9. 技术风险管理 —— 风险管理框架
9.2：技术风险管理框架（TRMF）必须包含以下内容：
(d) 基于关键性对所有信息资产/系统进行风险分级
(e) 风险度量与评估的方法与路径
(f) 风险控制与缓解措施
(g) 持续监控，以及时发现并处置任何重大风险

在定义数据存储与针对不同数据集的分类档案时，为数据分类并指定具体敏感级别；识别当前合规状态并记录差距；对云端与本地系统的结构化与非结构化数据提供数据活动监控；持续监控数据访问活动，对可能使金融机构陷入风险的活动设置告警；在全部数据存储范围内检测并报告不合规、高风险或恶意数据访问行为，以加速整改；以真实风险评分进行分类与优先级排序，而非依赖异常检测

数据安全

数据活动监控

数据风险分析

数据发现与分类

10.8：……"建立严谨的系统测试方法论，确保部署前完成充分测试……凡使用敏感测试数据之处……必须确保已建立适当的授权流程与充分措施，防止其被未授权披露。"

对生产环境或测试环境中的敏感信息进行假名化与脱敏，同时保留在不暴露敏感数据的前提下分析汇总数据的能力

数据安全

令牌化

(b) ……'在 IT 系统开发方法论中采用安全内建设计原则，以缓解网络风险沿供应链蔓延……'
(c) ……'确保源代码持续易于获取……'"

对源代码等结构化与非结构化数据进行加密，防止其被未授权访问；对数据库中的敏感信息进行假名化

数据安全

令牌化

透明加密

10.13："停用关键系统时……须确保将不利影响降至最低……其中包括建立并测试应急计划……"

允许金融机构通过 DNS/策略变更将流量从已停用系统引开；并支持在停用"不成功"或引发中断时将流量重新路由回原环境以恢复服务

应用安全

云 Web 应用防火墙

10.14：……"应部署自动化工具用于软件开发、测试、软件部署、变更管理、代码扫描与软件版本控制，以支持及时的安全评估……"

通过确保敏感数据在系统开发与修改过程中得到保护，落实安全内建设计；为开发者提供易于接入的数据保护工具（如加密与密钥管理），以便在开发生命周期早期集成安全并培育 DevSecOps 实践；将数据安全运维职责移交数据安全管理员，实现更好的职责分离与系统变更管控；在混合与多云应用中部署数据保护控制以守护 DevSecOps；通过在线市场便捷获取数据安全方案；保护并自动化 DevOps 工具链中的密钥访问；通过提供版本控制、可追溯性与回滚能力的集成工具，保障变更管理安全；抵御 DDoS 攻击与恶意机器人，同时持续放行合法流量；借助 Web 应用防火墙检测并阻断网络威胁，确保业务顺畅运行与安心无忧

应用安全

API 安全

机器人防护

DDoS 防护

Web 应用防火墙

数据安全

应用数据保护

社区版

数据保护网关

DPOD 市场

RESTful 数据保护

机密管理

10.17：……"确保包括数字服务在内的所有系统均未运行在已知安全漏洞、过期平台或生命周期终结（EOL）技术之上……金融机构必须：
(a) ……'为安全加固保持当前的安全基线……准确且保持最新；
(b) ……'持续监控并实施最新补丁……'"

1. 对 MySQL 等数据存储运行评估测试，扫描已知漏洞
2. 基于 CIS 与 PCI-DSS 基准的 1500 多项预定义漏洞测试扫描数据库，帮助数据库持续覆盖最新威胁
3. 检测并虚拟修补数据库软件漏洞

数据安全

数据活动监控

10.20：……"建立稳健且有韧性的密码学政策，以促进采用强密码控制……
(a) ……'针对加密算法、消息认证、哈希函数、数字签名与随机数生成的行业标准……'
(b) ……'管理密码密钥生命周期，涵盖生成、分发、更新、使用、存储、恢复、吊销与销毁……'
(c) ……'至少每年定期审查所有密码标准与算法……防止被削弱算法或协议遭利用……'
(d) ……'将 IT 资产清单扩展至涵盖所有在用的密码工具与算法……'"

在集中、安全的平台中提供基于行业标准的算法、哈希与签名，并配备随机数生成器；通过包括 KMIP 标准与 PKCS#11 在内的多种方式集中化密钥生命周期管理任务，涵盖生成、轮换、销毁、导入与导出；在 FIPS 140-2 Level 3 环境中保护密码密钥；以单一统一视图跨区域统一所有云密钥管理服务，兼容云原生、BYOK 与 HYOK 密钥，并配备简洁统一的操作界面；支持无应用停机的自动密钥轮换，使客户在需要时轻松迁移至更新的密码标准；在密码密钥泄露的情况下提供有助于恢复的密钥轮换能力，密钥可按需轮换以将泄露影响降至最低

数据安全

云密钥管理

硬件安全模块

密钥管理

透明加密

(a) ……'除不含客户数据的非关键系统或应用外……必须保留对加密密钥的所有权与控制权（自行保留或交由独立密钥托管方保管）……'
(b) ……'金融机构不自行生成加密密钥……须确保已建立稳健的控制与流程以安全管理加密密钥……'
(d) ……'充分考虑支撑密码控制所需的系统资源及相关风险……'"

通过在本地维持对加密密钥的控制来降低第三方风险，保护托管在云端的数据；确保云服务提供商管理员与本机构之间实现完全的职责分离，并限制对敏感数据的访问；在 FIPS 140-2 Level 3 环境中保护密码密钥；简化云端与本地环境中的密钥管理

数据安全

云密钥管理

硬件安全模块

密钥管理

透明加密

10.22：……"确保密码控制……应涵盖秘密密钥与公钥密码协议……必须基于公认的国际标准并据此接受测试。……'密钥存储与加解密运算……应在受保护环境中进行，并由硬件安全模块（HSM）或可信执行环境（TEE）支撑……'"

在 FIPS 140-2 Level 3 这一高安全环境中保护密码系统的信任根；支持 AES 256 位、RSA 3072 位等密码算法，并按后量子升级方向设计以保持密码敏捷性；管理与保护所有秘密及敏感凭据

数据安全

硬件安全模块

密钥管理

机密管理

10.37：……"确保其关键系统的网络服务可靠且不存在单点故障……保护关键系统免受潜在网络故障与网络威胁影响……"

提供高可用、分布式的安全架构，消除单点故障，保护关键系统免受网络故障与网络威胁影响，支撑可靠的网络服务交付

应用安全

云 Web 应用防火墙

10.39：……"建立实时网络带宽监控流程……以标记任何带宽过度占用与系统中断……其中包括流量分析以检测趋势与异常……"

提供实时检查、流量分析、异常检测以及对异常 Web 与 API 流量的自动缓解，使金融机构能够监控带宽利用率、检测拥塞风险并维持网络服务韧性

应用安全

云 Web 应用防火墙

10.44："……必须建立稳健的备份策略与流程……"
(d) "按附录 1 或同等要求保护可移动介质中敏感数据的存储与传输……"

敏感数据一经创建即予加密，确保明文数据不会被未授权应用与人员在可移动介质中处理或存储；与主流备份解决方案厂商集成，管理备份加密密钥并将数据与密钥分离，进一步保护敏感数据

数据安全

企业密钥管理

令牌化

透明加密

10.50：……"在采用云服务前必须开展全面的风险评估……具体应对以下相关风险……"
(b) "……'现有系统向云基础设施的迁移……'"
(c) "……'云基础设施的所在地，包括潜在地缘政治风险与法律风险……'"

通过云密钥管理控制加密密钥的访问，保留对敏感数据的完全控制权与所有权，借由自带密钥（HYOK）方式消除数据被交付给境外势力的风险；对静态数据在本地、各云平台以及大数据或容器环境中加密，保障迁移过程中的敏感数据安全；对数据库中的敏感信息进行假名化；支持与供应商、合作伙伴或任何第三方用户建立关系管理，明确委派访问权限；借助基于关系的细粒度授权实现权限最小化

数据安全

云密钥管理

密钥管理

透明加密

令牌化

身份与访问管理

委派用户管理

外部化授权

第三方访问控制

10.52：……"包括保留对客户与交易对手信息、专有数据及托管于云上服务的全部所有权、控制权与管理权，涵盖相关的密码密钥管理……"

对存储在云服务器上的数据加密，防止未授权披露与访问——即便来自云服务提供商本身；获得完整的敏感数据活动可见性，追踪何人访问、审计其行为并留存记录；允许云用户在采用云服务提供商原生加密时将密钥与云中数据分离，借由自带密钥（HYOK）方式阻止云服务提供商未授权访问数据

数据安全

云密钥管理

数据活动监控

密钥管理

透明加密

令牌化

10.53：……"必须对所有用户访问其 IT 资产与数据实施访问控制政策，涵盖标识、认证与授权。访问控制政策所定义的颗粒度应与 IT 资产遭未授权访问的风险水平相匹配……"

基于角色与上下文以策略限制对系统与数据的访问；基于风险评分实施上下文安全措施；在单一视图中集中化面向多个混合环境的访问策略与执行；支持持续监控以采集并分析全部数据存储活动，提供详细审计轨迹，显示何人于何时访问了哪些数据、以及对数据做了什么；为所有用户群体提供统一的访问控制策略；就所有用户对其 IT 资产、数据与服务的标识、认证与授权，提供一致且策略驱动的方法；管理全部用户，涵盖员工、承包商、客户/供应商/物流等第三方用户以及 B2B 或 B2C 类型用户

数据安全

数据活动监控

数据风险分析

透明加密

身份与访问管理

身份验证

多因素认证

Thales OneWelcome 身份平台

员工访问管理

(a) 采用'默认拒绝'访问
(b) 实行'最小权限'
(c) 实行限时访问
(d) ……'对不相容职能实施职责分离，任何个人均不负责完整操作流程……'
(f) 采用稳健的用户授权"

实现服务器内部安全管理员与系统管理员之间的职责分离，确保系统管理员或特权账户无法访问敏感加密密钥，而安全管理员无法访问数据；基于角色与上下文以策略限制内部与外部用户对系统与数据的访问；基于风险评分实施上下文安全措施；提供"最小权限"访问权，对合法用户授予最低必要权限，并对用户默认遵循"默认拒绝"访问控制策略；部署限时访问，根据工作性质将访问限制在特定时段；依据 IT 资产关键性采用稳健的用户授权与认证，通过定义恰当的访问策略、阶梯式认证并强制执行抗钓鱼认证器来落实

数据安全

数据活动监控

透明加密

身份与访问管理

私有云认证服务

SafeNet Trusted Access (STA)

员工访问管理

10.55：……"采用多因素认证（MFA）……抵御社会工程攻击……保护关键系统……MFA 必须组合两类或以上知识因素、固有因素（如生物特征）或持有因素（如安全密钥、令牌）……"

对各类用户访问关键系统强制执行抗钓鱼 MFA；提供组合两类或以上知识因素、固有因素（如生物特征）或持有因素（如安全密钥、令牌、智能卡）的 MFA

身份与访问管理

私有云认证服务

认证器

SafeNet Trusted Access (STA)

(a) ……'对全企业范围系统的访问控制得到有效管理与监控……'
(b) ……'异常行为被标记以供及时调查，从而遏制任何网络安全事件……'
(c) ……'关键系统中的用户活动被记录以供审计与调查……至少保留三年，并定期及时复核……'"

记录对数据库系统的访问并检测数据库系统上的登录尝试；生成全系统访问事件的审计轨迹与报告，将日志流式发送至外部 SIEM 系统；通过支持多因素认证与单点登录（SSO）并展示访问日志报告来管理认证与访问控制；发现异常访问尝试时向管理员告警，管理员可快速响应；检测并精准定位针对数据的关键威胁，优先处理最重要事项，并提供可执行的洞察；支持生成全访问审计轨迹报告，以便在发生任何事件时用于审计与调查；通过 Web 应用防火墙、API 安全与数据库安全检测系统威胁，并将日志流式发送至 SIEM 系统；监控 API 活动、追踪使用情况、检测异常并识别潜在的未授权访问尝试；抵御 DDoS 攻击与恶意机器人，同时持续放行合法流量；基于风险评分实施上下文安全措施；有效管理与监控面向全企业范围系统的访问控制；标记访问异常以供安全团队调查，并与 SIEM 方案无缝集成，形成更全面的威胁与异常检测方法；记录全部用户访问与认证活动

应用安全

API 安全

攻击分析

机器人防护

DDoS 防护

Web 应用防火墙

数据安全

数据活动监控

数据风险分析

文件活动监控

透明加密

身份与访问管理

自适应访问控制

多因素认证

基于风险的认证

SafeNet Trusted Access (STA)

私有云认证服务

单点登录 (SSO)

12.1 "……在提供数字服务时实施稳健的技术安全控制……"
(a) "……采用并定期评估各交付渠道的最低安全控制……"
(b) "……对用户或设备进行适当认证，并对交易进行授权，以缓解冒充与欺诈风险……"
(c) "……具备强力的物理控制与逻辑控制措施……"

持续监控数据库流量，监控访问者身份，并提供及时告警；保护个人数据免遭未授权访问，监控变更内容与访问者；检测异常行为并提供更深层洞察；提供认证方案以在网银、移动银行等数字服务中标识用户与设备并对交易进行授权；检测异常并缓解欺诈

数据安全

数据活动监控

身份与访问管理

欺诈与风险管理

强客户认证

(a) "……网络安全威胁识别与对策的范围应涵盖客户的移动设备……"
(b) "……采用分层（纵深防御）安全控制……"
(c) "……通过持续监视与监控，检测任何被部署到客户……的利用行为"

从客户端（如移动应用与 Web 平台）采集欺诈信号，用于实时欺诈检测与分析；采用基于机器学习的欺诈分析技术与多层检测方案，识别并缓解欺诈活动；提供持续的交易监视与监控，并主动建议客户更新欺诈检测规则以应对新出现的漏洞与威胁

身份与访问管理

欺诈与风险管理

12.4："……确保其欺诈检测规则得到及时更新……以防止利用被盗客户凭据实施欺诈交易或账户接管……必须由适当的风险分析支撑，以提升欺诈检测准确度……"

通过可配置的策略管理器实现欺诈检测规则的及时更新，从而快速应对新型欺诈模式；通过多层欺诈检测技术与持续机器学习提升检测准确度、降低误报，并强化对账户接管与欺诈交易的防护

身份与访问管理

欺诈与风险管理

基于风险的认证

(a) "……建立安全通信通道以缓解钓鱼风险。……"

在机构与最终用户设备之间提供安全加密的通信通道；提供抗钓鱼方案，例如 FIDO 硬件与软件方案

身份与访问管理

FIDO 设备与方案

移动安全消息通道

1. "……部署最新且经行业测试与认可的加密技术……"
2. "……对敏感数据实施授权访问控制……"
3. "……禁止未经授权复制与读取介质……"

敏感数据一经创建即予加密，确保明文数据不会被未授权应用与人员在可移动介质中处理或存储；获得完整的敏感数据活动可见性，追踪何人访问、审计其行为并留存记录；确保云服务提供商管理员与本机构之间实现完全的职责分离，并限制对敏感数据的访问

数据安全

数据活动监控

令牌化

透明加密

1："……确保安全控制的充分性……"
(a) "……数字服务的开通须经过稳健的认证与验证……"
(b) "……交易通过受保护通道执行……"
(c) "……客户端与主机应用系统均对所有机密信息加密……"
(d) "……用户终端设备与金融机构服务器之间具备强相互认证……"
(e) "……安全的用户与会话处理管理……"
(f) "……充分且相关的数字服务日志……"
(g) "……附加认证协议，使客户能够识别金融机构的真实网站……"
(h) "……具备抵御暴力破解攻击的韧性……"
(i) "……默认转账限额应予设定……"
(j) "……实施适当验证……"

提供稳健的客户认证与身份验证流程，包括数字服务开通时的多因素认证（MFA），以及符合 iBETA PAD Level 2 的被动活体检测；所有交易与数据交换至少通过 TLS 传输，敏感信息（如用户密钥与/或口令）额外叠加端到端加密层；在传输前于客户端与主机应用两端使用 AES-256 或同等加密标准对所有敏感数据加密；实施双向 TLS 以认证端点与托管方案的服务器之间的连接；涵盖安全会话处理、自动超时，以及针对会话劫持或重放攻击的防护；提供交易与审计日志；提供 FIDO 认证，在登录过程中校验网站域名的真实性，确保客户仅与真实的金融机构站点交互，防止凭据钓鱼或重定向攻击；检测并限制重复的登录或 MFA 认证失败尝试，防止暴力破解与撞库攻击；在变更交易限额或执行其他敏感账户活动时部署 MFA，确保客户认证与授权到位

身份与访问管理

FIDO 设备与方案

欺诈与风险管理

身份验证

强客户认证

(a) "安全、具备高度抗网络威胁能力，可抵御影响客户设备的威胁……"
(b) "准确、误接受率极低……"
(c) "符合国际公认标准……"

提供高度安全的环境，通过强客户认证（SCA）、风险管理方案、FIDO 认证、设备绑定与运行时应用自保护（RASP）的组合，抵御钓鱼、恶意软件与中间人攻击；通过具备低误接受率（FAR）的先进生物特征核验，确保客户认证的准确性与可靠性；采用国际公认标准，包括但不限于 FIDO2、WebAuthn、ISO/IEC 30107（生物特征呈现攻击检测）、OATH/OCRA 与 SOC 2

身份与访问管理

FIDO 设备与方案

欺诈与风险管理

身份验证

强客户认证

(a) "……每个账户持有人在一部移动设备或安全设备……客户特别要求时除外……"；
(b) "……检测来自新设备对客户账户的访问……"
(c) "……新手机号注册或既有手机号变更，仅在应用稳健验证方法后方予处理……"；
(d) "……及时核验并协助需要更换设备的客户……"
(e) "……适当的验证与冷静期……"

部署强设备绑定，确保用户凭据或密码密钥与设备安全关联。用户—设备关联关系可配置，默认设置限定每位账户持有人仅可在一台已注册移动或安全设备上进行认证；识别行为特征或异常检测机制，捕捉新设备访问或异常地点变更等事件，立即触发客户通知或银行侧进一步的验证动作；在注册新手机号或替换手机号、设备变更或个人信息更新时启用 MFA 校验。必要时可叠加额外的身份核验或部分 KYC 流程以确保真实性；应用系统性风险管理控制，检测连续多次高交易量或异常交易模式，实现主动的欺诈缓解

身份与访问管理

欺诈与风险管理

身份验证

强客户认证

(a) "……对金融类交易与高风险非金融类交易采用 MFA……"
(b) "……在执行前核验交易明细"
(c) "……及时向客户发送通知，且足以描述交易性质"

对全部金融类交易与高风险非金融类交易应用强客户认证（SCA），借助 FIDO 认证、生物特征或基于 OTP 的验证确保用户真实性、设备真实性与交易完整性；采用要求用户复核并确认交易明细（如收款方信息、金额与目标账户）的 SCA；部署移动安全消息通道——用于推送通知的安全通道

身份与访问管理

移动安全消息通道

强客户认证

(a) "开通……须经过稳健核验……"
(b) "通过客户已核验的通信渠道……及时通知……"
(c) "……部署的 MFA 技术……比未加密的短消息服务（SMS）更安全"

仅在通过安全 KYC 流程对客户身份完成强核验后，才执行 MFA 开通；部署移动安全消息通道——用于推送通知的安全通道；提供比 SMS OTP 更安全的多种 MFA 选项，例如 OTP/OATH 认证器、FIDO 认证器与基于风险的认证

身份与访问管理

FIDO 设备与方案

欺诈与风险管理

身份验证

强客户认证

(a) "……抵御任何第三方的截获或篡改……"
(b) "付款方/发送方必须知悉并被提示……"
(c) "认证码必须本地发起并生成……"
(d) "付款方/发送方生成的认证码必须与已确认的收款方及金额一一对应"
(e) "……确保认证码……与已确认的交易明细相对应……"
(f) "必须提供通知……"

部署 MFA 以抵御第三方的截获或篡改，在认证执行的各个环节借助 FIDO 认证、强设备绑定、交易签名、基于风险的认证与密码学防护（如运行时应用自保护）；启用强客户认证（SCA），提示付款方/发送方在授权交易前复核并确认收款方明细与交易金额；在付款方移动设备或独立硬件认证器上本地生成认证码；全面支持交易签名，使认证码与已确认的收款方及交易金额唯一绑定；部署移动安全消息通道——用于推送通知的安全通道

身份与访问管理

FIDO 设备与方案

欺诈与风险管理

移动安全消息通道、强客户认证

(a) "OTP 必须是动态的……且为必需并限时有效"
(b) "将交易明细与设备生成的 OTP 绑定……"
(c) "OTP 由客户设备生成，而非由银行服务器生成……"

支持符合 OATH/OCRA 标准的限时 OTP 生成；部署在密码学上与特定交易明细绑定的 OTP（交易签名），确保其仅可用于预期交易；在客户移动设备或独立硬件认证器上本地生成认证码

身份与访问管理

强客户认证

9："……提供无密码方案作为现有基于口令认证方式的替代，以缓解口令凭据被攻破或窃取的风险……"

通过 FIDO2 Passkey 认证为服务端与认证器（硬件与软件）提供无密码方案；提供经 FIDO 联盟认证的 FIDO 2 标准方案

身份与访问管理

FIDO 设备与方案

2："……确保通过移动设备提供的、涉及敏感客户与交易对手信息的数字服务得到充分保护……"
(a) "……在移动设备内提供安全且防篡改的环境……抵御恶意软件与未授权访问等网络威胁……"
(b) "禁止移动应用存储客户及……信息，密钥与 PIN 的认证与验证必须集中于主机端……"
(c) "开通……须经过稳健认证……"
(d) "……安全的预配流程……将移动应用与客户档案（如设备 ID 与账号）绑定……"

部署移动强客户认证（SCA）方案，设计为在安全且防篡改的运行时环境中运行，配备运行时应用自保护（RASP）、设备完整性检查与反篡改控制，抵御恶意软件、root/越狱与未授权访问；通过提供经独立第三方安全实验室定期渗透测试的移动安全能力，持续应对新出现的移动应用威胁；提供的移动 SCA 方案严格禁止在设备上存储 PIN、口令等敏感认证数据；仅在银行完成强身份核验后才允许开通移动认证器，密码密钥经端到端加密通道安全传输，防止截获或篡改；在预配阶段强制执行客户设备与用户密码密钥之间的强设备绑定，有效防止未授权安装或克隆尝试

身份与访问管理

强客户认证

Part A：网络安全
2. "……确保服务器到服务器的外部网络连接具备安全控制：
(a) 采用基于 PKI 的认证方式或同等方案……
(b) 使用 TLS 与 VPN IPSec 等安全隧道……"
6. "……防范所有类型的 DDoS 攻击（包括基于 DNS 的、容量型、协议层与应用层攻击）……
(a) 订阅 DDoS 缓解服务……
(b) 定期评估服务商按需扩展网络带宽的能力……"

在网络第 2、3 和/或 4 层对传输中数据加密，且不影响网络速度；抵御 DDoS 攻击与恶意机器人，同时持续放行合法流量；以单一方案同时提供针对容量型与应用层 DDoS 攻击的即时防护；依托全球 63 个 PoP 吸收大规模攻击，避免昂贵的硬件投入或过度配置——弹性防御可自动伸缩

应用安全

API 安全

机器人防护

DDoS 防护

数据安全

HSE高速加密

1. "……确保所有个人身份信息（PII）与交易数据的静态数据均得到安全保护……实施稳健的加密机制或同等能力……"

对本地、各云平台以及大数据或容器环境中的静态数据加密；敏感数据一经创建即予假名化，确保明文数据不会被未授权应用与人员处理或存储，防止真实数据暴露；获得完整的敏感数据活动可见性，追踪何人访问、审计其行为并留存记录；为所有用户（含特权用户）精准定位高风险数据访问活动；通过实时告警或阻断策略违规访问来保护数据

数据安全

数据活动监控

数据风险分析

文件活动监控

令牌化

透明加密

1. "……确保其 SOC 具备对技术安全态势进行主动监控的充分能力……检测异常用户或网络活动，标记潜在入侵事件并建立适当响应……"

监控 API 活动、追踪使用情况、检测异常并识别潜在的未授权访问尝试；支持持续监控以采集并分析全部数据存储活动，提供详细审计轨迹，显示何人于何时访问了哪些数据、以及对数据做了什么；基于数据类型与用户角色执行用户权限管理，并生成供审计轨迹使用的报告；自动采集详细数据活动以供审计；记录权限的全部变更，连同操作者身份与会话细节；监控活跃进程以检测勒索软件——识别过量数据访问、数据外泄、未授权加密或恶意冒充用户等活动，并在检测到此类活动时告警/阻断；基于风险评分实施上下文安全措施；监控用户行为，例如管理员从新地点/IP 登录或异常的系统访问模式，以告警并阻止攻击

应用安全

API 安全

数据安全

数据活动监控

文件活动监控

身份与访问管理

自适应访问控制

委派用户管理

欺诈与风险管理

员工访问管理

2. "……每季度对外部与内部网络执行漏洞评估……"

4. 提供高级 API 验证能力，强化对潜在漏洞的防御
5. 对 MySQL 等数据存储运行评估测试，扫描已知漏洞
6. 基于 CIS 与 PCI-DSS 基准的 1500 多项预定义漏洞测试扫描数据库，帮助数据库持续覆盖最新威胁

应用安全

API 安全

数据安全

数据活动监控

1. "……确保所实施的 API 安全级别与所涉潜在风险相匹配……"
(a) "……实施并维护集中化的 API 清单……"
(b) "……通过设计可扩展的 API 以处理高流量来保障 API 服务可用性，并实施缓解拒绝服务攻击的措施；"
(c) "……在 API 开发过程中实施安全编码实践……验证第三方代码与库的安全性……"
(d) 采用稳健的加密标准与有效的密钥管理控制；
(e) "……部署反暴力破解机制……"
(f) "……实施强健的授权……"
(g) "……考虑利用 API 网关管理 API 的访问、认证与授权……"
(h) "……对 API 定期开展安全评估……"
(i) "……对 API 持续监控……以及时识别与发现潜在可疑活动……"

持续发现并分类全部公有、私有与影子 API 的潜在风险；监控 API 活动、追踪使用情况、检测异常并识别潜在的未授权访问尝试；提供高级 API 验证能力，强化对潜在漏洞的防御；保护登录端点免遭撞库、暴力破解与账户欺诈；借助 Web 应用防火墙检测并阻断网络威胁，确保业务顺畅运行；实现完整可见性，助您甄别出全企业范围的攻击战役；抵御 DDoS 攻击与恶意机器人，同时持续放行合法流量；以单一可弹性扩展的方案同时抵御容量型与应用层 DDoS 攻击；在混合与多云应用中部署数据保护控制以守护 DevSecOps；保护并自动化 DevOps 工具链中的密钥访问；为凭据与密钥提供 FIPS 140-2 Level 3 信任根；通过在线市场便捷获取数据安全方案

应用安全

账户接管防护

API 安全

攻击分析

机器人防护

DDoS 防护

Web 应用防火墙

数据安全

社区版

硬件安全模块

机密管理

Part A：1. 云风险管理
(d)："……无论云服务模型与云服务提供商为何，均对存储于云中的数据保护负责……"

通过自带加密（BYOE）、自带密钥（HYOK）与自带密钥（BYOK）方式，以及集中化的多云密钥管理，保护敏感数据并对敏感数据及相关加密密钥与策略维持完整的治理与控制；为驻留数据提供透明加密与访问控制；敏感数据一经创建即予加密，确保明文数据不会被未授权应用与人员处理或存储；借助特权用户访问控制，让 root 用户履行职责而不滥用数据；通过数据访问审计日志加速威胁检测并简化取证；采用强健的、基于标准的加密协议，例如以 AES 进行数据加密、以 ECC 进行密钥交换；通过在 FIPS 140-2 Level 3 环境中集中控制，简化本地与多云部署中的密钥管理

数据安全

云密钥管理

硬件安全模块

令牌化

透明加密

(d)："……在将物理服务器、应用或数据迁移至云平台时，采用安全且加密的通信通道……"

保护云端与本地环境之间的网络隧道，确保数据经加密传输

数据安全

HSE高速加密

(c) ii)："……确保虚拟机镜像（VMI）或 IaC 模板的容器镜像是可信的并经数字签名……"

提供防篡改的硬件保护，这对数字签名方案至关重要

数据安全

硬件安全模块

(b)："……确保虚拟机与容器镜像已适当配置、加固并受到监控……"

将密钥管理与 VMware 集成，启用 VM 镜像加密与 VSAN 加密；使 VM 与容器内部的数据可透明地通过加密与访问控制加以保护，无需对应用做任何改动

数据安全

密钥管理

硬件安全模块

透明加密

"……促进本地 IT 系统或替代云服务提供商之间的互操作性与可移植性的顺畅过程……"

允许加密数据在不同云之间迁移，消除对不同云厂商特定格式的依赖——客户不会被锁定在单一云上；对数据库中的敏感信息进行假名化

数据安全

密钥管理

令牌化

透明加密

(b) (iii) "……在退出流程完成时，确保所有敏感数据已从云服务提供商的系统中安全删除……"

通过从 CipherTrust Manager 中移除密钥实现安全删除，对数据的所有实例进行数字粉碎

数据安全

密钥管理

(a) "……实施适当且相关的加密技术，保护存储于云上的敏感数据的机密性与完整性……"
(b) "……确保其密码学政策与流程延伸至覆盖云服务……采用强密码控制……"
(c) "……保留对加密密钥的所有权与控制权……独立于云服务提供商……"
(d) "……采用全面且集中化的密钥管理方法……以安全且可扩展的方式……"

为客户提供多种加密选项与方法，保护其存储在云上的数据；集中化密钥生命周期管理任务，涵盖生成、轮换、销毁、导入与导出；通过自带密钥（HYOK）方式将加密密钥安全存储于对应云之外，对本机构数据与外部方及云服务提供商（CSP）实施职责分离；以流程与工具自动化跨云与混合环境的密钥生命周期管理；管理与保护所有秘密及敏感凭据；在 FIPS 140-2 Level 3 环境中保护密码密钥

数据安全

云密钥管理

硬件安全模块

密钥管理

机密管理

令牌化

透明加密

(a) (ii) "……实施'最小权限'与强多因素认证（MFA）……"
(a) (iii) "……为特权用户实施细粒度权限分配……"

对特权用户实施细粒度访问控制（与操作系统访问控制相分离），配合透明加密防止误用或滥用；通过支持基于角色的授权（RBAC）与基于条件的授权（ABAC）来管理与控制系统及数据访问权；通过支持访问关键系统时强制执行 MFA 来管控特权用户账户；为特权用户账户设计授权与审批流程（用户旅程编排），并以特权用户活动报告形式存储与呈现，供详细审计

数据安全

透明加密

身份与访问管理

自适应访问控制

委派用户管理

多因素认证

基于风险的认证

身份编排器

(a) "……确保其 DDoS 缓解服务与云采用的规模及复杂度相匹配……"
(b) "……启用替代的 DDoS 缓解服务提供商或设置断路器，以避免主 DDoS 缓解服务受扰时出现服务中断……"

抵御 DDoS 攻击与恶意机器人，同时持续放行合法流量；依托全球 PoP 吸收大规模攻击，避免昂贵的硬件投入或过度配置——弹性防御可自动伸缩；通过快速有效的 DDoS 缓解与针对第 3、4 层攻击的 3 秒 SLA 确保可用性；以单一方案同时抵御容量型与应用层 DDoS 攻击

应用安全

DDoS 防护