破局金融数字化转型安全挑战，这些银行和腾讯安全达成了哪些共识？

数字化进程扩大了企业网络的风险面，对安全合规有着严格要求的金融机构更是首当其冲。如何应对数字化衍生的安全挑战，成了当下行业面临的共同难题。

5月31日，由腾讯安全联合(ISC)²北京分会、Athink主办的金融行业技术交流沙龙在北京举行。腾讯研究院产业安全中心主任、高级研究员翟尤、中国民生银行总行信息科技部安全运营中心副处长虞刚、腾讯安全资深攻防专家郭海峰、中信银行总行数据中心安全运营处资深安全架构师赵天龙、腾讯安全可管理安全服务产品总监曾勇江、北京爱思考科技培训运营总监潘文博、(ISC)²北京分会主席卢佐华等行业大咖和技术专家出席沙龙，围绕金融机构数字化转型过程中的安全挑战和应对之道展开了深入探讨。

依托20余年的技术、人才和安全攻防实践经验积累，腾讯安全重保团队“以专家咨询+服务+产品”模式，打造了安全重保全栈解决方案，从企业和机构自身所处行业及业务特性出发进行整体安全咨询，量身定制所需安全服务，并灵活结合安全防护产品体系发挥最佳效果。目前，腾讯安全重保全栈解决方案已成功为众多金融机构提供安全护航，取得了零攻破、零故障、防守零失分的出色成绩。

针对金融机构自身安全能力不足的现状，腾讯安全还推出了安全托管服务。通过腾讯公有云安全托管服务（MSS），企业能够快速响应主机、网络、应用、数据等安全产品的各类安全风险事件，利用安全编排自动化与响应技术进行智能分类和高效运营处置，并针对云资产进行持续风险监视和泄露监控等，同时提供应急值守团队进行入侵事件分析及应急保障，提升用户运营效率。

翟尤：数字经济时代需构建快速、智能、自适应、持续、异构、规模化的安全体系

腾讯研究院产业安全中心主任、高级研究员翟尤分析，随着国际竞争加剧，网络安全呈现出三大趋势：一是安全风险向基础设施领域快速蔓延；二是网络攻击呈现出有组织和体系化的特征；三是攻击量持续攀升。

进入数字经济时代，安全逐渐成为企业的核心竞争力，决定了企业发展的天花板，应当被视为企业的“一把手工程”。尤其是随着云、IOT、5G等新技术普及应用，企业的网络攻击面不断扩大，促使企业必须由传统网络安全架构向云原生安全和零信任等新型网络安全架构迁移，构建快速、智能、自适应、持续、异构、规模化的全新安全体系。

虞刚：安全能力需要与业务流程有机结合，才能真正实现安全赋能

中国民生银行总行信息科技部安全运营中心副处长虞刚，分享了民生银行在数字化转型过程中的安全建设实践经验。他介绍，民生银行在2017年已建成了以身份为核心的IAM体系，目前该体系已经迭代到了2.0版本。

在银行数字化转型过程中，机构撤并、部门的职能和岗位调整频繁，很多业务系统里的用户权限和岗位权限都要相应调整,传统基于角色做身份授权的安全管控模式已经无法快速满足业务需求。为此，民生银行在IAM原有的RBAC模型上融入 ABAC和PBAC模型，实现了业务过程中的实时动态授权，并结合一体化作业平台建设成功打造了资质评价核心功能模块，解决了业务部门为之挠头的授权管理问题，切实为业务提升综合金融服务能力。

虞刚强调，安全赋能不只是口号，而是要把安全能力有机地嵌入到业务流程当中。

郭海峰：将重保经验内化到常态化运营体系，为企业安全护航

基于历次攻防演练实战经验，腾讯安全资深攻防专家郭海峰总结，常见的安全问题包括VPN入口防护不足，互联网资产庞大、攻击面广，内网隔离策略不严格等。针对这些问题，腾讯安全构建出了一套包含安全咨询、安全服务和安全产品三大版块的安全演练重保方案。

在某国有银行的重保演练中，腾讯安全在原有的安全防护基础上增加了蜜罐系统、阻断系统、高级威胁分析系统以及7x24小时服务等，最终取得了零攻破、零故障、防守零失分的出色成绩，并荣获当年国家安全演练金融领域第一名。

目前，腾讯安全正不断将重保演练中的实践经验内化到常态化的运营体系中，为企业安全保驾护航。

赵天龙：安全建设要有全局思维，而不是仅仅关注琐碎的东西

中信银行总行数据中心安全运营处资深安全架构师赵天龙强调，体系建设虽然不是很紧急的事情，但却格外重要，可以帮助企业纵览全局而不仅仅是关注琐碎的东西，从而避免频繁地“救火”。

未知攻，焉知防 。赵天龙表示，企业做好安全防御首先要有攻击者视角，了解攻击者在供给链路上的每一个动作，才能针对性地有效防御。概括来说，网络攻击可以分为踩点、工具、投递、攻击、安装、远控、横向移动几个阶段。金融机构在防御时没有定律可循，而是要结合自身的业务场景。他强调，适合企业场景的防御才是最好的防御，能推行、能落地的运营就是最好的运营。

曾勇江：平台交付、安全运营托管化将是未来主流方向

腾讯安全可管理安全服务产品总监曾勇江表示，随着云时代下的网络安全形势越发复杂，数据窃取、勒索病毒等愈发常见，平台交付、安全运营托管化将是未来企业应对安全挑战的主流方向。

腾讯安全依托过去20余年积淀的安全攻防经验，基于“IPDRR”模型构建的腾讯公有云安全托管服务（MSS），可为用户提供涵盖安全评估、风险检测、漏洞感知与风险监测、安全监控、风险处置、应急响应的全生命周期安全闭环能力。

在今年4月头豹研究院联合Frost & Sullivan发布的《 2021年中国安全托管市场报告》中，腾讯云凭借全面稳健的表现脱颖而出，入围中国安全托管服务市场领袖梯队。

未来，随着数字化的继续深入，金融机构转型还将面临更多的安全挑战。腾讯安全将持续发挥自身技术、人才与服务优势，为更多金融机构筑牢安全底座。