2020-2021年金融行业网络安全研究报告_65页_19mb

2020-2021年金融行业网络安全研究报告总结

核心内容

本报告总结了2020-2021年金融行业网络安全现状、风险特点及发展趋势，通过调研、专家分析与数据统计，揭示了金融行业在安全建设、漏洞管理、攻防演练等方面存在的问题与挑战，并提出了相应的对策与建议。

主要观点

• 金融行业作为关键基础设施，面临日益严峻的网络安全威胁，包括APT攻击、勒索软件、DDoS攻击、数据泄露、员工行为安全问题等。
• 网络安全等级保护制度在金融行业日益严格，监管粒度细化，覆盖范围扩大，安全预算和投入持续增加。
• 数据安全成为金融行业关注的焦点，涉及数据泄露、违规使用、非法交易等问题，受到《数据安全法》《个人信息保护法》等法规的严格监管。
• 攻防演练常态化发展，成为检验金融安全的重要手段。
• 金融行业在安全建设方面存在诸多挑战，如安全预算有限、人员不足、外包风险、IPv6部署带来的新隐患等。

关键信息

一、金融行业等级保护规范

1. 发展历程：从1994年国务院147号令提出“安全等级保护”至今，等级保护制度已经发展了25年，历经等保1.0和等保2.0两个阶段。
2. 基本要求：金融行业等保建设包括技术要求和管理要求，技术体系以“一个中心，三重防护”为核心理念，管理体系遵循生命周期法则。
3. 标准适用：包括《JR/T 0071-2016》《JR/T 0072-2020》等，为金融机构提供安全等级保护实施与测评的依据。
4. 增强性安全要求：在等保2.0中引入了F类增强性安全要求，对金融行业提出了更高的安全标准。

二、数据安全现状与挑战

1. 数据安全关注度高：2020-2021年，有19%的金融企业出现过重大安全事故，数据安全成为重点。
2. 数据泄露与滥用：数据泄露事件频发，涉及个人隐私、交易记录等，影响范围广。
3. 监管与法律：《数据安全法》《个人信息保护法》等法规的出台，推动了数据安全治理的进程。
4. 数据治理挑战：
   • 金融机构尚未建立完善的内部数据安全监管及治理机制。
   • 黑客产业链庞大，数据泄露后易被非法交易。
   • 数据一旦泄露，难以追溯，给金融机构带来巨大损失。

三、攻防演练与安全运营

1. 攻防演练常态化：自2016年起，攻防演练成为年度惯例，推动金融行业安全防护能力的提升。
2. 安全运营体系建设：金融机构普遍重视安全运营，重点方向包括数据安全、业务安全、开发与运维安全等。
3. 安全建设困难：
   • 预算有限
   • 安全人员较少且专业度不足
   • 外包安全风险高
   • 安全建设在部分企业中未受到足够重视

四、金融行业漏洞趋势

1. 漏洞类型分布：
   • XSS、SQL注入、敏感信息泄露、未授权访问等是金融行业最常见的漏洞类型。
   • 银行、证券、保险、基金等细分领域均有明显漏洞分布。
2. 漏洞危害程度：
   • 银行业高危漏洞占比达72.96%，且90%以上的漏洞可通过简单方式被利用。
   • 证券行业敏感信息泄露问题突出，占金融数据泄露的23%。
   • 保险行业高危漏洞占比69%，80%的漏洞可通过简单方式被利用。
   • 基金行业SQL注入为最常见漏洞。
3. 漏洞管理现状：
   • 32%的金融机构基本不具备漏洞生命周期管理机制。
   • 50%具备基础的漏洞生命周期管理机制。
   • 仅18%具备完善的漏洞生命周期管理机制。
   • 漏洞确认时间集中于24小时以内，修复时间从1天到数月不等。

五、安全建设重点方向

1. 安全运营体系建设：提升安全防护与响应能力。
2. 数据安全保护建设：强化数据全生命周期管理。
3. 开发与运维安全建设：加强安全开发和运维流程。
4. 管理制度体系建设：完善安全制度和组织架构。

六、网络安全趋势与建议

1. 风险变化趋势：
   • 移动银行木马全球性泛滥，成为金融安全重大威胁。
   • 勒索软件攻击趋于社工化，利用社会工程学手段进行攻击。
   • APT攻击愈演愈烈，金融基础设施成为攻击目标。
2. 安全建议：
   • 建立纵深防御体系，形成闭环响应机制。
   • 强化员工安全意识培训，防范人为因素引发的安全风险。
   • 加强数据安全治理，完善数据生命周期管理。
   • 推动零信任架构落地，提高安全防护水平。

附录：联合发布单位与智库团队

• 联合发布单位：包括中国工商银行、海通证券、嘉实基金、平安信托、网商银行等。
• 智库团队：FreeBuf咨询汇聚了多位资深安全专家和分析师，包括徐钟豪、曾裕智、尤培骏、宋丹丹、鲍弘捷、武文婧、周雪静等。
• 安全专家聚集区：包括陈景润、大超、兜哥、飞鸟、耿志峰、胡珀、何艺、剑思庭、姜政伟、孔一童、李广林、李华峰、卢明樊、凌云、李洋、刘志诚、马金龙、聂君、秦波、孙琦、宋文宽、盛洋、宋子烨、魏敏敏、王童、谢文博、邢骁、宇宸、杨超、庄飞、赵海锋、朱模卿、张欧、赵锐、张祖优等。

总结

本报告通过深入分析2020-2021年金融行业的网络安全现状、风险特点及发展趋势，揭示了当前金融安全面临的挑战与机遇。随着技术的快速发展和监管的日益严格，金融行业需持续加强网络安全体系建设，推动零信任架构落地，提升安全运营能力，防范数据泄露、APT攻击等新型安全风险，确保金融业务的稳定与安全运行。