聯(lián)系人：李女士
座機：010-59433750
手機：15313878231
郵 箱：angelals@secspace.com
地 址：北京市海淀區(qū)金碼大廈B座2328
深度解讀《基于大數(shù)據(jù)的支付風險智能防控技術規(guī)范》
2020年12月3日，中國人民銀行正式發(fā)布《基于大數(shù)據(jù)的支付風險智能防控技術規(guī)范》（下文簡稱為規(guī)范），自發(fā)布之日起實施。芯盾時代作為國際領先的業(yè)務安全產品和服務提供商，特別是在金融行業(yè)，持續(xù)引領業(yè)務安全技
一、《規(guī)范》的產生背景
由于互聯(lián)網(wǎng)技術，特別是移動互聯(lián)網(wǎng)的快速發(fā)展，推動了金融行業(yè)在支付領域的快速發(fā)展，以往以線下網(wǎng)點渠道為核心的業(yè)務模式，迅速轉變?yōu)榫€上渠道模式，以互聯(lián)網(wǎng)技術為根基，通過手機銀行、直銷銀行、網(wǎng)上銀行、第三方支付等渠道，實現(xiàn)了支付方式的多樣化、靈活化。但也正因為支付模式的多樣化，給從業(yè)機構在開展支付業(yè)務時帶來了各類風險。包括：
- 不法分子利用虛假申請、偽造或變造銀行/卡、盜用賬戶等手段盜取銀行、卡（或賬戶）交易資金的風險交易。
- 支付業(yè)務參與方因未能遵循法律法規(guī)、監(jiān)管要求、業(yè)務規(guī)則及內部規(guī)范等合規(guī)風險。
- 其它風險類型，資金清算風險、用戶道德風險等。
二、《規(guī)范》的總體要求
- 通過規(guī)范大數(shù)據(jù)與人工智能技術在支付風險防控領域的應用，提高支付風險防控技術的針對性和有效性，切實保障人民群眾信息和資金安全。
- 規(guī)定了基于大數(shù)據(jù)、人工智能等技術開展支付風險防控所需的技術框架和系統(tǒng)實現(xiàn)的安全要求。
- 《規(guī)范》適用于本文件與支付相關的商業(yè)銀行、非銀行支付機構和清算機構等開展支付風險防控體系建設、運用智能防控技術搭建風險智能防控系統(tǒng)、提供支付風險防控服務等工作。
三、《規(guī)范》引用性文件
- JR/T 0071—2020 金融行業(yè)網(wǎng)絡安全等級保護實施指引
- JR/T 0171—2020 個人金融信息保護技術規(guī)范
四、《規(guī)范》技術框架解讀
《規(guī)范》的技術框架明確定義了三部分內容，即：風險類型、風險防控技術、大數(shù)據(jù)技術?？傮w技術要求是通過大數(shù)據(jù)技術利用在線和離線方式分析數(shù)據(jù)，為智能化的風險防控技術提供技術支撐，使得機構可利用人工智能等技術不斷迭代風控模型，主動識別和防控支付業(yè)務過程中的風險。
- 風險類型解讀
|
序號 |
規(guī)范內容 |
解讀 |
|
1 |
欺詐風險 |
主要包含了交易類場景、營銷類場景以及洗錢套現(xiàn)類場景。欺詐者通過非法手段獲取他人用戶信息后，進而利用這些信息進行虛假申請、偽造或變造銀行/卡、盜用賬戶等手段盜取銀行/卡（或賬戶）交易資金、批量模擬真實用戶參與營銷活動、亦或是不法分子勾結持卡人，通過虛構交易、賺取差價等方式進行的洗錢、套現(xiàn)行為。欺詐風險本質上來講，主要是由于持卡人信息被盜取或被動泄露后，欺詐者利用這些信息對持卡人賬戶進行開立、注冊、登錄、轉賬等一些列的欺詐行為 |
|
2 |
合規(guī)風險 |
主要風險來自于參與方機構未能遵循和落實法律法規(guī)、監(jiān)管要求而帶來的風險事件。包括洗錢套現(xiàn)、電信詐騙、非法集資、挪用客戶備付金風險等風險 |
|
3 |
其它風險 |
除了欺詐風險和合規(guī)風險之外，給從業(yè)機構帶來其它的風險。 |
- 風險防控技術解讀
風險控制技術是《規(guī)范》的核心組成部分，包含風險防控策略、風險信息處理、支付風險評估、風險監(jiān)測與決策、風險處置等五個模塊。 特別是在支付風險評估、風險監(jiān)測與決策模塊中，多次提出模型方法、機器學習等基于大數(shù)據(jù)、人工智能等技術，將人工智能等各類算法加入風險管控模型中，對不同的風險場景制定基于場景化的風控模型，有利于對各類的風險問題進行科學的評估與決策。
|
序號 |
規(guī)范內容 |
解讀 |
|
1 |
風險防控策略 |
主要涉及用戶注冊管理、合規(guī)審核以及風險評級要求。其目的實行用戶在初始化注冊環(huán)節(jié)開始，對持卡人賬號進行全生命周期的管理，利用資料完整性、多因子的驗證方式對用戶身份進行核驗、用戶提交的信息進行定期的復審和更新、訪問主體（用戶、設備）的可信度量等方式制定風險防控策略 |
|
2 |
風險信息處理 |
此類數(shù)據(jù)是做為風險評估模塊的數(shù)據(jù)基礎，根據(jù)具體的業(yè)務場景采集數(shù)據(jù)要素用于風控模型計算，在數(shù)據(jù)采集維度方面包括：交易信息、設備信息、賬戶信息等，以及對應風險相匹配的名單信息 |
|
3 |
支付風險評估 |
評估方法分為專家規(guī)則和機器學習，專家規(guī)則適用于已知風險、防御可能發(fā)生的風險、風險視角以單人單筆交易為防控思路，通過在系統(tǒng)定制專家規(guī)則，通過不同維度的規(guī)則，覆蓋整個交易環(huán)節(jié)，進而達到風險評估的目的。而機器學習更多站在團伙作案的防御未知的風險為視角，通過部署場景化的機器學習模型，例如反洗錢模型、反信用/卡套現(xiàn)、反虛假賬戶注冊等機器學習模型，進而達到風險評估的目的。專家規(guī)則與機器學習兩者形成聯(lián)防聯(lián)控，整體提升風險評估能力。 |
|
4 |
模型管理 |
《規(guī)范》定義了模型的全生命周期進行管理，包括模型設計、模型評估、模型部署和模型迭代 4 個階段，在模型設計階段，主要制定了基于不同的業(yè)務場景和風險類型，結合實際需求選擇合適的變量和模型方法。在模型評估階段，制定了模型設計產生的模型進行效果和安全等方面的評估。在模型部署階段，制定了完成訓練或模擬的模型結果上線部署到生產環(huán)境中，用于識別各類風險。在模型迭代階段，制定了模型在生產環(huán)境中表現(xiàn)不佳或出現(xiàn)效能衰退的模型進行調整優(yōu)化的過程 |
|
5 |
風險監(jiān)測與決策 |
通過風險評估模塊的實時風險評估，得到風險分數(shù)，依據(jù)分數(shù)對應的風險等級，采取不同的決策建議，主要包括攔截阻斷、掛起確認、提示預警、批準通過等。對于人為誤操作等特殊情況，被阻截、掛起的業(yè)務，由事后人工審核等方式，進行風險案件處理，避免誤殺等錯誤的處置 |
|
6 |
風險處置 |
風險處置是對當前交易被風控系統(tǒng)判定為風險交易后進行的評估反饋、風險核查、關聯(lián)排查、案件協(xié)查和損失處置的相關后續(xù)活動。風險處置的結果旨在完善現(xiàn)有風險防控的策略、風險信息處理的內容與支付風險評估的能力，實現(xiàn)風險防控流程的閉環(huán)反饋優(yōu)化 |
- 大數(shù)據(jù)技術解讀
大數(shù)據(jù)技術主要為風險智能防控提供基礎的數(shù)據(jù)處理支撐，對數(shù)據(jù)保護、數(shù)據(jù)接入、數(shù)據(jù)處理與存儲、變量與模型計算等提出了技術和安全要求變量與模型計算等提出了技術和安全要求。
同時，《規(guī)范》還要求數(shù)據(jù)保護應建立符合《個人信息保護法》《個人金融信息保護技術規(guī)范》等相關法律、法規(guī)和標準的個人信息和業(yè)務數(shù)據(jù)保護策略、管理規(guī)范、管理制度等數(shù)據(jù)保護機制，在確保業(yè)務數(shù)據(jù)安全性的同時，加強個人信息保護。
|
序號 |
《規(guī)范》一級要求 |
《規(guī)范》二級要求 |
解讀 |
|
1 |
數(shù)據(jù)保護 |
要求依據(jù)和遵循《中華人民共和國個人信息保護法》、以及《個人金融信息保護技術規(guī)范》（JR/T 0171-2020）的要求，對個人金融信息在收集、傳輸、存儲、使用、刪除、銷毀等生命周期各環(huán)節(jié)的安全防護要求，從安全技術和安全管理兩個方面，對個人金融信息保護提出了規(guī)范性要求。 |
|
|
2 |
接入、處理與存儲數(shù)據(jù) |
接入包括：被動接入、主動接入、關聯(lián)補齊和接入質控要求 |
具體要求詳見《規(guī)范》4.4.3.2節(jié) |
|
處理方法包括：流計算、內存計算、圖計算、批處理等 |
具體要求詳見《規(guī)范》4.4.3.3節(jié) |
||
|
存儲數(shù)據(jù)要求：對采集的原始數(shù)據(jù)及分析處理之后生成的結構化數(shù)據(jù)進行持久化 |
具體要求詳見《規(guī)范》4.4.3.4節(jié) |
||
|
3 |
變量與模型計算 |
建立特征變量計算、滑窗變量計算、在線模型計算、離線模型計算的滿足要求 |
具體要求詳見《規(guī)范》4.4.4節(jié) |
|
數(shù)據(jù)存儲 |
對采集的原始數(shù)據(jù)及分析處理之后生成的結構化數(shù)據(jù)進行持久化 具體要求詳見《規(guī)范》4.4.3.4節(jié) |
五、風險防控系統(tǒng)安全要求解讀
- 總體要求
在風險防控系統(tǒng)安全方面，《規(guī)范》要求相關安全錯失部署應符合《金融行業(yè)網(wǎng)絡安全等級保護實施指引》、國家網(wǎng)絡安全等級保護有關標準，并根據(jù)風險防控所面向的業(yè)務系統(tǒng)級別設定相應的等級。
- 系統(tǒng)安全建設流程
六、芯盾時代《基于大數(shù)據(jù)的支付風險智能防控技術規(guī)范》解決方案
《規(guī)范》中，風險防控技術部分，作為規(guī)范的核心部分，通過部署芯盾時代人工智能產IPA ，基于海量的設備安全數(shù)據(jù)、威脅情報數(shù)據(jù)、用戶行為數(shù)據(jù)，利用流式分析處理、數(shù)據(jù)挖掘和機器學習等關鍵技術，構建以設備安全為核心的智能實時身份反欺詐模型，實現(xiàn)對用戶身份的“無感知認證”，可廣泛應用于銀行、證券、第三方支付等行業(yè)，有效解決虛假注冊、盜轉盜刷、交易欺詐、薅羊毛、營銷欺詐、用戶隱私泄露等各類互聯(lián)網(wǎng)欺詐。通過對不同的場景分析，芯盾時代能提供全渠道交易反欺詐、互聯(lián)網(wǎng)反欺詐、智能人機識別和可視化人工智能中臺等產品方案，滿足《規(guī)范》中，大數(shù)據(jù)技術部門和風險防范技術的要求，同時，系統(tǒng)還支持靈活的數(shù)據(jù)接入方法、處理方法以及存儲庫。
本文作者：芯盾時代trusfort， 轉載請注明來自FreeBuf.COM