数安智库专家-周武宁：专注安全领域多年，持续关注数据安全、网络安全新趋势、新技术，并具备丰富的安全技术应用落地实战经验，具备国家注册信息安全管理人员、数据安全专家认证、零信任专家认证等行业专业资格认证，在网络安全、数据安全、零信任等领域有较深入研究。
01 开放银行数据安全现状
1.1新业态引发新的安全风险
近年来，数字化转型的浪潮滚滚而来，席卷千行百业。银行业作为数字化转型的排头兵，在数字化转型的道路上积极探索，开拓创新，正全面迈入“积厚成势”的新阶段。“开放银行”无疑是银行数字化转型的主要方向和着力点，自2018年以来，开放银行多点开花，股份行与国有大行加快了开放银行转型步伐。
从狭义角度看，开放银行是指通过应用程序编程接口，把特定服务用API的形式开放，将银行内部的信息系统与合作方的信息系统对接。API只是开放的技术手段，而开放银行的本质是数据共享，将银行原来不愿、不想、不敢共享的核心数据进行共享、交易、融合，充分释放数据要素潜能，赋能金融服务。在开放银行这种新业态下，使得银行与合作方紧密相连，增加了数据暴露面，带来了新的数据安全风险。
1.2 新政策提出新的安全要求
数据安全可以说是数字化转型的底板工程，从国家到行业一脉相承。除了国家层面的“三法一条例”外，人民银行在《金融科技发展规划（2022-2025）》中要求充分释放数据要素潜能，推动有序共享，实现数据可用不可见，数据不动价值动，做好数据安全保护，建立健全数据全生命周期安全管理长效机制和防护措施，落实数据安全合规要求。此外，银保监印发关于银行业保险业数字化转型的指导意见，强调要加强数据安全和隐私保护。在推进数字化转型过程中，数据安全合规答卷是当前银行业的必答题。
02 开放银行面临的三类数据安全挑战
我们可以从开放银行的三类典型业务场景视角分析不同场景下数据安全面临的挑战。
2.1 “引进来”的数据安全挑战
“引进来”场景下，银行通过SDK等技术方式将合作方的产品和服务（如便民生活、缴费、信息查询等）嵌入到银行自有业务渠道，如手机银行、网上银行等。从数据安全角度来看，在这种场景下，银行数据安全挑战来自两方面。一是自于合作方SDK个人隐私信息合规挑战，合作方开发能力和安全意识参差不齐，引入的各类合作方SDK是否存在违规收集和处理用户隐私信息、过度获取用户权限、索取无关权限、隐私政策是否合规等问题，银行方面通常难以知晓，也难以监管。这种情况下，极易导致个人隐私数据泄露，给银行和用户造成重大损失。二是第三方SDK自身风险，包括SDK自身安全漏洞、开源组件漏洞等。
2.2 “走出去”的数据安全挑战
“走出去”场景下，银行通多API等技术方式将自有产品和服务嵌入到合作方的业务场景中，如银行贷款产品在第三方平台输出等。这里面最关键的便是API的应用，API作为连接数据和应用的重要通道，在开放银行中扮演着重要角色，也因此成为攻击者窃取数据的重点攻击对象。从当前银行业安全建设情况来看，API安全防护大部分尚处于比较前期阶段，并未形成较为完备的面向API的安全防护体系。对外暴露了哪些API、对谁开放、API权限是否合理、API通信中携带了哪些敏感数据、对方如何使用这些数据等问题都未得到应有的重视。
2.3 “融合创新”的数据安全挑战
“融合创新”场景下，银行与外部合作，数据共享共治，充分融合，创新业务应用，比如银行与多类政务数据融合开展普惠金融，与同业机构数据融合开展精准智能风控、与多方数据联合建模开展精准智慧营销[3]等等。随着这类跨行业、跨机构、跨部门的数据融合应用的落地，数据开放共享类型、共享的渠道、数据的汇聚以及关联分析越发复杂，导致数据安全泄露风险呈现外溢效应，如何平衡数据要素潜能释放和数据安全问题，是保障“融合创新”应用场景落地的关键因素。
03 开放银行数据安全对策研究
3.1. “引进来”场景下数据安全对策
1）个人隐私数据合规管理。
2021 年11 月1 日起，《个人信息保护法》正式颁布实施，标志着我国个人信息保护立法体系进入新的阶段。5 月，国家网信办等四部委联合制定的《常见类型移动互联网应用程序必要个人信息范围规定》正式实施，明确App 不得强制收集非必要个人信息。此外，中国人民银行还发布了《个人金融信息保护技术规范》（JR/T 0171-2020）金融行业标准（以下简称“规范”）。规范定义了个人金融信息分类，明确了对个人金融信息安全防护的相关要求。
现有法律法规和标准规范已提出了较为系统全面的个人信息保护要求。针对第三方SDK隐私合规而言，可以从应用隐私政策合规评估、应用行为检测、行为与政策一致性评估三个方面开展。隐私政策合规评估主要根据法律法规要求对隐私政策内容进行检测，包括政策申明个人信息检测、申明权限检测、内容完整性检测等，并通过与法律要求的比对评估应用是否存在不合规条款。应用行为检测通常使用模拟器或真机环境对应用进行检测，检测维度包括SDK行为检测、权限过量申请检测、未授权收集信息检测、超业务范围收集信息检测、明文存储传输行为检测、个人信息出境风险检测等。隐私政策与行为一致性检测，主要是为了避免“挂羊头卖狗肉”的情况，确保其隐私政策声明和实际行为保持一致。发现问题后，应第一时间进行整改，避免“带病”上线。
2）第三方SDK软件供应链安全管理
重点对第三方应用上线前以及运行过程中的安全漏洞风险进行检测，上线前对应用进行检测发现其使用的开源组件、框架，对存在安全隐患的组件进行整改。上线后持续对应用使用的开源组件进行监测，及时发现开源组件新版本和漏洞。
3.2. “走出去”场景下数据安全对策
开放API安全是该场景下的重要关注点:
1）API安全需要发现能力。
在开放银行场景下，首先对开放的API进行深度的资产梳理和发现，帮助安全团队摸清开放的API以及对应的业务属性，这个是开展API安全能力建设的基本前提。其次是对API漏洞发现和管理，企业应具备持续发现、收集API相关漏洞的能力和机制，并做好补丁管理。再者是API滥用的发现，在API 运行时加强外部风险感知能力和风险阻断能力的建设尤为重要，这样才能够及时准确地感知到API 的任何滥用情况，并及时阻断攻击者的进一步行动。
2）API安全需要检测能力。
在网络攻击检测层面，针对API漏洞攻击、逻辑异常攻击、异常行为，如实现对异常高频访问行为、异常数量级数据访问行为、异常时间访问等异常行为进行持续检测和全面可视化。在数据流转及泄露层面，应当进行数据分类分级治理，通过技术手段对API 访问的数据进行持续监测评估，自动梳理API 接口中的敏感数据流并生成API接口与敏感数据映射，确保个人隐私数据、商业数据以及其他敏感数据进行持续监控（当然，银行业数据分类分级治理应当全局性开展，而非仅限于开放银行场景）。此外，通过识别各种类型的API，对API 的传输内容进行还原、对其传输内容进行精细化检测来达到“谁通过什么方式的API，传输了什么类型的敏感数据”的检测效果，实现敏感信息流转可视化。
3）API安全需要防护能力。
在API安全防护能力方面，重点是基于零信任构建API统一访问、统一认证、统一授权能力，对所有的API访问执行可信认证策略，认证成功后针对不同的应用采取不同的细粒度访问控制策略，并提供完整的访问控制日志记录。为了防止敏感信息泄露，应对敏感信息的交互进行加密，在整个业务流量交互过程中，特殊的敏感信息需要被加密或做脱密处理，例如身份证号、部分姓名，银行卡号、交易号等，以减少敏感信息的泄漏风险。
4）API安全需要响应能力。
一是API漏洞响应，通过持续监测能力发现漏洞能够第一时间予以响应处置，做好补丁管理。二是威胁事件响应，依托基于大数据关联分析的安全运营/威胁统一分析平台等，将所有API相关威胁日志进行集中管理，结合业务与应用部门的数据，实现对所有API 的统一监控与威胁事件感知，以达到可快速处置威胁事件的目的。
随着对API 安全问题逐步重视，金融行业陆续出台多部数据接口有关的标准规范，对数据接口在不同领域的应用、部署、管理、防护进行了规范。当前常见的API安全防护技术从功能上看包含了API 发现、API 身份与访问控制、API 消息安全、API 传输安全、威胁缓解、API 威胁检测、API 安全审计、API 监测与跟踪、API管理等几个方面。
3.3. “融合创新”场景下数据安全对策
融合创新场景下，银行方与外部同业机构、政府、科技公司、高效等第三方机构合作共建数据融合应用平台，数据充分共治共享，业务互联互通，充分探究数据要素潜能。当前，主要应用在普惠金融、智能风控、智慧营销几个方面。为了保障数据安全，隐私计算成为最优解，不少银行都已开始初步开展实践探索。
隐私计算技术路线以多方安全计算、可信执行环境、联邦学习和数据沙箱几类为主[2]。本文提出的方法是基于数据沙箱的解决方案，数据沙箱主要采用分析环境与数据域分离的方式，实现“数据不出门”的前提下“可用不可见”。
下面我们以多方联合建模应用场景进行阐述：
在多方联合建模场景下，银行需要利用多个外部数据源来进行样本训练，通过多源数据提升模型精准度。若想实现既要确保数据隐私安全，又可实现多源数据融合分析的目标，需要在银行和第三方分别部署数据沙箱，数据沙箱包括执行环境和测试环境，执行环境对接各个数据源全量数据。双方管理员可以配置数据置换策略对己方数据进行抽样，将该部分数据进行数据置换与脱敏得到样本数据，并将样本数据上送到测试环境中。测试环境管理员配置数据访问控制策略，对银行的数据分析师分配样本数据权限，数据分析师在访问控制策略的管控下，可以查看并预览有权限的样本数据。
数据分析师获得对应的数据权限后，创建联合建模实验，基于样本数据在实验中进行一系列的ID匹配、特征选择、模型训练与评估操作，完成样例模型训练。数据分析师在完成样例模型训练后，进行全量模型训练和测试。查看训练模型效果，满意后，数据分析师导出最后获得的分析模型，在通过申报审核后带走。
通过上述隐私保护新技术，可有效解决银行与其他合作第三方间存在数据壁垒，无法进行数据融合分析的痛点问题，实现在隐私保护前提下对数据进行融合分析，更安全更智能地提升银行业务模型的准确率。
04 结束语
开放银行是银行业数字化转型的必由之路，数据安全是数字化转型的底板工程，两者紧密相连，息息相关。本文围绕开放银行三种业务场景下数据安全风险与对策进行初步分析与探究，浅析不同场景下的数据安全解决方案，为金融信息安全建设提供借鉴参考。同时，由于笔者当前个人认知能力有限，不足之处后续将持续学习不断完善。
声明：本文仅代表作者个人观点，不代表本公众号及其运营单位意见或立场。
声明：本文来自数据安全推进计划，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
