數字化進程擴大了企業(yè)網絡的風險面，對安全合規(guī)有著嚴格要求的金融機構更是首當其沖。如何應對數字化衍生的安全挑戰(zhàn)，成了當下行業(yè)面臨的共同難題。

5月31日，由騰訊安全聯(lián)合(ISC)²北京分會、Athink主辦的金融行業(yè)技術交流沙龍在北京舉行。騰訊研究院產業(yè)安全中心主任、高級研究員翟尤、中國民生銀行總行信息科技部安全運營中心副處長虞剛、騰訊安全資深攻防專家郭海峰、中信銀行總行數據中心安全運營處資深安全架構師趙天龍、騰訊安全可管理安全服務產品總監(jiān)曾勇江、北京愛思考科技培訓運營總監(jiān)潘文博、(ISC)²北京分會主席盧佐華等行業(yè)大咖和技術專家出席沙龍，圍繞金融機構數字化轉型過程中的安全挑戰(zhàn)和應對之道展開了深入探討。

依托20余年的技術、人才和安全攻防實踐經驗積累，騰訊安全重保團隊“以專家咨詢+服務+產品”模式，打造了安全重保全棧解決方案，從企業(yè)和機構自身所處行業(yè)及業(yè)務特性出發(fā)進行整體安全咨詢，量身定制所需安全服務，并靈活結合安全防護產品體系發(fā)揮最佳效果。目前，騰訊安全重保全棧解決方案已成功為眾多金融機構提供安全護航，取得了零攻破、零故障、防守零失分的出色成績。

針對金融機構自身安全能力不足的現(xiàn)狀，騰訊安全還推出了安全托管服務。通過騰訊公有云安全托管服務（MSS），企業(yè)能夠快速響應主機、網絡、應用、數據等安全產品的各類安全風險事件，利用安全編排自動化與響應技術進行智能分類和高效運營處置，并針對云資產進行持續(xù)風險監(jiān)視和泄露監(jiān)控等，同時提供應急值守團隊進行入侵事件分析及應急保障，提升用戶運營效率。

翟尤：數字經濟時代需構建快速、智能、自適應、持續(xù)、異構、規(guī)模化的安全體系

騰訊研究院產業(yè)安全中心主任、高級研究員翟尤分析，隨著國際競爭加劇，網絡安全呈現(xiàn)出三大趨勢：一是安全風險向基礎設施領域快速蔓延；二是網絡攻擊呈現(xiàn)出有組織和體系化的特征；三是攻擊量持續(xù)攀升。

進入數字經濟時代，安全逐漸成為企業(yè)的核心競爭力，決定了企業(yè)發(fā)展的天花板，應當被視為企業(yè)的“一把手工程”。尤其是隨著云、IOT、5G等新技術普及應用，企業(yè)的網絡攻擊面不斷擴大，促使企業(yè)必須由傳統(tǒng)網絡安全架構向云原生安全和零信任等新型網絡安全架構遷移，構建快速、智能、自適應、持續(xù)、異構、規(guī)模化的全新安全體系。

虞剛：安全能力需要與業(yè)務流程有機結合，才能真正實現(xiàn)安全賦能

中國民生銀行總行信息科技部安全運營中心副處長虞剛，分享了民生銀行在數字化轉型過程中的安全建設實踐經驗。他介紹，民生銀行在2017年已建成了以身份為核心的IAM體系，目前該體系已經迭代到了2.0版本。

在銀行數字化轉型過程中，機構撤并、部門的職能和崗位調整頻繁，很多業(yè)務系統(tǒng)里的用戶權限和崗位權限都要相應調整,傳統(tǒng)基于角色做身份授權的安全管控模式已經無法快速滿足業(yè)務需求。為此，民生銀行在IAM原有的RBAC模型上融入 ABAC和PBAC模型，實現(xiàn)了業(yè)務過程中的實時動態(tài)授權，并結合一體化作業(yè)平臺建設成功打造了資質評價核心功能模塊，解決了業(yè)務部門為之撓頭的授權管理問題，切實為業(yè)務提升綜合金融服務能力。

虞剛強調，安全賦能不只是口號，而是要把安全能力有機地嵌入到業(yè)務流程當中。

郭海峰：將重保經驗內化到常態(tài)化運營體系，為企業(yè)安全護航

基于歷次攻防演練實戰(zhàn)經驗，騰訊安全資深攻防專家郭海峰總結，常見的安全問題包括VPN入口防護不足，互聯(lián)網資產龐大、攻擊面廣，內網隔離策略不嚴格等。針對這些問題，騰訊安全構建出了一套包含安全咨詢、安全服務和安全產品三大版塊的安全演練重保方案。

在某國有銀行的重保演練中，騰訊安全在原有的安全防護基礎上增加了蜜罐系統(tǒng)、阻斷系統(tǒng)、高級威脅分析系統(tǒng)以及7x24小時服務等，最終取得了零攻破、零故障、防守零失分的出色成績，并榮獲當年國家安全演練金融領域第一名。

目前，騰訊安全正不斷將重保演練中的實踐經驗內化到常態(tài)化的運營體系中，為企業(yè)安全保駕護航。

趙天龍：安全建設要有全局思維，而不是僅僅關注瑣碎的東西

中信銀行總行數據中心安全運營處資深安全架構師趙天龍強調，體系建設雖然不是很緊急的事情，但卻格外重要，可以幫助企業(yè)縱覽全局而不僅僅是關注瑣碎的東西，從而避免頻繁地“救火”。

未知攻，焉知防 。趙天龍表示，企業(yè)做好安全防御首先要有攻擊者視角，了解攻擊者在供給鏈路上的每一個動作，才能針對性地有效防御。概括來說，網絡攻擊可以分為踩點、工具、投遞、攻擊、安裝、遠控、橫向移動幾個階段。金融機構在防御時沒有定律可循，而是要結合自身的業(yè)務場景。他強調，適合企業(yè)場景的防御才是最好的防御，能推行、能落地的運營就是最好的運營。

曾勇江：平臺交付、安全運營托管化將是未來主流方向

騰訊安全可管理安全服務產品總監(jiān)曾勇江表示，隨著云時代下的網絡安全形勢越發(fā)復雜，數據竊取、勒索病毒等愈發(fā)常見，平臺交付、安全運營托管化將是未來企業(yè)應對安全挑戰(zhàn)的主流方向。

騰訊安全依托過去20余年積淀的安全攻防經驗，基于“IPDRR”模型構建的騰訊公有云安全托管服務（MSS），可為用戶提供涵蓋安全評估、風險檢測、漏洞感知與風險監(jiān)測、安全監(jiān)控、風險處置、應急響應的全生命周期安全閉環(huán)能力。

在今年4月頭豹研究院聯(lián)合Frost & Sullivan發(fā)布的《 2021年中國安全托管市場報告》中，騰訊云憑借全面穩(wěn)健的表現(xiàn)脫穎而出，入圍中國安全托管服務市場領袖梯隊。

未來，隨著數字化的繼續(xù)深入，金融機構轉型還將面臨更多的安全挑戰(zhàn)。騰訊安全將持續(xù)發(fā)揮自身技術、人才與服務優(yōu)勢，為更多金融機構筑牢安全底座。