江苏龙网

  1. 首页 > 人文 > >

数据聚合|齐向东：内生安全从安全框架开始

去年 ， 我们在首届BCS大会上提出了“内生安全” ， 得到了业界广泛认同 。 很多客户来找我们 ， 想知道内生安全到底应该怎么做 。
所以从去年开始 ， 我们专门成立了一个工作组 ， 和20多个一线部门紧密协同 ， 用系统工程的思想 ， 把网络安全能力 ， 映射成为可工程建设的安全能力组件体系 ， 并给出一套规划方法论 ， 设计工具集和配套的模型、架构、项目纲要 ， 构建一个能够适应形势变化的网络安全框架 ， 来支撑内生安全体系建设 。 今年3月 ， 我们正式公开发布了这套面向新基建的新一代网络安全框架 。
【数据聚合|齐向东：内生安全从安全框架开始】截至目前 ， 我们已经在近40个大型机构里应用了这套框架 ， 包括部委、能源央企、金融、航空、大型制造业和数字城市 ， 得到了很高的评价 ， 他们说 ， 有了这套框架 ， 从顶层设计到落地建设运行变得很容易了 。 为了让更多的政企机构能快速实现内生安全 ， 我们把今年大会的主题定为“内生安全 从安全框架开始” 。
内生安全的关键是管理数据聚合|齐向东：内生安全从安全框架开始
文章图片

去年的BCS大会上 ， 我提出了“内生安全” ， 强调在政府、银行和大型企业等机构 ， 通过系统聚合、数据聚合和人的聚合 ， 不断从信息化系统内生长出安全能力 ， 这种能力具有像免疫系统一样的自主、自成长、自适应的特点 ， 持续保证业务安全 。
我们都知道 ， 网络安全是高度对抗性的行业 ， 网络安全系统包括技术、数据、人员和体制机制等 ， 是一个复杂的系统 。 为了保障业务的安全性 ， 实现这个系统的有效运转 ， 就不能仅仅考虑产品和技术因素 ， 而是要综合技术、管理、运行等多方面的因素 。
一个网络安全体系 ， 必然面临着层出不穷的攻击 。 首先 ， 漏洞是不可避免的 ， 只要这个系统的0day漏洞还没有被黑客穷尽 ， 就永远面临着未知的威胁 。 这个漏洞可能存在于芯片、操作系统、应用系统、网络设备等任何地方 ， 可能掌握在任何一个未知的敌人手中 ， 这个敌人可能随时发动攻击 ， 造成的危害也难以掌握 ， 它可能导致数据被盗 ， 也有可能会直接导致系统崩溃 。 如果只用攻防技术来防护 ， 被漏洞牵着鼻子走 ， 这类安全问题是永远无法解决的 。
其次 ， 根据权威安全调查报告显示 ， 超过85%的网络安全威胁来自于内部 ， 危害程度远远超过黑客攻击和病毒造成的损失 。 这些威胁绝大部分是内部各种非法和违规的操作行为造成的 。
最后 ， 所有的体系都是人来操控管理的 ， 但人是不可靠的 ， 人本身的弱点也是网络体系最大的脆弱性 。 比如弱密码、密码丢失、使用不安全的设备等 ， 甚至还有人会被策反成间谍 。
上述问题的存在 ， 都导致了不管技术多高 ， 我们的体系还是会失效 。
这几年 ， 我们搞了很多实网攻防演习 ， 每年都能发现一大堆问题 ， 一打就穿 ， 但很多机构“头疼医头脚疼医脚”后 ， 由于管理不行 ， 还是被打穿 。
所以我们认为 ， 安全的关键是管理 。 我们所说的管理 ， 不是传统意义上的管理 ， 它既不是单纯的人员管理、行政管理、体制机制管理 ， 也不是传统的条文式管理、流程式管理 ， 而是一套“新管理”模式 ， 它由数据驱动 ， 通过与安全体系中的能力平台和服务平台有效对接 ， 实现对安全技术、安全运行等各方面要素的有效管理 ， 从而发现和规避黑客利用安全体系里的漏洞发起的攻击 ， 克服人的不可靠性、弥补人的能力不足 。 总之 ， 这种新管理模式的表现形式 ， 可以是网络安全管理大平台 ， 也可以是网络安全管理运营管理中心 。
内生安全 ， 代表的正是这种新形态的网络安全管理模式 。 它用“一个中心五个滤网” ， 从网络、数据、应用、行为、身份五个层面来有效实现对网络安全体系的管理 ， 从而构建无处不在 ， 处处结合 ， 实战化运行的安全能力体系 。 这种新管理模式 ， 需要有强大的能力体系支撑 ， 需要用工程化、体系化的方式进行实施 ， 这套方法的成果 ， 就构成了内生安全框架 。
管理的关键是框架
新时代需要新管理 。 要实现内生安全所代表的的这种新形态的网络安全管理 ， 是一套复杂的系统工程 ， 它需要一个新形态的能力体系做支撑 ， 需要用工程化、体系化的方式进行实施 ， 实现它的关键就是安全框架 。
在系统科学里 ， 有一个特性叫“涌现” ， 指的是构成系统的多个组成部分按照一定的方式相互联系、相互作用 ， 在整体上就能具备单个组成部分所没有的性质 ， 产生“1+1＞2”的效果 。 比如 ， 计算机系统可以实现工程计算、文字处理、软件开发等功能 ， 这些功能是CPU、电源、操作系统等单个组成部分所不具备的 。
内生安全也具有“涌现”效应 ， 能实现“1+1＞2”的效果 。 在信息化系统的功能越来越多、规模越来越大、与用户的交互越来越深的时候 ， 单一的、堆叠的安全产品和服务 ， 哪怕是最新、最先进的 ， 都无法保证不被黑客穿透 ， 但内生安全系统 ， 能够让安全产品和服务相互联系、相互作用 ， 在整体上具备单个产品和服务所没有的功能 ， 从而保障复杂系统的安全 。 建设内生安全 ， 采用的就是系统工程的思想 。
小编注意到过去20年 ， 国内外在信息化建设方面 ， 用的是系统工程思想 ， 通过行之有效的EA方法论与框架 ， 引导与推动了大规模、体系化、高效整合的信息化建设 ， 很好地支撑了各行业的业务运营 。
针对网络安全 ， 一些西方发达国家采用体系化思想 ， 也设计出了适应他们发展阶段的NIST等框架 。 但由于我国的网络安全基础比较薄弱 ， 一直采用的是“局部整改”为主的安全建设模式 ， 导致网络安全体系化缺失、碎片化严重、协同能力差 ， 网络安全防御能力与数字化业务的保障要求严重不匹配 。 在这样的现状下 ， 无法套用西方现成的框架进行安全体系建设 。
我认为 ， 这是非常重要的时间窗口 ， 未来五年我国各行各业能不能取得高质量发展就取决于现在 。 所以 ， 我们提出了内生安全框架 ， 这是从工程实现的角度 ， 针对我国的国情研制出来的 ， 能将安全需求分步实施 ， 逐步建成面向未来的安全体系 。 这套框架从顶层视角出发 ， 支撑各行业的建设模式从“局部整改外挂式”走向“深度融合体系化” ， 在数字化环境内部建立无处不在的网络安全“免疫力” ， 真正实现内生安全 。
就在前两天 ， 我和一位大型央企的领导交流 ， 他非常兴奋 ， 非常感慨 。 他告诉我 ， 他做大规模信息化建设的时候 ， 与业务系统融合用的就是系统工程的方法 ， 但他从来没有见过、也没想到过网络安全公司也能按照系统工程的方法 ， 做出这么具体、这么好用的框架来 。 他说：“网络安全与数字化 ， 用体系对体系 ， 这就对了！”
内生安全框架有三个重点 ， 是把安全能力“理清楚”、“建起来”、“跑得赢” ， 目的是通过“新管理” ， 让网络安全体系具有动态防御,主动防御,纵深防御,精准防护,整体防护,联防联控的能力 。
先说“理清楚” 。 内生安全体系建设 ， 需要先体系化地梳理、设计出保障政府和企业数字化业务所需要的安全能力 ， 才能确保这些安全能力能够融入到信息化与业务系统中去 。
就像建造一栋房子 ， 需要算清楚、准备好所有的建筑材料和工具 ， 才能打好地基、筑好框架、建好楼板、装好防盗门窗、配齐消防设备、布好摄像头、警报器 ， 房子才会安全、坚固 ， 抵御各种风险 。
在梳理的过程中 ， 我们要充分考虑 ， 这个系统的架构和功能将来是否可以调整？系统的安全能力能不能做到持续不断的增强？网络安全产品是否有维护升级的能力？未来是否根据需要增加新的安全产品模块？系统是否有安全监控和数据采集的功能？
在设计的过程中 ， 我们要根据政府和企业自身信息化项目的实际情况 ， 对安全能力进行挑选、组合和规划 ， 给出明确标准 。
再说“建起来” 。 融合是建设的关键 ， 将安全能力深度融入物理、网络、系统、应用、数据与用户等各个层次 ， 确保深度结合；还要将安全能力全面覆盖云、终端、服务器、通信链路、网络设备、安全设备、工控、人员等要素 ， 避免局部盲区 ， 实现全面覆盖 。
这种将安全能力合理地分配到正确位置的建设过程 ， 就是安全能力组件化的过程 。 这种安全能力组件 ， 是软件化、虚拟化、服务化的 。 科学、合理地将安全能力组件进行组合、归并 ， 建立相互作用关系 ， 确保了安全能力的可建设、可落地、可调度 。
在具体建设过程中 ， 需要一个全景化的技术部署模型 ， 全面描绘政企机构的整体网络结构 ， 信息化和网络安全的融合关系 ， 以及安全能力的部署形态 。
比如 ， 按照区域 ， 把政企机构的信息化系统分成总部、区域中心、分支机构以及网络节点等多种类型；按照业务类别和功能 ， 又把政企机构的信息化系统分成了全局网络、骨干网络、区域边界、通信网络、信息系统、云平台、大数据平台、数字化终端等层级、组件 ， 并标记出它们的部署位置和形态 。
在这个基础上 ， 我们就可以把所有的安全能力组件 ， 分别以系统、服务、软硬件资源的形态 ， 合理部署到信息化系统的不同区域、节点、层级中 。 各种安全能力组件之间 ， 通过网络和数据进行整体协同 ， 使安全能力全面覆盖信息化所有范围 ， 实现了对各个层次的管理 ， 消除盲点 ， 增强安全资源的丰富性、灵活性、完整性 。
第三个重点“跑得赢” 。 新基建、数字化转型 ， 催生了无数新的应用场景 ， 带来的安全风险剧增 ， 推动网络安全从辅助工程变成了基础工程 。
缺乏安全运行的安全系统 ， 相当于“靠天吃饭” 。 以前 ， 由于网络攻击是小概率事件 ， 就好比每年都风调雨顺 ， “靠天吃饭”的网络安全也很少出事；但随着网络攻击成为大概率事件 ， 好比“十年九灾” ， 继续“靠天吃饭”的网络安全就会出大问题 。
内生安全体系强调安全运行 ， 把管理作为关键 ， 就能“人定胜天” ， 跑得赢漏洞、跑得赢内鬼、跑得赢黑客 。
我们将网络安全运行的各个组件 ， 以及网络安全与信息化之间聚合、协同运行的状态进行了详尽的描绘 ， 使安全工作中大量隐性活动显性化、标准化、条令化 ， 从而确保安全运行的可持续性 ， 实现管理闭环 。
框架的关键是组件化 。
落地内生安全 ， 实现新管理模式 ， 最理想的情况 ， 是建设一个完整的框架 。 但现实情况是 ， 大多数政府和企业的信息化系统 ， 都是新老结合的 ， 往往需要花若干年的时间 ， 才能完成对老系统的替换 ， 这是一个“立新破旧”的过程 。
从安全系统与信息化系统聚合的实施角度来看 ， 如果割裂地对老系统用老办法 ， 新系统用新办法 ， 未来 ， 当老系统被替代时 ， 老的安全系统也不得不替换掉 ， 造成巨大的浪费 。
这就要求我们对安全体系进行“统一设计 ， 分步实施” ， 在体系的基础上 ， 把安全框架组件化 ， 让这些组件既能是新体系的一部分 ， 又能部署到老系统中 ， 从而适应信息化系统这种渐进式的、“立新破旧”的过程 ， 避免不断地把安全系统推倒重来 ， 确保现在安全上的投资是面向未来的 。
从国际的经验看 ， ISO/IEC 27000信息安全管理体系就是按照组件化的方式设计的 ， 它包含14个类别 ， 35个目标 ， 114个控制措施；NIST 的系统安全工程也列举了从需求、设计、实现到验证、部署、维护、弃置等14个过程应该开展的安全工作 ， 包括54个任务、235项活动 。 在NIST网络空间安全框架中 ， 也通过IPDRR-识别、保护、检测、响应、恢复的机制 ， 以及多个落地子项来构造网络安全的保护体系 。
遵循这样的经验 ， 我们用工程化的思想 ， 把体系中的安全能力 ， 映射成为可执行、可建设的网络安全能力组件 ， 构成了内生安全框架 ， 这些组件与信息化进行体系化地聚合 ， 是安全框架落地的关键 。
为了穷尽安全能力组件的类型 ， 我们研究了针对党、政、军、央企、金融等这些大型机构网络安全的新技术产品和服务体系 ， 为这些体系设计并解构出了十个网络安全工程 ， 以及五方面的支撑能力任务 ， 简称“十大工程”“五大任务” 。
这“十工五任”是内生安全框架的具体落地手册 ， 具备了一个复杂庞大的信息化系统所需要的全部安全能力 。 这就相当于打造了一个信息化巨系统内生安全框架的建设样板 ， 每一个工程和任务 ， 都可以理解成样板房里的不同“房间” 。 政企机构可以结合自身信息化的特点 ， 选取不同的“房间”进行组合 ， 定义自己的关键工程和任务 。
以某个“新基建”项目为例 ， 它包括了136个信息化组件 ， 我们就依据“十工五任”手册的具体指引 ， 总结出了29个安全区域场景 ， 部署了79类安全组件 。
所以 ， 我们在进行安全体系建设时 ， 首先必须对自己的安全框架有整体性的设计 ， 就可以依据“十工五任”手册 ， 面向未来进行安全组件建设 ， 避免“建好之时就是改造重建之日” 。
“十工五任”手册 ， 对每个组件的部署位置、部署顺序、部署要求都给予了详细的说明 。 就像房子装修有水电改造、刷漆、铺地板等固定流程 ， 我们对每一个工程和任务都给出了具体的部署步骤和标准 。
我相信 ， 政府和企业按照我们提出的内生安全框架 ， 投入三至五年时间 ， 就能建立起完善的网络安全协同联动防御体系 ， 真正实现内生安全 。
朋友们 ， 数字化转型和新一轮技术革命 ， 正在重写全球经济、科技和政治格局 。 对网络安全行业来说 ， 这既是一次前所未有的机遇 ， 也是一次前所未有的挑战 。 让我们携起手 ， 从安全框架开始 ， 推动网络安全产业再上新台阶 。【数据聚合|齐向东：内生安全从安全框架开始】【编辑:吉翔】


    推荐阅读


    上一篇：励志宜家清洁设备|天才少年放弃360万年薪，降薪入职华为，背后原因令人泪目

    下一篇：又被称为“神仙之食”，每天喝一杯，清宿便、降三高、软血管