相关文章
友情链接

银行卡检测中心蒋增增:条码支付安全与金融数据保护

4月24-25日,由北京移动金融产业联盟、移动支付网联合主办的2018第二届中国移动金融发展大会在北京召开,本次大会以《严“政”以待,共建移动金融新生态》为主题,在25日上午举办的金融大数据论坛上,银行卡检测中心信息安全服务部高级主管蒋增增发表演讲,畅谈条码支付安全与金融数据保护。

据蒋增增介绍,金融数据保护不仅仅是保护生产环境的Solid Data,更重要的是分析业务模式和技术实现,全流程地保护Alive Data。以条码支付安全为例,应从业务参与方、技术参与实体、关键技术几个方面展开。

业务参与方。条码支付相比较传统四方模式,还增加了应用服务方,在其非金融APP应用之上叠加支付功能。因此,还应对支付功能部分提出安全保护要求,如输入保护、报文防篡改等。

技术参与实体。支付技术产品应参考中国支付清算协会“支付技术产品认证”九大门类的要求。支付业务设施应符合《JR/T 0122—2014非金融机构支付业务设施技术要求》、《JR/T 0142—2016银行卡清算业务设施技术要求》。

关键技术。蒋增增分析了传统身份认证手段(静态口令、OTP、短信验证码、USBKEY)的优劣势,介绍了统一身份认证协议如FIDO、IFAA等。重点介绍了金融领域国产密码技术的应用,以及按照《商用密码应用安全性评估管理办法》对重要系统开展密评工作。

金融数据的保护与应用

金融数据的保护应采取“分类分级”的思想,按照数据性质、敏感程度等维度进行分级保护,数据保护应贯穿数据采集、传输、存储、使用、销毁等整个生命周期。

在金融数据保护过程中,部分生产数据严禁脱离生产环节,如系统密钥、数字证书、账户密码、卡(折)磁条信息等,任何情况下不允许脱离生产环境使用。可脱离生产环境使用的生产数据,如客户类信息、业务类信息,应注意进行脱敏处理,保护好客户隐私信息。

在数据脱敏、可进一步使用的情况下,金融数据的应用是目前产业的热门。蒋增增介绍,目前金融数据的应用场景就包括,精准营销。多个维度对用户进行画像,通过数据分析对用户进行差异化服务;风险控制。结合大数据、AI技术,建立反欺诈风控模型;数据增值服务。消费信贷评分等,如银联“火眼”产品。