近期京東集團發(fā)布了2017年第二季度業(yè)績。除了京東集團的業(yè)績情況，還值得注意的一點是，京東金融重組已于 2017年6月30日 完成交割，京東金融的財務(wù)數(shù)據(jù)將不再納入京東集團的合并財務(wù)報表。

京東金融于2013年10月開始獨立運營。經(jīng)歷一段時間技術(shù)儲備和錘煉后，京東金融劍指更廣闊的金融科技市場，以期向金融業(yè)輸出自身技術(shù)，直接廝殺于這個巨大而競爭激烈的Techfin市場。

眾所周知，人工智能、大數(shù)據(jù)、區(qū)塊鏈、云計算這四項技術(shù)是Techfin市場中的頂梁柱。近日京東金融研究院發(fā)布了《2017金融科技報告——行業(yè)發(fā)展與法律前沿》(以下簡稱“報告”)，雷鋒網(wǎng) (公眾號：雷鋒網(wǎng)) 已經(jīng)與讀者分享了 《 大數(shù)據(jù)、人工智能、區(qū)塊鏈、云計算在金融領(lǐng)域的全景應(yīng)用 》 ，今天將從技術(shù)風(fēng)險與防范角度帶來報告精彩內(nèi)容!

云計算技術(shù)風(fēng)險與防范

美國國家標(biāo)準(zhǔn)技術(shù)研究院 (NIST) 關(guān)于云計算的定義是 : “云計算是一種按使用量付費的模式，這種模式提供可用的、 便捷的、按需的網(wǎng)絡(luò)訪問，進入可配置的計算資源共享池 ( 資源包括網(wǎng)絡(luò)、服務(wù)器、存儲、應(yīng)用軟件、服務(wù)等 ) ，這些資源能夠被快速提供，只需投入很少的管理工作，或與服務(wù)供應(yīng)商進行很少的交互。”

“云計算”概念產(chǎn)生于谷歌和 IBM 等大型互聯(lián)網(wǎng)公司處理海量數(shù)據(jù)的實踐。2006 年 Google 首席執(zhí)行官埃里克 · 施密特 (Eric Schmidt) 在搜索引擎大會首次提出 “云計算”的概念。

云計算面臨的技術(shù)挑戰(zhàn)

利用云計算解決海量異構(gòu)信息處理和多樣化復(fù)雜應(yīng)用的整合問題，成為眾多金融機構(gòu)的選擇，但這一方式也給金融 行業(yè)以及金融監(jiān)管帶來挑戰(zhàn)。第一層面的挑戰(zhàn)基于“云計算”本身，其自帶屬性易發(fā)生風(fēng)險;第二層面的挑戰(zhàn)基于“云計算”與金融的結(jié)合所產(chǎn)生的更為明顯的集聚性風(fēng)險。

云計算的基礎(chǔ)性風(fēng)險

數(shù)據(jù)存取缺乏控制或不易取用，是造成金融機構(gòu)及政府不敢貿(mào)然采用云方案的主要原因。云安全聯(lián)盟 ( Cloud Security Alliance ，CSA) 定義了云計算七個方面的主要風(fēng)險：數(shù)據(jù)損害、共享技術(shù)的議題、竊取賬戶及服務(wù);危險的局內(nèi)人;濫用云計算;不安全的程序接口與其他未知風(fēng)險

基于云環(huán)境下的金融信息系統(tǒng)的安全性風(fēng)險

對于金融企業(yè)的基礎(chǔ)設(shè)施而言，物理安全十分重要。云計算環(huán)境下的大部分金融系統(tǒng)往往需要在瀏覽器內(nèi)訪問客戶 端，網(wǎng)絡(luò)服務(wù)器成為其溝通的紐帶和橋梁。

基礎(chǔ)的金融信息風(fēng)險常涉及兩個方面： 一是金融內(nèi)部人員的濫用導(dǎo)致金融資產(chǎn)損失; 二是金融設(shè)施的缺陷使部分金融業(yè)務(wù)陷入中斷。 云計算下網(wǎng)絡(luò)金融系統(tǒng)最大的安全隱患在于病毒或木馬的侵襲。網(wǎng)絡(luò)服務(wù)器未受到有效保護，一旦遭到病毒入侵，網(wǎng)絡(luò)數(shù)據(jù)就會丟失，云計算環(huán)境下的金融服務(wù)體系，因其具有特殊的分布性，針對其中的敏感數(shù)據(jù)，必須采取針對性的保護措施。

云計算風(fēng)險防控政策建議

基礎(chǔ)性風(fēng)險防控建議

企業(yè)及政府對是否導(dǎo)入云計算的考慮集中在云計算的風(fēng)險控制上，在規(guī)劃導(dǎo)入云技術(shù)及云外包服務(wù)前，必須先考慮相 關(guān)風(fēng)險是否可被管控。在云環(huán)境中制作或轉(zhuǎn)移數(shù)據(jù)時，用戶必須將數(shù)據(jù)分類，分析其安全需求，并定義云服務(wù)商應(yīng)如何存儲或傳遞那些數(shù)據(jù)。

此外，數(shù)據(jù)安全等級的分類和定義，應(yīng)依據(jù)云服務(wù)商所定的安全標(biāo)準(zhǔn)來進行。

云計算環(huán)境下金融系統(tǒng)風(fēng)險防范建議

在金融系統(tǒng)的應(yīng)用過程中注重金融信息安全評估，在發(fā)現(xiàn)金融系統(tǒng)的安全隱患時及時修復(fù)。有效控制金融信息，制定 安全的金融系統(tǒng)策略和科學(xué)決策，保證系統(tǒng)的完整性和可靠性，重視金融信息管控治理。

注重金融信息安全處理

加強金融信息安全評估

重視金融信息管控治理

大數(shù)據(jù)技術(shù)風(fēng)險與防范

大數(shù)據(jù)面臨的風(fēng)險

數(shù)據(jù)竊取

大數(shù)據(jù)采用云端存儲處理海量數(shù)據(jù)，對數(shù)據(jù)的管理較為分散，對用戶進行數(shù)據(jù)處理的場所無法控制，難以區(qū)分合 法用戶與非法用戶，容易導(dǎo)致非法用戶入侵，竊取重要信息，在網(wǎng)絡(luò)空間，大數(shù)據(jù)更容易成為攻擊目標(biāo)。

非法添加和篡改分析結(jié)果

黑 客入侵大數(shù)據(jù)系統(tǒng)，非法添加和篡改分析結(jié)果，可能對金融機構(gòu)以及個人甚至政府的決策造成干擾。

個人信息泄露

面臨用戶移動客戶端安全管理和個人金融隱私信息保護的雙重安全挑戰(zhàn)，企業(yè)較難在安全性與便利性之間達(dá)成 平衡。

數(shù)據(jù)存儲安全

“數(shù)據(jù)大集中”在中國金融業(yè)獲得廣泛認(rèn)可。一些大型券商和銀行紛紛建設(shè)數(shù)據(jù)種子作為金融服務(wù)的核心和基 礎(chǔ)。大數(shù)據(jù)對數(shù)據(jù)存儲的物理安全性、多副本性要求較高。一方面各類復(fù)雜數(shù)據(jù)的集中存儲易出現(xiàn)存儲混亂，造 成安全管理違規(guī)。另一方面安全防護手段的更新升級速度無法跟上數(shù)據(jù)量的非線性增長，大數(shù)據(jù)安全防護容易出現(xiàn)漏洞。

大數(shù)據(jù)風(fēng)險防控政策建議

建立大數(shù)據(jù)金融系統(tǒng)

大數(shù)據(jù)金融生態(tài)系統(tǒng)是指金融大數(shù)據(jù)與從事大數(shù)據(jù)金融活動的個人、家庭、廠商、政府、非政府組織等社會行為體之間 共同形成的動態(tài)系統(tǒng)整體。

大數(shù)據(jù)金融系統(tǒng)可用下圖表示：

各主體在從事金融交易活動時會產(chǎn)生海量金融大數(shù)據(jù)，這種大數(shù)據(jù)呈幾何增長，構(gòu)建海量金融大數(shù)據(jù)與大數(shù)據(jù)金融活 動相互影響的大數(shù)據(jù)金融生態(tài)系統(tǒng)非常重要。加強對系統(tǒng)內(nèi)不法行為的規(guī)制，杜絕信息篡改、竊取，保護個人隱私，促 進信息流的良性循環(huán)，保證數(shù)據(jù)的真實可靠。引入信用系統(tǒng)、評級系統(tǒng)等，強化金融大數(shù)據(jù)系統(tǒng)的安全性和可靠性。

規(guī)范數(shù)據(jù)提取及交易程序

一方面，明確收集大數(shù)據(jù)主體。大數(shù)據(jù)的產(chǎn)生包括兩個渠道，一是來自法律授權(quán)收集，二是公民使用網(wǎng)絡(luò)設(shè)備自動形成 的信息記錄。兩種信息源頭的信息混雜在一起，形成更為精準(zhǔn)、私密的信息。針對此類信息的收集，目前無法做到程序化和模板化，只能秉持兩個基本原則：利益原則和知情與許可原則。

另一方面，明晰數(shù)據(jù)交易主體。大數(shù)據(jù)是靜態(tài)的提取與存儲過程，也是動態(tài)的交易過程。在金融領(lǐng)域，不論是個人信 息、企業(yè)信息還是政府信息都非常重要，應(yīng)嚴(yán)格審查和審批參與大數(shù)據(jù)交易的主體及其掌握的信息，從信息供給層面予以規(guī)范。

人工智能技術(shù)風(fēng)險與防范

人工智能發(fā)展中面臨的風(fēng)險

用戶隱私被泄露

人工智能的背后，是局域大數(shù)據(jù)及智能算法的繼續(xù)升級，人工智能系統(tǒng)通常具有記憶功能，通過收集、統(tǒng)計、分析 用戶的數(shù)據(jù)不斷提升自己的智能型。如果被黑客入侵，用戶隱私可能被泄露，輕則用戶信息被不法分子掌握，重 則危害用戶財產(chǎn)安全甚至人身安全。

故障排解和行為監(jiān)管成本急速上升

人工智能自身的負(fù)載性及系統(tǒng)風(fēng)險性的增加導(dǎo)致故障排解成本將大幅度提升。在現(xiàn)有法律監(jiān)管體系下，對機器 及運行程序故障造成的損害，難以有效界定責(zé)任主體及責(zé)任份額。

技術(shù)面臨失控風(fēng)險

人工智能在短期內(nèi)的影響取決于誰來控制，長期影響取決于它是否受到控制。一旦應(yīng)用環(huán)境和數(shù)據(jù)脫離用戶的 可控范圍，尚無技術(shù)避開人工智能失控帶來的風(fēng)險。

人工智能風(fēng)險防控政策建議

加強訪問控制和身份認(rèn)證

人工智能的安全性很大程度上已超出人工智能用戶的控制，開發(fā)者和使用者必須提供強有力的安全防御支持，將人工 智能與網(wǎng)絡(luò)安全防御技術(shù)相結(jié)合，使用密碼技術(shù)來保證機密數(shù)據(jù)的安全，統(tǒng)一用戶身份管理、授權(quán)管理、訪問管理，以 增強信息安全性。

出臺審計措施和相關(guān)的監(jiān)管措施

需要采取必要的驗證和升級措施，出臺相關(guān)評價方案對人工智能軟、硬件環(huán)境進行嚴(yán)格評價，同時對服務(wù)器、客戶 端、軟件配置、負(fù)荷管理等進行實時監(jiān)控和安全測試，及時發(fā)現(xiàn)系統(tǒng)故障及受感染惡意控制的情況，一旦出現(xiàn)問題立 即報警。

不能過度依賴人工智能

基于深度學(xué)習(xí)的人工智能將會創(chuàng)造更多價值是發(fā)展趨勢，它能為人類服務(wù)甚至取代某些工作，但用戶不應(yīng)過度依賴人 工智能，仍要掌握安全主動權(quán)，做好保護措施，通過技術(shù)、服務(wù)和管理相互配合的方式，形成共同遵循的安全規(guī)范，營造 保障人工智能健康發(fā)展的可信環(huán)境。

區(qū)塊鏈技術(shù)風(fēng)險與防范

區(qū)塊鏈面臨的風(fēng)險

網(wǎng)絡(luò)公開不設(shè)防可能導(dǎo)致信息源復(fù)雜且不可控

所有數(shù)據(jù)都在公網(wǎng)上傳輸，所有加入網(wǎng)絡(luò)的節(jié)點都可無障礙地鏈接其他節(jié)點和接受其他節(jié)點的鏈接，網(wǎng)絡(luò)層沒有身份驗證或其他防護措施。

去中心化不利于合法隱私的保護

共有鏈上交易數(shù)據(jù)全網(wǎng)可見，公眾可跟蹤交易，不利于個人或機構(gòu)的合法隱私保護。

容易遭受算力攻擊以及道德風(fēng)險

工作量證明型的區(qū)塊鏈解決方案，面臨 51% 算力攻擊問題。隨著算力的逐漸集中，客觀上掌握超過 50% 算力的 組織會出現(xiàn)，若不改進，會逐漸演變?yōu)槿跞鈴娛车膮擦址▌t。

區(qū)塊鏈內(nèi)部容量問題難以掌控

區(qū)塊鏈處于發(fā)展初級階段，大規(guī)模實際應(yīng)用面臨很多困難?，F(xiàn)有計算機系統(tǒng)，存在區(qū)塊容量不足、信息批量存儲、 驗證較難等問題，若處理不善，會影響到整個區(qū)塊鏈系統(tǒng)的穩(wěn)定，甚至給其他金融系統(tǒng)造成很強的負(fù)外部性。

區(qū)塊鏈標(biāo)準(zhǔn)不統(tǒng)一

“得標(biāo)準(zhǔn)者得天下”已成為業(yè)界共識。中國的標(biāo)準(zhǔn)化還沒有真正起步，表現(xiàn)在兩方面：一是區(qū)塊鏈技術(shù)不夠標(biāo)準(zhǔn) 化，二是區(qū)塊鏈標(biāo)準(zhǔn)需要面對不同層面的矛盾：諸多標(biāo)準(zhǔn)競爭可能帶來市場混亂。

區(qū)塊鏈帶來的安全風(fēng)險

“安全”是金融業(yè)的命脈，區(qū)塊鏈與金融業(yè)的逐漸融合，將面臨很大的安全挑戰(zhàn)。

首先，去中心化的運作機制一定 程度上削弱了中央政府對金融的控制，可能危及國家金融安全。 其次，用戶匿名化的操作在發(fā)生意外時(如密碼丟失等)相關(guān)的權(quán)益得不到相應(yīng)的保護; 再次，客戶端蘊含風(fēng)險，既可能遭受黑客攻擊，也可能因為系統(tǒng)操作原 因?qū)е聛G失。

區(qū)塊鏈風(fēng)險防范對策

立足于微觀層面的風(fēng)險點防控

1. 網(wǎng)絡(luò)公開不設(shè)防是區(qū)塊鏈的一大屬性，這要求更高的私密性并謹(jǐn)慎控制網(wǎng)絡(luò)鏈接。對安全性較高的行業(yè)，宜采用專 線接入?yún)^(qū)塊鏈網(wǎng)絡(luò)，對接入的鏈接進行身份驗證，排除未經(jīng)授權(quán)的節(jié)點接入以免數(shù)據(jù)泄露，防止網(wǎng)絡(luò)攻擊。

2. 隱私泄露是互聯(lián)網(wǎng)企業(yè)面臨的普遍問題，對該類風(fēng)險的應(yīng)對策略是：第一，由認(rèn)證機構(gòu)代理用戶在區(qū)塊鏈上進行交 易，用戶資料和個人行為不進入?yún)^(qū)塊鏈;第二，不采用全網(wǎng)廣播方式，而是將交易數(shù)據(jù)的傳輸限制在正在進行相關(guān)交 易的節(jié)點之間;第三，對用戶數(shù)據(jù)的訪問采用權(quán)限控制，持有密鑰的訪問者才能解密和訪問數(shù)據(jù);第四，采用隱私保 護算法，規(guī)避隱私暴露。

3. 針對算力攻擊，采用算法和現(xiàn)實約束相結(jié)合的方式，例如用資產(chǎn)抵押、法律和監(jiān)管手段聯(lián)合管控。

4. 加快金融區(qū)塊鏈技術(shù)應(yīng)用的研發(fā)。一方面，推動國內(nèi)金融機構(gòu)聯(lián)合學(xué)術(shù)界、產(chǎn)業(yè)界加強密碼學(xué)等學(xué)科研究，在加密技 術(shù)和網(wǎng)絡(luò)安全等領(lǐng)域集體發(fā)力;另一方面，適度增加對光纖等網(wǎng)絡(luò)基礎(chǔ)設(shè)施的投入，構(gòu)建穩(wěn)定、安全的主干信息網(wǎng)絡(luò)， 提升網(wǎng)絡(luò)寬帶，滿足區(qū)塊鏈技術(shù)分布式記賬方式可能帶來的網(wǎng)絡(luò)容量需求的提升。

立足于宏觀層面的系統(tǒng)內(nèi)部監(jiān)管

針對現(xiàn)有區(qū)塊鏈技術(shù)的屬性，構(gòu)建一套系統(tǒng)安全的監(jiān)管體系，整體提升區(qū)塊鏈系統(tǒng)的安全性能。

1. 物理安全角度。根據(jù)具體業(yè)務(wù)的監(jiān)管要求不同，采用不同方法對運行區(qū)塊鏈系統(tǒng)的物理網(wǎng)絡(luò)和主機進行保護。

2. 數(shù)據(jù)安全角度。區(qū)塊鏈節(jié)點和節(jié)點之間的數(shù)據(jù)交換，原則上不應(yīng)明文傳輸，數(shù)據(jù)提供方應(yīng)采用嚴(yán)格的訪問權(quán)限控制 措施，嚴(yán)格評估數(shù)據(jù)的敏感程度、安全級別，決定數(shù)據(jù)是否發(fā)送到區(qū)塊鏈，是否進行數(shù)據(jù)脫敏。

3. 應(yīng)用系統(tǒng)安全。從身份認(rèn)證、權(quán)限體系、交易規(guī)則、防欺詐策略等方面著手，參與運行的相關(guān)人員、交易節(jié)點、交易數(shù) 據(jù)應(yīng)事前受控、事后審計。

4. 密鑰安全。對區(qū)塊鏈節(jié)點之間的通行數(shù)據(jù)加密，密鑰不應(yīng)存儲在同一個節(jié)點上，應(yīng)通過加密機將私鑰妥善保管。

5. 風(fēng)險機制角度。在系統(tǒng)的網(wǎng)絡(luò)層、應(yīng)用系統(tǒng)及交易頻度層面，應(yīng)有周密的檢測措施，對任何可疑操作進行告警、記錄、 核查。

來源：搜狐科技