据中国信通院所发布的《中国数字经济发展与就业白皮书2019年》显示，2018年，我国数字经济规模达到31.3万亿元，按可比口径计算，名义增长20.9%，占GDP比重为34.8%。近年来，数字化经济转型作为各行业转型升级的重要发展方向，各种形式的数字化转型表现形式如雨后春笋般蓬勃发展。银行业作为中国金融行业的重要组成部分，其数字化经济转型之路走在前列。从传统的移动金融、银企直联到开放银行，银行业的数字化转型之路备受各方学习和关注。
应用程序接口（以下简称“API”）作为数字化经济转型过程中重要的技术表现形式，承担着数据和服务的对外输出。为了更快、更好、更安全地推进银行业的数字化经济转型，中国人民银行于2020年2月13日发布《商业银行应用程序接口安全管理规范》（JR/T 0815-2020）（以下简称“本标准”）。本标准的推出，对商业银行的数字化经济转型具有重要的指导性，从各商业银行自身来讲，能够在数字化经济转型中更加具有参照性，能够结合自身情况建设标准化程度高和安全性更强的技术平台。
一、标准要求范围
商业银行使用的API类型主要分为内部API、企业定制API与外部API三种类型。内部API主要是指银行各业务系统数据互通的API；企业定制API是指银行与企业之间通过直连方式定制的专项服务接口；外部API接口主要指提供给外部合作伙伴的通用标准API接口，这类接口能够更加深入、广泛地向外部合作者提供服务，本标准里主要要求的API为银行外部API接口。
二、不同API类型使用场景说明
从集成方式上来看，API主要分为服务端对服务端、移动终端对服务端的集成方式两种，本标准对这两种模式下的选型也给出了相应的指导意见。
在服务端对服务端的数据交换模式下，即应用方（接入银行API服务的合作伙伴方）的服务端与银行的服务端进行数据和服务交互，主要实现形式为应用方服务器直接调用银行接口，以及应用方在服务端使用银行提供的SDK间接调用银行应用程序接口。SDK模式的调用方式能够更好地隐藏银行服务端的API接口，同时更好地做通信加密措施的安全性保护，对于应用方来讲集成的技术难度更低。
在移动终端对服务端的模式下，即应用方的客户端直接与银行的服务端进行数据和服务交互，所采取的实现形式也主要分为应用方移动客户端直接调用银行接口及应用方在移动终端中使用银行提供的SDK间接调用银行接口这两种。本标准中所提到的对于应用方移动应用直接调用银行服务端API接口的方式，主要以与用户个体无直接关联的金融服务为主，如提供银行***息查询、公开服务查询等。对于涉及到个人隐私和个人业务交易的，应该采用SDK的接入形式。在应用方的移动应用中通过集成SDK能够更好地装业务逻辑，保护个人金融信息安全，执行更多的安全控制措施。
三、H5形式的应用方式说明
对于H5的接入集成方式，一直以来都是各方关注的焦点。本标准明确，如果应用方的移动应用仅采用H5形式集成链接，不单独将其列为商业银行应用程序接口的一种类型。但需要注意的是，这种情况下属于移动应用App与H5之间无数据交互情况，用户App作为H5链接的集成方，只作为H5页面的跳转使用。
四、安全强度划分要求
首次明确提出对于API接口实行A1、A2两级安全级别划分，对于涉及资金交易与账户信息查询类与客户个人主体直接关联的，执行A2等级的安全保护强度；对于金融产品和服务信息查询类与客户个人主体无直接关联的，执行A1等级的安全保护强度。
五、全生命周期安全要求
本标准从安全设计、安全部署、安全集成、安全运维、服务终止与系统下线、安全管理等API全生命周期的各个环节对银行对外API建设提出了明确的要求。其中需要注意的是，本次对API的全生命周期安全性要求与银行传统的IT全生命周期差异点在于，API全生命周期安全中引入了一个新的实体：应用方。除了保障自身API技术层面的全生命周期安全之外，还需要具备对于应用方在接入审核、接入后持续监控、持续评估的一系列安全措施。
在梆梆安全看来，《商业银行应用程序接口安全管理规范》（JR/T 0815-2020）是银行业推进数字化经济转型顶层规划和指导中最具参考性和执行性的标准之一，从技术模式、安全设计、安全管理等多个方面阐述了商业银行API建设的方式，是中国银行业加快推进数字化经济转型的助推剂。
在过去5年中国数字化经济转型的过程中，梆梆安全依托于自身在移动安全多年的技术积累，先后推出了针对数字化经济转型过程中SDK的全生命周期安全保护产品和服务，涉及从安全设计、安全开发、安全测试、安全发布、运行监控、安全运营等环节，已经为国内众多数字化经济转型的先驱者保驾护航。
来源：freebuf.com 2020-03-02 18:27:42 by: 梆梆安全
请登录后发表评论
注册