文│國家金融科技測評(píng)中心、銀行卡檢測中心 研發(fā)中心 楊波
一、金融科技發(fā)展與應(yīng)用現(xiàn)狀
近年來，隨著移動(dòng)互聯(lián)網(wǎng)、人工智能、大數(shù)據(jù)、云計(jì)算、區(qū)塊鏈和密碼技術(shù)為代表的信息技術(shù)與金融業(yè)務(wù)深度融合，金融科技在全球范圍內(nèi)蓬勃發(fā)展，科技對(duì)金融服務(wù)各細(xì)分領(lǐng)域滲透逐步加深，科技驅(qū)動(dòng)的金融業(yè)務(wù)創(chuàng)新愈發(fā)活躍。當(dāng)前，金融科技正成為世界經(jīng)濟(jì)數(shù)字化轉(zhuǎn)型的新動(dòng)力，作為科技驅(qū)動(dòng)的金融創(chuàng)新，金融科技日益成為區(qū)域乃至國際金融競爭的制高點(diǎn)。中國金融科技的創(chuàng)新發(fā)展已經(jīng)走在了世界前列，從企業(yè)融資和用戶使用量看，中國已成為世界第二大金融科技市場。2022 年 1 月，中國人民銀行發(fā)布《金融科技（FinTech）發(fā)展規(guī)劃（2022—2025）》，這是央行編制的第二輪金融科技發(fā)展規(guī)劃，標(biāo)志著我國金融科技發(fā)展的頂層設(shè)計(jì)規(guī)劃日漸明確。
金融科技的快速發(fā)展，為金融機(jī)構(gòu)帶來了業(yè)務(wù)升級(jí)，為消費(fèi)者帶來了實(shí)際便利，為科技企業(yè)帶來了經(jīng)濟(jì)效益和技術(shù)進(jìn)步。當(dāng)前全球金融科技的具體應(yīng)用呈現(xiàn)著井噴式的發(fā)展，這基于技術(shù)的進(jìn)步和需求的增長。金融科技的應(yīng)用往往疊加使用了不同層次多種類型的新技術(shù)和新方案，是技術(shù)創(chuàng)新綜合發(fā)展的體系化產(chǎn)物。圖 1 以技術(shù)視角描述了本文所提出的金融科技應(yīng)用框架。
圖 1 金融科技應(yīng)用框架
數(shù)據(jù)是一種關(guān)鍵的生成要素，對(duì)于金融科技而言，數(shù)據(jù)的價(jià)值更為重要，是驅(qū)動(dòng)各類應(yīng)用的動(dòng)力來源。
密碼技術(shù)作為一種支撐技術(shù)，同樣覆蓋了金融科技應(yīng)用的各個(gè)層級(jí)，是保障金融科技安全的最底層技術(shù)。應(yīng)用于金融科技的密碼技術(shù)，主要涉及密碼算法和密碼協(xié)議與方案。
金融基礎(chǔ)設(shè)施與技術(shù)能力，是所有金融科技運(yùn)行的基石。多地多中心的數(shù)據(jù)中心建設(shè)是目前我國普遍采用的方式，既能提供有效的數(shù)據(jù)備份能力，又可以提供便捷的分布式計(jì)算能力。隱私計(jì)算的主要實(shí)現(xiàn)方法包括多方安全計(jì)算、聯(lián)邦學(xué)習(xí)和可信執(zhí)行環(huán)境。人工智能是面向金融機(jī)構(gòu)與金融用戶真正落地金融科技應(yīng)用場景的主要領(lǐng)域，我國金融領(lǐng)域的人工智能應(yīng)用范圍也相當(dāng)廣泛。區(qū)塊鏈同人工智能一樣，也是金融科技應(yīng)用場景落地的主要領(lǐng)域。數(shù)字貨幣是一項(xiàng)特殊的金融科技應(yīng)用，包括有較大影響力的比特幣、Facebook 公司曾計(jì)劃推出的 Diem（原Libra）項(xiàng)目等。數(shù)字人民幣是中國人民銀行發(fā)行的數(shù)字形式的法定貨幣，用于滿足國內(nèi)零售支付需求。
二、金融科技安全風(fēng)險(xiǎn)分析
金融科技安全風(fēng)險(xiǎn)始于技術(shù)安全風(fēng)險(xiǎn)，可進(jìn)一步引發(fā)金融業(yè)務(wù)風(fēng)險(xiǎn)，最終威脅整個(gè)金融系統(tǒng)的穩(wěn)定。從造成的影響結(jié)果看，金融科技安全風(fēng)險(xiǎn)主要分為對(duì)金融機(jī)構(gòu)的影響和對(duì)金融用戶的影響。對(duì)于金融機(jī)構(gòu)的影響主要包括關(guān)鍵信息數(shù)據(jù)丟失、機(jī)構(gòu)敏感信息和用戶隱私信息遭竊取、業(yè)務(wù)連續(xù)性被破壞、客戶服務(wù)體驗(yàn)下降、機(jī)構(gòu)資金或財(cái)產(chǎn)遭受損失。對(duì)于金融用戶的影響主要包括身份信息被冒用、隱私信息泄露、債務(wù)違約、信譽(yù)下降、個(gè)人資金或財(cái)產(chǎn)遭受損失，極端情況下人身安全也會(huì)受到威脅。
金融科技的技術(shù)安全風(fēng)險(xiǎn)來源是多種多樣的，機(jī)理各不相同。本文將金融科技安全風(fēng)險(xiǎn)分為傳統(tǒng)網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)和新技術(shù)安全風(fēng)險(xiǎn)，其對(duì)應(yīng)的技術(shù)領(lǐng)域和主要攻擊方法與風(fēng)險(xiǎn)如表 1 所示，下文將做詳細(xì)分析。
表 1 針對(duì)金融科技的主要攻擊方法與風(fēng)險(xiǎn)
（一）傳統(tǒng)網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)
隨著金融科技浪潮的快速推進(jìn)，新技術(shù)疊加新業(yè)務(wù)模式逐步擴(kuò)充至金融機(jī)構(gòu)原有的信息系統(tǒng)中，再加上技術(shù)中臺(tái)的普及和數(shù)據(jù)量激增的現(xiàn)實(shí)情況，世界發(fā)達(dá)國家以及我國當(dāng)前金融機(jī)構(gòu)信息系統(tǒng)的復(fù)雜度和代碼量都到達(dá)了驚人的高度。例如，當(dāng)前常規(guī)的商業(yè)銀行系統(tǒng)主要有業(yè)務(wù)系統(tǒng)、MIS 系統(tǒng)、渠道系統(tǒng)和其他系統(tǒng)，而每一個(gè)系統(tǒng)都包含十幾到幾十個(gè)子系統(tǒng)，單從子系統(tǒng)數(shù)量看就到達(dá)上百量級(jí)水平，很多系統(tǒng)都需要跨全國各地乃至海外分支行機(jī)構(gòu)部署。在如此龐大而又自動(dòng)化程度高、關(guān)系錯(cuò)綜復(fù)雜的信息系統(tǒng)上，新技術(shù)與新業(yè)務(wù)的引入勢必增加原有系統(tǒng)的網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)。事實(shí)上，新增代碼往往缺乏累積的測試時(shí)間檢驗(yàn)，較容易成為整個(gè)系統(tǒng)的短板，被攻擊者作為突破口利用，進(jìn)而造成金融機(jī)構(gòu)和金融用戶的重大損失。
從具體技術(shù)安全風(fēng)險(xiǎn)看，新技術(shù)的應(yīng)用擴(kuò)大了傳統(tǒng)網(wǎng)絡(luò)信息安全的攻擊面，同時(shí)威脅著金融機(jī)構(gòu)側(cè)和金融用戶側(cè)。在金融機(jī)構(gòu)側(cè)，常見的攻擊方法有分布式拒絕服務(wù)（DDoS）攻擊、勒索病毒、滲透攻擊、SQL 注入攻擊。此外，借助多種攻擊技術(shù)手段發(fā)動(dòng)的一類高級(jí)可持續(xù)威脅（APT）攻擊也成為金融科技面臨的重要威脅。這些攻擊一方面借助金融科技業(yè)務(wù)和技術(shù)入口實(shí)施攻擊，一方面直接作用于金融科技服務(wù)。其攻擊影響多是阻斷相關(guān)金融科技服務(wù)、攻入金融機(jī)構(gòu)核心系統(tǒng)、竊取敏感信息數(shù)據(jù)送入黑產(chǎn)、勒索機(jī)構(gòu)錢財(cái)以及進(jìn)一步轉(zhuǎn)向攻擊金融用戶。在金融用戶側(cè)，常見的攻擊方法有勒索病毒、應(yīng)用服務(wù)仿冒、網(wǎng)絡(luò)金融釣魚和詐騙短信。這些攻擊通過用戶接觸的金融科技類服務(wù)網(wǎng)頁、手機(jī)客戶端軟件以及相關(guān)通信服務(wù)軟件等形式入口實(shí)施惡意行為。其攻擊影響多是勒索錢財(cái)、詐騙錢財(cái)、竊取個(gè)人身份與隱私信息等，由于金融用戶信息安全知識(shí)水平和終端設(shè)備安全防護(hù)能力參差不齊，通過技術(shù)手段對(duì)個(gè)人金融用戶實(shí)施的金融詐騙已經(jīng)成為金融安全的重災(zāi)區(qū)。
（二）新技術(shù)安全風(fēng)險(xiǎn)
一些應(yīng)用于金融科技的新技術(shù)，由于技術(shù)尚未成熟穩(wěn)定、設(shè)計(jì)原理存在缺陷、未考慮安全防護(hù)、采用組合式創(chuàng)新、缺乏有效的檢測評(píng)估方法與時(shí)間檢驗(yàn)等原因，其技術(shù)本身存在安全風(fēng)險(xiǎn)隱患。例如，基于多方安全計(jì)算（MPC）的聯(lián)邦學(xué)習(xí)技術(shù)，是一項(xiàng)綜合應(yīng)用密碼技術(shù)、多方安全協(xié)議技術(shù)、數(shù)據(jù)安全技術(shù)和人工智能技術(shù)的組合式創(chuàng)新技術(shù)，這種組合式應(yīng)用的安全一方面依賴于各技術(shù)的原生安全性，一方面取決于技術(shù)間的銜接調(diào)用安全，需要時(shí)間、實(shí)踐和專業(yè)檢測技術(shù)的檢驗(yàn)。近年來，在已經(jīng)上線應(yīng)用的一些金融科技技術(shù)產(chǎn)品中，陸續(xù)發(fā)現(xiàn)了存在漏洞或攻擊的問題，它造成的影響也不完全與傳統(tǒng)網(wǎng)絡(luò)信息安全攻擊一樣，這些安全風(fēng)險(xiǎn)有的隱蔽性很強(qiáng)，有的與金融業(yè)務(wù)安全產(chǎn)生了關(guān)聯(lián)。
1. 人工智能安全風(fēng)險(xiǎn)
人工智能技術(shù)在金融領(lǐng)域的應(yīng)用是較為廣泛的，但其很多模型算法由于黑盒問題及固有訓(xùn)練偏差的問題，在使用時(shí)會(huì)出現(xiàn)意料之外的結(jié)果，這為使用者帶來了不小的擔(dān)憂和困擾?？偟膩砜?，針對(duì)人工智能的攻擊及其安全風(fēng)險(xiǎn)，主要會(huì)造成敏感信息數(shù)據(jù)的泄露、核心模型資產(chǎn)的丟失、模型算法的失效以及定向改變模型算法的判定結(jié)果，在模型被惡意篡改的情況下，攻擊者可以結(jié)合具體金融業(yè)務(wù)獲取非法利益，包括獲取金融權(quán)限、獲取用戶資金、逃避風(fēng)險(xiǎn)追查等。目前，對(duì)于人工智能的攻擊有很多類型，攻擊研究也逐漸深入，常見的攻擊類型包括竊取攻擊、誘餌攻擊、對(duì)抗樣本攻擊、物理對(duì)抗攻擊、模仿攻擊、逆向攻擊、供應(yīng)鏈攻擊、后門攻擊等。近期，人工智能算法的可解釋性問題得到了越來越多的關(guān)注，其問題源于人工智能算法尤其深度學(xué)習(xí)計(jì)算過程為黑盒操作，模型計(jì)算、參數(shù)優(yōu)化以及特征選取皆由模型自行操作，無法追溯自身的學(xué)習(xí)和決策過程，目前尚無完備理論能夠?qū)δＰ徒Y(jié)果及模型本身做出合理解釋，隨著相關(guān)算法模型在金融領(lǐng)域的融合應(yīng)用，存在產(chǎn)生不可控結(jié)果的隱患，也無法使算法使用者絕對(duì)信任算法的結(jié)果輸出。
2. 大數(shù)據(jù)安全風(fēng)險(xiǎn)
金融大數(shù)據(jù)技術(shù)的應(yīng)用建立在金融硬件基礎(chǔ)設(shè)施、數(shù)據(jù)庫和操作系統(tǒng)的基礎(chǔ)上，它面臨的安全風(fēng)險(xiǎn)與傳統(tǒng)網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)高度相似。較為特異性的技術(shù)風(fēng)險(xiǎn)主要聚焦在大數(shù)據(jù)平臺(tái)技術(shù)和隱私信息保護(hù)技術(shù)，而大數(shù)據(jù)安全的核心就是信息數(shù)據(jù)資產(chǎn)的保護(hù)。一些場景的大數(shù)據(jù)應(yīng)用依賴于專用的平臺(tái)架構(gòu)體系，對(duì)分布式需求較高，相關(guān)開源平臺(tái)架構(gòu)的安全設(shè)計(jì)與實(shí)現(xiàn)機(jī)制存在一定的安全風(fēng)險(xiǎn)，常用的大數(shù)據(jù)框架有 Apache Spark與 Apache Hadoop，相比而言，Hadoop 的安全設(shè)計(jì)要弱很多。大數(shù)據(jù)的應(yīng)用可能需要大規(guī)模部署大數(shù)據(jù)框架，對(duì)于框架平臺(tái)的安全配置至關(guān)重要，唯有保證統(tǒng)一正確的配置，才能有效抵御攻擊風(fēng)險(xiǎn)，但現(xiàn)實(shí)情況中存在漏洞的安全配置案例比比皆是。對(duì)于數(shù)據(jù)泄露風(fēng)險(xiǎn)，其存在于數(shù)據(jù)生命周期的各個(gè)環(huán)節(jié)，包括數(shù)據(jù)收集、存儲(chǔ)、處理、傳輸、展示、共享和銷毀等。
3. 隱私計(jì)算安全風(fēng)險(xiǎn)
隱私計(jì)算技術(shù)的多方安全計(jì)算技術(shù)多基于底層密碼學(xué)協(xié)議和專用交互協(xié)議進(jìn)行設(shè)計(jì)和實(shí)現(xiàn)，但非標(biāo)準(zhǔn)的密碼學(xué)協(xié)議很少得到過完整系統(tǒng)的理論證明（如通過形式化分析方法），一些同態(tài)加密算法、秘密共享方案和混淆電路方案均是定制型解決方案，自身不斷在演進(jìn)，沒有成為行業(yè)達(dá)成共識(shí)和認(rèn)可的標(biāo)準(zhǔn)化方案，其安全性無法得到保證，且安全模型和安全參數(shù)的選取也缺乏論證，因此多方安全技術(shù)存在一定的底層協(xié)議安全風(fēng)險(xiǎn)。聯(lián)邦學(xué)習(xí)的兩個(gè)或多個(gè)參與方通過安全的算法協(xié)議進(jìn)行聯(lián)合機(jī)器學(xué)習(xí)，而該算法同樣存在缺少理論與實(shí)踐證明的問題，已經(jīng)有文獻(xiàn)闡述了通過惡意節(jié)點(diǎn)和邊緣后門的方法攻擊聯(lián)邦學(xué)習(xí)以達(dá)到惡意影響模型訓(xùn)練的目的。
4. 區(qū)塊鏈安全風(fēng)險(xiǎn)
區(qū)塊鏈技術(shù)與應(yīng)用是金融科技的重要組成部分，在獲得諸多優(yōu)勢特性的背景下，區(qū)塊鏈技術(shù)也具有一定的自身安全風(fēng)險(xiǎn)問題。51% 攻擊，是區(qū)塊鏈技術(shù)與生俱來且難以抵御的攻擊。區(qū)塊鏈在交易層、共識(shí)層和應(yīng)用層使用到了不同類型的密碼算法，雖然多數(shù)使用的通用標(biāo)準(zhǔn)密碼算法目前是安全的，但也存在被攻擊的可能。對(duì)于協(xié)議安全風(fēng)險(xiǎn)，區(qū)塊鏈在網(wǎng)絡(luò)層使用了 P2P 協(xié)議，在共識(shí)層使用了共識(shí)協(xié)議，其中共識(shí)協(xié)議包含多種類型，這些協(xié)議在設(shè)計(jì)時(shí)往往難以全面考慮安全要素，因而成為區(qū)塊鏈安全風(fēng)險(xiǎn)的主要源頭。智能合約本質(zhì)上是運(yùn)行在區(qū)塊鏈上的程序，由開發(fā)人員編寫，當(dāng)智能合約與復(fù)雜金融業(yè)務(wù)邏輯相結(jié)合時(shí)，智能合約的設(shè)計(jì)和實(shí)現(xiàn)就可能出現(xiàn)漏洞，即智能合約漏洞，這些漏洞造成的后果不盡相同，但都可能摧毀整個(gè)區(qū)塊鏈系統(tǒng)的安全體系和經(jīng)濟(jì)生態(tài)。
5. 密碼技術(shù)安全風(fēng)險(xiǎn)
密碼技術(shù)安全風(fēng)險(xiǎn)是基礎(chǔ)性安全風(fēng)險(xiǎn)，其安全問題將影響整個(gè)金融科技上層體系安全，尤其是重度依賴密碼技術(shù)的大數(shù)據(jù)、隱私計(jì)算和區(qū)塊鏈技術(shù)，一旦密碼技術(shù)遭到攻擊破壞，上層創(chuàng)新技術(shù)立足的安全特性將不復(fù)存在，其本身也將失去存在的意義。加密數(shù)字貨幣同樣建立在密碼技術(shù)安全的基礎(chǔ)之上，如若根基不穩(wěn)，加密數(shù)字貨幣的防止雙花、交易認(rèn)證、貨幣驗(yàn)偽、雙離線支付、可控匿名等屬性均將無法實(shí)現(xiàn)。通用標(biāo)準(zhǔn)密碼算法目前一般而言是安全的，但也存在一些間接的攻擊風(fēng)險(xiǎn)。對(duì)于新型密碼方案，包括密碼算法和密碼協(xié)議，雖然有些因?yàn)榫哂谐霰姷墓δ芴攸c(diǎn)而快速投入應(yīng)用，但它們?nèi)孕枰罅康睦碚摵蛯?shí)踐證明，才能提升學(xué)術(shù)界和產(chǎn)業(yè)界對(duì)其安全的信賴程度。量子計(jì)算一直威脅著傳統(tǒng)密碼學(xué)的安全，根據(jù)相關(guān)研究，未來的量子計(jì)算可以成功破解 RSA、ECDSA、ECDH 和 DSA 等非對(duì)稱密碼算法，并將 SHA-256 和 AES 算法的安全強(qiáng)度降低一半，這一安全風(fēng)險(xiǎn)或?qū)⒊蔀槲磥斫鹑诳萍紤?yīng)用的重大潛在基礎(chǔ)性風(fēng)險(xiǎn)。
三、金融科技安全風(fēng)險(xiǎn)防范
針對(duì)金融科技的安全風(fēng)險(xiǎn)，本文提出相關(guān)防范措施和工作建議。
（一）研究應(yīng)用安全防護(hù)技術(shù)
對(duì)于金融科技新技術(shù)本身的安全風(fēng)險(xiǎn)，應(yīng)對(duì)癥下藥的研究防護(hù)技術(shù)。人工智能安全防護(hù)方面，應(yīng)研究和推廣魯棒性較強(qiáng)的算法進(jìn)行模型訓(xùn)練，加強(qiáng)算法模型訓(xùn)練過程的自檢能力，提升自主抗干擾、排斥異常樣本數(shù)據(jù)和異常模型的水平，對(duì)于生物識(shí)別類算法，應(yīng)進(jìn)一步研究加強(qiáng)活體檢測能力，抵御模仿攻擊。大數(shù)據(jù)安全防護(hù)方面，除了采用嚴(yán)格的數(shù)據(jù)生命周期管理措施外，還可以借助污點(diǎn)跟蹤與數(shù)據(jù)標(biāo)記等前沿技術(shù)，研究敏感數(shù)據(jù)泄露監(jiān)測方法。隱私計(jì)算與區(qū)塊鏈安全防護(hù)方面，應(yīng)著重關(guān)注自身底層協(xié)議方案和硬件系統(tǒng)的安全風(fēng)險(xiǎn)，盡可能地通過形式化分析和自動(dòng)化檢測工具深度探測潛在的安全漏洞，發(fā)現(xiàn)后從原理上針對(duì)性地修補(bǔ)和改進(jìn)方案，減少攻擊面的暴露。密碼技術(shù)安全防護(hù)方面，應(yīng)持續(xù)關(guān)注當(dāng)前密碼算法的安全強(qiáng)度，適時(shí)采用更高安全強(qiáng)度的算法，同時(shí)繼續(xù)研究抗量子密碼算法。
除上述兩類針對(duì)安全風(fēng)險(xiǎn)研發(fā)防護(hù)技術(shù)外，新技術(shù)本身也可以用于研發(fā)形成更為強(qiáng)大的防護(hù)與風(fēng)險(xiǎn)探測能力。研究基于風(fēng)險(xiǎn)樣本大數(shù)據(jù)和人工智能技術(shù)的安全威脅態(tài)勢感知系統(tǒng)和智能風(fēng)險(xiǎn)分析系統(tǒng)，已成為各大安全公司的主攻方向，該類型系統(tǒng)亦可用于金融科技的技術(shù)安全風(fēng)險(xiǎn)監(jiān)測，能夠有效提升風(fēng)險(xiǎn)探測的效率。
（二）建立金融科技風(fēng)險(xiǎn)監(jiān)控機(jī)制
有效識(shí)別金融科技創(chuàng)新發(fā)展過程中的安全風(fēng)險(xiǎn)，及時(shí)做出風(fēng)險(xiǎn)預(yù)警與處置響應(yīng)，是降低風(fēng)險(xiǎn)威脅和保障金融科技良性發(fā)展的前提。建立金融科技風(fēng)險(xiǎn)監(jiān)控機(jī)制，能夠從專業(yè)角度為構(gòu)建金融科技風(fēng)險(xiǎn)聯(lián)防聯(lián)控體系提供支撐，成為降低金融科技風(fēng)險(xiǎn)發(fā)生頻率和威脅影響的重要手段，是一項(xiàng)具有關(guān)鍵意義的金融科技發(fā)展戰(zhàn)略。金融科技風(fēng)險(xiǎn)監(jiān)控機(jī)制，可以建設(shè)成多方協(xié)同的風(fēng)險(xiǎn)監(jiān)控平臺(tái)，配套建立維護(hù)漏洞信息庫、風(fēng)險(xiǎn)信息庫和案例信息庫，通過系統(tǒng)探測、數(shù)據(jù)采集、行業(yè)共享等方式強(qiáng)化跨機(jī)構(gòu)、跨行業(yè)風(fēng)險(xiǎn)監(jiān)測預(yù)警，合理運(yùn)用監(jiān)管科技（Regtech）手段增強(qiáng)對(duì)大數(shù)據(jù)風(fēng)險(xiǎn)、人工智能算法風(fēng)險(xiǎn)、個(gè)人隱私風(fēng)險(xiǎn)等的動(dòng)態(tài)感知和穿透式分析能力。
（三）加強(qiáng)金融科技標(biāo)準(zhǔn)化建設(shè)
針對(duì)性制定金融科技標(biāo)準(zhǔn)，尤其在標(biāo)準(zhǔn)中提出安全要求與準(zhǔn)則，能夠有效促進(jìn)金融科技守正創(chuàng)新及防范安全風(fēng)險(xiǎn)。目前，金融科技標(biāo)準(zhǔn)制定仍存在不足，未能跟上金融科技發(fā)展步伐，應(yīng)加快研制相關(guān)標(biāo)準(zhǔn)，推進(jìn)金融科技領(lǐng)域標(biāo)準(zhǔn)化建設(shè)，發(fā)揮標(biāo)準(zhǔn)引領(lǐng)示范效應(yīng)，引導(dǎo)金融科技規(guī)范發(fā)展。
（四）完善金融科技檢測認(rèn)證體系
金融科技檢測認(rèn)證體系，是構(gòu)建金融科技安全生態(tài)的重要組成部分。一方面，檢測認(rèn)證是標(biāo)準(zhǔn)落地的主要手段，金融行業(yè)標(biāo)準(zhǔn)對(duì)于技術(shù)產(chǎn)品的約束性檢驗(yàn)通過檢測完成，市場行業(yè)準(zhǔn)入機(jī)制通過認(rèn)證實(shí)現(xiàn)，因此檢測認(rèn)證是協(xié)同標(biāo)準(zhǔn)化建設(shè)達(dá)成金融科技安全風(fēng)險(xiǎn)防范目標(biāo)的體系組成。另一方面，對(duì)于金融科技的技術(shù)產(chǎn)品檢測，能夠提前發(fā)現(xiàn)安全風(fēng)險(xiǎn)隱患，減少存在風(fēng)險(xiǎn)的技術(shù)產(chǎn)品流入金融科技市場，從而降低整個(gè)金融系統(tǒng)的安全風(fēng)險(xiǎn)。當(dāng)前在我國，面向金融科技的檢測水平仍需要較大程度地提高，檢測能力尚無法覆蓋現(xiàn)有新技術(shù)和新產(chǎn)品的廣度及深度，而認(rèn)證體系的建設(shè)也有待加強(qiáng)，需進(jìn)一步擴(kuò)充對(duì)金融科技產(chǎn)品的認(rèn)證項(xiàng)目。
四、結(jié) 語
金融科技安全是金融業(yè)創(chuàng)新發(fā)展的根本底線，國家金融安全和個(gè)人財(cái)產(chǎn)安全是國家安全的重要組成部分。有效識(shí)別金融科技創(chuàng)新發(fā)展過程中的安全風(fēng)險(xiǎn)，是一項(xiàng)重要的課題，防范金融科技安全風(fēng)險(xiǎn)任重道遠(yuǎn)。針對(duì)安全風(fēng)險(xiǎn)提前布局，設(shè)立專有的金融科技風(fēng)險(xiǎn)監(jiān)控機(jī)制、制定相關(guān)標(biāo)準(zhǔn)與測試評(píng)估方案和研制應(yīng)用特定的防御技術(shù)，有助于履行守正創(chuàng)新和安全可控的原則，保障金融科技步入良性發(fā)展的道路。
（本文刊登于《中國信息安全》雜志2022年第10期）
聯(lián)系客服
