0
| 本文作者： 陳伊莉 | 2017-08-16 14:33 |
8月14日晚間，京東集團發(fā)布了2017年第二季度業(yè)績。除了京東集團的業(yè)績情況，還值得注意的一點是，京東金融重組已于2017年6月30日完成交割，京東金融的財務數(shù)據(jù)將不再納入京東集團的合并財務報表。
據(jù)雷鋒網(wǎng)了解，京東金融于2013年10月開始獨立運營。經(jīng)歷一段時間技術儲備和錘煉后，京東金融劍指更廣闊的金融科技市場，以期向金融業(yè)輸出自身技術，直接廝殺于這個巨大而競爭激烈的Techfin市場。
眾所周知，人工智能、大數(shù)據(jù)、區(qū)塊鏈、云計算這四項技術是Techfin市場中的頂梁柱。近日京東金融研究院發(fā)布了《2017金融科技報告——行業(yè)發(fā)展與法律前沿》（以下簡稱“報告”），雷鋒網(wǎng)已經(jīng)與讀者分享了《大數(shù)據(jù)、人工智能、區(qū)塊鏈、云計算在金融領域的全景應用》，今天將從技術風險與防范角度帶來報告精彩內(nèi)容！
PS:有興趣閱讀原報告的朋友，請關注雷鋒網(wǎng)旗下公眾號@AI金融評論，后臺回復“京東”獲取。
美國國家標準技術研究院 (NIST) 關于云計算的定義是 : “云計算是一種按使用量付費的模式，這種模式提供可用的、 便捷的、按需的網(wǎng)絡訪問，進入可配置的計算資源共享池 ( 資源包括網(wǎng)絡、服務器、存儲、應用軟件、服務等 ) ，這些資源能夠被快速提供，只需投入很少的管理工作，或與服務供應商進行很少的交互。”
“云計算”概念產(chǎn)生于谷歌和 IBM 等大型互聯(lián)網(wǎng)公司處理海量數(shù)據(jù)的實踐。2006 年 Google 首席執(zhí)行官埃里克 · 施密特 (Eric Schmidt) 在搜索引擎大會首次提出 “云計算”的概念。
利用云計算解決海量異構(gòu)信息處理和多樣化復雜應用的整合問題，成為眾多金融機構(gòu)的選擇，但這一方式也給金融 行業(yè)以及金融監(jiān)管帶來挑戰(zhàn)。第一層面的挑戰(zhàn)基于“云計算”本身，其自帶屬性易發(fā)生風險；第二層面的挑戰(zhàn)基于“云計算”與金融的結(jié)合所產(chǎn)生的更為明顯的集聚性風險。
云計算的基礎性風險
數(shù)據(jù)存取缺乏控制或不易取用，是造成金融機構(gòu)及政府不敢貿(mào)然采用云方案的主要原因。云安全聯(lián)盟 ( Cloud Security Alliance ，CSA) 定義了云計算七個方面的主要風險：數(shù)據(jù)損害、共享技術的議題、竊取賬戶及服務；危險的局內(nèi)人；濫用云計算；不安全的程序接口與其他未知風險
基于云環(huán)境下的金融信息系統(tǒng)的安全性風險
對于金融企業(yè)的基礎設施而言，物理安全十分重要。云計算環(huán)境下的大部分金融系統(tǒng)往往需要在瀏覽器內(nèi)訪問客戶 端，網(wǎng)絡服務器成為其溝通的紐帶和橋梁。
基礎的金融信息風險常涉及兩個方面：一是金融內(nèi)部人員的濫用導致金融資產(chǎn)損失；二是金融設施的缺陷使部分金融業(yè)務陷入中斷。云計算下網(wǎng)絡金融系統(tǒng)最大的安全隱患在于病毒或木馬的侵襲。網(wǎng)絡服務器未受到有效保護，一旦遭到病毒入侵，網(wǎng)絡數(shù)據(jù)就會丟失，云計算環(huán)境下的金融服務體系，因其具有特殊的分布性，針對其中的敏感數(shù)據(jù)，必須采取針對性的保護措施。
基礎性風險防控建議
企業(yè)及政府對是否導入云計算的考慮集中在云計算的風險控制上，在規(guī)劃導入云技術及云外包服務前，必須先考慮相 關風險是否可被管控。在云環(huán)境中制作或轉(zhuǎn)移數(shù)據(jù)時，用戶必須將數(shù)據(jù)分類，分析其安全需求，并定義云服務商應如何存儲或傳遞那些數(shù)據(jù)。
此外，數(shù)據(jù)安全等級的分類和定義，應依據(jù)云服務商所定的安全標準來進行。
云計算環(huán)境下金融系統(tǒng)風險防范建議
在金融系統(tǒng)的應用過程中注重金融信息安全評估，在發(fā)現(xiàn)金融系統(tǒng)的安全隱患時及時修復。有效控制金融信息，制定 安全的金融系統(tǒng)策略和科學決策，保證系統(tǒng)的完整性和可靠性，重視金融信息管控治理。
注重金融信息安全處理
加強金融信息安全評估
重視金融信息管控治理
數(shù)據(jù)竊取
大數(shù)據(jù)采用云端存儲處理海量數(shù)據(jù)，對數(shù)據(jù)的管理較為分散，對用戶進行數(shù)據(jù)處理的場所無法控制，難以區(qū)分合 法用戶與非法用戶，容易導致非法用戶入侵，竊取重要信息，在網(wǎng)絡空間，大數(shù)據(jù)更容易成為攻擊目標。
非法添加和篡改分析結(jié)果
黑客入侵大數(shù)據(jù)系統(tǒng)，非法添加和篡改分析結(jié)果，可能對金融機構(gòu)以及個人甚至政府的決策造成干擾。
個人信息泄露
面臨用戶移動客戶端安全管理和個人金融隱私信息保護的雙重安全挑戰(zhàn)，企業(yè)較難在安全性與便利性之間達成 平衡。
數(shù)據(jù)存儲安全
“數(shù)據(jù)大集中”在中國金融業(yè)獲得廣泛認可。一些大型券商和銀行紛紛建設數(shù)據(jù)種子作為金融服務的核心和基 礎。大數(shù)據(jù)對數(shù)據(jù)存儲的物理安全性、多副本性要求較高。一方面各類復雜數(shù)據(jù)的集中存儲易出現(xiàn)存儲混亂，造 成安全管理違規(guī)。另一方面安全防護手段的更新升級速度無法跟上數(shù)據(jù)量的非線性增長，大數(shù)據(jù)安全防護容易出現(xiàn)漏洞。
建立大數(shù)據(jù)金融系統(tǒng)
大數(shù)據(jù)金融生態(tài)系統(tǒng)是指金融大數(shù)據(jù)與從事大數(shù)據(jù)金融活動的個人、家庭、廠商、政府、非政府組織等社會行為體之間 共同形成的動態(tài)系統(tǒng)整體。
大數(shù)據(jù)金融系統(tǒng)可用下圖表示：
各主體在從事金融交易活動時會產(chǎn)生海量金融大數(shù)據(jù)，這種大數(shù)據(jù)呈幾何增長，構(gòu)建海量金融大數(shù)據(jù)與大數(shù)據(jù)金融活 動相互影響的大數(shù)據(jù)金融生態(tài)系統(tǒng)非常重要。加強對系統(tǒng)內(nèi)不法行為的規(guī)制，杜絕信息篡改、竊取，保護個人隱私，促 進信息流的良性循環(huán)，保證數(shù)據(jù)的真實可靠。引入信用系統(tǒng)、評級系統(tǒng)等，強化金融大數(shù)據(jù)系統(tǒng)的安全性和可靠性。
規(guī)范數(shù)據(jù)提取及交易程序
一方面，明確收集大數(shù)據(jù)主體。大數(shù)據(jù)的產(chǎn)生包括兩個渠道，一是來自法律授權(quán)收集，二是公民使用網(wǎng)絡設備自動形成 的信息記錄。兩種信息源頭的信息混雜在一起，形成更為精準、私密的信息。針對此類信息的收集，目前無法做到程序化和模板化，只能秉持兩個基本原則：利益原則和知情與許可原則。
另一方面，明晰數(shù)據(jù)交易主體。大數(shù)據(jù)是靜態(tài)的提取與存儲過程，也是動態(tài)的交易過程。在金融領域，不論是個人信 息、企業(yè)信息還是政府信息都非常重要，應嚴格審查和審批參與大數(shù)據(jù)交易的主體及其掌握的信息，從信息供給層面予以規(guī)范。
用戶隱私被泄露
人工智能的背后，是局域大數(shù)據(jù)及智能算法的繼續(xù)升級，人工智能系統(tǒng)通常具有記憶功能，通過收集、統(tǒng)計、分析 用戶的數(shù)據(jù)不斷提升自己的智能型。如果被黑客入侵，用戶隱私可能被泄露，輕則用戶信息被不法分子掌握，重 則危害用戶財產(chǎn)安全甚至人身安全。
故障排解和行為監(jiān)管成本急速上升
人工智能自身的負載性及系統(tǒng)風險性的增加導致故障排解成本將大幅度提升。在現(xiàn)有法律監(jiān)管體系下，對機器 及運行程序故障造成的損害，難以有效界定責任主體及責任份額。
技術面臨失控風險
人工智能在短期內(nèi)的影響取決于誰來控制，長期影響取決于它是否受到控制。一旦應用環(huán)境和數(shù)據(jù)脫離用戶的 可控范圍，尚無技術避開人工智能失控帶來的風險。
加強訪問控制和身份認證
人工智能的安全性很大程度上已超出人工智能用戶的控制，開發(fā)者和使用者必須提供強有力的安全防御支持，將人工 智能與網(wǎng)絡安全防御技術相結(jié)合，使用密碼技術來保證機密數(shù)據(jù)的安全，統(tǒng)一用戶身份管理、授權(quán)管理、訪問管理，以 增強信息安全性。
出臺審計措施和相關的監(jiān)管措施
需要采取必要的驗證和升級措施，出臺相關評價方案對人工智能軟、硬件環(huán)境進行嚴格評價，同時對服務器、客戶 端、軟件配置、負荷管理等進行實時監(jiān)控和安全測試，及時發(fā)現(xiàn)系統(tǒng)故障及受感染惡意控制的情況，一旦出現(xiàn)問題立 即報警。
不能過度依賴人工智能
基于深度學習的人工智能將會創(chuàng)造更多價值是發(fā)展趨勢，它能為人類服務甚至取代某些工作，但用戶不應過度依賴人 工智能，仍要掌握安全主動權(quán)，做好保護措施，通過技術、服務和管理相互配合的方式，形成共同遵循的安全規(guī)范，營造 保障人工智能健康發(fā)展的可信環(huán)境。
網(wǎng)絡公開不設防可能導致信息源復雜且不可控
所有數(shù)據(jù)都在公網(wǎng)上傳輸，所有加入網(wǎng)絡的節(jié)點都可無障礙地鏈接其他節(jié)點和接受其他節(jié)點的鏈接，網(wǎng)絡層沒有身份驗證或其他防護措施。
去中心化不利于合法隱私的保護
共有鏈上交易數(shù)據(jù)全網(wǎng)可見，公眾可跟蹤交易，不利于個人或機構(gòu)的合法隱私保護。
容易遭受算力攻擊以及道德風險
工作量證明型的區(qū)塊鏈解決方案，面臨 51% 算力攻擊問題。隨著算力的逐漸集中，客觀上掌握超過 50% 算力的 組織會出現(xiàn)，若不改進，會逐漸演變?yōu)槿跞鈴娛车膮擦址▌t。
區(qū)塊鏈內(nèi)部容量問題難以掌控
區(qū)塊鏈處于發(fā)展初級階段，大規(guī)模實際應用面臨很多困難?，F(xiàn)有計算機系統(tǒng)，存在區(qū)塊容量不足、信息批量存儲、 驗證較難等問題，若處理不善，會影響到整個區(qū)塊鏈系統(tǒng)的穩(wěn)定，甚至給其他金融系統(tǒng)造成很強的負外部性。
區(qū)塊鏈標準不統(tǒng)一
“得標準者得天下”已成為業(yè)界共識。中國的標準化還沒有真正起步，表現(xiàn)在兩方面：一是區(qū)塊鏈技術不夠標準 化，二是區(qū)塊鏈標準需要面對不同層面的矛盾：諸多標準競爭可能帶來市場混亂。
區(qū)塊鏈帶來的安全風險
“安全”是金融業(yè)的命脈，區(qū)塊鏈與金融業(yè)的逐漸融合，將面臨很大的安全挑戰(zhàn)。
首先，去中心化的運作機制一定 程度上削弱了中央政府對金融的控制，可能危及國家金融安全。其次，用戶匿名化的操作在發(fā)生意外時（如密碼丟失等）相關的權(quán)益得不到相應的保護；再次，客戶端蘊含風險，既可能遭受黑客攻擊，也可能因為系統(tǒng)操作原 因?qū)е聛G失。
立足于微觀層面的風險點防控
1. 網(wǎng)絡公開不設防是區(qū)塊鏈的一大屬性，這要求更高的私密性并謹慎控制網(wǎng)絡鏈接。對安全性較高的行業(yè)，宜采用專 線接入?yún)^(qū)塊鏈網(wǎng)絡，對接入的鏈接進行身份驗證，排除未經(jīng)授權(quán)的節(jié)點接入以免數(shù)據(jù)泄露，防止網(wǎng)絡攻擊。
2. 隱私泄露是互聯(lián)網(wǎng)企業(yè)面臨的普遍問題，對該類風險的應對策略是：第一，由認證機構(gòu)代理用戶在區(qū)塊鏈上進行交 易，用戶資料和個人行為不進入?yún)^(qū)塊鏈；第二，不采用全網(wǎng)廣播方式，而是將交易數(shù)據(jù)的傳輸限制在正在進行相關交 易的節(jié)點之間；第三，對用戶數(shù)據(jù)的訪問采用權(quán)限控制，持有密鑰的訪問者才能解密和訪問數(shù)據(jù)；第四，采用隱私保 護算法，規(guī)避隱私暴露。
3. 針對算力攻擊，采用算法和現(xiàn)實約束相結(jié)合的方式，例如用資產(chǎn)抵押、法律和監(jiān)管手段聯(lián)合管控。
4. 加快金融區(qū)塊鏈技術應用的研發(fā)。一方面，推動國內(nèi)金融機構(gòu)聯(lián)合學術界、產(chǎn)業(yè)界加強密碼學等學科研究，在加密技 術和網(wǎng)絡安全等領域集體發(fā)力；另一方面，適度增加對光纖等網(wǎng)絡基礎設施的投入，構(gòu)建穩(wěn)定、安全的主干信息網(wǎng)絡， 提升網(wǎng)絡寬帶，滿足區(qū)塊鏈技術分布式記賬方式可能帶來的網(wǎng)絡容量需求的提升。
立足于宏觀層面的系統(tǒng)內(nèi)部監(jiān)管
針對現(xiàn)有區(qū)塊鏈技術的屬性，構(gòu)建一套系統(tǒng)安全的監(jiān)管體系，整體提升區(qū)塊鏈系統(tǒng)的安全性能。
1. 物理安全角度。根據(jù)具體業(yè)務的監(jiān)管要求不同，采用不同方法對運行區(qū)塊鏈系統(tǒng)的物理網(wǎng)絡和主機進行保護。
2. 數(shù)據(jù)安全角度。區(qū)塊鏈節(jié)點和節(jié)點之間的數(shù)據(jù)交換，原則上不應明文傳輸，數(shù)據(jù)提供方應采用嚴格的訪問權(quán)限控制 措施，嚴格評估數(shù)據(jù)的敏感程度、安全級別，決定數(shù)據(jù)是否發(fā)送到區(qū)塊鏈，是否進行數(shù)據(jù)脫敏。
3. 應用系統(tǒng)安全。從身份認證、權(quán)限體系、交易規(guī)則、防欺詐策略等方面著手，參與運行的相關人員、交易節(jié)點、交易數(shù) 據(jù)應事前受控、事后審計。
4. 密鑰安全。對區(qū)塊鏈節(jié)點之間的通行數(shù)據(jù)加密，密鑰不應存儲在同一個節(jié)點上，應通過加密機將私鑰妥善保管。
5. 風險機制角度。在系統(tǒng)的網(wǎng)絡層、應用系統(tǒng)及交易頻度層面，應有周密的檢測措施，對任何可疑操作進行告警、記錄、 核查。
相關文章：
金融科技2017報告（一）：鳥瞰全球金融科技市場格局與研究熱點
一文覽盡大數(shù)據(jù)、人工智能、區(qū)塊鏈、云計算在金融領域的全景應用
這里有各國、各領域最全面的金融科技監(jiān)管政策解讀！
雷峰網(wǎng)版權(quán)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
