开放与融合。
民生银行基于零信任安全架构建设的企业级安全访问控制体系，为业务系统提供了一个安全可靠的外部访问环境，满足了银行在开放业务和非驻场外包场景下安全访问内部资源的需求。同时，该体系实施便捷，对现网无影响，云端虚拟操作环境资源可按需动态分配，实现了业务开放效能、成本投入和安全合规的三重平衡，为金融同业提供了可参考的实践路径，助力银行业数字化转型安全开展。
声明：本文来自金融电子化，版权归作者所有。文章内容仅代表作者独立观点，不代表GetTrust立场，转载目的在于传递更多信息。如有侵权，请联系删除。
相关推荐: 2022年5个最适合开发者以及3个应该避免使用的WordPress插件
首先这里提到了一个数据：仅仅通过WordPress就有超过54,000个插件可供下载，因此在众多插件中选择最适合的一款是具有挑战性的。此外，一些错误或兼容性问题还是会出现在各种插件上。下面美国主机商Bluehost为您介绍2022年5个最适合开发者以及3个应该…