3.2.3："……新增信息资产及全部现有资产均应纳入清单……定期更新……将信息资产划分为至少三种分类类型：……"
3.2.5："信息资产分类……为信息资产指定敏感性与关键性等级或级别……定义访问级别……"

在定义数据存储与针对不同数据集的分类档案时，为数据分类并指定具体敏感级别；识别当前合规状态并记录差距；发现并分类全部公有、私有与影子 API 的潜在风险；对云端与本地系统中的结构化与非结构化数据提供数据活动监控

应用安全

API 安全

数据安全

数据发现与分类

数据活动监控

数据风险分析

文件活动监控

3.8.8："……在选择互联网服务提供商（ISP）时纳入拒绝服务攻击防护……"

抵御 DDoS 攻击与恶意机器人，同时持续放行合法流量

应用安全

DDoS 防护

3.15.1："……将全部物联网设备纳入信息资产清单……包括其网络连接与物理位置。"
3.15.2："……评估并实施流程与强访问控制……"
3.15.3："……确保物联网设备安装在独立于……关键与敏感数据的网络分段……"
3.15.4："……连接至关键系统与机密数据的物联网设备，应以安全算法支撑对静态、传输中及使用中数据的保护，防止未授权访问……"

通过支持多因素认证并展示访问日志报告来管理认证与访问控制；以自适应访问控制基于用户角色、职责与风险设置访问控制策略；保护个人数据免遭未授权访问，监控变更内容与访问者；集中化云访问场景下的认证与策略执行，帮助组织实施一致的访问控制；持续监控数据库流量，监控访问者身份并提供及时告警；在高度安全环境中保护密码系统的信任根；敏感数据一经创建即予假名化，确保明文数据不会被未授权应用与人员处理或存储，防止真实数据暴露；以实时告警或阻断策略违规访问的方式保护数据；以高速加密保护传输中的数据

数据安全

数据活动监控

数据风险分析

HSM

高速加密

透明加密

令牌化

身份与访问管理

自适应访问控制

多因素认证

4.3.1："……基于业务与信息……建立并复核访问控制策略与流程……"
4.3.2："……该流程应涵盖但不限于：'
• '访问权限配置……复核……'
• 代理或临时用户的权限配置与回收；
• '与……关联的用户 ID 的停用……'
• '用户访问权限的变更……角色变化……'
• '用户访问权的撤销……'
• '及时通知……用户角色或档案的任何新增

删除或变更……'
• 访问控制矩阵复核。"
4.3.3："……实施基于角色的访问控制（RBAC），并适用最小权限原则……"
4.3.4："……建立访问控制矩阵，明细列示角色或档案及其关联权限……"
4.3.10："……拥有提升权限或高权限访问权限的人员应受到密切监督……"

基于角色与上下文以策略限制对系统与数据的访问；基于风险评分实施上下文安全措施；支持持续监控以采集并分析全部数据存储活动，提供详细审计轨迹，显示何人于何时访问了哪些数据、以及对数据做了什么；实现服务器内部安全管理员与系统管理员之间的职责分离，确保系统管理员或特权账户无法访问敏感加密密钥，而安全管理员无法访问数据；在单一视图中集中化面向多个混合环境的访问策略与执行；就所有用户对其 IT 资产

数据与服务的标识、认证与授权，提供一致且策略驱动的方法；管理全部用户，涵盖员工、承包商、客户/供应商/物流等第三方用户以及 B2B 或 B2C 类型用户；提供"最小权限"访问权，仅向合法用户授予最低必要权限；依据 IT 资产关键性采用稳健的用户授权与认证，通过定义恰当的访问策略、阶梯式认证并强制执行抗钓鱼认证器来落实

数据安全

数据活动监控

数据风险分析

透明加密

身份与访问管理

私有云认证服务

身份验证

多因素认证

Thales OneWelcome 身份平台

SafeNet Trusted Access (STA)

员工访问管理

4.5.8："……使用基于……的密钥管理系统"
• '为不同密码系统生成密钥……'
• '……获取公钥证书……'
• '分发密钥……'
• '……存储密钥及……访问控制……'
• '……密钥变更或更新规则……'
• '密钥的吊销与恢复……'
• '密钥的备份或归档……'
• '……销毁密钥……'
• '日志记录与审计……'"
4.5.9："……评估使用数字签名的适用性……"
4.5.10："……数字签名文件……通过安全通道传输……"
4.5.11："……确保数字签名流程……向客户清晰说明并易于理解……"

支持 AES 256 位、RSA 3072 位等密码算法，并按后量子升级方向设计以保持密码敏捷性；管理加密密钥，提供细粒度访问控制并配置安全策略；集中化密钥生命周期管理，涵盖生成、轮换、销毁、导入与导出；通过从 CipherTrust Manager 中移除密钥实现安全删除，对数据的所有实例进行数字粉碎；在 FIPS 140-3 Level 3 环境中保护密码密钥；可将敏感密码密钥安全备份与复制至经 FIPS 140-3 Level 3 认证的备份 HSM；管理与保护所有秘密及敏感凭据；以高速加密保护传输中的数据

数据安全

HSM

高速加密

密钥管理

透明加密

4.9.1："……建立数据安全策略与流程，以保护敏感或关键数据/信息……"
4.9.2："……数据安全流程应涵盖但不限于：
• '数据安全的角色与职责……'
• '数据/信息分类……敏感性与关键性等级……'
• '贯穿数据生命周期各阶段的安全数据处理……'
• '数据安全培训与意识……'"
4.9.3："……确保在存储机密数据/信息的终端设备与可移动介质上实施全盘加密……"

在定义数据存储与针对不同数据集的分类档案时，为数据分类并指定具体敏感级别；识别当前合规状态并记录差距；对云端与本地系统中的结构化与非结构化数据提供数据活动监控；持续监控数据访问活动，对可能使金融机构陷入风险的活动设置告警；在全部数据存储范围内检测并报告不合规、高风险或恶意数据访问行为，以加速整改；以真实风险评分进行分类与优先级排序，而非依赖异常检测；采用透明且持续的数据加密保护敏感数据；安全管理本地全盘加密（FDE）存储的加密密钥；通过从 CipherTrust Manager 中移除密钥实现安全删除，对数据的所有实例进行数字粉碎

数据安全

数据活动监控

数据风险分析

数据发现与分类

HSM

密钥管理

透明加密

4.9.5："……确保机密数据在传输中与静态均以行业标准方法加密……"
4.9.6："……实施数据屏蔽

匿名化

假名化与令牌化等数据安全技术，以保护机密数据……"
4.9.8："……在非生产环境中限制敏感生产数据……此类数据需在非生产环境中使用时……应施加数据安全技术……"
4.9.10："……考虑实施适当技术……数据保护状态应涵盖以下方面：
• 静态数据
• 传输中数据
• 使用中数据"

识别当前合规状态并记录差距；在本地、各云平台以及大数据或容器环境中对静态数据加密；敏感数据一经创建即予假名化，确保明文数据不会被未授权应用与人员处理或存储，防止真实数据暴露；在 FIPS 140-3 Level 3 这一高安全环境中保护密码系统的信任根；以高速加密保护传输中的数据；借助机密计算保护使用中的数据；自动检查应用与数据库流量以建立正常活动基线画像；获得完整的敏感数据活动可见性，追踪何人访问、审计其行为并留存记录；为所有用户（含特权用户）精准定位高风险数据访问活动；通过实时告警或阻断策略违规访问来保护数据

数据安全

数据活动监控

数据风险分析

数据发现与分类

文件活动监控

高速加密

HSM

令牌化

透明加密

6.1.1："……实施至少双因素认证以验证客户身份……以开展任何在线交易……"
6.1.2："……确保一次性口令（OTP）等安全认证……针对每笔金融交易具有有限有效期……采用安全

不可预测的算法并通过安全通道交付……"
6.1.3："……实施 Web 应用防火墙（WAF）以防范拒绝服务（DoS）攻击……"

在变更交易限额或执行其他敏感账户活动时部署 MFA，确保客户认证与授权到位；部署 MFA，在认证执行的各个环节借助 FIDO 认证、强设备绑定、交易签名、基于风险的认证与密码学防护（如运行时应用自保护）；提供 FIDO 认证，在登录过程中校验网站域名真实性，确保客户仅与真实金融机构站点交互，防止凭据钓鱼或重定向攻击；支持符合 OATH/OCRA 标准的限时 OTP 生成；部署在密码学上与特定交易明细绑定的 OTP（交易签名），确保其仅可用于预期交易；所有交易与数据交换至少通过 TLS 传输，敏感信息（如用户密钥与/或口令）额外叠加端到端加密层；在传输前于客户端与主机应用两端使用 AES-256 或同等加密标准对所有敏感数据加密；实施双向 TLS 以认证端点与托管方案服务器之间的连接；以 WAF 阻断 SQL 注入、XSS 及其他 OWASP Top 10 漏洞，交付高强度安全效果；抵御 DDoS 攻击与恶意机器人，同时持续放行合法流量；以单一方案同时提供针对容量型与应用层 DDoS 攻击的即时防护；依托全球 63 个 PoP 吸收大规模攻击，避免昂贵的硬件投入或过度配置——弹性防御可自动伸缩

应用安全

API 安全

机器人防护

DDoS 防护

Web 应用防火墙

身份与访问管理

FIDO 设备方案

欺诈与风险管理

身份验证

多因素认证

强客户认证

6.2.1："……实施至少双因素认证……要求客户提供口令与附加认证……"
6.2.2："……实施安全可靠的时间型一次性口令（TOTP）机制……通过安全通道交付给用户……"
6.2.3："……对大额资金转账实施多因素认证……"
6.2.4："……确保移动应用的完整性与真实性……"
6.2.5："……实施代码压缩与代码混淆技术以防止逆向工程……"
6.2.6："……实施安全措施以检测并阻止将移动应用安装于模拟器及越狱或已 root 的设备上。"
6.2.7："……实施 Web 应用防火墙（WAF）以防范 DoS 攻击，包括速率限制……流量过滤，以及异常检测以识别并缓解异常模式……"
6.2.8："……仅通过可信移动应用商店提供……"

提供稳健的客户认证与身份验证流程，包括数字服务开通时的多因素认证（MFA），以及符合 iBETA PAD Level 2 的被动活体检测；支持符合 OATH/OCRA 标准的限时 OTP 生成；部署强设备绑定，确保用户凭据或密码密钥与设备安全关联；识别行为特征或异常检测机制，捕捉新设备访问或异常地点变更等事件，立即触发客户通知或银行侧进一步的验证动作；在注册新手机号或替换手机号、设备变更或个人信息更新时启用 MFA 校验，必要时可叠加额外的身份核验或部分 KYC 流程以确保真实性；应用系统性风险管理控制，检测连续多次高交易量或异常交易模式，实现主动的欺诈缓解；涵盖安全会话处理、自动超时，以及针对会话劫持或重放攻击的防护；检测并限制重复的登录或 MFA 认证失败尝试，防止暴力破解与撞库攻击；抵御 DDoS 攻击与恶意机器人，同时持续放行合法流量；检查全部流量，借助 WAF 检测并阻断基于 Web 的攻击；提供高度安全的环境，通过强客户认证（SCA）、风险管理方案、FIDO 认证、设备绑定与运行时应用自保护（RASP）的组合，抵御钓鱼、恶意软件与中间人攻击；通过具备低误接受率（FAR）的先进生物特征核验，确保客户认证的准确性与可靠性

应用安全

API 防护

机器人防护

DDoS 防护

Web 应用防火墙

身份与访问管理

FIDO 设备方案

欺诈与风险管理

身份验证

多因素认证

强客户认证

6.5.1："……采用支付卡行业数据安全标准（PCI DSS）……用于合规评估……"
6.5.2："……确保完全符合支付卡安全要求……"
6.5.3："……为支付卡实施 EMV 标准……"
6.5.4："……为通过互联网进行的无卡交易……实施安全的身份认证方式……"
6.5.5："……在持卡人支付卡发生交易时，通过交易提醒及时通知持卡人……"
6.5.6："……实施稳健的欺诈检测系统，以识别

检测并阻止欺诈活动……"
6.5.7："……根据持卡人所面临的风险设定风险管理参数……以增强欺诈检测能力……"
6.5.8："……监控并调查与持卡人日常使用显著偏离的交易……"

为凭据与密钥提供 FIPS 140-3 Level 3 信任根；支持 AES 256 位、RSA 3072 位等密码算法，并按后量子升级方向设计以保持密码敏捷性；检测并限制重复的登录或 MFA 认证失败尝试，防止暴力破解与撞库攻击；在变更交易限额或执行其他敏感账户活动时部署 MFA，确保客户认证与授权到位；识别行为特征或异常检测机制，捕捉新设备访问或异常地点变更等事件，立即触发客户通知或银行侧进一步的验证动作；应用系统性风险管理控制，检测连续多次高交易量或异常交易模式，实现主动的欺诈缓解；基于实时或近实时用户行为与上下文因素动态调整访问权限；对全部金融类交易与高风险非金融类交易应用强客户认证（SCA），借助 FIDO 认证、生物特征或基于 OTP 的验证确保用户真实性、设备真实性与交易完整性；采用要求用户复核并确认交易明细（如收款方信息、金额与目标账户）的 SCA；提供比 SMS OTP 更安全的多种 MFA 选项，例如 OTP/OATH 认证器、FIDO 认证器与基于风险的认证；全面支持交易签名，使认证码与已确认的收款方及交易金额唯一绑定；部署移动安全消息通道——用于推送通知的安全通道

数据安全

HSM

身份与访问管理

自适应访问控制

FIDO 设备方案

欺诈与风险管理

身份验证

移动安全消息通道

多因素认证

强客户认证

6.6.1："……采用最新版 SWIFT 客户安全控制框架（CSCF）开展合规评估……"
6.6.2："……确保完全符合 SWIFT CSCF 的所有强制要求……"

提供加固且防篡改的环境，用于安全密码运算

密钥生成与保护

加密等，以满足 CSCF 要求；在 FIPS 140-3 Level 3 环境中保护密码密钥

数据安全

HSM

7.0.11："……确保其数据存储至少在逻辑上与第三方服务提供商的其他客户相隔离……在外包协议终止时……确保从服务提供商处取回并销毁全部机密数据……"

通过云密钥管理控制加密密钥的访问，保留对敏感数据的完全控制权与所有权，借由自带密钥（HYOK）方式消除数据被交付给第三方的风险；对静态数据在本地、各云平台以及大数据或容器环境中加密，保障迁移过程中的敏感数据安全；允许加密数据在不同云之间迁移，消除对不同云厂商特定格式的依赖——客户不会被锁定在单一云上；通过从 CipherTrust Manager 中移除密钥实现安全删除，对数据的所有实例进行数字粉碎；对数据库中的敏感信息进行假名化；支持与供应商、合作伙伴或任何第三方用户建立关系管理，明确委派访问权限；借助基于关系的细粒度授权实现权限最小化

数据安全

云密钥管理

密钥管理

透明加密

令牌化

身份与访问管理

委派用户管理

外部化授权

第三方访问控制

8.1.9："……维护托管于云服务的全部系统的资产清单，并明确权属……"
8.1.10："……对拥有云服务配置权限的用户实施多因素认证……"
8.1.13："……使用硬件安全模块（HSM）生成

存储与管理密钥，且其部署于控制级别更高的环境（如自有本地 IT 基础设施），而非托管于 CSP……"

在云端定义数据存储与针对不同数据集的分类档案时，为数据分类并指定具体敏感级别；对云上的结构化与非结构化数据提供数据活动监控；通过自带加密（BYOE）、自带密钥（HYOK）与自带密钥（BYOK）方式，以及集中化的多云密钥管理，保护敏感数据并对敏感数据及相关加密密钥与策略维持完整的治理与控制；为驻留数据提供透明加密与访问控制；敏感数据一经创建即予加密，确保明文数据不会被未授权应用与人员处理或存储；借助特权用户访问控制，让 root 用户履行职责而不滥用数据；通过数据访问审计日志加速威胁检测并简化取证；采用强健的、基于标准的加密协议，例如以 AES 进行数据加密、以 ECC 进行密钥交换；通过在 FIPS 140-3 Level 3 环境中集中控制，简化本地与多云部署中的密钥管理；采用基于角色的访问控制（RBAC）管控对 HSM 及更广泛密钥管理系统的访问，确保仅授权人员可执行特定管理或密码学任务，维持严格的职责分离；支持与供应商、合作伙伴或任何第三方用户建立关系管理，明确委派访问权限；借助基于关系的细粒度授权实现权限最小化

数据安全

云密钥管理

数据活动监控

数据发现与分类

HSM

高速加密

令牌化

透明加密

身份与访问管理

委派用户管理

外部化授权

SafeNet Trusted Access

第三方访问控制

8.2.4："……实施检测性措施，包括实时监控与告警技术，以追踪 API 使用情况

监控性能并检测可疑活动……"

监控 API 活动、追踪使用情况、检测异常并识别潜在的未授权访问尝试；提供高级 API 验证能力，强化对潜在漏洞的防御；保护登录端点免遭撞库、暴力破解与账户欺诈；借助 Web 应用防火墙检测并阻断网络威胁，确保业务顺畅运行；实现完整可见性，助您甄别出全企业范围的攻击战役

应用安全

API 安全

攻击分析

机器人防护

DDoS 防护

Web 应用防火墙

8.5.1："……建立并复核安全的密钥管理流程……"
8.5.2："……实施稳健的安全措施……防范未授权访问与网络威胁……"
8.5.3："……实施安全的身份与访问管理……"
8.5.4："……实施欺诈防范措施……"
8.5.5："……智能合约……开展并评估安全评估与可审计性……不包含漏洞……"
8.5.6："……定期开展安全评估……以识别并修复潜在漏洞……"
8.5.7："……实施私有/许可型 DLT/BT 系统……仅限指定网络内的授权实体……"
8.5.8："……为 DLT/BT 平台实施安全的共识算法……"

为凭据与密钥提供 FIPS 140-3 Level 3 信任根；提供面向未来并标准化的抗量子数字签名算法；使用标准化的抗量子公钥密码技术无缝生成数字签名，并涵盖无状态与有状态密钥类型的密钥管理能力，满足 SP 800-208 要求；通过 HSM 安全管理种子与私钥；对这些 HSM 的访问受到严格管控，全部操作均配备强多因素认证与详细审计轨迹；通过存储、保护与管理密码密钥来保护敏感数据与关键应用——高保证、防篡改、网络可接入的设备，兼具业界领先的性能；便捷备份并安全复制密钥，以满足合规要求，并在紧急、故障或灾难情形下提供安全保管

数据安全

HSM

8.6.1："……建立并复核安全的令牌管理流程……"
8.6.2："……确保令牌化系统……具备韧性与安全性，抵御逆向工程……"
8.6.3："……令牌化系统依照行业标准实施……"
8.6.5："……确保令牌库……以安全加密与访问控制加以保护……"
8.6.6："……确保令牌化系统……记录全部活动日志……"
8.6.8："……确保令牌服务提供商……仅能访问令牌，而无法接触原始数据……"

敏感数据一经创建即予假名化，确保明文数据不会被未授权应用与人员处理或存储，防止真实数据暴露；采用经 FIPS 140-3 Level 3 验证的 HSM 作为信任根；通过集中化管理，保障跨环境的解密数据访问安全；维持对云端的控制权，云服务提供商始终无法接触令牌库或密钥

数据安全

HSM

令牌化