2019（第二屆）中國金融科技產業峰會于10月31日——11月1日在北京國際會議中心隆重召開。在11月1日下午召開的“金融業網絡信息安全”分論壇上，嘉實遠見信息安全科技專家周明昊分享了《金融科技下的安全管理與挑戰》。

在準備題目時花了不少時間，我看到的議程前一位嘉賓的主題是安全運營實踐，一定是干貨滿滿的題目，那我就講一些工作中遇到的實際問題、思路以及未來發展趨勢。

嘉實遠見科技是嘉實基金全資科技子公司，基本是嘉實基金的IT部門獨立運作起來。我們負責嘉實的安全管理，嘉實是一個中等規模的金融機構，有1000多名員工，3000多個IP，100多個系統，IT的壓力是比較大的。對于券商而言，我們人員可能不算多，但在基金公司里還算規模比較大的，后面我們會聊一下遇到哪些方面的挑戰。

先說下外部的情況，大家對安全很關注，但關注在技術怎樣、金融機構受攻擊了。日內瓦世界經濟組織論壇每年討論世界大事，恐怖襲擊、糧食危機、自然氣候變化等大問題，我們看看網絡安全現在排到什么地位？還是比較靠前的。在可能性上，網絡安全已經排到第三位了，在嚴重性影響利益上，排第一是大規模殺傷武器，第二是極端天氣，網絡安全排在第六，排在食物安全之前。現在很多人餓著肚子，但網絡安全的影響已經排在這個之前了，甚至排在大規模疾病傳播之前。所以在世界范圍內，目前網絡安全提到非常高的政治上的高度。

接下來看看我們面臨的外部對手是什么樣的，我展示了三張圖：第一個圖是暴力團體黑社會，想到的是超價、勒索、收保護費；第二個圖是非法捕魚，日本一家壽司店海鮮飯200日元，相當于人民幣30塊錢，為什么那么便宜？因為它沒有捕魚許可證，非法捕魚；第三個圖片是賣珍珠奶茶。這三個事情都是日本黑社會變化情況，從暴力團體發展成擦邊球生意，再到后面珍珠奶茶完全合法，做著表面合法的生意，非常難打擊。

我們面臨的安全黑產可以類比上面三圖的變化看，過去是網絡勒索，這很明顯是違法事件；后面變成販賣用戶數據，可以包裝打著各種旗號，說運營商大數據幫助精準獲客，其實是把很多數據拿出來賣；再到后面薅羊毛，這個事不一定說是違法，是灰色的事情。跟我們的對抗中，黑產越來越看起來合法化了，它自身的行為也越來越隱蔽了。我們發現現在是安全很難做的時代，因為我們信息系統越來越復雜，很多新技術、新科技一直在發展，安全要適應這些技術的變化，外部威脅也沒有變小。雖然法律越來越嚴格、網絡安全打擊越來越嚴格，但是網絡安全犯罪事件數量已經基本排在第一大類了，行為也越來越隱蔽了，目前安全可能是最難的一段時間。

既然提了問題，再說下相關的思考：

為什么安全這么難做？很大程度在于我們的安全風險，我們做了一些措施減緩風險以后發現減緩程度很難量化。我們看到的結果是什么？去年出事了，今年沒出事，這是有或者無的區別，但是很難說今年沒出事是運氣好而沒出事還是安全做到99%了。

另外，安全上前期很多工作是鋪墊工作、水下工程，真正要表現出來產生結果的是很難量化的一部分。大家知道開車上路需要考駕照、買交強險，出了事故保險公司給你賠，未來我們企業會不會有類似于交強險？保險公司對你的安全狀態做評估，安全做得少的保費低一些，差的保費高一些，錢必須交，出了問題這部分錢用來做賠償。會不會有騙保？這部分錢很大程度上不是賠給企業，是賠給受害的用戶，從你機構網站上泄露出去的用戶的信息，甚至是交的罰款。這樣安全績效更容易體現出來，安全投入500萬，保費降了300萬，這800萬就是我的成績。當然，這是我的想法。

另外，安全成果很依賴于組織內部的配合。安全往往是發現問題的一個部門，但是解決問題、漏洞修復、打補丁、修改口令甚至員工安全意識培訓，員工能不能照著你說的去做，很大程度上取決于你組織內部資源跟你能否有效配合。你達到這個目標就需要融入整個IT部門的績效目標。IT部門的績效如果有安全的成份在里面，如果你跟IT部門的領導是相同的考核、相同的績效，在安全這部分來看，安全的事情就比較容易推很多。

另外，用保險的例子來說，我認為安全問題也是個經濟問題，就是你的投入和產出是不是能夠匹配上。這涉及到我們對安全可能要做預判，因為我們的預算、精力有限，我們目前看到有那么多技術，要做數據防泄密、要看威脅情報、要代碼審計等等，那么多事，一年不可能做得完，我做選擇、做決定的時候就意味著我接受了另外一部分風險。