搜索

[14731] 2019-10-22_大厂的安全之道，InsecWorldCSO论坛精华回顾

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-10-22_大厂的安全之道，InsecWorldCSO论坛精华回顾 大 厂 的 安 全 之 道 ， I n s e c   W o r l d   C S O 论 坛 精 华 回 顾 原 创   k i r a z h o u   F r e e B u f   2 0 1 9 - 1 0 - 2 2 2 0 1 9 年 1 0 月 2 2 日 ， 在 网 络 安 全 的 领 域 中 成 都 又 多 了 一 个 新 的 标 签 ， I N S E C   W O R L D   成 都 · 世 界 信 息 安 全 大 会 隆 重 开 幕 。 举 办 方 I n f o r m a   M a r k e t s 成 功 举 办 过 B l a c k   H a t 这 种 顶 级 安 全 会 议 ， 也 让 这 次 I N S E C   W O R L D 吸 引 了 中 国 安 全 届 的 大 咖 出 席 。 同 一 天 里 ， 听 到 谭 晓 生 两 次 提 到 同 一 天 里 ， 听 到 谭 晓 生 两 次 提 到 C S O 这 个 职 位 ， 这 个 职 位 ， “ 酸 甜 苦 辣 酸 甜 苦 辣 ” 、 、 “ 表 面 光 鲜 ， 实 则 很 辛 苦 表 面 光 鲜 ， 实 则 很 辛 苦 ” 之 类 的 评 价 ， 这 其 中 包 之 类 的 评 价 ， 这 其 中 包 含 着 自 己 作 为 含 着 自 己 作 为 C S O 经 历 的 感 慨 ， 一 个 企 业 的 经 历 的 感 慨 ， 一 个 企 业 的 C S O 确 实 不 是 那 么 容 易 的 ， 但 这 依 然 是 一 个 成 熟 的 安 全 企 业 不 可 或 确 实 不 是 那 么 容 易 的 ， 但 这 依 然 是 一 个 成 熟 的 安 全 企 业 不 可 或 缺 的 重 要 角 色 。 正 如 缺 的 重 要 角 色 。 正 如 C S O 论 坛 主 持 人 金 湘 宇 （ 论 坛 主 持 人 金 湘 宇 （ S e c - U N 网 站 创 始 人 ， 威 胁 情 报 推 进 联 盟 发 起 人 ） 所 言 ， 未 来 的 网 站 创 始 人 ， 威 胁 情 报 推 进 联 盟 发 起 人 ） 所 言 ， 未 来 的 安 全 产 业 一 定 会 逐 渐 重 视 我 们 甲 方 的 声 音 ， 重 视 我 们 安 全 产 业 一 定 会 逐 渐 重 视 我 们 甲 方 的 声 音 ， 重 视 我 们 C S O 的 声 音 。 的 声 音 。 在 当 天 下 午 C S O 论 坛 ， 几 位 业 内 C S O 以 及 安 全 负 责 人 亲 自 上 阵 ， 传 授 大 厂 的 安 全 之 道 。 更 有 意 思 的 是 ， 在 圆 桌 论 坛 环 节 ， 谭 晓 生 还 试 图 引 出 那 些 不 会 出 现 在 P P T 上 的 秘 密 。 C S O 开 场 致 辞 ： 开 场 致 辞 ： C S O 的 价 值 及 必 备 素 质 的 价 值 及 必 备 素 质 聂 君 聂 君 — — 奇 安 信 集 团 奇 安 信 集 团 C S O 网 络 安 全 部 总 经 理 网 络 安 全 部 总 经 理 作 为 C S O 论 坛 的 出 品 人 ， 聂 君 在 开 场 致 辞 中 透 露 ， 目 前 真 的 有 C S O 文 化 的 企 业 并 不 是 很 多 ， 更 多 的 还 是 叫 安 全 负 责 人 。 但 在 未 来 五 到 十 年 内 ， 一 些 大 型 企 业 会 逐 渐 出 现 C S O 这 样 的 职 位 。 不 同 规 模 的 企 业 ， 如 何 去 选 择 合 适 的 安 全 策 略 或 者 解 决 方 案 ， 这 需 要 企 业 安 全 负 责 人 能 以 最 低 的 成 本 消 除 这 种 信 息 不 对 称 ， 选 择 当 下 最 优 解 决 方 案 ， 这 是 C S O 存 在 的 价 值 。 奇 安 信 集 团 C S O 网 络 安 全 部 总 经 理   聂 君 另 一 方 面 从 安 全 负 责 人 进 化 到 企 业 C S O ， 需 要 能 够 讲 清 楚 安 全 的 价 值 以 及 你 这 个 C S O 的 价 值 在 哪 里 。 这 其 中 最 难 的 是 要 了 解 老 板 的 想 法 ， 按 照 老 板 的 视 角 想 问 题 。 从 业 务 和 I T 的 角 度 看 安 全 ， 这 是 成 为 企 业 C S O 必 备 的 视 野 和 技 能 。 议 题 一 ： 企 业 安 全 中 台 建 设 探 索 议 题 一 ： 企 业 安 全 中 台 建 设 探 索
陈 建 陈 建 — — 平 安 集 团 首 席 信 息 安 全 官 平 安 集 团 首 席 信 息 安 全 官 中 台 的 概 念 是 企 业 整 个 技 术 发 展 到 一 定 阶 段 后 ， 为 了 提 升 整 个 集 团 的 数 据 运 营 的 能 力 ， 或 者 集 中 产 品 优 势 而 选 择 的 一 个 很 好 的 方 式 ， 包 含 了 技 术 中 台 、 数 据 中 台 、 业 务 中 台 。 对 于 电 商 企 业 或 互 联 网 企 业 来 说 ， 往 往 存 在 一 些 共 性 ， 通 过 业 务 逻 辑 的 解 耦 ， 把 共 享 服 务 体 系 集 中 化 ， 通 过 中 台 能 力 的 聚 合 ， 让 企 业 不 用 重 复 造 炉 子 ， 从 而 降 低 业 务 发 展 或 是 重 建 带 来 的 成 本 。 平 安 集 团 首 席 信 息 安 全 官   陈 建 那 么 ， 中 台 跟 安 全 有 什 么 问 题 ？ 陈 建 认 为 ， 首 先 ， 安 全 本 身 就 是 技 术 的 一 类 ， 其 次 ， 就 平 台 集 团 来 说 ， 中 台 化 的 方 式 更 适 合 企 业 安 全 的 治 理 方 式 。 安 全 技 术 、 安 全 运 营 、 安 全 管 理 、 安 全 治 理 ， 都 可 以 做 中 台 式 规 划 。 以 平 安 集 团 为 例 ， 在 4 0 万 内 部 员 工 、 3 0 多 个 一 级 子 公 司 的 超 大 规 模 下 ， 集 团 做 什 么 ， 专 业 公 司 做 什 么 ， 分 工 怎 么 定 ？ 平 安 集 团 划 分 了 两 层 ： 日 常 所 有 集 团 的 安 全 要 求 ， 治 理 要 求 的 落 实 和 贯 彻 、 业 务 场 景 里 的 安 全 实 践 等 需 要 一 线 去 实 施 的 部 分 ， 称 为 前 台 ， 也 就 是 第 一 道 防 线 ； 做 好 整 个 平 台 化 的 建 设 ， 在 集 团 层 面 上 则 称 为 中 后 台 ， 也 是 安 全 第 二 大 或 第 三 大 防 线 。 简 单 来 说 ， 就 是 把 企 业 的 技 术 栈 统 一 、 标 准 规 划 化 做 好 ， 然 后 统 一 来 建 设 。 在 这 样 的 基 础 上 ， 再 去 关 注 自 己 的 业 务 场 景 ， 将 特 定 的 业 务 场 景 和 统 一 的 技 术 能 力 相 结 合 ， 既 能 有 效 做 到 安 全 治 理 又 不 会 在 基 础 建 设 上 浪 费 资 源 和 成 本 ， 这 就 是 安 全 中 台 。 议 题 二 ： 全 面 风 险 治 理 议 题 二 ： 全 面 风 险 治 理 张 作 裕 张 作 裕 — — 钉 钉 钉 钉 C R O “ 从 在 美 国 不 给 黑 人 吃 西 瓜 ， 到 业 务 总 裁 需 要 什 么 安 全 ？ ” 这 两 个 看 似 风 马 牛 不 相 及 的 问 题 在 张 作 裕 看 来 有 着 同 一 个 答 案 ： 认 知 不 同 。 在 美 国 给 黑 人 吃 西 瓜 是 种 族 歧 视 ， 这 与 国 人 的 认 知 完 全 不 同 。 而 C S O 不 懂 业 务 总 裁 需 要 什 么 安 全 ， 则 是 因 为 两 者 站 在 不 同 角 度 ， 自 然 对 于 安 全 的 认 知 有 所 差 异 。
钉 钉 C R O   张 作 裕 张 作 裕 认 为 ， 或 许 不 是 老 板 不 懂 安 全 ， 而 是 C S O 不 够 懂 业 务 。 对 于 公 司 内 部 来 说 ， 安 全 要 怎 么 做 ， 要 做 什 么 ， 都 需 要 跟 业 务 对 齐 ， 确 定 后 再 去 思 考 依 靠 现 有 的 能 力 可 以 做 什 么 ， 也 就 是 全 面 风 险 治 理 ： 1 、 步 子 迈 多 大 要 知 道 步 子 迈 多 大 ， 首 先 就 是 做 好 评 估 。 譬 如 固 有 风 险 、 防 控 手 段 、 覆 盖 度 、 治 理 投 入 等 维 度 的 事 前 评 估 。 其 次 是 做 好 业 务 分 析 ， 研 判 业 务 的 核 心 要 素 、 产 品 最 核 心 风 险 。 2 、 路 能 走 多 远 如 果 步 子 很 大 ， 一 步 就 能 到 位 。 但 是 为 什 么 现 在 安 全 有 这 么 多 问 题 ？ 第 一 个 是 业 务 不 需 要 ， 第 二 个 是 总 裁 不 理 解 ， 第 三 个 是 大 家 没 有 危 机 意 识 。 总 体 来 说 ， 核 心 的 问 题 在 于 安 全 预 算 。 因 此 ， 明 确 建 立 安 全 团 队 对 业 务 有 什 么 帮 助 ， 通 过 业 务 排 序 和 风 险 排 序 确 定 安 全 优 先 级 ， 才 能 拿 到 更 多 的 预 算 。 此 外 ， 大 胆 选 用 第 三 方 产 品 也 是 一 个 不 错 的 选 择 。 议 题 三 ： 互 联 网 银 行 安 全 建 设 实 践 议 题 三 ： 互 联 网 银 行 安 全 建 设 实 践 吴 飞 飞 吴 飞 飞 — — 蚂 蚁 金 服 蚂 蚁 金 服 / 网 商 银 行 高 级 安 全 专 家 网 商 银 行 高 级 安 全 专 家 “ 只 要 没 有 人 搞 你 ， 其 实 很 难 去 发 现 你 是 做 的 真 好 还 是 假 好 。 ”
蚂 蚁 金 服 / 网 商 银 行 高 级 安 全 专 家   吴 飞 飞 吴 飞 飞 就 自 己 的 从 业 经 历 ， 分 享 了 一 些 安 全 理 念 ： 1 、 以 攻 促 防 ： 关 注 真 正 有 风 险 的 漏 洞 ， 把 时 间 花 在 急 迫 需 要 我 们 解 决 的 漏 洞 上 面 ， 快 速 响 应 这 些 风 险 ， 而 不 是 花 费 大 量 时 间 在 被 动 解 决 层 出 不 穷 的 日 常 漏 洞 上 。 2 、 红 蓝 对 抗 ： 没 有 人 攻 击 你 ， 你 永 远 不 知 道 安 全 防 护 有 没 有 真 的 做 好 。 因 此 ， 红 蓝 军 演 练 是 个 很 好 的 选 择 。 3 、 确 定 一 个 安 全 基 准 ， 然 后 只 要 时 间 足 够 长 ， 安 全 团 队 足 够 正 常 的 情 况 下 ， 安 全 水 位 一 定 是 能 够 慢 慢 上 来 的 。 4 、 安 全 招 聘 现 状 ： 薪 资 非 常 高 甚 至 高 于 研 发 ， 但 整 体 从 业 者 水 平 良 莠 不 齐 。 5 、 重 视 圈 子 文 化 ， 消 息 传 播 特 别 快 、 信 息 共 享 能 力 强 。 6 、 纵 深 防 御 ： 将 恶 意 抵 挡 在 外 是 最 终 目 的 ， 但 并 不 是 把 所 有 产 品 都 用 上 就 能 实 现 。 在 纵 深 防 御 的 链 路 中 ， 存 在 很 多 不 被 关 注 的 点 ， 只 有 把 该 守 好 的 口 子 守 住 了 才 能 达 到 整 体 的 效 果 。 议 题 四 ： 大 型 互 联 网 企 业 的 数 据 安 全 攻 与 防 议 题 四 ： 大 型 互 联 网 企 业 的 数 据 安 全 攻 与 防 钱 业 斐 钱 业 斐 — — 滴 滴 出 行 数 据 安 全 负 责 人 滴 滴 出 行 数 据 安 全 负 责 人 “ 安 全 、 体 验 、 便 利 从 来 不 都 冲 突 ， 三 者 可 以 并 存 。 ” 钱 业 斐 主 要 分 享 了 数 据 向 的 攻 防 ， 尤 其 是 企 业 内 部 员 工 、 合 作 方 的 数 据 如 何 确 保 不 会 被 违 规 泄 露 。 因 为 数 据 安 全 和 信 息 安 全 不 一 样 ， 后 者 面 临 的 的 攻 击 特 征 非 常 强 烈 ， 但 是 数 据 的 传 输 往 往 基 于 日 常 业 务 需 求 ， 频 次 高 、 更 日 常 ， 很 难 察 觉 异 常 。 因 此 ， 保 障 数 据 安 全 首 先 要 做 的 就 是 风 险 识 别 ， 通 过 数 据 感 知 哪 里 有 风 险 再 进 行 风 险 处 置 ， 而 整 体 的 数 据 安 全 的 搭 建 则 离 不 开 框 架 完 整 性 、 重 视 能 力 建 设 和 解 决 方 案 落 地 ， 除 了 这 3 点 ， 运 营 是 核 心 抓 手 ， 指 标 是 价 值 评 价 。
滴 滴 出 行 数 据 安 全 负 责 人   钱 业 斐 最 后 ， 钱 业 斐 总 结 ： 习 惯 性 用 数 据 驱 动 ， 不 要 用 感 性 认 识 评 定 该 如 何 做 。 重 视 内 部 员 工 的 数 据 安 全 行 为 ， 他 造 成 的 损 失 大 于 外 部 威 胁 。 I T 建 设 会 影 响 数 据 安 全 和 效 率 。 当 数 据 质 量 比 较 高 ， 可 以 使 用 全 自 动 化 。 数 据 安 全 人 才 的 建 立 是 漫 长 的 过 程 ， 但 依 然 要 培 养 。 议 题 五 ： 可 信 数 字 身 份 构 筑 企 业 信 息 安 全 议 题 五 ： 可 信 数 字 身 份 构 筑 企 业 信 息 安 全 谭 翔 谭 翔 — — 上 海 派 拉 软 件 股 份 有 限 公 司 总 经 理 上 海 派 拉 软 件 股 份 有 限 公 司 总 经 理 随 着 5 G 和 物 联 网 的 出 现 ， 安 全 问 题 可 能 会 延 伸 到 设 备 上 去 ， 带 来 去 边 界 化 问 题 和 动 态 访 问 。 从 而 变 成 人 在 哪 里 数 据 就 在 哪 里 ， 数 据 的 安 全 访 问 也 会 变 得 越 来 越 重 要 。 与 此 同 时 ， 企 业 数 据 不 仅 包 含 业 务 数 据 ， 还 有 个 人 数 据 。 其 中 ， 员 工 、 客 户 、 供 应 商 的 信 息 都 是 非 常 重 要 的 数 据 资 产 ， 但 这 些 数 据 资 产 又 面 临 内 部 和 外 部 的 各 种 威 胁 ， 成 为 企 业 头 疼 的 问 题 。 而 谭 翔 提 出 的 用 零 信 任 架 构 的 思 想 构 建 可 信 数 字 身 份 的 治 理 平 台 ， 给 出 了 新 的 思 路 。
上 海 派 拉 软 件 股 份 有 限 公 司 总 经 理   谭 翔 在 可 信 数 字 身 份 的 治 理 平 台 中 ， 用 户 包 括 了 员 工 、 供 应 商 和 客 户 ， 而 计 算 机 等 设 备 被 默 认 为 不 可 信 。 因 此 ， 在 零 信 任 的 情 况 下 往 往 需 要 先 验 证 再 建 立 连 接 ， 也 就 是 先 验 证 身 份 ， 其 中 涵 盖 了 认 证 与 授 权 、 访 问 策 略 ， 设 备 清 单 、 用 户 库 和 登 录 等 内 容 ， 做 到 安 全 访 问 。 整 个 身 份 管 理 体 系 里 面 ， 在 管 理 身 份 ， 数 字 化 转 型 方 面 则 通 过 自 动 化 操 作 身 份 鉴 别 、 授 权 、 身 份 应 用 接 入 ； 数 字 化 的 构 建 能 力 ， 搭 建 用 户 中 台 ， 做 好 用 户 的 身 份 管 理 。 圆 桌 讨 论 ： 圆 桌 讨 论 ： C S O 辩 安 全 辩 安 全 主 持 人 ： 主 持 人 ： 谭 晓 生 谭 晓 生 嘉 宾 ： 嘉 宾 ： 金 湘 宇 、 陈 建 、 张 作 裕 、 吴 飞 飞 、 钱 业 斐 金 湘 宇 、 陈 建 、 张 作 裕 、 吴 飞 飞 、 钱 业 斐
所 有 嘉 宾 议 题 环 节 结 束 ， 最 后 的 圆 桌 论 坛 环 节 ， 谭 晓 生 率 先 抛 出 关 于 合 规 性 的 问 题 ， 近 些 年 密 集 出 台 的 网 络 安 全 领 域 法 律 法 规 以 及 攻 防 演 练 活 动 ， 对 企 业 的 业 务 是 否 会 有 一 定 的 影 响 。 金 湘 宇 以 密 码 法 为 例 ， 他 认 为 密 码 法 的 出 台 肯 定 有 政 治 背 景 ， 在 2 0 1 0 年 之 前 就 有 电 子 商 务 部 他 们 提 出 整 个 密 码 化 的 要 求 ， 此 后 保 险 行 业 还 有 证 监 系 统 开 始 要 求 密 码 国 产 化 应 用 。 对 于 企 业 而 言 ， 肯 定 是 有 一 定 的 挑 战 的 。 而 在 蚂 蚁 金 服 ， 吴 飞 飞 表 示 ， 作 为 一 个 强 监 管 的 公 司 ， 有 专 门 的 部 门 做 标 准 化 ， 还 有 一 个 部 门 专 门 做 密 码 。 金 湘 宇 、 陈 建 纷 纷 认 同 ， 在 合 规 性 以 及 标 准 化 上 ， 阿 里 系 的 公 司 属 于 先 驱 。 结 合 上 午 主 论 坛 的 一 个 议 题 ， 谭 晓 生 又 丢 出 职 业 目 标 上 的 问 题 思 考 。 C S O 要 从 幕 后 走 到 董 事 会 ， 如 果 是 0 到 5 分 ， 现 在 走 了 几 分 ？ 钱 业 斐 表 示 ， 对 于 互 联 网 企 业 来 说 ， 安 全 要 求 很 高 ， 只 有 得 到 业 务 高 度 认 可 ， 可 能 我 们 才 能 走 得 更 近 。 究 竟 打 几 分 ， 没 有 数 据 驱 动 没 有 数 据 感 知 ， 我 打 这 个 东 西 没 有 用 。 对 于 这 个 问 题 似 乎 有 些 敏 感 ， 各 位 大 佬 似 乎 有 点 拘 束 。 张 作 裕 称 ， 对 于 像 阿 里 孵 化 下 面 的 创 业 型 公 司 来 讲 ， 重 要 的 不 是 说 进 董 事 会 ， 而 是 像 合 伙 人 一 样 的 在 这 个 团 队 里 面 做 事 情 。 而 且 阿 里 架 构 复 杂 ， 很 多 时 候 有 部 分 工 作 会 有 重 复 建 设 。 如 果 从 业 务 角 度 来 看 ， 他 认 为 自 己 应 该 可 以 打 3 分 ， 至 少 是 合 伙 人 的 角 色 。 而 对 于 平 安 集 团 而 言 ， 集 团 董 事 会 也 没 有 几 个 人 ， 想 进 去 就 差 太 远 了 ； 倒 是 单 论 平 安 科 技 的 话 ， 那 可 能 就 是 一 步 之 遥 。 公 司 治 理 角 度 来 说 ， C I T 、 C I O 都 不 是 董 事 会 ， 你 C S O 怎 么 进 去 。 这 个 还 是 企 业 对 科 技 的 重 视 度 和 他 的 认 同 。 当 最 后 谈 到 零 信 任 安 全 的 理 念 ， 在 座 的 嘉 宾 几 乎 都 一 致 的 表 示 认 可 。 钱 业 斐 、 吴 飞 飞 都 透 露 公 司 已 经 在 往 零 信 任 的 方 向 去 做 了 ， 甚 至 有 试 图 打 造 一 个 全 层 面 体 系 化 的 零 信 任 。 不 过 陈 建 认 为 ， 零 信 任 从 概 念 上 来 说 并 没 有 什 么 特 别 之 处 。 安 全 本 身 就 解 决 信 任 问 题 ， 因 为 你 在 安 全 很 多 边 界 内 部 是 没 有 办 法 做 到 信 任 ， 所 以 零 信 任 。 内 网 管 控 也 是 很 严 的 就 是 零 信 任 ， 只 是 很 多 传 统 的 企 业 ， 就 是 内 网 我 觉 得 安 全 ， 所 以 说 我 没 有 管 控 ， 所 以 带 来 零 信 任 架 构 的 提 法 。 在 他 看 来 ， 这 个 架 构 理 念 本 来 就 是 安 全 应 该 朝 的 方 向 。 结 语 结 语 这 场 C S O 论 坛 全 场 人 满 为 患 ， 有 谭 晓 生 、 金 湘 宇 、 聂 君 等 大 佬 撑 场 也 是 质 量 的 保 证 ， 从 整 体 议 题 内 容 上 来 看 ， 也 都 是 当 下 诸 多 企 业 会 面 临 困 惑 的 问 题 ， 或 是 企 业 安 全 建 设 ， 或 是 数 据 保 护 ， 亦 或 身 份 认 证 等 等 ， 还 目 睹 一 场 精 彩 的 圆 桌 话 题 讨 论 。 从 企 业 安 全 负 责 人 到 C S O ， 也 许 是 头 衔 几 个 字 的 差 别 ， 但 可 能 需 要 安 全 理 念 上 的 颠 覆 ， 需 要 有 更 好 的 大 局 观
以 及 业 务 考 量 ， 不 局 限 于 技 术 层 面 ， 每 一 位 到 场 的 观 众 或 许 也 在 考 虑 ， 自 己 到 安 全 负 责 人 、 C S O 甚 至 是 进 入 董 事 会 ， 到 底 走 了 几 分 … … * 本 文 作 者 ： 本 文 作 者 ： k i r a z h o u 、 、 s h i d o n g q i ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理