《区块链技术风险评估与控制》由会员分享，可在线阅读，更多相关《区块链技术风险评估与控制（9页珍藏版）》请在金锄头文库上搜索。
1、区块链技术风险评估与控制摘要：区块链技术作为一种新兴技术,面临着一系列风险问题,传统的风险评估方法无法满足新技术环境下的需要。因此,基于区块链能力成熟度模型,构建区块链技术风险评估指标体系,运用层次分析法和赋值法赋以权重后进行评分,并对区块链技术的风险进行评估。然后结合宝武集团区块链技术应用平台通宝的相关数据,对其区块链技术风险进行评价,并提出相应的风险控制措施,为区块链技术的风险评估与风险控制提供参考。一、引言目前区块链技术已上升到国家战略，我国政府鼓励对区块链技术应用的探索研究，其应用所涉及的行业越来越广泛，从金融服务到医疗保健，从软件开发到制造业食品生产等。随着区块链技术的发展与应用，其
2、缺陷与风险也逐渐浮出水面，如数据保密风险、私钥管理风险、共识和治理风险、集成风险、可扩展性风险、IT操作风险、业务和监管风险、代码开发风险、业务连续性和灾难恢复风险、去中心化信任风险、密码学算法实现的风险以及数字资产安全存储风险等。具体来看，区块链技术风险可以分为业务层面风险和技术层面风险两大类，而区块链的去中心化和信息不可篡改等特征决定了其技术层面风险的危害性要远远大于业务层面。审计人员在向使用区块链的客户提供保证服务时，不仅需要具备区块链技术知识，还必须具备区块链技术固有的风险评估知识。能力成熟度模型是一种用于评价软件承包能力并帮助改善软件质量的方法，侧重于软件开发过程的管理及工程能力的提
3、高与评估。该模型可以被广泛应用于各个领域的成熟度评价针对高新技术企业，提出企业人才管理成熟度模型；构建供应链金融的成熟度模型，运用模糊综合评价法客观评价我国供应链金融的发展能力水平；探寻智能制造能力成熟度模型评估诊断内容和成熟度等级划分；构建四维度的会计信息化风险管理成熟度评估模型，并选取案例企业进行具体分析，证明模型的适用性与可操作性。上述运用可为该模型在其他风险领域的应用提供借鉴。虽然国内外学者有对区块链风险和能力成熟度模型进行研究，但是还缺乏对区块链技术风险进行动态衡量和评价的文献。因此，本文基于毕马威开发的区块链能力成熟度模型二、区块链技术风险评估指标体系构建（一）区块链技术风险评估指
4、标体系理论基础成熟度是一套管理方法论，将事物发展的过程分为不同的成熟级别，并明确定义每个级别以及标准和实现的条件。各级别之间有一定的顺序，从最低级到最高级，每个级别是前一级别的进一步完善，也是向下一级别的演进基础，体现了事物从低层次向高层次不断发展的过程。毕马威区块链能力成熟度模型是基于信息技术成熟度的能力成熟度模型，由国际信息技术治理专业机构国际信息系统审计协会所开发。该模型使用五个等级来衡量成熟度，范围从1初始级（过程不可预测、控制不佳，为最低级别）到5优化级（关注过程改进，为最高级别）。本质上是对每个区块链风险领域进行评分，得到每个风险领域的成熟度分数有助于使用区块链的企业确定哪些风险领
5、域低于所期望的成熟度水平，并帮助使用区块链的企业从信息技术治理的角度将区块链从概念验证阶段提升到生产鉴别阶段。1. 本文结合毕马威区块链能力成熟度模型将区块链技术风险评估指标体系划分为五个不同的成熟度等级，区块链技术在不同的成熟度阶段有不同的表现（二）区块链技术风险评估指标体系具体内容区块链技术风险评估指标体系主要包括数据管理、访问和用户管理、授权和供应管理、互操作性、可扩展性、变更管理、隐私及安全这八个一级指标，这些也是区块链技术的基本特征。每个一级指标下设有若干二级指标，本文借鉴毕马威区块链能力成熟度模型以及已有研究成果数据管理。数据管理指标包括数据机密性、数据完整性和数据可用性三个二级指
6、标。机密性、完整性可用性是信息安全的三大基石，被称为信息安全三要素，在信息安全领域被广泛关注，对于数据安全来说，这三点尤为重要。2. 访问和用户管理。访问和用户管理指标包括密钥管理和未授权访问两个二级指标。区块链是基于包括使用公钥和私钥的密码概念进行操作的，密钥提高了区块链的安全性。区块链网络上的每个参与者都会被给予至少一个用于授权和签署事务的私钥，私钥资料的丢失可能会对其他网络参与者造成重大影响。如果授权访问机制不成熟，则可能导致非法用户进入区块链网络进行违法操作或者合法用户以未授权的方式进行操作，这都会对区块链的安全有效性造成危害因此，对密钥管理和未授权访问的评估有助于识别区块链技术的安全
7、性。3. 授权和供应管理。授权和供应管理指标包括授权不当或超授权、职责分离以及供应商三个二级指标。无论企业运用什么技术或处于什么发展阶段，适当的职责分离都是风险管理不可缺少的一部分。不当的授权和超授权都会造成区块链的节点管理混乱，共识机制也无法顺畅合理运行，授权机制如同虚设。大部分企业在应用区块链技术时，由外部供应商提供技术，作为直接掌握核心技术的第三方，对供应商的风险评估也尤为重要。4. 互操作性。互操作性指标包括系统集成和区块链内部控制机制两个二级指标。在企业的应用中，区块链系统不是一个独立的系统，而是一个组织信息系统中的子系统。因此，区块链有两个难度较大的集成任务：一是要将以前的交易输入
8、区块链系统，二是组织系统需要将区块链系统与遗留系统相结合。如果系统间不能做到信息互通，则会存在信息滞留，无法应对不断变化的业务需求。企业是具有多部门、多节点的结构，及时获取信息具有一定的困难，这会导致内部控制管理者无法及时识别相关风险，区块链技术的点对点传输可以使得每一个节点的计算机实时共享整个网络的其他节点计算机的相关信息资料，做到信息实时获取、风险及时识别，同时，区块链的去中心化、智能合约也可以减少业务流程中一部分人为因素导致的风险，利用智能合约机制提前设置相关规则，构建实时预警系统，对异常记录进行自动实时处理，有效剔除异常数据，这样可以实时进行判断、发现异常数据，为智能识别内部控制风险奠
9、定一定的基础。所以，内部控制机制的完善也至关重要。5. 可扩展性。可扩展性指标包括存储容量和性能两个二级指标。随着区块链节点的增长，分布式账本会不断扩大，因此需要不断扩大存储容量。如果区块链可扩展性不够、性能不强，可能会影响交易的处理速度，增加处理交易的成本。这样，区块链就无法处理逐渐增长的数据量，容易出现失效机制。6. 变更管理。变更管理指标包括所有参与者的同意、采用缓慢和产生分歧两个二级指标。变更管理等决定在区块链中较为常见，如果各参与节点在做决定时无法达成一致同意的意见，则决定很难实施。而且采用缓慢和产生分歧也会影响区块链的效率、增加成本，甚至会导致企业业务链条中断，无法持续进行。7.
10、隐私。8. 隐私指标包括身份隐私和交易隐私两个二级指标。身份隐私是指用户身份信息和区块链地址之间的关联关系，交易隐私是指区块链中存储的交易记录及背后的知识安全。安全指标包括共识机制选择、节点的数量和位置两个二级指标。共识机制是实现区块链系统内各节点在短时间内达成区块信息全网一致的核心技术。节点构成了区块链网络的主干其目的是为特定的加密货币保留区块链的完整性。节点参与验证了每一笔交易，并通过某种共识机制来确定数据的一致性，他们都是区块链的基本特征。理论上来说，节点数越多区块链网络分布越大，可以降低区块链上的欺诈、错误和破坏风险，但部分不诚信节点的存在可能会导致区块链网络的安全风险。（三）区块链技
11、术风险评估指标体系评价方法本文将区块链技术风险评估指标体系划分为五个成熟度级别，分别是初始级、可重复级、已定义级、管理级和优化级。根据上述各项风险领域指标的特点，来判定各项风险领域处于何种成熟度等级，从而进行相应成熟度的评分。1. 指标的赋值。风险评估分数采用赋值法，指标符合初始级为1分，符合可重复级为2分，符合已定义级为3分，符合管理级为4分，符合优化级为5分。其中：初始级评分最低，表明目前区块链技术的成熟度低，风险最大，需要加强风险管控；优化级评分最高，表明区块链技术的应用已成熟完善，风险最小。2. 指标权重的确定。由于各项评价指标对能力成熟度的贡献不尽相同，因此在评估区块链技术风险的过程
12、中，需要对各项指标的权重进行赋值。为了避免受个人主观认识的影响，避免以往凭经验给出权重的弊端，借鉴前人的研究，本文采用层次分析法（AHP）确定权重。通过专家打分法对数据管理、访问和用户管理、授权和供应管理、互操作性、可扩展性、变更管理、隐私及安全这八个一级指标构建得分矩阵X，并利用归一化处理构建群决策判断矩阵Y。同理，构建二级指标对各一级指标的判断矩阵，经检验均通过一致性检验，分别确定二级指标相应的综合权重。经对相关指标的计算与汇总，区块链技术风险评估指标体系各指标的权重分配如表3所示。为便于计算，综合权重保留4位小数，可能会存在较小误差，但不影响最终结果。风险评估分数=S各二级指标赋值分数X
13、综合权重。三、区块链技术风险评估指标体系实际应用分析（一）案例企业背景介绍作为较早介入区块链研究和实践的中央企业之一，宝武集团于2018年10月基于区块链应用正式推出以应收账款债权为载体的电子凭证通宝，即由核心企业基于应付账款向其供应商在线签发电子债权凭证，具有可差额转让、可在线融资、可持有至到期收款等特点。通宝平台是基于区块链底层技术的供应链金融服务平台，是包括核心企业、中小供应商、金融机构以及外部监管的联盟链，可为通宝凭证的签发、接收、转让、融资提供全在线服务。案例企业区块链技术风险评估1.指标体系综合评分。本文根据毕马威区块链成熟度模型建立企业区块链技术风险评估指标体系，据此评估宝武集团
14、区块链技术风险，并进行相应的成熟度测评。逐项对各二级指标进行赋值给分，此处以一级指标数据管理中的三个二级指标评判为例，根据毕马威区块链成熟度模型，每个二级指标有对应的评估标准，针对各评估标准分别给分，利用算术平均法求出该二级指标最终分数，具体如表4所示。同理，得出其他各项二级指标赋值分数，再乘以综合权重得到指标体系评分表，如表5所示。综上所述，宝武集团基于区块链技术的供应链金融平台通宝，其风险评估分数为2.65分处于可重复级和已定义级之间，接近中等成熟度水平，即已经可以从相关领域借鉴规则，能进行复刻，但服务内容相对比较局限，且信息系统关联度不高，尚需标准化，风险较大，需要进行有力的风险管控。2
15、.具体风险评估。根据上文指标体系的构建，数据管理、访问和用户管理、授权和供应管理、隐私及安全这五项一级指标权重较高，因此，本文选定该五项指标，对宝武集团区块链技术风险评估情况进行详细阐述。余下三项指标，互操作性、可扩展性及变更管理由于所占权重较低，对于宝武集团的区块链技术风险影响较小，因此不再逐项展开探讨。(1) 数据管理风险。宝武集团的区块链平台能够描述数据完整性验证程序，对分布式账本使用的数据库的实施和安全性进行了评估。通宝平台内，分布式账本的数据历史是不可窜改的，在分布式账本中实现了一个检查点系统，以确保数据的可用性。通宝平台内设有监控系统，可以验证连接到分布式账本技术的基础数据源的完整
16、性。但是，宝武集团并未设立错误检查机制用于检查输入的数据，如进行完整性检查以防止输入无效数据，以及错误检测、数据验证以识别数据中的错误，并且没有适当的控制措施。(2) 访问和用户管理风险。区块链钱包是密钥的管理工具，钱包中包含成对的私钥和公钥通宝平台上的用户会用私钥来签名交易，从而证明该用户拥有交易的输出权。用户的私钥一般是在用户本地生成，没有中心服务机构会存储相关私钥，因此，一旦用户的私钥丢失或被黑客获取，就可能彻底丧失资金的访问权。参与方储存在区块链上的信息存在泄露风险，并且会对平台上的其他参与方造成损害，导致供应链金融生态系统出现纰漏。宝武集团采用的通宝平台为许可链中的联盟链，被运用于钢铁行业中的供应链金融业务，其允许授权的节点加入网络，可根据权限查看信息。通宝平台目前只开设了五个节点，通宝凭证也只在其联盟链内部流通，非法用户进入区块链网络进行违法操作和合法用户以未授权的方式进行操作的风险较小。平台中，目前有关授权证书生成、分发、
