文 / 中国建设银行金融科技部副总经理 郭汉利
回顾近20年的发展历程，建行信息安全工作持续开拓进取、与时俱进，创新提出安全即服务发展理念，并基于该理念，改变传统木桶式安全架构体系，设计实现了多层水闸式智能灵活的安全架构体系，实现安全技术体系从功能型到智慧型、灵活型、主动型转变，有力支撑了全行业务发展，在保障客户资金安全和信息安全的同时，提供了良好的客户体验。
智慧安全保障体系建设思路
建行基于对金融科技创新、数字、开放、协作特点的深入分析和网络安全形势的判断，意识到金融安全发展趋势集中在三个方面，一是无感体验是未来银行的主要特征，安全与用户无感体验的平衡是未来趋势。二是线上线下一体化协同的数字化全渠道威胁将愈演愈烈，跨渠道的攻击将是未来趋势，企业级、全渠道的安全策略动态快速调整势在必行。三是单纯的安全产品或不同安全产品的简单堆砌已不足以应对威胁，灵活可定制的安全服务才是未来安全的发展趋势。为此，建行依托新一代核心系统建设的契机，从安全架构顶层设计入手，充分结合金融科技应用场景，坚持安全与用户无感体验并重，树立并践行安全即服务理念，充分运用威胁情报、大数据分析、智能风控、生物特征识别等技术，建立纵深多层水闸式的防控体系，可实时、动态调整安全防护策略，做到信息安全智慧防控。具体建设中遵循如下原则。
降低业务风险：建设灵活、可配置的安全服务，全面支撑业务未来创新和快速发展需要，减少新型业务产品安全风险。以电子渠道交易风险为切入点，加强风险监控，在客户交易行为、客户属性、商户属性等方面明确防控规则，保障资金交易安全。以推进信息资产集中管控为突破点，解决客户敏感信息泄露风险，全面提升数据安全管控能力，实现数据安全管理的全生命周期覆盖，保障客户信息资产安全。
提升用户体验：以客户为中心、以业务场景安全舒适体验为重点，实现透明、一站式的用户登录服务，提高用户体验和粘度。平衡安全与用户体验，以客户风险等级为基础采取针对性的安全防护措施，提供差异化的安全服务。平衡安全与服务效率，保证业务服务高效的同时提供完备适当的安全服务，实现风险控制与业务发展价值最大化。
强化企业级架构管控：通过制订完备、有效、精细、流程清晰的安全策略管理机制，强化企业级安全管控能力。针对客户、渠道、产品制订安全策略，明确各种业务场景的安全模式。建设统一、标准、独立的安全架构技术组件，集中为上层应用提供完备的安全服务。
企业级安全架构体系的构建
基于安全即服务设计理念，建行构建了企业级安全架构体系。该体系采用面向服务架构、云计算、组件化、可视化开发等技术，将安全功能从应用中解耦，实现安全功能的组件化、标准化和参数化，形成以客户认证、密码服务、安全监控、安全策略管理等7大安全组件为核心、290余个安全服务为代表的安全功能库。所有安全功能由策略管理中心动态调配，可依据所面临的风险，智能匹配适用的安全策略，启动相应的安全功能，从而灵活应对已知和未知威胁带来的风险。企业级安全架构平台有力支撑了建设银行信息系统的安全运行、客户信息安全及资金安全保障（见图1）。
1.建立智慧型、主动式交易风控体系，保障客户资金安全。依托新一代企业级安全架构体系，建行实现了网上交易风险管控由传统的被动式应对到主动式防控的转变，建立了智能化网络风险防控体系。首先通过对各个渠道的历史交易数据、历史安全事件和互联网上发生的信息泄露事件进行梳理分析和数据搜集、挖掘，形成客户账户分级模型；然后将账户分级模型加载到安全策略管理中心，由安全策略管理中心根据账户分级动态调整各个安全服务，同时配合安全监控组件对各个渠道的业务交易进行全方位、全流程的交易监控，基于差异化的交易风险安全策略库，运用智能的关联分析、风险估值等手段，预警交易中的潜在风险，并联动自动化的应对机制和人工客服参与等处置措施，完成风险交易智能化处理，在风险交易尚未导致客户资金损失前进行处置，做到事前和事中控制风险。近三年，建设银行智能风控体系主动识别、拦截和处置网络金融渠道风险交易累计8.4万笔，避免客户资金损失5.2亿元，为打造网络安全交易环境、保障客户资金账务安全发挥了显著作用。
2.积极应用安全新技术，以安全创新促金融创新。金融科技快速发展的同时，也涌现出越来越多的安全新技术。为不断丰富安全服务和功能，有力支持业务创新，建设银行持续开展手机盾、生物特征等安全新技术的研究与应用，并根据交易环境和风险评估情况实施智慧认证，进一步提升用户体验。一是在业内率先与手机厂商合作进行手机盾的研究与应用，实现客户私钥在手机安全芯片中生成且不可导出，手机提供的TEE可信环境独占手机显示屏，智能反显交易签名，确保所见即所签，达到与二代网银盾相同的安全级别。同时，手机盾在线即可完成签约和激活，存放于手机芯片中，无需额外硬件，大大提高了易用性。二是积极开展生物特征识别技术的研究与应用，先后完成指纹、声纹、人脸等识别技术的应用与投产，其中手机银行指纹认证在3.3亿手机银行客户全面推广，人脸识别在全国10万台ATM设备支持刷脸取款，手机银行声纹认证有210万客户主动开启使用。三是基于丰富的认证措施及各认证措施易用性情况，推出智慧认证服务功能，根据客户的交易位置、交易设备、交易金额等要素对当前的交易风险进行评估，对于高风险交易增加认证措施，对于中风险交易，保持认证措施，对于低风险交易减免认证措施，在提升用户体验的同时，防控交易风险。
3.建立了全面灵活的网络安全防护体系。基于企业级安全架构和安全组件，建行建立了网络安全防护体系，在全行信息资产的端末、网络、系统、应用等统一部署可定制化的安全服务，通过安全策略管理中心集中管理、动态调整、全面防御，形成企业级安全防控的合力。
信息安全建设成效显著
一是构建了安全即服务的企业级安全架构。建设银行率先在业界提出了商业银行新一代安全的概念和架构模型，并在架构模型的基础上完成了建行企业级安全架构的建设工作，将安全功能从应用中解耦，实现安全功能的组件化、标准化、专业化开发；面向所有安全场景和对象，建立全面、集中、灵活、智能的安全架构；实现了安全即服务业界领先的安全服务体系，统一向应用系统提供高效、可靠、面向服务的安全机制。
二是探索了一条安全与用户体验平衡的道路。在企业级安全架构下创新构建一套针对数字化全渠道交易风险的主动管控体系。通过安全监控和大数据挖掘，建立针对不同客户群体的客户交易行为监控策略，将客户交易行为与安全管控策略进行匹配分析，并结合自动化的监控、预警、应急措施和工具，形成主动式的渠道交易风险管控模式，引领业界渠道交易风险管控体系的改革与创新。
三是建立了全面防御、主动防范、智慧风控的安全运营体系，坚定不移朝着实战化、体系化、常态化方向发展。通过全行一体化安全监控、应急响应、分析溯源、漏洞管理等，实现了实时监控安全运营态势，及时响应并处置网络攻击和漏洞威胁；通过情报共享和行业联防联控，提升安全防控的快速性，通过真演实练的红蓝对抗，不断检验并优化提升安全保障能力。始终坚持安全创新与业务创新双轮驱动，致力于为行业安全、国家安全发展贡献建行经验，为金融生态安全繁荣贡献力量。
