原创 中信银行 2025-03-20 08:45 中国香港
研发安全需要久久为功
中信银行（国际）（下文简称“信银国际”或“我行”）作为一家背靠内地、扎根香港逾百年的商业银行，持有提供全面服务的商业银行牌照，在内地和海外均设有分支机构，受到香港金融管理局和内地监管机构的双重监管及指导。
香港金融管理局制定的监管框架，对金融科技安全作出一系列指导和要求，旨在鼓励金融科技创新，但也要求银行加强对于金融科技的监管和风险控制，包括安全性评估、合规性要求等。其最新的监管框架侧重于推动银行业采用先进的技术和措施来确保系统和客户数据的安全，涵盖了网络安全、数据保护、第三方风险管理等方面，尤其对于客户数据的隐私和保护有着严格的要求，银行需要遵循相关的数据保护法规，确保客户数据不被泄露或滥用。
内地监管机构在监管方面注重保护金融系统的稳定性和安全性，侧重于网络安全、支付安全等领域。两地在监管理念、法规制度、数据安全和隐私保护等方面，既涵盖相似的要求，也存在不少的差异性，同时满足两地监管势必有一定的挑战及难度，因此对我行的信息安全提出了更高的要求。
此外，由于香港本地银行普遍在金融产品研发方面较多依赖供应商，外购产品较多，在系统建设过程中，各应用系统根据供应商配置要求选用基础软件和硬件，因此造成基础软件品种和版本多，烟囱式的基础设施建设复杂度高，疲于应对监管要求，研发安全较难保障。
在金融科技安全监管趋向更严格的背景下，信银国际以香港金融管理局发布的金融科技2025策略为指导，与熟悉内地实践的银行同业紧密合作，体系化地制定了金融科技应用三年规划，明确了减少对于第三方供应商的技术依赖，推进应用开发平台、应用系统、运营和监控工具以及开发资源自主可控的战略方向。
信银国际统一技术栈，建设统一开发平台，谨慎引入开源框架及产品并确保有效的管控，聚焦项目管理及全流程研发周期自动化提升，大力推动低代码平台工具的落地实施，解决IT资源瓶颈问题，设立产品供货商及人力资源供货商准入名单制、定期评估退出制度，在确保安全合规前提下，分摊风险、提升研发效率、降本增效。同时，以技术升级为契机，加强香港IT团队、深圳IT团队间、业务部门敏捷小队间的全方位协作和人才共享，逐步实现对关键应用系统的全面掌控，达到端到端高度自主可控，同步带动其他周边应用的技术改造和重构，助力我行的金融科技发展和数字化转型。
在研发组织结构上，补齐架构、需求、测试及质量管控等职能单位及部分关键应用领域人员配置不足的短板，包括设立解决方案合作伙伴岗位，强化需求规划及与业务部门的密切沟通；加强测试管理团队建设，优化测试流程规划，统筹测试环境安排；试点更严格的项目质量保证机制并培养相关专业人才，促进研发质量管控成为确保研发安全的一道重要防线。同时，加强关键应用领域人才队伍能力建设，以适应从外包到自主可控的转变。另外我行还结合研发安全制度及规范，定期为员工提供安全意识培训及检查，提高员工对安全风险的认知和应对能力。
在研发的全生命周期中，研发安全不仅需要在技术层面考虑，还需要贯穿于供应链、合规性和监管要求的方方面面，确保产品的安全性和合规性。
1.项目前期及需求阶段
（1）项目前期增加安全需求及安全评测相关内容
在需求文档中明确安全要求，包括对数据加密、访问控制、身份验证、安全审计等方面。前期评估中首先确保供应商提供的解决方案能够满足这些安全要求，并能够有效地保护数据和系统的安全。其次，要求供应商通过安全测试，供应商应该提供安全测试报告，证明其解决方案已经通过了相关的安全测试，并符合相关的安全标准。这些安全测试要求包括漏洞扫描、渗透测试、代码审查等测试内容。最后，在需求阶段还会要求提供详细的安全方案和策略，包括安全架构、安全控制措施、应急响应计划等。这些方案和策略应能有效地应对各种安全威胁和攻击，并能确保数据和系统的安全。
（2）合规和风控介入
重视合规和风控，在产品设计和需求阶段提前介入审查。银行的合规与风险团队介入讨论及审查项目的需求、功能、技术方案等。合规团队对项目的需求和产品设计进行详细的审查，确保没有违反相关的法律法规和行业准则；审查项目的合规性、数据的处理和存储、隐私保护等方面的要求，确保产品方案符合监管要求。风险团队评估项目可能带来的风险，包括技术风险、操作风险、市场风险等，审查项目的风险控制措施、安全措施、备份和恢复策略等，以确保项目能够有效地控制和管理风险。
2.设计和编码阶段
（1）加强技术方案安全合规把关
结合信银国际的科技风险评估体系，在设计阶段针对研发安全实施风险评估及控制措施，包括应用系统风险评估、应急预案、第三方系统对接风险等，确保我行系统的稳定性和安全性；技术方案模板保障覆盖安全合规设计内容，由应用架构专家、网络专家、安全控制专家、合规审计专家、IT内部风险评估专家共同评审，把安全潜在风险尽早排除在设计阶段。涉及公有云/跨境数据联动的引入及应用等，还需请熟悉内地实践的行业专家联席评审或提供专业指导，规避风险。
（2）建设自主可控开发平台
设计系统时，尤其是关键系统优先考虑自主可控，推广统一技术栈及统一开发平台，不断建设完善统一开发平台和DevSecOps 平台。
通过DevSecOps平台涵盖应用研发的全生命周期支撑，在“需求-开发-测试-发布-运维-运营”各阶段利用高效工具支撑推动效率提升，满足敏捷开发、编译构建、代码检查、测试管理、质量管控、度量分析等场景。
（3）贯彻执行数据安全保障
设计与编码阶段需要对网络安全进行防护，针对我行的网络安全要求设计应用系统的网络安全防护，包括部署防火墙、入侵检测系统等安全设备的规划及设计，确保银行系统的网络安全。
（4）强化编码安全措施
一是建立安全编码标准，制定符合自主可控要求的安全编码规范，包括输入验证、安全函数库使用和防范常见漏洞等。二是加强源代码安全和管理，三是加强内部审查，进行严格的代码审查，确保代码符合安全标准和自主可控要求。四是将安全加固及代码安全扫描工具集成到DevSecOps，严格管控编制安全并满足香港金融管理局及第三方审计的相关要求，同时提升编码质量及排错效率。
3.测试阶段
（1）全面安全测试
测试阶段进行漏洞扫描、渗透测试、安全性能测试等，在软件开发阶段，使用静态代码分析工具进行代码安全扫描，使用软件组件分析工具扫描开源组件的安全漏洞。在软件发布前，进行操作系统与应用安全扫描。对于紧急的安全问题要求上线发布前完成修复，对于高中低级别的风险问题制定不同的整改时间要求，并专人跟踪问题的整改情况。
（2）建立统一的自动化测试平台
建立从开发、部署、系统功能测试、用户验收测试到上线前回归测试的全链路自动化测试覆盖，建立自动化测试的准入准出标准规范，包括开发阶段的单元测试，部署的冒烟自动化测试，系统功能测试的接口自动化测试，用户验收测试的界面自动化测试，回归测试的全流程集成自动化测试等，提升研发全流程的自动化测试水平，打造安全，高效的研发流程。
（3）引入需求要点与测试案例设计对照矩阵
建立测试案例设计对照矩阵规范，在需求确认、详细设计、案例设计等阶段都作为重要的准入准出标准之一，保证从需求到验证结果输出的完整链路全范围覆盖，避免设计或者测试的遗漏。
（4）落实关键系统环境场主及统一测试管理机制
随着行内需求越来越多，测试环境的要求也越来越高，测试环境的稳定性成为直接影响测试工作正常推进的关键性因素，针对全行应用多，环境交互复杂，维护难度大等问题，测试环境的稳定性成为各测试团队关注的焦点。为了确保各测试环境的可用性和稳定性，建立测试环境统筹管理机制，对行内主要关键系统进行测试环境统一管理，利用自动化探针技术，对各个关键系统的测试环境进行定期探测服务的可用性，实时监控，实时跟踪，统一协调资源，以快速恢复环境使用为目标，解决各种不稳定问题。
同时为了提升版本上线的质量和安全，建立了应用版本上线前的回归测试要求规范，由研发部门和业务部门共同研究讨论建立应用核心案例库，每个版本上线前需组织人员基于核心案例库通过自动化和手工相结合的模式，进行回归验证；逐步积累沉淀自动化测试案例库，部分应用的核心案例基本可以达到80%自动化测试比例；同时为了确保核心案例的完整性和准确性，根据每个版本上线的内容定期维护更新，确保各重要应用在每个版本上线前核心功能正常、安全地运行。
4.运维阶段
（1）实时监控和应急响应
实时监控对保障一个系统的安全性、稳定性以及性能优化等方面有着至关重要的作用，我行的实时监控能力已经涵盖网络监控、服务器监控、应用程序监控、安全的监控等方面。通过监控大屏反应系统运行的健康状态，对关键的监控指标设定有不同级别的告警阈值；设立7*24的监控应急响应模式，当系统发出重要或紧急告警信息时，根据系统的应急联系人及时联系应用团队处置，同时会根据故障情况设立指挥中心来快速协调资源，下达指令，恢复系统，降低故障影响的机制。
（2）数据恢复和灾难恢复演练
数据恢复和灾难恢复是系统在遭受灾难性事件或者数据丢失时，确保数据和系统的安全恢复的重要活动，新系统在上线前要全面验证和审核；每年定期安排多次数据恢复和灾难恢复演练，增加团队的熟练程度和应急响应能力，提高整体的灾难恢复能力。
（3）安全管理、漏洞扫描和系统加固
安全管理、漏洞扫描和系统加固是保护系统和数据安全的重要措施。新系统上线前，经过安全团队对于新服务器的数据安全方面的管控交接和设定，以及从各个角度的漏洞扫描和系统加固（系统补丁）。安全团队每年对所有系统安排多次的漏洞扫描和系统加固，以此来应对与日俱增的漏洞和威胁，减少系统受到攻击的风险。
（4）合规性报告和审计
系统日常运维符合香港金融管理局和内地监管机构的双重监管要求，定期向香港金融管理局和内地监管机构提交合规性报告，并接受合规审计，确保系统的合规性和安全性。当涉及电子服务推出及重大变更等情况时，安排独立的外审机构对系统的合规性以及技术安全进行评估，在检视整体风险可控及获取监管审批后方推出服务，确保所推出的服务安全、合规、合法。
信银国际根据关键应用系统自主可控、移动优先实施的发展方向和策略，以手机银行系统作为先导试点，已经初步对标业界主流架构和开放技术，通过先前台改造、再后台优化的方式打通全流程，完成技术更新。在移动端，为了牢牢把握加速线上化以及粤港澳大湾区业务发展的历史机遇，信银国际已经构建了定制化的移动开发平台，实现移动应用的开发测试、集成发布、安全运行和集中运营等全过程统一管理，有效提升金融服务与金融科技能力；在后端，借鉴同行成功平台的建设思路和成果，结合信银国际的实际情况，成功定制建设了后端微服务统一开发平台，实现后端研发的标准化、规范化和自主可控。目前自研系统的自动化部署效率显著提升，前后端自动化部署快速高效，支持多个系统功能测试环境自动化发版，对标2021年的部署效率提升20%左右，同时有效提升了版本质量，加强研发安全。
信银国际将继续提升平台与工具间的自动化协作水平，提升研发效能。根据DevSecOps后续的工作目标，进一步优化平台，整合项目管理和问题跟踪工具、版本控制及代码托管协作平台、容器化应用程序平台等相关工具。通过试点应用，研究与试点容器化应用程序平台自动化部署，提供随时进行单个微服务的自动化容器部署的能力，并进一步推广DevSecOps的应用范围。
信银国际将进一步完善敏捷团队及低代码平台、需求研发管理配套制度、流程规范建设。完善敏捷团队配套项目管理流程、资产管理、文档规范等，完善低代码平台实施框架及指南，在需求旺盛及适合低代码研发相关领域，探索IT赋能业务部门具备研发上线能力的创新研发模型，并制定风险防范及安全管控配套要求，在金融科技转型过程中优化业务流程，减少人工操作释放人力资源，提升快速响应业务需求创新的能力。
研发安全需要久久为功，不仅需要顶层规划推进自主可控来保障，统一技术栈化繁为简，也需要补齐组织短板、优化项目全生命周期各环节安全管控措施、借助先进技术引入自动化及低代码工具配套等，保驾护航，并不折不扣的贯彻执行和回顾检查、以点带面不断深入方能取得预期效果。
作者介绍
关于 大湾区金融安全专刊
大湾区专刊现已发布第1辑和第2辑，集合了全国数十家金融和科技机构的网络安全工作经验总结，更邀请了大湾区港澳金融机构的安全专家分享独到见解。文章内容涉及防御体系、安全运营、数据安全、研发安全、业务安全、资产管理、攻防演练、前沿分析等主题方向，希望能为从业者提供网络安全防护方面的整体思路，向行业传播可持续金融创新和实践经验，为推动可持续金融生态发展汇聚智慧与力量。
关于 安全村
安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。
专刊获取方式
