中国农业银行 探索商业银行客户信息安全性测试之路

　　随着社会信息化的高速发展，人们接触信息的渠道和机会越来越多、信息量也越来越大。在享受信息社会红利的同时，机关、企事业单位和公民的各种信息，通过“无处不在”的各种途径被广泛采集。加强客户信息安全管理已经迫在眉睫，成为各行业信息安全管理的重中之重。

　　客户信息的安全管理要求

　　商业银行作为服务公众的金融平台，在提供金融服务的同时，掌握着大量的客户基本信息、交易信息以及其他衍生信息，比如姓名、身份证号码、账户号码、资产状况、联系方式等。商业银行如果对客户信息操作或使用不当，很可能被不法分子利用从而造成侵害客户人身、财产安全的事件，对商业银行形象产生不良影响，甚至引发法律风险。2017年6月1日施行的《中华人民共和国网络安全法》，把公民个人信息安全保护提升到了重要高度。商业银行对客户信息有严格的保密义务，应主动采取有效措施发现客户信息保护的薄弱环节，实施针对性防控方法，严控客户信息泄露风险。中国农业银行近几年逐渐加大客户信息安全整治力度，采取了一系列有效措施，例如，不断加强信息科技风险监管组织建设，加大客户信息安全治理力度和内部审计，建立健全IT外包监管体系，制订详尽的信息科技风险评级标准，加强网络安全，深化和提高员工思想认识等。有效预防了客户信息泄露的风险，取得了丰硕成果。

　　客户信息安全性测试的研究思路

　　目前，商业银行防范客户信息泄露风险采用较多的措施，主要包括制订相关管理制、网络访问控制及信息系统等保分级等，但对于内部员工人为因素导致的信息安全风险从上述管理层面仍难以提供有效防控。商业银行的客户信息基本都以数据形式存储在各应用系统中，在应用系统全生命流程的需求制订、设计开发、测试、投产和日常使用等过程中都或多或少存在着客户信息泄露风险。因此，对于客户信息泄密防护，如果能够直接针对包含客户敏感信息的应用系统，对系统中泄密风险较高的风险点进行控制，从源头采取有效措施进行治理，让管理目标更明确和直接，就会极大提升客户信息安全防控效果。

　　为此，本文提出一种客户信息安全性测试方法，旨在分析、发现商业银行各应用系统在整个软件生命周期中的客户信息防护薄弱环节和漏洞，以便采取针对性措施，降低客户信息泄露风险。

　　客户信息安全性测试以降低客户信息泄露风险为核心目标，采用针对性测试技术为手段，在应用系统整个软件生命周期内，发现客户信息泄露隐患、跟踪优化完善，实现其客户信息的安全合理使用。研究要点可以概括如下：客户信息泄露风险模型建模、评估策略提出、评估技术构建；采用适当技术手段，合理分配测试资源，对软件生命周期中的客户信息风险进行分析；针对发现的客户信息风险，提出切实有效的优化建议，并根据建议进行完善，实现预期目标下的软件发布。

　　软件生命周期是指软件产生直至下线的生命周期，以商业银行应用系统经常使用的瀑布型生命周期为例，包含了定义阶段（制订计划、需求分析）、开发阶段（软件设计、程序编写、软件测试）和运行维护阶段。客户信息安全性测试涵盖了软件生命周期全流程，在各个阶段发掘风险点，提出优化建议，提升客户信息安全水平，测试重点如下：

　　■定义阶段

　　测试人员依据客户信息泄露风险评估策略和方法，分析需求中使用、展示客户信息的功能，筛选出未经任何控制、大规模展现客户信息，甚至可以批量导出、打印等客户信息泄露风险较高的功能。针对风险点提出改进建议，促使需求方优化需求，在定义阶段以较小变更成本提升客户信息安全防护水平。

　　■开发阶段

　　在常规测试环节之外，增加客户信息安全性测试内容。具体方法是：测试人员依据客户信息泄露风险评估策略和方法，分析所测应用系统是否存在客户信息泄露高风险功能。如存在，需调整测试策略、提升该功能测试优先级和重要性。在测试案例设计、测试轮次、输出数据影响等方面重点关注，在测试环境中真实展现高风险功能在投产后可能出现的客户信息泄露场景。

　　以此作为依据，向需求人员、开发人员提供优化建议。例如增加权限控制、监控后台高风险操作等，提升系统抗风险能力。

　　■运行维护阶段

　　适用于对已投产的应用系统开展“健康检查”，如发现应用系统存在客户信息安全泄露风险，则依据客户信息泄露风险评估策略和方法，列出信息泄露高风险功能清单，提出优化方案，建议需求方进行整改。测试人员会在应用系统下一个需求研发阶段重点关注、跟进。

　　综上所述，客户信息安全性测试是一个从应用系统管理者的角度，考虑如何提升客户信息安全的课题。该课题着眼于应用系统软件全生命周期，测试人员采用科学有效的方法，发现应用系统客户信息泄露风险、提出针对性优化建议，提升客户信息安全保护水平。

　　在客户信息安全性测试领域的研究成果

　　中国农业银行数据中心（北京）在测试领域的技术创新，包括内部技术创新和外部技术创新。内部技术创新关注于如何优化中心测试人力资源、提升测试效率和测试质量；外部技术创新则更多地站在农业银行全行角度，对决策经营、业务流程、风险防控、信息服务等多领域提出建设性意见和建议。近几年，数据中心（北京）始终把科技创新作为信息化工作的重点任务，在客户信息安全防控方面不断探索研究，充分利用部门优势和技术资源，提升客户信息安全的综合管理能力，为农业银行客户信息安全保驾护航。

　　客户信息安全性测试能够提升测试人员在测试全过程中对被测应用系统客户信息安全的测试能力，依据不同风险级别采取不同测试策略，进一步保证测试完备性和测试质量。从农业银行客户信息安全角度考虑，对业务需求、应用系统进行风险评测，并提供合理的优化方案，提升农业银行客户信息安全管理水平。

　　■建立农业银行客户信息要素库

　　商业银行客户信息数量大、种类多，每条客户信息都由若干个客户信息要素组成。不同信息要素泄露，社会影响力和危害程度不同。客户信息安全性测试方法依托农业银行客户信息系统，全面梳理对公客户和个人客户信息要素，建立客户信息要素库，将客户信息要素分为若干等价类、分类加以管理，并提供增删改查功能，是客户信息安全测试的前提和基础。

　　■建立客户信息要素的风险测评方法

　　通过调研各层级不同角色对信息要素的认识，依据被测评应用系统各功能的输出要素种类、数量和特定功能，推演出影响信息泄露风险评分的变量，建立模型和算法。并通过算法不断学习进化和完善、日趋成熟，构建一套完整、通用的风险测评方法。

　　■建立成熟易用的测试工具

　　研发通用、快捷的风险评测工具，有效结合农业银行客户信息要素与风险测评方法，使用工具评测应用系统功能的信息泄露风险，生成风险分值，减少人工主观臆断；梳理造成客户信息泄露的功能风险点，针对不同风险点提出差异化的优化建议，提升客户信息系统安全质量。

　　■建立配套完备的测试流程和方法

　　在应用系统软件生命周期内，配套相应的制度和流程，依托自动化评测工具，建立客户信息安全性测试闭环。测试人员参与全流程的跟踪和管理，不断完善所测应用系统客户信息安全的薄弱环节。

　　中国农业银行数据中心（北京）总经理 潘贵平