張勇 于意 陳葉明

摘 要：隨著網(wǎng)上銀行、銀企直聯(lián)等電子支付在企業(yè)資金支付中的應(yīng)用，資金支付存在一系列的安全風(fēng)險。基于此，本文以M集團的資金支付安全管理實踐為基礎(chǔ)，提出企業(yè)資金支付安全管控體系建設(shè)內(nèi)容，希望對企業(yè)資金支付安全管理有所借鑒。

關(guān)鍵詞：資金;支付;安全管理

中圖分類號：F23 文獻標(biāo)識碼：Adoi：10.19311/j.cnki.16723198.2021.06.046

0 引言

資金本身具有高價值性、高流動性和高風(fēng)險性的特征，也是企業(yè)生存的基礎(chǔ)和最重要的資產(chǎn)。隨著企業(yè)規(guī)模的日益擴大和大智移云物新技術(shù)在企業(yè)信息化中的應(yīng)用越來越多，企業(yè)的資金交易量增大，網(wǎng)絡(luò)、信息安全等因素帶來的資金支付安全風(fēng)險問題不斷暴露，資金支付安全管理成為企業(yè)管理的重中之重。如何建立完善的企業(yè)資金支付安全管控體系，確保資金安全支付，促進資金支付安全管理的全面性、持續(xù)性、先進性，具有重要的現(xiàn)實意義。

1 資金支付安全管控體系概述

基于M集團的財務(wù)共享中心資金支付安全管控體系建設(shè)的實踐，提煉總結(jié)出企業(yè)資金支付安全管控體系建設(shè)主要分為人臉識別、數(shù)字簽名、內(nèi)外網(wǎng)隔離、支付網(wǎng)關(guān)、支付防重控制。

2 人臉識別

目前很多企業(yè)應(yīng)用系統(tǒng)中的身份認(rèn)證，都還停留在固態(tài)密碼的驗證，面對越來越多的網(wǎng)絡(luò)威脅，關(guān)鍵系統(tǒng)的身份認(rèn)真功能也亟須升級，而人臉識別作為一種生物認(rèn)證手段，已經(jīng)被很多產(chǎn)品進行使用。而人臉識別技術(shù)作為關(guān)鍵系統(tǒng)的安全門閂，人臉識別需要同時支持身份比對和活體認(rèn)證。

考慮到人臉識別對設(shè)備的要求，目前M集團的財務(wù)共享系統(tǒng)人臉識別主要應(yīng)用在共享出納支付，保障支付安全。

（1）留底圖像的采集。通過權(quán)限流程進行規(guī)范管控，保證采集的圖像人員擁有共享出納支付權(quán)限，且圖像采集后需要作為關(guān)鍵身份認(rèn)證信息進行落地存儲。

（2）通過在出納辦公PC機位置部署人臉識別終端設(shè)備，支持離線SDK人臉識別。

（3）出納在結(jié)算支付的時候，系統(tǒng)通過人臉識別終端設(shè)備進行人臉識別和活體驗證，進行人臉首次驗證，通過后，人臉特征通過CA數(shù)字簽名與其它關(guān)鍵業(yè)務(wù)信息一起加密存儲。

（4）支付管理服務(wù)器在發(fā)送支付指令的時候，通過機房特定主機部署離線SDK，服務(wù)端校驗解密后的圖像與當(dāng)前人員留底圖像保持完全一致，完成二次驗證。

3 數(shù)字簽名

數(shù)字簽名是只有信息的發(fā)送者才能產(chǎn)生的別人無法偽造的一段數(shù)字串，作為一種較為安全的身份認(rèn)證方式，目前被普遍使用于關(guān)鍵信息化系統(tǒng)，比如銀行的支付U盾。

M集團的數(shù)字簽名也是采用實體U盾，證書存儲在U盾硬件中，在共享出納提交支付的時候完成身份認(rèn)證，并對關(guān)鍵業(yè)務(wù)數(shù)據(jù)進行簽名加密。

（1）系統(tǒng)完成數(shù)字簽名相關(guān)的硬件部署，其中簽名驗簽服務(wù)器部署在財務(wù)公司網(wǎng)絡(luò)（假設(shè)財務(wù)共享不可信任）。通過企業(yè)內(nèi)部的U盾申請，完成U盾的采購和CA證書安裝，并下放到具體共享出納手中。

（2）共享出納在支付的時候，需要通過USB接口插入U盾，通過支付操作輸入U盾Pin碼，客戶端自動根據(jù)U盾中的用戶證書進行簽名，系統(tǒng)發(fā)送給簽名驗簽服務(wù)器，完成對用戶身份進行驗證。

（3）將帶個人簽名支付報文由財務(wù)共享系統(tǒng)服務(wù)器端發(fā)送到支付管理服務(wù)器端，支付管理服務(wù)器再次將個人簽名的報文發(fā)送給簽名驗簽服務(wù)器完成二次驗簽，以防財務(wù)共享端到支付管理服務(wù)器過程中被篡改。

（4）個人簽名驗簽成功后，將支付報文發(fā)送到本端NSAE-B設(shè)備上請求企業(yè)簽名，并將帶有企業(yè)簽名的支付報文發(fā)送到財務(wù)公司端簽名驗簽服務(wù)器進行驗簽，此步主要目的驗證企業(yè)端簽名的有效性。

4 內(nèi)外網(wǎng)隔離

考慮到移動端的便捷性，越來越多的產(chǎn)品都支持手機APP進行業(yè)務(wù)處理，而企業(yè)辦公都是在企業(yè)內(nèi)網(wǎng)中進行，而手機APP是通過互聯(lián)網(wǎng)進行訪問，互聯(lián)網(wǎng)的介入會到系統(tǒng)的安全帶來新的挑戰(zhàn)，因此應(yīng)在架構(gòu)部署上增加網(wǎng)絡(luò)安全相關(guān)的考慮，尤其是涉及資金支付、財務(wù)管理等關(guān)鍵業(yè)務(wù)系統(tǒng)。針對這種問題，一般都是通過內(nèi)外網(wǎng)隔離的手段進行安全加固，避免互聯(lián)網(wǎng)訪問導(dǎo)致的安全問題。

下面是M集團財務(wù)共享系統(tǒng)內(nèi)外網(wǎng)隔離方案介紹。

（1）DMZ：全稱Demilitarized Zone，譯名為“非軍事區(qū)”，又名“邊界網(wǎng)絡(luò)”，為一種網(wǎng)絡(luò)架構(gòu)的布置方案，常用的架設(shè)方案是在不信任的外部網(wǎng)絡(luò)和可信任的內(nèi)部網(wǎng)絡(luò)外，創(chuàng)建一個面向外部網(wǎng)絡(luò)的物理或邏輯子網(wǎng)，該子網(wǎng)能設(shè)置用于對外部網(wǎng)絡(luò)的服務(wù)器主機。

（2）反向代理服務(wù)器，根據(jù)客戶端的請求，從一組或多組后端服務(wù)器（如Web服務(wù)器）上獲取資源，然后再將這些資源返回給客戶端，客戶端只會得知反向代理的IP地址，而不知道在代理服務(wù)器后面的服務(wù)器簇的存在，除了可以防止外網(wǎng)對內(nèi)網(wǎng)服務(wù)器的惡性攻擊、緩存以減少服務(wù)器的壓力和訪問安全控制之外，還可以進行負(fù)載均衡。

（3）兼顧內(nèi)外網(wǎng)訪問，重點防御外部用戶訪問帶來的網(wǎng)絡(luò)攻擊風(fēng)險，通過https協(xié)議對外網(wǎng)提供服務(wù)，由DMZ+反向代理+外部web層實現(xiàn)對核心數(shù)據(jù)的多層防護，提高安全防護級別。

5 支付網(wǎng)關(guān)

支付網(wǎng)關(guān)是直接對接業(yè)務(wù)系統(tǒng)的接口，確保交易在前端業(yè)務(wù)系統(tǒng)和后端支付產(chǎn)品之間進行安全無縫對接。通過支付網(wǎng)關(guān)可以將非業(yè)務(wù)功能提取出來統(tǒng)一管控處理，比如通信、協(xié)議轉(zhuǎn)換、數(shù)據(jù)交換、數(shù)據(jù)加密/驗簽等，基于安全考慮也可以在支付網(wǎng)關(guān)中加入支付防重、數(shù)據(jù)合法性校驗等。

基于支付網(wǎng)關(guān)，可以對業(yè)務(wù)系統(tǒng)和支付產(chǎn)品進行網(wǎng)絡(luò)和功能的隔離，也保障了支付產(chǎn)品無需考慮與支付功能以外的其他處理。

下面是M集團支付網(wǎng)關(guān)的方案介紹。

（1）銀企直聯(lián)系統(tǒng)分為支付網(wǎng)關(guān)、支付服務(wù)、銀行前置三個微服務(wù)組成，與業(yè)務(wù)系統(tǒng)之間和與銀行外網(wǎng)接口之間通過防火墻進行安全隔離。

（2）上游涉及支付指令發(fā)送的業(yè)務(wù)系統(tǒng)，通過銀企直聯(lián)系統(tǒng)支付網(wǎng)關(guān)提供的接口，進行支付指令的傳遞。

（3）支付網(wǎng)關(guān)接收到上游數(shù)據(jù)后，首先進行加密驗簽，再通過防重判斷、合法性校驗等處理，保證支付指令的數(shù)據(jù)質(zhì)量，并隔離了業(yè)務(wù)系統(tǒng)與支付服務(wù)微服務(wù)聯(lián)系。

6 支付防重控制

作為支付管理，支付防重作為一種關(guān)鍵風(fēng)險防范手段，需要從業(yè)務(wù)角度和IT角度同時考慮進行防重控制，避免數(shù)據(jù)異?；虮还?，導(dǎo)致的重復(fù)支付風(fēng)險。

下面是M集團財務(wù)共享系統(tǒng)的支付防重方案介紹。

（1）財務(wù)共享，在支付之前，收到上游系統(tǒng)或應(yīng)用的支付指令，同時進行IT防重和業(yè)務(wù)防重處理，只有同時滿足才允許直接走到資金管理進行支付。

（2）IT防重，支付數(shù)據(jù)初次進入財務(wù)共享，先登記支付表。每次接收數(shù)據(jù)后通過數(shù)據(jù)ID在支付表進行判斷，如果存在且有效，則說明數(shù)據(jù)重復(fù)（支付失敗后失效支付表狀態(tài)），主要是避免支付指令重復(fù)發(fā)放或被重放攻擊。

（3）業(yè)務(wù)防重，通過業(yè)務(wù)防重規(guī)則的設(shè)置，財務(wù)共享每次接收數(shù)據(jù)后，調(diào)用業(yè)務(wù)防重規(guī)則進行判斷，主要是避免業(yè)務(wù)重復(fù)操作導(dǎo)致的重復(fù)支付風(fēng)險。

7 總結(jié)

上述安全方案僅淺談了針對資金支付相關(guān)的部分安全管控措施。企業(yè)不能研發(fā)出絕對安全的應(yīng)用系統(tǒng)，但是需要構(gòu)建健壯的系統(tǒng)安全體系，這樣才能更好的保證產(chǎn)品的穩(wěn)定和信息資產(chǎn)的安全。在產(chǎn)品研發(fā)和實施的時候盡早的意識到安全架構(gòu)體系的重要性，既可以保證提升產(chǎn)品的安全性，也可以讓后續(xù)產(chǎn)品優(yōu)化事半功倍。

企業(yè)應(yīng)用安全體系需要從數(shù)據(jù)安全、服務(wù)器安全、功能應(yīng)用安全、網(wǎng)絡(luò)安全、運維實施安全、審計安全等多方位進行考量，安全體系需要貫徹產(chǎn)品生命周期的始末。

參考文獻

[1]遠(yuǎn)光軟件：資金支付安全保障創(chuàng)新應(yīng)用實踐[J].中國總會計師，2018，（12）.

[2]陳旭，李井娟.企業(yè)集團資金管理模式分析[J].現(xiàn)代商貿(mào)工業(yè)，2011，（15）.