网商银行：基于威胁路径图的信息安全水位评估技术

1. 案例背景

在国家数字经济迈入深化应用、规范发展和普惠共享的新阶段，中国人民银行和中国银保监会相继发布《金融科技发展规划（2022-2025年）》和《关于银行业保险业数字化转型的指导意见》，全面指导金融业数字化转型向纵深推进，面对新的系统架构、数据架构、应用架构和基础架构，金融机构全方位加强网络安全防护，做好网络安全边界延展的安全控制是数字化转型必须攻克的难题之一。而如何量化衡量整体的网络安全防御能力，直观展现信息安全水位，需要专业化的检验方法和技术支持。

2. 技术方案

网商银行基于自身业务现状及面临的网络安全威胁特点，探索出一套基于威胁路径图的信息安全水位评估技术，并研发了配套的应用系统进行落地实践，至2024年12月，信息安全水位评估系统已持续运行3年时间，通过多个指标切实有效评估且便捷展现了网商银行的安全防御水位。

该技术的总体思路是首先建立符合企业自身面临的网络安全威胁现状的威胁路径图，威胁路径图模型如图1所示，威胁路径图是对企业可能遭受的网络攻击风险建立的数字化模型，模型将企业网络结构抽象成图，在图中补充所有黑客可能的攻击技术及企业应对攻击的各项能力，网商银行根据自身资产和网络环境等关键信息抽象出了自己的威胁路径图。其次，以威胁路径图为基础，由攻防蓝军通过自动化检验的方式，持续验证企业应对攻击的预防、防御、感知能力，再通过红蓝演练方式不断发现新的风险。最后，根据演练和检验数据，运用水位指标计算得出威胁路径预防率、威胁路径防御率、威胁路径感知率、威胁路径纵深防御率等指标体现企业整体信息安全水位。

图1 威胁路径图模型

3. 解决问题

信息安全水位量化问题，由于网络环境的复杂性，企业的安全能力在真实的攻击事件中的有效性难以保证，此外企业也无法准确评估当前信息安全水位和面临的主要风险。需要量化指标从全局视角展示当前的信息安全水位情况，通过指标数据企业能够及时发现潜在的安全问题和风险，进而采取适当的安全措施来保障企业网络的稳定运行和数据的安全。

4. 创新亮点

• 提出的信息安全水位评估技术融合了数据建模、指标建设、攻击模拟和检验、应用系统，是一套完整的信息安全水位检验技术，能够持续检验企业的安全水位指标、暴漏风险、推动企业安全能力建设。

• 提出基于图论的威胁路径图模型，该模型使用数字化方法对企业网络状况、攻击行为、安全能力进行建模。它能够将各个点的攻防能力串联起来，从全局视角对企业面临的威胁和现有安全能力进行数字化描述。同时解决了企业无法对自身可能遭受到的网络攻击进行量化的问题。

• 提出信息安全水位评估指标模型，该模型设置了预防能力（发现并减少风险的能力）、防御能力（阻断风险被利用的能力）和感知能力（识别攻击行为的能力）等多个维度的安全能力。同时指标模型从威胁路径视角设定了威胁路径预防率、威胁路径防御率、威胁路径感知率、威胁路径纵深防御率等指标。从威胁路径角度全面衡量企业的信息安全水位。

• 结合自动化检验技术对企业安全能力进行检验，通过对威胁路径图中的攻击行为进行模拟，能够全面检验企业对攻击行为的预防、防御、感知能力并暴露风险，结合指标模型可以从威胁路径视角体现企业应对威胁的的安全水位。通过周期性的检验可以从时间维度体现企业安全水位的变化。

5. 应用落地

通过该水位评估技术，可以从实战角度沉淀实战攻防数据，帮助安全能力运营人员及时发现潜在的风险。通过沉淀的攻防数据可以形成多个信息安全水位量化指标，管理层可以从风险域、安全能力等多角度的量化指标数据了解企业信息安全水位现状，帮助企业更好的认识目前可以防御的威胁等级及面临的风险，帮助企业更好的进行风险数字化管理，将安全建设从安全事件驱动转化为风险驱动。

网商银行借助该技术结合网商银行实际情况建立了信息安全水位评估系统，通过该系统以月度为单位进行周期性的自动化检验，保证了安全能力的有效性，体现安全能力建设进展及效果，通过量化指标了解现有信息安全水位防御等级和风险。通过系统中威胁路径图的指导进行了多次红蓝演练，对可能的威胁路径进行全面有序覆盖，提前暴露风险。

文：浙江网商银行股份有限公司

优秀案例征集

自2022年案例库启动以来，中关村互联网金融研究院已收录全国300+金融科技标杆实践，覆盖人工智能、区块链、大数据等前沿技术在科技金融、普惠金融、养老金融、绿色金融、数字金融等领域的创新应用。2025年度案例征集已开始，诚邀金融机构、科技企业与行业先锋共享智慧成果！优秀案例将在研究院官方公众号专题展示，并优先纳入《中国数字金融创新与发展报告》及年度论坛成果发布，助力案例成果转化与行业影响力提升。

请将案例材料（含项目背景、技术应用、实施效果、社会价值等）发送至指定邮箱 yanjiuyuan@czifi.org，邮件主题注明“金融科技案例投稿+单位名称”。案例将收录到中关村互联网金融研究院“金融科技创新案例库”，典型案例将在研究院官方公众号专题展示，并优先纳入《中国数字金融创新与发展报告》及年度论坛成果发布，助力案例成果转化与行业影响力提升。