金融机构如何有效加码API安全建设

94%金融机构经历过API攻击，如何有效加码API安全建设？

2022-05-20 2014 全知动态

首图-GIF4.gif

随着数字化转型的推进深入，金融行业的离柜交易、移动支付、线上服务等变得高频多元。API作为驱动开放共享的核心能力，已深度应用于金融行业；与此同时，其巨大的流量和访问频率也让数据安全风险面变得更广、影响更大。

undefined

VMware最新的一份安全报告（Modern Bank Heists 5.0）中显示，94%的金融安全负责人表示他们经历过API攻击；报告指出，API已经成为现代应用程序必不可少的核心组件，同时由于其固有的可访问性，也注定成为了网络犯罪团伙的完美目标。

开放的API和放开的风险

在金融数字化快速发展的背景下，传统的金融服务模式已经不能匹配最新的数字化需求，在线化、智能化、场景化等数字金融生态变得随处可见；金融科技的创新发展也给金融行业的数据安全带来了不可想像的压力。

从数据保护的角度来看，随着金融行业API开放的数量增多，其传输的核心业务数据、个人身份信息等数据流动性大大增强，面临着较大的泄漏、滥用风险，成为数据保护的薄弱一环，外部恶意攻击者会利用API接口批量获取敏感数据；

undefined

从金融生态开放的角度看，金融数据的交互、传输、共享等往往有多方参与，涉及到品牌方、渠道商、供应商等多个主体，由此使得数据泄露风险点激增，风险环境愈发复杂。

数据显示，87%的金融机构会担心共享服务供应商的安全状况，因为其一旦受到安全威胁，就会给金融系统带来系统性风险，而网络犯罪团伙已经研究了金融机构之间的互相依赖关系。这也意味着，任何一方的接口出现问题，就会带来严重的连锁反应。

一边是开放的API，一边是放开的风险，金融行业陷入了“两难”境地。

金融API安全行业标准

金融数据已实现从传统的信息化资产到重要生产要素及国家战略资源的转变，针对数据的安全保护已不仅仅是个人权益的保障和企业义务的履行，也是维护国家安全、社会秩序、市场稳定的重要条件。

undefined

2020年2月13日，中国人民银行发布《商业银行应用程序接口安全管理规范》（JR/T 0185—2020）金融行业标准，从技术和管理两方面规范个人金融信息保护措施和金融API安全措施；

《规范》对商业银行应用程序接口的类型与安全级别、安全设计、安全部署、安全运维、服务终止与系统下线、安全管理等都做了安全技术与安全保障要求，贯穿API安全的整个生命周期。

金融API安全的解决方案

数据黑灰产产业链快速滋长，其攻击方式、攻击类型都随之升级改变，攻击行为更加专业化、隐蔽化，大部分金融机构对攻击行为往往没有感知；此外，API的安全需要基于API整个生命周期，从建立、链接到失活、下线等，都要进行敏感数据的交互监测和风险识别，大部分金融机构不具备专业安全能力…这些都对金融行业的数据安全构成了新的挑战。

undefined