金融行業(yè)網(wǎng)絡安全等級保護建設的必要性
網(wǎng)絡安全等級保護技術(shù)2.0版本（簡稱等保2.0）的正式公開發(fā)布，意味著等級保護正式進入2.0時代。除了基本要求外，等保2.0還增加了對云計算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等對象全覆蓋，更加注重全方位主動防御、動態(tài)防御、整體防控和精準防護。
對于金融機構(gòu)來說，監(jiān)管合規(guī)有著怎樣的標準？等保建設實施如何落地？
我們作為參與等保2.0三個標準（基本要求、測評要求、安全設計要求）起草的機構(gòu)，從行業(yè)實踐角度出發(fā)，梳理了2.0時代等級保護工作思路，旨在助力提升金融企業(yè)網(wǎng)絡安全防護能力和信息安全管理能力，合理規(guī)避風險。
“第二十一條國家實行網(wǎng)絡安全等級保護制度。網(wǎng)絡運營者應當按照網(wǎng)絡安全等級保護制度的要求，履行下列安全保護義務，保障網(wǎng)絡免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡數(shù)據(jù)泄露或者被竊取、篡改。”
金融領域的關(guān)鍵信息基礎設施是經(jīng)濟社會運行的神經(jīng)中樞，金融業(yè)是高度依賴信息技術(shù)的產(chǎn)業(yè)，金融業(yè)的高質(zhì)量發(fā)展離不開網(wǎng)絡和信息系統(tǒng)的安全穩(wěn)定運行。隨著新技術(shù)的持續(xù)迭代升級，未來金融機構(gòu)在業(yè)務、風控、運營、審計、人力等前中后臺場景都將進行智能化轉(zhuǎn)型，同時對信息安全、風險控制提出了更高的要求。
1、互聯(lián)網(wǎng)金融和移動互聯(lián)
2、云計算
3、物聯(lián)網(wǎng)金融
等級保護2.0落地實施整體思路
由于金融機構(gòu)業(yè)務對IT依賴度極高，安全要求也高，等保2.0也將重點保護人員、網(wǎng)絡、系統(tǒng)、數(shù)據(jù)等網(wǎng)絡空間體系的安全，思路從關(guān)注架構(gòu)安全、被動防御能力建設，發(fā)展為主動防御、動態(tài)防御、整體防控的精準防護能力。金融機構(gòu)在依據(jù)新的等級保護標準進行安全建設時，也應該不僅僅為應對合規(guī)，更多的是需要與金融業(yè)務深度融合，構(gòu)建創(chuàng)新的安全體系。
等保2.0的《信息安全技術(shù)網(wǎng)絡安全等級保護安全設計技術(shù)要求》的設計思想是以PPDR（以策略為中心，構(gòu)建防護-檢測-響應防護機制）為核心思想，以可信認證為基礎、訪問控制為核心，構(gòu)建可信-可控-可管的立體化縱深防御體系。
?可信
以可信計算技術(shù)為基礎，構(gòu)建一個可信的業(yè)務系統(tǒng)執(zhí)行環(huán)境，即用戶、平臺、程序都是可信的，確保用戶無法被冒充、病毒無法執(zhí)行、入侵行為無法成功?？尚诺沫h(huán)境保證業(yè)務系統(tǒng)永遠都按照設計預期的方式執(zhí)行，不會出現(xiàn)非預期的流程，從而保障了業(yè)務系統(tǒng)安全可信。
?可控
以訪問控制技術(shù)為核心，實現(xiàn)主體對客體的受控訪問，保證所有的訪問行為均在可控范圍之內(nèi)進行，在防范內(nèi)部攻擊的同時有效防止了從外部發(fā)起的攻擊行為。對用戶訪問權(quán)限的控制可以確保系統(tǒng)中的用戶不會出現(xiàn)越權(quán)操作，永遠都按系統(tǒng)設計的方式進行資源訪問，保證了系統(tǒng)的信息安全可控。
?可管
通過構(gòu)建集中管控、最小權(quán)限管理與三權(quán)分立的管理平臺，為管理員創(chuàng)建了一個工作平臺，使其可以借助于平臺對系統(tǒng)進行更好的管理，從而彌補了我國現(xiàn)在重機制、輕管理的不足，保證信息系統(tǒng)安全可管。
面對新業(yè)務、新技術(shù)新威脅，金融機構(gòu)網(wǎng)絡安全建設的進階路徑是夯實基礎、提升能力，逐步規(guī)劃建設主動防御、動態(tài)御防的安全防護體系。
第一，基于“零信任”安全模型，構(gòu)建網(wǎng)絡空間信任體系。
導致敏感信息泄露的威脅，大部分都是由于內(nèi)部原因造成的，例如內(nèi)部用戶、外部用戶或合作供應商。通過統(tǒng)一用戶管理、統(tǒng)一認證服務、統(tǒng)一授權(quán)管理、統(tǒng)一日志管理，構(gòu)建網(wǎng)絡空間信任體系。
第二，完善信息安全管理體系建設，從組織體系、運營體系、技術(shù)體系三個維度進行。
第三，提升安全防護和安全運維能力，組建安全運維團隊，開展日常安全防護和運維工作，進行人員安全技能培訓，提升安全事件應急響應能力。
第四，組建網(wǎng)絡安全藍軍，驗證安全防護和安全運維有效性。
我們作為國內(nèi)信息安全領域的領軍企業(yè)，始終積極參與等保標準的制訂、推進和落地，為金融行業(yè)用戶提供專業(yè)的安全產(chǎn)品、服務和解決方案。未來，我們將繼續(xù)專注研究，實現(xiàn)技術(shù)突破和創(chuàng)新，在網(wǎng)絡安全防護、保護關(guān)鍵信息基礎設施安全等方面持續(xù)努力，為金融行業(yè)用戶的網(wǎng)絡安全提供更好的保障。
