8月4日，北京金融科技产业联盟发布最新一期《金融科技发展专报》，主题为 “零信任框架在金融行业数字化转型中的应用探索与实践”， 由腾讯云和腾讯安全专家负责撰写。专报介绍了零信任安全框架、金融行业数字化转型的安全挑战、零信任在金融行业的应用场景和应用建议等内容，为金融机构在数字化转型过程中构建“防范网络安全风险”的能力提供参考。
专报全文如下：
编者按
为进一步夯实金融科技应用与实践基础、加快推动金融数字化转型工作。金融科技产业联盟积极组织会员单位进行前瞻性研究，汇集研究成果及实践经验，形成《金融科技发展专报》，供监管部门和产业机构参考。
推进金融数字化转型，势必要深化云计算、人工智能、大数据、区块链、物联网等新技术在金融业务中的广泛应用，通过新技术提高金融业务效能，创新金融业务场景，拓展金融服务边界。新技术的广泛应用在推进业务创新、降本增效的同时，也带来了新的安全风险。本文基于“零信任在金融行业数字化转型中的应用场景”展开阐述，并分析未来金融行业数字化转型过程中的零信任应用建议。
零信任安全框架概述
（一）零信任发展历程和现状概述
零信任的早期雏形源于2004年成立的耶利哥论坛，该论坛提出要限制基于网络位置的隐式信任。2010年，著名研究机构Forrester的首席分析师JohnKindervag提出零信任（ZeroTrust）概念，并由谷歌在BeyondCorp项目中率先得到规模化应用。
从技术发展角度，目前比较常见的技术路线包括软件定义边界、新型身份管理和访问控制、微隔离等。此外，很多厂商在积极探索从持续验证到持续保护的安全技术理念和路径。从市场角度，目前主要有以下几类零信任厂商，第一类是传统安全厂商增加了零信任业务，第二类是零信任创业企业，第三类是用户单位进行了实践后孵化出零信任业务对外提供服务。目前各个厂商主要在解决方案的成熟度、应用需求的理解对接、技术服务的实施效率方面存在一定的问题和挑战。随着近些年业界对零信任的理解、技术研发、方案探索不断深入，零信任在各行业的实践应用也在加速落地。
（二）零信任相关定义
1.根据美国国家标准与技术研究院NIST2020年发布的《零信任架构》标准的定义：零信任提供了一系列概念和思想，在假定网络环境已经被攻陷的前提下，当执行信息系统和服务中的每次访问请求时，降低其决策准确度的不确定性。
2.根据中国通信标准化协会CCSA 2021年报批的《零信任安全技术参考框架》行业标准的定义：零信任是一组围绕资源访问控制的安全策略、技术与过程的统称，从对访问主体的不信任开始，通过持续的身份鉴别和监测评估、最小权限原则等，动态调整访问策略和权限，实施精细化的访问控制和安全防护。
目前，零信任的理念在业界已形成基本共识，可用于对网络资源（含数据）访问过程的安全防护。
（三）零信任安全框架
根据《零信任安全技术参考框架》行业标准（报批稿），零信任安全框架如图1所示。该框架主要包括：访问主体、零信任安全系统（零信任安全控制中心和零信任安全代理）和资源。在控制平面控制访问主体到资源之间的通信路径，在数据平面处理访问主体对资源的实际通信流量。当前国产分布式数据库已经渡过了“能用”阶段，正在迈向“好用、易用”阶段。
零信任安全框架的核心是：围绕身份安全、设备安全、应用安全、链路安全等关键要素，持续的检测关键对象的安全状态，并根据安全状态动态调整访问权限，同时提供对关键对象全生命周期的安全保护。
（图1-零信任安全框架)
金融行业数字化转型的安全挑战
金融行业数字化转型是数字时代的内在要求，也是金融机构实现降本增效和高质量发展的必经之路。《国民经济和社会发展第十四个五年规划和2035年远景目标纲要》明确要求稳妥发展金融科技，加快金融机构数字化转型。中国人民银行印发《金融科技发展规划（2022-2025）》（银发〔2021〕 335号文印发）提出，要“践行安全发展观，运用数字化手段不断增强风险识别监测、分析预警能力，切实防范算法、数据、网络安全风险”。这些纲领性规划文件，给金融行业数字化转型指明了方向和路径，并把安全摆在重要位置。金融行业数字化转型面临以下安全挑战：
（一）新技术应用存在安全隐患
金融应用微服务化后的服务治理存在难题，大数据技术将海量多源金融业务汇聚和分析的数据面临安全挑战，新技术在快速演进，其安全迫需及时跟进。
（二）网络攻击范围不断扩大
金融机构数字化转型叠加疫情的催化，远程办公成为常态，接入金融机构网络的人员和终端规模激增。同时，云、网、边、端等复杂网络架构的应用，以及开放银行、银企合作等新业态的发展，导致金融机构网络边界模糊化，使金融机构服务系统对外、对互联网暴露的范围扩大。
（三）内部威胁的精细化防御能力迫需提高
金融行业由于其业务敏感性，具备较强的安全监管要求，金融机构通过划分外网、内网、DMZ区等不同区域隔离的方式来抵御外部攻击。但随着金融机构业务的发展，内部人员不断增加、内外部业务来往逐步加强，网络安全运营暴露出“ACL难管理”与“缺乏对访问主体安全状态的可见性”两大问题。同时，由于内部人员熟知内网拓扑和弱点，来自内部攻击或泄密的风险大大增加。
（四）网络攻击手段和复杂性上升
金融机构往往是高价值的攻击目标，针对金融系统的APT攻击频频发生，例如2021年3月美国最大的保险公司之一CNAFinancial被勒索软件攻击。金融机构面临攻击链条复杂、持续时间长的局面，且已出现针对国家级金融系统的严重攻击，仅依靠传统防御手段难以应对。
零信任在金融行业
应用情况及场景案例
（一）零信任在金融行业应用总体情况
根据2022年金融信息化研究所发布的《金融业数字化转型发展白皮书》调研统计，在40多家被调研金融机构中，已开展零信任规划、计划配置产品及服务的有9家，实现零信任部分场景多地应用的有6家，开展应用研究探索的有27家，尚未开展此项工作的有6家机构。已开展此项工作的金融机构比例近90%，可见金融机构对零信任整体上是接受和认可的。
（二）金融机构远程、多分支协同办公安全
金融机构远程办公场景如图2所示。金融机构需要确保员工在远程互联网网络、分支机构网络访问总部内部服务的安全。
通过采用零信任框架，为员工提供统一的内部服务安全访问通道，取消职场内部终端直连内部业务系统的网络策略。同时结合“智能权限治理”技术，帮助安全管理员更高效的实现访问权限的运营与管理，实现“最小化授权”。另外，零信任安全架构还可降低传统使用VPN设备以及通过分支机构拉专线对接总部网络的高昂成本，实现降本增效。
（图2-金融机构远程办公场景)
（三）开放银行基础金融服务统一接入管控
开放银行架构使用开放API等方式，允许合作方在其应用中添加银行基础金融服务功能，带来超出银行原始组织范围的业务和客户群体，形成新的商业范式，实现银行与合作方的共赢。通过零信任接口网关，作为互联网通道对外输出银行开放基础服务资源的统一出口，实现对所有开放资源访问的统一管控，保障合作方应用、银行自身应用对接银行开放服务的统一身份管理和访问控制，为最终的C端用户和B端客户提供统一、安全的服务管控体系，如图3所示。
（图3-开放银行API安全场景)
（四）金融大数据中心内服务间的调用安全治理
随着计算需求的增加以及虚拟化、容器、微服务等云计算技术的广泛应用，金融大数据中心的服务数量激增，采用对数据中心网络划分子网域的方式管理已无法有效支撑。同时，海量服务之间访问关系不可见、服务间访问控制策略不好定和频繁更改等都成为新的安全隐患和性能瓶颈。实施零信任框架可以帮助大数据中心进一步缩减内部攻击面，增强服务间访问流量可见性，提高安全治理能力和水平，如图4所示。
（图4-金融大数据服务治理场景)
零信任在金融行业数字化转型中的
应用建议
（一）加强对零信任应用实践总结和推广
虽然金融机构已经有不少的零信任实践，但仍需要进一步总结和梳理应用中的需求场景、方案优缺点、实践经验等，将零信任与数字化转型中的安全需求广泛对接，指导金融行业零信任的应用推广。
（二）加强金融零信任应用政策引导
结合金融科技发展规划、金融数字化转型等行业发展政策，建议出台金融行业零信任安全相关的政策，加大对零信任等安全框架的研发投入，促进零信任框架的技术创新和应用部署。
（三）加强零信任技术标准规范发展
加快研制适应金融行业的零信任安全技术标准，依据标准建立金融零信任产品和解决方案、用户应用情况的评估评价机制，通过标准加强产业界的技术协同与产品互联互通，促进国内零信任产业的有序发展。
