细管控强审计，网御星云全方位助力降低金融行业外包服务风险

近日，国家金融监督管理总局向各地方银保监局、银行、保险、理财公司等机构下发了《关于加强第三方合作中网络和数据安全管理的通知》（以下简称《通知》）。《通知》指出部分银行保险机构在外包服务管理上存在突出风险，要求相关单位对照通报问题，排查风险加强整改。《通知》通报了5起科技外包风险事件，其中4起与网络安全风险相关，源于第三方业务系统漏洞及第三方人员安全意识缺失等，从而导致勒索事件及敏感信息泄露。

银行保险机构针对网络安全风险的评估是一类典型的科技外包场景：银行保险机构采购安全厂商的渗透测试、安全众测、攻防演习服务，实现全面有效的网络安全风险评估。通常情况下，各类安全检测服务应在用户划定的范围内有组织有约束地进行。但给予第三方测试人员授权，允许其进入其生产环境也存在巨大的风险，例如测试人员恶意破坏系统、使用测试工具存在后门以及隐瞒测试成果等。对此，《银行保险机构科技外包风险监管办法》第二十三条和第三十六条有明确要求：“银行保险机构应当对外包服务过程进行持续监控，及时发现和纠正服务过程中存在的各类异常情况。银行保险机构应当开展信息科技外包及其风险管理的审计工作，定期对信息科技外包活动进行审计”。而实现对测试风险的有效管控并非易事，为提升测试效果，一个任务可能由多家第三方厂商参与形成竞测，且部分测试任务需在非工作时段进行，因大量测试人员同步开展测试工作，导致管理困难；其次安全测试专业性强，对管理人员要求高；再者测试过程数据难以采集、展示，无法及时发现测试风险并留存测试数据备查。基于此，网御星云发布了“渗透测试管控平台”。