科技外包為保險等金融機(jī)構(gòu)提升服務(wù)能力的同時，其所帶來的運(yùn)用風(fēng)險也不容小覷。6月28日，北京商報記者從業(yè)內(nèi)獲悉，國家金融監(jiān)督管理總局近日發(fā)布《關(guān)于加強(qiáng)第三方合作中網(wǎng)絡(luò)和數(shù)據(jù)安全管理的通知》（以下簡稱《通知》），其中，保險機(jī)構(gòu)對數(shù)字生態(tài)場景合作情況底數(shù)不清、對外包服務(wù)商的準(zhǔn)入控制不嚴(yán)、對外包服務(wù)的應(yīng)急管理機(jī)制不健全等問題被擺上臺面。
在業(yè)內(nèi)人士看來，保險機(jī)構(gòu)需要根據(jù)《通知》指出的問題進(jìn)行一次全面排查和整改，舉一反三。從行業(yè)角度出發(fā)，在提升數(shù)字化水平的同時，還需要圍繞產(chǎn)業(yè)發(fā)展共性需求，加強(qiáng)數(shù)據(jù)安全服務(wù)供給。
多重風(fēng)險遭點(diǎn)名
(資料圖片)
繼2022年初原銀保監(jiān)會強(qiáng)化保險信息科技外包風(fēng)險整頓規(guī)范后，又一針對科技外包風(fēng)險的利劍“高懸”。
整體來看，《通知》從企業(yè)微信服務(wù)風(fēng)險情況、科技外包風(fēng)險情況兩方面指出了保險機(jī)構(gòu)當(dāng)前面臨的主要風(fēng)險和問題。
從企業(yè)微信服務(wù)風(fēng)險情況來看，《通知》指出的主要風(fēng)險和問題為，一是保險機(jī)構(gòu)對數(shù)字生態(tài)場景合作情況底數(shù)不清，缺乏統(tǒng)籌管理，二是保險機(jī)構(gòu)對合作中數(shù)據(jù)安全風(fēng)險和責(zé)任識別劃分不清。
從科技外包的主要風(fēng)險和問題來看，《通知》指出，一是保險機(jī)構(gòu)在供應(yīng)鏈安全管理上履職不到位，二是保險機(jī)構(gòu)對外包服務(wù)的應(yīng)急管理機(jī)制不健全，三是外包服務(wù)商的安全管理和技術(shù)防護(hù)能力嚴(yán)重不足。
在《通知》中，監(jiān)管部門也列舉了保險公司科技外包風(fēng)險的相關(guān)事件。“某壽險公司采購部署的第三方軟件產(chǎn)品‘保融第三方簽約平臺’，在網(wǎng)絡(luò)攻防演習(xí)時被發(fā)現(xiàn)其前端管理頁面的JS文件中明文寫有管理員賬號及密碼，攻擊者可利用該賬號繞過前端驗(yàn)證直接登錄系統(tǒng)，并查詢包含個人敏感信息在內(nèi)的所有數(shù)據(jù)，存在敏感數(shù)據(jù)泄露風(fēng)險。”
從企業(yè)微信服務(wù)風(fēng)險層面，監(jiān)管要求開展風(fēng)險自査，并且還為整改排查設(shè)置了時間期限，根據(jù)《通知》，保險機(jī)構(gòu)應(yīng)按照監(jiān)管隸屬關(guān)系，于7月10日前，將風(fēng)險自查和整改情況、企業(yè)微信合作情況表向國家金融監(jiān)督管理總局或銀保監(jiān)局（分局）報告。從科技外包層面，監(jiān)管要求保險機(jī)構(gòu)應(yīng)強(qiáng)化“服務(wù)外包、責(zé)任不外包”的主體意識，切實(shí)承擔(dān)數(shù)據(jù)安全主體責(zé)任，統(tǒng)籌管理科技風(fēng)險，壓實(shí)外包服務(wù)商安全責(zé)任，提升整體防控水平等。
厚雪研究首席研究員于百程表示，此次，國家金融監(jiān)督管理總局以案例風(fēng)險預(yù)警的方式，對金融機(jī)構(gòu)提出監(jiān)管要求，更具有直觀性和可操作性，一些問題漏洞可能在許多保險金融機(jī)構(gòu)業(yè)務(wù)中都存在，比如業(yè)務(wù)如何分類上云，如何保障敏感的信息安全、賬戶密碼的存放管理等。
科技外包成雙刃劍
保險業(yè)已走進(jìn)數(shù)字化時代，智能化應(yīng)用遍地開花，為客戶帶來了更為優(yōu)質(zhì)的服務(wù)體驗(yàn)，但同時也需要關(guān)注到，目前也有一些科技并未完全成熟。與此同時，近年來保險業(yè)務(wù)與科技高度融合，保險機(jī)構(gòu)與第三方的合作逐漸增多，科技業(yè)務(wù)外包并不鮮見。
“保險公司在產(chǎn)品設(shè)計、展業(yè)、風(fēng)險管理中存在數(shù)據(jù)缺乏嚴(yán)重、流量入口窄等問題，難免需要與第三方合作。”對于當(dāng)前外包科技企業(yè)與險企合作的主要業(yè)務(wù)和形式，對外經(jīng)濟(jì)貿(mào)易大學(xué)保險學(xué)院院長謝遠(yuǎn)濤表示，產(chǎn)品設(shè)計、定價、評估，乃至獲客、展業(yè)、風(fēng)險管理中都可能合作，廣泛運(yùn)用于保險業(yè)務(wù)的產(chǎn)品、營銷、承保、理賠、運(yùn)營等環(huán)節(jié)。
樂橙云服市場總監(jiān)侯珺峰對此也表示，主要業(yè)務(wù)涉及保險銷售系統(tǒng)、獲客系統(tǒng)、團(tuán)隊管理系統(tǒng)、CRM系統(tǒng)，主要形式為企業(yè)定制開發(fā)或模塊化使用。
而在科技外包的過程中，風(fēng)險也隨之而來。縱觀行業(yè)，保險機(jī)構(gòu)通過科技外包，使得業(yè)務(wù)效率不斷提升的同時，網(wǎng)絡(luò)和數(shù)據(jù)安全風(fēng)險不可避免，甚至成為了保險機(jī)構(gòu)面臨的主要經(jīng)營風(fēng)險。
“網(wǎng)絡(luò)和數(shù)據(jù)安全問題的發(fā)生，有一些來自保險機(jī)構(gòu)自身，有一些來自技術(shù)合作方。技術(shù)合作方如果能力、意識和機(jī)制不夠，加上金融機(jī)構(gòu)風(fēng)險管理不夠或不當(dāng)，就更有可能出現(xiàn)不可控的網(wǎng)絡(luò)和數(shù)據(jù)安全風(fēng)險。”于百程分析表示。
在謝遠(yuǎn)濤看來，特別是科技企業(yè)，在數(shù)據(jù)流交互過程中可能出現(xiàn)信息泄露風(fēng)險。
“風(fēng)險主要體現(xiàn)在數(shù)據(jù)獲取、數(shù)據(jù)流轉(zhuǎn)、數(shù)據(jù)驗(yàn)證、數(shù)據(jù)外泄等問題，其中每個環(huán)節(jié)的加密，流通接口處理都應(yīng)符合網(wǎng)絡(luò)安全合規(guī)的要求。”侯珺峰也表示，互聯(lián)網(wǎng)保險迅速發(fā)展，但某些場景下的保險獲客存在消費(fèi)者信息泄露的風(fēng)險。
提高數(shù)字化水平成化解風(fēng)險之根
近年來，《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》等法律法規(guī)的相繼出臺，對做好金融業(yè)數(shù)據(jù)安全工作提出了新的要求。原銀保監(jiān)會在《銀行業(yè)保險業(yè)數(shù)字化轉(zhuǎn)型的指導(dǎo)意見》《銀行保險機(jī)構(gòu)信息科技外包風(fēng)險監(jiān)管辦法的通知》中，均將網(wǎng)絡(luò)和信息安全風(fēng)險作為重要內(nèi)容作出要求，比如不得將信息科技管理責(zé)任、網(wǎng)絡(luò)安全主體責(zé)任外包等。
那么，基于此次發(fā)布的《通知》，保險機(jī)構(gòu)如何加強(qiáng)在網(wǎng)絡(luò)和數(shù)據(jù)安全方面的風(fēng)險防范工作？
在業(yè)內(nèi)人士看來，對于數(shù)據(jù)安全治理要以數(shù)據(jù)安全管控制度為核心，構(gòu)筑形成組織、管理、技術(shù)、運(yùn)營多位一體的數(shù)據(jù)安全治理體系框架。于百程表示，在此次《通知》中，監(jiān)管方提出了一些具體要求，保險機(jī)構(gòu)可對照進(jìn)行一次全面排查和整改，舉一反三，在網(wǎng)絡(luò)和數(shù)據(jù)安全風(fēng)險管理制度，機(jī)構(gòu)和合作方風(fēng)險責(zé)任劃分，合作方準(zhǔn)入管理，關(guān)鍵問題排查和日常風(fēng)險監(jiān)測，以及應(yīng)急處置機(jī)制等方向，不斷夯實(shí)、形成切實(shí)可行的長效風(fēng)險管理機(jī)制。
此外，從保險機(jī)構(gòu)筑牢科技基本功層面，還需要進(jìn)一步探索，并在不斷地探索中實(shí)現(xiàn)智能化的穩(wěn)步提升。侯珺峰表示，一是，系統(tǒng)自身安全等級要高，后臺不可輕易被訪問甚至篡改；二是，系統(tǒng)核心代碼數(shù)據(jù)及消費(fèi)者數(shù)據(jù)的加密處理要更嚴(yán)格；三是，提升數(shù)字化水平，所有數(shù)據(jù)流通通過數(shù)據(jù)接口加密完成。
不過，由于科技投入大、重視不足等問題，保險機(jī)構(gòu)自身科技能力的強(qiáng)化并非朝夕就能解決的易事。在滿足監(jiān)管整改要求的過程中，還需解決多個難題，侯珺峰表示，其中包括保險核心系統(tǒng)研發(fā)成本高，早期企業(yè)數(shù)字化水平不夠且資金不足；保險機(jī)構(gòu)對數(shù)據(jù)安全不重視，沒有建立具體的企業(yè)數(shù)據(jù)安全管理辦法；獲客場景的合規(guī)管理還需進(jìn)一步明確細(xì)節(jié)等。
下一步，為應(yīng)對潛在的數(shù)據(jù)安全風(fēng)險，還有待監(jiān)管、險企在內(nèi)的各方齊發(fā)力。比如如果要應(yīng)對國內(nèi)外數(shù)據(jù)合規(guī)方面的雙重要求，謝遠(yuǎn)濤認(rèn)為，企業(yè)需要在前期梳理解讀各國法律法規(guī)、中期采取適配措施滿足需求以及后期適配后的評估認(rèn)證等方面進(jìn)行較多的投入。同時，需要積極培育全球合作生態(tài)，夯實(shí)數(shù)據(jù)標(biāo)準(zhǔn)互認(rèn)基礎(chǔ)；圍繞產(chǎn)業(yè)發(fā)展共性需求，加強(qiáng)數(shù)據(jù)安全服務(wù)供給。
謝遠(yuǎn)濤認(rèn)為，數(shù)據(jù)監(jiān)管方式還應(yīng)創(chuàng)新。數(shù)據(jù)安全只有做好事前、事中、事后的全流程、全方位風(fēng)險評估部署，才能系統(tǒng)性地進(jìn)行風(fēng)險防范與應(yīng)對。現(xiàn)階段最重要的工作是建立數(shù)據(jù)的事后監(jiān)管制度，減少不必要的事前審批。目前數(shù)據(jù)監(jiān)管容易出現(xiàn)“監(jiān)管擁堵”問題，建議強(qiáng)化以事中、事后為主的監(jiān)管能力建設(shè)，在監(jiān)管中要更多地采用先進(jìn)技術(shù)，減少傳統(tǒng)意義上的人海戰(zhàn)術(shù)。
（文章來源：北京商報）
