1.2.2　银行业典型网络安全架构

传统银行对安全有非常高的要求，对风险非常敏感。一旦发生安全事件，银行将面临监管问责甚至停业整顿的严重后果。因此，传统银行在构建安全体系时有一些明显的特征。首先，在安全体系设计方面，传统银行以强管控、硬隔离并符合各类合规要求为主导思想。它们愿意在整体效率上做出一定的牺牲，以确保安全。顶层架构设计上会尽量避免依赖员工的意识，也会降低对安全从业人员个体能力的依赖，从设计之初就尽可能地消除风险的出现。此外，监管和行业机构为金融业和银行制定了大量的行业安全标准、规范和要求，传统银行人员对合规意识相对较高，注重数据保护、加密等措施，在合规落地实施上更加彻底。

其次，在网络安全方面，传统银行会将生产网划分为接入区、DMZ[4]、业务区、数据中心区等区域，采用防火墙进行隔离，并采购各类入侵检测系统来防止网络攻击。各个区域默认为隔离状态，这样即使某一个区域出现问题，其他区域的安全也不会受到较大影响。再次，在办公网安全方面，传统银行通常为员工配备两台计算机。一台台式机用于访问内部办公系统，禁止访问互联网。在需要同时进行开发工作时，员工通过远程桌面进行操作，以避免代码存储在本地计算机上。另一台笔记本电脑用于上网，可以访问互联网，但不允许接入银行办公网，与办公网络默认隔离，无法访问内部办公系统。此外，在生产网系统服务发生变更时，所有的变更和数据分析工作只能在独立的ECC[5]操作室中进行，并且只有少部分人拥有变更权限。除了常规审计，所有操作还会受物理摄像头监控，管理后台的数据访问均需要通过远程桌面进行。需要注意的是，以上只是以典型的传统银行架构为例进行说明，并不代表所有传统银行都采用相同的模式，下面讲述的互联网企业网络安全架构与此相同。

[4] DMZ（Demilitarized Zone），隔离区也称非军事化区。它是为了解决安装防火墙后外部网络的访问用户不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。该缓冲区位于企业内部网络和外部网络之间的小网络区域内。

[5] ECC（Enterprise Command Center），即企业总控中心。在金融业和数据中心比较常见，是一个物理的房间，通过集中的方式监控和管理线上变更操作，降低人工操作和管理带来的风险。