金融行业网络安全管控指引.docxVIP

金融行业网络安全管控指引

我在金融网络安全行业干了快二十年，见过大大小小上百起安全事故，大到全国性交易系统中断，小到社区网点客户信息泄露，深究下来八成以上的事故，都不是攻击者技术有多高明，而是机构本身的管控没做到位——要么是基础漏洞没补，要么是人员流程乱成一锅粥。现在整个金融行业都在数字化转型，网上银行、移动支付、数字化信贷这些业务越来越普及，我们手里攥着亿万用户的财产信息和交易数据，一旦网络安全出问题，不光客户利益受损，机构自己要挨罚丢信誉，甚至还会影响局部金融秩序的稳定。所以我整理了这份实实在在的管控指引，不管是大型金融机构的安全岗，还是中小机构的负责人，都能照着梳理排查，把安全管控的篱笆扎紧。

1基础技术层面：筑牢网络安全的底层防护架构

任何安全管控都得先把底子打好，没有扎实的技术防护做基础，再完善的制度都是空架子，我们首先要把底层架构的管控捋清楚。

1.1全范围网络边界安全管控

很多人对边界的理解只停留在机构总部的公网出口，其实现在金融机构有大量分支机构、社区网点，还有几十上百家第三方合作的接入接口，这些不起眼的边缘位置，恰恰是攻击者最容易突破的薄弱点。前些年我帮一家地方城商行做入侵事后排查，就是一个社区图方便，用了家用级别的路由器，管理员密码还是出厂默认的admin，攻击者扫网扫到之后直接进去，拿到了网点业务系统的访问权限，差点把整个区域的客户交易数据都拖走，想想都后