金融服务合规性取决于软件安全

金融服务机构有充分的理由确保其所用软件代码的安全性。显而易见的动机当然是保护数据免受泄露，因为数据泄露会导致个人身份信息（PII）外泄、清理费用高昂、面临罚款和赔偿，并损害机构声誉。另一个持续存在的理由是需要遵守一系列行业和政府法规。

由于金融服务行业处理大量敏感的个人和财务信息以及资金，因此受到严格监管。根据所提供的服务，企业必须遵守各种规则和要求。

例如，支付卡行业数据安全标准（PCI DSS）以其保护持卡人数据的规则而闻名。《萨班斯-奥克斯利法案》中的要求管理着财务记录。跨国经营的企业对《数字运营弹性法案》（DORA）非常熟悉，这是一项具有约束力的风险管理框架；此外还有由环球同业银行金融电讯协会（即 Swift）制定的全球资金转账标准。

此外，《加州消费者隐私法案》（CCPA）和欧盟的《通用数据保护条例》（GDPR）等法律对保护客户隐私和个人信息提出了要求。此外还有其他法规，例如美国货币监理署（OCC）和欧洲中央银行（ECB）制定的监管规定。

不仅如此，《国家网络安全战略》明确指出，软件制造商应为无效的软件安全性负责。美国网络安全与基础设施安全局（CISA）及其 17 个美国和国际合作伙伴也发布了关于软件开发安全设计原则的指南。

金融服务公司的一个共同点是，安全代码是实现这些法规目标的关键要素，有助于更轻松地证明合规性。这也凸显了为什么开发人员需要通过培训和技能提升，确保在开发过程的初期就将安全性应用于代码中。

为了说明其运作方式，我们来看看最新版本的 PCI DSS。

安全编码（及开发人员培训）是 PCI DSS 4.0 的核心

PCI DSS 4.0 于 2024 年 4 月 1 日起强制执行，相较于 PCI DSS 3.2.1 进行了多项重大更新，其中最重要的一点是强调了开发人员在确保软件代码安全方面的作用。

PCI 长期以来一直认可安全软件的重要性。2017 年发布的 2.0 版本就包含了针对开发人员的指南，旨在确保移动设备上的交易安全。4.0 版本中的指南现在强调将安全最佳实践应用于软件开发，并包含了一些关于开发人员培训的具体指导。

这些要求通常表述得较为宽泛，但企业可能希望实施更彻底的方案。

例如，4.0 版本中的一项要求指出，“必须定义并理解开发和维护安全系统与软件的流程和机制”。确保这一点的有效方法是让开发人员接受针对其所用编程语言和框架的精准培训，以填补任何知识空白。

另一项要求规定，从事定制软件开发的开发人员必须至少每 12 个月接受一次培训，内容涵盖：

• 与其工作职能和开发语言相关的软件安全性。
• 安全软件设计和编码技术。
• 如何使用安全测试工具（如果正在使用）来检测软件中的漏洞。

然而在现实中，一年一次的频率不足以解决核心安全问题并纠正不良编码习惯。培训应该是持续且可衡量的，并辅以技能验证流程，以确保培训成果得到有效应用。

PCI DSS 4.0 还包含六项以上的其他要求，涉及预防和缓解各类攻击、记录第三方软件组件、识别和管理漏洞以及其他安全步骤。在每种情况下，组织都应明智地彻底执行这些措施。针对攻击向量的培训应频繁进行，而非每年一次。第三方组件通常是漏洞的来源，应通过软件物料清单（SBOM）程序进行仔细盘点。此外，组织应确保明确界定漏洞管理的职责角色。

新版本还为组织在满足要求方面提供了一定的灵活性，侧重于结果而非形式上的合规，同时增加了对身份验证控制、密码长度、共享账户和其他因素的新要求。

合规始于软件开发生命周期（SDLC）的起点

这些法规的共同点在于，它们都试图为金融服务行业的数据和交易保护设定高标准。正如最新版 PCI DSS 所体现的那样，它们日益强调在软件开发生命周期（SDLC）初期确保代码安全的重要性。美国国家网络安全战略和 CISA 的“安全设计”原则也将安全责任赋予了软件开发者——即在产品发布之前——因此，即使是不直接受金融服务法规约束的公司，也需要遵守这些要求。

企业需要弥合 DevOps 团队（专注于开发速度）与 AppSec 团队（急于将安全融入流程）之间的鸿沟，方法是培养开发人员，使安全成为其工作方式的内在组成部分。然而，这需要一套复杂的技能，远非年度培训课程或标准、陈旧的教育项目所能提供。培训应当是持续且敏捷的，旨在通过真实的实战场景吸引学习者，并以契合其工作节奏的碎片化方式进行。

金融服务公司必须确保安全，既是为了防范数据泄露，也是为了遵守日益严格的法规。在公司声誉和经济损失方面，违规带来的代价可能与数据泄露造成的损害同样严重。例如，IBM 的 2023 年数据泄露成本报告发现，违规程度较高的组织平均面临总计 505 万美元的罚款及其他成本——这比实际数据泄露的平均成本还要高出 50 万美元。

云环境和数字交易的持续增长，使得金融服务行业中的软件安全变得至关重要，PCI DSS 等法规也对此予以认可。确保软件安全的最佳途径是在 SDLC 的初期进行安全编码。而实现这一目标的途径，就是有效地对开发人员进行安全编码实践培训。

如需全面了解安全编码如何帮助金融服务公司确保成功、安全并实现盈利，您可以阅读 Secure Code Warrior 最新发布的电子书：金融服务安全趋势终极指南。

请访问 Secure Code Warrior 博客页面，获取关于网络安全和日益严峻的威胁形势的更多见解，并了解如何利用创新技术和培训来更好地保护您的组织和客户。

‍