數(shù)字化改革不斷縱深，金融行業(yè)需要怎樣的“安全墻”？

文/陳鋒

編輯/子夜

今年1月，摩根大通資產(chǎn)與財富管理公司部門負責人Mary Erdoes，在世界經(jīng)濟論壇發(fā)表的“銀行是否做好準備迎接未來？”演講中提到了一組數(shù)據(jù)：

摩根大通6.2萬名技術(shù)人員中，有相當一部分人員專職應(yīng)對每天遭受的450億次網(wǎng)絡(luò)攻擊行為，這些行為不僅在頻次上是2022年的兩倍，攻擊的形式也更加復(fù)雜。

盡管摩根大通CEO Jamie Dimon很快更正了“每天遭受450億次攻擊”的說法，稱這些攻擊行為本身可能是有意或無意（例如設(shè)置不當?shù)木W(wǎng)頁內(nèi)容抓取工具等）的，也不一定是有意針對摩根大通，但這組數(shù)據(jù)反映出來的一個事實，已經(jīng)成了金融業(yè)最大的挑戰(zhàn)之一：

隨著金融業(yè)數(shù)字化改革不斷深化、AI和大模型加速落地，金融機構(gòu)該如何筑牢“安全墻”？

事實上，無論是從供給側(cè)視角來看，還是從需求側(cè)視角來看，安全挑戰(zhàn)都同時存在。

《2024年中國金融行業(yè)網(wǎng)絡(luò)安全研究報告》中提到，目前國內(nèi)參與金融行業(yè)的網(wǎng)絡(luò)安全廠商約有260家，其中綜合型廠商是主要的參與者，不過在細分領(lǐng)域能提供扎實技術(shù)、產(chǎn)品和服務(wù)的中小型廠商，同樣具備較強的競爭優(yōu)勢。

但金融業(yè)的整體安全訴求也在發(fā)生變化。

一來，在合規(guī)性這一核心驅(qū)動力下，金融業(yè)的安全體系建設(shè)，對實戰(zhàn)應(yīng)對能力的要求在不斷增強，金融機構(gòu)們也更關(guān)注安全能力的深度應(yīng)用和內(nèi)部整合。

二來，技術(shù)環(huán)境的加速變化，也在進一步影響金融業(yè)安全理念的變化、豐富安全價值的內(nèi)涵。

比如9月6日，2024騰訊全球數(shù)字生態(tài)大會的數(shù)字安全專場上，騰訊集團高級執(zhí)行副總裁、騰訊云與智慧產(chǎn)業(yè)事業(yè)群CEO湯道生表示，當技術(shù)突破和應(yīng)用創(chuàng)新成為企業(yè)普遍追求的二次增長曲線、當數(shù)據(jù)成為貫穿企業(yè)業(yè)務(wù)環(huán)節(jié)的血液，就不能再以被動思路來建設(shè)安全，而是應(yīng)當建立起一套可感知、可掌控、可增長的主動安全建設(shè)框架。

騰訊集團高級執(zhí)行副總裁、騰訊云與智慧產(chǎn)業(yè)事業(yè)群湯道生，圖源騰訊安全微信公眾號

上述背景下，安全廠商的壓力也變得更大了，他們需要思考，如何在新的形勢下，適配好金融機構(gòu)更加復(fù)雜、專業(yè)性要求更高的安全訴求？

而騰訊安全給出的解決方案，是一個值得研究的樣本。

1、AI加速金融業(yè)數(shù)字化改革，但也帶來了新的挑戰(zhàn)

過去多年，由于金融行業(yè)的特殊性，即擁有大量的敏感數(shù)據(jù)，包括個人信息、交易記錄、財務(wù)報告等，這些數(shù)據(jù)的安全直接關(guān)系到消費者的利益和金融市場的穩(wěn)定，金融行業(yè)在網(wǎng)絡(luò)安全建設(shè)上，一直處在前列。

IDC在最近的一次預(yù)測中提到，2024年，政府、金融服務(wù)、電信，將仍是網(wǎng)絡(luò)安全支出前三的行業(yè)，支出占比預(yù)計分別為24.9%、18.9%和15.0%。

作為數(shù)據(jù)資源最豐富的行業(yè)之一，金融業(yè)也是數(shù)字化重塑最徹底的行業(yè)之一，持續(xù)做好數(shù)智化轉(zhuǎn)型，是當下每一家金融機構(gòu)的必答題。

艾瑞咨詢在《2024年中國金融科技行業(yè)發(fā)展洞察報告》中預(yù)測，2023-2027年，國內(nèi)金融科技市場預(yù)計將以約12%的增速，于2027年突破5800億元，增速也將連年擴大。

圖源艾瑞咨詢

這對應(yīng)的是，從多模態(tài)數(shù)據(jù)處理到低代碼平臺應(yīng)用，從大模型到AI數(shù)智人等智慧智能應(yīng)用，等等，金融業(yè)對技術(shù)的敏銳度在提升，擁抱新技術(shù)的意愿也越來越強。

IBM的一則統(tǒng)計數(shù)據(jù)顯示，在被調(diào)研金融機構(gòu)中，有86%正在實施生成式AI用例，并且正處于制作或準備上線的階段。

但這些新技術(shù)的加速應(yīng)用，也帶來了潛在的安全風險。

以大模型為例，AI大模型某種程度上開啟了新一輪的‘攻強守弱’——大模型高效泛化內(nèi)容生成的特點，會讓黑客以更低的門檻和成本發(fā)動更密集的攻擊，防守方則需要更縝密的邏輯關(guān)聯(lián)、更精確的溯源能力，等等。

此外，AIGC的迅猛發(fā)展衍生出來的AI欺詐、AI仿冒問題，已經(jīng)成了不少企業(yè)的痛點。

今年1月，香港某跨國公司財務(wù)員工，被騙子利用Deepfake換臉技術(shù)冒充公司CFO進行視頻會議后，被詐騙了2500萬美元；今年5月，某跨國貿(mào)易公司的一名職員，收到偽冒為英國總公司CFO的WhatsApp信息，期間深偽技術(shù)生成的“假上司”指示這名職員將近400萬港元轉(zhuǎn)款至一個本地賬戶。

進一步拆分來看，數(shù)字化改革進程日益縱深的背景下，金融業(yè)面臨的安全風險其實更加復(fù)雜——從數(shù)據(jù)安全到業(yè)務(wù)安全到供應(yīng)鏈安全，再到開發(fā)安全等等，都變得更加嚴峻了。

一方面，數(shù)據(jù)的開放性、流轉(zhuǎn)型的增強，雖然大幅提高了資源配置效率和金融產(chǎn)品風險定價的有效性，能夠幫助金融機構(gòu)更精準捕捉到個人和企業(yè)的潛在需求，進一步拓寬服務(wù)邊界。

但與此同時，這也加劇了數(shù)據(jù)安全問題的復(fù)雜性、嚴峻性。

比如非結(jié)構(gòu)化數(shù)據(jù)分類分級覆蓋度和準確度還比較低，導(dǎo)致這部分數(shù)據(jù)很難執(zhí)行更細顆粒度的保護標準；比如數(shù)據(jù)泄露、濫用、竊取、篡改等安全事件的發(fā)生頻率和嚴重程度還在上升。

另一方面，聚焦到業(yè)務(wù)側(cè)，當前，很多金融機構(gòu)尤其是中小金融機構(gòu)，在業(yè)務(wù)安全方面普遍面臨著兩大挑戰(zhàn)：

一是業(yè)務(wù)場景碎片化所導(dǎo)致的，很多金融機構(gòu)自主開發(fā)的產(chǎn)品體系較難實現(xiàn)標準化；二是業(yè)務(wù)安全的決策流程，也需要業(yè)務(wù)數(shù)據(jù)的相關(guān)積累，而如何將碎片化的數(shù)據(jù)源進行整合，也在變得越來越難。

種種挑戰(zhàn)下，金融機構(gòu)該如何應(yīng)對？

2、從理念到策略，金融機構(gòu)都要更“化被動為主動”

日益嚴峻的安全挑戰(zhàn)背后，連線Insight注意到，今年以來，金融行業(yè)網(wǎng)絡(luò)安全市場，在加速回暖。

根據(jù)《2024年中國金融行業(yè)網(wǎng)絡(luò)安全研究報告》，2023年，受宏觀環(huán)境影響，中國金融行業(yè)網(wǎng)絡(luò)安全甲方支出市場規(guī)模約為91.94億元，同比下降了12%，為近五年首次負增長。不過從今年一季度來看，預(yù)計2024年中國金融行業(yè)網(wǎng)絡(luò)安全市場的甲方支出規(guī)模約為99.97億元，同比增長8.7%。

另一個視角是，今年一季度，銀行和金融其他領(lǐng)域網(wǎng)絡(luò)安全的采購增速在加速回升；CSRadar 商業(yè)分析平臺的監(jiān)測也顯示，當前金融行業(yè)具有網(wǎng)絡(luò)安全采購行為的客戶數(shù)量超過 3500 家，在2020年至2023年期間呈現(xiàn)逐年增長態(tài)勢。

這說明，金融行業(yè)的網(wǎng)絡(luò)安全需求，還在持續(xù)增長。

當然，由于體量、規(guī)模不同，不同金融機構(gòu)在安全建設(shè)上的重點也呈現(xiàn)出差異化趨勢：

大規(guī)模頭部金融機構(gòu)，很多都傾向于自研或與安全廠商聯(lián)合開發(fā)，更關(guān)注數(shù)據(jù)安全和安全運營；

對很多小規(guī)模金融機構(gòu)而言，常態(tài)化的實網(wǎng)攻防演習和攻防演練，也促進了他們對場景化安全能力的需求，相比之下，他們會更加靈活地通過購買安全產(chǎn)品或服務(wù)的方式，來補足安全能力短板。

但隨著產(chǎn)業(yè)互聯(lián)網(wǎng)邁入智能化下半場，金融機構(gòu)做到上述還遠遠不夠，他們過往的安全建設(shè)理念和策略，或多或少還有升級空間。

核心原因在于，數(shù)字化、智能化程度越高，某種程度上也意味著，企業(yè)安全防御的半徑將大幅增加，遭遇攻擊后的反應(yīng)窗口期也將進一步縮短。

基于此，金融企業(yè)如何從過去的“被動防御”，轉(zhuǎn)向構(gòu)建起“主動安全”防線，成了一個重要課題。

舉個例子，在金融風控這一場景下，隨著深度偽造技術(shù)的發(fā)展，很多金融機構(gòu)在識別AI換臉欺詐與假人騙貸行為時，開始顯得有點“力不從心”，越來越的金融機構(gòu)意識到，隨著黑灰產(chǎn)組織日益利用AGI技術(shù)虛構(gòu)“仿真人”進行惡意欺詐攻擊，加上外部經(jīng)濟環(huán)境持續(xù)變化與客群下沉等等因素，過往的風控策略亟待升級。

一方面，金融機構(gòu)風控建模的壓力在不斷變大。

比如以前，企業(yè)建一個通用模型就能用好幾年，風控專家根據(jù)欺詐態(tài)勢靈活調(diào)整風控規(guī)則，就能抵御絕大部分欺詐風險。但現(xiàn)在，在高度動態(tài)、千人千面式的假人騙貸、AI換臉欺詐行為中，往往幾個月就得升級迭代一次風控模型，甚至需要更快。

基于此，IDC認為，業(yè)務(wù)風控正在由“規(guī)則對抗”進入“模型對抗”時代。

其認為，在精細化運營趨勢和AGI技術(shù)發(fā)展迅猛的情況下，傳統(tǒng)基于過去行為預(yù)測未來行為的風控策略將局部失效，金融機構(gòu)對反欺詐的服務(wù)要求逐漸從通用型服務(wù)轉(zhuǎn)化為針對自身場景調(diào)優(yōu)的定制服務(wù)為主，亟需敏捷迭代風控體系和規(guī)則。

另一方面，很多金融機構(gòu)過往的風控策略，更多側(cè)重于單點防御，而缺乏多維度的、能交叉驗證的身份識別等風控措施。

從這一核心場景出發(fā)，可以窺見，在持續(xù)做好安全建設(shè)這件事上，金融機構(gòu)需要更加“化被動為主動”，構(gòu)建起主動安全防線，讓金融安全不再是“黑盒子”。

3、讓安全可感知、可掌控、可增長，

騰訊安全如何幫助金融機構(gòu)筑牢“安全墻”？

如我們上文所述，當前形勢下，金融行業(yè)安全體系建設(shè)對實戰(zhàn)應(yīng)對能力的要求，在不斷提高。

安全廠商也迎來了新的挑戰(zhàn)。他們不僅要能夠提供出可信賴的安全產(chǎn)品，如在數(shù)據(jù)安全、終端安全、供應(yīng)鏈安全等層面，更重要的是，要深入到產(chǎn)業(yè)場景，提供更全面的安全防御能力。

連線Insight觀察到，在一眾安全廠商中，騰訊安全，是在產(chǎn)業(yè)安全實踐上較有代表性的一家。

圍繞各行各業(yè)的安全建設(shè)，騰訊安全的思路是讓安全能“看得見”，如湯道生所說，近年來，騰訊安全已經(jīng)建立起了一套可感知、可掌控、可增長的主動安全建設(shè)框架。

整體來看，騰訊這套框架的打法，其實是層層遞進的。

首先，在基礎(chǔ)防線外部，騰訊安全建立起了百億級的威脅情報體系，覆蓋情報收集、分析和處置，并集成到了全系的安全產(chǎn)品中。這意味著，當風險來臨時，這一體系能夠更快地幫助企業(yè)感知到。

其次，在云上場景，騰訊安全提供了“騰訊云數(shù)據(jù)安全+騰訊云主機安全+騰訊云WEB防火墻+騰訊云防火墻”這四道動態(tài)防線，逐級來降低安全風險，一定程度上，能幫助企業(yè)掌握攻防對抗的主動權(quán)。

在這一方面，騰訊安全還有另一重差異化優(yōu)勢——這四道防線實現(xiàn)了云安全產(chǎn)品與騰訊云、微信等騰訊系產(chǎn)品的聯(lián)動，也能基于AI能力實現(xiàn)風險自動化處置。

騰訊安全告訴我們，當前，這四道動態(tài)防線，已經(jīng)能夠滿足企業(yè)90%的安全基線要求。

9月6日的數(shù)字安全專場上，騰訊安全又進一步發(fā)布了騰訊云安全“4+N”體系，其中“4”可以簡單理解為上述四道動態(tài)防線構(gòu)成的基礎(chǔ)設(shè)施安全，“N”則是騰訊安全面向不同行業(yè)所提出的個性化場景方案。

騰訊云安全“4+N”體系，圖源騰訊安全微信公眾號

換言之，“4”代表的是騰訊面向不同行業(yè)場景的通用基礎(chǔ)安全能力，而“N”則針對性更強。騰訊安全基于從自身的安全能力提煉出來的風控能力，結(jié)合不同的場景特點，進一步打造了專屬于不同行業(yè)、不同業(yè)務(wù)場景的安全解決方案。

聚焦到金融行業(yè)，面向營銷、交易、信貸等場景，騰訊安全都提供了個性化的場景方案。

比如交易場景下，針對行業(yè)頻發(fā)的AI欺詐問題，騰訊安全提出了防AI仿冒可信身份解決方案，以設(shè)備、賬號風控為基礎(chǔ)，結(jié)合AI模型的策略能力，再與實際場景相結(jié)合，來幫助客戶規(guī)避風險。

在登錄驗證、交易轉(zhuǎn)賬、進件審核、線上支付等應(yīng)用場景，這套解決方案的風險識別率達到了99%+。

圖源騰訊安全微信公眾號

針對交易和信貸場景的電信網(wǎng)絡(luò)詐騙風險，騰訊安全提出了金融反電詐解決方案，引入了全面鮮活的網(wǎng)絡(luò)風險感知模型，能夠在行內(nèi)資金風控的基礎(chǔ)上，更前置防范涉及電詐的風險卡。

在賬戶開立、賬戶存續(xù)、保護用戶、解除誤控這四個場景下，這套解決方案能夠保障銀行網(wǎng)點的業(yè)務(wù)秩序，降低電詐對業(yè)務(wù)開展的影響。

具體來看，這一解決方案對涉詐賬戶的覆蓋率超過了90%、對詐騙風險的感知率超過了98%、對風險的提前洞察率超過了80%、解控提額的自動化率超過了70%。

目前，騰訊安全已經(jīng)為包括招商銀行、中信銀行、浦發(fā)銀行等在內(nèi)的超過30家銀行、消費互聯(lián)網(wǎng)金融等機構(gòu)，提供了反詐服務(wù)。

再比如，圍繞信貸場景，騰訊安全還推出了專為金融機構(gòu)設(shè)計的天御金融風控大模型，能夠有效識別多種金融信貸欺詐風險，快速適應(yīng)新的風險環(huán)境和場景，為金融機構(gòu)提供定制化的解決方案。

來看幾個實際案例。

某城商行原先風控水平低于同業(yè)平均水平，部署天御金融風控大模型后，快速提升了風控能力，并將逾期率降低了2%；某家大型銀行信用卡中心在應(yīng)用天御風控大模型后，精準擊中了0.2%的信貸欺詐人群，自2023年起累計挽回了2.6億元損失。

此外，中原消金也通過天御專屬風控模型，構(gòu)建了“獲客+授信準入+貸中管理+貸后管理”的全流程智能風控體系，最后信貸不良率降低了20%以上，模型迭代效率提升了8倍。

騰訊安全透露，截至目前，騰訊云天御風控解決方案已經(jīng)覆蓋金融領(lǐng)域超過80%的標桿客戶，為銀行、證券、保險等客戶提供欺詐識別、金融級身份認證、防止惡意營銷、預(yù)防“羊毛黨”等服務(wù)，累計攔截了超5000萬次可疑交易，護航銀行安全放款超過萬億元。

最后，總結(jié)來看，正如湯道生所言，“安全不應(yīng)該只是默默投入的成本單元，也可以是協(xié)助業(yè)務(wù)發(fā)展的增長動力?！?/strong>

而當騰訊安全幫助這些金融機構(gòu)不斷筑牢安全防線的同時，安全就不僅僅是基于攻防場景的“矛”與“盾”了，也是新的生產(chǎn)力。