银行业业务安全体系建设白皮书2023

银行业业务安全体系建设白皮书总结

一、银行呈现数字新业态，业务与风险博弈发展

• 数字金融成为金融业转型的发展趋势：数字金融以新一代信息技术为核心，通过互联网及信息技术手段与传统金融服务业态相结合，成为金融业转型的必然趋势。银行数字化转型呈现数据化、智能化、开放化和协同化特征，提升业务创新能力、客户体验和服务质量，构建金融生态，促进行业共同发展。
• 银行数字新业态与业务安全风险博弈发展：
  • 黑灰产业发展迅猛，规模逐渐壮大：黑灰产活动隐蔽性增强，组织规模日益壮大，形成规模化、集团化的运作模式，从业者变得更有组织性、传播性和信息感知度。黑灰产各环节集成化发展，形成完整产业链条，包括资源层（账号等）、服务层（账号注册、养号等）和变现层（攻击企业、洗钱等）。
  • 欺诈手段不断升级，呈现多趋势变化：欺诈手段呈现场景化趋势，攻击手段随着场景变化不断优化，利用不同手段攻击；被欺诈群体年轻化，年轻群体更易受骗。
  • 网络空间内银行面临多样化的业务安全风险：银行业务场景面临着业务逻辑漏洞风险、电信诈骗风险、数据泄露风险和非法洗钱风险等。
• 银行业务安全重要性凸显，金融领域监管逐渐清晰化：
  • 业务安全重要意义与价值：业务安全对用户、企业和社会都具有重要意义，保障用户获得公平的金融决策、信息安全和个人隐私安全，助力企业风险防控、资产安全和经营活动目标实现，促进国民经济可持续发展和社会稳定。
  • 金融领域业务安全监管逐渐清晰化：国家层面和金融领域出台了一系列监管政策，如《反洗钱法》、《金融科技发展规划》、《反电信网络诈骗法》等，为金融机构业务风险防范指明了方向，提出了更严格的要求，并给予了全面细致的指导。

二、银行业务安全发展仍处初期，体系建设面临诸多问题挑战

• 银行业务安全体系建设面临技术手段和管理制度两方面的挑战：
  • 业务安全建设技术手段有效性面临挑战：数据来源有效性难以保证，技术应用有效性难以保证。
  • 银行业务安全建设管理制度仍需加强：业务安全专业人才缺失，业内管理制度仍需加强，业务安全重视程度仍需加强，亟需达成统一共识。

三、银行业业务安全防御体系建设关键点

• 业务安全防御体系建设目标：利用数字化技术，建设支撑平台、防御策略和管理机制，防范业务安全风险，履行银行风险防控主体责任，满足监管要求，保障银行业务安全稳健运行，保障客户和银行的信息及资产安全。
• 业务安全防御体系建设思路与路径：业务安全防御体系需各业务经营部门、中后台风险合规管理部门及科技部门的紧密配合，建立全行级的管理办法和指引方针，围绕防御策略在各阶段的落地应建立配套的管理机制和流程。
• 银行业业务安全体系防御策略建设关键点：
  • 事前阶段：业务安全防御策略应与业务交易同步设计、同步建设、同步上线，基于法律法规、监管要求和技术标准，持续建设完善安全知识库，设计场景化安全风险防御策略库。
  • 事中阶段：围绕业务交易层面常见的安全风险和黑灰产常用的作案手段，不断丰富风险识别策略和不断提升交易覆盖面，重点从丰富风险识别手段、风险识别要素、差异化风险识别特征、弹性化风险处置等方面提升。
  • 事后阶段：建立敏捷的防御效果感知机制，能根据防御效果及时调整风险防御策略，建立黑灰产情报动态跟踪和应用机制。
• 银行业业务安全体系支撑平台建设关键点：
  • 事前阶段：具备策略配置功能，建立规则引擎、指标引擎、模型引擎、画像引擎、情报引擎和决策引擎，持续丰富风险识别因子和手段。
  • 事中阶段：具备防御服务接入功能，支持各类交易环节的风险识别和处置，具备自熔断能力，支持高并发交易的风险识别，支持根据风险等级下发不同级别处置指令。
  • 事后阶段：具备可视化风险分析功能、风险核查功能、风险报表功能和策略调优功能。
• 新技术在业务安全防御体系建设中的需求与挑战：
  • 大数据：提升银行风险分析能力，助力银行欺诈行为检测，但黑样本数量影响建模分析精准度，专业人才数量不足。
  • 人工智能：增强银行信息洞察，助力业务风险防范，但构建门槛过高，行业资源不足。
  • 隐私计算：解决数据孤岛及多方不信任问题，但性能瓶颈阻碍其大规模商业化落地，算法协议难以达成统一，数据样本数量影响建模分析，设备环境可能存在安全风险。
  • 大模型（AIGC）：提供智能客户支持，应用场景广泛，但在数据隐私保护、数据质量和准确性、低解释性和低透明性、学习成本等方面仍面临挑战。

四、银行业业务安全发展趋势与展望

• 业务安全建设不断夯实，体系标准更加完善：持续推进标准化建设，规范业务安全相应的制度和策略，为银行业提供一套统一的准则和指导方针。
• 聚焦关键技术创新，集合产学研力量加强攻关：银行业对于创新技术的资源投入将持续增加，产、研、学力量的集合将加快业务安全体系的搭建进程。
• 业务安全重视程度不断增加，业界内外均展开意识理念培养：强化业务安全教育理念，加强全民业务安全意识的培养，加强对从业人员的业务安全理念教育，更加重视业务安全从业者的人才培养。