隨著大數(shù)據(jù)的發(fā)展，從銀行到P2P再到保險(xiǎn)、證券等，越來越多的金融企業(yè)開始建設(shè)自己的大數(shù)據(jù)平臺(tái)。傳統(tǒng)上對(duì)于數(shù)據(jù)的管理，金融界是有經(jīng)驗(yàn)的。
但在當(dāng)前以Hadoop為基礎(chǔ)的大數(shù)據(jù)平臺(tái)，接觸數(shù)據(jù)的人更多，數(shù)據(jù)使用的更頻繁，數(shù)據(jù)的內(nèi)外交互實(shí)時(shí)，數(shù)據(jù)種類更復(fù)雜，對(duì)安全帶來了更嚴(yán)峻的挑戰(zhàn)。
從金融業(yè)態(tài)上來說，包括征信、消費(fèi)金融、P2P、眾籌、互聯(lián)網(wǎng)銀行、互聯(lián)網(wǎng)保險(xiǎn)等金融企業(yè)，都會(huì)需要大數(shù)據(jù)平臺(tái)來支撐業(yè)務(wù)需要。
金融大數(shù)據(jù)的安全有三個(gè)很重要的工作內(nèi)容，分別是安全管理及監(jiān)管合規(guī)、數(shù)據(jù)安全、業(yè)務(wù)安全。具體到實(shí)際的安全映射上，分為以下四類。
一、安全管理
金融機(jī)構(gòu)是屬于被強(qiáng)監(jiān)管的機(jī)構(gòu)，很多業(yè)務(wù)都需要牌照才能開展。在安全領(lǐng)域保持監(jiān)管層的匯報(bào)和日常溝通，是工作量不大，但需持續(xù)進(jìn)行的工作。
監(jiān)管機(jī)構(gòu)一般會(huì)有現(xiàn)場(chǎng)監(jiān)管和非現(xiàn)場(chǎng)監(jiān)管，注意及時(shí)、準(zhǔn)確的填寫內(nèi)容，利用現(xiàn)場(chǎng)監(jiān)管的機(jī)會(huì)，充分展示安全保障能力。
金融監(jiān)管由于行業(yè)特點(diǎn)，普遍比較保守，對(duì)于新技術(shù)的應(yīng)用較為謹(jǐn)慎，例如人臉識(shí)別、二維碼付款、大數(shù)據(jù)風(fēng)控等新型技術(shù)，不建議在匯報(bào)溝通中過多渲染。這里點(diǎn)到為止不再多談。
主管機(jī)構(gòu)在監(jiān)管層面，目前主要還是看安全制度、信息安全等級(jí)保護(hù)評(píng)測(cè)。等級(jí)保護(hù)測(cè)評(píng)無需多說。安全制度層面，由于不同金融業(yè)態(tài)對(duì)應(yīng)不同的安全管理要求，需要結(jié)合專業(yè)條線的安全管理制度來開展。
有些機(jī)構(gòu)為了取得更多安全證書，會(huì)去拿一些國(guó)外的安全體系認(rèn)證，這在監(jiān)管層面不是很認(rèn)可，我自己的建議是，除非有國(guó)外機(jī)構(gòu)的業(yè)務(wù)，或者真正需要借證書來完善自己的安全管理體系，否則這個(gè)證書不用過于強(qiáng)調(diào)。
除監(jiān)管之外，安全管理還有一個(gè)重要內(nèi)容是傳遞安全的信任感。一個(gè)平臺(tái)是否安全是投資者非常關(guān)心的一個(gè)角度，平臺(tái)安全可以分為資金安全和信息安全，而信息安全則需要傳遞這種信心。
如果一個(gè)平臺(tái)被黑客攻擊，或者羊毛黨大量聚集，或者出現(xiàn)批量的受害者，這對(duì)平臺(tái)的打擊是致命的。在安全信心的傳遞上，一是用人民群眾喜聞樂見的形式在平臺(tái)上宣傳，二是要處理好應(yīng)急事件，尤其在公關(guān)層面。
二、生產(chǎn)安全
金融的安全運(yùn)維和研發(fā)安全上，與其他類型機(jī)構(gòu)相比，安全要求相對(duì)較高一些。但本質(zhì)上并無較大差異，本文也不在這里介紹。主要探討大數(shù)據(jù)平臺(tái)安全。
一個(gè)簡(jiǎn)單大數(shù)據(jù)平臺(tái)示意圖如下：
整個(gè)大數(shù)據(jù)平臺(tái)可分為三大塊。
1、 數(shù)據(jù)源
一個(gè)大數(shù)據(jù)平臺(tái)，必然面臨這種形式的數(shù)據(jù)接入，數(shù)據(jù)有結(jié)構(gòu)化的非結(jié)構(gòu)化的、爬蟲數(shù)據(jù)、上報(bào)數(shù)據(jù)、圖片數(shù)據(jù)等各類格式。數(shù)據(jù)又有個(gè)人身份信息、支付、移動(dòng)數(shù)據(jù)、法院信息等各種類。數(shù)據(jù)還根據(jù)來源有組織內(nèi)和組織外。
根據(jù)接入方式有互聯(lián)網(wǎng)、專網(wǎng)等。這里需要考慮存網(wǎng)絡(luò)邊界風(fēng)險(xiǎn)。
在一個(gè)大型集團(tuán)的大數(shù)據(jù)平臺(tái)，每天都會(huì)有各種各樣的數(shù)據(jù)接入需求。安全部門在這里要有統(tǒng)一、強(qiáng)制的介入方式，包括連接類型是API、FTP還是其他類型。包括數(shù)據(jù)流量預(yù)測(cè)。包括接入的鑒權(quán)方式和證書管理。
包括使用期限和下線管理。建議是形成統(tǒng)一的數(shù)據(jù)接入平臺(tái)進(jìn)行管理，按照不同的數(shù)據(jù)保密性級(jí)別分類處理，約定統(tǒng)一的安全強(qiáng)度。這件事要早做，越晚做越痛苦，等到業(yè)務(wù)發(fā)展起來，無數(shù)的接口需要梳理的時(shí)候就積重難返了。
2、大數(shù)據(jù)平臺(tái)安全
2.1基礎(chǔ)設(shè)施安全
大數(shù)據(jù)平臺(tái)首先要考慮自身基礎(chǔ)設(shè)施安全。由于金融屬性，大數(shù)據(jù)平臺(tái)不太會(huì)考慮使用云的形式。另外，取決于搭建大數(shù)據(jù)平臺(tái)的技術(shù)及數(shù)據(jù)庫，還需要進(jìn)行針對(duì)Hadoop、mogodb、nosql等的安全管理。
需要指出的是，大數(shù)據(jù)設(shè)計(jì)的初衷并不是為了安全考慮，整個(gè)安全管理機(jī)制并不成熟，比如Hadoop早期版本缺少身份認(rèn)證機(jī)制、節(jié)點(diǎn)之間的傳輸無法加密，后續(xù)的版本提供了此類的機(jī)制之后，升級(jí)又可能導(dǎo)致Hadoop不可用。NoSQL數(shù)據(jù)庫則缺乏一些傳統(tǒng)數(shù)據(jù)庫提供的安全功能，比如基于角色的訪問控制功能。