金融是國民經(jīng)濟(jì)的命脈，其安全性、穩(wěn)定性將直接關(guān)系到社會生產(chǎn)生活能否有序運行，可以說，信息安全是金融行業(yè)發(fā)展的生命線。12月19日，由深圳市金融科技協(xié)會主辦的灣區(qū)金科（FinTech）沙龍（第六十八期）——信息安全專場圓滿舉辦，來自廣州、上海等全國各地金融機(jī)構(gòu)、金融科技企業(yè)代表逾80人參加了這場年度收官沙龍，共同帶來一場聚焦信息安全新未來的粵港澳大灣區(qū)盛典。
深圳市金融科技協(xié)會網(wǎng)絡(luò)與信息安全專委會主任委員、招商銀行總行信息技術(shù)部副總經(jīng)理賈俊剛出席活動，鵬華基金信息安全主管許榮達(dá)、國投證券科技管理部安全總監(jiān)李維春、騰訊云安全總經(jīng)理蘇建東、招商銀行總行信息技術(shù)部高級安全專家崔曦文、平安銀行金融科技部安全運營負(fù)責(zé)人吳永佳等5位行業(yè)資深專家分別在會上作主題分享。
騰訊云安全總經(jīng)理蘇建東帶來了“攻防演練新常態(tài)，安全運營新趨勢”的分享。騰訊安全專家指出，隨著攻防演練的常態(tài)化開展，攻防演練中的TOP攻擊技戰(zhàn)法不斷演變，對攻防兩端都產(chǎn)生了深遠(yuǎn)影響。為了應(yīng)對這一挑戰(zhàn)，企業(yè)需要構(gòu)建高度自動化、敏捷響應(yīng)的安全運營體系。通過漏洞情報結(jié)合暴露面管理，進(jìn)行持續(xù)威脅暴露檢測，在攻擊方前面發(fā)現(xiàn)并解決問題，實現(xiàn)從“治已病”到“治未病”的轉(zhuǎn)變；通過專家人工驗證結(jié)合系統(tǒng)自動化驗證，進(jìn)行持續(xù)的安全防御體系有效性驗證，從而發(fā)現(xiàn)潛在的安全隱患。同時，安全運營自動化平臺的建設(shè)也至關(guān)重要，它能夠提供數(shù)據(jù)驅(qū)動的自動化運營，實現(xiàn)安全事件的快速響應(yīng)和恢復(fù)。此外，隨著身份安全對抗的日益加劇，多因素認(rèn)證、零信任訪問和UEBA也越來越重要。
騰訊云安全總經(jīng)理蘇建東
鵬華基金信息安全主管許榮達(dá)分享了金融行業(yè)攻防演練態(tài)勢及防守思路。在攻防演習(xí)中，金融機(jī)構(gòu)暴露出了諸多安全短板，如互聯(lián)網(wǎng)暴露面難以收斂、漏洞管理不足、安全防御能力存在短板以及防守人員不足、協(xié)同防御難度大等問題。針對這些挑戰(zhàn)，他提出了核心防守策略，包括樹立合理的網(wǎng)絡(luò)安全觀、實現(xiàn)互聯(lián)網(wǎng)暴露面最小化收斂、加強社工攻擊風(fēng)險防范、持續(xù)完善縱深防御體系等。在數(shù)據(jù)安全防護(hù)方面，他提出了明確接口、應(yīng)用差異化保護(hù)、建立API防護(hù)多道防線等策略。在常態(tài)化安全運營建設(shè)的策略上，包括實現(xiàn)攻擊預(yù)警、威脅情報、安全通告多維的三級聯(lián)防聯(lián)控機(jī)制，并協(xié)同工作，強化安全防御能力。
鵬華基金信息安全主管許榮達(dá)
國投證券科技管理部安全總監(jiān)李維春則以“常態(tài)化演練下的網(wǎng)絡(luò)安全工作思路”為題，探討了在當(dāng)前經(jīng)濟(jì)形勢下，如何平衡網(wǎng)絡(luò)安全投入與效益，實現(xiàn)網(wǎng)絡(luò)安全的轉(zhuǎn)型升級。攻防、竊取、泄露在網(wǎng)絡(luò)安全領(lǐng)域本就是常態(tài)，因此，必須建立相應(yīng)的防守和應(yīng)對機(jī)制，化危為機(jī)。他指出，企業(yè)應(yīng)強化基礎(chǔ)安全能力，包括資產(chǎn)管理和漏洞修復(fù)，同時加強終端納管范圍基線、生產(chǎn)環(huán)境基線以及訪問控制。他特別提到了集權(quán)系統(tǒng)和敏感數(shù)據(jù)的檢測響應(yīng)能力，如XDR、SOC、NTA等安全工具的應(yīng)用。他還分享了國投證券在網(wǎng)絡(luò)安全工作中的實踐經(jīng)驗，如通過運營自動化工具提高效率，利用新工具新服務(wù)提升安全質(zhì)量，并通過一個方案同時解決多個場景問題的方式，提高安全工作的價值。
國投證券科技管理部安全總監(jiān)李維春
招商銀行總行信息技術(shù)部高級安全專家崔曦文分享了“招商銀行云原生安全建設(shè)實踐”，詳細(xì)介紹了招商銀行在云原生安全建設(shè)方面的探索和實踐經(jīng)驗。招商銀行近期在其云原生環(huán)境中加強了安全建設(shè)實踐，致力于構(gòu)建一套全方位的防護(hù)體系。該體系涵蓋了云應(yīng)用與云平臺兩大層面，通過實施安全左移、全生命周期管理、縱深防御及持續(xù)審計等措施，全面提升了安全運營能力。在云應(yīng)用安全方面，招商銀行注重鏡像防護(hù)、應(yīng)用防護(hù)及容器防護(hù)，確保從開發(fā)到運行的每個環(huán)節(jié)都符合安全標(biāo)準(zhǔn)。同時，云平臺安全建設(shè)則聚焦于基線審計、權(quán)限管理及資源配置等方面，以降低安全風(fēng)險。此外，招商銀行還計劃引入大模型在云安全運營中的場景設(shè)計，以進(jìn)一步提升其安全防護(hù)能力。
招商銀行總行信息技術(shù)部高級安全專家崔曦文
平安銀行金融科技部安全運營負(fù)責(zé)人吳永佳以“多重驗證機(jī)制助力安全運營閉環(huán)實踐”為題，探討了多重驗證機(jī)制在安全運營中的重要性及其在實際應(yīng)用中的效果。針對安全運營問題，平安銀行建立了多重安全有效性驗證機(jī)制，通過內(nèi)部藍(lán)軍常態(tài)化開展以各場景失陷為前提的安全驗證，驗證練習(xí)防守方縱深防御有效性以及快速應(yīng)急能力。同時每年聯(lián)合外部安全廠商開展攻防演習(xí)，以及發(fā)布漏洞懸賞任務(wù)不斷發(fā)現(xiàn)未知風(fēng)險。平安銀行還打造了自動化檢驗?zāi)芰�，將日常�?nèi)外部藍(lán)軍攻擊過程所使用的工具手法轉(zhuǎn)化為自動化的安全檢驗?zāi)芰�，常態(tài)化驗證對象包括告警策略，網(wǎng)絡(luò)策略、安全事件、以及各失陷場景，對工程化全自動長期運行的安全驗證能力進(jìn)行了可視化、可度量的優(yōu)化，實時監(jiān)控安全產(chǎn)品的運行，并定期驗證安全能力，確保整套安全縱深防御體系運營機(jī)制在出現(xiàn)異常時能第一時間感知。最后介紹借助自動化運維監(jiān)測能力，監(jiān)控主機(jī)指標(biāo)、數(shù)據(jù)庫指標(biāo)、應(yīng)用指標(biāo)、大數(shù)據(jù)等指標(biāo)來進(jìn)一步保障安全特殊系統(tǒng)的業(yè)務(wù)連續(xù)性，在多重持續(xù)檢驗循環(huán)往復(fù)的機(jī)制下，不斷提升安全水位。
平安銀行金融科技部安全運營負(fù)責(zé)人吳永佳
