技術(shù)干貨 | 金融科技創(chuàng)新中的數(shù)字身份安全

用戶身份管理與識(shí)別，對于金融科技而言一直是重中之重，在當(dāng)前金融科技數(shù)字化轉(zhuǎn)型背景下，金融科技正在給銀行業(yè)務(wù)帶來前所未有的變革，伴隨移動(dòng)互聯(lián)網(wǎng)和智能終端的普及，以資源共享、線上線下融合為主要特征，金融科技的服務(wù)模式和業(yè)務(wù)流程呈現(xiàn)出以下趨勢：

一是客戶行為改變，90后乃至00后成為金融消費(fèi)主力軍，他們需要銀行隨時(shí)隨地提供定制化的金融產(chǎn)品與服務(wù)，電子支付使用頻率達(dá)到新高，與銀行金融服務(wù)綁定的第三方互聯(lián)網(wǎng)金融消費(fèi)服務(wù)增長較快。

二是金融生態(tài)改變，金融渠道進(jìn)一步線上化、移動(dòng)化、場景化，提供多場景觸達(dá)能力，提供全時(shí)化服務(wù)和改善良好的客戶體驗(yàn)，電子渠道成為與客戶交互的主陣地。

三是競爭態(tài)勢在變，同業(yè)競爭以及來自互聯(lián)網(wǎng)銀行的競爭，需要更加開放的心態(tài)和新的數(shù)字化技術(shù)提升運(yùn)營效率，拓寬服務(wù)范圍，提升服務(wù)水平。

金融科技創(chuàng)新背景下最重要的兩個(gè)特點(diǎn)就是：開放和智能，而安全對于金融行業(yè)而言，是其生存和業(yè)務(wù)發(fā)展的基石。在眾多的信息安全挑戰(zhàn)中，用戶身份識(shí)別對于金融科技而言是老生常談的問題，涉及到各類業(yè)務(wù)場景較多，例如柜面業(yè)務(wù)、電子銀行渠道、銀行卡交易與支付以及內(nèi)部的一體化辦公平臺(tái)。

數(shù)字身份安全有哪些挑戰(zhàn)？

外因驅(qū)動(dòng)：監(jiān)管、合規(guī)是永恒不變的法則。

? 網(wǎng)絡(luò)安全法

? 信息安全等級保護(hù)條例

? 銀保監(jiān)會(huì)銀行業(yè)務(wù)風(fēng)險(xiǎn)防控指導(dǎo)意見

? 商業(yè)銀行內(nèi)部控制指引

? 海外的薩班斯法案、GDPR等

內(nèi)因驅(qū)動(dòng)：

服務(wù)提升，解決低效或需求不符，向用戶提供高效無縫的服務(wù)；

授權(quán)，解決授權(quán)規(guī)則及關(guān)系復(fù)雜問題，根據(jù)用戶屬性向用戶提供有權(quán)享有的服務(wù)；

身份數(shù)據(jù)共享，解決數(shù)據(jù)安全傳輸和保護(hù)問題，確保數(shù)字身份屬性在各應(yīng)用間的傳遞；

身份認(rèn)證，解決安全與便捷矛盾問題，提供給用戶屬性相匹配的安全快捷認(rèn)證方式；

數(shù)字身份構(gòu)建，與其相關(guān)的屬性收集有誤或缺失，需要集中統(tǒng)一的用戶數(shù)字身份中臺(tái)服務(wù)；

接口API安全，新金融、零售銀行業(yè)務(wù)及開放銀行數(shù)字化轉(zhuǎn)型中的核心能力來自API開放，如何確保數(shù)量眾多的API訪問安全；

標(biāo)準(zhǔn)與規(guī)范，缺少統(tǒng)一和一致性的標(biāo)準(zhǔn)，集成接入過程復(fù)雜，需要持續(xù)性的支撐后期快速迭代的新業(yè)務(wù)應(yīng)用。

如何應(yīng)對這些挑戰(zhàn)？

首先，對數(shù)字身份進(jìn)行分類：

以商業(yè)為例，其用戶類型可以分為內(nèi)部用戶、外部用戶以及終端設(shè)備或應(yīng)用程序三類；內(nèi)部用戶按照業(yè)務(wù)范圍可以分為總行以及各分行行政管理人員和各個(gè)網(wǎng)點(diǎn)的柜面人員；

對內(nèi)而言，內(nèi)部用戶都有統(tǒng)一的基于人事信息管理的員工編號(hào)、辦公應(yīng)用帳號(hào)，對于柜面人員會(huì)單獨(dú)增加柜員號(hào)+機(jī)構(gòu)編號(hào)組成的唯一業(yè)務(wù)編號(hào)；各類銀行交易、以及業(yè)務(wù)辦理的智能終端、柜員機(jī)等設(shè)備，通過網(wǎng)絡(luò)也會(huì)與后臺(tái)應(yīng)用之間產(chǎn)生數(shù)據(jù)交互，從一定意義上來講也屬于內(nèi)部的虛擬自然人用戶，其身份則由內(nèi)置的設(shè)備數(shù)字證書來決定其唯一合法性；

對外而言，金融科技部門同時(shí)又會(huì)有大量的第三方廠商外部駐場運(yùn)維人員，電子銀行渠道業(yè)務(wù)大量面向最終用戶的網(wǎng)上銀行、手機(jī)銀行、微信銀行等，這類業(yè)務(wù)會(huì)產(chǎn)生大量的消費(fèi)者用戶。

因此，從業(yè)務(wù)的角度正確區(qū)分用戶類型是解決數(shù)字化身份差異管理的第一步，也是最基礎(chǔ)最重要的一步。

第二，數(shù)字身份識(shí)別，融合多種認(rèn)證因子

金融科技中對于用戶身份識(shí)別驗(yàn)證的安全性非?？粗兀彩巧锾卣髡J(rèn)證應(yīng)用最多的領(lǐng)域；

目前比較成熟且普及的認(rèn)證方式有動(dòng)態(tài)安全Key、人臉識(shí)別、指紋、短信驗(yàn)證碼等。

融合身份認(rèn)證解決了用戶體驗(yàn)在便利同時(shí)又有安全保護(hù)，其應(yīng)用場景從登錄App，到發(fā)生交易的各個(gè)環(huán)節(jié)。

融合認(rèn)證策略規(guī)則可以從用戶、終端、訪問位置、App等不同維度進(jìn)行組合定義；

事件場景：

?  不同用戶使用同一帳號(hào)登錄

?  同一個(gè)用戶帳號(hào)在不同地點(diǎn)登錄

?  使用不同設(shè)備終端登錄

?  訪問不同敏感度級別的應(yīng)用

?  ……

應(yīng)對措施：

?  采用短信驗(yàn)證碼增多因素認(rèn)證

?  登錄地點(diǎn)發(fā)生變化異常提醒機(jī)制

?  高風(fēng)險(xiǎn)，拒絕登錄，要求用戶確認(rèn)

?  敏感度高應(yīng)用采用二次認(rèn)證

?  ……

第三，識(shí)別權(quán)限管理核心與要素

準(zhǔn)入授權(quán)：基于用戶訪問應(yīng)用的授權(quán)，包括登錄準(zhǔn)入和訪問準(zhǔn)入；

角色授權(quán)：基于RBAC和GBAC兩種授權(quán)模型，實(shí)現(xiàn)用戶操作和管理授權(quán)；

業(yè)務(wù)授權(quán)：基于應(yīng)用系統(tǒng)的進(jìn)一步細(xì)化授權(quán)，通常包括業(yè)務(wù)的自身頁面、菜單、按鈕和操作授權(quán)，業(yè)稱為細(xì)粒度授權(quán)；

數(shù)據(jù)授權(quán)：基于應(yīng)用后臺(tái)的數(shù)據(jù)操作、查詢和管理授權(quán)，包括權(quán)限建模、權(quán)限功能融合等。

第四，合規(guī)審計(jì)、風(fēng)險(xiǎn)感知分析

數(shù)字身份環(huán)境分析

用戶在業(yè)務(wù)訪問過程中的訪問來源分析與監(jiān)測，包括移動(dòng)設(shè)備、電腦設(shè)備、網(wǎng)頁版本、操作系統(tǒng)類型、網(wǎng)絡(luò)環(huán)境類型等。

訪問行為分析

針對用戶訪問行為進(jìn)行分析與風(fēng)險(xiǎn)感應(yīng)，包括訪問身份、訪問時(shí)間、訪問時(shí)段、訪問頻率、訪問來源、訪問URL等。

用戶習(xí)慣分析

用戶習(xí)慣分析主要包括用戶的相關(guān)標(biāo)簽和習(xí)慣，包括用戶類型、上網(wǎng)時(shí)段、訪問類型、認(rèn)證方式、訪問來源等。

用戶軌跡分析

以用戶身份為核心的用戶信息分析、用戶標(biāo)簽、訪問足跡、訪問預(yù)測等。

風(fēng)險(xiǎn)動(dòng)態(tài)感知

基于上下文、多元數(shù)據(jù)的綜合風(fēng)險(xiǎn)預(yù)判與動(dòng)態(tài)感知，包括訪問行為趨勢、行為預(yù)判、風(fēng)險(xiǎn)預(yù)測等綜合分析，在風(fēng)險(xiǎn)發(fā)生時(shí)進(jìn)行動(dòng)態(tài)權(quán)限調(diào)整、認(rèn)證升級。

第五，輸出規(guī)范與標(biāo)準(zhǔn)

用戶管理規(guī)范：命名規(guī)范、密碼規(guī)范；

數(shù)字身份管理運(yùn)營規(guī)范：流程申請、應(yīng)用發(fā)布規(guī)范；

應(yīng)用接入規(guī)范：用戶同步接口規(guī)范、應(yīng)用認(rèn)證接口規(guī)范。

最終，構(gòu)建金融科技新業(yè)態(tài)下的可信數(shù)字身份管理平臺(tái)。平臺(tái)定位為信息科技中心的基礎(chǔ)架構(gòu)，通過以“人”為核心的安全管理，為金融應(yīng)用安全賦能！

可信數(shù)字身份對于金融科技創(chuàng)新在信息安全中的收益：

? 服務(wù)提升，可信數(shù)字身份可以讓金融機(jī)構(gòu)為用戶提供安全可靠的定制服務(wù)；

? 運(yùn)營提效，簡化操作流程，減少人為失誤；

? 安全合規(guī)，多因子認(rèn)證結(jié)合，解決安全與便捷互相矛盾的問題，數(shù)字身份的存儲(chǔ)和管理與行為審計(jì)分析結(jié)合，使得合規(guī)審計(jì)更容易也更精準(zhǔn)；

? 業(yè)務(wù)價(jià)值提升，數(shù)字身份屬性的豐富和完善，可以讓金融機(jī)構(gòu)更有針對性改善產(chǎn)品和優(yōu)化服務(wù)；

? 競爭力提升，用戶體驗(yàn)的提升是金融科技數(shù)字化轉(zhuǎn)型的重要組成。