安恒信息2022年7月金融安全资讯 v1.1

1、- 页金融行业相关数字人民币隐私与个人信息保护7月24日，中国人民银行数字货币研究所所长穆长春在第五届数字中国建设峰会数字人民币产业发展分论坛上，介绍了数字人民币隐私与个人信息保护等多个问题及下一步计划。范一飞谈数字人民币：鼓励市场主体自主开展推广活动7月24日，中国人民银行副行长范一飞在第五届数字中国建设峰会数字人民币产业发展分论坛上表示，2017年以来，在各试点地区党委政府的鼎力支持和各参研机构的密切配合下，数字人民币研发试点工作顺利推进，工作机制不断完善，试点范围有序扩大。至此，我国已形成了15个省（市）的23个地区试点、10家运营机构参研的研发试点格局。金融网络技术发展的思考和实践云计

2、算、SDN等技术的发展，推动了金融数据中心网络的变革，传统网络正在向云网融合方向发展。在新技术的驱动下，邮储银行的网络架构在探索中加快演进和实践，积极推进广域网SDN演进，加快数据中心云网一体化建设，为邮储银行金融业务发展打造高可靠性网络平台。北京金融科技产业联盟发布银行业云原生技术发展实践及展望云原生（Cloud Native）作为云计算的再升级，已经成为新的发展热点。随着新的技术发展，云原生的概念在不断的演化，银行业的IT架构转型历程也是伴随云原生技术发展逐步演进，从探索云计算、分布式等新技术的规模化运用，到加速云原生布局，全面落地云原生技术，并从“容器技术、微服务、编排管理、函数计算、云

3、原生可观测性、DevOps流水线”等六大方向出发，构建云原生生态。在此过程中，银行业不仅加速了自身云化转型的进程，也带动了IT技术架构转型的跨越式发展，推动银行数字化转型升级。当下云原生的发展已经进入到了一个转折点，如何做好应用云原生转型将是未来的重点。商业银行应用开源技术的机遇、挑战与实践近年来，开源技术已逐渐发展成为商业银行数字化转型的重要基座。商业银行利用开源软件开放共享、易于获得、迭代高速等特性，以支持业务场景和服务模式的创新，并适应互联网时代千变万化的市场需求。在享受开源技术红利的同时，相关风险问题也给商业银行带来了新的挑战。浦发银行在开源软件使用中，形成了一套治理体系并开发了配套的

4、治理平台，充分利用开源软件助力数字化转型，同时也有效防范了开源软件的使用风险。商业银行应用安全架构设计实践传统的信息安全工作通常偏向于事中或事后检测漏洞，随着敏捷开发工作的逐步推进，商业银行认识到安全架构设计在实现IT降本增效方面的独特优势。近几年，商业银行逐步构建了安全架构设计工作体系，在组织人员、安全技术与管控流程方面，与企业IT架构密切协同，着力建设安全公共能力，为银行业务快速发展保驾护航。互联网金融犯罪规制路径探析当前，互联网金融作为一种新型金融形态，简化了传统金融交易流程，降低了交易成本，提高了资金流转效率，是实现普惠金融的有力工具。但与此同时，不法分子打着“互联网金融创新”的幌子，

5、利用P2P网贷平台、众筹等互联网金融业态实施非法集资、洗钱等犯罪活动，严重破坏了金融秩序，危害人民群众的财产安全。互联网金融犯罪不同于传统金融犯罪，具有隐蔽化、专业化、智能化的特点，给相关司法活动带来了较大困难，因此，如何规制互联网金融犯罪、维护我国金融安全，成为各方关注的重要问题。本文拟对当前我国惩治互联网金融犯罪面临的困境进行分析，并从完善刑法条文规定、加强监管协作、改进侦查和取证方式、加强社会综合治理等方面提出参考性建议，希望对行业有关各方规制互联网金融犯罪有所帮助。国家信息安全工作公安部网安局召开全国网安部门“百日行动”推进会日前，公安部网安局召开全国公安机关网安部门“百日行动”视频推

6、进会，就全国公安网安部门深入推进夏季治安打击整治“百日行动”进行再动员再部署。会议指出，全国公安网安部门要坚持总体国家安全观，坚持以人民为中心发展思想，积极回应人民群众关切，全力维护网上政治安全，高压严打网络违法犯罪，全面治理网络乱象，不断净化网络生态，全力维护网络空间安全。关于开展网络安全服务认证工作的实施意见（征求意见稿）发布为推进网络安全服务认证体系建设，提升网络安全服务机构能力水平和服务质量，促进网络安全服务产业健康有序发展，7月21日，国家市场监管总局今天对外发布了由市场监管总局联合中央网信办、公安部研究起草的关于开展网络安全服务认证工作的实施意见（征求意见稿）（以下简称征求意见稿）

7、。国家网信办公布数据出境安全评估办法7月7日，国家互联网信息办公室公布数据出境安全评估办法（以下简称办法），自2022年9月1日起施行。国家互联网信息办公室有关负责人表示，出台办法旨在落实网络安全法、数据安全法、个人信息保护法的规定，规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动，切实以安全保发展、以发展促安全。国家标准公有云中个人信息保护实践指南发布国家标准GB/T 41574-2022信息技术 安全技术 公有云中个人信息保护实践指南正式发布。根据2022年7月11日国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告（202

8、2年第8号），全国信息安全标准化技术委员会归口的国家标准GB/T 41574-2022信息技术 安全技术 公有云中个人信息保护实践指南正式发布，实施日期为2023年2月1日。网络数据安全管理条例被列入国务院2022年度立法计划7月14日，据中国政府网消息，国务院办公厅发布国务院2022年度立法工作计划。南都记者注意到，在拟制定、修订行政法规中提及，由网信办组织起草网络数据安全管理条例，由网信办起草未成年人网络保护条例。据了解，网络数据安全管理条例和未成年人网络保护条例均已出台征求意见稿。市场监管总局公布关于开展网络安全服务认证工作的实施意见 (征求意见稿)市场监管总局今日公布关于开展网络安全服

9、务认证工作的实施意见（征求意见稿）。实施意见提出，将确定并适时调整网络安全服务认证目录，组建网络安全服务认证技术委员会，从事网络安全服务认证活动的认证机构应当依法设立，具备从事网络安全服务认证活动的专业能力，并经市场监管总局征求中央网信办、公安部意见后批准取得资质等9项意见。公众可通过电子邮件及信函的方式提出意见，征求意见的截止日期为8月21日。国际信息安全工作美英敏感数据共享协议生效，两国网络执法合作进入新时代美国司法部于7月21日宣布，美国与英国在2019年10月3日签署的针对打击严重犯罪目的的电子数据访问协议（Access to Electronic Data for the Purpo

10、se of Countering Serious Crime）已于近期生效，这也意味着美英两国网络执法合作已进入可借“防范、发现、调查和起诉严重犯罪”名义、更快也更便利地调取对方服务提供商所传输及存储数据的新时代。拜登政府首个国家网络安全战略聚焦人才培养提速作为拜登政府首个（即将发布的）美国国家网络安全战略的重点之一，网络安全人才培养已经上升为国家战略议题。拜登政府本周一（7月18日）宣布，美国高级网络安全官员和几个行政部门的负责人将在本周二召开的白宫国家网络安全人才和教育峰会会面，讨论填补美国数十万空缺网络安全职位的方法。数字公平竞争新规则！欧盟数字市场法正式通过2022年7月18日，欧盟理

11、事会今天最终批准通过了数字市场法（DMA），意在建构一个公平竞争的数字部门的新规则。欧盟数字市场法确保了一个数字公平竞争的环境，为大型网络平台（守门人）制定了明确的权利和规则，并确保没有任何一个平台可以滥用其优势地位。数字市场法在欧盟层面规范数字市场，将创造一个公平和竞争的数字环境，使中小公司和消费者都能够从数字机会中受益。美国众议院2023财年拟为网络安全拨款超1000亿元安全内参7月14日消息，美国众议院拨款委员会于今年6月完成了对2023财年十余项支出法案的审议工作。据统计，这些法案共将为各联邦政府部门与机构的网络安全工作，提供至少156亿美元资金（约1052亿元）。迈向“零信任”！美国

12、白宫正在开发实时信任评分系统安全内参7月11日消息，据美国白宫管理和预算办公室（OMB）首席信息安全官丹钱德勒（Dan Chandler）介绍，该部门正在开发一套系统，旨在为用户生成信任评分，据此判断对方是否有权访问其网络或应用程序。在上周四（7月7日）的ATARC网络研讨会上，钱德勒表示，此举希望利用该办公室掌握的所有网络信息做出安全评判。新系统将在用户评分不高时实时发出提醒，而不是简单粗暴的拒绝用户的请求。安全事件与攻防技术黑客盯上了欧洲央行行长Security Affairs 网站披露，欧洲中央银行行长克里斯蒂娜拉加德遭到一次未遂的网络攻击，数据信息没有泄露。欧洲中央银行总部位于法兰克福

13、、主要负责 19 个欧元区国家。美联社近期披露，央行在回复一份报告询问的电子邮件中表示，这一未遂网络攻击是最近才发生的。另外，该行补充称，其内部的网络安全专家很快就发现了尝试攻击并阻止了它，事件正在调查中，暂时没有更多可以透露的信息。80.26亿罚款，16项违法事实！国家网信办对滴滴作出网络安全审查相关行政处罚7月21日，国家互联网信息办公室公布对滴滴全球股份有限公司（以下简称“滴滴公司”）依法作出网络安全审查相关行政处罚的决定。根据网络安全审查结论及发现的问题和线索，国家互联网信息办公室依法对滴滴全球股份有限公司涉嫌违法行为进行立案调查。经查实，滴滴全球股份有限公司违反网络安全法数据安全法个

14、人信息保护法的违法违规行为事实清楚、证据确凿、情节严重、性质恶劣。7月21日，国家互联网信息办公室依据网络安全法数据安全法个人信息保护法行政处罚法等法律法规，对滴滴全球股份有限公司处人民币80.26亿元罚款，对滴滴全球股份有限公司董事长兼CEO程维、总裁柳青各处人民币100万元罚款。中国人民银行支付结算司对电信网络诈骗案例的分析与思考中国人民银行支付结算司对美国一起虚拟货币“杀猪盘”电信网络诈骗的典型案例进行了分析，梳理总结了当前全球电信网络诈骗案件屡禁不止的底层逻辑，并在此基础上提出持续研究关注国际电信网络诈骗犯罪形势及特征，不断升级我国综合治理体系，防范虚拟货币成为涉诈资金转移新通道，加大

15、涉诈人员打击惩处和管控力度，加大关联犯罪打击力度，精准开展反诈防诈宣教等建议，为全方位筑牢技术反诈防护网，全领域铲除电信网络诈骗犯罪滋生土壤，全维度强力挤压涉诈犯罪生存空间，坚决打赢反诈人民战争提供了有益的参考。新钓鱼平台Robin Banks出现，多国知名金融组织遭针对近期出现了一个名为 Robin Banks 的新型网络钓鱼服务（PhaaS）平台，提供现成的网络钓鱼工具包，目标是知名银行和在线服务的客户。该钓鱼平台的目标包括了花旗银行、美国银行、Capital One、Wells Fargo、PNC、美国银行、劳埃德银行、澳大利亚联邦银行和桑坦德银行等各国知名金融机构。IBM数据泄露成本报

16、告发布，数据泄露创历史新高近期，IBM发布了最新的数据泄露成本报告，据报告称，目前全球数据泄露的平均成本为435万美元，过去两年数据泄露成本增加了近13%，创下历史新高。数据泄露成本报告是IBM的年度重磅事项，至今已经是该报告发布的第17年。今年的数据泄露成本报告是根据2021年3月至2022年3月期间对17个国家/地区的550家企业的调研编制而成的。与去年报告相比，今年的整体数据有2.6%的增长，同时，据IBM称，消费者也正因数据泄露事件而遭受不成比例的痛苦。60%的违规企业在遭受数据泄露事件后反而提高了其产品价格，约等于变相加剧了全球通胀的速度。中国网络空间安全协会发布2022数据安全典型

17、案例7月21日，由中央网信办网络法治局、浙江省委网信办指导，中国网络空间安全协会、杭州市委宣传部主办，余杭区人民政府和相关网信企业承办，中国互联网发展基金会支持的以“护航数字经济，共话数据安全”为主题的“2022数字安全与法治高峰论坛”在杭州举行。会上，中国网络空间安全协会发布了2022数据安全典型案例。中国网络空间安全协会副秘书长赵宏志主持发布环节，中国网络空间安全协会秘书长李欲晓和杭州市余杭区委常委、宣传部部长倪伟俊为入围单位代表颁发证书。因传送居民IP地址等数据到美国，欧委会被诉违反GDPR因IP地址等个人信息被转移到美国，一位德国公民起诉欧盟委员会违反通用数据保护条例。7月19日，据欧

18、洲媒体EURACTIV报道，因IP地址等个人信息被转移到美国，一位德国公民起诉欧盟委员会违反通用数据保护条例（GDPR）。Lockbit勒索软件团伙攻击意大利税务局Lockbit勒索软件团伙声称攻击了意大利税务局（Agenzia delle Entrate），并将该政府机构添加到其暗网泄密网站的受害者名单中。Lockbit勒索软件团伙声称窃取了78GB的数据，包括公司文件、扫描件、财务报告和合同，并称将很快发布文件和样本的截图。Lockbit 勒索软件团伙给了意大利税务局 5 天的时间来支付赎金，以避免被盗数据泄露。参考资料与信息Gartner：中国安全运营最佳实践中国的安全和风险管理（SRM

19、）领导者常常感到他们的安全运营方法不再发挥效果。这是因为多数安全运营中心（SOC）是根据以往的IT环境和威胁环境设计的，因此无法有效地检测和应对当前以及未来的攻击。中国独特的监管要求和安全市场，为安全运营设定了具体的限制。中国的SRM领导者要取得成功，不能简单地照搬国外安全实践，而要综合考虑本土情况。在中国，业务部门和云服务提供商在安全运营中也发挥着关键作用。因此，安全运营需要转变为更加互联和灵活的运营模式，而非无休止地扩展SOC的规模和范围。安全监控响应的精细化运营观在日益严峻的外部环境和监管要求下，安全监控响应已成为信息安全工作的重要组成部分，是企业威胁发现和精准防控的关键。小型安全团队做

20、好安全监控响应工作的核心原则，是提高资源的使用效率，做到“人尽其才、物尽其用”，这不仅需要全面、自动化的IT和安全基础设施作为能力底座，更需要精细化、持续化的安全管理和运营支撑。本文简单介绍国信安全团队在实践中，如何逐步建立和完善精细化运营工作的过程。从真实事件看软件供应链攻击的常见手法与防护以下梳理了近两年发生的五起真实软件供应链攻击事件，通过案例分析给出应对建议，以便组织更好防范供应链攻击威胁，以免造成严重后果。软件供应链攻击正成为一种越来越常见的非法获取商业信息的犯罪方法。据研究机构Gartner预测，到2025年有45%的企业将会遭受供应链攻击。个人信息频繁被泄露，用户如何自我保护、及

21、时止损？个人有必要通过掌握一些知识和技能的方式，尽可能减少信息泄露对自身的影响，以下几条建议供参考。近期，有消息称，“大学生学习软件“学习通”数据库信息被公开售卖，其中疑似泄露的数据包含学校/组织名、姓名、手机号、学号/工号、性别、邮箱等信息达1.7亿条。如果这一消息确为事实，意味着海量学生个人信息遭到泄露，一旦流入黑产和诈骗团体，其后果不堪设想。公安部门已经介入了调查，尚没有公布调查结果，此类事件曾多次被媒体爆出，APP数据泄露，确实不容小觑。企业如何应对日益严峻的供应链网络安全问题随着经济全球化和信息技术的快速发展，网络产品和服务供应链已发展为遍布全球的复杂系统，任一产品组件、任一供应链环

22、节出现问题，都可能影响网络产品和服务的安全，这让世界很多国家都深刻地认识到，建立安全可靠的关键信息基础设施供应链事关国家产业安全、经济安全和社会长治久安。近年来各国政府都陆续制定了相应法律、政策和标准要求，以指导和促进供应链安全市场的发展。企业安全建设实践路程思考在信息安全管理体系方面，有适用比较广的ISO27001标准簇，也有国标的网络安全等级保护制度，实践落地不是照搬，不与之作比较，侧重对实际繁琐工作实践进行提炼，备忘出具有普遍意义的方法论，参考行业标准化的信息安全建设框架，结合特定场景下的实践落地过程，杂糅个人思考，力求避免过于强调技术语言，也尽量浅显易懂，谋求与同业之间引起共鸣和思考。企业组织在进行信息安全建设规划时，“纵深防御”体系成为多数企业适用的架构参考，在其思想指导下，为了构建完善的安全防护体系和不断提升安全防护能力，对信息安全工作进行顶层架构设计和全面的规划布局属于第一要务。数据治理与数据安全治理思考大数据经过多年发展，在不同的业务场景下得到深入应用，在企业提升经营目标、促进经营决策，以及通过大数据应用