文|盈燦咨詢(xún) 陳摯

4月19日訊，可能對(duì)絕大多數(shù)網(wǎng)貸投資人來(lái)說(shuō)，會(huì)重點(diǎn)關(guān)注平臺(tái)實(shí)力背景是否雄厚，而對(duì)于平臺(tái)網(wǎng)絡(luò)技術(shù)安全性則往往會(huì)忽略。但目前互聯(lián)網(wǎng)金融行業(yè)由于無(wú)紙化和瞬時(shí)性的特點(diǎn)，網(wǎng)貸平臺(tái)在網(wǎng)絡(luò)技術(shù)安全層面面臨的風(fēng)險(xiǎn)和復(fù)雜程度已經(jīng)超過(guò)傳統(tǒng)金融服務(wù)，對(duì)于風(fēng)控及安全保障有著更高的要求，一家網(wǎng)絡(luò)技術(shù)安全不過(guò)硬的網(wǎng)貸平臺(tái)，同樣可能給投資人帶來(lái)毀滅性的打擊。

網(wǎng)貸平臺(tái)技術(shù)漏洞類(lèi)型及風(fēng)險(xiǎn)

網(wǎng)貸平臺(tái)的技術(shù)安全漏洞一般有SQL 注入漏洞、XSS 跨站腳本攻擊、手機(jī)短信驗(yàn)證缺陷、登錄功能缺陷、CSRF跨站點(diǎn)請(qǐng)求偽造漏洞、業(yè)務(wù)設(shè)計(jì)缺陷、權(quán)限繞過(guò)、敏感信息泄漏、弱口令等。信息泄露、業(yè)務(wù)欺詐是網(wǎng)貸平臺(tái)最為關(guān)注的風(fēng)險(xiǎn)。平臺(tái)的投入不足、人員缺乏、安全意識(shí)薄弱、制度流程不規(guī)范、安全需求不明確都是導(dǎo)致安全問(wèn)題的因素。

對(duì)于網(wǎng)貸平臺(tái)技術(shù)漏洞風(fēng)險(xiǎn)主要有賬戶被盜取、個(gè)人隱私被曝光及平臺(tái)數(shù)據(jù)庫(kù)遭篡改等風(fēng)險(xiǎn)。

網(wǎng)貸平臺(tái)技術(shù)安全已成為合規(guī)必須條件

根據(jù)2016年8月24日銀監(jiān)會(huì)會(huì)同工業(yè)和信息化部、公安部、國(guó)家互聯(lián)網(wǎng)信息辦公室等部門(mén)發(fā)布的《網(wǎng)絡(luò)借貸信息中介機(jī)構(gòu)業(yè)務(wù)活動(dòng)管理暫行辦法》第三章第十八條顯示，“網(wǎng)絡(luò)借貸信息中介機(jī)構(gòu)應(yīng)當(dāng)按照國(guó)家網(wǎng)絡(luò)安全相關(guān)規(guī)定和國(guó)家信息安全等級(jí)保護(hù)制度的要求，開(kāi)展信息系統(tǒng)定級(jí)備案和等級(jí)測(cè)試，具有完善的防火墻、入侵檢測(cè)、數(shù)據(jù)加密以及災(zāi)難恢復(fù)等網(wǎng)絡(luò)安全設(shè)施和管理制度，建立信息科技管理、科技風(fēng)險(xiǎn)管理和科技審計(jì)有關(guān)制度，配置充足的資源，采取完善的管理控制措施和技術(shù)手段保障信息系統(tǒng)安全穩(wěn)健運(yùn)行，保護(hù)出借人與借款人的信息安全。”這一條是對(duì)網(wǎng)絡(luò)借貸平臺(tái)信息技術(shù)和安全的規(guī)定，目的在于防范技術(shù)風(fēng)險(xiǎn)。隨著《網(wǎng)絡(luò)信息中介機(jī)構(gòu)業(yè)務(wù)活動(dòng)管理辦法》的發(fā)布，網(wǎng)絡(luò)安全已經(jīng)上升為網(wǎng)貸平臺(tái)合規(guī)的必要條件。

目前大多數(shù)網(wǎng)貸平臺(tái)一般將外部網(wǎng)絡(luò)技術(shù)安全認(rèn)證置于平臺(tái)首頁(yè)底部，其余較為重要的認(rèn)證則較多披露在網(wǎng)站資質(zhì)證明板塊。較為常見(jiàn)的幾種認(rèn)證為國(guó)家信息系統(tǒng)安全等級(jí)保護(hù)三級(jí)、ISO27001、企業(yè)信用評(píng)級(jí)證書(shū)、可信網(wǎng)站、互聯(lián)網(wǎng)金融行業(yè)認(rèn)證、SSL等。其中信息系統(tǒng)安全等級(jí)保護(hù)備案無(wú)論是在認(rèn)證難度上、公信力上及效力方面，尤其是信息系統(tǒng)安全等保三級(jí)認(rèn)證，絕對(duì)是非銀機(jī)構(gòu)中最重量級(jí)別的認(rèn)證。

2007年7月24日，為加快推進(jìn)信息安全等級(jí)保護(hù)，規(guī)范信息安全等級(jí)保護(hù)管理，提高信息安全保障能力和水平，維護(hù)國(guó)家安全、社會(huì)穩(wěn)定和公共利益，保障和促進(jìn)信息化建設(shè)，公安部、國(guó)家保密局、國(guó)家密碼管理局、國(guó)務(wù)院信息化工作辦公室制定了《信息安全等級(jí)保護(hù)管理辦法》。

根據(jù)《信息安全等級(jí)保護(hù)管理辦法》，把信息系統(tǒng)的安全保護(hù)等級(jí)分為五級(jí)，等級(jí)越高，安全保護(hù)能力就越強(qiáng)。目前大多數(shù)互聯(lián)網(wǎng)金融平臺(tái)獲得的以第二級(jí)認(rèn)證為主，第三級(jí)作為國(guó)家對(duì)非銀行金融機(jī)構(gòu)的最高級(jí)認(rèn)證，屬于“監(jiān)管級(jí)別”，即非銀機(jī)構(gòu)的最高級(jí)認(rèn)證就是第三級(jí)別，由國(guó)家信息安全監(jiān)管部門(mén)進(jìn)行監(jiān)督、檢查，認(rèn)證要求十分嚴(yán)格，例如融金寶在2016年11月通過(guò)信息系統(tǒng)安全等保三級(jí)認(rèn)證申請(qǐng)，在認(rèn)證過(guò)程中進(jìn)行了一系列測(cè)評(píng)包括物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)、系統(tǒng)建設(shè)管理、系統(tǒng)安全管理等多方面的安全評(píng)測(cè)。測(cè)評(píng)內(nèi)容近300項(xiàng)要求，共涉及測(cè)評(píng)分類(lèi)73類(lèi)。這說(shuō)明，融金寶等成功通過(guò)認(rèn)證的平臺(tái)，在技術(shù)、管理、控制層面能達(dá)到國(guó)家指標(biāo)，具備安全事件發(fā)現(xiàn)、應(yīng)對(duì)的能力，以及信息系統(tǒng)受到攻擊或破壞時(shí)的快速恢復(fù)﹑數(shù)據(jù)信息防泄露防偷的實(shí)力。這部分已通過(guò)國(guó)家三級(jí)等保安全測(cè)試的平臺(tái)往往具有長(zhǎng)遠(yuǎn)的運(yùn)營(yíng)考慮，愿意在自身軟硬件和信息系統(tǒng)建設(shè)有較大投入。

截止到2017年4月14日，據(jù)盈燦咨詢(xún)不完全統(tǒng)計(jì)，全國(guó)通過(guò)信息系統(tǒng)安全等保三級(jí)測(cè)評(píng)的網(wǎng)貸平臺(tái)僅有78家。而目前全國(guó)正常運(yùn)營(yíng)的網(wǎng)貸平臺(tái)數(shù)量達(dá)2281家，通過(guò)信息系統(tǒng)安全等保三級(jí)測(cè)評(píng)的網(wǎng)貸平臺(tái)僅占全國(guó)總量的3.42%。

信息系統(tǒng)安全等保三級(jí)認(rèn)證平臺(tái)背景及分布

據(jù)盈燦咨詢(xún)對(duì)通過(guò)國(guó)家信息安全等級(jí)保護(hù)三級(jí)測(cè)評(píng)的78家網(wǎng)貸平臺(tái)背景整理，民營(yíng)系占比最多，占到總數(shù)量的64%，達(dá)50家;其次為國(guó)資參股平臺(tái)，占比為12%，達(dá)9家;上市公司參股平臺(tái)緊隨其后，占比為10%，達(dá)8家;國(guó)資控股平臺(tái)及上市公司控股平臺(tái)相對(duì)較少，占比分別為9%和5%，各有7家和4家。

例如，杉易貸作為上市公司參股平臺(tái)在2017年3月也獲得信息系統(tǒng)安全等保三級(jí)認(rèn)證，一般來(lái)說(shuō)三級(jí)認(rèn)證對(duì)提升用戶信息和資金安全的作用主要體現(xiàn)在兩個(gè)方面：一是能夠在統(tǒng)一安全策略下防護(hù)系統(tǒng)免受來(lái)自外部有組織的團(tuán)體發(fā)起的惡意攻擊、較為嚴(yán)重的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的主要資源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠較快恢復(fù)絕大部分功能。二是如杉易貸等通過(guò)三級(jí)測(cè)試的平臺(tái)，能夠在安全事件發(fā)生時(shí)，有足夠的應(yīng)對(duì)能力，快速恢復(fù)功能，從而保護(hù)客戶的信息安全。

在地域分布上，通過(guò)信息系統(tǒng)安全等保三級(jí)測(cè)評(píng)平臺(tái)分布在10個(gè)省市，其中廣東和北京的獲三級(jí)備案平臺(tái)數(shù)量遙遙領(lǐng)先，分別達(dá)29家和25家;上海和浙江分別有7家和6家，可以看出，獲信息系統(tǒng)安全等保三級(jí)備案平臺(tái)大多分布在經(jīng)濟(jì)發(fā)達(dá)省市。其中，e路同心作為一家廣東省的P2P網(wǎng)貸平臺(tái)，在2017年3月獲得信息系統(tǒng)安全等保三級(jí)認(rèn)證。這表明，e路同心自主研發(fā)的系統(tǒng)，在技術(shù)架構(gòu)、信息處理、數(shù)據(jù)安全等方面，得到了國(guó)家監(jiān)管部門(mén)的認(rèn)可。一般來(lái)說(shuō)，平臺(tái)參與國(guó)家信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)，有兩個(gè)方面的考慮。一是，互聯(lián)網(wǎng)金融行業(yè)偶有用戶信息泄露事件發(fā)生，用戶對(duì)自身的隱私和信息安全的重視程度提升。平臺(tái)通過(guò)信息系統(tǒng)安全等保三級(jí)測(cè)評(píng)，有利于展示平臺(tái)保障用戶個(gè)人信息安全的決心。二是，近期監(jiān)管機(jī)構(gòu)頻頻發(fā)文，規(guī)范互金平臺(tái)的業(yè)務(wù)模式、資金安全、信息安全等，e路同心參與信息系統(tǒng)安全等保三級(jí)測(cè)評(píng)，一定程度上反應(yīng)了其積極配合監(jiān)管機(jī)構(gòu)要求，重視息系統(tǒng)安全的態(tài)度。

總結(jié)

技術(shù)安全是一個(gè)互聯(lián)網(wǎng)金融平臺(tái)能夠正常運(yùn)營(yíng)和健康發(fā)展的基礎(chǔ)。平臺(tái)技術(shù)安全的重要性不言而喻，是關(guān)系平臺(tái)生死存亡的大問(wèn)題。只要每一家網(wǎng)貸平臺(tái)都把廣大投資人的資金安全放在首位，在發(fā)展業(yè)務(wù)的同時(shí)同樣要注重平臺(tái)系統(tǒng)的安全建設(shè)，那么整個(gè)行業(yè)一定會(huì)朝著更加安全健康的方向發(fā)展。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。