（原標題：頂象聯合信通院發布《業務安全白皮書》 為數字業務安全體系提供建設標準）

　　 6月24日，由中國信息通信研究院、中國通信標準化協會主辦的“2022首屆業務與應用安全發展論壇”在北京召開，來自中國信通院、頂象、阿里巴巴、華為、字節跳動、浪潮云等機構和企業的近百位專家齊集一堂，就國內業務安全現狀、發展和未來趨勢進行了深入探討。

　　 會上公布了“2022可信安全評估結果”、“2022安全守衛者計劃—業務/應用安全專題優秀案例評選結果”、“業務安全推進計劃”成員單位、“業務安全全景視圖”，并發布了《業務安全白皮書—數字業務風險與安全》，這是國內首部專門研究數字業務安全的白皮書，由頂象與信通院聯合制作。

　　 《業務安全白皮書—數字業務風險與安全》（以下簡稱“白皮書”）系統對業務安全風險的發展態勢和關鍵技術要求進行分析，幫助企業梳理數字化轉型浪潮下將面臨的業務安全風險以及相應的防控技術，為企業建設更完備高效的業務安全能力體系提供策略指導。

　　 數字業務風險多樣，黑灰產呈組織化

　　 隨著數字化的深入普及，業務愈加開放互聯。企業的關鍵數據、用戶信息、基礎設施、運營過程等均處于邊界模糊且日益開放的環境中，涉及利益流和高附加值的業務面臨多樣的安全隱患，隨時可能遭遇損失，進而影響企業運營和發展。

　　 一方面，業務安全隱患形式多樣，在電商、支付、信貸、賬戶、交互、交易等形態的業務場景中，存在著各類等欺詐行為；另一方面，欺詐行為日益專業化、產業化，且具有團伙性、復雜性、隱蔽性和傳染性等特點。

　　 《白皮書》認為，以大規模牟利為目的網絡黑灰產，熟悉業務流程以及防護邏輯，能夠熟練運用自動化、智能化的新興技術，不斷開發和優化各類攻擊工具，采用盜取、偽造、破解、劫持等手段，發起薅羊毛、刷單炒信、刷量、虛假賬號、惡意爬蟲、團伙騙貸、養卡套現、洗錢、山寨App、虛假考勤等欺詐攻擊。數據顯示，國內黑灰產從業人員近200萬，每年造成的業務損失達數千億元。

　　 建設業務安全體系，企業需重點考慮四點

　　 《白皮書》認為，國內數字化轉型及數字化原生企業，將長期面臨業務欺詐的嚴峻挑戰，企業的業務安全體系建設更需要考慮如下四個問題。

　　 業務場景豐富，應用環境繁雜，企業對業務風險與業務安全的認知不夠，缺乏專業人人才。

　　 業務風險復雜多變，已知的防控手段難以防控最新的業務風險，無法從全局視角洞察欺詐風險。

　　 單點防御作戰能力無法應對全網隨時出現的攻擊，傳統安全機制和運營思路也不適應新環境下產生的威脅。

　　 第四，業務安全需要需要以業務為中心，企業基于業務需求和行業特征構建安全體系。

　　 作為安全服務中最貼近業務、最直接面向用戶核心價值的安全維度，企業需構建一個提供全流程防護，能夠滿足不同業務場景，擁有各行業策略且能夠基于自身業務特點實現沉淀和更迭演進的業務安全，為不同業務場景提供安全防護，以有效抵御業務欺詐威脅，解決各個業務環節的安全問題，為業務的穩定、安全運行保駕護航。

　　 業務安全云，滿足不同業務場景的防護需求

　　 《白皮書》倡議建立一個全鏈路的業務安全云。業務安全云打通產業鏈上下游，鏈接各行業和業務的“信息孤島”，擁有威脅感知、安全防護、數據沉淀、模型建設、策略共享等安全服務，提供全網迭代、覆蓋不同行業和業務場景的策略，以及業務安全情報和風險數據，實現業務安全能力零啟動、風險情報和策略持續共享，幫助企業實時響應的聯防聯控機制。

　　 業務安全云具備設備真偽識別能力、行為驗證能力、風險感知能力、高性能實時計算能力、高效的策略執行能力、攻擊還原能力。獨有四大優勢：

　　 全網風險感知。融合全網風險態勢，為行業企業提供全網的安全攻防對抗情報。

　　 實時防御策略。基于攻防實戰中打磨的技術和實戰經驗，形成行業通用策略和針對需求定制的專屬策略，并通過云端實時迭代和聯動。

　　 一體化風險處置。提供風險識別、防御處置、攻擊還原、人工審查、關聯分析、數據沉淀等一體化閉環風險處置。

　　 風險數據沉淀。實現黑樣本數據、風險行為特征的沉淀，并通過云端下發各業務安全體系，進一步提升整體風險防控能力。

　　 《白皮書》重點介紹了首個業務安全云——頂象防御云，以及在金融、電商、出行、航空、保險等行業的應用實踐案例。

　　 頂象防御云基于多年實戰經驗和技術產品，擁有豐富的技術工具、數萬個安全策略及數百個業務場景解決方案，具有情報、感知、分析、策略、防護、處置的能力，提供模塊化配置和彈性擴容，助企業快速、高效、低成本構建自主可控的業務安全體系。頂象防御云主要包含業務感知防御平臺、驗證碼、設備指紋和端加固等產品。

　　 未來業務安全呈現“四化”特征

　　 《白皮書》認為，業務安全建設整體將呈立體化、精細化、智能化、云化發展。

　　 立體化。基于數字業務的特點和屬性，綜合運用各種技術手段和工具，從多渠道、多角度、全流程進行防控，并與業務的上下游的安全體系形成協同，從而形成立體的防護體系，滿足不同場景下業務風險變化，以有效防控數字業務安全。

　　 精細化。通過覆蓋全流程的、立體防控體系，提供靈活、彈性的差異化防控策略和措施，以應對復雜場景下多變的業務風險，既能有效防范已知風險和潛在的未知風險，保障業務安全，又不影響用戶多元化體驗和需求。

　　 智能化。利用大數據、人工智能等技術，切實增強數據應用能力，提升數據洞察能力和基于場景的數據挖掘能力，讓數據發揮應用的價值，實現業務全要素、全過程、全方位的風險感知、風險監測，并對業務風險及其防控數據進行智能化分析、精準化預測和可視化管理。

　　 云化。不同業務場景、差異的網絡環境、多層次的安全需求卻又需要統一安全管理。云化的產品和服務能夠多層次安全需求，能夠適應不同業務需求彈性擴容、動態調整，更大幅簡化用戶在產品交付和運維上的工作，具有便捷、簡化流程、降低成本等特點。

　　 此外，新技術與業務防控技術的組合應用助力業務安全創新升級。《白皮書》認為，虹膜識別、聲紋識別、生物探針、區塊鏈、機器學習以及人臉識別應用安全等技術在安全防控上發揮越來越重要的作用。

　　 《業務安全白皮書—數字業務風險與安全》是國內首部業務安全白皮書，由北京頂象技術有限公司、中國信息通信研究院云計算與大數據研究所聯合制作發布。