企业安全评级.PDFVIP

An emerging technology to enhance the ability to control financial risks 一种提升金融风险管控能力的新兴技术： 第三方安全评价服务（SRS ） 赵毅 谷安天下高级经理 安全值产品总监 一种提升金融风险管控能力的新兴技术 一、第三方安全评价服务（SRS ）的兴起 二、从外部视角看金融行业网络安全现状 三、SRS在金融领域的应用场景 四、国内首个第三方安全评价服务－安全值 The rise of the third party Security Rating Service (SRS) 第三方安全评价服务（SRS ）的兴起 Gartner’s new security rating service (SRS) Gartner’s new security rating service (SRS) provide continuous, independent quantitative security analysis and scoring for organizational entities. The services gather data from a variety of public and private sources via passive and active (but nonintrusive) means, analyze the data using proprietary analysis and rate the entities using their own standard scoring methodologies. These tools can be used for internal security reporting and management and for third-party risk management. 20个行业180多个领域6万家企业/机构 Analysis of the financial industry cyber security from the outside 从外部视角分析金融行业网络安全现状 从外部视角评价各行业安全状况 分析对象选择： 基于20个行业6万家机构数据中选择网络安全关注度较高、 较流行的10个行业10000家企业/机构。 分析数据： 来自外部100多个安全数据资源 ，自2017年1月至6月的 安全事件数据。 报告数据来源： 安全值 《10大金融领域2017年6月网络安全报告》 10大金融细分领域外部安全威胁分析 金融行业公有云应用现状 • 分析范围内有29%企业使用公有云服务 10大金融领域云迁移比例 共有云供应商分布 关键问题分析：安全漏洞 • CVE-2015-0204 该漏洞是由于OpenSSL库里的s3_clnt.c文件中， ssl3_get_key_exchange函数，允许客户端使用一个弱RSA秘钥，向SSL服 务端发起RSA-to-EXPORT_RSA的降级攻击，以此进行暴力破解，得到服 务端秘钥。此问题存在于OpenSSL版本0.9.8zd之前, 或1.0.0p之前的 1.0.0 ，或1.0.1k之前的1.0.1 • CVE-2014-0160 （OpenSSL Heartbleed 心脏滴血）在OpenSSL1.0.1 版本的心跳包模块存在严重漏洞（CVE-2014-0160 ）。攻击者可以通过构 造特殊的数据包，直接远程读取存在漏洞的OpenSSL服务器内存中多达