央行解读《金融分布式账本技术安全规范》

作者单位  | 中国人民银行数字货币研究所

2019年10月，中共中央政治局就区块链技术发展现状和趋势进行了第十八次集体学习。中共中央总书记习近平在主持学习时对区块链技术的产业定位、价值、发展方向、重要任务等做出了重要指示，提出要“加强区块链标准化研究，提升国际话语权和规则制定权”和“探索建立适应区块链技术机制的安全保障体系，引导和推动区块链开发者、平台运营者加强行业自律、落实安全责任”等要求。

中国人民银行高度重视区块链和分布式账本技术在金融领域的应用和标准化，在《中国金融业信息技术“十三五”发展规划》和《金融科技（FinTech）发展规划（2019~2021年）》进行了重点强调和部署。

在全国金融标准化技术委员会及中国人民银行科技司的指导和支持下，数字货币研究所提出并负责组织起草的《金融分布式账本技术安全规范》（JR/T0184—2020）金融行业标准（以下简称《安全规范》）由中国人民银行正式发布。《安全规范》作为金融分布式账本技术标准体系规划中的重要组成部分，是我国金融行业首个区块链和分布式账本的标准，适用于在金融领域从事分布式账本系统建设或服务运营的机构，旨在引导国内金融区块链的产业创新和安全合规并重发展，对产业应用形成良性的促进作用。

弥补短板，解决行业安全标准缺位痛点

金融行业是分布式账本技术应用最早和规模最大的领域之一，而安全保障是其大规模应用的关键。近年来，相关案例频繁暴露出安全方面的问题，引起社会广泛关注和讨论。由于此前没有专门针对金融分布式账本技术安全方面的标准规范发布，同时原有的安全规范也难以适用于金融分布式账本技术，主要体现在两个方面：一是分布式账本作为一种新的系统形态，通常部署在多个利益实体中，不同实体的管理制度以及安全风险考量不同，不利于分布式账本系统的部署和管控；二是分布式账本系统的特点决定了其安全性由系统中的共识节点共同维护，仅保障单个节点的安全难以保证系统整体安全。因此，在分布式账本技术形态尚处于可塑性阶段时，亟需梳理分布式账本技术存在的安全风险，编制适用于分布式账本技术的安全规范。

《安全规范》填补了金融行业分布式账本技术安全标准的空白，有助于引导金融行业关注分布式账本技术的安全问题，规范分布式账本技术在金融领域的应用，指导金融机构按照适当的安全要求进行分布式账本系统的部署和运维，为分布式账本技术大规模落地提供安全保障能力和风险约束能力，促进产业健康发展。

全面覆盖，多维度提升安全保障能力

《安全规范》全面梳理了分布式账本技术的安全体系框架，对12个方面提出了具体的安全要求，有利于消除或者减少安全风险以及运维问题。首先，结合国家相关的法律法规、国家安全标准以及行业安全标准，明确了在金融领域应用分布式账本技术的基本安全要求。其次，根据分布式账本系统的特点，提出了监管方面针对性要求。《安全规范》构建的安全体系如图所示。

图 《安全规范》的安全体系框架

《安全规范》提出的安全体系框架是一个有机的整体，每个层面的安全要求都发挥了重要的作用。《安全规范》的安全体系框架在构建过程中，遵循以下设计思路：一是基础硬件和软件是安全框架的基石，奠定了系统的安全基础；二是节点通信、账本数据、共识协议和智能合约是区块链的技术组件，保障了系统的安全运转；三是密码算法、身份管理和隐私保护作为专业的安全保障手段，从技术层面对系统进行保护；四是监管支撑、运维要求和治理机制通过引入外部管控和干预，从管理层面加强系统安全。

作为金融基础设施，身份管理是金融分布式账本系统依法合规应用的关键。身份匿名性是分布式账本技术被频繁用于违法犯罪活动的重要原因，是监管审计的重点难点。《安全规范》对身份管理流程和第三方监管审计支持提出了要求。

在身份管理的过程中，不可避免会收集和保存用户信息，容易造成个人隐私泄露。《安全规范》要求金融分布式账本系统需遵循适当的隐私保护原则、策略和技术要求，从平衡系统执行效率和隐私保护需求角度，对不同的隐私信息进行分级保护。为保障隐私保护要求的落实，还应具备隐私保护审计方案，审查隐私保护策略和技术手段的合理性、执行过程和执行效果。

智能合约也是分布式账本系统的重要组件，其灵活、自动化与强制执行等特性带来了相应的安全隐患。《安全规范》从日常安全运行和额外监管手段两方面对智能合约安全运行提出要求。为实现对智能合约及其运行进行监管审计，要求将监管目标通过编码的方式写入智能合约进行强制执行，并根据需要为监管机构提供数据。

辨别真伪，吸取区块链技术精华并务实改进

分布式账本技术往往追求去中心化的设计，容易滋生暗中操纵现象，难以准确定位行为主体，出现监管盲区。当分布式账本技术引起违法犯罪行为甚至较大的社会问题时，却难以找到罪魁祸首，使监管面临艰巨挑战，不利于防范化解金融风险和维护社会稳定。事实上，分布式账本的去中心化优势更多地体现在技术上，一味地鼓吹全面去中心化，往往是图谋自己成为新的中心并逍遥法外。因此，纯粹的去中心化与当前金融行业集中管理以及法治社会的监管要求存在一定冲突。

在中央银行的制度体系安排中，均是中心化的管理方式，主要体现在应用的集中部署和数据的中心化方式采集、存储和处理，在中心化的组织中较容易实现监管，而以分布式为特征的区块链中的每个过程往往都追求去中心化的设计，在获得一定技术优势的同时，也容易隐藏权力滥用和暗中操纵现象，难以准确定位主体，出现监管盲区，产生数据泄露、隐私侵犯、恐怖融资等问题。尤其出现较大的社会问题和群体事件时无法找到责任最后兜底者。

为避免冲突并满足集中管理的要求，同时不剥夺金融行业主体享受区块链带来的技术创新红利，区块链作为金融服务工具的底层系统和技术架构，须做相应的改造和升级，使其既能发挥去中心化的技术优势，也要满足中心化管理的要求。因此，在缺省情况下区块链平台从底层设计时就应考虑监管和隐私保护方面的要求，《安全规范》在身份管理、隐私保护、智能合约等方面都提出了有助于监管的技术要求，使得分布式账本系统在日常运行中可监管和审计。

底线思维，提出运维和治理要求

早期的分布式账本系统在组织实施和治理中较少考虑到数据安全和隐私保护等问题，而目前对于这方面研究也主要集中于技术细节，缺乏系统的治理机制。针对上述漏洞，《安全规范》要求金融分布式账本系统具备完善的内部治理和维护机制。

治理机制要求在建设金融分布式账本系统的同时，应在组织架构、管理职责、节点管理和干预机制等方面同步建立相适应的保障体系。在组织架构方面，《安全规范》分层规划治理机制的主体和职责，构建决策、管理和执行体系。在管控方面，《安全规范》将主体治理和风险治理相结合，对组织的主体和变动进行管控，同时采用干预机制对用户、节点和系统的行为进行特殊干预，保障系统的平稳运行和应急响应。

通过建立治理机制，《安全规范》可引导技术开发者和平台运营者加强行业自律、落实安全责任，把依法治网的要求落实到金融分布式账本系统的管理中，自觉推动分布式账本技术在金融行业安全有序发展。

结语

《安全规范》要求金融分布式账本系统在设计、开发、部署和运行时均应考虑监管需求。但要看到，《安全规范》本身并不能独立实现监管目标、解决安全问题，只有严格落实《安全规范》，才能提高系统的安全能力，降低风险。

此外，中国人民银行对分布式账本技术的标准体系进行了统一规划。为加强战略布局，在全国金融标准化技术委员会和中国人民银行科技司的指导和支持下，数字货币研究所正牵头有序推进《金融分布式账本技术应用技术参考架构》《金融分布式账本技术应用评价体系》《分布式账本贸易金融规范》等分布式账本技术相关标准的编制工作，通过标准先行、规范驱动的方式，促进金融行业分布式账本技术的健康可持续发展。