文/郭中国建设银行金融科技部副总经理
回顾近20年的发展历程，建行信息安全工作不断开拓进取，与时俱进，创新性地提出了“安全即服务”的发展理念。基于这一理念，改变了传统的“木桶式”安全架构体系，设计并实现了“多层水闸式”智能柔性安全架构体系，实现了安全技术体系从功能型向智能、柔性、主动型的转变，有力支撑了全行业务发展，保障了客户资金和信息安全。
基于对金融科技“创新、数字、开放、合作”特征的深入分析和对网络安全形势的判断，建行认识到金融安全的发展趋势集中在三个方面。一是's不敏感体验是未来银行的主要特征，安全性和用户不敏感体验的平衡是未来趋势。二是线上线下融合的数字全渠道威胁将越来越严重，跨渠道攻击将是未来趋势。动态、快速地调整企业级、全渠道的安全策略势在必行。三是简单的安全产品或不同安全产品的简单堆叠已经不足以应对威胁，灵活、可定制的安全服务是未来安全的发展趋势。因此，建行依托新一代核心系统建设契机，从安全架构顶层设计入手，充分结合金融科技应用场景，坚持安全与用户无感体验并重，树立并践行“安全即服务”理念，充分利用威胁情报、大数据分析、智能风控、生物识别等技术，建立深度“多级水闸”防控体系，实时动态调整安全防护策略，实现信息安全智能防控。具体施工时应遵循以下原则。
在降低业务风险：,建设“灵活可配置”的安全服务，全面支持未来业务创新和快速发展，降低新业务产品的安全风险。以电子渠道交易风险为切入点，加强风险监控，明确客户交易行为、客户属性、商户属性等方面的防控规则。从而保证资金交易的安全。以信息资产集中管控为切入点，解决客户敏感信息泄露风险，全面提升数据安全管控能力，实现数据安全管理全生命周期覆盖，确保客户信息资产安全。
以提升用户体验：客户为中心，聚焦业务场景的安全舒适体验，实现透明、一站式的用户登录服务，提升用户体验和粘度。平衡安全与用户体验，根据客户风险等级采取有针对性的安全防护措施，提供差异化的安全服务。兼顾安全性和服务效率，在提供完整、合适的安全服务的同时，确保高效的业务服务，实现风险控制和业务发展价值最大化。
强化企业级架构管控：通过制定完整、有效、详细、清晰的安全策略管理机制，加强企业级安全管控能力。制定客户、渠道、产品的安全策略，定义各种业务场景的安全模式。构建统一、标准、独立的安全架构技术组件，专注于为上层应用提供完整的安全服务。
基于“安全即服务”的设计理念，建行构建了企业级安全架构体系。该系统采用面向服务的架构、云计算、组件化、可视化开发等技术，实现安全功能与应用的解耦，实现安全功能的组件化、标准化和参数化，形成客户认证、密码等七大安全组件的“安全函数库”
依托1.建立智慧型、主动式交易风控体系，保障客户资金安全。,建行新一代企业级安全架构系统，实现了网上交易风险控制从传统被动应对向主动防控的转变，建立了智能化的网络风险防控体系。首先，通过对互联网上的历史交易数据、历史安全事件和信息泄露事件进行梳理、分析、收集和挖掘，形成客户账户分级模型。然后将账户分类模型加载到安全策略管理中心，安全策略管理中心根据账户分类动态调整各种安全服务，同时配合安全监控组件对各种渠道的交易进行全方位、全流程的监控。基于差异化的交易风险安全策略库，利用智能关联分析、风险估值等手段对交易中的潜在风险进行预警，并与自动响应机制和人工客服参与等处置措施相衔接，从而完成风险交易的智能处理，在风险交易导致客户资金损失之前进行处置。三年来，建行智能风控系统已主动识别、拦截和处置网络金融渠道风险交易8.4万笔，避免客户资金损失5.2亿元，为营造网络安全交易环境、保障客户资金和账户安全发挥了显著作用。
随着2.积极应用安全新技术，以安全创新促金融创新。,金融科技的快速发展，越来越多新的安全技术出现。为不断丰富安全服务和功能，有力支持业务创新，建行持续开展手机盾、生物识别等安全新技术的研究和应用，根据交易环境和风险评估实施智能认证，进一步提升用户体验。第一，在业内率先与手机厂商合作手机盾的研究和应用，让客户的私钥在手机安全芯片中生成，无法导出。手机提供的TEE可信环境独占手机显示屏，智能显示交易标志。
名，确保所见即所签，达到与二代网银盾相同的安全级别。同时，手机盾在线即可完成签约和激活，存放于手机芯片中，无需额外硬件，大大提高了易用性。二是积极开展生物特征识别技术的研究与应用，先后完成指纹、声纹、人脸等识别技术的应用与投产，其中手机银行指纹认证在3.3亿手机银行客户全面推广，人脸识别在全国10万台ATM设备支持刷脸取款，手机银行声纹认证有210万客户主动开启使用。三是基于丰富的认证措施及各认证措施易用性情况，推出智慧认证服务功能，根据客户的交易位置、交易设备、交易金额等要素对当前的交易风险进行评估，对于高风险交易增加认证措施，对于中风险交易，保持认证措施，对于低风险交易减免认证措施，在提升用户体验的同时，防控交易风险。3.建立了全面灵活的网络安全防护体系。基于企业级安全架构和安全组件，建行建立了网络安全防护体系，在全行信息资产的端末、网络、系统、应用等统一部署可定制化的安全服务，通过安全策略管理中心集中管理、动态调整、全面防御，形成企业级安全防控的合力。
二是探索了一条安全与用户体验平衡的道路。在企业级安全架构下创新构建一套针对数字化全渠道交易风险的主动管控体系。通过安全监控和大数据挖掘，建立针对不同客户群体的客户交易行为监控策略，将客户交易行为与安全管控策略进行匹配分析，并结合自动化的监控、预警、应急措施和工具，形成主动式的渠道交易风险管控模式，引领业界渠道交易风险管控体系的改革与创新。
三是建立了“全面防御、主动防范、智慧风控”的安全运营体系，坚定不移朝着实战化、体系化、常态化方向发展。通过全行一体化安全监控、应急响应、分析溯源、漏洞管理等，实现了实时监控安全运营态势，及时响应并处置网络攻击和漏洞威胁；通过情报共享和行业联防联控，提升安全防控的快速性，通过真演实练的红蓝对抗，不断检验并优化提升安全保障能力。始终坚持安全创新与业务创新双轮驱动，致力于为行业安全、国家安全发展贡献“建行”经验，为金融生态安全繁荣贡献力量。
