78家平臺獲信息安全等保三級認(rèn)證民營系最多

可能對絕大多數(shù)網(wǎng)貸投資人來說，會重點(diǎn)關(guān)注平臺實(shí)力背景是否雄厚，而對于平臺網(wǎng)絡(luò)技術(shù)安全性則往往會忽略。但目前互聯(lián)網(wǎng)金融行業(yè)由于無紙化和瞬時性的特點(diǎn)，網(wǎng)貸平臺在網(wǎng)絡(luò)技術(shù)安全層面面臨的風(fēng)險和復(fù)雜程度已經(jīng)超過傳統(tǒng)金融服務(wù)，對于風(fēng)控及安全保障有著更高的要求，一家網(wǎng)絡(luò)技術(shù)安全不過硬的網(wǎng)貸平臺，同樣可能給投資人帶來毀滅性的打擊。

網(wǎng)貸平臺技術(shù)漏洞類型及風(fēng)險

網(wǎng)貸平臺的技術(shù)安全漏洞一般有SQL 注入漏洞、XSS 跨站腳本攻擊、手機(jī)短信驗(yàn)證缺陷、登錄功能缺陷、CSRF跨站點(diǎn)請求偽造漏洞、業(yè)務(wù)設(shè)計缺陷、權(quán)限繞過、敏感信息泄漏、弱口令等。信息泄露、業(yè)務(wù)欺詐是網(wǎng)貸平臺最為關(guān)注的風(fēng)險。平臺的投入不足、人員缺乏、安全意識薄弱、制度流程不規(guī)范、安全需求不明確都是導(dǎo)致安全問題的因素。

對于網(wǎng)貸平臺技術(shù)漏洞風(fēng)險主要有賬戶被盜取、個人隱私被曝光及平臺數(shù)據(jù)庫遭篡改等風(fēng)險。

網(wǎng)貸平臺技術(shù)安全已成為合規(guī)必須條件

根據(jù)2016年8月24日銀監(jiān)會會同工業(yè)和信息化部、公安部、國家互聯(lián)網(wǎng)信息辦公室等部門發(fā)布的《網(wǎng)絡(luò)借貸信息中介機(jī)構(gòu)業(yè)務(wù)活動管理暫行辦法》第三章第十八條顯示，“網(wǎng)絡(luò)借貸信息中介機(jī)構(gòu)應(yīng)當(dāng)按照國家網(wǎng)絡(luò)安全相關(guān)規(guī)定和國家信息安全等級保護(hù)制度的要求，開展信息系統(tǒng)定級備案和等級測試，具有完善的防火墻、入侵檢測、數(shù)據(jù)加密以及災(zāi)難恢復(fù)等網(wǎng)絡(luò)安全設(shè)施和管理制度，建立信息科技管理、科技風(fēng)險管理和科技審計有關(guān)制度，配置充足的資源，采取完善的管理控制措施和技術(shù)手段保障信息系統(tǒng)安全穩(wěn)健運(yùn)行，保護(hù)出借人與借款人的信息安全?！边@一條是對網(wǎng)絡(luò)借貸平臺信息技術(shù)和安全的規(guī)定，目的在于防范技術(shù)風(fēng)險。隨著《網(wǎng)絡(luò)信息中介機(jī)構(gòu)業(yè)務(wù)活動管理辦法》的發(fā)布，網(wǎng)絡(luò)安全已經(jīng)上升為網(wǎng)貸平臺合規(guī)的必要條件。

目前大多數(shù)網(wǎng)貸平臺一般將外部網(wǎng)絡(luò)技術(shù)安全認(rèn)證置于平臺首頁底部，其余較為重要的認(rèn)證則較多披露在網(wǎng)站資質(zhì)證明板塊。較為常見的幾種認(rèn)證為國家信息系統(tǒng)安全等級保護(hù)三級、ISO27001、企業(yè)信用評級證書、可信網(wǎng)站、互聯(lián)網(wǎng)金融行業(yè)認(rèn)證、SSL等。其中信息系統(tǒng)安全等級保護(hù)備案無論是在認(rèn)證難度上、公信力上及效力方面，尤其是信息系統(tǒng)安全等保三級認(rèn)證，絕對是非銀機(jī)構(gòu)中最重量級別的認(rèn)證。

2007年7月24日，為加快推進(jìn)信息安全等級保護(hù)，規(guī)范信息安全等級保護(hù)管理，提高信息安全保障能力和水平，維護(hù)國家安全、社會穩(wěn)定和公共利益，保障和促進(jìn)信息化建設(shè)，公安部、國家保密局、國家密碼管理局、國務(wù)院信息化工作辦公室制定了《信息安全等級保護(hù)管理辦法》。

根據(jù)《信息安全等級保護(hù)管理辦法》，把信息系統(tǒng)的安全保護(hù)等級分為五級，等級越高，安全保護(hù)能力就越強(qiáng)。目前大多數(shù)互聯(lián)網(wǎng)金融平臺獲得的以第二級認(rèn)證為主，第三級作為國家對非銀行金融機(jī)構(gòu)的最高級認(rèn)證，屬于“監(jiān)管級別”，即非銀機(jī)構(gòu)的最高級認(rèn)證就是第三級別，由國家信息安全監(jiān)管部門進(jìn)行監(jiān)督、檢查，認(rèn)證要求十分嚴(yán)格，例如融金寶在2016年11月通過信息系統(tǒng)安全等保三級認(rèn)證申請，在認(rèn)證過程中進(jìn)行了一系列測評包括物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)、系統(tǒng)建設(shè)管理、系統(tǒng)安全管理等多方面的安全評測。測評內(nèi)容近300項(xiàng)要求，共涉及測評分類73類。這說明，融金寶等成功通過認(rèn)證的平臺，在技術(shù)、管理、控制層面能達(dá)到國家指標(biāo)，具備安全事件發(fā)現(xiàn)、應(yīng)對的能力，以及信息系統(tǒng)受到攻擊或破壞時的快速恢復(fù)﹑數(shù)據(jù)信息防泄露防偷的實(shí)力。這部分已通過國家三級等保安全測試的平臺往往具有長遠(yuǎn)的運(yùn)營考慮，愿意在自身軟硬件和信息系統(tǒng)建設(shè)有較大投入。

截止到2017年4月14日，據(jù)盈燦咨詢不完全統(tǒng)計，全國通過信息系統(tǒng)安全等保三級測評的網(wǎng)貸平臺僅有78家。而目前全國正常運(yùn)營的網(wǎng)貸平臺數(shù)量達(dá)2281家，通過信息系統(tǒng)安全等保三級測評的網(wǎng)貸平臺僅占全國總量的3.42%。

信息系統(tǒng)安全等保三級認(rèn)證平臺背景及分布

據(jù)盈燦咨詢對通過國家信息安全等級保護(hù)三級測評的78家網(wǎng)貸平臺背景整理，民營系占比最多，占到總數(shù)量的64%，達(dá)50家；其次為國資參股平臺，占比為12%，達(dá)9家；上市公司參股平臺緊隨其后，占比為10%，達(dá)8家；國資控股平臺及上市公司控股平臺相對較少，占比分別為9%和5%，各有7家和4家。

例如，杉易貸作為上市公司參股平臺在2017年3月也獲得信息系統(tǒng)安全等保三級認(rèn)證，一般來說三級認(rèn)證對提升用戶信息和資金安全的作用主要體現(xiàn)在兩個方面：一是能夠在統(tǒng)一安全策略下防護(hù)系統(tǒng)免受來自外部有組織的團(tuán)體發(fā)起的惡意攻擊、較為嚴(yán)重的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的主要資源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在系統(tǒng)遭到損害后，能夠較快恢復(fù)絕大部分功能。二是如杉易貸等通過三級測試的平臺，能夠在安全事件發(fā)生時，有足夠的應(yīng)對能力，快速恢復(fù)功能，從而保護(hù)客戶的信息安全。

在地域分布上，通過信息系統(tǒng)安全等保三級測評平臺分布在10個省市，其中廣東和北京的獲三級備案平臺數(shù)量遙遙領(lǐng)先，分別達(dá)29家和25家；上海和浙江分別有7家和6家，可以看出，獲信息系統(tǒng)安全等保三級備案平臺大多分布在經(jīng)濟(jì)發(fā)達(dá)省市。其中，e路同心作為一家廣東省的P2P網(wǎng)貸平臺，在2017年3月獲得信息系統(tǒng)安全等保三級認(rèn)證。這表明，e路同心自主研發(fā)的系統(tǒng)，在技術(shù)架構(gòu)、信息處理、數(shù)據(jù)安全等方面，得到了國家監(jiān)管部門的認(rèn)可。一般來說，平臺參與國家信息系統(tǒng)安全等級保護(hù)測評，有兩個方面的考慮。一是，互聯(lián)網(wǎng)金融行業(yè)偶有用戶信息泄露事件發(fā)生，用戶對自身的隱私和信息安全的重視程度提升。平臺通過信息系統(tǒng)安全等保三級測評，有利于展示平臺保障用戶個人信息安全的決心。二是，近期監(jiān)管機(jī)構(gòu)頻頻發(fā)文，規(guī)范互金平臺的業(yè)務(wù)模式、資金安全、信息安全等，e路同心參與信息系統(tǒng)安全等保三級測評，一定程度上反應(yīng)了其積極配合監(jiān)管機(jī)構(gòu)要求，重視息系統(tǒng)安全的態(tài)度。

總結(jié)

技術(shù)安全是一個互聯(lián)網(wǎng)金融平臺能夠正常運(yùn)營和健康發(fā)展的基礎(chǔ)。平臺技術(shù)安全的重要性不言而喻，是關(guān)系平臺生死存亡的大問題。只要每一家網(wǎng)貸平臺都把廣大投資人的資金安全放在首位，在發(fā)展業(yè)務(wù)的同時同樣要注重平臺系統(tǒng)的安全建設(shè)，那么整個行業(yè)一定會朝著更加安全健康的方向發(fā)展。