对话腾讯金融云副总经理王丰辉：金融核心系统融合创新加速推进 构建全栈安全体系应对新型攻击

金融行业信创推进正进入加速期。

近日，腾讯金融云副总经理王丰辉接受每日经济新闻记者专访时表示，在先期推进办公系统、渠道系统的自主创新改造后，越来越多国内金融机构正将账户系统、交易系统等核心系统进行信创迁移。“融合创新的几年来，国内金融机构的信心正在日益增强，他们真正升级使用之后，发现国产不仅是‘可用’的，而且是越来越‘好用’的。”

在他看来，随着金融行业信创的持续推进，国内金融机构也需日益关注金融的数字安全挑战。尤其是当前APT（高级长期威胁）攻击成为网络空间社会影响最广、防御难度最高的突出风险源，严重威胁金融机构的正常运转与基础设施安全。

“在原先APT攻击没有那么多的情况下，金融机构更多关注流程与节点是否部署安全产品，但随着APT攻击日益多元化且隐蔽化，金融机构在安全攻防演练中，也需要摆脱以往的被动防御模式，实现以结果导向的积极主动防御策略与安全应急响应的快速化、常态化。”王丰辉指出。在这种趋势下，金融机构需将信创推进与金融安全保护紧密关联，构建涵盖早期预防、持续检测、快速响应“三位一体”的金融安全防火墙。

腾讯金融云副总经理 王丰辉 受访者供图

大型金融机构带头，中小金融机构紧随

NBD：能否介绍当前金融领域的信创发展进程？

王丰辉：2019年金融行业开启了软硬件的自主创新，最初是对一些办公系统开展自主创新改造，因为这也是相对容易的操作，比如OA（办公自动化）系统既没有业务强相关性，又没有高并发，相对而言不会那么复杂。所以办公系统等支撑系统是金融领域自主创新的第一步，应该说，截止目前，金融机构实现办公系统信创切换的比例已经很高了。

在办公业务系统开展信创的同时，金融机构也同步推进核心业务系统的自主创新改造，对金融机构而言，它的核心业务系统是最关键的，所以需要分阶段、分批次、有节奏地进行软硬件自主创新。2022~2023年起，一些银行开始着手推进核心系统的信创，但对于涉及SaaS、PaaS、IaaS层的全栈自主创新改造，金融机构会综合考虑服务器、数据库、大数据、中间件、业务系统的性能与稳定性可靠性。概括而言，就是它的核心系统能否在信创系统跑起来，跑得好、跑得快。可以说，2024年起国内金融行业进入全面自主创新阶段，2025~2026年应该是攻坚之年。

此外，金融自主创新的推进，也是分梯队的。比如最初是大型金融机构先尝试做，将更多业务往信创系统迁移，然后中小金融机构紧随其后。因为头部金融机构起到良好的标杆与示范作用，比如头部金融机构在软硬件自主创新过程中，对产品切换设定了规划路径，包括前些年在服务器、数据库等产品推进切换，最近一年多则开始在大数据等产品方面做迁移。从去年底到现在，我们发现大数据信创项目越来越多，且延展出更多的大数据上下游信创项目。

整体而言，我发现信创一路走下来，金融机构越来越有信心，因为他们升级软硬件后，不仅发现“可用”，而且“好用”。尤其是一些头部金融机构涉及高并发、动辄两地三中心的高可用与灾备架构在信创部署后，已经经受住了海量业务的考验。

NBD：信创涵盖服务器、操作系统、数据库、大数据、中间件、业务系统、行政办公等众多方面，目前金融机构在推进信创过程中面临的最大挑战主要是安全全栈，这个挑战该如何解决？

王丰辉：事实上，传统非信创环境遇到的安全问题，在信创环境都会遇到，并且还会面临更多挑战。金融行业受到严格监管，信创实施过程更需要遵循相关政策和法律法规。

目前，与信创关系比较紧密的政策法规较多。以数据安全与隐私保护为例，金融机构时时刻刻都要处理大量敏感数据，包括客户信息、交易记录等，因此数据可能面临泄露、篡改或丢失的风险。为了解决这个风险，腾讯率先对国密算法进行支持，提供覆盖APP、小程序等全渠道形态的SDK，腾讯也在积极支持金融机构完成国密能力的快速替换升级，提升安全加密的强度和自主可控性。

信创的另一个关键要求是安全可控。在信创的过程，金融机构不可避免地会使用开源组件。以往，对于开源组件中的漏洞和风险，金融机构关注度比较少，但是，业务代码中开源组件的比例平均可以达到70-80%，一旦存在未知漏洞爆发，影响就会非常大。此外金融行业经常会使用外包、第三方协助业务开发，如果在这些供应链环节存在安全漏洞，同样会给核心业务系统带来安全风险与损害。

所以，信创过程中的软件供应链的安全，成为今年相关部门重点关注的方向，在今年的国家级攻防演练过程也被重点关注。在这种情况下，实现“安全左移”、“可信组件源”就成为非常关键且必要的动作。腾讯科恩实验室在短时间内，将腾讯自用的能力平台进行解决方案封装，快速赋能给金融行业用户，目前多家头部银行、资管机构已落地这项解决方案，通过腾讯核心技术建立软件供应链安全管控能力。

NBD：你刚提到大型银行与中小银行的信创节奏不一，能否具体介绍信创在不同规模银行的落地状况？

王丰辉：个别大型银行会先迁移自己的渠道业务与外围业务，在发现“没有问题”后，再考虑迁移信用卡业务，因为信用卡业务在金融机构一般是独立的，最后再逐步迁移核心业务与账户系统，但这也是一个不断验证的过程。因为大型金融机构的系统太多，有些大型银行的系统大几百个，所以这些银行内部也会设定自己的优先级与关键迁移路径，其实这也是一个逐步的过程。随着大型银行在系统迁移过程逐步建立信心，加之迁移效果验证日益完整，银行就有底气将更多业务场景迁移到信创系统。

中小银行的信创状况也存在差异，比如有些数字银行从诞生起，就以云模式搭建核心系统，对分布式、云原生的接受度相对较高，也有一些城商行会根据自己的业务特色，先去找一些头部银行交流“信创经验”，再根据前者已验证的迁移成效进行操作。但整体而言，中小银行也不再“观望”，纷纷加快了信创步伐。

信创的安全挑战，不是单点而是全栈

NBD：金融机构在信创迁移过程中，都相当重视云原生的安全问题。当前国内金融行业的云原生安全挑战有多大？在信创过程中如何更好解决云原生安全挑战？

王丰辉：关于云原生的安全挑战，目前正处于一个变革点。

原先，我们对云原生安全挑战的关注，主要聚焦在一些基础设施的保护，比如主机安全、资源隔离、容器保护、开发安全等。在这些基础设施保护举措日益齐备后，我们开始更多聚焦一些关乎金融安全的攻防对抗。比如当前APT攻击成为网络空间社会影响最广、防御难度最高的突出风险源。

所谓APT攻击，是指某个组织对特定对象展开的持续有效的攻击活动。攻击目标通常是金融行业等具有高价值的机构，主要目的是窃取客户信息、破坏关键基础设施等。

近年，APT攻击手法日益多元化与隐蔽化。具体表现在三方面：一是迂回攻击或曲线攻击，比如直接攻击一家大型银行比较困难，他们就会先从对接的第三方机构攻入银行内网，由此找到突破口；二是通过海外分支机构寻找突破点入侵，尤其是当金融机构使用一些在安全方面不够成熟的SaaS或私有云产品（比如办公软件、远程桌面、中间件等），就会给自身系统引入一些安全风险；三是通过供应链、数据托管、权限委托等方面形成突破口，进而威胁金融行业的数字资产。

所以我们必须先假设自己处于持续被APT攻击的态势下，再考虑如何做好云原生安全。首先，要做好风险的前置发现，从原先的被动防御转向主动的风险发现，比如对外暴露的高危端口、高危服务、弱密码等常见漏洞进行持续检测，保证早于黑客发现漏洞并及时快速修复；其次，云原生有大量API、服务暴露在云上面，不管是API，还是数据，都要做好身份与权限的保护。目前身份权限管理缺陷是相当常见的攻击入口，因此金融机构需加强云原生安全态势的管理，对云上服务、数据访问权限与访问合理性进行持续监控。

随着金融机构业务叠加与系统持续发展，金融机构需对以往的安全机制进行渗透测试与代码安全缺陷修复，尽管这涉及到使用周期与投入成本问题，但金融机构仍需明确安全策略是否做到有效保护，漏洞修补是否真的堵住风险，这都需要金融机构做好持续的安全管理。

此外，在上述基础上，金融机构需进行内部系统的联动，比如主机安全与网络安全方面都会收到海量日志，需要进行智能化分析，联动到各项运营流程与管控机制，实现对系统安全风险做出最快速的响应，形成智能化的安全云平台。

因此，只有将早期预防、持续检测、快速响应构建起来，才是对云原生安全挑战做出最好的补充。

NBD：随着金融行业信创进入加速期，金融机构在信创过程中还会遇到哪些金融安全挑战？该如何妥善解决？

王丰辉：信创的安全挑战，从来不是单点的，而是全栈的。比如服务器、操作系统、数据库、大数据、中间件、行政办公等系统在向信创迁移后所遇到各类问题，也是对信创全栈的安全挑战。

举个例子，在安全市场都有漏洞库，且这些漏洞库是分门别类的，分成不同系统与不同栈。金融机构信创系统是否建立完备的漏洞库，补丁是不是定期打好，这也是一个循序渐进的过程，不是一蹴而就的，需要时间逐步完善的。

目前，金融机构也做了很多工作，包括数据安全与隐私保护。在国内，涉及数据安全与隐私保护的政策法规众多，还有涉及国密算法，金融机构核心系统开发，App建设的政策举措也不少，因此金融机构也需要稳步推进信创进程，确保各项业务的安全性符合相关政策法规。

此外，随着信创推进，另一个概念正在兴起，就是软件供应链安全。关于供应链安全，可以从两个方面理解，一是众多信创系统与软件不可避免会使用开源组件，其中漏洞和风险有多大？银行对此关注度是否足够高？有些业务代码的开源组件比例比较高，那么漏洞爆发的负面冲击就会很大，所以金融机构要围绕开源组件做好安全管理。

二是金融机构使用外包的状况较多，让外部机构人员来写代码，使用银行各类系统进行业务操作，其中会不会存在安全漏洞，这都需要金融机构做好相关的安全防范举措。

所以，金融机构不应将信创和非信创的安全挑战“隔离”，因为安全实质是都是“技术问题”与“栈的问题”，金融机构应将同业比较成熟且完备的漏洞库用起来，逐步建设完善自己的金融安全体系。

NBD：大型金融机构与中小金融机构面临的金融安全风险不尽相同？就建立金融安全体系而言，大型金融机构与中小金融机构的侧重点有哪些差异？

王丰辉：事实上，大型金融机构与中小金融机构的业务规模、业务范围、科技预算、安全专家团队都不一样，这是一个非常显性的区别。这些显性区别也就带来金融安全问题的差异性。

比如大型金融机构业务多与系统多，耦合就会比较多，于是安全问题也会比较多。举个例子，比如大型金融机构客户规模可能达到数亿，中小金融机构客户规模仅有数千万，那么两者所面临的高并发等问题是不一样的。我此前做安全技术研发，在一个服务界面的安全测试环节，可能100个人同时使用不会发现任何问题，但到了数万人同时使用，就会出现各种意想不到的软件问题，这就是业务规模所带来的安全复杂性挑战。

在金融安全预算投入方面，大型金融机构与中小金融机构也有差距，大型金融机构拥有相对充足的安全专家资源，顶层设计能力也不错，但中小金融机构缺乏这些资源，对外部机构的依赖会比较大。因此，大型金融机构在构建金融安全方面会更关注自己的顶层设计与安全实施策略等，将方方面面补齐。且一家大型金融机构的很多业务系统都有不同供应商，如何将它们协同起来聚焦一个共同的安全目标，难度也不小。

相比而言，中小金融机构受到科技预算投入、安全专家数量的限制，转而会聚焦解决最关键的金融安全问题，比如他们会特别在意特定场景的安全问题解决方案，并尝试通过这些解决方案解决一系列类似的安全问题。