近年來，以Amber Group為代表的全球化加密金融服務(wù)機構(gòu)頻繁走入主流視野。專業(yè)機構(gòu)入場為行業(yè)帶來了關(guān)鍵性的服務(wù)升級，并為增量市場用戶參與加密金融打破了邊界。該業(yè)態(tài)發(fā)展至今，又迎來了“疫情加快流動性危機擴散”這樣的特殊背景。目前，全球投資者對配置加密資產(chǎn)及其衍生品的另類投資表現(xiàn)出更大的熱情，并會從法律合規(guī)、信息安全、量化能力、企業(yè)規(guī)模等各個維度篩選優(yōu)質(zhì)的加密金融服務(wù)機構(gòu)進行加密資產(chǎn)投資。由此形成了以更高服務(wù)品質(zhì)為要求的加密金融新生態(tài)。

　　與此同時，“零信任”作為目前安全領(lǐng)域熱度極高且對安全體系建設(shè)具有重要指導(dǎo)意義的理念之一，在全球用戶與加密金融機構(gòu)對安全地高度重視下，得以快速落地。Amber Group作為全球領(lǐng)先地將計算機算法、機器學(xué)習(xí)等技術(shù)與金融交易結(jié)合的企業(yè)，堅持將零信任安全理念應(yīng)用于企業(yè)信息安全防護建設(shè)之中，確保其所有業(yè)務(wù)的運行處在科學(xué)、實時地監(jiān)測和保護之中。對此， Amber Group在近期接受媒體采訪時，結(jié)合自身經(jīng)驗就零信任在加密金融機構(gòu)安全工作中的實踐進行了交流分享。

　　據(jù)了解，Amber Group的信息安全建立在一個基于傳統(tǒng)安全思路并針對業(yè)務(wù)的信息安全暴露面加以保護的縱深防護體系上，而這個縱深防御體系的靈魂就是零信任。

　　基于零信任的安全防控原則與安全項目實施

　　零信任認(rèn)為企業(yè)不應(yīng)自動信任內(nèi)部或外部的任何人、事、物，應(yīng)在授權(quán)前通過動態(tài)和持續(xù)的身份認(rèn)證和評估機制，采用最小特權(quán)訪問策略，嚴(yán)格執(zhí)行訪問控制，提升所有網(wǎng)絡(luò)實體之間連接的可信關(guān)系。以Amber Group的安全實踐舉例，當(dāng)企業(yè)領(lǐng)導(dǎo)層提出瀏覽后臺數(shù)據(jù)，非零信任安全防控下的處理通常是鑒于其身份直接為其調(diào)取數(shù)據(jù)。但在零信任原則下，無論怎樣的身份、角色，都必須經(jīng)過驗證流程中的各節(jié)點審批，才能獲得權(quán)限。另一個角度的例子是，假設(shè)第二天出現(xiàn)與上次同樣的需求，需求方依然必須重新完成驗證流程以獲得權(quán)限。對于上述審批流程，Amber Group借鑒了金融行業(yè)IT風(fēng)險管理的 “三道防線”，將其分成了三個工作層級，分別是授權(quán)崗位、操作崗位和審計崗位。IT風(fēng)險管理“三道防線”是指依據(jù)職責(zé)分離原則，在組織內(nèi)部構(gòu)造出三支對風(fēng)險管理承擔(dān)不同職責(zé)的團隊，相互之間協(xié)調(diào)配合，分工協(xié)作，并通過獨立、有效的監(jiān)控，提高組織的IT風(fēng)險管理有效性。從安全風(fēng)險組織構(gòu)建的角度來說，三個層級分別對應(yīng)了IT治理、 IT風(fēng)險管理以及IT審計，以此為IT風(fēng)險管理的三道防線。在零信任理念的實踐上，Amber Group在積極推進基于這一理念的特權(quán)賬戶管理(PAM)以及統(tǒng)一身份認(rèn)證管理(IAM)兩個項目。就特權(quán)賬戶管理來說，相關(guān)人員對服務(wù)器、數(shù)據(jù)庫、交易系統(tǒng)等進行訪問均需要特權(quán)賬戶密碼。這些賬號密碼地管理可以大致視為被分散在不同人的手中。但是從零信任的角度不希望任何人掌握這些特權(quán)賬戶的密碼，所以當(dāng)相關(guān)人員需要訪問這些特權(quán)賬戶資源時，安全系統(tǒng)依據(jù)預(yù)定義好或動態(tài)的權(quán)限模型，由機器賦予其訪問權(quán)限，用戶便可直接進行訪問。同時整個訪問過程會被持續(xù)的審計監(jiān)督，安全系統(tǒng)還會對操作中的危險命令進行阻斷。統(tǒng)一身份認(rèn)證管理(IAM)可以簡單的理解為識別用戶身份和訪問控制的管理。通過定義誰(身份)對哪些資源具有哪種訪問權(quán)限(角色)來管理訪問權(quán)限控制，是各類IT系統(tǒng)必不可少的基礎(chǔ)安全管理機制和復(fù)雜云服務(wù)最核心的基礎(chǔ)安全框架，是對資源提供可控安全的訪問解決方案，也是零信任安全架構(gòu)的核心基礎(chǔ)。通俗點說，在有IAM的情況下，企業(yè)員工僅憑一套用戶名和密碼即可訪問多個系統(tǒng)，同時為了確保登錄的安全，針對不同安全等級的系統(tǒng)，用戶還需要通過二維碼、手機動態(tài)口令等多種方式進行身份驗證，提升效率的同時又能得到安全保障。

　　零信任理念下的跨部門配合與安全工作“左移”

　　安全理念的落實、安全體系的搭建同樣需要安全與合規(guī)、技術(shù)、產(chǎn)品等各個方面地密切配合。

　　在與合規(guī)配合方面，信息安全需要為不同地區(qū)的合規(guī)性審查提供信息安全的證據(jù)。同時，在企業(yè)內(nèi)控方面，也需要配合合規(guī)制定安全合規(guī)流程和員工行為規(guī)范，提供管理上的控制措施。

　　在與技術(shù)研發(fā)和產(chǎn)品配合方面，Amber Group倡導(dǎo)安全工作“左移”。從初期產(chǎn)品需求時開始介入安全工作，通過既定流程參與需求評審會議，提出需求中的安全風(fēng)險點。當(dāng)需求傳達到研發(fā)，安全團隊要在該階段配合信息安全相關(guān)需求的埋點，包括認(rèn)證方式、加密方式的設(shè)置等等。同時，安全團隊還會在技術(shù)開發(fā)階段提供代碼編寫規(guī)范，并在逐步將工作擴展到代碼審計。產(chǎn)品上線前，安全團隊會對代碼進行黑盒測試，以攻擊者的視角探查即將上線的模塊或系統(tǒng)是否存在漏洞和風(fēng)險。

　　由此，安全滲透到整個產(chǎn)品的開發(fā)生命周期當(dāng)中。相比于傳統(tǒng)安全強調(diào)的放在“右側(cè)”的保護，Amber Group更倡導(dǎo)安全左移。通過早期開始在各個環(huán)節(jié)的介入，總體上降低安全成本，保證系統(tǒng)健康，減少安全漏洞。

　　加密金融服務(wù)機構(gòu)以市場提出的更高品質(zhì)為要求，引領(lǐng)行業(yè)步入全新生態(tài)。這同時意味著與高品質(zhì)服務(wù)相關(guān)的金融科技與信息安全等領(lǐng)域也被帶入了全新的拐點。從安全角度看，新生事物走向規(guī)范時都需要面臨種種安全考驗，加密金融也需要在發(fā)展中不斷解決來自安全與風(fēng)險方面的多重挑戰(zhàn)，才能為廣大用戶創(chuàng)造長期價值。