写点什么

银行科技外包存风险,金融机构如何做好软件供应链安全管理?

作者:网安云
  • 2023-08-18
    广东
  • 本文字数:1956 字

    阅读完需:约 6 分钟

银行科技外包存风险,金融机构如何做好软件供应链安全管理?

近日,金融监管总局下发《关于加强第三方合作中网络和数据安全管理的通知》,通知中提到:近期发生多起银行保险外包供应商安全风险事件,对银行保险机构的网络系统安全、业务连续性造成一定影响,暴露出银行保险机构在外包服务管理上存在的突出问题。要求各银行保险机构对照通报问题,深入排查供应链风险隐患,切实加强整改。

《通知》提到的 5 起科技外包风险事件中,其中 3 起是由于外包服务商提供的系统、第三方工具存在安全漏洞,遭受黑客攻击而造成的。例如:2022 年 8 月份,4 家省联社托管在某服务商的网银系统因存在越权访问漏洞,被不法分子攻破,大量客户信息和账户信息被窃取。金融机构正在面临严峻的供应链安全管理挑战

01/ 金融机构供应链安全管理挑战

1、对第三方科技供应商依赖度大,断供与信息安全风险激增

随着数字化转型的持续深入,银行、保险等金融机构对外部信息技术的需求不断增加。信息科技外包供应商,作为弥补传统金融机构信息技术短板的专业力量,在金融机构数字化转型道路上承担着越来越重要的角色。

大多数中小型商业银行,更是将信息技术基础设施全部托管于外部机构,这将导致:攻击者可能会以供应商为跳板,攻击企业,导致数据泄露或业务受到影响,甚至违反监管要求,收到相关处罚。

2、金融机构逐渐成为网络犯罪分子眼中的 “香饽饽”

金融行业作为国家关键信息基础设施之一,金融科技系统的安全性将关系到用户、社会乃至整个国家的稳定。随着金融机构信息化程度的增加,信息互联带来高效的同时,也让机构面临巨大的安全威胁。

据国家互联网金融风险分析技术平台数据:截至 2021 年 10 月底,共发现针对互联网金融网站攻击次数达 7476.8 万次。针对金融机构的 APT 攻击、精准式网络攻击日益激增。通过互联网攻击手段实施金融犯罪活动,已经成为金融犯罪的重要手段,金融机构也成为网络犯罪分子的重要攻击目标。

3、第三方供应商水平参差不齐,安全隐患大

供应商对产品安全性的重视程度不足、开发人员安全开发能力有限等,导致第三方供应商产品安全质量参差不齐。

因为研发系统存在安全漏洞,被不法分子攻破;外包服务人员安全管控不足等,导致银行客户数据信息泄露的事件屡见不鲜。

4、软件来源复杂,全方位安全审查难度大

随着金融机构软件采购、外包开发以及调用第三方资源需求增加,软件供应链被拉长、实施参与方增多,引入的安全风险环节随之变多。

同时,不同分支机构在软件采购、验收、运维时各自为战,软件安全准入标准不一,金融机构整体软件安全管理难度随之变大。

02/ 金融机构供应链安全治理的 “2 字” 思路

第一个字:全

软件供应链攻击之所以成为如今黑客攻击的重要方式,很大一部分原因就在于其系统性、联通性强。上中下游环环相扣,通过 “击破” 软件供应链中的某个薄弱环节,就能对终端企业软件系统运转造成影响。如此四两拨千斤的攻击效果,让网络犯罪者们 “前仆后继”。

所以,在考虑对金融机构供应链安全治理上,我们的首要思路就是 “全”——

“全”,一方面是指面向内外部所有软件系统(包含外包、外采、自研等),无一例外,在软件供应链的关键节点进行严格的安全审查;

“全” 另一方面,是从源代码、组件、应用功能、运行环境、端口、二进制文件等等,针对软件系统内部做全而细的安全检测。

网安云软件安全在线检测服务,曾为诸多大型甲方公司,个性化定制软件供应商安全准入检测标准,提供专业标准化的安全检测服务,一站式满足中小型金融机构对软件供应链安全检测的需求。

还有金牌安全专家团队坐镇,辅助进行漏洞验证,并提供整改后免费复测,帮助客户实现安全闭环。



第二个字:明

如今软件安全攻击技术手段不断升级,尤其是针对软件供应链的安全攻击,具有高隐秘性、追溯难的特点,对金融业业务安全威胁极大。

同时,金融机构软件内部组件来源、依赖关系、开源许可等信息不透明、不清晰,也会导致安全隐患更加难发现、难溯源、难清除,安全可控性弱,为系统安全风险应急工作增加难度。

所以,软件供应链安全治理第二个思路就是 “明”

“明” 指的是打开软件资产这个 “黑匣子”,对软件版本、供应商等基本信息与内部成分信息,及其关联关系进行梳理与可视化呈现,大大降低软件资产的 “模糊性”,帮助金融机构快速摸清家底,掌握系统安全自主可控权

网安云软件物料清单管理平台,以软件 / 组件来源、版本等基本信息与软件内部组成成分信息为基础,动态关联外部安全漏洞情报,对企业软件资产进行安全跟踪与管理。运用强大的数据分析处理及挖掘技术、多维数据可视化能力,让软件资产安全态势清晰明了,软件安全问题无所遁形。



软件供应链上每一个环节的安全问题,都有可能成为黑客攻击的切入口。千里之堤毁于蚁穴,把住软件供应链每个关卡,莫让小小漏洞成为洪水猛兽。

以上,就是本期推送的全部内容。

网安云:首页 - 开源网安网安云平台 (wanyun.cn)

发布于: 刚刚阅读数: 3
用户头像

网安云

关注

专注渗透测试、移动安全、软件供应链安全。 2023-07-04 加入

公众号:网安云

评论

发布
暂无评论
银行科技外包存风险,金融机构如何做好软件供应链安全管理?_软件安全_网安云_InfoQ写作社区