中国建设银行股份有限公司信息技术管理部总经理 金磐石

　　客户对银行的信心来自安全，信息化时代，客户对银行的信心自然离不开信息安全。然而“左手令牌，右手盾”的层层防护模式与客户便利性诉求相距甚远。加密、加密、再加密;认证，认证、再认证，银行信息系统建设中各类管控要求与敏捷开发、快速满足金融创新需求之间冲突不断，安全管理与信息科技建设不和谐之声日显。对此，建设银行转变安全管理模式，摒弃单纯的安全管控，以安全即服务的理念为指导，构建了全新的安全架构。

　　一、安全架构构建原则

　　针对传统信息科技管控存在的问题，建设银行提出信息安全架构建设的原则：以业务为导向，充分平衡安全和客户体验，实现技术与业务的全面融合;以风险为导向，全面覆盖最佳实践和标准;实现简约安全服务，安全策略动态调整，灵活快速应对各类威胁;边界防护与纵深防御并重，做到前瞻性的风险预警，主动式的风险应对;安全架构由支撑保障业务发展转变为促进推动业务发展。基于上述原则，建设银行提出了信息安全架构的建设策略：构建全面完备的安全基础框架、建立组件化可定制的安全服务、实现以推动业务发展为导向的安全管控。

　　1.构建全面完备的安全基础框架

　　安全基础框架针对全部安全对象，集成了通用的安全技术和安全产品，为整体架构提供技术基础与产品支撑，减少通用模块的重复性建设。同时，基于组件技术的标准化安全功能模块使得安全功能具有高度的灵活性和可扩展性。通过将安全功能集中统一实现，避免了安全功能实现点分散、实现流程过长，提升了安全功能的可靠性和健壮性。

　　2.建立组件化可定制的安全服务

　　将安全功能以组件化的建设理念进行设计开发，安全组件可自由灵活组合，安全功能以服务的形式集中提供，通过标准化、跨平台的服务模式为银行的信息系统提供安全保障。

　　3.实现以推动业务发展为导向的安全管控

　　以促进业务发展为导向，是商业银行未来信息安全工作的发现趋势和模式。以业务的视角，从交易流程出发，充分剖析业务交易元素，实现覆盖全业务流程的关联性安全策略，真正实现对交易风险的全面管控。通过将安全管理策略以业务场景和业务流程为基准进行关联，形成联动的全局性安全管控策略。从业务交易元素出发，重新定义安全管理对象，建立可信接入、可信交易环境、可信数据和可信行为等可信对象。

　　二、安全架构内容及特点

　　建设银行新一代安全架构实现了建设理念、角色定位、工作方式、实现模式和用户体验等的全面转变，形成了由服务接入层、应用安全服务层、基础设施安全服务层和安全策略管理中心组成的全新“安全架构”。

　　①服务接入层。将信息安全功能以服务的形式接入到各个业务应用系统中。该层提供安全代理、安全插件和安全客户端，独立于业务应用系统，为业务应用系统提供安全相关功能接口，将业务系统与安全服务进行了解耦，安全功能调整将不影响业务系统。

　　②应用安全服务层。提供信息

　　安全的核心功能，包括用户认证、客户认证、密码服务、数据安全和安全监控，形成安全功能的组件化、标准化、专业化。面向所有安全对象，建立全面、集中、统一、智能的安全服务体系，实现服务式的运行机制。

　　③基础设施安全服务层。在终端、网络、系统、云等方面提供各类安全控制机制，保障基础设施安全，延伸企业安全边界，为应用安全提供基础保障。

　　④安全策略管理中心(如图1所示)。集中管理各个安全服务的安全策略和参数配置，为安全组件提供统一的策略管理视图，提供统一的安全策略管理及发布渠道，实现集中灵活的安全策略调整。

　　1.体现了“安全即服务”

　　将信息安全功能以服务的形式进行发布，当需要信息安全服务时，需求方仅需要提出所要实现的安全需求，安全功能依据安全需求提供最合理、高效、便捷的安全服务。安全服务对于需求方完全透明，不需要需求方自身进行重大改动。“安全即服务”的模式能够确保更快的部署安全技术，可以减少信息安全功能使用对于需求方的影响，可以使信息安全部门与银行其他技术或业务部门建立较以往不同的合作关系，可以改变银行内部对信息安全的看法，将其视为业务推动者，而不是一个简单的保障和支持者，更不是障碍。

　　以加密服务为例，后台安全逻辑无论多么复杂(如采用什么样的算法，如何协商、生成、更新和交换密钥等)都被安全服务封装起来，应用组件看到的只有一个加密的服务功能。无论后台是否进行国密算法改造，是否进行RSA2048的升级，或采取了复杂的密钥管理措施，业务应用都无需关注，直接调用安全服务即可。

　　安全架构的所有安全功能可通过服务接入层提供的安全代理、安全插件和安全客户端为应用系统提供，由服务接入层统一调度后台的安全服务。安全服务可灵活组合。通过安全策略管理中心动态调整，安全服务智能响应、灵活应对，为应用系统提供定制化的安全服务。

　　2.将传统的“木桶式”边界防护模式转变为“多层水闸式”防范体系

　　建设银行安全架构实现了边界防护和纵深防御并重，将传统的“木桶式”边界防护模式转变为纵深排列的“多层水闸式” 的防范体系，有效避免了安全的短板效应，通过建立可信接入、可信交易环境、可信数据和可信行为等方面的有效关联，实现了以业务交易为主线，面向业务交易开展安全管理和风险防范。

　　在这种体系下，基于安全策略动态调整的优势得以充分发挥，当一道或多道“水闸”出现问题或高度降低时，可通过动态的调整安全策略，使其他“水闸”高度提升，从而保确保企业整体安全水平不降低，形成了面向业务交易的纵深安全管控体系。

　　3.在风险管控和客户体验之间取得平衡

　　传统的安全架构往往只注重最大程度地加强安全保护措施，而忽略了银行作为服务行业的角色定位。建设银行安全架构在建设过程中始终贯彻“安全与客户体验平衡”的建设理念，通过“安全即服务”的模式，实现了安全服务灵活多样、安全策略动态调整，打破了“木桶式”禁锢，在安全防护上既不一味追求最严格--只考虑安全而影响客户体验，也避免最宽松——过分追求客户体验而导致安全水平下降，实现了安全和客户体验的平衡。

　　三、安全架构在渠道交易风险管控中的实践

　　当前，国内银行对于渠道交易风险管控仍处于传统被动式的问题处理阶段，交易风险发生后再开展相关的应急处理工作，这种方式难以有效避免客户信息泄露或资金损失，缺乏风险管控的主动性。

　　建设银行依托安全架构的建设成果，充分利用和整合架构下的大数据挖掘、云计算、智能化监控和分析等新兴技术，通过引入业界领先的规则引擎，完成了渠道业务风险规则的灵活、快速设置，实现了对柜面、网上银行、手机银行、电话银行等各个渠道交易的覆盖，多维度地对渠道交易进行全面风险评估，及时发现、分析和处理客户的风险交易，对不同风险级别的交易进行事前预警、事中干预、事后核实等风险控制，与交易控管平台、短信平台、外呼系统进行联动，增加阻断、挂起、二次短信验证、外呼电话确认等风险内控机制，形成了完整的主动式的渠道交易风险管控体系。

　　渠道交易风险管控体系的基础是，通过对账户进行风险等级划分，基于大数据挖掘技术，将各个渠道的历史数据进行整理分析，对客户交易记录、历史相关案件记录、信息安全事件记录、各渠道交易风险监控等相关数据进行挖掘，对交易时间、交易类型、交易金额、交易场景等交易元素进行分析，形成账户交易行为风险分级模型。基于账户风险分级，建设银行针对各个级别的账户定制了相对应的渠道交易风险管控策略，并通过安全策略管理中心，将安全策略通过安全服务接入层无差别的向各个交易渠道进行同步，确保各个渠道安全策略的有效落实。

　　安全即服务，只有起点，没有终点。建设银行将持续完善安全组件体系，丰富安全服务，根据内外部环境变化，不断优化安全策略，持续完善安全架构。/FCC