关注互联网金融信息风险

本篇文章2362字，读完约6分钟

目前，网络金融由传统金融机构和非金融机构组成。传统金融机构主要指传统金融的互联网创新、电子商务创新和应用软件，非金融机构主要指第三方支付、p2p在线借贷平台、众筹、移动金融应用等。据媒体报道，目前，中国的互联网金融市场是世界上最大的。同时，国内网络安全技术平台和安全防护机制尚不成熟，互联网金融参与者对数据安全和客户信息安全的风险防范意识薄弱，导致互联网金融信息风险事件时有发生。目前，互联网金融黑客入侵、系统漏洞、木马攻击、假冒网站或欺诈网站、垃圾短信等诸多威胁已经成为互联网金融面临的新的重大信息安全风险。

首先，金融网络犯罪集团有组织、有目的地发动攻击的风险。近年来，利用计算机犯罪的数量迅速增加，犯罪数量越来越大，危害性越来越大。攻击者以获取经济利益为目的，组织有针对性的群体攻击，利用黑客软件、密码嗅探程序病毒、木马程序等技术手段攻击网上信息系统，收集敏感信息，窃取网上银行账户、网上购物账户、智能手机通讯录等。，或伪造银行卡，形成了以网络罪犯为中心的上下游经济链条。

第二，客户端安全认证的风险。网络钓鱼网站和诈骗短信是每个网络上的用户都会遇到的陷阱，也是客户端安全认证的风险。入侵者利用客户端用户名和密码的认证机制，利用病毒或非法网站进行攻击。在用户不知情的情况下，个人数据被发送到入侵者指定的数据库平台或服务器，个人帐户和密码被盗。网络钓鱼网站还可以利用真实网站服务器程序中的漏洞，将危险的html代码插入网站的某些网页，从而骗取用户的各种银行账户和密码。此外，通过向用户发送各种垃圾邮件和短信，利用用户的弱密码传播各种欺诈信息或垃圾广告，获取非法利润，大多数犯罪组织在海外网络空设立非法网站，增加了安全监管的难度。

第三，网络金融企业外包的风险。目前，我国没有完善的法律法规体系来规范企业行为，互联网金融外包服务管理不到位，给服务机构带来了数据泄露的风险。这种情况在中国也有发生。目前，在我国的中小型p2p机构中，购买模板搭建平台的不在少数，一些机构将后台外包给第三方机构运营，以降低成本，这导致了巨大的信息安全风险。从第三方购买it系统的P2p组织很容易成为攻击的目标，因为攻击者只用一个模板就可以攻击几个甚至几十个p2p系统平台。

第四，来自云的风险。互联网金融不仅受到金融机构的限制，如网点、自动取款机、网上银行等特定场景，而且银行账户也受到it服务提供商的约束。银行卡的便捷绑定意味着账户发生了很大变化。在银行账户被绑定之前，银行使用有限的场景、强实名和多次验证来验证客户的真实身份。银行账户绑定后，在软件账户服务企业、第三方支付企业和数据存储企业中，银行不能单独承担银行账户的安全责任。如果it服务企业在绑定时留下银行账户、身份、手机和密码信息的痕迹，那么解除绑定本身可能是徒劳的。国内某旅游互联网企业的客户银行卡数据泄露问题反映出互联网企业留下交易痕迹的普遍做法。

银行账户未来的发展方向在于云计算，但是现在强实名账户和一些弱实名甚至匿名的软件账户都被放置在银行系统之外，在软件、电信、数据等相关企业和银行之间，绑定账户的安全性以及使用过程中的权利和责任关系还没有明确界定，存在很大的潜在风险。

基于互联网技术发展起来的互联网金融信息安全技术需要得到重视和加强。传统的信息安全保护系统已经难以提供可靠的安全保护。因此，政府、企业和用户必须共同努力，各司其职，重新界定网络金融信息安全风险防范，促进网络金融健康快速发展。

首先，要建立和完善相应的网络金融法律法规。明确监管主体和标准，注重法律法规的有效衔接，将互联网金融监管纳入现有框架的延伸和拓展。我们应该借鉴国外现有的网络金融监管模式，从监管过程和监管结构两方面入手，选择适合我国国情的监管模式。政府部门应统一分类，分类制定互联网金融信息安全行业标准，指导企业进行相应的信息安全建设和安全运行维护管理。

二是加大对网络金融企业信息安全的投入。互联网金融企业应加大信息安全技术投入，设立专职企业信息管理部门，负责企业信息系统安全管理。结合安全发展、安全产品和安全评估，建立和完善互联网金融企业信息安全体系和安全监控体系，负责信息系统安全配置和访问控制，制定系统使用规范，监控系统用户行为，控制系统安全风险，实现互联网金融长期有效的安全保障。对于现有系统，应采用防火墙、数据库审计、风险评估等手段来增强用户和数据的安全性。

第三，引入电子认证技术，构建安全可信的空.网络目前，域名注册简单，准入门槛低，虚假和恶意网站屡见不鲜。有必要建立可信网站识别系统，通过第三方电子认证机构对网站及其内容的真实性进行身份验证，从而实现可信网站的验证升级，有效降低网络钓鱼网站等信息安全事件发生的几率。同时，通过开发新的认证设备，可以保证移动终端平台的认证安全性，保证用户交易终端环境的安全性，保证用户在进行互联网金融服务时交易的保密性、完整性和不可否认性。

第四，采用自主可控的产品和技术。研发独立可控的计算环境、操作系统、中间件、数据库等基础产品，全面掌握产品核心技术，实现信息系统从硬件到软件的自主研发、生产、升级和维护的全过程，有效保障信息安全和网络安全，确保降低信息系统使用风险。

第五，采取有效措施防止云中的数据泄露。在信息安全等级保护的基础上，建立适合互联网金融自身信息系统的建设规范和信息安全管理规范，充实现有安全措施规范，完善整体信息安全保障体系，建立云计算和数据保护标准体系。数据在传输到云提供商之前被加密，随机密钥的长度被保留，这使得云提供商及其工作人员不可能获得解密密钥，从而确保数据在传输、使用和静态存储中的安全性。

金融网络犯罪集团有组织、有目的地发起攻击的风险

网络金融企业外包的风险

客户端安全认证的风险

制图龚

从云中

风险