随着大数据的发展，从银行到P2P再到保险、证券等，越来越多的金融企业开始建设自己的大数据平台。传统上对于数据的管理，金融界是有经验的。但在当前大数据年代，数据规模越来越庞大，接触数据的人越来越多，数据使用的越来越频繁，数据种类越来越多样，数据模型越来越复杂，内网数据和外网数据在很多场景下需要实时交互，对数据安全带来了更严峻的挑战。
金融系统的安全，一般包括四个层面的安全。
（1）管理安全
注意及时、准确的填写内容，利用现场监管的机会，充分展示安全保障能力。金融监管由于行业特点，普遍比较保守，对于新技术的应用较为谨慎，例如人脸识别、二维码付款、大数据风控等新型技术，不建议在汇报沟通中过多渲染。这里点到为止不再多谈。
主管机构在监管层面，目前主要还是看安全制度、信息安全等级保护评测。等级保护测评无需多说。安全制度层面，由于不同金融业态对应不同的安全管理要求，需要结合专业条线的安全管理制度来开展。有些机构为了取得更多安全证书，会去拿一些国外的安全体系认证，这在监管层面不是很认可，我自己的建议是，除非有国外机构的业务，或者真正需要借证书来完善自己的安全管理体系，否则这个证书不用过于强调。
除监管之外，安全管理还有一个重要内容是传递安全的信任感。一个平台是否安全是投资者非常关心的一个角度，平台安全可以分为资金安全和信息安全，而信息安全则需要传递这种信心。如果一个平台被黑客攻击，或者羊毛党大量聚集，或者出现批量的受害者，这对平台的打击是致命的。在安全信心的传递上，一是用人民群众喜闻乐见的形式在平台上宣传，二是要处理好应急事件，尤其在公关层面。
（2）生产安全
金融的安全运维和研发安全上，与其他类型机构相比，安全要求相对较高一些。但本质上并无较大差异，本文也不在这里介绍。主要探讨大数据平台安全。
（3）网络安全
传统金融机构对办公终端的管理都比较完善，甚至双网双机。一些互联网公司在这方面反倒有所欠缺。我自己的看法，终端层面的监控和防护已经是最后一道防线，也是重要的信息泄露点，因此对终端电脑的安全管控必须向金融机构的强度对标，但手段上可以不同。这里涉及到DLP、终端杀毒防木马、BYOD、邮件、上网行为管理、准入、透明加密等多方面内容，不再一一解释。
（4）业务安全
在业务安全上，根据不同的业务特点会有不同的风险。刷库和倒卖是征信业务特有的风险，而账户安全则是所有业务都关心的风险，信贷风控又属于信贷类风险。我想表达的是，安全一直以来受重视程度不足，究其原因相对业务来说是个成本中心，而如果安全切入业务安全领域，则对整个业务带来价值，甚至可能会成为利润中心，是提高安全队伍话语权的重要法宝。
防刷库。征信公司本身的业务特点是接入各方数据，加工成产品后对外输出，典型产品如信贷黑名单，其中汇集了逾期老赖用户。这就会有下游机构进行刷库，简单可以理解为使用所有公民的身份证号进行查询。对这种情况，需要有业务监控，根据机构大小进行分类，异常查询的，可根据人行相关要求，调阅用户授权。另外为防止意外，可进行阈值设定，超出阈值的自动BLOCK并报警。
防盗卖。下游机构在接入接口后，将数据对外转售以此牟利，并留存数据。对于这种盗卖在技术上很难防范。但可以通过下钩子的方法，放置一些特定数据。一旦这些数据在未授权机构出现，则意味有人盗卖，可以根据不同的钩子数据找到盗卖方。
（文/龚才春 国内知名大数据专家、职品汇创始人）
閱讀更多 大董酷評 的文章
