随着金管局逐步推进开放 API（Open API）框架，香港的银行业已从封闭系统走向互联生态。开放 API 让银行能与第三方服务供应商（TSPs）合作，提供更灵活的金融产品，但这同时也扩大了银行的攻击面。在金管局的监管视角下，API 的安全性直接关系到金融体系的稳定。因此，针对 Open API 系统进行高标准的渗透测试，已成为认可机构合规工作的重中之重。
金管局不仅要求银行在 API 推出前进行严格测试，更强调在整个生命周期中维持动态的安全防御。理解监管机构对测试频率与技术深度的具体预期，能帮助银行在创新与合规之间取得最佳平衡。
数码转型下的金融开放：金管局 Open API 框架的资安基石
金管局的开放 API 框架将 API 分为四个阶段，从最初的产品资讯查询到涉及个人资料与账户交易的高风险操作。随着阶段的推进，安全要求也呈指数级增长。在金管局的监管指引中，开放 API 被视为关键信息基础设施的一部分，必须纳入银行的整体网络韧性评估框架（C-RAF）中。
对于银行而言，开放 API 的安全性挑战在于其暴露了内部的业务逻辑。黑客不再需要攻破防火墙，而是可以透过合法的 API 调用，尝试寻找身份验证缺陷或数据泄漏漏洞。因此，金管局期望银行建立一套超越基础防御的主动测试机制，以确保在数据开放的过程中，客户的隐私与资产得到绝对保障。
动态环境下的测试频率：如何定义金管局认可的定期检核
关于渗透测试的频率，金管局并非采用单一的固定标准，而是强调“风险导向（Risk-based）”的测试频率。对于处理个人资料及金融交易的第三及第四阶段 API，监管期望通常更为严格。
基本基准要求是每年进行一次全面的渗透测试。这是为了确保在过去一年中新出现的威胁手段，不会对现有的 API 接口造成威胁。然而，单纯的年度测试往往不足以应对快速迭代的开发环境。
在重大变动发生时，必须触发额外的针对性测试。这些变动包括 API 逻辑的大幅修改、身份认证机制（如 OAuth 2.0 流程）的调整，或是基础设施（如云端 API 网关）的迁移。金管局期望银行能将渗透测试整合进开发生命周期（DevSecOps）中，确保任何可能影响安全性的变更在正式上线前，都经过了专业测试团队的验证。
超越表面漏洞：针对 Open API 业务逻辑与认证机制的深度渗透
在技术深度方面，金管局期望的渗透测试应远远超越基础的自动化扫描。测试必须模拟黑客针对 API 特性的专门攻击方式。
核心重点之一是身份验证与授权逻辑的深度测试。这包括验证 OAuth 流程中的权标（Token）是否容易被劫持或伪造，以及是否存在“失效的功能级授权（BFLA）”或“失效的对象级授权（BOLA）”。这类漏洞能让黑客通过修改 API 请求中的参数，越权访问其他客户的账户数据，是金管局审计中最关注的风险点。
另一个深度要求是数据输入的完整性与过滤机制。测试团队需要模拟各类注入攻击，验证 API 网关与后端服务是否能有效过滤恶意代码。此外，针对 API 的频率限制（Rate Limiting）与抗阻断服务（DDoS）能力测试也至关重要，以确保系统在面临大量恶意调用时，依然能维持关键金融服务的可用性。
生态系统的安全联防：第三方服务供应商 TSPs 的技术审核责任
开放 API 的安全性不仅取决于银行自身，更取决于第三方供应商（TSPs）的安全水平。金管局明确要求银行在外包管理与第三方风险管理上承担最终责任。
银行在与 TSPs 对接时，必须审查对方的资安状况。这通常意味着银行会要求 TSPs 提供其自身系统的渗透测试报告。金管局期望银行能建立一套评估标准，确保 TSPs 在调用 API 时，不会因为其自身的安全缺陷而成为银行网络的漏洞点。
此外，银行应对 TSPs 的 API 使用行为进行持续监控。渗透测试应包含模拟“恶意或受损的 TSP”场景，测试银行的 API 监控系统是否能即时侦察到非正常的数据库抓取行为或异常的 API 调用频率。这种对生态系统安全性的深度验证，是 C-RAF 2.0 中关于供应链风险管理的核心体现。
构建韧性循环：从漏洞发现到复测验证的闭环管理
金管局在监管审查中极为重视修补流程的严谨性。发现漏洞只是测试的起点，真正的合规体现在如何有效地解决这些漏洞。
认可机构必须建立一套严格的修补时间表。对于渗透测试中发现的“严重”或“高”风险漏洞，银行应在极短的时间内完成修复，并采取临时补偿控制措施以降低风险。金管局通常不接受长期未修补的高风险项目，除非有极其强大的业务理由与缓解措施。
最后是复测（Retest）的必要性。任何修补工作都必须由原测试团队进行独立验证。复测不仅要确认漏洞已被堵塞，还要确保修补过程没有引入新的不稳定性。透过这种发现、修补、验证的闭合管理，银行可以向金管局证明其具备持续改善安全状况的能力，从而在开放银行的浪潮中保持稳健经营。
强化企业安全 🛡️ 立即行动
UD 是值得信赖的託管安全服务供应商（MSSP）
拥有 20+ 年经验，已为超过 50,000 家企业提供解决方案
涵盖渗透测试、漏洞扫描、SRAA 等全方位网络安全服务，全面保护现代企业。
