美國(guó)金融網(wǎng)絡(luò)安全標(biāo)準(zhǔn)及其開(kāi)發(fā)框架介紹

謝宗曉　李寬

美國(guó)國(guó)家標(biāo)準(zhǔn)協(xié)會(huì)（American National Standards Institute，ANSI）建立于1918年，是目前負(fù)責(zé)管理和協(xié)調(diào)美國(guó)推薦性標(biāo)準(zhǔn)（voluntary standards）和合格性評(píng)定體系（conformity assessment system）的機(jī)構(gòu)。

ANSI是一個(gè)私人的非營(yíng)利組織，但其實(shí)際承擔(dān)了國(guó)家標(biāo)準(zhǔn)化的功能。但是，與ISO等機(jī)構(gòu)不同，ANSI是一個(gè)后建立的松散組織，或者說(shuō)，本來(lái)已經(jīng)有了很多團(tuán)體或者協(xié)會(huì)在從事標(biāo)準(zhǔn)化工作，但是為了統(tǒng)一協(xié)調(diào)，后建立了ANSI，因此其標(biāo)準(zhǔn)開(kāi)發(fā)組織也呈現(xiàn)出分散、多元和自組織等特點(diǎn)，這些協(xié)會(huì)或團(tuán)體，經(jīng)ANSI認(rèn)可后就可以參與其中，即認(rèn)可的標(biāo)準(zhǔn)委員會(huì)（Accredited Standards Committee），例如，ASC X9是為金融服務(wù)行業(yè)開(kāi)發(fā)和發(fā)布標(biāo)準(zhǔn)的非營(yíng)利組織。

由于上述原因，也帶來(lái)了另外一個(gè)問(wèn)題，就是ANSI的標(biāo)準(zhǔn)分類(lèi)維度并不統(tǒng)一，或者說(shuō)，分類(lèi)的設(shè)計(jì)并不完備。例如，ANSI的標(biāo)準(zhǔn)包1），有的是按照發(fā)布機(jī)構(gòu)，例如，X9標(biāo)準(zhǔn)集;有的是按照具體事項(xiàng)，例如，職業(yè)健康（Occupational Health & Safety，OHSAS）。

1 ASC X9機(jī)構(gòu)設(shè)置

ASC X9總部設(shè)在美國(guó)馬里蘭州的安那波利斯市（Annapolis），其工作職責(zé)類(lèi)似于全國(guó)金融標(biāo)準(zhǔn)化技術(shù)委員會(huì)（SAC/TC 180）（以下簡(jiǎn)稱(chēng)金標(biāo)委），不但負(fù)責(zé)金融行業(yè)的標(biāo)準(zhǔn)化工作，也負(fù)責(zé)與國(guó)際標(biāo)準(zhǔn)化組織ISO的對(duì)接，同時(shí)也是標(biāo)準(zhǔn)和行業(yè)之間的紐帶，如圖1所示。

ASC X9下設(shè)5個(gè)分委員會(huì)（subcommittee），其名稱(chēng)與主要職能，如表1所示。

ASC X9F是本文中重點(diǎn)關(guān)注的分委員會(huì)。

同時(shí)，ASC X9負(fù)責(zé)對(duì)接ISO/TC 68 金融服務(wù)（financial services）、ISO/TC 321電子商務(wù)交易保障（transaction assurance in E-commerce）和ISO/TC 322 可持續(xù)金融（sustainable finance）。這和我國(guó)國(guó)家標(biāo)準(zhǔn)委對(duì)各個(gè)標(biāo)委會(huì)的分工有一定的區(qū)別，金標(biāo)委負(fù)責(zé)國(guó)際標(biāo)準(zhǔn)化組織下設(shè)的ISO/TC 68、ISO/TC 222（個(gè)人理財(cái)標(biāo)準(zhǔn)化技術(shù)委員會(huì)）及ISO/TC 322的歸口管理工作。

2 ASC X9發(fā)布的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)及簡(jiǎn)析

截至2020年底，ASC X9發(fā)布了125項(xiàng)美國(guó)國(guó)家標(biāo)準(zhǔn)（American National Standards），在本文中，主要介紹金融網(wǎng)絡(luò)安全相關(guān)標(biāo)準(zhǔn)，即ASC X9F正在開(kāi)發(fā)和已經(jīng)發(fā)布的標(biāo)準(zhǔn)。按照我們的理解，將其分為4類(lèi)，分別為支付安全;金融科技;通用安全;密碼技術(shù)。

按照上述分類(lèi)及其包含的具體標(biāo)準(zhǔn)，如表2～表6所示。

其中，表2為支付安全標(biāo)準(zhǔn)，主要子類(lèi)包括：支付敏感數(shù)據(jù)和標(biāo)記化。

表3為金融科技標(biāo)準(zhǔn)，主要子類(lèi)包括：零信任、云計(jì)算、量子計(jì)算和生物識(shí)別。

表4為通用安全標(biāo)準(zhǔn)，主要子類(lèi)包括：通用框架、鑒別與授權(quán)、網(wǎng)絡(luò)攻防、無(wú)線安全、時(shí)間戳和數(shù)據(jù)安全。

表5為密碼技術(shù)標(biāo)準(zhǔn)，主要子類(lèi)包括：對(duì)稱(chēng)密碼、公鑰密碼、密碼協(xié)議、密鑰管理、隨機(jī)數(shù)、質(zhì)數(shù)證書(shū)和加密設(shè)備。

3 小結(jié)

在本文中，我們對(duì)ASC X9F正在開(kāi)發(fā)和已經(jīng)發(fā)布的所有51項(xiàng)標(biāo)準(zhǔn)，按照支付安全、金融科技、通用安全和密碼技術(shù)進(jìn)行了分類(lèi)，并按照關(guān)鍵詞進(jìn)行了子分類(lèi)。整體而言，ASC X9截至目前發(fā)布了125項(xiàng)標(biāo)準(zhǔn)，ASC X9F還是最活躍的分委員會(huì)之一。從其標(biāo)準(zhǔn)分布來(lái)看，存在的問(wèn)題和ISO/TC 68/SC 2是一致的，即技術(shù)安全相關(guān)的標(biāo)準(zhǔn)偏多，業(yè)務(wù)安全相關(guān)的標(biāo)準(zhǔn)相對(duì)較少。

ASC X9的工作模式，也給我國(guó)金融標(biāo)準(zhǔn)化工作以啟發(fā)。

一是積極參與并轉(zhuǎn)化應(yīng)用國(guó)際標(biāo)準(zhǔn)。從目前看，ISO/TC 68的秘書(shū)就一直是ASC X9的人員，對(duì)ISO/TC 68重要的工作組，ASC X9也積極派專(zhuān)家參與。可以說(shuō)，這些標(biāo)準(zhǔn)中的主要技術(shù)內(nèi)容能夠確保與美國(guó)對(duì)相關(guān)方面的標(biāo)準(zhǔn)訴求兼容，加上語(yǔ)言的優(yōu)勢(shì)，可以實(shí)現(xiàn)國(guó)際標(biāo)準(zhǔn)的發(fā)布即轉(zhuǎn)化。

二是組織協(xié)調(diào)金融的各相關(guān)方，統(tǒng)籌制定相關(guān)的金融標(biāo)準(zhǔn)。從標(biāo)準(zhǔn)的數(shù)量上看，目前ASC X9組織制定的金融標(biāo)準(zhǔn)，僅為我國(guó)所制定金融國(guó)家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)的一半，而標(biāo)準(zhǔn)的內(nèi)容則技術(shù)性十分強(qiáng)，標(biāo)準(zhǔn)化對(duì)象粒度劃分很細(xì)，各個(gè)標(biāo)準(zhǔn)之間也不易發(fā)生交集，易于落地和應(yīng)用，也不會(huì)導(dǎo)致標(biāo)準(zhǔn)的應(yīng)用者需要在多個(gè)標(biāo)準(zhǔn)之間再做比對(duì)、分析和選擇。

三是其下轄分委會(huì)的劃分，并未隨著ISO/TC 68的變更而改變，而是依舊保持了必要的業(yè)務(wù)條線對(duì)口關(guān)系。我國(guó)的金標(biāo)委目前也是這樣的結(jié)構(gòu)，并進(jìn)一步在秘書(shū)處建立了與ISO/TC 68各個(gè)分委會(huì)對(duì)應(yīng)的專(zhuān)家組，這樣的多維管理結(jié)構(gòu)，目前看是與我國(guó)當(dāng)前的金融標(biāo)準(zhǔn)化工作配套協(xié)調(diào)的。

四是ASC X9統(tǒng)籌對(duì)口金融服務(wù)和電子商務(wù)交易保障的標(biāo)準(zhǔn)化工作，可以做到對(duì)電子商務(wù)的全場(chǎng)景的標(biāo)準(zhǔn)化，對(duì)與商業(yè)場(chǎng)景相關(guān)的供應(yīng)鏈金融的標(biāo)準(zhǔn)化十分有利。如果我們的金融標(biāo)準(zhǔn)和電子商務(wù)的標(biāo)準(zhǔn)能夠進(jìn)一步的加強(qiáng)協(xié)調(diào)，必要時(shí)甚至可以組建聯(lián)合工作組，將可有效提高工作的協(xié)調(diào)性。

參考文獻(xiàn)

[1] 謝宗曉，李寬.歐盟網(wǎng)絡(luò)與信息安全監(jiān)管框架介紹[J].中國(guó)質(zhì)量與標(biāo)準(zhǔn)導(dǎo)報(bào)， 2019（11）：22-25.