對話騰訊金融云副總經理王豐輝：金融核心系統融合創新加速推進 構建全棧安全體系應對新型攻擊

每經記者 陳植    每經編輯 張益銘

金融行業信創推進正進入加速期。

近日，騰訊金融云副總經理王豐輝接受每日經濟新聞記者專訪時表示，在先期推進辦公系統、渠道系統的自主創新改造后，越來越多國內金融機構正將賬戶系統、交易系統等核心系統進行信創遷移。“融合創新的幾年來，國內金融機構的信心正在日益增強，他們真正升級使用之后，發現國產不僅是‘可用’的，而且是越來越‘好用’的。”

在他看來，隨著金融行業信創的持續推進，國內金融機構也需日益關注金融的數字安全挑戰。尤其是當前APT（高級長期威脅）攻擊成為網絡空間社會影響最廣、防御難度最高的突出風險源，嚴重威脅金融機構的正常運轉與基礎設施安全。

“在原先APT攻擊沒有那么多的情況下，金融機構更多關注流程與節點是否部署安全產品，但隨著APT攻擊日益多元化且隱蔽化，金融機構在安全攻防演練中，也需要擺脫以往的被動防御模式，實現以結果導向的積極主動防御策略與安全應急響應的快速化、常態化。”王豐輝指出。在這種趨勢下，金融機構需將信創推進與金融安全保護緊密關聯，構建涵蓋早期預防、持續檢測、快速響應“三位一體”的金融安全防火墻。

騰訊金融云副總經理 王豐輝 受訪者供圖

大型金融機構帶頭，中小金融機構緊隨

NBD：能否介紹當前金融領域的信創發展進程？

王豐輝：2019年金融行業開啟了軟硬件的自主創新，最初是對一些辦公系統開展自主創新改造，因為這也是相對容易的操作，比如OA（辦公自動化）系統既沒有業務強相關性，又沒有高并發，相對而言不會那么復雜。所以辦公系統等支撐系統是金融領域自主創新的第一步，應該說，截止目前，金融機構實現辦公系統信創切換的比例已經很高了。

在辦公業務系統開展信創的同時，金融機構也同步推進核心業務系統的自主創新改造，對金融機構而言，它的核心業務系統是最關鍵的，所以需要分階段、分批次、有節奏地進行軟硬件自主創新。2022~2023年起，一些銀行開始著手推進核心系統的信創，但對于涉及SaaS、PaaS、IaaS層的全棧自主創新改造，金融機構會綜合考慮服務器、數據庫、大數據、中間件、業務系統的性能與穩定性可靠性。概括而言，就是它的核心系統能否在信創系統跑起來，跑得好、跑得快?？梢哉f，2024年起國內金融行業進入全面自主創新階段，2025~2026年應該是攻堅之年。

此外，金融自主創新的推進，也是分梯隊的。比如最初是大型金融機構先嘗試做，將更多業務往信創系統遷移，然后中小金融機構緊隨其后。因為頭部金融機構起到良好的標桿與示范作用，比如頭部金融機構在軟硬件自主創新過程中，對產品切換設定了規劃路徑，包括前些年在服務器、數據庫等產品推進切換，最近一年多則開始在大數據等產品方面做遷移。從去年底到現在，我們發現大數據信創項目越來越多，且延展出更多的大數據上下游信創項目。

整體而言，我發現信創一路走下來，金融機構越來越有信心，因為他們升級軟硬件后，不僅發現“可用”，而且“好用”。尤其是一些頭部金融機構涉及高并發、動輒兩地三中心的高可用與災備架構在信創部署后，已經經受住了海量業務的考驗。

NBD：信創涵蓋服務器、操作系統、數據庫、大數據、中間件、業務系統、行政辦公等眾多方面，目前金融機構在推進信創過程中面臨的最大挑戰主要是安全全棧，這個挑戰該如何解決？

王豐輝：事實上，傳統非信創環境遇到的安全問題，在信創環境都會遇到，并且還會面臨更多挑戰。金融行業受到嚴格監管，信創實施過程更需要遵循相關政策和法律法規。

目前，與信創關系比較緊密的政策法規較多。以數據安全與隱私保護為例，金融機構時時刻刻都要處理大量敏感數據，包括客戶信息、交易記錄等，因此數據可能面臨泄露、篡改或丟失的風險。為了解決這個風險，騰訊率先對國密算法進行支持，提供覆蓋APP、小程序等全渠道形態的SDK，騰訊也在積極支持金融機構完成國密能力的快速替換升級，提升安全加密的強度和自主可控性。

信創的另一個關鍵要求是安全可控。在信創的過程，金融機構不可避免地會使用開源組件。以往，對于開源組件中的漏洞和風險，金融機構關注度比較少，但是，業務代碼中開源組件的比例平均可以達到70-80%，一旦存在未知漏洞爆發，影響就會非常大。此外金融行業經常會使用外包、第三方協助業務開發，如果在這些供應鏈環節存在安全漏洞，同樣會給核心業務系統帶來安全風險與損害。

所以，信創過程中的軟件供應鏈的安全，成為今年相關部門重點關注的方向，在今年的國家級攻防演練過程也被重點關注。在這種情況下，實現“安全左移”、“可信組件源”就成為非常關鍵且必要的動作。騰訊科恩實驗室在短時間內，將騰訊自用的能力平臺進行解決方案封裝，快速賦能給金融行業用戶，目前多家頭部銀行、資管機構已落地這項解決方案，通過騰訊核心技術建立軟件供應鏈安全管控能力。

NBD：你剛提到大型銀行與中小銀行的信創節奏不一，能否具體介紹信創在不同規模銀行的落地狀況？

王豐輝：個別大型銀行會先遷移自己的渠道業務與外圍業務，在發現“沒有問題”后，再考慮遷移信用卡業務，因為信用卡業務在金融機構一般是獨立的，最后再逐步遷移核心業務與賬戶系統，但這也是一個不斷驗證的過程。因為大型金融機構的系統太多，有些大型銀行的系統大幾百個，所以這些銀行內部也會設定自己的優先級與關鍵遷移路徑，其實這也是一個逐步的過程。隨著大型銀行在系統遷移過程逐步建立信心，加之遷移效果驗證日益完整，銀行就有底氣將更多業務場景遷移到信創系統。

中小銀行的信創狀況也存在差異，比如有些數字銀行從誕生起，就以云模式搭建核心系統，對分布式、云原生的接受度相對較高，也有一些城商行會根據自己的業務特色，先去找一些頭部銀行交流“信創經驗”，再根據前者已驗證的遷移成效進行操作。但整體而言，中小銀行也不再“觀望”，紛紛加快了信創步伐。

信創的安全挑戰，不是單點而是全棧

NBD：金融機構在信創遷移過程中，都相當重視云原生的安全問題。當前國內金融行業的云原生安全挑戰有多大？在信創過程中如何更好解決云原生安全挑戰？

王豐輝：關于云原生的安全挑戰，目前正處于一個變革點。

原先，我們對云原生安全挑戰的關注，主要聚焦在一些基礎設施的保護，比如主機安全、資源隔離、容器保護、開發安全等。在這些基礎設施保護舉措日益齊備后，我們開始更多聚焦一些關乎金融安全的攻防對抗。比如當前APT攻擊成為網絡空間社會影響最廣、防御難度最高的突出風險源。

所謂APT攻擊，是指某個組織對特定對象展開的持續有效的攻擊活動。攻擊目標通常是金融行業等具有高價值的機構，主要目的是竊取客戶信息、破壞關鍵基礎設施等。

近年，APT攻擊手法日益多元化與隱蔽化。具體表現在三方面：一是迂回攻擊或曲線攻擊，比如直接攻擊一家大型銀行比較困難，他們就會先從對接的第三方機構攻入銀行內網，由此找到突破口；二是通過海外分支機構尋找突破點入侵，尤其是當金融機構使用一些在安全方面不夠成熟的SaaS或私有云產品（比如辦公軟件、遠程桌面、中間件等），就會給自身系統引入一些安全風險；三是通過供應鏈、數據托管、權限委托等方面形成突破口，進而威脅金融行業的數字資產。

所以我們必須先假設自己處于持續被APT攻擊的態勢下，再考慮如何做好云原生安全。首先，要做好風險的前置發現，從原先的被動防御轉向主動的風險發現，比如對外暴露的高危端口、高危服務、弱密碼等常見漏洞進行持續檢測，保證早于黑客發現漏洞并及時快速修復；其次，云原生有大量API、服務暴露在云上面，不管是API，還是數據，都要做好身份與權限的保護。目前身份權限管理缺陷是相當常見的攻擊入口，因此金融機構需加強云原生安全態勢的管理，對云上服務、數據訪問權限與訪問合理性進行持續監控。

隨著金融機構業務疊加與系統持續發展，金融機構需對以往的安全機制進行滲透測試與代碼安全缺陷修復，盡管這涉及到使用周期與投入成本問題，但金融機構仍需明確安全策略是否做到有效保護，漏洞修補是否真的堵住風險，這都需要金融機構做好持續的安全管理。

此外，在上述基礎上，金融機構需進行內部系統的聯動，比如主機安全與網絡安全方面都會收到海量日志，需要進行智能化分析，聯動到各項運營流程與管控機制，實現對系統安全風險做出最快速的響應，形成智能化的安全云平臺。

因此，只有將早期預防、持續檢測、快速響應構建起來，才是對云原生安全挑戰做出最好的補充。

NBD：隨著金融行業信創進入加速期，金融機構在信創過程中還會遇到哪些金融安全挑戰？該如何妥善解決？

王豐輝：信創的安全挑戰，從來不是單點的，而是全棧的。比如服務器、操作系統、數據庫、大數據、中間件、行政辦公等系統在向信創遷移后所遇到各類問題，也是對信創全棧的安全挑戰。

舉個例子，在安全市場都有漏洞庫，且這些漏洞庫是分門別類的，分成不同系統與不同棧。金融機構信創系統是否建立完備的漏洞庫，補丁是不是定期打好，這也是一個循序漸進的過程，不是一蹴而就的，需要時間逐步完善的。

目前，金融機構也做了很多工作，包括數據安全與隱私保護。在國內，涉及數據安全與隱私保護的政策法規眾多，還有涉及國密算法，金融機構核心系統開發，App建設的政策舉措也不少，因此金融機構也需要穩步推進信創進程，確保各項業務的安全性符合相關政策法規。

此外，隨著信創推進，另一個概念正在興起，就是軟件供應鏈安全。關于供應鏈安全，可以從兩個方面理解，一是眾多信創系統與軟件不可避免會使用開源組件，其中漏洞和風險有多大？銀行對此關注度是否足夠高？有些業務代碼的開源組件比例比較高，那么漏洞爆發的負面沖擊就會很大，所以金融機構要圍繞開源組件做好安全管理。

二是金融機構使用外包的狀況較多，讓外部機構人員來寫代碼，使用銀行各類系統進行業務操作，其中會不會存在安全漏洞，這都需要金融機構做好相關的安全防范舉措。

所以，金融機構不應將信創和非信創的安全挑戰“隔離”，因為安全實質是都是“技術問題”與“棧的問題”，金融機構應將同業比較成熟且完備的漏洞庫用起來，逐步建設完善自己的金融安全體系。

NBD：大型金融機構與中小金融機構面臨的金融安全風險不盡相同？就建立金融安全體系而言，大型金融機構與中小金融機構的側重點有哪些差異？

王豐輝：事實上，大型金融機構與中小金融機構的業務規模、業務范圍、科技預算、安全專家團隊都不一樣，這是一個非常顯性的區別。這些顯性區別也就帶來金融安全問題的差異性。

比如大型金融機構業務多與系統多，耦合就會比較多，于是安全問題也會比較多。舉個例子，比如大型金融機構客戶規?？赡苓_到數億，中小金融機構客戶規模僅有數千萬，那么兩者所面臨的高并發等問題是不一樣的。我此前做安全技術研發，在一個服務界面的安全測試環節，可能100個人同時使用不會發現任何問題，但到了數萬人同時使用，就會出現各種意想不到的軟件問題，這就是業務規模所帶來的安全復雜性挑戰。

在金融安全預算投入方面，大型金融機構與中小金融機構也有差距，大型金融機構擁有相對充足的安全專家資源，頂層設計能力也不錯，但中小金融機構缺乏這些資源，對外部機構的依賴會比較大。因此，大型金融機構在構建金融安全方面會更關注自己的頂層設計與安全實施策略等，將方方面面補齊。且一家大型金融機構的很多業務系統都有不同供應商，如何將它們協同起來聚焦一個共同的安全目標，難度也不小。

相比而言，中小金融機構受到科技預算投入、安全專家數量的限制，轉而會聚焦解決最關鍵的金融安全問題，比如他們會特別在意特定場景的安全問題解決方案，并嘗試通過這些解決方案解決一系列類似的安全問題。