【2023高清版】GBT 42929-2023 互联网金融智能风险防控技术要求

互联网金融智能风险防控技术要求I 12规范性引用文件 13术语和定义 14互联网金融业务与风险概述 25智能风险防控技术框架 26智能风险防控功能 36.1概述 36.2风险监测 36.3风险识别与分析 46.4风险评价 56.5风险处置 57智能风险防控技术 67.1风险防控规则与模型 67.2智能分析与处理 68智能风险防控系统安全 88.1基础安全 88.2应用安全 88.3数据安全 9智能风险防控系统运行 9.1日常运行 9.2应急响应 附录A(资料性)互联网金融典型业务及风险 A.1互联网金融典型业务场景及通用风险 A.2注册场景及安全风险 A.3登录和密码找回场景及安全风险 A.4交易场景及安全风险 A.5支付场景及安全风险 A.6信贷场景及安全风险 附录B(资料性)机器学习 B.1有监督机器学习 B.2半监督机器学习 ⅡB.3无监督机器学习 B.4关系网络 B.5自动机器学习 附录C(资料性)突发事件分类分级示例 C.1突发事件分类 C.2突发事件分级 参考文献 ⅢGB/T42929—2023本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由全国金融标准化技术委员会(SAC/TC180)归口。本文件起草单位：中国互联网金融协会、支付宝(中国)网络技术有限公司、中国工商银行股份有限公司、中国建设银行股份有限公司、中国邮政储蓄银行股份有限公司、广东华兴银行股份有限公司、中国农业银行股份有限公司、中国平安保险(集团)股份有限公司、农信银资金清算中心有限责任公司、京东科技控股股份有限公司、第四范式(北京)技术有限公司、深圳市腾讯计算机系统有限公司、度小满科技(北京)有限公司、上海淇毓信息科技有限公司、东方微银科技股份有限公司、简单汇信息科技(广州)有限公司、百融云创科技股份有限公司、同盾科技有限公司。本文件主要起草人：杨农、朱勇、辛路、单剑锋、于圆、张赫、彭晋、陆碧波、王维强、金颖、孟宪哲、随着互联网金融的不断发展，基于互联网金融的新型金融欺诈风险不断涌现，并呈现出专业化、产业化、隐蔽化、跨区域等新特征，对传统的风险防控技术提出挑战。为此，互联网金融业务的从业机构提出了智能风险防控技术，通过采用大数据、人工智能等技术实现智能风险防控，但在实际应用过程中存在概念不清、技术迥异、效果参差不齐等问题。为加强开展互联网金融业务的金融机构和非银行支付机构，以及提供智能风险防控技术服务的机构规范使用智能风险防控技术，保障个人及金融主体的合法权1互联网金融智能风险防控技术要求本文件规定了互联网金融场景下智能风险防控技术所需满足的技术框架、功能要求、技术要求、实现的安全要求以及运行要求等。本文件适用于开展互联网金融业务的组织机构，以及提供智能风险防控技术服务的机构建设、运行和优化智能风险防控系统防控互联网金融风险。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本(包括所有的修改单)适用于GB/T35273信息安全技术个人信息安全规范GB/T35274信息安全技术大数据服务安全能力要求GB/T37721信息技术大数据分析系统功能要求GB/T37722信息技术大数据存储与处理系统功能要求GB/T37961信息技术服务服务基本要求3术语和定义下列术语和定义适用于本文件。风险防控riskpreventionandcontrol为有效控制或减少风险事件发生可能性、降低风险事件发生时造成损失而采取的措施和方法。风险识别riskidentification对影响各类目标实现的潜在事项或因素予以全面识别，进行系统分类并查找出风险原因的过程。注1:风险识别包括对风险源、事件及其原因和潜在后果的识别。注2:风险识别可能涉及历史数据、理论分析、专家意见以及利益相关者的需求。在风险识别和风险计量的基础上，结合其他因素对风险发生的概率、损失程度进行全面考虑，评估发生风险的可能性及其危害程度，并与公认的安全指标相比较，以衡量风险的程度，并决定是否需要采取相应措施的过程。跟踪已识别风险的发展变化情况、风险产生的条件和导致的结果变化，根据风险的变化情况及时调2整风险应对计划，对已发生的风险及其产生的遗留风险和新增风险进行识别和分析。风险分析与评价后对风险进行的降低风险、转移风险、规避风险等一系列处理活动。风险防控规则riskpreventionandcontrolrule按照一定的业务逻辑制定的风险事件判定指标。风险防控模型riskpreventionandcontrolmodel为描述、评价风险定义的一组特性及特性间的关系。注1:采用风险防控模型的方式实现风险的分析与识别，无须单独针对风险类型或特征制定相应的规则，通过模型的自反馈特性不断完善对风险判定的准确度。注2:在风险分析和识别过程中，风险防控规则和风险防控模型通常组合使用。智能风险防控intelligentriskpreventionandcontrol在传统风险防控基础上，基于大数据计算能力，结合机器学习、人工智能、规则与模型等技术进行的风险控制。4互联网金融业务与风险概述在互联网支付、互联网贷款、互联网基金销售、互联网保险、互联网信托等互联网金融业务中，风险防控的核心是业务场景的安全风险，属于GB/T41462金融风险分类中的操作风险。例如，在用户注册、用户登录、账户开户、资金交易、活动险。常见的互联网金融典型业务及风险见附录A,相关场景风险包括但不限于：根据不同的主体对象，需要从交易维度、账户维度、商户维度、客户维度设计并实施风险防控策5智能风险防控技术框架互联网金融智能风险防控的目标是防控互联网金融业务风险。互联网金融智能风险防控能基于业务场景等上下文信息动态，智能地选择、使用和优化风险控制策略，通过智能风险防控系统来实现风险防控目标。智能风险防控系统主要包含以下四个部分，其技术框架见图1。a)智能风险防控功能，是在风险监测、风险识别与分析、风险评价和风险处置的风险防控核心流程中的风险防控功能实现。b)智能风险防控技术，通过风险防控规则与模型、智能分析与处理为核心流程提供判定规则和动态调整等能力支撑。c)智能风险防控系统安全，保障其自身的基础安全、应用安全、数据安全，支撑智能风险防控系统。d)智能风险防控系统运行，在日常运行和应急响应中确保智能风险防控持续高效运行。3风险监测风险识别与分析风险防控规则与模型风险评价风险处置智能风险防控功能智能分析与处理智能风险防控技术基础安全要求应用安全要求数据安全要求应急响应智能风险防控系统运行智能风险防控系统安全互联网金融业务场景图1互联网金融智能风险防控技术框架6智能风险防控功能6.1概述风险防控各环节核心功能如下：a)风险监测：对接互联网金融业务渠道，实现业务风险监控场景接入，收集并转发互联网金融业务的上下文信息至风险识别与分析模块；b)风险识别与分析：接收业务信息后，基于风险防控规则与模型提供的支撑，结合智能分析与处理方法，对风险控制对象的上下文信息进行识别与分析，向风险评价模块输出风险识别与分析结果；c)风险评价：对输入结果信息进行判定，结合智能分析与处理能力，可基于历史数据和场景信息进行动态的判定，量化评级风险大小，为风险处置提供决策依据；d)风险处置：根据风险评价结果，结合智能分析与处理能力，对不同业务、不同场景下量化后的风险进行处置，给予相应的响应措施。6.2风险监测风险监测主要技术包括：a)应覆盖典型互联网金融业务流程，包括用户注册、绑卡、存管、充值b)应根据互联网金融业务流程要素设置风险监测对象，业务流程要素包括交互方、操作过程、操c)应同时具备自动化监测功能和人工监测能力，并根据业务的重要程度和业务量大小进行合理选择；d)应具备对业务相关数据的监测能力，包括支付信息、账户信息、身份信息、交易信息、验证手段、e)监测结果应实时传递到风险识别与分析功能模块；f)应具备对接处理外部数据用于风险监测的能力；g)监测要求涉及银行业应用系统的，可参考GB/T40473.2—2021中联机监控和批量监控相关4要求；h)各机构应根据风险偏好制定风险监测覆盖率和误判率指标，建议风险监测覆盖率不低于80%,误判率不高于10%;i)监测结果应包括监测对象价值评估、事件类型、事件的发生频度、威胁来源与类型等内容。6.3风险识别与分析风险识别主要技术包括：a)应支持信息真实性(如姓名、证件号、手机号、银行卡号等是否真实)和信息一致性(如姓名、证件号、手机号、银行卡号等信息是否对应)的信息标识风险识别；b)应支持对账户盗用、洗钱套现、涉赌涉诈、虚假开户、垃圾注册、渠道刷量、代下单套利、刷单套c)应采用层次化的技术方法进行风险识别；d)应具备快速识别层实现对高发风险的快速识别；e)宜支持标识技术，从设备、客户、账户等多维度对风险进行识别；f)宜支持风险识别过程可追溯、可审计；g)宜支持机器学习方式实现对风险的多维度、综合分析与识别，用于风险防控的机器学习技术见附录B;h)宜支持风险离线仿真、风险可视化等运营管理功能；i)宜具备能够识别潜在风险的异常检测功能；j)宜具备基于历史数据构建时序类风险特征变量、进行风险识别的能力。在线分析包括在线实时分析、在线准实时分析两种。a)在线实时分析在线实时分析主要针对安全威胁较高、计算资源需求较少、实时性要求较高的风险，分析过程为在线业务流程的必要步骤，分析结果决定所执行的即时业务流程分支。主要技术包括：1)应至少支持黑白名单过滤的风险分析；2)应支持风险分析规则的动态扩展；3)应支持风险分析过程可再现、可审计和可解释；4)宜支持使用模型进行风险分析；5)宜支持画像方式进行风险分析。b)在线准实时分析在线准实时分析主要针对安全威胁较高、计算资源需求较多、实时性要求较低的风险，分析过程不占用业务耗时，分析结果间接影响该笔业务流程走向。主要技术包括：1)应支持黑名单、白名单、风险列表等分析与过滤方法支撑数据的实时变更；2)应支持风险分析过程可再现、可审计和可解释；3)宜支持风险分析规则与模型的自动学习与更新；4)宜支持使用模型进行风险分析；5)宜支持异步的风险预警。5离线分析主要针对计算资源需求较多、实时性要求较低的风险，主要技术包括：a)应支持风险分析过程可再现、可审计和可解释；b)宜支持风险分析规则与模型的自动学习与更新；c)宜支持风险分析数据变量的清洗；d)宜支持数据质量监测；e)宜支持风险特征变量的离线加工计算。6.4风险评价6.4.1风险计算方法风险计算采用定性、定量相结合的计算方法。风险计算方法针对业务面临风险的大小进行准确排序，以确定风险的处置策略。风险计算可参考GB/T20984—2022中给出的风险计算方法。通过风险计算，对业务实际风险进行综合分析与评价，并对风险计算值进行等级化处理。等级化处理的方法是按照风险评价得分的高低进行等级划分，风险值越高，风险等级越高。风险分级可参考GB/T20984—2022中给出的风险分级方法。6.5风险处置6.5.1风险处置基本要求风险处置的基本要求包括：a)应及时有效消减业务流程中的实时风险，依据风险评价结果，按照风险分级进行风险处置；b)应适度接受残余风险，根据业务可接受的处置成本将残余风险防控在可接受的范围内，处置方式一般包括风险的接受、规避、转移和降低等；c)应依据国家和行业主管部门发布的信息安全建设要求进行风险处置。6.5.2风险处置方式业务流程中的实时风险处置应结合风险分级结果，主要技术包括：a)应至少支持拒绝服务、限权两种风险处置方式；b)应支持风险处置策略的熔断机制；c)宜支持风险的自动处置；d)宜根据业务模式(如日常模式、业务高峰模式)支持风险处置方式的分组管理，并支持处置方式组之间的快速切换；e)宜采用自动学习和更新机制实现风险处置策略的优化。针对业务流程中的残余风险，应根据安全风险的严重程度、加固措施实施的难易程度、风险处置的时间紧迫程度、人员投入及资金成本等因素综合考虑，采用接受、规避、转移和降低等风险处置方式。67智能风险防控技术7.1风险防控规则与模型7.1.1风险防控规则风险防控规则的主要技术包括：a)规则种类应包括名单型、流量型、时序型、匹配型和地理位置型等；b)规则阈值的选取应基于历史数据和风险样本分析，并结合覆盖率、预警率、打扰率、触发率、准确率、KS值(Kolmogorov-Smirnov)、曲线下面积(AreaUnderCurve,AUC)等指标进行综合考虑；线等方面；d)风险防控规则宜支持规则集、评分卡、决策表、决策树、决策流等多种定义方式。风险防控模型的主要技术包括：a)宜遵循业务需求分析、建模设计、模型训练、模型调优、模型测试定版、模型发布上线、模型监控、模型运行维护和模型下线等模型全生命周期流程进行管理；b)风险防控模型的建模设计、测试定版、发布上线、监控、运行维护和下线等模型生命周期中的设计、开发、测试、部署、运维等环节应按模型框架类型遵循GB/T37961、GB/T37721、GB/T37722的要求；c)模型训练流程应包括数据导入、数据预处理、特征工程、模型训练和模型评估等步骤；d)模型库中的模型，宜采用在线、离线或自动更新等多种方式发布上线，满足模型应用的需求；e)模型发布上线前应制定覆盖率、准确率、召回率等监控指标，并根据业务实际需求设置监控阈值，例如对欺诈交易的覆盖率大于90%、准确率大于95%等；f)宜同时支持多种模式对模型覆盖率、准确率、召回率等指标进行监控，比照初始业务需求或业务需求变动对各项指标的要求，按模型生命周期流程完成模型的更新和迭代，实现对模型变更调整的闭环管理；g)规则与模型应按业务实际需要进行定期更新，防止发生被绕过而造成规则与模型失效的情况出现。7.2智能分析与处理智能分析与处理由以下四个部分构成。a)智能分析与处理逻辑：1)应构建覆盖业务全渠道、全场景、全时段的企业级智能风险防控系统，集智能决策中心、指局风险核查与运营，支持风险决策效果量化评估与运营；2)应支持事前安全防护，结合终端风险态势感知、威胁情报构筑事前风险防线，利用可靠的名单数据、设备指纹、账户风险评级、用户可信任智能认证体系等进行智能分析，形成基于大数据的风险感知和预警体系；3)应支持事中风险识别和决策，结合业务场景、规则、策略、模型实时识别风险，输出相关风74)应支持事后风险核查与挖掘，对风险事件、案件的可视化流转和风险核查，利用机器学习模型、知识图谱等技术挖掘历史风险、群体风险，沉淀风险特征和名单，反哺事前安全防护和事中实时风险识别与决策；5)应支持可视化风险运营和监控，利用工具或大数据分析技术，使用包括但不限于触发量、和优化。b)智能分析与处理数据：1)应具备多渠道、多场景、多源数据(实时业务数据、外部三方数据、内部离线数据)的对接能力，为实时/准实时系统提供输入；2)应对风险防控数据进行特征分类(如设备类、行为习惯类、位置类等),并结合业务场景和特征设计风险防护规则、策略，对实施风险控制的关键数据和决策结果，采用增量、全量等多种备份策略；3)应具备多种数据通信能力[如超文本传输协议(HTTP)、套接字(socket)协议]对接外部三方数据；c)智能分析与处理技术：1)应具备对数据进行实时/离线分析、处理和查询能力；2)应具备计算资源动态和线性扩展能力；3)应具备结构化、半结构化、非结构化数据格式计算能力，及大数据处理计算能力；4)宜具备数据迭代计算，及运行多种机器学习算法的能力；5)宜将图技术与业务场景结合，构建场景化知识图谱(如交易知识图谱、贷款申请知识图谱等),利用图算法加工指标作为风险特征用于事中风险识别与决策和AI模型开发；利用图谱的可视化做风险核查与运营，提高风险核查可解释性；6)宜使用如自然语言处理(NaturalLanguageProcessing)、文本/图像/音视频分类等技术进行分析与处理；7)宜使用隐私计算技术(如联邦学习、多方安全计算、同态加密、机密计算、隐私枢纽等技术)实现建模过程中的数据保护；8)可具备依托自动机器学习技术自动发现风险特征、自动进行风险模型训练的能力。d)智能分析与处理管理：1)应支持灵活的规则、模型、策略编排设定，对相关的执行做好优先级控制，并有效控制规则、策略的串行关系，根据系统资源使用情况合理设定并行执行个数；2)应支持在线规则、模型、策略的灵活上下线和更新；3)应对规则、模型、策略预估时间具备有效的管理机制，避免模型异常影响正常风险防控；4)应对离线计算资源和在线业务计算资源做好隔离，避免离线计算影响在线业务运行；5)宜从机构、角色等多维度，采用权限访问控制策略，对不同角色主体授予匹配的数据权限，并留存系统操作日志，对账号和对应操作过程具备事后可追溯能力；6)宜构建完善的风险运营体系，建设高效的风险管理制度、流程和团队，标准统一，分工合88智能风险防控系统安全8.1基础安全互联网金融智能风险防控相关系统宜按照GB/T22239中三级系统的相关内容执行，安全技术宜按照GB/T22239中安全物理环境、安全通信网络、安全区域边界、安全计算环境、云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求、工业控制系统安全扩展要求等相关条款执行。互联网金融智能风险防控相关系统宜按照GB/T22239中三级系统的相关内容执行，安全管理宜按照GB/T22239中安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等相关条款执行。8.2.1浏览器缓存安全浏览器缓存安全要求主要包括：a)不应在浏览器缓存中记录敏感信息，如用户密码，银行卡号等；b)登录认证相关的缓存应设置仅超文本传输协议属性(Httponly)为真(True);c)只在安全环境下传递的缓存应设置安全属性(Secure)为真(True);d)应用网络标记(Cookie)应尽量采取子浏览器缓存的形式，以避免缓存数量的快速膨胀。8.2.2身份认证安全身份认证安全主要技术包括：a)不应仅通过脚本或其他形式在客户端进行验证；b)应在应用服务器进行最终认证处理；c)网页上的登录或认证表单应加入验证码，以阻止攻击者使用自动登录工具连续尝试登录，从而降低被暴力破解的风险；d)验证码在设计上应增加安全机制，以免被轻易破解；e)应对账户密码设置长度及复杂度进行要求；f)所有针对其他第三方开放接口的认证处理模块应统一；g)认证处理模块应对提交的参数进行合法性检查；h)认证失败后，应给出一般性提示，而不应提示给用户详细、明确的错误原因；i)不应在系统中预留任何的后门账号或特殊的访问机制；j)对于重要的管理事务或重要的交易事务应采取短信验证码、生物特征识别身份认证等方式进行二次认证，以防范会话劫持和跨站请求伪造给用户带来损失；k)应用软件应能在指定的闲置时间间隔到期后，自动锁定客户端的使用；1)对于系统自动分配或者预设的强度较弱的初始用户口令，系统应强制用户首次登录时修改初始口令；m)应定期强制用户修改密码，修改口令时不应允许新设定的口令与旧口令相同；n)管理页宜实施强身份认证，如双因素认证、安全套接字协议(SecureSocketsLayer)双向证书认证、生物特征识别认证等。98.2.3会话管理安全会话管理安全要求主要包括：a)应避免在统一资源定位符(URL)等敏感位置暴露会话标识符；b)当网络应用(WebApplication)跟踪到非法会话，应记录日志、清除会话并返回到认证界面；c)不应使用客户端提交的未经审核的信息来给会话信息赋值，防止会话信息被篡改，如恶意用户通过统一资源定位符篡改手机号码等；d)当用户退出时，应清除该用户的会话信息，以防止遗留在内存中的会话信息被窃取，减少内存e)应设置会话超时机制，在超时过后清除该会话信息；f)应确保会话标识的随机性；g)应在服务器端对业务流程进行必要的流程安全控制，保证流程衔接正确，防止关键鉴别步骤被8.2.4权限管理安全权限管理安全要求主要包括：b)应为每个用户设定标识、权限等安全属性；c)应在用户登录时进行身份核验；d)当用户鉴别连续失败达到指定次数后，应阻止用户进一步的鉴别请求；e)应具有用户登录超时锁定或注销功能；f)若控制台提供远程管理功能，应能对可远程管理的主机地址进行身份鉴别和访问控制，并保证传输数据的保密性和完整性；g)对于每一个需要授权访问的页面或请求都应核实用户的会话标识是否合法、用户是否被授权执行这个操作；h)授权和用户角色数据应存放在服务器端，鉴权处理也应在服务器端完成；i)一个账号应只能拥有必需的角色和必需的权限，且实现权限最小化原则。日志规范要求主要包括：a)每一条安全日志应包括事件发生的日期、时间、用户标识、事件类型、事件描述和结果，若采用远程登录方式进行管理还应记录管理主机的地址；b)应使用操作系统访问控制确保日志文件的安全，并限制对日志文件的访问；c)应将有权限操作日志文件的用户数量减到最小；d)应只为特定账户(如管理员)授予只读访问权限，防止日志被篡改、删除；e)日志传输过程应支持加密认证机制；f)数据传输异常中断时系统应能够提示、重新传输，保证日志不会丢失；g)日志记录中不应包含业务的敏感信息或者对敏感信息进行脱敏处理，避免因日志分析导致业务敏感数据泄露；h)应对下列相关安全事件生成安全日志：1)登录成功和退出、登录失败；3)鉴别连续尝试不成功的次数超出了设定的限值；4)增加、删除管理员角色和对管理员角色的属性进行修改的操作；5)对上述审计事件的备份和删除；6)升级；7)检测操作等。安全审计要求主要包括：a)应具备对中间件日志、应用日志、错误日志等文件进行异常行为的分析、识别能力；b)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；c)应对审计记录进行保护和定期备份，避免受到未预期的删除、修改或覆盖等，并且保存时间不低于6个月；d)应对审计进程进行保护，防止未经授权的中断。8.2.7引用第三方资源安全引用第三方资源安全要求主要包括：a)不应在产品中引用第三方客户端脚本(Javascript)文件，如需引入资源，请求将资源内容下载、进行安全评估并部署到系统域内后，再进行引用；b)不应引用第三方动画文件、图片文件和嵌入第三方页面；c)非必要情况不应使用第三方软件，如需使用，应使用官方版本，不应通过第三方论坛下载；d)应对第三方软件的零日(O-day)漏洞进行监测，对于已发现的漏洞应及时进行升级修复；e)产品中如果需要对第三方软件进行修改，应查看相关协议并确认。8.3数据安全8.3.1基本数据安全基本数据安全要求包括：a)应采用校验技术或密码技术保证数据在传输和存储过程中的完整性，包括但不限于鉴别数据、业务数据、审计数据、系统资源访问控制数据和个人信息等；b)应采用数字签名验签技术确保从外部数据源导入数据的完整性；c)应对数据存储完整性进行检测验证；d)应采用密码技术保证敏感数据存储、使用、传输等过程的保密性，包括但不限于鉴别数据、敏感业务数据和敏感个人信息等；e)应采用密码技术保证敏感数据在存储过程中的保密性，包括但不限于鉴别数据、敏感业务数据和敏感个人信息等，以及这些数据的备份；f)应采用不可逆的数据清除技术或工具执行数据销毁操作，防止数据被恢复造成数据泄露；g)对于汇聚融合数据，汇聚融合前应根据汇聚融合后可能产生的数据内容、所用于的目的范围开展数据安全影响评估，汇聚融合的数据不应超出采集时所声明的使用范围，涉及多方机构合作的应以合同协议等方式明确用于汇聚融合的数据内容和范围、结果用途和知悉范围以及数据保护要求等，并采用技术手段降级数据泄露、窃取等风险。8.3.2数据生命周期安全本原则。数据服务应符合GB/T35274的个人信息处理活动的原则和安全要求，设计并实施覆盖互联网金融业务风险防控全生命周期的个人信息保护策略，并在必要时对执行这些要求导致的对智能分析与处理的适用性和精度的影响进行评估。9智能风险防控系统运行9.1日常运行在智能风险防控系统日常运行时：a)应根据业务重要程度制定业务连续性计划及业务中断影响分析；b)应定期对数据、数据处理系统、网络系统、基础设施进行备份；c)应定期开展应急预案演练，根据人员、信息资源等变动情况以及演练情况适时予以更新完善，确保应急预案的有效性和灾难发生时的可获取性；d)应对数据容量增长、可用性指标进行实时监控，并能提前准备存储、计算资源，预防业务突发性增长；e)风险防控并发处理能力应满足业务时效性要求、业务延时在可接受范围内；f)宜采用多重TP指标来监测风险防控系统或服务的性能，包括但不限于TP50、TP90、TP99、注：TP指标即TopPercentile,指在一个时间段内，统计该方法每次调用所消耗的时间，并将这些时间按从小到大的顺序进行排序，取出结果为：总次数×指标数=对应TP指标的序号，根据对应TP指标的序号取出排序好的时间。TP50指在一个时间段内(如5min),统计该方法每次调用所消耗的时间，并将这些时间按从小到大的顺序进行排序，取位于50%的那个序号的时间作为TP50值；TP90、TP99、TP999值计算方式依此类推。g)宜采用可用率(正常执行次数/总执行次数)指标来监测风险防控系统或服务的可用性；h)宜采用分布式架构、使用集群方案代替单机来提升风险防控系统或服务的可用性；i)宜具备采用分布式存储等技术实现数据的高可用和高容错能力；j)宜具备智能风险防控输入流量的调度和限制能力。9.2应急响应在风险事件影响业务正常运行时，智能风险防控系统按照应急响应框架智能分析事件级别，识别风险干系人，并触发预警和相应级别的应急预案，支撑风险事件的应急响应。9.2.2事前预案智能推荐智能风险防控系统应提供应急预案智能分析。应急预案遵循风险隔离原则，根据各业务的情况，在业务、资金、信息和人员等方面建立风险隔离机制，防止风险的扩散与传导。系统自动巡检并确保重要业务风险应急场景和应急预案及时更新。基于风险优先级和监管要求，自动生成应急演练计划及实施方案。根据梳理的风险应急场景，在风险识别和风险监控的基础上，基于风险应急场景的预警规则，根据风险监控及其他相关渠道自动收集预警信息。9.2.3事中智能应急处置智能风险防控系统突发事件预警时应根据分类分级(参考附录C)和策略精准推送，区别提示。突发事件预警级别应遵循就高和升级原则建立模型。按照突发事件等级启动相应的响应程序及处置策略，确认应急组织、应急模式、处理方案、响应时效等。针对不同等级的突发事件，智能匹配和执行不同的响应及同步时效要求。根据突发事件处置过程，智能风险防控系统自动生成事件报告，并根据风险处置操作完善风险事件预案。处置包括：a)三级及以上等级突发事件总结报告自动发送给应急响应专职部门，四级突发事件总结报告自动发送给子业务应急响应小组，并同步报送给金融机构应急响应专职部门；b)智能生成的突发事件总结报告包括事件的时间、起因、性质、影响、责任、事件等级、发生过程、恢复过程等；c)智能跟踪总结问题的整改，根据事件级别扫描和跟踪问题整改进度，在规定的整改时间内预警应急响应专职团队和风险管理委员会，确保切实落实整改事项；d)定期智能生成风险事件处置总结，并基于风险事件处置的历史数据智能评估应急预案的有效性和突发事件处理的效果。(资料性)互联网金融典型业务及风险A.1互联网金融典型业务场景及通用风险互联网金融业务场景中面临的典型安全风险集中在账号、交易和支付三个典型业务流程中。业务场景通用风险示意见图A.1。批量扫单批量扫单洗钱套现订单篡改信用支付风险信息作弊黑产团队批量注册垃圾账号注册、登录、找回密码aaad第二方支付拖库洗库电商平台真实信息资料登录银行非黑产用户交易安全活动刷单恶意评论代理服务器黑产软件猫池打码平台利用已泄露的账户进行撞库登录盗卡支付账号安全撞库A.2注册场景及安全风险注册场景及安全风险分析见表A.1。业务场景通用风险示意注册场景及安全风险分析场景分析操作说明信息流方向信息流内容可能存在风险注册场景1.用户点击注册按钮；2.填写注册信息；3.点击手机验证码获取验证码(可选)从用户终端到服务器注册信息1.垃圾注册，存在程序批量创建垃圾账户；2.存在注册欺诈风险1.服务器接受短信验证请求，发送手机验证码短信；2.服务器接受用户注册信息；3.服务器生成注册成功信息发送给手机从服务器到用户终端注册成功信息1.存在短信炸弹风险；2.存在手机打码注册风险A.3登录和密码找回场景及安全风险登录和密码找回场景及安全风险分析见表A.2。表A.2登录和密码找回场景及安全风险分析场景分析操作说明信息流方向信息流内容可能存在风险登录场景用户点击登录按钮从用户终端到服务器请求登录指令1.账户盗用风险*,发起越权交易风险；2.账户撞库风险”1.服务器接受用户请求；2.服务器生成图形验证码的图片或短信验证码，随机生成4位字母或数字组成的图形验证码或随机生成6位数字组成的短信验证码；3.服务器将图形验证码或者短信验证码发送给用户终端从服务器到用户终端1.图形验证码2.短信验证码1.图形验证码难度不足、难以防止自动识别技术：2.手机打码风险密码找回场景1.用户点击密码找回；2.填写登录名、验证码从用户终端到服务器密码找回信息密码找回功能缺陷，可导致账户信息泄露、账户被盗风险账户盗用风险，即由于木马钓鱼或互联网泄露数据等各种不安全操作，导致用户持有的账密信息被盗取。欺诈者在获取账密信息后，会尝试越权登录访问用户支付后台页面，进而发起盗卡交易行为，如购置虚拟商品等，导致用户账户资金损失。此外，越权访问获取支付账户的个人信息利用价值非常大，往往也会被欺诈者在黑产市场中反复利用进行交易。账户撞库风险，即通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可登录账号密码给用户带来的风险。某一个应用或网站的安全性较弱导致被恶意攻击者攻台进行定向撞库攻击，即用已泄露账密进行模拟登录尝试，尝试成功即意味着单个账户撞库成功。账户撞库风险的危害在于导致数据大规模泄露。目前，黑产者攻击的成本随着工具自动化程度的提高而逐步降低。A.4交易场景及安全风险交易场景及安全风险分析见表A.3。表A.3交易场景及安全风险分析场景分析操作说明信息流方向信息流内容可能存在风险交易场景1.浏览相应的商品，参与活动；2.填写地址进行下单从用户终端到服务器订单信息1.将被盗银行卡与平台新注册账号绑定，消费套现，导致出现赔付问题；2.恶意下单，发起大量订单占据有限的商品库存资源且不支付，导致正常用户无法购买，例如刷库存*;3.恶意订单，在电子商务应用场景下，发起大量虚假地址订单造成配送资源浪费；4.黑客利用脚本自动购买紧俏金融产品标的，长期占据靠前排名，造成用户怀疑企业进行暗箱操作，例如刷单';5.利用自动脚本参与抢购活动；6.利用虚假账号参与新用户注册活动，造成推广效果差，骗取高额佣金；7.利用支付接口逻辑漏洞，篡改支付金额或购买数量，进行恶意下单刷库存，即攻击者通过大量购买库存产品，但不发生实际支付行为，让正常用户无法正常购买。对于在电商类网站通过相对低价格带动数据增长的新商户而言，遭遇此类勒索型攻击较为常见，属于一种业务勒索型攻击。’刷单，即恶意攻击者可以通过伪造或非法获取如快递单号等数据来造成业务量大增的假象。A.5支付场景及安全风险支付场景主要面临的风险是盗卡支付、管理层面要求的反洗钱反套现监控风险。当个人金融信息的违规行为，通过利用系统或者账户卡的漏洞，获取经济上的收益，产生洗钱套现风险。支付场景及安全风险分析见表A.4。表A.4支付场景及安全风险分析场景分析操作说明信息流方向信息流内容可能存在风险支付场景1.点击确认购买，页面自动跳转到支付页面；2.利用第三方平台支付或者网银支付从服务器到用户终端1.绑定卡信息；2.金额信息1.盗卡支付风险；2.洗钱套现(买家和卖家双重角色、买家和卖家合谋等)A.6信贷场景及安全风险愿和还款能力等贷款核心要素的验证可能存在信息不对称，出现骗贷、多头借贷等风险。此外，互联网贷款的借款人信用状况普遍存在不同程度的瑕疵，在无法从商业银行等银行业金融机构获得低成本资金后转向互联网贷款，因此借款人整体的还款能力较弱，存在一定的道德风险和逆向选择。同时在贷后阶段也缺乏贷款检查手段及核实资金真实用途的抓手，存在一定的合规风险。信贷场景及安全风险分表A.5信贷场景及安全风险分析场景分析操作说明信息流方向信息流内容可能存在风险贷款申请场景填写贷款申请信息，进行贷款申请从用户端到服务器贷款申请信息1.数据黑产，申请信息造假，批量2.互联网金融平台间未实现数据信息共享，借款人多头借贷贷款审批环节信贷审批流程从服务端到客户端1.审批结果返回；2.如审批通过，资金提款到账；3.借款人账户资金变动款能力等数据不完整或核实2.审批策略或定价模型失效，无法有效识别借款人信用状况及进行合理定价贷后管理环节贷后还款行为监测外部数据到服务器更新1.贷后阶段贷款检查或催收缺乏2.资金用途无法核实，存在贷款挪用等合规风险(资料性)机器学习B.1有监督机器学习在有足够数量的高风险、低(无)风险样本的场景下，宜使用有监督机器学习。此时可以应用例如逻BoostingDecisionTree,GBDT)、极端梯度提升(eXtremeGradientBoosting,XGBoost),甚至深度学习(DeepLearning,DL)等模型，有针对性地识别多维度特征空间的风险模式。B.2半监督机器学习在风险防控检测任务中，当未标记样本多、高风险标记的样本少时，宜使用半监督机器学习，例如标签传播算法(LabelPropagationAlgorithm,LPA),可以基于少量的欺诈样本进行传播，从而发现更多的欺诈样本。B.3无监督机器学习为了灵活应对风险防控过程中的对抗，尤其是在新型异常风险的快速攻防应对上，宜使用无监督机器学习。支付风险防控场景常用的无监督机器学习技术主要包括K均值聚类(K-Means)等各种聚类、主成分分析(PrincipleComponentAnalysis,PCA)等降维技术。传统通用的风险识别，更多的是从个体的指标角度识别。针对群体作案形式，智能风险防控的风险识别不应局限于个体特征，宜使用关系网络来识别群体欺诈。关系网络通过关系识别、特征挖掘、构建网络等方式识别群体欺诈，作为风险识别的一种手段，可以