近日，金融监管总局下发 《关于加强第三方合作中网络和数据安全管理的通知》 ，通知中提到：近期发生多起 银行保险外包供应商安全风险事件，对银行保险机构的网络系统安全、业务连续性造成一定影响，暴露出银行保险机构在外包服务管理上存在的突出问题。要求各银行保险机构对照通报问题， 深入排查供应链风险隐患，切实加强整改。

《通知》提到的 5 起科技外包风险事件中，其中 3 起是由于外包服务商提供的 系统、第三方工具存在安全漏洞，遭受黑客攻击 而造成的。 例如：2022 年 8 月份，4 家省联社托管在某服务商的网银系统因存在越权访问漏洞，被不法分子攻破，大量客户信息和账户信息被窃取。金融机构正在面临严峻的 供应链安全管理挑战 。

01/   金融机构供应链安全管理挑战

1、对第三方科技供应商依赖度大，断供与信息安全风险激增

随着数字化转型的持续深入，银行、保险等金融机构对外部信息技术的需求不断增加。信息科技外包供应商，作为 弥补传统金融机构信息技术短板的专业力量 ，在金融机构数字化转型道路上承担着越来越重要的角色。

大多数中小型商业银行，更是将信息技术基础设施全部托管于外部机构，这将导致：攻击者可能会 以供应商为跳板 ，攻击企业，导致 数据泄露或业务受到影响 ，甚至 违反监管要求 ，收到相关处罚。

2、金融机构逐渐成为网络犯罪分子眼中的 “香饽饽”

金融行业作为国家 关键信息基础设施 之一，金融科技系统的安全性将关系到用户、社会乃至整个国家的稳定。随着金融机构信息化程度的增加，信息互联带来高效的同时，也让机构面临巨大的安全威胁。

据国家互联网金融风险分析技术平台数据：截至 2021 年 10 月底，共发现针对互联网金融网站攻击次数 达 7476.8 万次 。针对金融机构的  APT 攻击、精准式网络 攻击日益激增。通过互联网攻击手段实施金融犯罪活动，已经成为金融犯罪的重要手段，金融机构也成为网络犯罪分子的重要攻击目标。

3、第三方供应商水平参差不齐，安全隐患大

供应商对产品安全性的 重视程度不足 、开发人员安全开发 能力有限 等，导致第三方供应商产品安全质量参差不齐。

因为研发系统存在安全漏洞，被不法分子攻破；外包服务人员安全管控不足等，导致银行客户数据信息泄露的事件屡见不鲜。

4、软件来源复杂，全方位安全审查难度大

随着金融机构软件 采购、外包开发以及调用第三方资源需求 增加，软件供应链被拉长、实施参与方增多，引入的安全风险环节随之变多。

同时，不同分支机构在软件采购、验收、运维时各自为战，软件安全 准入标准不一 ，金融机构整体软件安全管理难度随之变大。

02/   金融机构供应链安全治理的 “2 字” 思路

第一个字： 全

软件供应链攻击之所以成为如今黑客攻击的重要方式，很大一部分原因就在于其 系统性、联通性强 。上中下游环环相扣，通过 “击破” 软件供应链中的某个薄弱环节，就能对终端企业软件系统运转造成影响。如此 四两拨千斤 的攻击效果，让网络犯罪者们 “前仆后继”。

所以，在考虑对金融机构供应链安全治理上，我们的首要思路就是  “全” ——

“全”，一方面是指面向 内外部所有软件系统 （包含外包、外采、自研等），无一例外，在软件供应链的 关键节点进行严格的安全审查；

“全” 另一方面，是从源代码、组件、应用功能、运行环境、端口、二进制文件等等，针对 软件系统内部做全而细的安全检测。

网安云曾为 诸多大型甲方公司，个性化定制软件供应商安全准入检测标准，提供专业标准化的安全检测服务，一站式满足中小型金融机构对软件供应链安全检测的需求。

还有安全专家团队坐镇，辅助进行漏洞验证，并提供整改后免费复测，帮助客户实现安全闭环。

第二个字： 明

如今软件安全攻击技术手段不断升级，尤其是针对软件供应链的安全攻击，具有 高隐秘性、追溯难 的特点，对金融业业务安全威胁极大。

同时，金融机构软件内部组件来源、依赖关系、开源许可等信息不透明、不清晰，也会导致安全隐患更加 难发现、难溯源、难清除，安全可控性弱 ，为系统安全风险应急工作增加难度。

所以，软件供应链安全治理第二个思路就是  “明” 。

“明” 指的是打开软件资产这个  “黑匣子” ，对软件版本、供应商等基本信息与内部成分信息，及其关联关系进行梳理与可视化呈现， 大大降低软件资产的 “模糊性 ” ，帮助金融机构快速摸清家底，掌握 系统安全自主可控权 。

网安云以软件 / 组件来源、版本等基本信息与软件内部组成成分信息为基础，动态关联外部安全漏洞情报，对企业软件资产进行安全跟踪与管理。运用强大的数据分析处理及挖掘技术 、多维数据可视化能力，让软件资产安全态势清晰明了，软件安全问题无所遁形。

软件供应链上每一个环节的安全问题，都有可能成为黑客攻击的切入口。千里之堤毁于蚁穴，把住软件供应链每个关卡，莫让小小漏洞成为洪水猛兽。

以上，就是本期推送的全部内容。