近日,《商业银行应用程序接口安全管理规范》(JR/T 0185—2020)(以下简称《规范》)金融行业标准由中国人民银行正式发布。《规范》是监管部门发布的首份开放银行监管政策和行业标准,能够为金融行业在数字化经济转型中提供更多参照与指导。
下面,信服君将为您深入解读《规范》,了解开放银行安全体系,助力开放银行业务安全发展。
背景分析:开放银行架构是银行未来发展趋势,
信息安全风险链条更长
根据中国互联网金融协会发布的《开放银行发展研究报告(2019)》显示,通过对51家各类型商业银行调研,65%的商业银行已建立开放银行。国内开放银行一般采用第三方联机接口、页面服务和文件三种形式的API服务,支持联网、专线等访问方式。国内开放银行通过开发者门户为用户提供行业解决方案、接入指南、接口说明等相关文档,便于银行分支(如分行)与合作方接入API平台。
开放银行帮助金融机构提升了用户获取场景服务和金融服务的便捷性,但其开放性也方便了黑客扩大攻击范围。
开放银行生态中的第三方平台可以访问来自商业银行的数据,一旦发生黑客攻击造成数据泄露将可能导致用户银行账户信息暴露,甚至可能导致来源于该途径的所有账户信息外泄,增加系统数据安全风险;除此之外,随着商业银行敏感数据被扩展到银行外部,第三方平台系统的网络漏洞和故障也可能对该数据的安全造成威胁,因此,开放银行业务使得银行面临更多风险。
《规范》解读:开放银行全生命周期安全技术规范,更严格的监管体系
《规范》涵盖开放银行应用层、业务层等各个方面,对银行应用程序接口的接口设计、应用部署、集成运行、运维监测及系统下线等全生命周期过程提出了明确的安全技术与安全管理要求。
银行可根据《规范》的具体要求,结合金融机构内部风险策略、审计要求,制定有效的安全策略,对第三方数据保护能力进行调查和评估,对网络和系统安全风险进行审计和评估,同时建立完善的事故处理机制,明确各方责任认定机制,确保用户的权益得到保护。
信服君建议银行建立全面的开放银行信息安全体系规划,通过构建“前端-中端-后端”三大安全能力支柱体系、“管理-技术”两大安全支撑体系,严格规范合作方准入管理,完善开放银行合规应用管理制度,利用大数据技术建立开放银行风险监测预警体系,借助技术平台实时监控API安全运行情况,着力增强金融机构对开放银行风险的态势感知和应急处置能力。
重点内容解析:开放银行技术安全体系建设
典型的开放银行安全技术架构包括安全架构标准、开发安全标准、安全测试标准。由安全检测、安全控制等模块组成的前端安全能力;由交易安全监控、性能监控服务等模块组成的中端安全能力;由身份认证、数据安全等安全服务模块构成的后端安全能力;由用户认证、加解密等系统构成的基础安全能力,结合网络层面纵深防御,实现全方位立体化的开放银行安全防护。
信服君建议开放银行安全技术体系建设重点关注以下方面:
1.身份认证鉴别安全
开放银行需严格执行安全控制机制,结合网络安全手段和参与者合作身份校验机制,通过访问权限控制、签名认证、跨域校验等,尽可能降低API接口被盗刷的风险。建立多层次的、线下线上融合的用户认证体系,加强开放银行身份认证与内控管理。
2.网络、系统基础安全
(1)第一道防护:网络边界防护
开放银行应遵循“纵深防御”的理念,在互联网边界部署DDoS防护系统、下一代防火墙系统、下一代入侵防御系统等各类安全防护设备,实时监测和拦截互联网攻击,实现网络边界第一道防护。
(2)第二道防护:业务边界防护
在API服务层和业务层之间部署防火墙、异常流量分析系统等各类安全防护设备,实现业务边界第二道防护。
(3)构建高级可持续性攻击防御体系
在网络边界和内部网络之间强化检测和响应能力,部署文件异常动态检测、流量异常检测、多维大数据关联检测等各类安全防护设备,构建统一、立体、层次化的高级可持续性攻击防御体系,实现从前端到后台应用、从边界到内部核心、全链条的安全防护。
(4)通过应用交付保障稳定、安全、高效的交付
同时,建议部署应用交付系统对应用数据进行端到端的分析、调度、保护、加密和优化,对单个接口按地域、风控等级等维度进行流控调度和控制,覆盖业务交付全程的所有关键因素,保障稳定、安全、高效的交付。
3.业务应用安全
(1)对接口分级分类
对开放的接口进行分级分类,根据不同类别设定接口使用权限和使用期限。
(2)采用多种手段保障业务应用安全
采用加密、应用秘钥、应用接口权限控制、访问黑白名单、字段脱敏还原等手段,充分进行应用存储加密、访问控制、标记化信息安全审计措施,交互报文通过数字签名、加密等手段保障不可篡改性和机密性。
(3)基于大数据分析技术进行监控
基于大数据分析技术,对系统和业务状况进行实时全方位监控,对异常交易和异常参与方,能做到实时流控、快速阻断,保障系统稳定。
(4)业务风控
采用基于事后分析的大数据风控技术,实现业务风控,防范例如营销欺诈、交易欺诈、信用欺诈等业务风险。
4.第三方安全
针对用户授权访问后的数据保护建立健全安全机制,对其合作方可以使用的接口范围等进行严格控制,并定期审核,在授权范围内进行有效的控制和防护。对于业务数据和用户信息数据的使用范围、保存期限等进行明确约束,遵循范围和期限的最小化原则。
5.应用数据安全
在数据传输、处理、保存过程中需严格保障数据安全。
(1)通过多种方式保障数据安全
通过网络传输链路加密、身份认证、报文加密加签等多种方式,保障数据传输的安全性、隐私性和不可篡改性。
(2)避免抓取大量数据
严格控制业务、用户数据的访问权限,避免使用开放银行接口抓取大量数据,并对系统日志中的敏感信息进行特殊处理,操作日志可审计。
(3)定期备份
定期备份数据,保障数据的完整性和可恢复性。
(4)提前进行责任划分
各参与方需提前进行责任划分,当出现数据泄露、系统故障或操作故障时,责任人对用户的损失直接负责。
(5)严禁非法存储
严禁非法存储,以防泄露用户金融信息。
深信服应用数据安全治理解决方案
基于上述提及的第五点,应用数据安全防护,深信服提出应用数据安全治理解决方案。方案以数据为中心,聚焦应用系统的流动数据,基于AI和大数据技术,自动化梳理应用数据资产,实时监控应用系统脆弱性及异常数据访问风险,精准溯源数据安全事件,实现数据流动安全风险全面有效治理。
1.基于敏感数据识别的应用接口自动化梳理
(1)敏感数据接口自动化识别、提取
通过对应用系统内外部访问流量进行全面解析,自动识别应用系统接口。支持系统预置丰富敏感数据标签,同时结合用户需求,灵活自定义特殊字段及提取规则。敏感数据识别引擎全程自动化对接口数据进行识别、提取。支持细粒度接口画像,包括接口参数、接口返回内容、接口访问用户、接口流转敏感数据详情等。
(2)全局可视
以数据为中心,实现敏感数据、应用、接口、访问用户自动化全面梳理。
(3)应用接口的生命周期管理
监控数据接口上下线及变更,针对应用新增及失活接口进行统计,监管未报备自行上线的重要敏感数据接口,对长期没有访问的接口进行监控,辅助业务部门对接口进行下线操作。
2.风险接口发现
全面发现接口安全隐患,推动风险接口整改
基于敏感数据解析,识别接口访问权限设置不当问题,如单次访问数据限制不当(单次返回大量数据),接口无需身份验证即可获取敏感信息等。发现接口敏感数据暴露风险,包括敏感数据未脱敏、敏感数据传输不合规、密码等高敏感信息明文暴露或仅使用MD5加密等。发现接口设计漏洞问题,如内部网络信息暴露等。
3.业务系统身份认证及账号管理脆弱性分析
(1)业务系统身份认证问题发现及整改
通过业务系统脆弱性分析引擎,及时发现业务系统存在的身份认证脆弱性问题,如弱密码问题,推动用户进行认证机制整改。
(2)账号安全风险发现及整改
通过业务系统脆弱性分析引擎,帮助用户及时发现账号共享、特权账号违规滥用等问题,并进行整改。
4.应用数据接口异常访问风险监测及预警
(1)基于数据安全风险策略的异常监测
预置风险策略:预置有大规模数据拉取、非工作时间访问、非常用 IP 访问等风险策略。
支持风险策略自定义:用户可以根据需求,灵活自定义风险策略。
(2)基于UEBA技术的异常监测
根据用户、账号、接口等多维度数据行为画像,建立数据访问行为基线,自动发现异常行为并进行预警。
5.安全审计及数据安全事件溯源
(1)审计合规
通过敏感数据识别、应用系统账号自动解析等技术,自动对接口访问行为进行记录。记录内容包括:访问接口、访问应用、访问 IP、操作用户、操作时间、操作对象、操作内容等,满足合规需求。
(2)数据安全事件快速溯源
支持搜索引擎式追溯查询,可以通过关键字、文本、文件相似度等多种方式进行事件追溯,并定位到个人,同时,还支持多种类型的精细过滤条件对历史事件进行精确查询,定位数据风险点。
