文/Veritas 公司大中华区技术销售与服务总监 吴振岗
有研究表明，在过去的一年里，全球约有五分之三的金融服务机构（64%）曾遭受勒索攻击，相较 2022 年的 55% 有所上升。而在今年年初，国家金融监督管理总局发布《银行保险机构数据安全管理办法（公开征求意见稿）》，从数据安全治理、数据分类分级、数据安全技术保护、个人信息保护、数据安全风险监测与处置等方面进一步规范国内银行保险机构数据处理活动，以保障数据安全和金融安全，促进数据合理开发利用。
从相关数据和监管措施中不难看出一个无法回避的现实，即金融行业的勒索攻击正呈上升态势。无论组织规模大小，金融行业始终是恶意攻击者的主要目标。
由于金融行业掌握着大量敏感的个人和财务数据，因此，此类攻击的潜在破坏风险比其他行业更甚。一旦文件被勒索软件成功加密，企业就会身陷困境，即便选择支付赎金，也无法保证企业数据可以恢复，更无法保证数据不会以某种方式公开。更糟糕的是，相比较经济损失，潜在的声誉损失将会给企业带来更大的危害。因为对于金融服务机构来说，信誉和安全是成功运营的基石，也是业务差异化的重要因素。
因此，面对如今日渐复杂的网络威胁，为各种潜在风险做好准备至关重要。当勒索软件来袭时，赢时间者为胜，金融企业必须具备快速有效做出反应的能力。只有这样，才有机会保护企业最宝贵的资产——数据，免受恶意行为者的攻击。
勒索软件，不断变异的挑战
勒索软件威胁看似老生常谈，却是个不断变异的挑战。如今企业面临的是数据量的增加、工作习惯的改变以及人工智能等现代技术的发展，勒索软件威胁势必愈演愈烈。事实上，Veritas 最近的研究发现，金融行业一直是勒索软件阴影下的“高危行业”。
此项研究分析了英国富时 100 指数（FTSE100）过去三年的年度报告。在报告涉及的行业中，金融行业始终被网络威胁所牵动。在过去三年中，金融行业企业年度报告中提及 "网络攻击 "的次数增加了 55%。同时，勒索软件的提及率从 2020 年到 2022 年上升了 88%。
作为一个受到高度监管的行业，金融行业掌握着个人和企业的大量信息，历来都是网络犯罪分子的主要目标，并且这种威胁似乎有增无减。
防患于未然，筑起数据安全“护城河”
当今世界，数字基础设施之于企业和组织的意义，与实体基础设施同样重要。至于勒索软件，不做准备就等于准备失败。金融企业需要制定全面的应对计划，定期进行测试和演练，并不断与所有主要利益相关者沟通。只有这样，当面对网络攻击时，企业才能站在最前沿，迅速采取行动，确保业务韧性。
任何应对计划的关键部分，都应以弹性 IT 系统和强大的风险管理流程为基奠。这两项要素不仅能降低攻击后出现任何中断的可能性，提高企业的整体恢复能力，还能帮助金融企业制定战略，减轻勒索软件对未来造成的影响。
然而，这不仅仅是围绕技术的投资，还有对日常使用这些技术的人员进行投资。企业应定期为员工和所有提供服务的第三方提供培训，让他们掌握面对攻击的应对措施。 如果这一步被遗漏，那么恢复的道路上难免会出现脱节。
金融业公司一旦制定了应对计划，就必须演练如何实施。定期进行压力测试非常重要，因为这可确保一切正常运行。企业应测试其数字资产保护方案，并通过对员工和服务提供商进行演习来演练计划。这将有助于确保每个人都了解计划以及他们在攻击期间的角色和责任。
勒索攻击的威胁不会消失，金融企业必须迅速采取行动，抢在攻击者前面。一个包含现代技术和员工培训的详细应对计划不再是锦上添花，而是雪中送炭。当攻击发生时，每个人都必须清楚需要采取哪些行动以及遵循哪些程序。齐心协力并实施一个经过充分演练的恢复计划至关重要，这样既能保护企业最宝贵的数据资产，又能保证业务韧性，最终通过有效利用数据的价值提升金融企业自身核心竞争力。