互联网时代是“一切皆有可能”的时代，互联网金融诞生伊始即以加速度发展，电子银行与互联网金融的巨大优势与潜力正在一点点浮现出来，但无论创新模式、工具与渠道千变万化，“安全第一”的银行经营理念始终如一、不曾改变，伴随科技创新日新月异，客户身份与交易确认的安全认证方式相比传统更加丰富多样，但如何选择，如何与各类新业务一一对应，如何组合等成为新的“甜蜜的烦恼”。基于严格监管趋势以及电子银行的重要程度与作用日益提升，建立电子银行安全认证体系实为或早或晚面临的课题。笔者结合风险管理与互联网金融实践经验，进行初步探索与总结，希望点燃星星之火，一寸一寸照亮前行的道路。

        一、基本原则

        建立电子银行安全认证体系，首先要明确其中的核心要素——安全认证因子的概念，安全认证因子是指银行在为客户提供金融服务的过程中，通过一些客户独有的特质、方式或信息，单独或复合运用，用以辨别客户的真实身份并确保交易的准确与安全。电子银行安全认证体系是指客户在使用银行电子渠道或产品过程中，在登陆、查询、修改、交易等环节中，单独或组合使用若干安全认证因子，银行基于此确认客户本人身份与真实存在的操作意愿，保障客户与银行的合法权益。电子银行服务几乎全部为线上化、网络化操作，相比传统柜台服务，最大特征在于与客户的接触全部虚拟化，几乎没有面对面的机会，因此把握客户本人身份与真实操作意愿是防控整体风险、确保交易安全、保护合法权益的核心环节，完善的安全认证体系的意义正在于此。

        创建电子银行安全认证体系需遵循四项基本原则：

        一是分类分级：科技创新与应用的飞跃发展，带动安全认证因子的种类与形式愈发多样，要按照特征、效果等要素将不同安全认证因子划分类别，同类别认证因子再按照防控风险的强弱程度分级，在客户操作的具体环节进行单一与组合应用，以此实现安全认证因子有序排布、效能最优。

        二是突出特征：一方面分析总结安全认证因子的优势与劣势，另一方面梳理电子银行各业务、各应用场景的特征与风险点等，根据一定规则，将两者凹凸相补，如齿轮般紧密咬合，尽力封锁住可能的风险隐患。

         三是虚实结合：对应每一个电子银行业务应用场景，匹配适合的安全认证因子组合方案，其中应同时包含实物认证因子和非实物认证因子，两者相互结合与补充，有效阻隔单一类型可能的漏洞与缺失，确保交易的准确性与真实性。

         四是对标业务：安全认证体系要紧紧围绕电子银行业务展开、演进与优化，因此应按照电子银行业务特点、风险特征与容忍度等匹配对应认证强度的安全认证因子或组合方案，实现步调一致、紧密配合，形成融合共进的“命运共同体”。

         二、安全认证因子

         在互联网时代，安全认证因子经历了由少到多、由单一到多样的演变，根据监管机构认可度、技术可靠性、破解难易度、行业应用广泛性及证据留存程度等多种因素综合分析，可将安全认证因子划分为五类：

        1、数字签名类：

        是指只有信息的发送者才能产生的他人无法伪造的一组数字串，这组数字串同时也是对发送者发送信息真实性的有效证明，能够精准确认客户的真实身份，即使客户丢失个人账户、密码等信息，仍可以保护资金安全与合法权益。其作为金融监管机构认可的强认证方式，在技术可靠性、破解难易性等方面具有明显优势，目前可认定为强度最高的电子银行安全认证因子类型。

        2、生物识别类：

        是通过计算机与光学、声学和生物学等高科技手段密切结合，利用人体固有的生理特征和行为特征进行个人身份鉴定，包括DNA、指纹、声纹、面貌、虹膜等，其最大的特征在于与生俱来、独一无二、难以复制，尤其因天然属性而自带“防伪”光环，能够有效确认客户真实身份，但多方普遍认为其技术成熟度、合规性和普及度有待观察，尚未完全获得监管机构认可，因此安全强度低于数字签名类。

        3、实体工具类：

        将实物与客户个人信息借助技术手段进行有效组合，形成特定的安全认证方式，达到识别客户身份的目的，其能够承载不同种类的安全认证因子，包括银行网点柜员、远程柜员、令牌、移动设备等，最大特点在于需借助工具进行承载或辅助，但由于其非现场、易丢失属性，因此很难单独应用，一般与非实体类认证方式组合应用，认证强度低于生物识别类。

        4、密码类：

        指将公开的、标准的信息编码表示的信息通过一种技术变换手段，变为除通信双方以外其他人所不能解读的特定信息编码，从而达到识别客户身份的目的，密码需通过客户自定义或银行随机自动生成，而非简单的信息录入，目前常用的包括交易密码、手机动态密码或手势密码等，静态密码记忆即可，动态密码由银行生成并提供，客户收取并录入即可认证，但密码设置规则相对简单，容易泄露与破解，认证强度低于实体工具类。

        5、信息类：

        是根据银行规则，客户预留的能够确认客户身份或交易行为的静态信息，可由客户自主变更，包括姓名、身份证号码、地址、账号等，信息类认证因子均为简单的信息展示，虽可确认客户身份，但因具有静态属性，较容易泄露、被复制、被修改，因此认证强度最低。

        以上五类安全认证因子强度由强至弱依次递减，每一类中包含若干安全认证因子，依据电子银行业务风险复杂性及当前行业普遍做法，基本上较少适用单一因子认证模式，主要采用组合安全认证因子模式，以两类(个)或多类(个)安全认证因子复合应用的方式加强客户身份与操作意愿认证的真实性、可靠性与准确性。

        三、安全认证因子组合

        要分析组合式安全认证因子的应用，需先从电子银行业务分类说起，安全认证因子组合需紧紧围绕业务发展而生成与演变。综合多种标准与实践经验总结，电子银行业务可分为五类：

        一是动账类，直接关系到客户账户资金的进出与往来，属风险等级最高的业务类型;

        二是签约类，客户遵从内心意愿，开通办理银行某些金融服务，意味着后续发生动账类交易的可能性，风险等级较高;

        三是修改类，客户修改在银行预留的个人信息、交易密码等静态类信息，意味着可能影响到未来信息送达、交易与操作，存在一定的资金损失风险;

        四是撤销类，客户根据自身意愿，不再接受银行某类服务，进行暂停或取消，不涉及客户个人基本信息变化与账务调整，存在资金损失的危险性较低;

        五是查询类，属于知悉层面的事项，通过银行认可的渠道了解客户在银行的预留信息、账户情况、账务信息等，不涉及任何修改与调整，基本不存在动账的可能性，因此风险等级最低。以上五类电子银行业务，风险等级由强至弱依次递减，与其相对应，匹配安全认证因子组合的原则十分明确——业务风险等级越高，匹配相应等级区间的安全认证因子组合，当然，也要适当兼顾良好的客户体验。

        1、安全认证因子组合与等级：

原则上，安全认证因子组合的等级与安全认证因子类型与认证强度相对应，共分五级，一级至五级认证强度由强至弱依次递减：一级认证因子组合由数字签名类与其余四类分别组合而成;二级认证因子组合由生物识别类与实体工具类、密码类、信息类分别组合而成;三级认证因子组合由实体工具类与密码类、信息类分别组合而成;四级认证因子组合由密码类与信息类组合而成;五级认证因子组合仅由单一信息类认证因子构成。原则上，安全认证因子组合包含两种或以上安全认证因子类型，相互间进行有效衔接与互补。

        2、电子银行业务与安全认证因子组合的对应关系：

实际应用层面，原则上动账类、签约类业务风险等级较高，潜在的资金损失危险性较高，因此对应的安全认证因子组合等级不低于三级;修改类业务存在一定的资金损失风险，因此对应的安全认证因子组合等级介于二级与四级之间;撤销类业务存在资金损失的危险性较低，因此对应的安全认证因子组合等级介于三级与四级之间;查询类业务的风险等级最低，对应的安全认证因子组合等级为四级或五级。

        根据业务分类，每类业务的基础安全认证因子组合均应适用本类业务中最高等级的认证方式。但是根据业务性质的不同，可以适当考虑其他风险影响因素——除了安全认证因子外，对电子银行业务开展与推进过程中可能存在的风险起到一定程度化解作用的风险要素，例如监管政策或行业准则、银行自有风险缓释机制、更先进的技术手段等。如果在业务实施过程中，有其他风险影响因素介入，在相应区间内可以适当降低相关业务的安全认证因子组合等级。

        例如，本行相同户名转账操作，原则上按照动账类业务的安全认证因子组合等级，应认定采用一级认证，但由于相同户名操作这一其他风险影响因素存在，相当于风险一定程度上已被弱化，因此可以适当降级为三级认证即可。当然，上述一切安全认证因子认定与组合、等级划分、对应关系等并非一成不变，需要根据实际应用效果、科技发展、客户反馈等因时、因势而变化调整，牢牢把握防控整体经营风险、确保交易安全、保护各方合法权益的出发点，最终实现保障业务健康有序发展的目标。

        当前社会各界对于电子银行及互联网金融的关注点更多集中于模式创新、快速迭代、高速增长等特征，但未来的决胜或许不仅仅在于此，安全稳健一定是经营发展的前提与保障，风险防控能力的较量或将成为未来的重要战场之一。因此可以预见，无论是互联网金融内控管理体系还是电子银行安全认证体系，必将受到更多关注与研究，也必将在经营发展过程中扮演更加重要角色。以上粗浅的总结分析还有很多不足，希望以此抛砖引玉、博采众长，集各方能量夯实电子银行与互联网金融稳健发展的根基，共同拥抱更加灿烂的明天。

免责声明：本文仅代表作者个人观点，与www.smart-alliance.com网站无关。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，请读者仅作参考，并请自行核实相关内容。