中国农业银行天津市分行科技与产品管理部总经理 李洁

  数字经济背景下，数据安全法和个人信息保护法的相继出台对商业银行的合规经营提出了更高的要求。农业银行天津市分行(以下简称“天津农行”)按照总行统一部署，从分行实际出发，利用总行平台、系统、工具，以机制、人员、技术建设为落脚点，稳扎稳打提升网络安全服务能力，为推进高质量经营发展保驾护航。

  一、一级分行网络安全服务的现状与特点

  相较于线上集中运营的互联网企业或商业银行的总行机构，商业银行一级分行网点多、设备多、岗位多、人员多、网络接口多，网络安全的战线长，全领域、全覆盖管理面临较大的挑战。

  1. 安全形势愈发严峻，安全意识穿透传导不够

  近年来，商业银行因网络安全造成重大损失的事件时有发生，网络安全的重要性愈发凸显。目前，分行层面已基本具备安全意识，明确了工作方法，但基层行传导、宣贯还不到位，基层人员对网络安全还未形成全面的认识，安全意识还未达到时代的要求。

  2. 数字业务发展迅速，网络接入层风险较大

  一方面，分行的业务合作大多通过专线方式接入内网，第三方机构的网络安全保障能力、网络架构规范性、从业人员技术水平良莠不齐，无法保障系统的安全性。此外，第三方机构多为外包商运维，安全管理意识较为薄弱。另一方面，线上业务发展迅速，存在着各机构脱离管控自行或委托第三方机构搭建网络的情况，互联网资产和“飞地资产”安全隐患较大。

  3. 安全防守架构复杂，近源攻击暴露点较多

  分行网点、自助银行作为面向大众的开放场所，人员流动性大、风险暴露面广，场所内大量设备及网络接口容易被近源物理渗透。攻击者可利用营业场所裸露的网口或网线直接连入内网，或利用自助设备上的各类接口植入代码，甚至利用违规搭建的Wi-Fi 或认证机制漏洞入侵内部网络，安全风险较大。

  4. 监管要求持续提升，数据安全管控线较长

  银行作为数据密集型企业，在客户信息收集、处理、传递、留存等多个环节存在风险隐患。数据安全的管理在于管人，无论拥有多么完善的技防手段，客户经理都要接触客户数据, 也就可能存在违规私自收集客户信息、扩大客户信息知悉范围、违规外发客户信息的问题，从分行到支行, 再到网点，再具体到个人, 管理线条较长。

  二、一级分行提升网络安全服务的具体做法

  立足于总行对安全服务的整体规划，天津农行聚焦机制、人员、技术三个方面，总分结合、高效联动，搭建起“横到边、纵到底”的防护网，构建了“有人干、回头看、交叉验”的网络安全立体服务机制。

  1. 围绕系统部署架构，构建立体化安全防线

  按照总行网络安全防护架构部署要求，天津农行构建了从内至外、由点及面的“四横一纵”安全防护体系。“四横”分别为边界防线、内网防线、系统防线、终端防线;“一纵”指贯通各横向防线的纵向统一管理防线， 将防守战线由点及面、由战线到阵地贯通起来，构建情报中心、处置中心。

  边界防线：在网络边界层部署入侵防御、入侵检测、防APT 攻击及流量回溯、Web 应用安全监测等安全防护工具，对网络攻击进行自动拦截。

  内网防线：从网络边界至各类末端节点部署入侵检测、防APT 攻击及流量回溯、Web 监测、病毒监测、漏洞扫描等安全防护工具，对内网区域进行安全加固。

  系统防线：部署网防G01、蜜罐、漏洞扫描、防病毒等工具，拦截抵达系统层的异常操作。

  终端防线：完善终端准入策略，在用户终端部署数据防泄露、360 天擎、防病毒等安全工具，防控非合规程序安装、染毒、终端入网及数据泄露。

  纵向统一管理防线：将网络安全告警管理、软硬件漏洞管理、资产权属查询、威胁情报查询等操作汇集到安全运营中心，构筑覆盖全域的安全作战指挥部。

  2. 贯穿项目生命周期，推动安全管理前移

  在安全需求管控上，天津农行落实总行SDL 规范， 让科技人员与业务人员共同研制业务需求，提升质效; 让技术产品经理负责应用可用性、编码安全可行性评审把关，为后续系统安全研发提供有效保障。

  在项目研发管控上，天津农行引入DevOps 流水线， 实现软件交付标准化，依托质量门禁实现精准高效的质量控制，打通项目研发、编译、构建、测试、部署各个环节，严格把控代码质量;同时，严格把控开源组件的使用，在严控开源组件准入流程的基础上制定分行开源组件例外审批流程，对系统中使用的所有开源组件进行安全检测与漏洞研判。

  在安全测试管控上，天津农行从源码测试和渗透测试两个阶段实施检查。在源码测试阶段，根据项目类型和部署方式，选择对应的检测工具。针对后台管理系统，使用IAST、CheckMarx 进行插桩、纵向扫描双向检测确保系统无源码漏洞，使用JTest 源码规范检测工具保证编码规范;针对纯前端系统使用Eslint 从编码规范和系统安全漏洞等方面对前端系统进行双向检测。在渗透测试阶段，测试经理负责提出缺陷并承担复测职责，研发人员负责缺陷修复与关闭，以及将渗透测试过程中出现的安全缺陷、安全漏洞逐一记录台账，并定期复盘。

  在投产管控上，项目经理需完成系统安全合规性检查，出具源代码测试报告、安全性测试报告、开源组件

  例外审批表等相关安全合规证明，经统一评审后方可投产。安全管理员根据安全测试和开源组件例外审批情况，组织开展网络安全宣贯，讲解安全漏洞和开源组件漏洞成因和预防手段，形成管理闭环。

  在运行监控上，服务器部署网防G01，实现对异常访问的监控和处置，建立应用防护的最后一道屏障。同时，在服务器区域部署的蜜罐可以诱导异常访问对该系统展开网络攻击，并记录攻击行为，便于追踪取证。

  3. 聚焦团队主要职能，优化安全管理体制机制

  在总行指导下，天津农行成立了网络安全与数据安全管理部。网络安全与数据安全管理部承担安全运营、安全设备维护、安全漏洞管理、防病毒管理、系统安全管理、应用安全管理、数据安全管理、IT 风险管理等职能， 通过“监、防、抓、练”实现人员与流程、人员与工具、人员与系统的深度融合。

  一是抓监控，建立“实时监控+ 及时处置”运营机制。以安全运营中心(SOC)为基础，施行一、二线值班制，一线人员复用生产运行值班人员，二线人员为网络安全与数据安全管理部专职人员。一线人员对SOC 平台进行7×24 小时监控，一旦发现高级别告警立即通知二线人员，并同步在SOC 平台建立告警排查单，构建了有效的安全运营闭环机制。

  二是抓防线，建立“人防+ 技防”数据安全防护机制。一方面，组建数据安全管理员队伍，覆盖分行各业务部门、各支行机关、各营业网点;另一方面，部署推广终端数据防泄露系统(DLP)，构建技术防护模式， 并开展集中治理，引入RPA 自动程序，将扫描结果点对点通报涉敏终端用户，对多次提醒仍不治理、敏感数据留存数量大的终端采取限制入网措施。

  三是抓管理，建立“抓源头+ 抓回头”合规管理机制。从源头上统筹制度落地，明确每个制度的责任团队， 建立“禁止性条款清单”“产出物清单”“支行检查点” 三张制度管理清单，明确不能做什么、必须做什么;组建尽职监督检查柔性团队，对制度执行情况进行检查验证，做好重点问题内部督查。

  四是抓实战，建立“学案例+ 强实战”技能提升机制。主动出击，分析研究各类网络安全事件，梳理攻击思路，学习攻击技术，在行内开展实战演练，及时发现内部漏洞。分析社工攻击案例，组织开展钓鱼邮件演练;学习近源攻击案例，开展网点层面攻击演练。通过演练把安全责任和防范方法传导至每一位员工，强化和提升全体员工网络安全意识和能力。

  三、提升大行社会形象，助推高质量发展

  近年来，金融科技的飞速发展在给商业银行转型发展带来新机遇的同时，也为其带来了前所未有的变数和挑战。面对复杂多变的网络生态环境，天津农行持续强化网络安全人才队伍建设，巩固升级技术手段和管理机制，构筑坚实的网络安全防护屏障，切实承担起维护金融安全、维护金融消费者合法权益、牢牢守住不发生系统性金融风险底线的大行责任。

  多年来，天津农行未发生一起网络安全事件，有效防范系统性风险，内部扫描修复各项漏洞40 余个，将10 余次可能会发生的安全事件扼杀于摇篮之中，避免了经济损失与声誉风险，有效提升了天津农行“诚信立业，稳健行远”的社会形象。2022 年，天津农行取得存贷款总规模保持天津同业首位、个人存款余额突破3000 亿元、涉农贷款在天津同业中居于首位的成绩，各项金融服务深得天津市民认可，大行形象不断提升，连续12 年在“榜样天津”企业社会责任主题推选活动中荣获“卓越金融机构”奖。