银行数字化转型下信息科技安全及合规风险治理体系及治理能力的重塑

贾凯

（平安银行股份有限公司总行科技管理部，上海 200120）

0.引言

近年来，银行业纷纷开启数字化转型构建了以开放银行、数字银行为经营战略的科技设施，深刻改变了传统业务的经营模式。在信息科技安全风险中，银行数据及客户资产具有更强的隐私性及更强的敏感性的特点，科技安全风险显著提升，构建一套保障数字化转型的信息科技安全治理体系尤为迫切。

1.科技安全风险治理的趋势及挑战

1.1 数字化转型趋势

移动互联网、大数据、生物识别、云计算等创新技术有力支撑了银行数据化转型的快速发展。银行业底层的技术架构也发生了根本性的变化，开放银行下与各科技伙伴公司的API对接更加纷繁复杂，业务边界愈加模糊，风险暴露面扩大，移动互联网下用户信息的各类沉淀越来越丰富，数据的交叉共享，给个人信息隐私保护带来了更多风险。生物识别等新技术使用的同时，安全保障技术参差不齐，这些改变从根本上给科技安全风险治理带来新的难点。

1.2 科技安全风险治理面临5大方面的挑战

线上银行、生态银行、智能银行的趋势发展下，高并发、高性能、高扩展成为银行科技架构的重点建设工作，科技团队的规模也迅速扩大，安全风险治理工作面临5大方面的变化。

1.2.1 科技人员规模

随着各大银行在数字化转型程度的不断加深，科技人员的比重在组织内得到大幅提升。如此规模的科技团队对传统银行的风险治理模式也造成冲击。第一，较大占比的科技人员都来源于科技公司，科技公司与银行在对安全风险的关注度及容忍度上存在较大差异，前者在对技术安全风险及操作行为风险方面上难以跟上银行机构在风险管理上的要求。第二，随着敏捷研发模式的推进，在组织架构上，业务人员与科技人员的融合更为紧密，边界更加模糊，带来了新的风险暴露面。第三，在研发效率，需求迭代上越来越迅速，人员规模与敏捷研发的融合都给安全治理难度带来了指数级的提升，传统的安全治理工作模式面临巨大挑战[2]。

1.2.2 新技术发展

生物识别、开放银行、大数据等技术的推进应用促进了业务的高速发展，同时各个主题方间更加紧密的连接也为安全治理带来更严峻的挑战。（1）生物识别领域使身份认证更加便利，但不同技术实现方在认证上的安全措施参差不齐，给攻击者带去了新的攻击点，Deepfake等结合了AI算法的人脸伪造技术给人脸识别的应用带来风险。（2）开放银行让金融服务无处不在的理念使银行服务融入各类互联网场景中，海量的API在不同场景下的融合，在接口鉴权、边界防护、数据反爬、业务全链路的欺诈防护上带来了系统性安全防控的挑战。（3）业务合作信息共享下数据利用的充足率提升，机器完成各种活动更加节省经营成本，同时，数据使用的敞口扩大，3级或4级等合作机构主动参与欺诈活动，滥用数据，给数据及欺诈风险的延伸管理上带来更大的难度[3]。

1.2.3 研发模式

敏捷研发模式替换了传统瀑布式的研发流程，一方面在高速迭代的场景下，传统基于人力的安全保障机制难以应对适应新时期的迭代速度，每次需求的变更如何确保安全及合规成为生产研发必须要关注的生命线。另一方面在生态化战略下，银行不在是业务流程中的孤岛，业务流程常常跨越多家科技公司，更需要系统化全局的来做好安全管控。

1.2.4 治理纬度

数字化转型下面临的安全风险是多方位的，随着不法分子在窃取用户信息，盗取用户资产的科技含量不断升级，同时银行与各合作方面临的不同监管要求，对安全及风险理解和接受度不一致。涉及的安全风险管理领域不断扩展，有传统的技术安全风险、组织不断扩大的人员操作风险、合规风险等，面临更多领域的安全风险治理挑战。从整体经营视角来看，治理纬度根本上分为”人与工具”两大纬度的风险。

1.2.5 治理模式演化

随着科技转型的深化，科技安全风险正逐渐受到监管部门越来越高的重视，未来还将面临更多安全风险类的治理的新要求及新挑战，将变得更加精细化及多元化，这就要求银行需要从纯依靠制度检查的管理模式转化为管理和治理2个方向相结合的管控思路，转换为科技手段治理为主结合人力治理并行的治理模式[4]。

2.构建系统性的科技安全风险治理体系

科技基础设施是开展金融科技的基本保障，科技的基础设施建设至关重要，科技风险治理的效率取决于基础设施建设的水平，在生产迭代中需构建研发生产全生命周期的安全风险治理体系，将安全风险的感知能力贯穿整个生产过程，构建出科技空间中的各个角色、各个应用系统及使用用户的安全画像[5]。以风险治理为导向，科技活动中面临多方面的挑战。

2.1 传统研发安全风险

基于研发设计不当导致的各类传统软件安全漏洞，这些安全漏洞对银行业资金及客户数据及业务的稳定运营造成巨大的安全隐患。

2.1.1 开源及软件供应链安全风险

一方面，当下开源技术得到快速发展，大量的开源项目被引用到业务系统中，然而因其本身具有的开放、共建、自由传播等特性，各类安全漏洞也同时被引入软件供应链，另一方面，在整套新系统的引入上，供应商自身的安全意识和技术水平不足也随之产生各类安全风险，而由于商务合作、设计架构与银行自身科技架构的差异，后期维护成本等因素上的影响，也给安全风险修复带来不小的阻碍。

2.1.2 新技术应用的安全风险

人脸、指纹等生物识别方式实现上因安全技术参差不齐给软件供应链带来新的安全隐患。

2.1.3 数据安全风险

数据安全法已于近期实施，在开放银行、数据经营的理念下，基于金融生态下业务合作使得数据的流向越来越广泛，而针对数据本身采集至共享交换等数据生命周期场景下，对数据的滥用及整体数据安全管理上的缺失也将导致更多的数据安全风险。

2.1.4 人员操作及各类合规风险

随着人员规模的增长，在数据安全管控等纬度面临的内部员工各类操作行为的风险显著增加，同时监管对银行信息科技风险治理要求也在不断提升。

建设安全治理基础设施，贯彻管理加治理联动的管控体系。

（1）从运动式检查转向长效化管控。随着银行科技架构转向互联网统一标准化，基础架构的完善也为科技安全风险治理的基础设施搭建打下坚实的基础，通过从各个公共基础部门获取业务系统的各个层面的运行属性，构建起覆盖业务系统各属性的全流程监测体系，促进从运动式检查到长效化管控的治理闭环[6]。

（2）由从被动治理转为主动发现。通过科技风险治理的基础设施搭建，建立覆盖业务系统的上下游各关联方的风险监测机制，推进风险治理由基于事件型的被动应对到伴随生产运行全过程的风险主动感知能力的转变。

2.2 组织建设

建设完善的科技安全及合规风险治理体系，首先要根据当前机构下信息化建设的程度及进展及面向科技风险治理的总体需求及目标方针（见图1），逐步建设好专职科技风险治理的组织架构，需要逐步配备相应的科技风险专职管理人员，将安全风险管理职责、合规管理职责落实到位[7]。

图1 信息科技安全风险治理体系示意

2.3 制度建设

（1）面向现有的实际运行情况逐步完善科技风险治理的制度体系，通过人与工具的能力对制度的落实执行检查，提升科技风险治理的能力。

（2）根据在实际运行过程中各项指标的分析检查各项治理工作的执行结果，与制度进行对比分析，检查各项制度的完备性，总结制度与实际运行中存在的问题。

（3）通过不断的运营分析及问题总结，对制度不断完善加以改进，形成建立-实施-监测-持续改进的闭环流程，形成更完善的制度体系。

2.4 运行管理

（1）依据各类风险治理事件的重要及紧急程度，制定相应的处置流程，包含各处置环节，超时告警、例外审批等，通过对流程执行的各纬度数据分析，如处置时长、中高风险个数等数据累积，关联已有的指标分析，管控各类事件的处置，使风险得到应有的处置管理。

（2）依据各类风险治理事件逐步建设起各类风险运行指标，制定周期性的指标检视会议机制，持续监测各类运营指标。

（3）通过对各类指标的分析给出各个机构及组织的风险指标排名，并在周期性的检视机制中分析原因并针对性的制定解决办法，跟进落实，持续提升。

（4）依据指标数据，制定相应管理规则，对科技及业务各条线人员制定相应的积分考核体系，在正向激励方面，依据风险积分进行表彰，在绩效考核上给予奖励，在反向惩戒方面对积分异常人员组织培训，提升风险重视程度及能力，在不符合安全意识或安全能力的情况下，应禁止参与生产系统的研发及运营，同时依据风险积分在绩效考核给予惩戒。

（5）通过指标体系的建立，并在持续运营过程中周期性的分析检视，找出关键及重点问题，制定相应的解决办法，通过指标的数据分析对组织人员制定奖惩举措，持续地提升人员的安全及合规风险意识，形成不断完善的运行管理流程。

2.4.1 风险处置流程

风险及事件处置流程。无论是合规或者风险的处置必须基于流程化、规范化、可视化的原则，各类风险及事件也应根据内部相应的处置要求、相关职能分工完成各类事件的闭环处置工作，各类流程也应由全线上化系统性的强制管控来完成，如图2所示。

图2 一般风险事件处置流程

2.4.2 研发安全管理流程

基于研发安全风险管控的目的，业内企业大多建设了“S-SDLC”的研发安全管理流程（见图3），该流程通过专职安全人员参与到研发周期，通过从需求到发布的全过程安全管控措施解决了软件研发过程中的安全风险，有效地保障了软件的安全性。

图3 S-SDLC研发安全生命周期

2.5 规则模型

各类监测规则模型要依据各类科技风险的治理要求来制定，同时规则是检测能力的体现，要基于各类的检测能力进行制定编写，在此列举3类风险规则的应用场景。

2.5.1 人员操作风险

在人员操作风险的检测中，通过对各业务系统的关键敏感信息接口的采集，建设涉敏及关键业务接口数据库，设立异常操作的监测规则，通过对流量及业务系统中的各类埋点数据的分析消化产生各类异常事件，同步至风险处置系统中进行相关流程的跟进解决，同时通过对外部事件及内部事件的分析，提取监测规则，在日常的运营中持续完善，不断提升监测能力。

监测规则一般包含IP聚集、设备画像聚集、高频访问、异常时段、高敏金融数据采集下载等。

2.5.2 开源软件风险

通过与入侵检测系统HIDS、包库管理等运维架构基础设施的对接建立开源软件清单，构建业务系统与涉及的开源软件之间的对应关系，建设软件依赖成分的资产数据库，在应用于架构服务治理的同时应用于科技安全风险治理工作。

在存量风险治理上，面对互联网暴露的各类开源软件漏洞，及时拉取受影响的业务系统，按照标准治理流程加以解决。

在增量风险的治理上，设立开源软件评审组织，对引入的开源软件进行安全审查，在生产研发过程中通过包管理工具对涉及开源软件执行扫描，结果数据同步至流程跟进系统中，管控增量引入。

对应的规则包含了历史上开源软件暴露出的各类安全及合规问题及当下的行业内及各类监管部门通报的规则。

2.5.3 其他合规风险

通过对流量、应用运行产生的各类数据的分析扫描对合规风险进行检测。规则一般包含个人信息保护与信息采集授权、敏感信息处理、应用的发布、上线及下线的流程合规性要求、岗位权限及授权异动、数据治理等相关的合规性要求。

2.5.4 能力建设

基础安全监测能力建设是实现大规模科技风险治理的基础，通过与基础架构及运营部门的联动采集各类业务系统运行数据，建设成为覆盖业务系统上下游的系统性安全风险治理的基础设施，以下列举4类基础安全风险检测能力的建设思路。

2.5.5 S-SDLC（软件安全开发生命周期）与DevOps结合的安全风险管控流程

通过将安全活动嵌入至研发流程，配备安全运营人员全流程跟进研发生命周期，在面向新技术的使用上，由专业的安全运营人员对涉及新技术进行专项研究，并形成安全风险检测规则，在人工及工具2个层面覆盖全部业务系统上线前的安全检测，如图4所示。

图4 结合了S-SDLC的DevOps研发流程

2.5.6 流量分析及安全扫描系统

在图5基于IDC机房网关的流量镜像（测试区流量镜像），同时可包含其他多种渠道的数据源，采集业务人员及科技研发过程中的操作流量，对流量进行解析后，即可对涉及的数据进行消费分析，主要分为3方面的风险处置：

图5 集中流量分析式的动态安全漏洞扫描系统

（1）涉及操作风险治理场景下包含内部员工异常操作行为监测、业务系统敏感信息屏蔽监测、异常批量敏感数据下载监测、重要系统异常操作行为监测等。

（2）在涉及安全技术风险监测场景下，通过对测试区流量进行分析扫描，从而持续性地执行各类安全漏洞探测发现。

（3）在入侵监测场景下，通过分析流量入口的关键词进而对可疑的攻击行为进行监测处置。

2.5.7 源代码扫描系统

在存量扫描上，周期性拉取代码仓库代码执行全量代码扫描，同步至风险治理系统进行跟进（见图6）。在增量扫描上，嵌入软件开发周期，每次构建提交执行增量扫描，与客户端编码插件联动，将结果反馈至客户端编码插件，前置修复，风险事项提交至研发单位修复风险隐患，在发布进行版本卡点，确保版本中的问题得到彻底解决。

图6 源代码安全扫描流程示意

2.5.8 交互式安全风险检测系统

图7为获取业务系统上部署的APM检测工具上的应用埋点数据（应用在生产上的运行过程数据，取决于是否部署基于字节码技术的APM监测工具）对安全检测相关的数据进行分析，基于安全及合规检测规则发现安全及合规风险，并将数据同步至跟进系统中完成处置闭环。

图7 结合了内部APM监测平台基于字节码技术的漏洞检测过程

3.未来安全风险治理发展趋势

银行业的科技风险治理正处于一个关键的背景下，一方面行业内各个单位的安全风险治理能力已经得到较大幅度的提升。另一方面当下信创产业正蓬勃发展，银行业作为经济发展的重要基础设施，将作为国产化、信创的优先推进方向。在新一轮科技浪潮中面临的各类安全及合规风险挑战愈发扩大，安全及合规风险得到监管层面更高的重视。

3.1 数据安全风险及相应的治理能力持续增强

随着开放银行、数据经营理念的深入推进，数据安全风险不断加大，金融用户数据采集、使用、传输、存储、共享等阶段的数据安全保护措施将是需要更高重视度的问题，基于隐私求交，联邦学习，多方安全计算的数据安全保护技术将成为行业重点应用方向。

3.2 金融云安全及合规风险进一步凸显

当下各大银行都已开启了自建私有云服务的进程，在满足自身科技转型后，将多余的计算资源开放给中小银行等金融机构，形成金融专有云模式。而在微服务、虚拟化发展的趋势下，安全性还是关注的要点。从研发模式上来看，需求的迭代将会越来越迅速，部署也越来越便捷，安全及合规方面的检测能力也需要适应各类的架构及部署模式。

3.3 供应链金融安全风险增大

供应链金融对产业创新发展发挥着越来越重要的作用，该业务基于各行业供应链上的核心企业的真实交易信息，整合信息及资金流，为行业上下游企业提供融资、结算、现金管理等综合金融服务。当下，物联网技术在供应链金融中也得到了广泛的应用，网络设备无处不在，金融与科技高度融合都加大了风险治理的难点。构建安全可控的供应链金融管理平台及各环节下业务系统的安全治理能力，将成为下阶段的重点安全关注工作[8]。

4.结语

当下，数字化深刻改变了传统银行的基础架构设施及业务模式，而同时面临的安全等科技风险也越来越严峻，在转型进程中既要注重科技与业务的融合，也要符合监管的要求，防范安全及合规风险。本文在此背景探讨了在安全及合规风险的治理工作上面临的挑战，从全局的科技风险治理角度给出了治理框架建议，分为总体需求及目标方针、组织建设、制度建设、运行管理、流程建设、规则模型、基础设施建设7个方面，总体目标是站在科技条线的视角管控人与工具2个纬度产生的各类安全风险。为数据化转型中的科技风险治理工作提出一套以风险为导向，覆盖面广、高自动化、高效的治理框架。最后对未来银行业面临的科技风险挑战做了分析。面对数字化的趋势，在拥抱科技的同时，要牢守科技安全及合规风险底线，构建一套全方位的安全及合规风险治理体系，主动应对挑战，才能向更高质量更高水平的数字化银行迈进。