2023年金融机构应用系统安全测试体系建设调研报告-中国计算机用户协会_40页_1mb

2023年金融机构应用系统安全测试体系建设调研报告总结

核心内容概述

本报告由中国计算机用户协会信息科技审计分会于2023年12月发布，基于对28家金融机构的调研，分析了当前金融机构在应用系统安全测试方面的现状、需求与挑战，并提出了相应的体系建设建议。调研内容涵盖安全测试组织架构、测试需求、测试质量管理、标准化建设及待解决问题等多个方面，旨在为制定《金融机构应用系统安全测试规程》团体标准提供依据。

主要观点

1. 金融机构应用系统安全的重要性

• 应用系统安全是保障金融机构业务稳定、客户数据安全及合规要求的基础。
• 金融行业应用系统面临数据安全、交易风险、合规监管、新兴技术安全等多重挑战。
• 未来趋势包括新技术应用、多层次安全防御体系构建及行业间合作共享。

2. 安全测试体系建设现状

• 组织架构：大部分机构已设立专门的安全测试组织，但存在多部门并行管理、职责不清等问题。
• 测试团队：78%的机构自有测试团队人员规模小于10人，国有大型银行和股份制银行投入较大。
• 测试频率：互联网应用系统测试频率提升，超55%的机构定期开展测试；内部应用系统测试仍以不定期为主。
• 测试覆盖：互联网应用系统测试覆盖广泛，78%的机构对全部互联网系统进行测试；内部系统则以部分重要系统为主。

3. 测试方法与工具

• 测试方式：漏洞扫描工具使用率100%，人工渗透测试和代码分析使用率超过2/3。
• 工具来源：55%的机构自主研发测试工具，60%使用开源或国产工具，仅1/3使用国外工具。

4. 测试质量与标准

• 测试质量：94%的机构认为当前测试质量基本满足安全管理需求。
• 标准建设：72%的机构已建立安全测试标准，但仍有22%的机构未制定相关计划，主要为规模较小单位。

5. 待解决问题

• 常见问题：测试流程不规范、测试频率不足、工具使用不统一。
• 主要难点：时间和资金不足、技术更新快难以跟进、人员专业能力不足。
• 期望支持：希望分会提供专家支持、测试指南及标准化体系。

关键信息总结

调研范围与方法

• 调研时间：2023年2月3日至3月15日。
• 调研对象：28家金融机构，包括16家银行、2家保险机构、1家非银机构、7家科技企业等。
• 调研方式：问卷设计涵盖6大类38个问题，采用定向与非定向相结合的问卷发放方式。
• 回收问卷：共回收18份有效问卷，样本分布较均衡。

安全测试投入与需求

• 资金投入：50%以上机构年投入超100万，17%投入超1000万。
• 互联网应用测试需求：89%的机构有C/S架构应用的测试需求。
• 测试计划：94%的机构已开展或计划开展应用系统安全测试。

安全测试重点内容

• 重点关注内容：身份认证与授权、敏感数据保护、输入验证、上传文件安全性等。
• 测试覆盖情况：互联网应用系统覆盖全面，内部应用系统覆盖不一。

安全测试管理与质量

• 测试质量管理：72%的机构已建立质量衡量准则，但仍有部分机构未建立。
• SDLC建立情况：94%的机构已建立或初步建立软件安全开发全流程（SDLC）。

建议与发展方向

1. 加强规范性建设：完善测试流程、职责分工、测试环境等标准，提升测试工作的规范化水平。
2. 建立科学开发流程：将安全性要求贯穿系统设计、开发、测试、交付、维护等全生命周期。
3. 推动测试标准更新：结合业务和技术变化，定期更新安全测试标准。
4. 提升组织与人员能力：加强安全测试队伍建设和人员培训，提升整体安全能力。
5. 推进全生命周期安全测试：逐步完善从需求到维护的全过程安全测试机制。

结论

金融机构应用系统安全测试体系建设是保障金融信息安全的重要手段。当前，大部分机构已开展相关工作，但测试流程、标准和人员能力仍存在不足。通过建立统一、规范、高效的安全测试体系，金融机构可以有效提升系统安全性、降低风险，并满足日益严格的监管要求。未来，应进一步推动行业合作、技术标准化和人才队伍建设，以应对不断变化的安全威胁。