行业实践

在数字经济蓬勃发展的当下，银行业正加速推进数字化转型，尤其是零售金融业务已成为增长的重要引擎。

某股份制商业银行持续推进 " 零售金融 3.0" 战略，以 APP 为主阵地，不断提升金融科技赋能水平，月活跃用户突破 1.7 亿。然而，随着业务线上化、移动化程度不断加深，移动应用面临的安全威胁与日俱增，尤其是在隐私合规、人脸识别、代码保护等方面的风险日益凸显。为保障业务高速发展过程中的安全可控，该行于 2018 年启动整体移动应用安全体系建设，旨在构建覆盖开发、测试、发布、运营全流程的安全能力，实现对全行移动业务的统一安全赋能。

随着该股份制银行零售业务的快速发展，移动端已成为金融服务的主渠道。然而，移动应用在开发、发布及运行过程中面临多重安全挑战：

一方面，各分行开发团队技术能力不一，缺乏统一的安全开发规范与工具支持；

另一方面，监管政策持续收紧，隐私合规要求不断提高，2021 年起隐私合规监管压力显著加大，2022 年以来人脸识别等生物认证技术暴露出更多安全隐患。

在此背景下，该行亟需构建一套体系化、平台化的移动安全管控机制，实现安全左移、合规前置，从源头保障应用质量与安全水平。

一 项目实施

为应对上述挑战，梆梆安全为该行构建了一套体系化的移动应用安全解决方案。该方案以安全管控平台为核心，集成了安全测试、安全加固、合规检测与安全 SDK 等一系列自动化安全工具，并协同人工渗透测试、隐私合规评估、人脸识别绕过评估等专项安全服务，共同构成了覆盖应用开发、测试、发布与运营全生命周期的整体安全架构。

安控平台

本项目以软件开发生命周期（SDLC）为基础，构建了一套贯穿需求、设计、开发、测试、发布、运维全阶段的安全管控流程。通过建设统一的安控平台，将各类安全工具有序集成至开发流程的应用环节，实现对移动应用从代码开发到上线的全过程管理，支持安全人员、开发人员、测试人员和管理人员等多角色协同作业，推动安全管理制度化、流程自动化、协作透明化。

多端加固系统

针对 Android、iOS、SDK、H5 及鸿蒙 NEXT 等多端应用，提供静态、动态防护以及运行环境检测等综合加固能力，有效防止应用被反编译、篡改或调试，保障企业核心资产。

安全检测工具与服务

通过自动化安全检测工具，对 Android、iOS、SDK、小程序及鸿蒙 NEXT 等多端应用进行统一的安全测试。该工具为应用上线前的审核环节，提供了一种易用、高效、自动化的测评方式，结合人工渗透测试，确保应用上线前不存在残留的高风险安全问题。

隐私合规检测工具与服务

依据国家相关标准与监管政策，通过 " 自动化检测 + 人工复核 " 的方式，对移动应用程序中个人信息收集、使用、存储等环节进行全面合规审查，及时发现存在的隐私合规问题，助力行方实现自查自纠，提升个人信息保护水平。

人脸识别绕过评估服务

针对人脸识别场景中涉及到的基础安全设计、基础安全防护、运行环境风险、系统内核风险、内存数据风险、流量数据风险、业务逻辑风险进行综合测试，验证前端人脸数据采集的可信性。

密盾系统

通过密盾系统实现在密码程序运行的任何阶段保护原始密钥，可以在保持白盒库不变的情况下更换密钥。

通过本地化部署管理平台及相关工具链，该行建立起标准化、流程化的移动应用安全开发与发布机制，确保所有上线应用均通过安全测试、合规检测与加固处理，全面满足安全与监管要求。

二 项目价值

本项目通过构建覆盖 " 开发→测试→上线→运行 " 全生命周期的移动安全管控体系，为该行 " 零售金融 3.0" 战略的落地提供了坚实的安全底座。具体价值体现在以下方面：

1. 保障业务安全稳定运行：核心交易、支付、信贷等业务模块获得有效防护，抵御篡改、逆向、数据窃取等攻击行为，显著降低金融欺诈风险，守护超 1.7 亿月活用户的资产与数据安全。

2. 支撑业务敏捷创新：在安全可控的前提下，支持各分行开发团队快速迭代发布应用，推动智能化服务、跨境金融、财富管理等业务场景的拓展与生态构建。

3. 提升合规响应能力：通过技术平台、制度流程与行业认证的多维度措施相结合，构建了高标准的安全防护体系，实现对监管政策的快速适配与落地，形成行业标杆级隐私合规实践，强化 " 科技 + 安全 " 品牌形象。

数字化浪潮下，安全正成为金融业务稳健创新的核心支柱。梆梆安全致力于以全生命周期安全能力，为金融机构构建兼具合规与韧性的防御体系。面对未来技术的快速演进，将持续深化金融行业安全实践，以实战化、智能化的解决方案，护航客户在数字金融浪潮中行稳致远。