中國網財經11月30日訊 日前,“2020北京國際金融安全論壇”在北京召開,我是中國信息通信研究院安全研究所副所長姜鼎在會上表示,大數據在金融的應用場景有風控、征信、反欺詐、量化投資等等,這些應用也帶來了新的安全風險,比如說大數據平臺成為了攻擊者重點關注的目標,多源數據的融合以及應用對數據管理安全防護技術以及隱私安全保護技術都提出了更高的要求。
姜鼎:尊敬的各位領導、各位嘉賓,大家下午好!我是中國信息通信研究院安全研究所的姜鼎,今天很榮幸參加北京國際金融安全論壇,代表我們團隊向大家匯報一下我們在金融科技安全上的一些研究成果。
我的分享分為四個部分,首先是介紹一下金融科技發展現狀和安全現狀,然后是分析一下金融科技的安全風險,接下來是介紹金融科技安全帶來的挑戰以及我們對金融科技安全發展的一些展望,最后簡單介紹一下中國信通院的金融科技安全實驗室。
大家都知道,金融是現代經濟的核心,是實體經濟的血脈。隨著金融科技的蓬勃發展,大數據、人工智能、區塊鏈等新一代的信息技術與金融業務深度融合,推動了金融行業的高質量發展。我們也看到了,金融科技不但可以推動金融的轉型升級、服務實體經濟、促進普惠金融的發展,而且也能為防范化解金融風險提供有利的武器。
我們先來看一下國外金融科技的發展情況。2018年以來,美國、英國、歐盟等國家和地區都高度重視金融科技的應用,陸續出臺了多項變革性的政策法規。此外從融資的情況來看,全球的金融科技產業增長迅猛,北美地區一直處于領先地位,亞洲的增長態勢顯著,金融科技發展進入了快車道。國內的金融科技發展也迎來了新的浪潮,央行發布了金融科技的發展規劃,開展了金融科技的應用試點,各地也相繼出臺了相關的產業扶植政策,國內的金融科技的融資規模呈現出增長的態勢,一些頭部的金融科技企業在全球也都處于領先的位置。
同時我們也看到,在2019年不同行業發生的重大網絡安全事件中,金融行業占比高達30%,成為網絡安全問題發生的重災區,在金融行業細分領域的網絡安全事件分布中我們看到,銀行業占比最高,高達28%。在金融科技優化金融服務效率、降低服務成本的同時,頻發的網絡安全事件也引發了公眾對金融科技安全的高度關注,這里是近兩年影響比較大、損失較為嚴重的幾個金融科技安全事件,包括日本加密貨幣交易所遭黑客攻擊,澳大利亞四大銀行斷網,美國第一資本金融公司遭黑客入侵,全球300多家銀行機構被木馬鎖定等等,都引起了全球的高度關注。
在這樣的背景下,近年來,央行先后出臺了一系列金融科技安全相關的政策法規,包括今年發布了做好個人金融信息保護技術管理工作的通知,要求開展金融科技應用風險專項摸排工作等等,還發布了一些金融數據安全、分布式賬本技術相關的標準規范,這都為金融科技的安全發展創造了良好的政策環境。
前面介紹了背景情況,下面我們來分析一下金融科技的安全風險情況。剛才也介紹到,由于金融具有天然的價值屬性,因此一直是網絡安全問題的重災區,我們分析金融科技的兩大主要風險是網絡安全風險和應用安全風險。金融科技的網絡安全風險就是傳統的公共互聯網的安全、移動互聯網的安全、數據安全等等,金融科技的應用安全風險則是大數據、人工智能、區塊鏈等技術在金融行業應用過程中引發的一些安全問題。下面我分別對這兩大風險為大家做一個介紹。
先看一下金融科技網絡安全風險。首先是隨著加密電子貨幣的興起以及個人信息和數據價值的逐漸顯現,DDoS攻擊、惡意軟件、勒索軟件等公共互聯網攻擊手段逐漸呈現出升溫的趨勢。
移動互聯網方面,越來越多的金融機構都使用App來開展相關的業務,也帶來了相應的安全隱患,在金融行業的表現尤為突出,我們今年上半年對29000多款金融行業的移動App做了一個安全觀測,總結了以下四類安全的風險。1、高危漏洞普遍存在;2、惡意程序問題嚴峻;3、使用第三方SDK引入安全風險;4、缺乏有效安全加固。這四大風險我就不一一展開了,大家感興趣的話,可以在信通院的官網或者是公眾號上下載我們的報告。
金融數據安全方面,我們對80家金融科技企業做了一個調研,這些企業的數據安全現狀也呈現出四大特點,分別是:網絡安全主體責任落實不嚴,對技術平臺安全能力高度依賴,大數據存儲安全、使用安全成為數據安全的關鍵,以及這些企業都對數據安全的關注程度有所提升。
剛才是介紹了金融科技的網絡安全,下面我為大家介紹一下金融科技的應用安全。首先人工智能在金融行業的智能投顧、智能風控、智能營銷等很多場景下都有不同程度的應用,在應用的過程當中也存在著一些安全問題亟待解決,比如數據污染的問題,隱私問題以及數據權屬的問題等。
大數據在金融的應用場景有風控、征信、反欺詐、量化投資等等,這些應用也帶來了新的安全風險,比如說大數據平臺成為了攻擊者重點關注的目標,多源數據的融合以及應用對數據管理安全防護技術以及隱私安全保護技術都提出了更高的要求。
區塊鏈憑借去中心化、公開透明、安全可靠和開放共識的特性也在金融行業有很多的應用,我們也看到超過90%的區塊鏈安全事件都集中在智能合約層、業務應用層,且造成很大的損失。
第三,金融科技安全帶來的挑戰以及展望。根據前面的一些研究情況,我們總結了金融科技安全目前發展存在的四個方面的挑戰。
1、業務安全風險外溢,隨著金融科技的應用,金融業務從隔離、孤立,到逐漸的深度互聯,原有的業務安全出現了傳播更快的特點,產生風險溢出效應。
2、網絡安全風險凸顯,因為不同金融機構的發展速度存在著不同,安全防護水平也參差不齊,木桶效應比較明顯。
3、安全產業生態不完善,因為金融科技的應用不斷催生了金融新產品、新業務、新模式等等,傳統的網絡安全產品以及服務難以滿足金融業務在具體場景中新技術應用的安全需求。
4、金融大數據風險嚴峻。因為數據資源作為數字經濟時代的關鍵生產要素,也逐漸成為新業態的核心競爭力,金融行業日益增長的數據融合應用的需求,對數據安全以及隱私保護都提出了新的挑戰。
針對這四點挑戰,我們對金融科技的安全發展也提了四點展望。
1、創新與安全監管統籌手段持續升級。利用穿透式的監管手段,加上監管沙箱等創新性手段的應用,將有效化解剛才提到的風險外溢。
2、網絡安全風險管控將持續增強。金融科技安全頂層設計的強化以及政策法規、標準規范陸續出臺,將為新技術創新應用提供法律保障及應用規范,同時工信、網信、公安等部門跟金融行業的監管部門之間的聯動將不斷加強,持續增強對網絡安全風險的管控。
3、金融科技安全產業生態持續優化。在國家大力發展金融科技大的政策背景下,安全企業、金融科技企業以及金融機構協同聯動程度將不斷加深,開展聯合攻關研究,為金融科技安全提供技術支撐。
4、隱私保護計算技術將持續落地。為了解決數據融合應用中的隱私和安全問題,以聯邦學習、安全多方計算為代表的隱私保護計算技術逐漸成熟,并將率先在金融領域實現大規模的場景和應用的落地。我們前不久也發布了隱私保護計算技術的研究報告,在12月份也將發布金融數據安全融合的一系列研究成果,敬請大家關注。
第四,我簡單介紹一下信通院的金融科技安全實驗室。
信通院與上海國際集團成立了一個金融科技安全實驗室,重點研究方向包括我剛才提到的金融科技的網絡安全、應用安全,以及網絡安全保險產品創新這三大方向。今天我們也跟北京金融安全產業園簽署了戰略協議,未來在金融安全方向上開展更多的合作,在此歡迎各位業界同仁與我們多多交流,一起合作,我的分享到此結束,謝謝大家。