以管理理念为基础，赋能农信网络安全建设

 

农信机构的网络信息安全问题主要来源于数字化转型浪潮中IT基础设施的升级换代和复杂多样的外部攻击。随着5G、人工智能、云计算、大数据等新兴技术的快速发展，农信机构传统管理模式已不适用，探索符合当下数字化转型趋势的管理体系更为重要。浙江农商联合银行按照“谁主管、谁负责；谁运营、谁负责”的原则，贯彻落实网络安全责任制。同时，构建全覆盖的安全预警体系，以态势感知、系统安全平台等为技术载体，通过人员、技术、流程的整合，践行“上下联动，共护一张网”的安全理念。具体而言，一是与人民银行、银保监会、公安、网信等监管部门建立联络沟通机制，同时结合威胁情报服务平台，多渠道、全方位、实时跟踪了解国内外网络与信息安全动态，及时通报本系统内出现的网络与信息系统安全情况。二是与安全服务商签订协议，要求其提供安全通告、应急响应等服务，共同处置网络安全事件。三是建立本系统内部网络安全通报预警机制。掌握全省农商银行系统的信息安全情况，上下联动，做好安全预警信息的及时有效处置。

 

以业务场景为本源，打造农信安全管理体系

 

农信机构拥有本地化优势，长期以来立足于农村金融市场，对当地市场环境熟悉度较高，且具有资金管控优势，是依靠周边乡村发展而形成的“草根银行”。农村金融场景多样、参差不齐，不同地区的需求各异，在此背景下，农信机构更应向用户提供“无感知”的金融服务，并将金融服务、用户需求及信息安全有机结合。浙江农商联合银行依托农村金融特色业务场景，建设安全管理体系，逐步构建适合系统特点的软件安全开发全生命周期体系。坚持“风险管控前移”思想，加强系统上线前安全风险管控体系建设，在现有安全管理制度中，加强应用开发阶段的安全管理，明确安全方针，将安全要求落实到架构、需求、设计、编码、测试、上线、运维等各个阶段，建立如安全架构规范、安全需求设计CHECKLIST、安全编码等配套流程规范。同时，逐步实现在安全开发全生命周期（SDL）过程中的工具支持，引入开源软件分析、自动化场景需求分析、交互式应用安全测试等工具，并与DevOps(研发运营一体化)平台集成，探索构建高效、透明、自动化的Dev-Sec-Ops安全体系。

 

以坚持服务“三农”为初心，探索行社数据试验田

 

“2017年之前，大家更多关注的是线上化与移动化，而2017年之后，随着银行机构数字化转型浪潮的不断推进，海量的数据规模、快速的数据流转、多样的数据类型使得网络安全问题更为复杂，如何保障数据安全成为面临的突出问题”，浙江农商联合银行科技管理部安全管理部门负责人介绍道。数据作为数字化转型中的关键要素，在推进金融机构网络安全体系建设中至关重要，传统网络安全工作已不再适应银行数字化转型下的发展模式，当下，金融机构应根据数据的流动特性进行“贴身防护”。农信机构天然具有服务乡村优势，能够发挥点多面广的经营优势，下沉服务重心，收集农村金融相关的数据信息，打造以维护数据安全为核心且具有特色的网络安全服务。以史为鉴，开创未来，农信机构发源于乡村，数字化转型时期也应始终坚持服务“三农”的初心使命，依据不同行社特色服务需求，创新探索服务“三农”的网络安全解决方案。例如，浙江农商联合银行“丰收安全实验室”以行社数据为试验田，根据不同行社需求，打造富有浙江特色的服务方案，切实保障不同层级的网络安全。

 

以科技人才为核心，构建安全运营机制

 

农信机构是乡村振兴的有利抓手，是服务地方经济的关键引擎。数字经济的兴起倒逼农信机构补短板、强弱项，其中加快人才培养成为核心工作之一。在打造完善的数字化管理体系中，金融网络安全工作的性质决定了人才建设更应注重多层次、复合化。浙江农商联合银行顺应时代发展趋势，积极构建常态化、多样化的网络安全培训机制。针对不同层次、不同信息安全要求，精细化开展信息安全培训教育，提升全省系统信息安全意识及专业技能水平。同时，浙江农商联合银行通过网络安全实战训练靶场等技术，以及大量攻击训练、情景式防护训练、红蓝对抗等多样化培训模式，不断提升安全人员的实战能力。在2019至2022年农信系统网络安全竞赛中，浙江农商联合银行取得了两次一等奖、一次二等奖、一次三等奖的优异成绩；在2020年浙江银保业网络安全攻防大赛中斩获团队一等奖及两枚“浙江金融五一劳动奖章”。这些成绩的取得与其人才培养机制密不可分。据了解，浙江农商联合银行对于网络安全人才培养工作提出了明确计划，具体而言，一是在总部各部门培养安全开发全生命周期项目建设安全管理人才，如安全架构、安全需求、安全开发、安全测试等；二是通过攻击训练、情景式防护训练、红蓝对抗等多样化培训模式，提升安全技术人员的实战能力；三是有序推动安全人员执证上岗；四是组织如网络安全等级保护、安全开发全生命周期、监管安全合规、安全需求评估、数据安全等专项安全培训。

 

文 | 《中国金融》记者　张一帆