如何应对黑灰产觊觎？金融机构数字安全面临新挑战，被动响应正逐渐转向主动防御

财联社12月8日讯（记者郭子硕）随着国内数字化进程加速，数字经济已成为国内经济发展的核心驱动力之一。然而，在金融数字业务创新拓展、服务效能提升的同时，安全风险亦呈升级态势，金融机构的数字安全面临新的考验。

腾讯云副总裁胡利明在本周的2024腾讯云金融安全峰会中介绍，数字安全已经越来越成为数字金融的底座工程，面对高危漏洞、复杂攻击、数据泄露甚至勒索问题等多重挑战，需要政府、科技企业、金融机构共同参与，形成合力，共同构建金融行业的数字安全屏障。

当前，金融行业的数字安全建设处于什么阶段，如何构建稳固的安全体系？对此，腾讯金融云副总经理王丰辉、腾讯安全副总经理李滨以及腾讯安全副总经理聂森就此接受了包括财联社记者在内的媒体采访，各方将共同探讨金融数字化转型中的安全应对之策，为金融行业安全稳定发展探寻方向。

金融机构安全建设应考虑“全栈”

“金融用户数量持续攀升，大量支付数据、个人身份信息及交易记录等持续产生，这些高价值的数据资产容易引发黑灰产觊觎，安全建设面临前所未有的新挑战。”中国信通院云计算与大数据研究所所长何宝宏指出。

李滨与聂森进一步表示，当前黑灰产利用大模型、人工智能技术伪造信息，对金融机构风控与业务系统发动攻击的趋势显著上升。同时，攻击者借助供应链渠道渗透的现象愈发常见，钓鱼攻击等传统手段亦难以防范，这些均成为金融机构安全防护的棘手难题。

“信息技术自主创新发展过程中的软件供应链安全，已成为年内监管重点关注领域，如攻防演练中提及的安全左移与可信组件源等关键问题。”王丰辉进一步解释，业务代码中若开源组件比例较高，一旦爆发漏洞影响将很大。另一方面，金融机构使用外包与第三方软件越多，也越可能存在安全漏洞引入风险，包括落实包括实时扫描、规范确立与贯彻等问题。

王丰辉指出，依据 “木桶原理”，金融机构安全水平取决于最短的安全短板，且自主创新过程中的安全并非单点问题，而是涵盖芯片、服务器、操作系统、数据库等多领域的全栈性挑战。

在金融机构实践上看，全栈层面的挑战也意味着更高的融合、衔接难度。李滨认为，由于安全涉及社会运营管理中所有的业务系统和基础设施，维度分散且复杂度高，不同技术间的连接和融合也存在阻碍。

“金融机构有大量的存量系统与数据，由于各方面的约束和限制，新旧系统在衔接到接入统一的安全体系都会遇到一系列问题，带来较大的安全建设阻碍。这些系统不能简单废除，所以安全架构如何保护、兼容旧系统与老资产成为关键。”李滨解释，越是大型机构做数据融合跟安全链接，越难处理系统衔接问题，包括兼容性、连通性的问题。

在此背景下，金融机构构建安全防线的关注点至关重要。王丰辉指出，金融机构需对自身安全资产实施精准分类分级管理，深入洞察网络边界薄弱环节，强化内部人员安全培训。常见的钓鱼邮件也是黑客的惯用手段。当外部难以突破时，黑客往往试图从内部人员入手。金融机构必须全方位查漏补缺，才能切实筑牢安全壁垒。

金融机构从被动响应转向主动防御

在监管要求与行业自身发展的双重驱动下，金融机构安全防护加速常态化，“治未病” 理念深入人心。

王丰辉在采访中透露，从今年的安全演练政策可以看出，监管在不断地迭代和变化，金融机构也从“被动防御”演变为以风险为导向、以结果为度量的“主动防御”策略。基于“假设损失”原则，假设攻击一定发生，如何把最优资源保护最有价值资产，以此推演防护框架和能力的规划和建设。

李滨认为，金融机构从被动响应向主动规划转型过程中，企业建设需构建安全攻防态势与防御体系的成熟度阶梯。一方面，综合检测难度、攻击规模、黑客攻击趋势等多维度因素，划分金融机构安全问题的等级；另一方面，甲方及管理者可设立能力成熟度表，依据设备产品、人员水平、安全治理流程等维度评定等级。当互联网攻击态势低于机构自身防御能力层级时，这可以帮助机构判断、有效过滤低等级攻击。

“从腾讯安全的实践经验来看，我们在与金融客户紧密协作过程中，通过红蓝对抗主动引入攻击者进行渗透测试，开展攻击面与暴露面管理工作，将资产梳理至前沿，力求在最早时间化解潜在攻击风险。”李滨补充。

聂森进一步指出，AI大模型也是金融机构当前提升安全能力的核心驱动力，比如处理数据的分类分级管控，安全事件的分析和过滤，威胁情报的辅助分析，以及在安全事件综合性方面等帮助很大。