琥珀集团：加密金融新生态催生“零信任”安全理念的实施

近年来，以琥珀集团为代表的全球加密金融服务机构频频走入主流视野。专业机构的入驻为行业带来了关键性的服务升级，打破了增量市场用户参与加密金融的边界。到目前为止，这一行业的发展迎来了“流行病加速流动性危机蔓延”的特殊背景。目前，全球投资者对加密资产及其衍生品配置的另类投资热情更高，将从法律合规、信息安全、量化能力、企业规模等多个维度选择优质的加密金融服务机构。从而形成了一个服务质量更高的加密金融新生态系统。

同时，“零信任”作为安全领域***的概念之一，对安全体系建设具有重要的指导意义，在全球用户和加密金融机构的高度关注下得到迅速实施。安博集团作为将计算机算法、机器学习等技术与金融交易相结合的****企业，在企业信息安全防护建设中坚持零信任安全理念，以确保其所有业务的运营都处于科学、实时的监控和保护之下。对此，琥珀集团近日在接受媒体采访时，结合自身在零信任加密实践中的经验，对金融机构安全保障工作进行了交流和分享。

据了解，琥珀集团的信息安全是基于传统安全理念的深度防护体系，旨在保护企业的信息安全暴露面，而这种纵深防御体系的灵魂就是零信任。

基于零信任的安全防控原理与安全工程实施

零信任认为，企业不应自动信任内部或外部的任何人、事或物。授权前应采用动态、连续的身份认证和评估机制，采用最小权限访问策略，严格实施访问控制，增强网络各实体之间的信任关系。以琥珀集团的安全实践为例，企业领导提出浏览后台数据时，非零信任下的安全防控处理通常是基于其身份，直接为其取数。但是，在零信任原则下，无论是哪种身份和角色，都必须在验证过程中得到每个节点的批准，才能获得权限。另一个例子是，如果第二天出现相同的需求，需求方仍然需要再次完成验证过程才能获得权限。对于上述审批流程，安博集团借鉴金融业it风险管理的“三道防线”，将其划分为授权岗、操作岗和审计岗三个工作层级。it风险管理的“三道防线”是指按照职责分工的原则，在组织内组建三个不同职责的团队进行风险管理。它们相互协调配合，分工协作，通过独立有效的监控，提高组织it风险管理的有效性。从安全风险组织建设的角度看，这三个层次对应于it治理、it风险管理和it审计，是it风险管理的三道防线。在零信任理念的实践中，琥珀集团正积极推动基于这一理念的两个项目：权限账户管理（PAM）和统一身份认证管理（IAM）。在权限账户管理方面，相关人员需要权限账户的密码才能访问服务器、数据库、交易系统等，这些账户的密码管理可以看作是去中心化在不同的手中。然而，从零信任的角度来看，没有人会掌握这些特权帐户的密码。因此，当相关人员需要访问这些特权账户资源时，安全系统会根据预定义的或动态的权限模，由机器授予访问权限，用户可以直接访问。同时，整个访问过程将通过审计持续监控，安全系统将封锁操作中的危险命令。统一认证管理（IAM）可以简单地理解为对用户身份和访问控制的管理。它是各种It系统必不可少的基本安全管理机制，也是复杂云服务最核心的基本安全框架，它通过定义谁（身份）对哪些资源拥有什么样的访问权限（角色）。它是为资源提供可控的安全性的解决方案，也是零信任安全体系结构的核心基础。一般来说，在Iam中，企业员工只需一组用户名和密码就可以访问多个系统。同时，为了保证登录的安全性，用户需要通过二维码、手机动态密码等方式对不同安全等级的系统进行身份验证，从而在提高效率的同时获得安全保护。

零信任理念下的跨部门合作与安全工作“左移”

安全理念的落实和安全体系的建设，还需要安全合规、技术、产品等方面的密切配合。

在与合规的协调方面，信息安全需要为不同地区的合规审查提供信息安全证据。同时，在企业内部控制方面，也要配合合规，制定安全合规流程和员工行为规范，提供管理控制措施。

在技术开发和产品合作方面，安博集团倡导安全工作“左移”从产品初始要求开始参与安全工作，通过既定过程参加需求评审会议，提出要求中的安全风险点。当需求传达给研发时，安全团队应配合本阶段信息安全相关需求的埋点，同时包括认证模式和加密模式的设置等，安全团队将在技术开发阶段提供代码编写规范，并逐步将工作扩展到代码审计。在产品上线前，安全团队将对代码进行黑盒测试，从攻击者的角度探讨待启动的模块或系统是否存在漏洞和风险。

由此，它渗透到产品开发的整个生命周期。与传统安全强调的“右”保护相比，琥珀集团主张安全左移。通过各方面的早期干预，可以降低整体安全成本，保证系统健康，减少安全漏洞。

加密金融服务机构对市场提出了更高的质量要求，引领行业进入新生态。同时，也意味着与金融技术和信息安全相关的优质服务也进入了一个新的转折点。从安全的角度来看，新事物在走向标准化的过程中需要面对各种各样的安全测试。加密金融在开发过程中还需要解决来自安全和风险的多重挑战，为广大用户创造长期价值。