网络安全最佳实践，请参考金融行业

本文最初发表于 Regulation Asia。

随着网络攻击日益猖獗，各行各业的各类组织无一幸免，数据泄露带来的高昂代价、声誉损失以及对利润的直接冲击已成为迫在眉睫的现实威胁。这个问题非但没有缓解，反而像肿瘤一样不断恶化。

经常有人问我，哪些组织在应对这一问题时表现出色，能够以精湛的技巧和深厚的造诣驾驭网络安全和应用安全（AppSec）最佳实践这一“蛮荒之地”。我发现自己给出的答案总是指向同一个方向：金融行业做得比大多数行业都要好。

监管：金融行业网络安全领导地位的驱动力

金融行业之所以能在应用安全领域表现优异，原因之一在于他们（至少在一定程度上）受到全球、区域和国家监管机构的驱动。监管机构深知，一旦发生成功的网络攻击或数据窃取，其后果将是灾难性的，影响极其深远。

巴塞尔银行监管委员会（BCBS）去年12月发布了一份 报告，详细介绍了多个司法管辖区在银行、监管和监督方面的网络韧性实践。报告的关键发现之一是网络安全人才短缺，而仅有极少数司法管辖区通过实施特定的网络认证来应对这一挑战。

报告指出：“一些司法管辖区制定了针对IT的特定标准，明确了IT人员和信息安全职能部门的职责，并特别关注网络安全人员的培训和能力建设。”然而，大多数司法管辖区在实施监督实践以监测银行网络安全人员技能和资源方面，仍处于“早期阶段”。

在大多数情况下，监管方案要求受监管实体管理风险，但很少提供明确的风险缓解路径。它们并未设定针对网络安全人员技能和资源的具体要求（或基准）。大多数监管机构通过现场检查来评估机构的网络安全人员情况，自评问卷是常见的做法，培训流程也受到特别审查，但只有少数司法管辖区的法规明确规定了IT人员的角色和职责。简而言之，容错空间很大，但对正确培训和后续技能评估的重视程度却相当有限。

在日本和韩国，公共当局已针对网络安全人员管理制定了指导方针。然而，在大多数其他司法管辖区，对网络人员管理的监管要求仅限于监督预期，监管机构往往不对受监管组织的网络安全技能和员工培训进行评估。

只有中国香港、新加坡和英国发布了专门的框架来认证网络安全人员的技能和能力。虽然“合规”和“认证”这类词汇往往会让那些致力于构建出色软件功能的创意型开发人员感到反感（对他们而言，安全通常被视为安全团队的事），但许多受监管实体所持有的海量敏感数据价值极高，绝不能交给那些技能仅凭“假设”而非经过严格验证的人员手中。

幸运的是，许多银行和金融机构在无需依赖明确监管路径的情况下也意识到了这一点。监管法规确实提供了最终预期（即安全软件）的概览，但他们已经认识到，要实现这一目标，必须通过培训开发人员、加强他们与现有应用安全专业人员的关系，并建立一种培养责任感和主人翁意识的积极安全文化，来绕过网络安全人才短缺的瓶颈。

为什么金融行业拥有网络安全的“X因素”？

对于银行、金融服务和保险行业的公司而言，有几个要素共同构成了他们网络安全领域领导地位的基石。

作为全球金融的守门人（更不用说还掌握着数百万条高度敏感的数据记录），他们天生就是高度合规和受监管的组织，对更新的指导方针、法规和要求有着充分的预期和规划。因此，他们能够迅速适应缓解网络风险的不断变化的需求，不仅拥有最严格的网络安全最佳实践政策，还具备端到端的流程来降低潜在攻击的风险。

那么，金融机构与其他行业有何不同？根据我的经验，他们已经打下了良好的基础，比其他行业更具安全意识，并识别出对全面培训计划的需求，不仅为应用安全专业人员和渗透测试人员投入资源，也为他们（通常规模庞大且全球分布）的开发团队投入资源。

鉴于网络安全在大多数组织中仍属较新的领域，金融机构在寻求提供安全可靠的软件方面表现出的开放和创新令人耳目一新。许多机构已经看到了通过 互动式培训 提升开发人员技能的益处，这种培训将他们从课堂带入实践，通过相关的学习体验，不仅帮助他们解决问题，更让他们理解了安全编码的总体重要性。

毕竟，安全编码是在开发人员与应用安全团队之间建立稳固、高效合作关系的关键，也是在企业内部维持强大安全文化的核心。推动成功安全计划的另一个关键因素是确保关键利益相关者参与其中并看到其益处，即使他们本身并非安全专业人员。

金融机构通常能与高管层保持良好的沟通，确保决策者们明白安全流程并非“一劳永逸”的措施；它们必须随着所用技术的快速演进而不断升级，并针对多变的风险进行调整。

虽然这在当下需要投入时间和资金，但考虑到修复已提交代码中漏洞的成本要高出三十倍，一个包含从基础开始的培训在内的全面安全计划，从长远来看反而能节省开支：如果具备安全意识的开发人员能在编写代码时就解决安全问题，成本将大幅降低。

安全标准正开始跟上日益增长的风险步伐

金融行业网络合规的一个重要推动力来自 PCI安全标准委员会，该委员会始终致力于帮助金融机构实施可行的安全政策，并在各个领域维护相关准则。他们在帮助该垂直行业实现支付软件领域最高安全标准方面发挥了积极作用。

然而不得不说，我们许多金融行业的客户实际上已经超越了PCI安全标准委员会当前的准则。虽然这些准则建议对开发人员进行培训（如前文提到的其他监管信息示例），但并未明确规定具体的培训类型或衡量培训是否有效的特定基准。

鉴于SQL注入和跨站脚本（XSS）等许多漏洞已经存在了超过 二十年（且在2019年仍在引发问题），显而易见，并非所有的培训都是平等或有效的。通过采用实践导向的、游戏化的安全培训，银行和其他金融服务公司正获得更好的成效，并切实减少了那些一旦被利用就可能造成严重破坏的漏洞。

一个很好的例子是美国银行机构第一资本（Capital One）如何利用游戏化培训技术，作为其创新的技术学院和认证体系的一部分。据其网络安全与云计算教育总监Russell Wolfe在最近的一次 网络研讨会上介绍，这些自愿参加的培训项目和编程竞赛迅速获得了广泛关注，员工们展现出了前所未有的需求和自发动力，积极争取认证并协助提升他人的技能。

监管机构能做些什么来确保网络安全从业人员得到充分培训？

全球各地的监管机构只需明确规定那些负责保护我们数据的人员必须达到的公认培训方法和标准，就能在现有的网络监管政策和准则基础上“更进一步”。目前看来，大多数监管政策中似乎只是笼统地提到了培训要求，但缺乏后续跟进，以确保那些接受规定培训的人员真正吸收了应对网络威胁所需的知识和技术。

然而，新加坡金融管理局（MAS）最近在其 最新版《技术风险管理指引》中，将采用安全意识培训计划和安全软件开发最佳实践纳入其中，这一举措令人鼓舞。一旦这些准则生效，将要求金融机构确保其软件开发人员在开发软件时接受过应用安全编码、源代码审查和应用安全测试标准的培训，这将极大地减少漏洞和缺陷。

对我而言，通过实践性的真实场景技术来培训开发团队，是迄今为止最吸引人且与工作最相关的方式，同时也为每个组织在为时已晚之前必须建立的稳健安全文化奠定了基础。