专栏简介：本专栏将由默安科技各条业务线的精锐一线交付专家领衔，聚焦主动防御、开发安全、软件供应链安全、云安全等安全关键领域，深度洞察行业动态与技术趋势，针对各行业用户在产品落地过程中遇到的复杂场景、疑难杂症等提供实战案例解析，分享经过验证的优选解决方案，帮助更多政企用户最大程度地获得安全产品的价值。
随着数字化转型的深入，为满足业务发展需要，国内商业银行纷纷启动新一代核心业务系统的建设工作。核心业务系统是支撑商业银行各项业务高速运转的“中枢”，是各分支机构、网点正常营业的重要保障。新一代核心业务系统的更新迭代是商业银行的“头号工程”。
新一代核心业务系统更新迭代的背景
《网络安全法》第三十三条：“建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。”根据本条要求，业务系统开发过程中的需求、设计阶段就必须同步规划安全；在功能实现过程中，功能与安全必须同步建设。
近年来，金融机构由于未对自身信息系统做到有效安全控制而被监管单位处罚的情况时有发生。商业银行的核心业务上线受到国家金融监督管理总局的多项监管，需以安全评估、代码审计、渗透测试等多种方式验证系统满足相关安全要求，识别并修复可能影响业务连续性、数据安全或客户隐私的安全风险。
另一方面，信创作为战略性新兴产业，国家不断出台相关政策对行业的发展进行支持。信创化与数字化本质是“安全”与“创新”的双螺旋演进，在全球数字化转型的背景下，商业银行需要积极推动信创技术的应用与创新，以提升自身的竞争力和服务水平。
商业银行的新一代核心系统往往采用全新分布式+微服务架构，支持服务层面的灵活组合部署和无限动态扩容，具备高稳定、高可靠、高响应的系统处理能力，但同时也带来安全边界模糊、跨域安全策略一致性等风险。
金融业务具有高度的特殊性和复杂性，首先，资金类操作存在逻辑错误引发的资损风险；其次，复杂产品业务规则的安全验证面临挑战；第三，账务数据需要防范篡改风险。由于商业银行核心业务系统涉及多系统协同运作，面临内外部系统对接时的安全风险，以及跨渠道交易的一致性问题，所以新一代核心业务系统上线之前的安全工作尤为关键。
软件开发安全理念已成业内共识
目前商业银行普遍采用SDL或者DevSecOps等安全开发理念，来进行软件开发过程的安全管控工作，头部国有大行、股份制商业银行、城商行等均已开展相关工作。
商业银行普遍在新一代核心系统的研发过程中贯彻实施了安全开发的理念和方法论，拉通需求、设计、开发、测试研发全流程的安全活动，实现将安全融入研发过程的目标，确保在当前阶段能解决的问题不遗留到下一阶段，实现问题修复成本的降低和安全左移，全面提升研发过程安全管控能力和研发安全质量。
新一代核心业务系统上线前开发安全的重难点
默安科技开发安全专家建议，新一代核心业务系统上线前，应该系统性地规划开发全生命周期的安全管控措施，通过专业的产品与服务，以及多方协作和分阶段安全活动降低风险。
在项目开始之初：首先明确开发团队、厂商、安全团队及安全厂商的职责，加强多方协同落实安全需求分析、代码审计、渗透测试等工作；
在需求阶段：基于威胁建模制定安全对策，并严格管控第三方组件的引入，建立白名单机制；
在研发阶段：聚焦安全编码规范、环境隔离、代码托管安全及组件风险扫描；
在测试阶段：涵盖代码审计、漏洞扫描、渗透测试等多维度验证；
在发布阶段：通过漏洞管理平台和上线前检查确保最终交付安全。
整体方案结合技术手段与管理流程，覆盖从设计到上线的关键环节，形成闭环管理，有效提升新一代核心业务系统的安全性和合规性。
新一代核心业务系统的上线工作经常面临开发周期紧、任务重的情况，在这个过程中，需要通过合适的方案降低安全活动对开发效率的影响。秉持“效率优先，兼顾安全”的整体原则，默安科技开发安全专家认为以下几项需要特别注意。
细化项目类型，大幅降低工作量
按照新增和改造对项目类型进行划分，还可以按照业务的重要度再次划分项目，按照不同类型对项目采取不同的安全要求，以降低安全和开发的工作量。例如只有接口改造的项目，只需要对接口开展安全测试即可，无需开展其他安全测试。
安全信息应尽量详细，提升漏洞修复效率
安全工具提供的信息应尽量详尽，例如安全需求报告需要提供配套的安全设计建议和测试方法，安全漏洞报告应包含漏洞的链接、代码位置、修复方法和代码示例，甚至提供可以直接修复漏洞的安全组件，以提升漏洞修复效率。组件分析结果，应提供该组件推荐升级的最小安全升级版本等。
安全需求有效传达，功能场景安全评估全面覆盖
通用要求（如输入验证、会话管理、权限控制等基础安全规范）通过标准化培训、案例分享和定期评审等形式覆盖系统所有通用场景；关键业务场景（如转账支付、优惠券核销等涉及资金交易的核心功能）则需组织业务、安全、研发三方联合评审，针对业务逻辑特点制定详细的安全设计规范、测试用例和风险控制措施，确保业务合规性和安全性要求得到全面落实，同时建立动态更新的安全需求知识库并与开发流程深度集成，实现安全要求与业务需求的持续同步。
通过"运营+管理"，固化开发安全流程
在第三方安全服务合作期内，通过"联合运营+知识转移"模式系统性地沉淀安全技术规范、流程文档、工具配置模板等知识资产，并采用"影子培训"、实战演练和渐进式交接等方式推动行内安全团队逐步掌握核心安全能力；长期通过设立专职安全运营岗位、建立流程监控机制并将安全指标纳入绩效考核体系，确保开发安全流程持续有效运行，最终构建起自主可控、可持续优化的开发安全运营体系。
紧急上线机制，残余漏洞跟踪管理
提供紧急上线机制，在某些漏洞暂时无法修复的情况下，系统又须在指定时间上线，系统开发人员可以与项目管理部门沟通，进行临时修复操作，降低风险，或在《系统风险确认单》中进行残余漏洞跟踪管理，确定完成漏洞修复时间。带问题的系统上线后，项目管理部门应紧密监控系统情况，及时发现异常并实施处理。开发人员可以在下一个版本迭代中修复漏洞。
针对性的安全开发培训
由于安全开发需要人人参与，但是不同岗位的人员所需要面临的安全责任又不一样，所以需要对不同岗位的人开展针对性的培训。例如：针对产品经理、架构师，开展安全需求分析和安全设计方面的培训。针对开发人员，需要开展安全编码规范和漏洞原理方面的培训。针对测试人员，需要培训安全测试的相关方法。
作为商业银行的“头号工程”，新一代核心业务系统的上线，不仅是技术架构的升级，更是一场安全与效率的协同战役。在数字化转型与信创浪潮下，面对Web应用漏洞高发、开源组件风险、API安全等挑战，商业银行需通过系统性规划、技术手段与流程建立等多措并举。默安科技提出的“效率优先，兼顾安全”方案，为行业提供了结合技术手段与管理流程，覆盖从设计到上线等关键环节的实践指南，形成有效的闭环管理，大幅提升新一代核心业务系统的安全性和合规性。
更多关于默安科技开发安全系列产品与服务在金融行业中的成功应用，请点击：
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...