在世界金融一线历练而成的事件响应能力——将日本金融机构的应对能力提升至新高度

在系统故障和网络攻击动摇业务连续性的时代，金融机构在应对安全事件时，不仅需要快速恢复，还必须确保其质量能够经得起审计。为了实现更高级别的安全事件应对，我们应该采取哪些措施呢？

本次邀请到的嘉宾是Alex Sayle先生。他曾在高盛、摩根士丹利、摩根大通等全球顶尖金融机构从事平台与安全相关工作，目前担任富士通Launchpad的安全与平台负责人。通过与SIGQ代表金筑敬晃的对谈，我们将探讨他在全球金融一线积累的事件响应理念，以及日本金融机构应加强的方面。

全球金融机构的事件应对水平究竟如何

金筑：在跨国金融机构的安全及事件应对实务中，与其他行业相比，如果有什么特点的话，那会是什么呢？

Alex：给我留下深刻印象的是，大家一直强调“绝对不能隐瞒问题”。例如在防范舞弊方面，我们不会追究发现并报告舞弊行为者的责任，而是将其视为整个组织的问题来处理。关键不在于追查责任人，而在于关注可能导致舞弊发生的机制和结构，从而发现更严重的舞弊行为并防止其再次发生。这一点在事件应对中同样适用，也是金融领域风险管理中普遍遵循的理念。一旦察觉到事件的征兆，就要迅速报告现状，主动举手发声。这样一来，即使事件的直接导火索是本人，也不会追究个人责任，而是形成“问题 vs 我们”的格局。

金筑：许多日本企业往往不可避免地会追究个人责任，但这与贵公司的做法在根本上有所不同。

Alex：是的。在全球金融领域，我们关注的不是“谁”（Who），而是“什么”（What）和“何时”（When）。例如，如果不小心按下了危险按钮，我们认为问题不在于按下按钮的人，而在于按钮本身处于可以被按下的状态。这种不责怪个人、而是从机制中汲取教训的思维方式，与当今的SRE理念一脉相承，但在金融行业，这种态度早在约20年前就已经深入人心了。

金筑：大型金融机构在应对安全事件方面，与普通企业相比，决定性的区别在哪里？

Alex：第一点是，组织将安全事件视为“必然会发生的事情”来运作。设有24小时待命的指挥中心，且体制的构建是以负责人之间的交接为前提的。第二点是，这种文化并非以将风险降为零为目标，而是基于“系统总会出现故障”这一前提，在确定优先级的基础上进行应对。第三点是，在“错误必然会发生”的前提下设计流程。金融监管机构会严格追查安全事件的成因及防止再次发生的措施。仅靠“下次会注意”是行不通的，因此必须建立制度化的应对机制。

金筑：原来如此。除了向管理层报告外，如果还需履行向监管机构报告的义务，那么事件应对流程就会变得相当复杂。而且，在向外部报告的同时，现场还必须推进查明原因和恢复系统等技术应对工作。请问，贵公司是如何运作如此复杂的事件应对流程的呢？

Alex：首先，在应急响应初期，最重要的是准确掌握现状。要确认影响范围究竟扩展到了何处，包括引发事件的一方、受影响的一方，以及更远处的客户。为此召集必要的相关人员，正是指挥中心的一项重要职责。

接下来，在指挥中心的指挥下，应明确区分负责与相关方沟通的负责人和负责恢复工作的负责人。这是因为如果恢复工作的负责人忙于与利益相关方沟通，就无法专注于本应进行的恢复工作。如果沟通负责人能明确时间安排——例如“下一份情况报告将于1小时后发布”——就能有效控制在此期间的咨询量，使恢复工作的负责人能够专心投入工作。

此外，指挥中心还拥有召集应对所需人员的权限。例如，如果在应对过程中需要专业知识，指挥中心会物色合适的人选并进行指派。由此可见，在应对大规模事件时，负责统筹全局的指挥中心发挥着至关重要的作用。

金筑：事件大致可分为安全事件和系统故障两类，刚才提到的应对流程对这两类事件都适用吗？还是会根据事件的类型进行区分呢？

Alex：初期响应流程是相同的。因为在事件发生之初，往往无法判断其是安全问题还是系统故障。不过，如果在处理过程中确认是安全事件，最初的里程碑就会发生变化。如果是普通事件，目标是恢复系统；而如果是安全事件，目标则是遏制事态。此时，日志采集、入侵路径的确定以及取证证据的保全就显得尤为重要。虽然起始点相同，但根据不同里程碑，后续的应对步骤也会随之变化。

金筑：有句说法叫“经得起审计的事件响应”，我认为这在金融行业尤为重要。在金融领域，“经得起审计”具体指的是什么状态呢？例如，请问在记录响应时间线、操作痕迹以及决策过程等方面，通常会以何种粒度进行记录？

Alex：关键在于两点：一是当时不在场的人事后能够追溯事件经过；二是即使在紧急情况下，也能留下已遵循某种流程的证据。

向监管机构提交的报告中，需要提供非常详细的时间线。具体来说：

• 发生的情况及时间

• 受影响范围

• 恢复工作的内容

• 恢复时间

• 操作人员及其权限

必须以这种粒度进行记录。当然，还需要记录详细的工作日志。

此外，还需特别注意的是，必须事先将紧急情况下的应对流程以书面形式明确规定下来，并严格遵守。在医疗领域，由于人命至上，某些情况下或许可以允许偏离流程的应对措施。但在金融领域则不然。由于可能存在假借紧急情况之名实施的欺诈行为，因此即使在紧急情况下，也必须严格遵循既定程序。

正因如此，将本应仅在紧急情况下使用的机制平时就保持在可用的状态，这正是金融领域事件应对的关键所在。

交由AI处理的工作与人类的判断——AI时代中的事件应对

金筑：目前已开始将AI代理应用于安全事件响应。作为安全负责人，您认为该如何划定哪些部分可以交由AI处理、哪些部分应由人类来处理？

Alex：在与AI协作的业务流程中，有两种思路：一种是在人类监督下让AI自主工作的“人类在回路中”（Human-on-the-Loop），另一种是在特定阶段必须由人类做出判断的“人类在回路中”（Human-in-the-Loop）。在安全与事件响应领域，目前仍以后者为前提，即必须有人为干预。也就是说，信息收集、整理以及提供备选方案等环节可以交由AI处理。然而，涉及风险的决策必须由人类来承担。

金筑：另一方面，AI代理技术正在迅速发展。您认为今后事件响应的方式将会发生怎样的变化？

Alex：在事件响应中能否实现“人类在回路中”（Human-in-the-Loop），最终取决于能否让AI承担责任。但在现实中，除了技术难题和与业务流程的整合外，法律法规的影响恐怕也不容小觑。

例如，尽管在医疗领域AI的应用日益普及，但目前仍坚持“最终由医生做出判断”这一原则。在此背景下，金融行业能否率先提出“可以将判断权交给AI”这一主张，尚存疑问。

金筑：与此相关，在事件响应中，AI代理的一个重要应用场景就是报告。例如，是否可以将AI生成的报告或时间线用于向审计机构或监管机构提交报告？

Alex：根据现行规程，最终报告必须作为经人工审核的结果提交。也就是说，必须留下“经人工审核”的确认或证据，这已成为应用AI过程中的瓶颈之一。

要改变这种状况，首先行政部门需要在一定范围内认可由人工智能生成的报告。例如，以明确列出作为判断依据的来源为前提，允许将人工智能生成的快报作为有效报告。在此基础上，提交方也可以先提交人工智能生成的快报，而最终报告则由人工审核内容并进行必要的修改，以此逐步过渡到分阶段利用人工智能的流程。

金筑：关于AI代理辅助人类的应用场景，您怎么看？大型金融机构已建立了全年365天、每天24小时的事件响应机制。另一方面，据说许多金融科技公司和地方银行等机构往往难以构建类似的运营机制。对于这类组织而言，AI是否是提升事件响应水平的切实可行的工具呢？

Alex：AI的应用潜力非常大。这是因为事件响应工作极易依赖个人能力。该工作的质量取决于所处环境的好坏，以及积累经验的质量和数量。然而在小型组织中，经常会出现毫无经验的负责人突然被委以事件响应重任的情况。正因为如此，向这类人员提供基于AI的最佳实践才具有重要价值。通过AI整理信息、提供选项并辅助人类决策，即使人员有限，也应该能够实现更高级别的响应。

金筑：这就是所谓的AI工具包。此外，我认为“事件应对水平在很大程度上取决于所处的环境以及曾在哪位经理手下工作过”这一观点，也是一项重要的指出的。

Alex：哪怕只在优秀的团队工作过一次的人，处理问题的能力果然更强。不过在日本，除了拥有此类经验的人才基数较少之外，人才流动性低也是一个问题。

在海外金融机构中，许多人通过辗转多家银行来积累职业经验，在某家机构获得的宝贵见解和经验会通过跳槽传递到下一家机构。另一方面，由于日本的人才流动性较低，这种良性循环难以形成。

正因如此，我们是否应该利用人工智能，广泛传播优秀案例和经验，从而弥合经验上的差距呢？

为提升事件应对能力——日本金融机构应采取的措施

金筑：对于已经建立起一定事件响应机制的大型金融机构而言，着眼于全球标准及应对人工智能时代，接下来应重点加强哪些领域？特别是日本的大型金融机构，即便已建立起高度完善的响应机制，但我认为仍有许多方面依赖于供应商。与以自主开发为主流的海外市场相比，您认为存在哪些挑战？

Alex：实际上，无论是由内部开发还是由外部供应商负责，系统越是先进复杂，就越难以避免“孤岛化”现象。将“黑箱化”的领域可视化，并明确各自的责任归属，这是任何组织未来都必须面对的课题。为此，各个供应商和团队必须建立能够解释自身系统的AI和文档，并构建AI易于理解的交互界面，这一点至关重要。当系统出现问题时，不要一上来就联系负责人，而应首先向AI咨询。然后由AI掌握情况，仅在确实必要时才转接给负责人。

特别是当涉及供应商时，由于需要跨公司沟通，有些人可能会因为担心即使是简单的咨询也可能浪费时间和金钱而犹豫是否联系。此外，公司之间有时还会出现互相推诿责任的情况。通过借助AI，或许能够减少此类组织间的束缚。

金筑：不过，在涉及多家供应商的项目中，让其他供应商使用由某家特定供应商开发的事件管理工具，在现实中确实很难吧。

Alex：我觉得这很难。反过来说，正因为是像Incident Lake这样由第三方初创公司提供的工具，才没有与特定供应商的利益关联，因此也能在某种程度上作为为客户服务的中立平台发挥作用，不是吗？

金筑：另一方面，也有一些金融机构难以像大型机构那样进行同等规模的投资或确保足够的人员。在资源有限的情况下，您认为应将重点放在防御还是恢复等方面？

Alex：资源越有限的组织，就越需要整合数据以利用人工智能。然而，如果每次发生安全事件时都在纠结“该向人工智能提供哪些数据、提供到什么程度”，就会导致响应延迟。为了实现人工智能在安全事件响应中的高级应用，必须优先梳理数据分类和使用范围，并明确可供人工智能使用的数据标准。

金筑：Alex先生曾表示：“合规并非枷锁，而是武器。”另一方面，对事件响应的投资，如果什么事都没发生，其效果往往难以显现。因此，我想可能会有人提出质疑：为什么要为这种不知是否会发生的事情投入成本呢？为了让管理层理解此类投资的必要性并使其参与进来，需要做些什么呢？

Alex：一线员工和管理层在用词和关注点上都存在差异。因此，有必要学习如何与管理层沟通。

管理层基本上都希望控制成本。不能只是原封不动地传达技术或系统方面的内容，而必须从经营角度出发，说明“如果不采取应对措施会面临哪些风险”、“通过采取应对措施能够进入哪些市场”等问题。

例如，合规与安全的重要性会随着企业的发展阶段而发生变化。当初创企业进军企业级市场时，客户便会要求其满足安全与合规方面的要求。此时，如果能预先做好必要准备，并能证明“已有相关记录”，就能比竞争对手更快地推进商务谈判。换言之，合规将成为加速企业发展的利器。

另一方面，随着企业规模的扩大，安全事件的问题就不再是“是否会发生”，而是“何时会发生”。特别是随着高级攻击型AI的普及，这一风险正进一步加剧。如果没有充分的防范措施，企业将面临声誉受损及由此带来的财务损失等重大风险。

总而言之，对于小型组织而言，合规是促进发展的利器；而对于大型组织而言，则是保护企业免受不可避免的风险侵害的护甲。

要想让对方理解在安全及事件响应方面进行投资的必要性，用这种商业语言进行说服是必不可少的。

金筑：最后，请对日本金融机构以及为其提供支持的供应商企业中从事安全事件响应工作的各位读者说几句话。

Alex：希望大家从细微之处着手，并坚持不懈地做到不妥协。首先，请从掌握数据的存储位置、用途以及时效性开始。小步起步、自动化和持续性这三点，是应对AI时代安全事件的关键所在。

当务之急是明确哪些是绝不能中断的核心业务，并在此基础上厘清故障发生时的决策者、紧急联络网络以及恢复流程等机制。在奠定这一基础后，将人工智能逐步融入信息汇总和联络协调等高负荷阶段的做法，才是切实可行的。

关键在于，不要让数据仅停留在暂时的“点”上。如果持续收集数据，这些点就会连接起来形成“线”。随着数据的持续收集，各种数据的“线”相互交织，最终形成“面”。一旦能够从“面”的角度来把握整体情况，就能更清晰地看到脆弱性或问题出在哪里，以及信息是从何处泄露的等全局情况。

金筑：让我受益匪浅。非常感谢您今天！