風險敞口放大、攻防態勢變化 數字時代如何保護金融安全？
隨著數字時代的到來，數據安全、網絡安全成為嚴峻議題。
面對日趨升級的安全威脅，企業應如何順應變化構建創新穩固的金融安全防線，滿足合規及國產升級的需求，保障金融產品的性能穩定及金融服務的高質量增長？近日，在2024騰訊云首屆金融安全峰會上，業內專家圍繞上述問題分享了最新的發現和思考。
業務線上轉移，金融行業安全挑戰重重
金融行業作為數字化、智能化和信創的排頭兵，隨著數智化升級的加速，越來越多業務依靠互聯網完成，大量新技術、新業務的發展，帶來了更復雜的IT架構和快速增長的攻擊面。
總體來看，APT攻擊成為網絡空間社會影響最廣、防御難度最高的突出風險源。APT攻擊即高級可持續威脅攻擊，指某組織對特定對象展開的持續有效的攻擊活動。攻擊目標通常是政府機構、金融行業等具有高價值的公司，主要目的是竊取情報、破壞關鍵基礎設施。
中國信通院云計算與大數據研究所所長何寶宏在會上表示，金融用戶持續增加，用戶的支付數據、個人身份信息，交易記錄等等，安全保護面臨著前所未有的新的挑戰。“比如今年10月份金融用戶大量的通信信息被泄露的問題，1月份的時候金融公司的網絡遭到攻擊130萬客戶數據泄露等等，我們的數字金融，云端金融還是存在一些短板。”
安全水位升高，攻防態勢風云變幻
騰訊安全副總裁、玄武實驗室負責人于旸表示，從攻擊的視角來看，隨著攻防演練不斷開展，大家對安全了解得越來越深入。安全水位不斷提高，容易被發現的漏洞基本上被發現完畢，漏洞挖掘的難度增加，所以漏洞挖掘的目標也隨著攻防的發展也在不斷變化。
“金融行業在所有的行業里面，安全水位是比較高的，大家的安全在所有行業里其實是算比較好的。最近這些年的攻防演練里面，我們還是能看到有一些公司是能夠被攻破的。”于旸在指出金融行業安全建設的特點后分享了常見的攻擊威脅類型。
一是迂回攻擊、曲線攻擊。“通常攻擊者一看到是金融行業的目標，不會去硬碰硬，他知道這個非常困難。所以是迂回攻擊，從小銀行攻入金融城域網，從金融城域網再打大行，這就是種迂回的思路的體現。”
二是從海外的分支機構入侵。“目前大家用了一些在安全上還不太成熟的SaaS和私有化產品，這些產品本身給系統引入了一些新的安全風險，我們看到的一些辦公軟件、遠程桌面、中間件等等，有很多的威脅是由于這些引入的。”于旸解釋稱。
第三種類型則是通過供應鏈通路、數據托管、權限委托等方面形成突破口，被突破之后則會威脅到金融行業的數字資產。
安全觀念更新，從治已病到治未病
騰訊安全副總經理、云鼎實驗室專家李濱對界面新聞記者解釋了安全領域中理論上已病和未病的差別和聯系：我們在現實生活當中看到有已病的問題，也有未知的問題，實際的工作當中這兩者也是交疊的。我們說的未病，其實是已病的問題在發展過程當中，因為攻擊有持續性，有步驟，有不同的難度。所以說很多未病會有已病的表征先出來。
他表示，2023年騰訊安全提出“數字安全免疫力”模型。數字安全免疫力以更積極、主動的安全觀，用“治未病”的思路替代“治已病”，前置預判、及時響應處置安全風險，才能維護品牌價值、保障健康發展。
騰訊金融云副總經理王豐輝對界面新聞記者表示，因為金融機構是一個嚴監管的狀態，所以有政策以及合規的驅動，在原來攻擊沒有那么多的情況下，會更多關注流程，關注各個節點是否有部署。但監管也是不斷迭代和變化的，從今年的安全演練的政策來看就帶有一定要打破以前運動式的被動防御，要實現安全應急響應的常態化。“現在就是采用以風險為導向，以結果為度量的積極主動的安全策略。”王豐輝總結。
相關文章
最新評論