下载掌阅APP，畅读海量书库
立即打开
信息技术在国民经济中发挥着越来越重要的作用，信息安全问题也越发受到重视。银行业的信息安全问题是多元而复杂的问题，从层次上面划分，可以分为技术安全、管理安全、业务安全；从安全细节上划分，主要包括前台操作安全、后台系统安全、交易安全、支付安全、结算安全等。银行业除了直接涉及资金流动，关系国计民生外，相较其他行业又有一些独特的自身安全风险。
一是互联网经济犯罪活动居高不下。网络经济犯罪行为的趋利化特征日益明显，网络经济犯罪向规模化、综合化、集成化和智能化方向发展，给全球银行业带来了极大的威胁。此类威胁的特点在于利益驱使高、受害主体广、攻击方式多、社会危害大。
二是银行互联网面临的网络高级威胁不断加剧。随着黑客的攻击手段不断升级，新兴的高级持续性威胁 [1] 攻击层出不穷，恶意木马病毒持续泛滥，零日漏洞的精准突袭，网络安全的主要威胁已经从黑客攻击模式转化成为犯罪分子规模化敛财模式，呈现出明显的组织化、规模化、产业化趋势。
三是基础设施安全不可控。我们的基础设施并不完全可靠，也不是完全可控，近几年频发的通用软件漏洞导致全球服务器、网络设备、Web应用遭受影响就是典型的案例。
四是移动设备和支付安全问题凸显。银行业在互联网上的安全防御能力并没跟上互联网的发展。随着移动支付方式的普及，我们24小时都暴露在互联网攻击之下，安全威胁在不断增加。
五是泄露窃密性攻击步入“高发期”。除了要防范攻击外，更需防范数据的丢失和有组织的窃取，这关系到银行的声誉和品牌形象。
六是新技术、新应用带来的潜在风险。通过互联互通、大数据、跨界融合，银行业可以在方方面面与各行业合作，但其所带来的数据流转交换使银行业面临更多的技术挑战。
“互联网+”金融是传统金融业与互联网概念相结合的新生产物，互联网“开放、平等、协作、分享”的精神正渗透至传统金融业态。“互联网+”金融借助大数据、云计算、社交网络和搜索引擎等信息技术优势，从商品流到企业的资金流、信息流，再延伸至银行支付、融资等核心业务领域，以数据驱动运营，实现了对市场、用户、产品、价值链的逐步重构，打破了传统的银行业界限和竞争格局。
随着互联网模式的兴起和用户对支付便捷性需求的提升，第三方支付应运而生并迅猛发展，简化了支付流程，即从（应用）—（银行）—（客户），简化为（应用）—（客户）模式，比如支付宝等已经能够为客户提供收付款、自动分账以及转账汇款、机票和火车票代购、水电费与保险代缴等结算服务。
近年来，以个人信用小贷、P2P与众筹为代表的网络融资模式快速兴起，风控管控在逐步从简单粗糙转向成熟健全，也从线下业务逐步转变为线上业务，从天量大户转向海量小户。
总体趋势是从“互联网+”金融到“物联网金融”的过渡。目前“互联网+”金融还只是停留在结构化数据和非结构化数据的阶段，仅仅是由线下到线上的整合，缺乏用户体验。物联网是人与物的结合，对于用户习惯的收集与量化可以帮助金融机构设计出适合用户特性的个性化金融产品，也衍生出像供应链金融这类紧密结合物流信息、关联企业信息的逐步成熟的新金融业务渠道。
从“有形货币”到“电子货币”，货币电子化是指货币不再以纸币的形式存在，人们的交易将大量脱离纸币，而现实生活中的纸币也逐渐被电子货币所取代，至少在国内，日常购物、生活缴费、出行支付已逐步使用移动终端支付的方式。电子渠道终将形成统一市场，各个交易主体之间可以互通互兑，极大地方便人们的生活与交易行为。
“互联网+”金融在给社会带来便利的同时，其自身所面临的安全风险和安全问题也有所增加，主要表现在以下十个方面。
攻击者由过去的单兵作战、无经济目的的攻击转为以竞争、经济或政治利益为目的、具有针对性的集团化攻击 [2] 。从公民个人敏感信息的收集与贩卖，到批量注册伪卡制卡，甚至网银、手机银行等木马的量身定制，在网络上都能找到相应的服务提供者，并且形成完整的以金融网络犯罪分子为中心的黑色产业链。
分布式拒绝服务（Distributed Deny of Service，DDoS）攻击是目前攻击成本最低、最高效的一种网络恶意攻击形式，近年的个案显示银行业正面临不同形式、不同规模的DDoS攻击，这包括传统SYN攻击、DNS泛洪攻击、DNS放大攻击以及针对银行业应用系统业务逻辑或代码缺陷，更加难以防御的应用层DDoS攻击。
当今的互联网，病毒、蠕虫、木马、僵尸网络、间谍软件犹如洪水般泛滥，所有的这一切都或多或少地利用了互联网业务支撑系统的漏洞。如Apache Struts2远程代码执行漏洞，漏洞的爆发直接导致多家银行遭受恶意攻击。
目前针对网上银行和“互联网+”金融的在线交易系统业务逻辑漏洞的利用也是层出不穷，比较有代表性的有：用户注册及登录场景缺陷、密码重置缺陷、越权操作隐患、支付篡改中间人攻击等。
在互联网环境下，交易信息通过网络传输，一些交易平台并没有在“传输、存储、使用、销毁”等环节上建立保护敏感信息的完整机制，大大加剧了信息泄露的风险。
虽然金融机构对钓鱼网站带来的金融客户信息泄露、交易诈骗等危害极其重视，但大量钓鱼网站都建立在境外的网络空间，监管机构和运营商无法直接进行封禁，从而加大了安全监管的难度。
移动金融信息风险日益增大，主要是由于移动应用软件的兴起（比如手机APP），加之信息安全隐患和用户的安全意识薄弱，给用户造成了严重的经济损失，同时也对移动金融的发展造成阻碍。
由于其利益驱动特性，与交易和金钱直接相关的银行业成了黑客进攻“首选”，从初始阶段的渗透到内网木马的长期驻留潜伏、伺机利用业务系统逻辑隐患、敏感数据管理缺陷，使得银行业成为APT攻击重灾区。
由于银行业的业务系统在自主开发的过程中会部分使用外包团队来协助完成，外包团队的开发水平参差不齐，代码编写不规范，外包管理机制的不健全，造成代码后门、漏洞的隐患可能通过银行系统变更带入、潜伏至生产系统中，由此带来业务系统安全问题。
“互联网+”金融服务内控风险通常与不适当的操作和内部控制程序、研发过程隐藏后门、信息系统失败和人工失误密切相关，该风险可能在内部控制和信息系统存在缺陷时导致不可预期的损失。
随着数据时代的到来，率先引起全球高度关注的行业之一就是金融业。由于国内银行业的信息资产占整个金融业资产90%以上，因此金融业具有显著的IT属性，每次通信技术的革新都会给金融业带来变革，金融业在IT基础设施、数据掌控力和人才集中度方面相较其他产业具有明显的优势，具体体现在以下几个方面：
一是传统银行交易系统每天会产生海量的交易流水信息，这些信息主要是结构化形式的数据；
二是业务中后台处理过程中，银行采集了大量用于集中作业、集中授权、集中监控的影像、视频、录音等非结构化数据；
三是银行网站、各类移动应用产生每天巨大的点击量，这些数据隐含了大量客户需求或产品偏好信息；
四是在各类媒体、社交网站中发布的涉及客户投诉和产品评价信息数据；
五是金融业相比其他行业，具有相对充裕和相对高质量的IT技术和人才储备。
同时金融大数据的分析应用将提高金融业的整体生产力，同物质资本、人力资本一样，大数据将成为经济活动一个重要的生产要素，它也可以转变成为生产力，创造巨大的经济价值。开放的、数字化的银行随着大数据的应用可实现更高的生产力，主要体现在以下几个方面。
一是大数据的发展及部分金融产品交易的虚拟化，使金融供应链下沉并延伸到各个行业终端客户外延，降低了全社会的融资成本和财务费用，提高了整个市场的生产效率。
二是大数据的积累使得商业银行可以通过全面分析内部数据和外部的社会化数据获得更为完整的客户全貌，避免因客户信息不全面导致错误认知，使得销售更具有精准性；此外，银行能够通过现有客户及其人际社会网络或业务网络发现更多具有价值的潜在客户，并对其展开精准营销。
三是通过整合结构化和半结构化的交易数据、非结构化数据及交互数据进行全面的模式识别、分析，能够帮助银行实现事前风险预警、事中风险控制，建立动态的、可靠的信用系统，并对各种交易风险进行识别，有效地防范和控制金融风险，同时深度挖掘高价值的目标客户。
四是促进银行进行产品创新。银行可以通过科学分析技术对海量结构化与非结构化数据进行分析和挖掘，更好地了解客户的财务状况、消费习惯、行为特征、使用偏好、群体特征及个体网络行为模式，银行业可以充分利用这些信息为客户制定个性化、智能化的服务模式，设计开发出更贴近用户需求的新产品。
数据的生命周期一般可以分为生成、变换、传输、存储、使用、归档、销毁7个阶段，根据大数据特点及应用需求的特点，对上述阶段进行合并与精简，可以将大数据应用过程划分为采集、存储、挖掘、发布和感知5个环节。
银行业海量大数据的存储需求催生了大规模分布式采集及存储模式。在数据采集过程中，可能存在数据损坏、数据丢失、数据泄露、数据窃取等安全威胁，因此需要使用身份认证、数据加密、完整性保护等安全机制来保证采集过程的安全性。在数据的采集和收集中我们必须要保证数据传输安全，一般来说传输安全主要包括机密性、完整性、真实性、抗抵赖性，采用VPN、SSL等技术可以达到安全传输效果。
大数据关键在于数据的分析和利用，因此数据存储的安全风险不可避免地增加了。相对于传统的数据，大数据还具有生命周期长、多次访问、频繁使用的特征，在大数据环境下，也增加了用户隐私数据泄露、企业机密数据泄露、数据被窃取的风险；另外黑客也会想方设法窃取平台中存储的数据，以牟取利益，大数据的泄露将会给企业和用户带来无法估量的后果。在数据的存储中我们应更加注意数据的隐私保护、数据加密、数据的备份和恢复。
数据挖掘是大数据应用的核心手段，是发掘大数据价值的过程，即从海量的数据中自动抽取、智能分析隐藏在其中有用的信息，对高维度的信息进行降维分析，从而找出关联规律。数据挖掘融合了数据库、人工智能、机器学习、统计学、高性能计算、模式识别、神经网络、数据可视化、信息检索和空间数据分析等多个领域。数据挖掘中可能会引入第三方机构，如何保证第三方在进行数据挖掘的过程中不植入恶意程序，不窃取系统数据，这是大数据所面临的问题，我们可以通过身份认证、访问控制、关系型数据库安全策略等技术来进行防护。
数据发布是指大数据在经过挖掘分析后，向数据应用实体输出挖掘结果的环节，也就是数据“出门”的环节，其安全性尤为重要。数据发布前必须对输出的数据进行全面的审查，确保输出的数据符合“不泄密、无隐私、合规性”等要求。通常会采取数据安全审计、数据溯源等技术来保证数据发布的安全。
在获取数据之后，由于网络数据的体量巨大、内容复杂、难从原始数据中得到有用的信息。这些网络流量数据必须经过分析形成简明的、能够理解的形式，进而反映当前的安全状态，即通过各类设备的海量日志进行智能分析，判断网络、应用、终端、数据流的状态正常与否，异常情况在什么时间和位置发生。通常使用建立统一的态势感知平台，形成统一、直观的管理视图进行异常情况的快速响应。
随着智能手机和其他移动设备的爆发式发展，移动应用App在人们的生活中越来越重要，人们可以通过App进行上网、聊天、购物等。银行业作为国民生计重要的一环，跟随社会不断发展的脚步，移动应用目前已经成为金融行业拓展业务、支付渠道的重要发展方向。
随着互联网技术的革新、“互联网+”金融的冲击以及政府“互联网+”行动的推进，传统银行业在面对移动互联网的冲击时态度开始转变，由开始的迟钝到后来猛然醒悟后的厚积薄发。银行业成立独立的数字银行部门，借助移动端资源延伸业务，在“互联网+”金融模式、网络营销模式、客户获取等多方面转型与升级，新旧行业以及不同行业之间的跨界融合趋势日益明显，移动银行、直销银行、传统券商移动应用、移动信用卡应用等金融产品不断推出。根据报告，国有银行和股份制银行移动应用开发率已经是100%，城市商业银行、农村商业银行也在迅猛发展，移动应用的普及趋势已锐不可当。
对于移动金融领域应用主要又可以细分为：传统金融理财、新兴金融理财、支付、金融生活、资讯等。
传统金融理财包括手机银行、传统券商手机应用、传统保险手机应用、传统基金手机应用。
新兴金融理财包括直销银行、炒股平台、外汇、期货、虚拟货币、贵金属交易、互联网理财业务、P2P网贷、众筹、消费金融等。
支付领域包括支付宝、翼支付、京东钱包、财付通、银联钱包、微信钱包等。
金融生活包括银行信用卡、第三方管理卡、随手记、彩票等。
金融资讯包括新浪财经、第一财经、《财经》杂志等。
移动金融的广泛应用也给银行业带来新的挑战，从技术角度看，一个典型的商业银行移动金融应用包含客户端、网络通信、应用服务端三大部分，系统可能面临的安全风险主要也体现在这三个环节。
客户端应用程序自身存在一定的风险。由于目前智能手机尤其是安卓（Android）手机的生态环境较为开放，权限控制灵活，应用分发渠道众多，客户端可反编译、易修改，因而手机应用自身可能面临诸多风险。
从移动终端发出请求，经过运营商网络或互联网，到达防火墙。在这样一个过程中，信息在多个不同的组织和节点中传输，如接入点、ISP的路由器、交换机、骨干网络等。移动应用主要采用HTTP/HTTPS协议，恶意用户侵入其中任何一个节点，都有可能窃取、修改传输的数据。
伴随着大量业务在移动端的达成，用户数据、支付信息、金融账号密码等敏感信息在移动业务系统中流转、累积，作为存储大量数据及控制诸多交易指令的移动应用服务器往往就成了黑客的攻击重心，包括服务器劫持、欺诈行为、拖库攻击等，次之还有针对服务器漏洞进行大量盗刷、薅羊毛等行为，这无疑给移动业务的稳定性带来了极大挑战，而且安全隐患对于开发团队来说更加隐蔽，难以及时地发现和消除。