381
人們常常由于一些固有的觀念而產(chǎn)生誤解，比如金融服務業(yè)如果不安全，那么將會損失重大，所以他們推向市場的產(chǎn)品一定是安全的?；蛟S大家應該先聽聽另一種說法，金融服務企業(yè)分兩種類型：一種是曾經(jīng)遭受過網(wǎng)絡攻擊；另一種是將會被攻擊。這不是危言聳聽，因為巨大的利潤使得金融服務行業(yè)經(jīng)常成為黑客首選的攻擊目標。2019年，全球金融服務市場估值高達22萬億美元1。疫情爆發(fā)的第一年，超過70%的金融服務企業(yè)都遭遇了網(wǎng)絡攻擊2。
新思科技軟件質量與安全部門亞太區(qū)客戶服務總監(jiān)Ian Hall指出：“這是金融服務企業(yè)面臨的現(xiàn)實。為了轉變AppSec實踐并簡化DevOps開發(fā)模型，企業(yè)一直在努力實施可擴展并能緊跟需求變化的工具和流程。管理和維護開源代碼的復雜性、云原生架構和相關微服務的應用都給這項工作的開展增加了難度。此外，錯綜復雜的供應鏈使得企業(yè)很難全面了解其風險狀況?！?/p>
盡管如此，因為金融服務行業(yè)的性質，許多人認為這個行業(yè)應該非常安全。以下是新思科技(Synopsys)使用2020年度“軟件安全構建成熟度模型”(BSIMM)報告中的研究數(shù)據(jù)來揭示并解釋金融服務行業(yè)安全的七大誤區(qū)。
誤區(qū)一：金融服務企業(yè)是安全的，因為他們必須安全
這種看法并不是基于證據(jù)或數(shù)據(jù)，而是基于這樣一種信念：金融服務企業(yè)作為用戶敏感數(shù)據(jù)的看門人，必須是安全的。
由于該行業(yè)受到嚴格監(jiān)管，因此，金融服務企業(yè)往往非常善于保持合規(guī)性，從而導致安全主管和客戶很容易產(chǎn)生錯誤的安全感。但如果他們不能仔細檢查安全實踐在合規(guī)范圍外的表現(xiàn)，長期以往也會出現(xiàn)問題。
事實上，金融服務企業(yè)并沒有那么安全。新思科技近期委托Ponemon Institute開展了一項名為《金融服務業(yè)的軟件安全狀況》的獨立研究，凸顯出人們對金融服務安全性的誤解。報告發(fā)現(xiàn)，50%的金融服務企業(yè)由于不安全的軟件而遭遇數(shù)據(jù)盜竊。
誤區(qū)二：金融軟件不同于其他軟件（因此無法改變）
許多金融服務企業(yè)仍然認為他們的軟件與其它類型的軟件存在本質上的區(qū)別，因此無法做出改變。他們認為企業(yè)負擔不起朝著DevOps做出重大轉變的費用，也無法無條件地信任瀑布式方法等公認的最佳實踐。他們的看法是，過去有效的方法未來將繼續(xù)奏效。
其實金融軟件的編寫、管理和測試方式與其它軟件大同小異。過時的開發(fā)模式會限制開發(fā)速度并阻礙上市速度。拒絕適應現(xiàn)代軟件環(huán)境的企業(yè)遲早會落伍。
誤區(qū)三：小型金融服務企業(yè)的AppSec需求有別于大型金融服務企業(yè)
有人誤認為，小銀行和大銀行對AppSec和相對安全級別有著不同的需求。小銀行通常是購買軟件，而大銀行則是自己開發(fā)軟件。有人認為當購買軟件時，確保安全性的責任便落在了供應商而不是購買者身上。此外，他們還認為小銀行使用的軟件不同于大銀行，這種錯誤觀點常常導致重要的安全實踐活動被忽視。更令人不安的是，許多規(guī)模較小的銀行認為自己的規(guī)模太小，不可能成為攻擊目標。
所有的金融服務企業(yè)，無論規(guī)模大小，都依賴于開源軟件和軟件供應鏈——即使是那些自己開發(fā)軟件的企業(yè)?？蛻魧π°y行和大銀行的安全要求是一樣的。因此，所有的銀行都有責任實施可靠而全面的AppSec策略，并了解其安全風險狀況。
誤區(qū)四：企業(yè)可以控制所部署的軟件中的所有內(nèi)容
許多金融服務企業(yè)都認為，他們對其部署的軟件中的所有組件和元素非常了解。但是，了解軟件堆棧中的所有內(nèi)容并不代表全面了解—— 甚至比較全面地了解 —— 它們在生產(chǎn)環(huán)境中的表現(xiàn)。即便是大型金融服務企業(yè)也陷入這個誤區(qū)之中。
要知道，您所擁有的是不完整的視圖。現(xiàn)在所有的金融服務企業(yè)都在使用各種形式的開源軟件，覆蓋廣泛的AppSec活動和環(huán)境。從Docker和Kubernetes，到供應鏈、云部署和共擔責任模式，您需要了解環(huán)境中的所有代碼和每個組件。準確了解正在部署的內(nèi)容及其安全狀態(tài)是至關重要的。
誤區(qū)五：確保云安全是云運營商和所有者的工作
就像對待第三方責任的態(tài)度一樣，金融服務企業(yè)通常認為，在云安全問題上，有人可以“代勞”。金融服務企業(yè)以為云安全是云運營商和所有者的責任，通?；净蚋静粫扇∪魏未胧﹣肀Ｗo其云部署。
實際上，確保云安全是企業(yè)本身的責任。GitHub、GitLab和其它各色云服務提供者都在努力保護用戶的云部署。然而，能否確保部署安全仍然取決于貴企業(yè)的內(nèi)部AppSec計劃。為了運行安全的云部署，安全團隊必須將安全的容器部署到云端。此外，金融服務企業(yè)還要負責整體的安全最佳實踐、身份和訪問管理以及加密安全。如果沒有內(nèi)部安全活動，云部署也許可以正常工作，但肯定不安全。
誤區(qū)六：具備滲透測試、門禁測試和最后一步安全便足夠
金融服務企業(yè)往往認為，開展?jié)B透測試就足夠了。這種測試的方法簡易，再加上資源匱乏問題，很多企業(yè)誤以為已經(jīng)在現(xiàn)有條件下做到了最好。
需要強調的是，AppSec必須內(nèi)置。雖然滲透測試確實能在應用安全方面起到關鍵作用，但僅開展?jié)B透測試是不夠的。新思科技的行業(yè)經(jīng)驗表明，在軟件中發(fā)現(xiàn)的所有缺陷中有50%是架構缺陷，滲透測試無法檢測到這些缺陷。金融服務企業(yè)需要采用深度架構風險分析(ARA)實踐或威脅建模方法來識別這些重大風險。
誤區(qū)七：開發(fā)人員可以根據(jù)經(jīng)驗自學AppSec技能
金融服務企業(yè)往往缺乏開展重要安全活動所需的資源。盡管如此，他們?nèi)匀幌嘈胖灰凶銐虻臅r間和自學經(jīng)驗，開發(fā)人員便可以滿足整個軟件開發(fā)生命周期中的任何安全需求。
這種學習方式也許適用于少數(shù)開發(fā)人員，但在學習過程中產(chǎn)生的不良后果會給企業(yè)帶來風險。開發(fā)人員需要多長時間才能成為安全專家的問題以及缺乏用技能評估架構和指標的問題，都構成了安全上的危險缺口。
然而，安全培訓是必要的。Ponemon報告顯示，只有38%的金融服務企業(yè)的員工具備保護軟件所需的網(wǎng)絡安全技能。25%的員工根本沒有接受過安全培訓，但仍然肩負著AppSec 的責任。
新思科技軟件質量與安全部門高級安全架構師楊國梁總結道：“越來越多的金融服務機構都使用App來開展業(yè)務。但是便利性和安全隱患共生，軟件安全問題不能小覷，比如高危漏洞、惡意程序或者使用第三方SDK時引入的安全風險等。金融服務企業(yè)無論是剛剛開始進行應用安全轉型，還是正在逐步實現(xiàn)安全計劃的更新與增強，都應該盡量安全‘左移’，用基于數(shù)據(jù)的策略來修正此類誤區(qū)，以改進AppSec流程?！?br /> ?
