网安加·百家讲坛 | 仝辉：金融机构鸿蒙应用安全合规建设方案
作者简介：仝辉，北京娜迦信息科技发展有限公司攻防安全负责人，深耕移动应用安全领域十余年，获得过CISP、CISSP、OSCP、PMP、CCRC-CIASW等相关证书，参与多项移动应用安全标准起草，参与华为、平安集团、中国移动、国家电网等多家国内top企业的移动安全建设，具备丰富的移动安全经验。
1.金融机构鸿蒙应用安全合规需求分析
随着移动金融服务的快速发展，移动金融App逐渐成为人们生活和工作中不可或缺的组成部分。移动金融App在为金融消费者提供便捷金融服务的同时，其自身的安全性也日益引起社会关注。金融安全关乎国家安全，防范风险是金融业的永恒主题，加强移动金融App的安全防护已经成为推动金融创新、促进普惠民生的重要任务和先决条件。
信息技术安全是金融机构安全防线的关键。随着金融科技的发展，金融机构越来越依赖信息技术系统进行业务运作，而信息系统的漏洞和数据泄露可能会带来严重的金融风险。
因此，金融机构需要加强对信息技术系统的安全管理，建立完善的网络安全防护体系，实施安全防护、安全检测、加密数据传输、加强身份验证等措施，确保移动应用的安全稳定运行。另外，金融机构还应定期进行信息系统的安全漏洞扫描和风险评估，及时更新安全防护措施，防范黑客攻击和病毒入侵。
为了确保金融行业鸿蒙应用的稳健和安全，金融机构必须建立起严实的安全防线。安全防线建议从鸿蒙应用的安全防护和安全检测两方面进行安全体系建设，通过内部建立健全的安全体系、加强信息技术安全保护和完善风险管理体系，外部加强与监管机构的合作与沟通，确保金融鸿蒙应用的稳定和健康发展。
鸿蒙应用安全合规架构图如下：
自HarmonyOS NEXT10月8日正式开启公测以来，已有超过40家券商启动了鸿蒙版交易软件的公测。目前鸿蒙原生应用生态大势已成。未来，将持续与鸿蒙生态开展深度合作，充分利用HarmonyOS NEXT原生互联、原生智能、原生安全等独有特性，拓展终端智能服务新触点，探索证券数智服务新机遇，共创鸿蒙生态。
超40家券商启动鸿蒙版APP公测，预示着券商共创鸿蒙生态进入新阶段。这些APP不仅支持行情查询、交易操作等核心功能，更涵盖了理财、投顾等多元化金融业务，可保障投资者无缝过渡至新的操作系统环境。在让投资者享受与鸿蒙原生系统深度融合所带来的流畅体验的同时，满足券商对自主创新、安全可控的操作系统及应用软件的迫切需求。
同时多家券商表态，未来将继续深化与华为等科技企业的合作，共同推动鸿蒙生态的繁荣与发展，不断加大科技创新力度，持续提升技术水平和用户体验，打造一站式数字化财富管理平台，共创鸿蒙生态。
2.金融机构监管政策
➤2.1《移动金融客户端应用软件安全管理规范》
2019年9月27日，中国人民银行发布《移动金融客户端应用软件安全管理规范》（JRT 0092-2019 ），分别从技术和管理两个层面展开，对移动金融客户端应用软件以及客户端应用软件设计、开发、维护和发布的管理做出了明确要求。
➤2.2 中国人民银行关于发布金融行业标准加强移动金融客户端应用软件安全管理的通知（银发〔2019〕237号）
2019年12月，为贯彻落实《中华人民共和国网络安全法》，加强移动金融客户端应用软件（以下简称客户端软件）安全管理，中国人民银行印发《移动金融客户端应用软件安全管理规范》（JR/T 0092-2019，以下简称《规范》），并提出如下五方面的实施工作要求：一是提升安全防护能力；二是加强个人金融信息保护；三是提高风险监测能力；四是健全投诉处理机制；五是强化行业自律管理。
各金融机构应严格按照《规范》要求，加强客户端软件设计、开发、发布、维护等环节的安全管理，构建覆盖全生命周期的管理机制，切实保障客户端软件安全。同时建立健全客户端软件风险监测管理机制，充分利用客户端软件风险监测平台，识别和处置客户端软件潜在的安全漏洞、权限滥用、信息泄露等风险隐患，对发现的漏洞和潜在的风险及时采取补救措施。
➤2.3《关于加强银行业保险业移动互联网应用程序管理的通知》
2024年9月12日，金融监管总局印发了《关于加强银行业保险业移动互联网应用程序管理的通知》（以下简称《通知》）。
《通知》从四方面提出18条工作要求，一是加强统筹管理，要求金融机构明确移动应用管理牵头部门、建立移动应用台账、完善准入退出机制、控制移动应用数量；二是加强全生命周期管理，要求金融机构规范移动应用的需求分析、设计开发、测试验证、上架发布、监控运行等环节，强化移动应用与运行环境的兼容性、适配性管理；三是落实风险管理责任，要求金融机构落实移动应用备案、网络安全、数据安全、外包管理、业务连续性及个人信息保护等监管要求；四是加强监督管理，要求金融监管总局各级派出机构加强移动应用监管工作。
为指导银行业金融机构、保险业金融机构和金融控股公司（以下统称金融机构）进一步提升服务质量，规范移动互联网应用程序（运行在移动智能终端上向内、外部用户提供服务的应用软件，包括但不限于移动应用APP、小程序、公众号等）。
金融机构应当加强移动应用网络安全管理，严格落实国家网络安全等级保护制度，定期对移动应用进行安全加固，采取加密方式进行数据传输，监测识别异常流量、恶意程序、攻击入侵、安全漏洞、非法逆向分析破解、代码篡改及重打包等风险，发现问题及时处置。金融机构应当对移动应用注册用户进行有效身份核验。
金融机构应当按照“谁管业务、谁管业务数据、谁管数据安全”的原则，明确移动应用数据安全管理责任。结合移动应用特点强化数据安全措施，有效防范数据泄露、篡改和勒索攻击等风险。
3.金融机构安全合规建设方案
金融机构的APP主要面临的威胁包括反编译、逆向分析、恶意篡改、恶意攻击、敏感数据泄露等安全问题，基于以上安全背景金融机构需加快构建安全合规体系的建设步伐，建议参照以下三个方面推进安全合规体系建设进度，确保金融鸿蒙应用的稳定和健康发展。
➤3.1 第一步：依据国家监管部门的法规及标准要求进行安全合规体系建设
金融机构可建立金融行业的法规标准库，通过专业人员对法规标准的解读，全面剖析国家、地方、行业等地方的安全监管要求，借助法规标准，金融机构可全面地研究与掌握相关部门的监管动态，使用技术手段将监管法规标准转化成自动化工具，方便金融机构快速实现对APP的安全防护与漏洞排查工作。
金融机构还需要对分支机构、供应链、三方合作厂商等进行安全督查并建立三方合作商清单，同时签订相关的安全合规保密协议，对于和金融机构合作的供应链企业开展安全审查，对于发现的安全漏洞，应督促供应链厂商及时进行自查和整改。
金融机构应该建立一套完整的应急处置措施，从而保障组织的安全和稳定，减少损失。随着风险的不断增加，越来越多的组织意识到建立有效的应急响应方案对于组织安全的重要性，建立应急响应预案将有助于实现应急响应方案的快速、准确、有效执行，以便应急响应团队能够及时获取到与突发事件相关的信息，使其作出更准确、及时、科学的应急决策。
➤3.2 第二步：建立常态化安全防护及安全检测扫描机制
安全合规包括两个方面：安全防护及安全检测，金融机构需结合自身情况建立常态化的安全防护及安全检测机制。
安全防护：APP进行安全防护的主要目的是提高应用程序的安全性，防止各种安全攻击和恶意行为，从而保护用户数据和应用开发者的利益。通过安全防护鸿蒙应用程序可以有效地抵御反编译、逆向分析、恶意篡改、恶意攻击、敏感数据泄露等安全威胁，确保应用的稳定运行和用户数据的隐私安全。
安全检测：APP安全检测是确保移动应用安全的重要手段。在开发过程中，由于技术、人员和管理等方面的原因，APP可能存在各种安全漏洞和风险。这些漏洞一旦被黑客利用，可能导致用户数据泄露、恶意攻击、应用被篡改等严重后果。因此，对APP进行安全检测，及时发现并修复潜在的安全隐患，是保障用户信息安全和应用稳定运行的必要措施。
通过建立常态化安全防护及安全检测扫描机制，可持续确保鸿蒙应用的合规性，金融机构可以与国内专业的攻防厂商合作，利用自动化的安全防护及检测工具可及时发现应用存在的安全漏洞，研发人员可根据修复建议第一时间解决修复漏洞，运行自检、自查、自防护的方式使应用长期、稳定、健康运行。
➤3.3 第三步：取长补短，避免监管通报
行业监管部门的检测方法日新月异，各地方和行业的监管要求也不尽相同，在建立常态化安全防护及安全检测扫描机制的基础上，加强与监管部门沟通，关注监管动态，制定详细的自检计划，明确检查的范围和深度，并向研发人员定期更新和同步安全漏洞知识库，将监管部门近期通报过的问题在现有应用上做复现，应用一旦出现问题，立即启动整改程序，整改完毕后再对整改后的应用做复测，保证发现的问题整改到位。同时利用金融机构内部安全团队和外部专家团队的资源，高效迎接监管检查，确保顺利通过监管部门的安全合规审查。