自“棱鏡門”事件曝光后，信息安全引起全球范圍內的擔憂，如今一系列信息泄密事件頻頻上演正在加劇這種擔憂：從攜程用戶銀行卡信息漏洞暴露、中國人壽80萬保單信息外泄到二維碼等互聯網支付安全漏洞的質疑、華為總部服務器遭遇海外部門入侵，在智能信息革命與互聯網金融變局發生前夜，各種“安全門”的出現無疑暴露了虛擬世界的最大隱患。
以維護信息安全的名義，央行一紙文書暫停互聯網企業的二維碼支付業務，而多家銀行暗中加速金融IC卡的替代進程，信息安防產業鏈市場參與者與資金方則蠢蠢欲動，一場波及范圍之廣、行業牽涉面復雜的信息安全之戰悄然打響。不過，如何掌握信息監管與互聯網創新的“平衡藝術”也成為各方爭議的焦點，對于互聯網企業而言，信息安全攻防戰的勝負則在于建立包含制度、技術、信用機制、監管等因素的安全平臺。
“安全門”事件頻發
3月22日，漏洞報告曝光平臺“烏云網”陸續披露涉及攜程網的兩個安全漏洞，報告稱攜程某分站源代碼包可直接下載涉及數據庫配置和支付接口信息，導致安全支付日志可以被遍歷下載，大量用戶銀行卡信息包含持卡人姓名身份證、銀行卡號、銀行卡類別、卡CVV碼等信息遭到泄露。進一步分析稱，攜程此次漏洞或來自無線部門在手機APP產品調試過程中保存日志出現的狀況，可能導致攻擊者可以通過服務器根目錄方位受限制文件而傷害用戶的隱私信息。
“幾年前曾用攜程網的支付流程來購買國際航班機票，后臺服務平臺都是在隔天才確認航班機位信息，如此長的時間間隔，用戶的信息肯定被保存下來。”攜程網使用者程小姐（化名）認為，攜程網在支付流程過程中存儲信用卡敏感信息，存在隱私信息泄露甚至資金盜刷的風險，而當時攜程僅回應采用的信用卡方式符合國際慣例，對自身信息安全問題則選擇一筆帶過。
據熟悉信息安全行業的分析師認為，攜程事件爆發主要在于違反銀聯規定本地保存銀行卡信息，與此同時其用于保存支付日志的服務器未做嚴格的基線安全配置，存在目錄遍歷漏洞，導致所有支付過程中的調試信息可被任意讀取。
實際上，除攜程之外，互聯網信息泄露事件正在頻繁暴露在公眾視野。據海外媒體報道稱，“棱鏡門”當事人斯諾登提供的文件顯示，國外政府正在通過秘密項目對信息龍頭公司華為深圳總部實施網絡潛入、尋找華為設備的“后門”，來自國際機構的監控令個人、企業乃至政府敏感數據正在遭受被隨時盜取的危險。
而在互聯網金融發展起步之時，以O2O模式探索為主的新型企業卻被爆出二維碼支付的某類安全漏洞，黑客可通過二維碼掃描向手機用戶植入病毒，進而監聽手機中的信息或將網絡用戶的銀行款項洗劫一空。一時之間，互聯網支付安全性的討論被推到了輿論的風口浪尖，信用卡盜刷、身份盜用、重大資訊泄密等風險問題集中涌現，令網絡用戶對信息安全問題產生了質疑。
信息安全攻防戰打響
一系列事件頻頻爆發正在凸顯互聯網領域信息安全的風險監控緊迫性，隨時可能遭遇破解的安全漏洞也令監管部門如臨大敵，緊急收緊相關互聯網支付等內容的監管政策。3月13日，坊間開始流出一份由央行下發的文件，該文件緊急暫停了包括支付寶、騰訊在內的虛擬信用卡產品，同時暫停的還有條碼、二維碼支付等面對面支付服務，何時重啟則尚待監管層判斷。
監管部門對網絡支付安全性的重視顯然上升到了前所未有的紅色警戒區域。據文件函內容顯示，因線下條碼(二維碼)支付突破了傳統受理終端的業務模式，其風險控制水平直接關系到客戶的信息安全和資金安全。目前，將條碼(二維碼)應用于支付領域有關技術，終端的安全標準尚不明確。而相關支付撮合驗證方式的安全性尚存質疑，存在一定的支付風險隱患。業內分析認為，上述監管的收緊無疑讓正在迅猛發展的第三方支付業務以及互聯網金融遭遇前所未有的“安全挑戰”。
不過，以維護信息安全為名的攻防戰打響后，一批針對互聯網用戶信息與資金安全管理的機構以及硬軟件企業廠商則成為最直接的受益者。以攜程事件為例，由于用戶大量銀行卡信息泄露或將導致資金損失，規避該風險最合理也最有效的方法就是更換銀行卡，多家銀行目前已經表示將免費換卡。據相關券商報告指出，未來用戶對銀行卡要求的提高，正在加速金融IC卡的替代進程，而二維碼的暫停也給NFC（近距離無線通信技術）產業帶來全新的投資機會。
與此同時，多方對信息安全的重視也注定了資本市場以及企業、政府等方面對信息安全的熱度關注以及新的戰略布局。分析人士指出，今年國家安全委員會的成立已經釋放出對國內信息安全行業大力扶持的信號，而早在去年，業界早已針對信息安全命題，刮起一股擺脫國際軟硬件系統壟斷的“去IOE化”（即擺脫IBM、Oracle、EMC，泛指信息安全領域的國產化趨勢）。在政策推動下，未來三年政府信息安全投入意愿將大幅加強。而一批技術與研發水平過硬的信息安全公司也將有望獲得市場資金的青睞，并迅速發展為引領行業的龍頭企業。
監管相對論博弈
盡管守住安全底線原則、保護網絡用戶資金及隱私信息安全，成為收緊監管的合理因素，但近期“四大行集體限制快捷支付額度”的動作也被市場解讀為壟斷機構借由維護信息安全之由，封殺發展迅猛、吞食傳統存款市場份額的支付寶，以第三方支付、P2P為代表的互聯網金融新業態也因“監管剎車”而前途未明。如何掌握監管的平衡藝術，正在成為互聯網領域搭建信息安全平臺的重要命題。
監管的尺度需適應互聯網本身創新發展的趨勢。“目前來看，在金融安全系統能夠容忍的范圍內，互聯網企業可能只有被允許在小額支付方面做有別于銀行的差異化業務，這也是未來發展趨勢。”
據業內人士分析，對互聯網支付業務的監管仍然不能逃離互聯網金融本身發展的大趨勢，同時不少O2O模式在打通線上線下資源的過程中，需要通過資金流環節的閉環方能形成真正的盈利空間，若以粗暴的“一刀切”思維進行監管無異于將有著驚人市場潛力的互聯網金融創新思維扼殺在萌芽之中。來自央行主管的中國支付清算協會有關負責人的表態，二維碼的安全性在達到金融支付的標準之后將可能放行，這也意味著持續的管制并非常態。
業界判斷，未來智能信息革命的重大前提將是安全，但值得各方商榷的是，保障互聯網信息安全尤其是金融安全，限制與叫停并非主流方式，重點在于流程管理的安全性以及行業安全標準的統一。
據熟悉信息行業安全的人士建議，從網絡支付方面來看，監管層可以強制要求相關網站必須通過PCI-DSS安全認證這樣國際性的在線交易數據安全標準，并定期核查；要求商家內部網絡安裝防火墻，監測重要數據的使用記錄，以保護用戶數據安全；強制互聯網公司提供金融理財業務的同時也明確賠付、風險提示服務，以保障用戶資金安全等等。在這場以安全為名的戰爭中，相信市場也會最終倒逼互聯網公司推出更多融合風險控制技術的業務及應用產品，不妨讓我們拭目以待。
京公網安備 11010502049343號