农商行作为服务农村、支持农业、惠及农民的重要金融机构，肩负着促进农村经济发展、提升农民生活水平的使命。在此过程中，信息科技安全显得尤为重要。四川农商联合银行高度重视信息安全，持续加强科技投入，积极探索先进技术，在金融数据保护领域，系统性思考数据安全与密码技术应用的关系，综合分析金融密码应用的挑战，紧抓信息技术创新发展机遇，加强产金协同、发挥联合创新优势，开展密码创新试点应用，提升数据安全能力，为客户提供高效、便捷、安全的金融服务，确保银行业务连续性和稳定性，以实际行动践行银行使命，助力乡村振兴。

　　现代金融业高度依赖信息技术，数据已成为金融业务运行过程中的基本要素。金融数据涉及用户身份信息、财产信息、业务运行信息等方面，关系到金融用户的信息保护和财产安全，甚至可能引发社会安全和国家安全问题。近年来，随着云计算、大数据、人工智能等技术在金融行业的深度应用，金融机构与千行百业的连接不断加强，数据的流通范围更广，应用场景更多，数据安全问题也更加复杂。国家已出台《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等相关法律法规，对数据安全管理提出要求，金融行业已制定JR/T 0171《个人金融信息保护技术规范》、JR/T 0197《 金融数据安全 数据安全分级指南》、JR/T 0223 《金融数据安全 数据生命周期安全规范》等相关技术标准，为金融机构开展数据保护提供了技术性指导。数据安全工作已成为当前金融安全工作的重要组成部分。

　　数据安全保护包括防范数据泄露、防范数据滥用等多个方面，采用密码技术保护数据的保密性、完整性是最基础、最有效的技术手段。一方面，金融行业密码技术的应用与金融业务流程有着密切联系，如利用密码技术进行身份鉴别和交易签名，可以确保金融服务的目标对象为用户本身以及其做出的交易是真实意思表达。另一方面，金融行业广泛利用密码技术保护客户的重要数据、业务的重要指令，通过对关键数据、指令的加密处理，防范不法分子窃取金融数据，破坏金融交易的完整性，影响金融资金的安全。我国《中华人民共和国密码法》《商用密码管理条例》等法律法规对密码应用提出了明确要求。金融机构已在金融交易系统中广泛应用密码技术，具备良好的技术实践经验和基础。

　　随着密码技术的发展、金融业务规模的增加、金融技术架构的变革，金融行业密码应用迎来新的挑战，需要金融机构与密码企业共同应对。

　　经典密码算法依赖数学难题、算力限制，其安全性不断受到数学领域突破、计算领域算力提升的挑战。例如，2012年工信部和公安部通告了RSA（1024bit）算法被破解的风险，就是经典密码不断面临挑战的实例。近年来，随着量子计算的发展，量子霸权严重威胁经典密码安全性，金融机构需要做好准备从经典密码体系向抗量子密码迁移。密码技术持续发展过程中，金融机构必须不断提升密码强度、加强密码应用深度，从而有效保护金融安全。按照国家密码管理有关要求和金融行业相关部署，四川农商联合银行持续开展密码升级改造工作，逐步淘汰DES、MD5等存在安全风险的密码算法，加大SM系列商用密码应用，不断提升密码安全水平。

　　随着社会经济的发展，金融机构处理业务规模不断增长，金融数据流经节点数量持续提升，金融数据量指数级扩大，且金融业务一般都是高并发、高实时业务。以四川农商联合银行为例，我行常年服务城乡个人客户6027万户、占四川全省人口总数的72%，服务各类公司客户41万户、占四川全省银行业的61%，管理各类账户1.5亿个，日均受理业务3400万笔、交易金额1000亿元，服务客户数量以及日均服务量均居全省银行业第一位。密码应用本身存在性能损耗，对金融业务的运行效率会产生影响。金融机构必须采用更高性能的密码技术，不断优化密码应用方案，保障对客户的服务体验不降低，提升金融服务效能。

　　随着云计算在金融机构的应用，金融信息系统已经由分散的信息子系统向云化发展，密码技术也需适应当前金融系统上云的需要。四川农商联合银行蜀信云平台自2019年建设以来，服务器规模已达近4000台，投产业务70个，计划2025年上线新一代分布式核心业务系统，建成成都、雅安、泸州三地四中心高可用架构。传统密码技术主要依靠加密卡、加密机等外置式设备完成，其运行时消耗的网络带宽成本较高，调度的灵活性较差，无法满足金融上云后的信息系统架构需要。金融行业需要更适合云计算架构的密码技术应用，提供新型分布式计算架构下的数据安全能力，降低投入成本和运维成本。

　　数据安全要求是构建现代化银行体系的关键组成部分，四川农商联合银行在数字化转型规划中明确提出建立健全数据管理机制、加强数据安全和隐私保护，包括细化传输存储安全、查询访问控制、数据加密等管控措施。在此背景下，对关键数据的安全保护成为技术研究的重点方向。

　　近年来，四川农商联合银行全面推进数字化转型，数字化能力成熟度不断提升，成为国家发展改革委确定的“数字化转型伙伴行动”两家省级农信社之一，信息科技监管等级达到3A级，先后荣获各类省部级金融科技奖项100多项。我行紧紧抓住金融行业信息技术应用创新历史性机遇，充分调动发挥信息技术产业的技术研发能力，有效结合金融业务场景的需求，促进金融信息系统应用效能和安全水平提升，带动信息技术产业创新发展。

　　我行服务器主要采用海光系列CPU，该CPU在设计过程中基于SoC片上系统方案实现了密码模块协处理器（CryptoCo-Processor，简称CCP），符合GM/T0028 《密码模块安全技术要求》第二级要求，能够支撑等级保护三级系统的密码安全应用。信息技术创新应用建设为我行开展数据安全密码技术应用提供了技术底座，基于CPU探索密码应用，Kaiyun官方网站 Kaiyun官方登录不需要增加额外的硬件成本，成为开展新型密码应用实践经济有效的手段。

　　基于CPU的密码模块在产业内已经形成了技术基础，但是长期以来各行业应用层面尚不成熟，主要是密码创新应用工作涉及的产业链较长、关联方非常多，缺少很好的联动机制。以金融数据保护的密码应用为例，需要金融机构提供金融信息系统场景为牵引，分析业务的安全需求，并对密码的应用提出管理便捷性、效率提升性的要求。同时，还需要联动CPU、云计算、操作系统、数据库等基础软硬件供应商多方参与、联合攻关。

　　为充分发挥金融场景引领、产业协同创新的特点，四川农商联合银行积极进取、主动作为，2022年，我行与海光信息合作成立了“先进微处理器技术国家工程研究中心·金融科技分中心”，以联合研究课题的方式推动应用创新研究工作。在数据安全领域，为更好地适应金融业务高并发、高实时性、数据规模大的特点，满足金融数据安全保护的需要，由研究中心牵头整合产业各方力量，开展联合攻关。我行作为最终用户，提供金融业务信息系统作为试验田，全程参与密码应用需求分析、密码方案设计和密码应用验证等工作；CPU、云计算、操作系统、数据库等相关方联合开展方案设计、技术实现、测试优化等工作，不断打磨技术产品；同时，邀请北京国家金融科技认证中心作为专业机构，组织行业级学术研讨、专家评审和技术验证，助力课题成果面向金融共性需求推广。研究中心初步探索形成了一条产金协同的创新模式。

　　在金融数据保护过程中，金融数据量大、数据库交互频率高，使得数据加密存储已经成为当前金融密码技术应用的重大难点之一。一般意义上，金融系统的密码技术升级改造聚焦在金融应用系统层面。但是，由于对主流的数据加密存储方案对比来看，仅采取应用层加密保护，无法解决数据库管理和运维层面的信息泄露问题；整盘加密和文件系统加密能保证一定的安全强度，但是会导致大幅的性能损耗，带来较高的运维成本；数据透明加密的模式，其主要优点在于对于应用开发无感，加解密过程由数据库下层进行实现，性能损耗相对可控，并可由硬件加速技术弥补如表所示。

　　综合比较数据加密存储技术方案，我行选择数据库透明加密（TransparentData Encryption，TDE）技术作为研究实践方向，设立研究课题推进实施落地工作，探索该技术用于金融数据存储保护的可行性，在满足安全要求的基础上，研究能够减少开发投入、降低运维成本、保障系统性能的技术方案，以技术创新支撑业务需求和安全要求。

　　根据实际情况，我行科技部门对相关技术进行综合研究，按照先试点后推广、先外围后核心的推进思路，结合我行广泛使用海光CPU、奥星贝斯（OceanBase）分布式数据库等基础设施，实施数据库透明加解密技术验证工作，检验SM2、SM3、SM4等商用密码应用的效果，选择行内采购管理系统作为首个落地对象，逐步探索更多场景的应用。

　　（1）课题研究。我行科技部门组织分析了数据存储过程中的密码应用需求点，研究中心组织CPU、数据库等关键设施进行数据库透明加解密技术实现和应用支撑。研究过程中，秉持最小改动、向上兼容、Kaiyun官方网站 Kaiyun官方登录横向扩展的原则，确定项目改造基点定位于数据库接口。同时，为保证成果的可推广性，以OpenSSL接口为标准，对数据库接口进行升级更新，使其同时支持原有的软加密模式和基于CPU的硬件加密模式。数据库透明加解密技术方案（如图所示），由数据库直接调用CCP密码模块接口，对银行应用执行过程透明，减轻了银行应用系统改造负担，更便于银行内推广。

　　（2）技术验证。我行基于3台海光7380服务器、麒麟操作系统、OceanBase数据库搭建了系统测试环境，组织了技术验证和性能测试工作。一是功能验证，基于CCP的数据库透明加解密与数据库软加密的保护能力一致，但基于CCP的硬件加密，增强了数据安全隔离效果，提升了加密处理的安全性。二是性能效率验证，考虑到真实场景应用情况，选取OLTP在线交易场景，按照读写比为75%:25%开展系统压力测试。经测试发现，基于CCP的数据加密性能达到未开启加密的80%以上，优于采用通用CPU核心进行软件加密的方式。同时，CCP加密降低了通用CPU的负载，进一步提升了通用业务处理的效能。

　　（3）试点应用。基于上述验证成果，我行科技部门谨慎研究了行内信息系统情况，认为满足基本应用需求，决定在行内采购管理系统优先落地该技术，进行生产级验证。2023年12月底，基于本课题技术架构的采购管理系统成功上线。目前，该系统周活跃用户350人，日均访问量9937次，已登录采购计划174项，已注册供应商271家。数据库加密功能上线后，单SQL平均响应时间在10毫秒以内，每日合并时长在5分钟以内，系统平稳运行，满足生产需要，具备进一步推广应用的价值。

　　（4）未来计划。结合金融数据存储场景的实际情况，考虑到金融数据跨中心的容灾为典型业务场景，存在数据安全的需求。为提升跨数据中心数据加解密效能，可以基于本课题的研究成果，在跨数据中心同步时直接传输密文数据，建立跨数据中心的CCP密钥同步机制，更好地降低数据风险暴露面，提升金融数据存储场景的全链路安全。我行将继续推动有关技术成果的扩展性研究工作，探索更多应用场景。

　　技术发展永无止境，云计算等新技术的飞速发展也带来新的安全风险，必须有配套的数据加密技术来帮助金融机构提升能力，实现技术优势与安全治理的平衡。本次研究实践，为金融机构面对自身实际情况和安全威胁，提供了新技术应用的解决思路。同时，以金融场景为带动，助力了密码安全产业链的融合发展，充分发挥了我国信息技术创新的资源优势，有利促进信息技术产业迭代升级。

　　随着金融数据应用的持续繁荣，隐私计算、机密计算等技术的飞速发展，为金融数据安全保护提供了更多路径。我行将继续联动产学研用各方机构，不断探索数据安全解决方案，切实保护好金融数据安全，做安全的银行、消费者可信赖的银行，为同业技术建设提供有价值的经验借鉴。