安全管理创新课题，在网络攻击不断升级的大背景下，韩国数字金融安全管理2023年的课题是什么？

据韩国媒体今晨（2022年11月10日）报道，韩国金融安全保障部选定的2023年保障数字金融安全的几个课题中涉及到数字身份证明使用的安全管理问题以及建立数字资产风险管理体系的必要性问题。

鉴于像局域网软件、钓鱼网应用程序等这样威胁网络安全的手法在不断的升级进化安全管理创新课题，韩国金融安全管理部围绕明年（2023年）的网络金融安全管理隐患重点选定了几个研究课题。特别是数字资产领域容易成为黑客的主要攻击对象，所以必须提前拿出预案，积极做好应对的准备。

图片将10张宣传海报汇总到一起，由韩国金融安全保障部提供

图1 国内金融的安全隐患：易遭网络黑客攻击

图2 像“局域网软件”、“网络钓鱼应用程序”等的网络攻击，从无止息同时又不断升级

图3 伴随着网络资源开源化的活跃，必须确保网络资源供应链的安全性

图4 数字资产的安全面临着巨大挑战，必须建立风险管理机制

图5 云服务的推广是大势所趋，必须深入探讨随之而来的各种安全管理事项

图6 使用AI服务时，必须再确认其数据使用的公正性和安全性，保护使用者的权益

图7 广泛应用电子身份证明的前景和安全隐患

图8 制定金融安全管理法规，确保每一个与金融相关的电子数据载体都能做到“自律”，即自觉自动保障金融数据的安全

图9 金融服务进入消费者使用其“个人金融平台”的时代，必须保障数据的正确性及安全性

图10 电子数据是各项金融业务之间数据互动的核心

如上图所示，韩国金融安全管理部选定了10大课题作为2023年韩国数字金融与网络安全管理领域的关注热点，并于今天（10日）做了发布。

课题的选定是围绕着三个方面开展的，包括：（一）威胁数字金融安全的事项内容及应对办法；（二）数字新技术应用及其风险；（三）如何确保行业合规及相关战略。以通俗易懂的方式对最新的数字金融及网络安全话题进行了阐述和说明，同时为了让金融界能够积极主动应对新形势，还提供了前景展望以及相关的方案策略。

首先，根据韩国金融安全管理部的数据分析，最近发生了史上最大规模的零时差攻击（备注1），安全隐患滞留在系统中并持续产生影响，所以必须对网络安全漏洞问题保持持续的关注。

随着开源代码这个数字转换中的必需品使用的增加，以及越来越复杂化的软件供应链正成为网络攻击对象，这些问题有可能会加剧网络安全的威胁。

数字资产领域成为网络攻击的主要对象，对此有关制定全球范围制裁办法的讨论也在持续进行中。

云技术被应用于金融核心业务，将成为必备的基础设施。是进行集中化管理？还是确定从属关系再进行管理？根据管理方针的不同，要关注的风险内容也会不同。韩国金融安全管理部提议一定要确认好关键业务部门对于云技术的依赖程度，并进行相应的管理。

韩国金融安全管理部强调一定要对电子驾照等数字身份证明资料使用时的安全隐患做好安全预备案，同时努力减少用户在使用数字金融时的格差问题。

韩国金融安全管理部指出，关于金融领域云和网分离管理法规的改善方案将于明年实施，因此有必要事先针对信息泄露等安全隐患做出风险管理预案，一定要加强内部管控。该部还补充说，在个人金融平台（My ）的推广使用过程中安全管理创新课题，在网络攻击不断升级的大背景下，韩国数字金融安全管理2023年的课题是什么？，要警惕在确认数据方面的过度竞争，防止数据信息的泄露。

韩国金融安全管理部再次强调，以数字技术为基础的创新性店铺导入、全渠道（备注2）战略以及全球数字银行等多方位的金融界渠道创新活动正在如火如荼的进行中，在金融渠道正在经历不断变化的环境中，一定要事先准备好相应的安全运营和风险管理方案。

韩国金融安全管理部将在本月15日举行的“金融信息安全会议（ 2022）”上发表题名为《2023年数字金融及网络安全热点课题预测》的报告，并会向与会者分发此报告。

备注：零时差攻击(zero-day)，就是指在安全补丁发布的同一天内，就出现相关的恶意攻击程序，这种攻击往往具有很大的突发性与破坏性。

全渠道零售（omni- ），就是企业为了满足消费者在任何时候、任何地点、任何方式购买的需求，采取将实体渠道、电子商务渠道和移动电子商务渠道整合的方式销售商品或服务，向顾客提供无差别的购买体验。

办公安全管理，史上最大规模远程办公安全指南

史上最大规模远程办公安全指南

作者：日期：2020年02月06日阅：60,388

新冠肺炎疫情开启了数字时代最大规模的一次远程办公迁徙。这种过去只存在于软件开发、电子商务和创意设计领域的“革命性”数字化生产方式，在中国这个互联网巨头都信奉“996”理念的传统办公社会中，从文化上的非主流，摇身变成了中国数字经济的救世主。

对于IT互联网企业来说，远程办公并不陌生，但是对于大量传统行业人员来说，突然性的大规模远程办公应用会带来一系列严重的安全问题，尤其是大量隐私和数据安全问题。

因为突然性的全员远程办公，意味着大量企业内部人员需要从企业安全边界外部（包括家中或者不安全的WiFi热点）访问任何能够维持正常工作的账户文档或数据。而如果相关网络安全措施、规则和培训没有随之调整，将产生巨大的安全隐患。

非常时期的未知安全威胁如影随形。，例如，你的一位核心开发人员买菜回家突然被带走隔离了怎么办？你的一位高管手边只有一台装满木马的家庭游戏PC怎么办？财务主管家里的WiFi路由器漏洞好几年没修补了咋办？企业协作平台堵塞卡顿后员工纷纷切换到QQ群工作咋办？

以下是管理远程团队，确保远程办公数据安全的关键举措：

提高安全免疫力：员工安全教育至关重要

帮助任何远程团队维护数据安全最重要的措施就是正确培训员工。尽管您可能认为您的团队成员在处理任何技术和互联网问题方面都是行家里手办公安全管理，但是，相信我，他们一般都会以你意想不到的方式忽视一些最基本（致命）的安全威胁。

这听起来似乎不太可能，但是在CNBC关于网络安全风险的研究中，员工的疏忽被证明是最大的威胁。考虑到这一点，最好在全面启动远程办公前召开全体会议或向公司手册中添加安全意识相关内容，以免员工的意识出现盲点。即使您的员工分布在全球各地，您也需要利用协作工具召集所有人集中一段时间培训，以确保每个人都可以理解远程团队面临的诸多安全风险。

远程办公的安全意识培训需要按照威胁等级进行优先级排序，最紧急的培训内容包括如何发现和处理可疑链接和钓鱼电子邮件、，使用免费/公共Wi-Fi的风险以及如何创建可靠的密码。此类培训可以帮助您减轻远程办公给公司网络安全防护带来的负担，并将其分散到整个业务环境中，从而创建一个高免疫力的环境，每个人都可以积极地主动应对安全威胁。

确保使用VPN

类似疫区一线医院的医生护士在防护物资极度短缺时会降低防护用品的规格和等级要求，特殊时期，大量远程工作人员经常会使用公共WiFi，例如机场休息室、酒店、咖啡店甚至邻居网络，远程团队数据安全受攻面成几何级数放大。您可以精打细算，跨多个时区进行协作，并巧妙地使用最新的管理技术，榨干团队的每一滴血汗；但是，如果您的团队没有使用安全的Wi-Fi连接，那么数据安全的护城河分分钟就可能决堤。保证安全的最佳方法是让您的团队使用虚拟专用网络，学名VPN。

无论您连接的是哪种WiFi，VPN都可以通过安全连接来提高数据通讯的安全。保护远程团队的活动、，数据、，信息和密码，免遭各种埋伏在公共WiFi网络中的不怀好意的（中间）攻击者窥视和窃取。市场上有大量便宜、靠谱的商业VPN可用，对用户数据记录有严格的承诺，可以轻松化解公共网络的安全风险。

实施高熵密码

黑客破解密码的难度要比大多数人想象得低得多。例如，一个五个字符的密码大约需要十秒钟就能被破解，而六个字符的密码需要一千秒。

目前最简单易行的办法就是确保您和您的团队成员使用强密码（高熵密码）。密码越长越复杂，破解的难度就越大。NIST最新的密码管理规范强调密码复杂性最小化（但加强密码更新管理，降低密码重复度），但这并不适用于大量人员流动到外网的特殊时期。

仅仅通过增加密码长度、增加单词字母变体或字符（提高密码熵值），就能让破解所需的时间呈指数增长。最重要的是，您需要设置每隔几个月更改一次密码的提醒，并且尽管烦人，也要对不同的帐户和程序使用不同的密码。毕竟，那意味着如果一个被破解了，它们也一次都被破解了。

是密码管理器，对于需要使用高熵密码的团队来说，密码管理器能让密码管理变得不那么痛苦。

以下为业内爱用的密码管理器：

（付费）

（不限密码量免费/付费）

（限量免费/付费）

（限量免费/付费）

（开源免费/付费）

（免费、自托管、DIY）

尽可能使用双因素认证（2FA）

很多时候，你无法阻止黑客获得密码，但是如果你启用了双因素验证，那么攻击者即使掌握了密码，也很难更进一步。

但是安全团队需要注意的是，目前已经出现很多能够绕过双因素甚至多因素认证的中间人攻击和自动化钓鱼攻击工具及手法。在钓鱼网站上，因为受害者必须手动输入这些验证码，那些基于短信验证码和移动验证软件的解决方案尤其容易受到攻击。这意味着2FA不是一个完美的解决方案，只能应付一般性的路过攻击。此外，由于一次性密码验证软件 会加密备份云中2FA密钥，因此是一个更好的替代品。

对于包括管理层在内的企业远程团队中的高价值目标，目前能够确保不被代理钓鱼攻击突破的2FA措施就是使用支持U2F标准的USB硬件密钥。因为USB硬件密钥通过浏览器建立了与合法网站的加密验证连接，而不是通过攻击者的反向代理。

综上，在您所属的任何远程团队中，双因素认证都必须是强制性的，对于高价值和高风险目标则需要启用硬件密钥或生物认证。如果你重点防护的员工没有或者忘记了硬件密钥，那么快递密钥将会是一个很重要的应急战术动作。

强化RDP

在安全牛的远程桌面工具投票中，RDP获得了最高票（下图）。显然，RDP依然是IT团队支持远程办公的最爱，但不幸的是近年来RDP的安全隐患正在不断累积。

2019年5月，微软多个版本曝出RDP安全漏洞——（CVE-2019-0708），受影响的操作系统包括 2000、 XP、 、 7、 2003、 2003 R2、 2008和 2008 R2。

2019年9月，渗透测试工具的开发者 宣布发布 漏洞利用模块；11月办公安全管理，史上最大规模远程办公安全指南，根据和报道，有关的漏洞利用大增，虽然这些攻击的成功率不高——大约91％的易受攻击的计算机崩溃并出现停止错误（aka错误检查或蓝屏死机），但是依然有9%的攻击成功在目标计算机上安装了门罗币挖矿软件。

一方面漏洞利用日益猖獗，另一方面企业安全部门面临着更大的安全挑战——2020年1月微软停止了对 2008和 7的支持。大量依然运行上述操作系统，并通过互联网使用RDP直接访问的计算机给企业带来了巨大风险。

当然，的“停服”并不意味着你需要立即停止使用RDP，以下这些强化措施有助于保护计算机免受基于RDP的攻击。

另外建议使用免费的（CVE-2019-0708）工具检查运行计算机是否容易受到攻击。

免费检查工具：

将工作移至云端

远程团队成员在全国甚至全球各地进行远程工作，基于云计算的数据存储访问、通讯和协作应用是最好的解决方案，云服务让远程团队可以安全地访问他们需要的任何内容。

越来越多的云服务公司提供安全的在线存储和易于访问的工作环境，这为远程团队提供了理想的选择。知名云计算公司将提供自己的主动安全性，能够预防并快速解决问题。例如，远程员工即使弄失了笔记本电脑，仍然可以用新设备访问云端文件。

对于安全团队来说，疫情期间“全员上云”带来的BYOD、数据安全、端点安全、身份与访问管理、云服务连续性（例如节后第一天企业微信因为负载过大而短时瘫痪）都是新的难题和挑战。

最后，安全牛总结了一个远程团队安全速查清单：

打开防火墙

加密磁盘

启用加密备份

使用SSH密钥

使用高熵密码

使用安全的互联网连接（包括检查家中WiFi路由器的固件版本和密码脆弱性）

使用VPN连接企业网络

警惕U盘（即使是家人的）

打开移动设备的“找到我的设备”

使用双因素/多因素认证