1.2.2　銀行業典型網絡安全架構

傳統銀行對安全有非常高的要求，對風險非常敏感。一旦發生安全事件，銀行將面臨監管問責甚至停業整頓的嚴重后果。因此，傳統銀行在構建安全體系時有一些明顯的特征。首先，在安全體系設計方面，傳統銀行以強管控、硬隔離并符合各類合規要求為主導思想。它們愿意在整體效率上做出一定的犧牲，以確保安全。頂層架構設計上會盡量避免依賴員工的意識，也會降低對安全從業人員個體能力的依賴，從設計之初就盡可能地消除風險的出現。此外，監管和行業機構為金融業和銀行制定了大量的行業安全標準、規范和要求，傳統銀行人員對合規意識相對較高，注重數據保護、加密等措施，在合規落地實施上更加徹底。

其次，在網絡安全方面，傳統銀行會將生產網劃分為接入區、DMZ[4]、業務區、數據中心區等區域，采用防火墻進行隔離，并采購各類入侵檢測系統來防止網絡攻擊。各個區域默認為隔離狀態，這樣即使某一個區域出現問題，其他區域的安全也不會受到較大影響。再次，在辦公網安全方面，傳統銀行通常為員工配備兩臺計算機。一臺臺式機用于訪問內部辦公系統，禁止訪問互聯網。在需要同時進行開發工作時，員工通過遠程桌面進行操作，以避免代碼存儲在本地計算機上。另一臺筆記本電腦用于上網，可以訪問互聯網，但不允許接入銀行辦公網，與辦公網絡默認隔離，無法訪問內部辦公系統。此外，在生產網系統服務發生變更時，所有的變更和數據分析工作只能在獨立的ECC[5]操作室中進行，并且只有少部分人擁有變更權限。除了常規審計，所有操作還會受物理攝像頭監控，管理后臺的數據訪問均需要通過遠程桌面進行。需要注意的是，以上只是以典型的傳統銀行架構為例進行說明，并不代表所有傳統銀行都采用相同的模式，下面講述的互聯網企業網絡安全架構與此相同。

[4] DMZ（Demilitarized Zone），隔離區也稱非軍事化區。它是為了解決安裝防火墻后外部網絡的訪問用戶不能訪問內部網絡服務器的問題，而設立的一個非安全系統與安全系統之間的緩沖區。該緩沖區位于企業內部網絡和外部網絡之間的小網絡區域內。

[5] ECC（Enterprise Command Center），即企業總控中心。在金融業和數據中心比較常見，是一個物理的房間，通過集中的方式監控和管理線上變更操作，降低人工操作和管理帶來的風險。