杨景香：数字金融为风控能力带来诸多挑战

　　新浪财经讯 10月12日消息，2019中国普惠金融国际论坛今日在京举行。Visa大中华区首席风险官杨景香出席名为“负责任金融”的主题论坛并发表讲话。

Visa大中华区首席风险官杨景香

　　杨景香认为，随着科技的进步，尤其是AI、量子计算、云计算等新技术的涌现，目前已经进入到了第四代支付革命时代。而进行负责任的创新需要四大支柱，分别是数据保护、数据脱敏、数据挖掘、生物识别技术。不过杨景香也指出，数字金融服务为风控能力带来越来越多的挑战

　　以下为现场发言实录：

　　杨景香：感谢大会的邀请，我代表Visa跟大家分享一下从支付角度谈负责任的创新对于支付的理解。

    随着科技的进步，尤其是AI、量子计算、云计算等新技术的涌现，进入到了第四代支付革命时代或支付经济时代，数字金融服务成为了主流。同时对我们风控能力也提出了越来越多的挑战，尤其是从最初第一代邮件的欺诈以及日后的盗卡、伪卡，到最近经常听到大面积的数据泄露，为什么会发生大面积数据泄露？因为在金融行业，尤其支付金融行业，这是离钱最近的行业，犯罪分子是喜欢我们的，同时犯罪分子是有组织的，他们也是有年会的，他们也是有培训的，他们分工是明确的，他们在拉斯维加斯每年也有所谓的白帽子、黑帽子年会分享经验，同时是全球性的有组织的犯罪。所以在我们金融行业、支付行业，尤其是离金钱最近的行业里，对我们安全的要求、风险管理能力的要求是各个行业里最高的。怎么样对于负责任金融，对于消费者、持卡人的保护，尤其像我们这样一个支付平台里做业务的重中之重。

    Visa作为全球最大的支付平台或支付公司，现状是什么样？

    Visa有60年的历史，过去20年Visa的表现，如图蓝线是Visa网络里交易额增长现状，截至2018年，交易额在全球是10万亿美金，占全球个人消费的20%。红线是欺诈率表现，欺诈率越来越低，马儿又跑马儿又没吃草，量是增长的，欺诈率风险是下降的。正是由于我们保驾护航能力、风控能力做得好，所以我们体量才会快速增长。

    Visa怎么做到这20年能够把欺诈率在现在犯罪分子越来越猖獗、技术越来越高的情况下也做到了历史新低呢？就要说到负责任的创新。

    如图，简单介绍了几个创新产品，尤其是芯片卡，你的卡片不是以前的磁条刷，而是小芯片，我们九几年已经落地了。最近新一代技术，AI技术、机器学习、神经网络等在Visa都有应用，都用在我们风控防范上。所以基于这样一个创新技术的应用，我们才做到了在全球最大网络上风险的表现。

    负责任创新，Visa的理念是以用户为导向，我们做到了这个表现是基于一个理念，即安全的保护是多层面、多维度、多支柱的。归结起来是四大支柱：

    数据保护。

    支付的数据，刷卡时是要传输的，从发卡行到收单行，钱到了商户的流程很复杂，这里有数据传输，我们支付方面，在安全保护上也是等级最高的，我们一直强调数据可以不存储一定不要存储，如果一定要存储，一定要用到PCI（支付行业的安全保护标准），这是有专门委员会，是非营利机构，Visa是他们主要的会员机构。这个标准是全球不断在进步的，过去一年之内就把标准发布了两次或三次，有什么漏洞我们补什么漏洞，所以这是一个行业的安全标准，其标准不只是从硬件、软件，也包括信息存储方式，什么样的信息可以存储。举例，信用卡消费，经常会问信用卡后面的三位数字（CVV2），那个密码原来的产生是为了线上交易用的，但是那个数字永远不可以存储。国内行业可能最初对信用卡不太了解，所以为了消费的便利性，同一个消费者到一个网站第二次去时可以快速通过，很多商户是存储了的，这是非常危险，不符合PCI标准的。我们国内有一家很大的商户，发现了这个漏洞，上了新闻，后来赶紧做了PCI认证。数据保护的重要性，就像家里的门一样要上锁。

    数据脱敏。

    芯片卡的落地已经20来年了，尽管我们这边落地没有那么久，但是这个技术本身是20年的技术。Token是另一个技术，这个概念大家是不陌生的，但是Visa的可读解，就是从发看到收端，从商户到持卡人，能够可读解的Token，互通性的Token是最近的，ApplePay的落地是由于Visa Token技术的落地，才得以把这个技术给大家。Token是一个随机的数字，在授权时刷卡，银行要拒绝或通过这笔交易时，这个过程里面是有数据传输的，从商户到发卡行，发卡行决定这个交易过不过，数据传输、数据授权的过程以前是真实的16位号数字，还有有效期等，日后会要求要用一个脱敏了的随机数字来代替，也就是说如果犯罪分子把这个数据偷走了的话，他不能够拿来用，因为他不知道随机号的概念和意义是什么，概念和意义只有在Visa网络低Token才知道是什么，这也是另外一个数据脱敏的技术，能提升安全。

    数据挖掘。

    数据是一个问题，犯罪分子喜欢我们的数据，尤其是帐户信息等敏感数据，同时数据也是我们的解决方案，因为我们可以通过这样大的海量级数据做数据挖掘，然后提供给会员银行或非金机构去做风险识别，帮助他们做授权的决定。也就是说一个交易送上来，传到我这儿，我会给这一笔交易实时打分，只要到了我这儿马上就有一个评分，把这个评分再给你的发卡行，这就是你去买东西刷卡中间的迟滞，做了哪些工作？包括银行迟滞，中间也有我，但我的速度非常之快，可以实时送到银行，银行根据我这个实时的打分，判断这笔交易风险高低，高风险直接拒掉，低风险通过，中间可以人为再去看。这个能力是Visa可以提供给全球用户的，和我们会员银行的，这是我们的一个拳头产品，这也是我们的一个解决方案。

    生物识别技术，这个比较热，今天不过多讨论，也在我这个象限里。很多朋友来问我：杨总，我有生物识别了，是不是其他都可以不要了？很多人会有这样的概念，觉得这个最先进。我们的理解不是的，安全保护是多层次的，不能由于一个技术所谓的好，其他的层面都可以忽略不计，永远不是这样的。就像货币种类那么多，现金还是要存在的，因为发展是不平衡的，不同的市场犯罪行为以及消费者喜好不一样，所以所有方式都必须同时支持。

    消费者教育。

    一再教育持卡人你的密码不可以跟任何人分享，可是很多人记不住，真的记不住，我们发现很多的例子，包括大学教授帐户如何，因为他把他的密码直接分享给了犯罪分子，当然会巧立名目以各种方式，或短信方式来问你。最近在香港就发生了很大的一件事情，Facebook上有一个link，说有一个投资，收益如何，很多人就去点击链接，里面有一个步骤是分享密码，很多人就把这个密码分享出去了。不是说教育大学生、研究生、博士、教授就有这个意识，这个教育是所有人都要有这个意识，就是安全保护，你自己是有一份责任的。当然我们这边会有很多工具提供给消费者或会员银行，比如你的手机位置，去刷时，商户位置，如果有匹配，这笔风险可能没有那么高，如果你的手机位置可以分享是通过选项的，所有这些服务都是消费者同意了的，可以分享会员银行，会员银行才在此基础上通过这些信息能够更好地保护持卡人。有一些产品、有一些手段，Visa这样的产品还挺多的。

    总结：

    1.安全必须是多层次的。

    2.不需要存储的数据一定不要存储，敏感数据一定不要存储。CVV2是用一次擦除一次，用一次擦除一次，绝对不可以存储。

    3.数据既是问题也是解决方案。

    4.协同合作是关键。协同合作里要强调消费者本身有一份责任，你的安全你不在意，需要银行来帮助你保护，这就有点本末倒置。

    这是今天我的分享，谢谢大家！

责任编辑：张缘成