3.15曝光移动金融转账资金隐患，多管齐下共建信息安全市场

近年来，互联网金融行业的飞速发展和繁荣令人瞩目，与此同时风险也在累积，引起广泛关注。在今年两会政府工作报告中，关于互联网金融的表述为“高度警惕其累积风险。值得一提的是，今年“3·15”主题为“网络诚信消费无忧”，在各大电商网络平台失信事件频发背景下，网络消费诚信问题备受关注。

网络安全风险不容忽视

随着智能手机的普及和移动互联网的快速扩张，国内移动支付发展迅猛，各家银行纷纷推出手机银行产品。与此同时，安全问题也不断出现，钓鱼诈骗、信息泄露、资金盗取等问题一直困扰着企业和用户。3·15调查建行等多家国有银行手机转账现高危漏洞。近日，工信部旗下泰尔终端实验室发布了《金融客户端也会存在高危漏洞》安全报告。泰尔终端实验室工程师近期针对基于安卓操作系统的多款手机银行APP安全性进行了较为全面的分析评测，涉及中国银行、中信银行、建设银行等国内多家大型商业银行。测评内容包括：通信安全性、键盘输入安全性、客户端运行时安全性、客户端安全防护、代码安全性和客户端业务逻辑安全性等6个方面的39项内容。此次测试的手机银行APP普遍存在高危漏洞，用户在进行转账交易时，黑客能够通过一定的技术手段劫持用户的转账信息，从而导致用户的转账资金被非法窃取。

安全合规技术力量不容忽视

想填补互联网金融存在的各种漏洞，移动应用安全防御技术的力量不容忽视。国家互联网金融风险分析技术平台监测数据显示，截至2016年8月20日，平台共收录互联网金融网站8463家。其中，存在异常的网站有4064家。平台共发现互联网金融网站漏洞873个，其中高危漏洞占比达71.71％；发现App漏洞931个，其中高危漏洞占比22.7％。　此外，互联网金融仿冒网站有39521个，受害用户达70247人次。安全漏洞频发给互联网金融的正常秩序造成极大冲击，尤其这个领域涉及庞大的资金，一旦出现问题，后果极为严重。因此，加强安全意识，让安全合规贯穿于企业移动应用产品的每个生命周期的环节，将安全性的防御技术列入产品的整个周期中，通过移动应用完整生命周期安全合规手段推动互联网金融行业规范发展，从而提升互联网金融风险防御能力。所以，选择有扎实技术实力真正解决企业合规化安全厂商就成了当务之急。

应对互联网金融信息安全风险，多管齐下四个层面

针对互联网信息的安全问题，专注移动应用安全服务多年，具有权威实力的安全厂商娜迦信息提出了几个建议，目前互联网金融信息安全的主要风险存在于四个层面:一是物理安全层面，主要关注平台托管机房及云平台的安全性；二是网络安全层面，涉及第三方云平台及托管机房安全事件影响到互联网金融平台自身系统的情况；三是应用安全层面，涉及部分互联网金融企业网站、移动端被假冒或存在脚本漏洞而造成用户信息泄露；四是数据安全层面，目前互联网金融企业的重要数据均未加密存储，且部分企业的重要数据在传输中未采用加密传输，相关重要信息的访问控制管理要求及流程不完善，存在重要业务信息及客户信息泄露的风险。对重要数据及个人信息采用加密存储及加密传输，并制定相应的管理制度及流程，防止重要信息泄露。从企业用户的角度应该具备一个全生命周期安全视角，从APP开发、APP上线到运维阶段都需要考量安全合规化。移动应用全生命周期的安全应该注重对互联网企业产品应落实金融业务、数据的等级保护，要达到与银行、证券等金融机构业务系统相当的水平。

数据交互中关键信息安全不可忽视，重点保护深入追踪

以往互联网金融行业在发展过程中，很少关注在外数据交互中的信息安全问题。然而，互联网金融行业的健康发展离不开金融信息安全，企业在不断创新发展的过程中，始终要关注敏感信息安全的保护，这一块其实是针对包括数据存储、网络安全保护，据了解为贯彻政策强化关键信息基础设施保护，安全厂商已经在技术上已经有所突破，业内首次已经做到针对性深入追踪关键用户敏感信息泄露安全风险，提供敏感信息跟踪监测平台和敏感信息保护沙盒方案，实时跟踪敏感信息的流向和处理流程，通过使用高度封装和高强度加固的隔离沙箱存储关键数据，防止敏感信息泄露。深入追踪关键信息安全，保障敏感信息存放环境安全。对于公司来说，要形成重视安全的文化，把网络与信息安全当成一件需要企业与安全厂商通力协作的事。