搜索

[12944] 2018-07-14_基于不同视角的安全管理

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-07-14_基于不同视角的安全管理 基 于 不 同 视 角 的 安 全 管 理 g o o d 1 2 0 5   F r e e B u f   2 0 1 8 - 0 7 - 1 4 常 常 被 问 到 几 个 类 似 的 问 题 常 常 被 问 到 几 个 类 似 的 问 题 “ 为 什 么 国 内 很 少 听 到 真 正 为 什 么 国 内 很 少 听 到 真 正 C S O 、 、 C I S O 的 职 位 与 人 员 的 职 位 与 人 员 ” 、 、 “ 如 何 做 好 一 个 企 业 的 安 全 如 何 做 好 一 个 企 业 的 安 全 负 责 人 负 责 人 ” “ 一 个 企 业 安 全 负 责 人 应 该 具 备 什 么 样 的 能 力 要 素 一 个 企 业 安 全 负 责 人 应 该 具 备 什 么 样 的 能 力 要 素 ” 等 等 。 等 等 。 首 先 C S O 、 C I S O 在 很 多 企 业 里 还 没 有 上 升 到 一 个 正 式 的 职 位 ， 现 在 见 的 比 较 多 的 其 实 是 “ 公 司 信 息 安 全 第 一 负 责 人 ” ， 这 个 理 解 起 来 容 易 ， 这 里 谈 到 的 “ 如 何 做 好 首 席 安 全 官 ” 也 是 这 个 概 念 ， 另 外 就 是 讨 论 的 范 围 仅 限 于 甲 方 公 司 ， 也 就 是 “ 企 业 安 全 ” 领 域 。 首 席 安 全 官 的 十 二 个 基 本 能 力 要 素 。 第 一 条 ： 业 务 理 解 与 赋 能 第 一 条 ： 业 务 理 解 与 赋 能 业 务 、 作 为 高 级 别 安 全 人 员 ， 应 该 对 自 己 企 业 、 所 处 行 业 的 业 务 有 足 够 的 认 识 与 理 解 ， 业 务 模 式 是 什 么 ？ 靠 什 么 赚 钱 ？ 钱 是 怎 么 花 出 去 的 ？ 业 务 的 架 构 是 什 么 样 子 ？ 核 心 的 业 务 能 力 是 什 么 ？ 支 持 这 些 业 务 开 展 的 业 务 核 心 流 程 是 哪 些 ？ 支 持 性 的 业 务 流 程 与 职 能 有 哪 些 ？ 业 务 职 责 分 工 ？ 关 键 业 务 人 员 、 团 队 ？ 支 撑 核 心 业 务 的 系 统 有 哪 些 ？ 技 术 团 队 关 键 人 员 ？ 等 等 问 题 ， 这 些 获 取 信 息 、 了 解 清 楚 并 不 难 ， 即 使 在 大 型 互 联 网 公 司 、 大 型 集 团 ， 以 核 心 业 务 为 切 入 点 ， 也 是 完 全 可 以 上 手 的 ， 时 间 也 在 可 接 受 的 范 围 。 有 了 这 些 信 息 的 积 累 ， 信 息 安 全 工 作 可 以 做 的 更 实 在 更 贴 合 业 务 ， 信 息 安 全 的 价 值 更 容 易 体 现 。 当 业 务 对 信 息 安 全 团 队 有 了 信 心 与 信 任 ， 那 么 一 起 并 肩 作 战 、 赋 能 的 日 子 也 就 不 远 了 。 相 反 ， 安 全 人 员 把 自 己 关 在 办 公 室 ， 闷 头 想 方 案 ， 业 务 有 哪 些 部 门 、 那 些 团 队 、 在 做 什 么 事 情 都 说 不 清 ， 指 望 他 们 去 为 业 务 护 航 保 驾 ， 你 信 吗 ？ 第 二 条 ： 安 全 治 理 与 战 略 规 划 第 二 条 ： 安 全 治 理 与 战 略 规 划 说 到 安 全 治 理 ， 除 了 一 般 提 到 的 组 织 保 障 、 资 源 投 入 等 方 面 以 外 ， 更 多 在 以 下 五 个 方 面 考 虑 ： 1 . 战 略 一 致 性 ， 信 息 安 全 的 战 略 与 重 点 应 该 与 业 务 的 战 略 、 布 局 、 拓 展 等 能 力 需 求 保 持 一 直 ， 这 个 听 起 来 简 单 ， 做 起 来 并 不 容 易 ， 尤 其 在 快 速 发 展 与 变 革 的 组 织 中 ， 很 考 验 安 全 L e a d e r 的 业 务 理 解 、 大 型 团 队 管 理 能 力 、 资 源 投 放 能 力 。 如 果 做 不 到 ， 后 果 常 见 为 安 全 团 队 变 成 救 火 队 员 、 业 务 “ 裸 奔 “ 、 领 导 们 逐 步 对 安 全 丧 失 信 心 等 。 2 . 价 值 实 现 ， 信 息 安 全 是 有 价 值 的 ！ 这 个 做 不 做 安 全 的 人 都 不 会 反 对 ， 但 如 何 体 现 出 现 来 呢 ？ 也 就 是 如 何 实 现 呢 ？ 企 业 信 息 安 全 绝 不 应 该 仅 仅 是 安 全 产 品 与 安 全 技 术 ， 酒 香 也 怕 巷 子 深 ， 不 能 让 业 务 认 可 并 最 终 产 生 应 用 效 果 的 安 全 技 术 都 是 信 息 安 全 部 门 在 “ 耍 流 氓 “ 式 的 自 娱 自 乐 。 不 管 是 前 瞻 性 的 研 究 还 是 实 用 性 的 落 地 技 术 与 产 品 ， 信 息 安 全 部 门 的 成 本 投 入 如 何 转 化 成 生 产 力 、 产 品 技 术 壁 垒 、 商 业 竞 争 优 势 、 业 务 保 障 能 力 都 是 考 验 C S O 们 的 能 力 。 3 . 风 险 优 化 ， “ 影 响 目 标 实 现 的 不 确 定 性 因 素 “ （ 定 义 来 自 ， 尼 古 拉 斯 · 西 蒙 · 吴 ， 极 简 化 理 解 仅 供 参 考 ） 。 在 那 些 可 能 影 响 现 在 、 未 来 业 务 生 存 与 发 展 的 地 方 ， 在 可 能 导 致 公 司 归 零 的 领 域 ， 优 化 风 险 管 理 能 力 、 优 化 信 息 安 全 战 场 态 势 、 变 被 动 为 主 动 能 力 ， 是 信 息 安 全 风 险 的 关 键 优 化 要 求 。 以 业 务 与 风 险 为 导 向 ， 以 威 胁 为 驱 动 手 段 ， 从 管 理 、 技 术 、 人 的 纵 深 ； 从 业 务 自 身 能 力 、 安 全 风 险 管 控 能 力 、 安 全 监 督 审 计 能 力 的 纵 深 ； 从 业 务 外 延 领 域 、 虚 拟 边 界 领 域 、 核 心 能 力 领 域 的 纵 深 ， 进 行 全 面 安 全 风 险 整 合 优 化 ， 提 升 感 知 、 管 控 、 处 置 、 迭 代 能 力 。 4 . 资 源 投 放 效 率 ， 安 全 治 理 中 需 要 解 决 安 全 资 源 投 放 效 率 的 问 题 ， 安 全 人 员 总 数 有 限 ， 招 聘 难 度 大 ， 内 部 团 队 规 模 有 限 ， 资 金 支 持 也 是 在 一 定 的 预 算 范 围 内 ， 能 不 能 把 资 源 合 理 使 用 ， 最 大 化 发 挥 价 值 ， 不 管 是 用 R O I （ 投 资 回 报 ） 测 算 还 是 A L E （ 年 预 期 损 失 ） 与 管 控 成 本 差 等 方 法 ， 需 要 管 理 技 巧 对 资 源 进 行 合 理 投 放 ， 但 这 方 面 安 全 团 队 的 管 理 成 熟 度 与 对 安 全 全 面 理 解 与 把 控 能 力 上 面 临 很 大 的 挑 战 。 5 . 度 量 评 价 ， 安 全 的 效 果 衡 量 ， 资 源 使 用 的 度 量 评 价 ， 是 安 全 治 理 中 结 果 呈 现 环 节 的 核 心 ， 无 法 衡 量 的 价 值 可 以 作 为 一 句 漂 亮 的 P R 语 句 ， 但 如 果 试 图 用 这 个 说 法 找 高 层 要 资 源 、 谈 业 绩 ， 那 么 结 果 可 能 不 一 定 漂 亮 。 安 全 的 指 标 体 系 、 评 价 方 法 可 以 参 考 的 内 容 不 多 ， 但 金 融 行 业 风 险 管 理 与 指 标 度 量 方 法 、 I S O 2 7 0 0 中 的 信 息 安 全 测 量 方 法 可 以 借 鉴 ， 但 实 践 中 能 够 落 到 实 处 的 基 本 还 是 根 据 企 业 实 际 业 务 情 况 结 合 安 全 体 系 所 构 建 的 针 对 性 测 评 指 标 更 容 易 发 挥 作 用 ， 如 建 设
类 的 具 体 能 力 点 的 覆 盖 率 、 准 确 率 、 召 回 率 、 稳 定 性 等 ， 运 营 类 的 平 均 事 件 响 应 时 间 、 平 均 漏 洞 修 复 时 间 等 。 这 五 个 方 面 是 安 全 治 理 中 比 较 关 键 的 问 题 ， 也 是 考 验 管 理 能 力 、 全 局 视 野 能 力 与 掌 控 能 力 的 关 键 成 功 要 素 ， 另 外 提 到 的 安 全 战 略 规 划 ， 建 议 有 需 求 的 人 员 看 看 E A （ 企 业 架 构 ） 方 法 ， 前 提 是 你 需 要 有 很 强 的 安 全 能 力 背 景 。 第 三 条 ： 安 全 风 险 管 理 第 三 条 ： 安 全 风 险 管 理 以 风 险 为 导 向 的 信 息 安 全 ， 很 多 人 听 说 过 概 念 ， 但 实 际 系 统 化 做 过 的 其 实 业 内 并 不 多 。 传 统 的 安 全 风 险 评 估 ， 从 资 产 、 威 胁 、 脆 弱 性 入 手 ， 以 I S O 1 3 3 3 5 为 主 要 参 考 方 法 ， 大 部 分 乙 方 安 全 公 司 都 是 这 个 套 路 ， 好 处 是 方 法 论 成 熟 、 参 考 依 据 充 分 、 通 用 性 强 ， 但 也 有 一 些 明 显 的 短 板 ， 如 资 产 是 以 传 统 资 产 为 主 ， 如 服 务 器 、 设 备 、 信 息 系 统 ， 以 资 产 清 单 为 出 发 点 ， 在 大 型 企 业 、 快 速 发 展 的 企 业 、 重 数 据 资 产 的 情 况 下 ， 会 出 现 方 法 过 重 、 收 益 不 明 确 、 变 更 困 难 、 重 点 不 突 出 等 问 题 ， 导 致 风 险 评 估 结 果 与 实 际 情 况 有 较 大 出 入 ， 另 外 就 是 与 业 务 场 景 的 契 合 度 较 低 ， 好 像 风 险 评 估 团 队 在 自 说 自 话 。 传 统 的 企 业 风 险 管 理 方 法 中 ， 是 以 业 务 为 核 心 视 角 ， 通 过 企 业 核 心 业 务 价 值 链   – >   业 务 流 程   – >   业 务 风 险   – >   风 险 管 控 措 施   – >   风 险 评 价 审 计 等 环 节 ， 把 企 业 风 险 管 理 进 行 逐 步 落 地 ， 同 时 通 过 风 险 治 理 、 风 险 容 忍 度 偏 好 等 ， 约 束 与 修 正 风 险 管 控 行 为 与 资 源 投 入 。 参 考 的 方 法 包 括 企 业 全 面 风 险 管 理 、 C O S O - E R M 、 I S O 3 1 0 0 0 等 国 内 外 最 佳 时 间 要 求 。 这 些 方 法 的 好 处 是 方 法 通 用 ， 尤 其 是 上 市 公 司 资 本 市 场 合 规 要 求 、 企 业 治 理 要 求 等 方 面 得 到 很 好 遵 从 ， 风 险 体 系 框 架 全 面 ， 分 解 层 级 环 环 相 扣 ， 短 板 是 在 引 入 安 全 风 险 管 理 的 要 求 后 ， 体 系 化 结 构 中 缺 少 安 全 视 角 的 分 析 过 程 、 对 应 的 解 决 方 案 落 地 能 力 以 及 对 安 全 技 术 、 安 全 管 理 等 主 流 安 全 管 控 要 求 的 对 接 ， 能 不 能 实 现 预 定 的 效 果 预 期 ， 完 全 看 实 施 团 队 中 是 否 具 备 全 面 风 险 管 理 与 扎 实 安 全 能 力 的 人 员 了 。 于 是 安 全 风 险 管 理 的 方 法 ， 可 以 在 两 种 流 派 中 取 长 补 短 ， 在 业 务 风 险 之 后 不 急 于 对 接 管 控 措 施 ， 而 是 将 业 务 风 险 中 信 息 安 全 相 关 场 景 识 别 出 来 ， 分 解 技 术 方 案 与 管 理 措 施 落 地 。 企 业 核 心 业 务 价 值 链   = 》 业 务 流 程   = 》 业 务 风 险 = 》 安 全 风 险   = 》 安 全 管 控   = 》 安 全 方 案   = 》 企 业 安 全 落 地 实 践 。 业 务 风 险 与 安 全 风 险 之 间 通 过 安 全 威 胁 、 技 术 架 构 、 安 全 场 景 进 行 衔 接 ， 确 保 安 全 与 业 务 的 契 合 ， 同 时 基 于 目 前 安 全 技 术 实 现 能 力 ， 持 续 自 适 应 风 险 与 信 任 评 估 （ C A R T A ） 是 完 全 有 可 能 落 地 的 。 本 着 安 全 风 险 以 终 为 始 （ B e g i n   w i t h t h e   e n d   i n   m i n d ） 的 目 标 ， 总 结 了 五 大 常 见 安 全 风 险 目 标 分 类 ， 仅 供 参 考 ： 核 心 资 产 核 心 资 产 持 续 业 务 能 力 持 续 业 务 能 力 资 金 相 关 资 金 相 关 合 规 、 归 零 合 规 、 归 零 声 誉 、 商 誉 、 品 牌 声 誉 、 商 誉 、 品 牌 第 四 条 ： 安 全 技 术 与 架 构 第 四 条 ： 安 全 技 术 与 架 构 安 全 技 术 不 是 漏 洞 ， 安 全 体 系 不 是 2 7 0 0 1 ， 安 全 架 构 不 是 集 群 部 署 ， 很 简 单 的 概 念 与 区 别 ， 但 安 全 人 员 往 往 自 己 都 混 为 一 谈 。 安 全 技 术 与 架 构 是 企 业 安 全 的 基 础 工 作 ， 技 术 方 案 的 执 行 其 实 是 安 全 管 理 理 念 的 延 伸 与 落 地 ， 能 用 技 术 解 决 的 问 题 就 不 要 完 全 靠 人 和 制 度 要 求 来 控 制 ， 道 理 很 简 单 不 浪 费 文 字 了 。 安 全 技 术 与 架 构 强 调 了 企 业 安 全 的 纵 深 防 护 能 力 ， 以 缩 短 自 由 攻 击 时 间 窗 口 为 目 标 的 分 析 感 知 能 力 ， 以 降 低 平 均 检 测 时 间 与 平 均 响 应 时 间 为 目 标 的 安 全 技 术 运 营 能 力 。 纵 深 防 护 的 概 念 已 经 有 十 几 年 的 历 史 了 ， 但 放 到 现 在 企 业 安 全 领 域 仍 然 不 过 时 ， 从 业 务 外 延 环 境 、 逻 辑 边 界 与 安 全 域 到 核 心 组 件 区 域 的 层 层 感 知 、 管 控 能 力 ， 动 态 防 御 与 检 测 机 制 、 离 线 分 析 能 力 等 的 建 设 与 运 营 ， 构 建 了 事 前 、 事 中 、 事 后 的 技 术 机 制 纵 深 ， 从 而 为 攻 防 对 抗 提 供 了 更 加 丰 富 的 手 段 与 场 景 。 说 到 企 业 安 全 的 技 术 架 构 ， 可 以 从 水 平 与 垂 直 两 个 角 度 看 ， 水 平 方 向 简 单 罗 列 一 下 可 以 分 为 产 品 区 域 、 生 产 区 域 、 内 网 区 域 、 合 作 区 域 四 个 方 面 ， 其 中 ： 1 . 产 品 区 域 是 指 公 司 的 产 品 投 放 出 去 后 的 不 可 控 环 境 ， 如 A p p 、 I o T 产 品 等 ， 这 个 区 域 的 特 点 是 攻 击 方 可 以 在 不 受 防 守
方 干 扰 的 情 况 下 进 行 各 种 尝 试 ， 如 破 解 、 调 试 、 逆 向 、 拆 解 、 改 装 等 。 防 守 方 可 以 采 取 产 品 侧 加 固 、 破 解 调 试 对 抗 、 代 码 混 淆 、 心 跳 存 活 打 点 、 数 字 签 名 等 多 种 方 式 ， 这 个 区 域 可 以 放 任 也 可 以 强 对 抗 ， 取 决 于 公 司 的 资 源 与 防 御 边 界 选 择 。 2 . 生 产 区 域 是 指 公 司 核 心 的 生 产 网 络 、 设 备 、 系 统 、 数 据 的 部 署 区 域 ， 边 界 安 全 、 流 量 分 析 、 W A F 、 主 机 防 护 、 网 络 安 全 、 区 域 隔 离 、 横 向 导 控 、 日 志 分 析 、 应 用 系 统 安 全 、 漏 洞 管 理 、 堡 垒 机 、 权 限 控 制 等 是 这 个 区 域 的 一 些 关 键 技 术 与 产 品 。 3 . 内 网 区 域 是 指 公 司 办 公 与 职 场 环 境 下 的 安 全 场 景 ， 包 括 办 公 网 络 安 全 、 边 界 防 御 、 流 量 分 析 控 制 、 办 公 服 务 主 机 安 全 、 应 用 安 全 （ 如 O A 、 E R P 、 财 务 等 内 部 管 理 系 统 ） 、 W A F 、 安 全 域 、 终 端 管 理 、 D L P 、 B Y O D 、 I A M 、 V P N 等 是 这 一 区 域 的 常 见 技 术 与 产 品 ， 同 时 物 理 安 全 的 智 能 摄 像 头 、 门 禁 、 监 控 闭 路 、 红 外 探 测 、 强 弱 电 控 制 等 也 是 这 个 区 域 所 关 注 的 。 由 于 内 网 区 域 的 环 境 复 杂 ， 涉 及 范 围 广 ， 管 理 起 来 既 有 可 能 比 生 产 区 域 更 复 杂 与 多 样 。 目 前 来 看 ， 对 内 网 区 域 的 渗 透 、 A P T （ 高 级 持 续 性 威 胁 ） 从 技 术 上 来 说 入 门 门 槛 较 低 ， 成 功 几 率 更 高 ， 从 商 业 价 值 来 说 可 能 更 大 。 对 于 商 业 间 谍 类 的 技 术 渗 透 也 往 往 集 中 在 这 个 区 域 。 当 然 ， 现 在 也 有 一 些 公 司 宣 称 “ 无 内 网 ” ， 这 个 是 建 立 在 完 善 的 感 知 能 力 、 监 控 能 力 、 管 控 体 系 支 撑 的 基 础 之 上 ， 以 国 内 大 部 分 公 司 的 情 况 ， 短 期 内 还 很 难 突 破 。 4 . 统 一 服 务 型 网 关 ， 也 许 更 加 适 用 。 5 . 合 作 区 域 是 指 与 公 司 有 关 系 、 有 连 接 、 有 交 互 界 面 的 一 类 区 域 的 统 称 ， 包 括 如 外 包 集 中 办 公 区 、 合 作 伙 伴 系 统 连 接 区 域 、 供 应 商 系 统 连 接 区 域 、 业 务 上 下 游 组 织 的 连 接 区 域 等 ， 总 之 不 在 公 司 的 强 管 控 范 围 内 但 又 有 系 统 、 数 据 、 设 备 等 组 件 部 署 、 对 接 的 区 域 。 这 类 区 域 的 安 全 ， 不 仅 要 考 虑 公 司 自 身 的 安 全 能 力 与 防 护 实 现 ， 还 需 要 关 注 业 务 延 伸 后 合 作 方 的 能 力 与 防 护 边 界 拓 展 问 题 ， 除 了 生 产 、 内 网 中 提 到 的 安 全 技 术 与 产 品 以 外 ， 常 常 通 过 设 置 安 全 缓 冲 区 、 虚 拟 边 界 、 外 部 持 续 监 控 平 台 等 技 术 产 品 ， 对 合 作 区 域 中 延 伸 、 衔 接 部 分 进 行 防 护 ， 并 通 过 持 续 的 运 营 能 力 提 供 及 时 、 有 效 的 检 测 与 响 应 处 置 。 6 . 垂 直 方 向 的 技 术 架 构 可 以 参 考 技 术 栈 的 方 式 ， 分 为 物 理 层 、 网 络 层 、 主 机 层 、 数 据 层 、 应 用 层 、 管 理 层 的 防 护 ， 不 同 层 级 分 别 部 署 对 应 能 力 ， 多 层 级 间 信 息 联 动 与 协 防 。 第 五 条 ： 安 全 管 理 第 五 条 ： 安 全 管 理 曾 经 江 湖 传 闻 安 全 有 各 种 流 派 ， 其 中 有 一 门 为 管 理 标 准 派 ， 独 门 秘 笈 为 “ B S 7 7 9 9 、 I S O 1 7 7 9 9 、 I S O 2 7 0 0 1 “ （ 特 别 备 注 ： 谈 管 理 就 把 这 几 个 数 字 挂 在 嘴 边 的 同 学 ， 有 一 部 分 可 能 对 B S 和 I S O 的 概 念 还 搞 不 清 楚 呢 ） 。 甲 方 安 全 管 理 、 咨 询 公 司 、 乙 方 安 全 服 务 团 队 中 常 有 身 影 出 现 ， 由 于 这 个 方 向 业 界 根 深 蒂 固 的 印 象 ， 以 为 安 全 管 理 就 是 一 些 ” 体 系 “ ” 标 准 “ 的 拼 接 甚 至 囫 囵 吞 枣 式 的 生 搬 硬 套 （ 事 实 上 很 多 人 也 确 实 是 这 么 做 的 ， 所 以 如 此 印 象 也 不 能 怪 别 人 ） 。 安 全 管 理 是 企 业 安 全 中 非 常 重 要 的 组 成 部 分 ， 为 信 息 安 全 工 作 提 供 管 理 抓 手 、 制 度 依 据 、 和 流 程 保 障 。 法 制 社 会 常 常 提 到 “ 有 法 可 依 、 有 法 必 依 、 执 法 必 严 、 违 法 必 究 ” ， 安 全 管 理 就 是 实 现 公 司 内 “ 法 制 环 境 ” 一 个 最 为 重 要 的 能 力 ， 能 做 什 么 、 不 能 做 什 么 、 怎 么 做 、 如 果 违 反 有 什 么 后 果 、 权 责 分 配 、 文 化 环 境 的 基 调 等 等 都 是 通 过 各 种 制 度 、 规 范 、 流 程 、 文 件 加 以 约 定 ， 安 全 技 术 的 运 用 在 某 种 意 义 上 也 是 管 理 理 念 的 延 伸 与 具 体 化 实 现 。 拉 回 到 具 体 工 作 ， 安 全 管 理 不 简 单 等 同 于 体 系 标 准 ， 根 据 公 司 的 情 况 与 管 理 风 格 ， 一 个 公 司 安 全 管 理 规 范 可 能 能 够 覆 盖 大 部 分 常 见 的 场 景 ， 这 样 就 没 有 必 要 马 上 弄 一 个 文 档 制 度 体 系 。 即 使 是 需 要 构 建 管 理 体 系 ， 在 各 个 方 向 上 的 发 力 点 也 是 不 同 的 ， 可 以 从 几 个 最 急 迫 、 最 痛 的 管 理 诉 求 开 始 ， 如 公 司 账 号 、 权 限 管 理 要 求 、 数 据 保 密 制 度 等 等 ， 在 业 务 运 作 与 安 全 管 控 之 间 构 建 一 个 合 适 的 平 衡 体 系 ， 这 个 非 常 考 验 安 全 负 责 人 的 管 理 智 慧 。 “ 兵 无 常 态 ， 水 无 常 势 ” ， 无 相 无 形 但 并 不 代 表 可 以 “ 乱 “ ， 安 全 管 理 做 成 常 态 救 火 就 是 管 理 的 悲 哀 了 。 安 全 管 理 是 一 种 艺 术 与 技 术 的 结 合 ， 作 为 C S O 在 安 全 管 理 这 个 领 域 ， 比 较 高 的 境 界 格 局 需 要 做 到 心 有 体 系 、 落 地 无 痕 。 第 六 条 ： 业 务 安 全 与 风 控 第 六 条 ： 业 务 安 全 与 风 控 业 务 安 全 目 前 在 互 联 网 公 司 、 金 融 行 业 做 的 比 较 深 入 ， 团 队 规 模 、 技 术 能 力 都 具 有 一 定 的 积 累 。 作 弊 、 薅 羊 毛 、 刷 单 刷 卷 、 黑 名 单 黑 设 备 、 封 号 、 外 挂 等 等 是 这 个 领 域 常 见 的 关 键 词 ， 尤 其 是 属 于 互 联 网 业 务 的 关 键 词 ， 但 如 果 我 们 把 视 角 放 得 更 大 一 点 ， 行 业 广 度 更 宽 一 些 ， 业 务 安 全 与 风 控 的 内 容 与 关 键 词 会 更 准 确 与 合 理 。
业 务 安 全 与 风 控 常 涉 及 的 领 域 包 括 以 下 几 个 ： 1 . 业 务 安 全 ， 包 括 反 作 弊 、 防 刷 单 、 黑 产 对 抗 、 账 号 体 系 安 全 、 资 金 交 易 安 全 等 等 ， 基 于 业 务 场 景 的 实 时 与 离 线 方 式 下 的 查 杀 能 力 与 对 抗 体 系 。 这 个 也 是 狭 义 上 我 们 常 见 的 业 务 安 全 。 2 . 业 务 风 控 ， 由 于 业 务 本 身 的 活 动 与 环 境 造 成 的 各 种 风 险 的 应 对 与 管 控 。 包 括 企 业 与 个 人 的 信 用 体 系 的 建 设 与 应 用 ； 银 行 业 的 巴 塞 尔 资 本 协 议 （ B a s e l   I & I I & I I I ） 中 对 资 本 充 足 率 的 要 求 以 及 信 用 风 险 、 市 场 风 险 、 操 作 风 险 的 计 量 与 管 理 ； 保 险 业 的 最 低 偿 付 标 准 （ S o l v e n c y   I & I I ） 等 ， 金 融 行 业 的 业 务 本 质 就 是 在 经 营 风 险 ， 因 此 业 务 是 围 绕 着 对 风 险 的 合 理 运 营 并 最 大 化 风 险 收 益 而 进 行 的 ， 安 全 风 控 的 主 体 也 是 围 绕 着 这 些 概 念 在 进 行 的 。 3 . 内 部 控 制 ， 这 个 概 念 较 早 出 现 在 财 务 领 域 ， 由 各 种 财 务 舞 弊 丑 闻 触 发 下 资 本 监 管 市 场 提 出 了 加 强 内 部 控 制 、 提 高 财 务 报 表 准 确 性 要 求 ， 上 市 公 司 纷 纷 进 行 内 部 控 制 建 设 ， 相 应 的 理 论 与 最 佳 实 践 框 架 也 在 外 部 审 计 师 、 企 业 内 部 控 制 人 员 以 及 资 本 市 场 监 管 机 构 的 共 同 推 动 与 组 织 下 逐 步 成 熟 。 代 表 性 的 如 C O S O 、 C O S O - E R M 、 S a r b a n e s - O x l e y 法 案 （ 尤 其 3 0 2 、 4 0 4 、 9 0 6 、 4 0 9 等 条 款 ， 其 中 最 为 著 名 的 4 0 4 条 款 ， 就 是 我 们 常 见 的 S o x - 4 0 4 关 于 内 部 控 制 方 面 的 要 求 ） 、 中 国 五 部 委 联 合 发 布 的 企 业 内 部 控 制 基 本 规 范 等 。 随 着 风 险 管 理 方 面 的 深 入 ， 内 部 控 制 也 从 最 初 的 财 务 领 域 向 业 务 领 域 扩 展 ， 从 最 新 的 C O S O 与 E R M 中 就 可 以 看 到 整 个 视 角 的 变 化 。 第 七 条 ： 安 全 运 营 第 七 条 ： 安 全 运 营 前 面 提 到 的 几 个 方 向 比 较 多 的 介 绍 了 方 法 、 框 架 、 常 用 的 技 术 与 理 论 ， 可 以 理 解 为 视 角 集 中 在 建 设 ， 当 然 不 管 是 感 知 能 力 、 分 析 能 力 、 防 护 能 力 等 等 能 力 的 获 取 （ 不 管 是 自 行 开 发 、 外 部 采 购 、 合 作 分 享 等 ） 都 可 以 笼 统 的 归 结 在 建 设 这 个 维 度 ， 也 就 是 各 种 能 力 不 会 是 凭 空 来 的 ， 是 需 要 通 过 必 要 的 途 径 才 能 获 得 ， 而 获 得 的 成 本 不 仅 仅 是 资 金 、 人 力 ， 对 于 企 业 安 全 来 说 ， 时 间 成 本 往 往 很 可 能 大 于 其 他 成 本 ， 所 以 合 理 途 径 与 方 式 也 是 考 验 C S O 的 执 政 理 念 了 。 回 到 运 营 这 个 话 题 ， 重 建 设 轻 运 营 是 很 多 公 司 的 通 病 ， 国 内 外 那 些 听 名 字 就 让 人 仰 止 的 公 司 也 没 好 多 少 ， 在 咨 询 公 司 的 职 业 生 涯 中 有 幸 可 以 在 全 球 范 围 内 提 供 服 务 的 同 时 深 入 这 些 公 司 实 实 在 在 的 去 ” 望 闻 问 切 ， 治 病 救 人 “ ， 情 况 远 比 想 象 更 精 彩 。 安 全 设 备 、 系 统 、 产 品 的 堆 砌 并 不 难 ， 难 的 是 运 用 起 来 ， 有 人 管 有 人 看 ， 能 用 会 用 方 可 发 挥 价 值 ， 安 全 的 价 值 如 何 体 现 ？ 安 全 运 营 领 域 的 价 值 可 以 做 的 很 实 在 、 很 接 地 气 。 在 合 适 的 地 方 部 署 适 当 的 能 力 ， 这 个 看 重 的 是 覆 盖 率 、 准 确 率 和 召 回 率 ， 处 于 建 设 期 的 更 应 该 侧 重 这 类 的 指 标 与 能 力 ， 那 么 处 于 运 营 期 ， M T T D （ 平 均 检 测 时 间 ） 、 M T T R （ 平 均 响 应 时 间 ） 就 比 较 重 要 了 ， 这 两 个 指 标 反 映 了 感 知 发 现 能 力 与 管 控 处 置 能 力 。 不 同 时 期 指 标 与 侧 重 点 是 不 一 样 的 ， 这 是 个 容 易 走 弯 路 的 地 方 。 另 外 ， 在 运 营 态 下 ， 在 线 、 离 线 能 力 的 运 用 、 串 并 联 方 式 的 合 理 布 局 以 及 ” 查 “ “ 杀 ” 手 段 的 使 用 也 是 非 常 关 键 的 地 方 。 通 过 在 线 能 力 进 行 防 御 性 处 置 、 通 过 离 线 能 力 进 行 查 缺 补 漏 与 验 证 以 及 优 化 在 线 场 景 规 则 要 求 ； 通 过 串 行 方 式 的 同 步 干 预 处 置 能 力 、 通 过 并 行 方 式 的 异 步 全 量 验 证 能 力 可 以 满 足 更 加 复 杂 的 业 务 环 境 要 求 ； 通 过 上 帝 视 角 的 “ 查 “ 的 能 力 、 通 过 判 官 视 角 的 ” 杀 “ 的 能 力 可 以 满 足 即 时 对 抗 与 体 系 化 通 盘 布 局 对 抗 的 选 择 要 求 。 第 八 条 ： 本 地 政 府 、 监 管 理 解 与 法 律 法 规 合 规 第 八 条 ： 本 地 政 府 、 监 管 理 解 与 法 律 法 规 合 规 信 息 安 全 很 多 时 候 可 以 看 做 是 最 接 近 武 侠 小 说 中 “ 江 湖 “ 的 概 念 ， 但 ” 江 湖 “ 从 来 不 是 法 外 之 地 ， 知 法 、 懂 法 、 尊 法 、 用 法 是 最 基 本 的 要 求 。 随 着 国 际 化 的 不 断 深 入 ， 中 国 企 业 走 出 去 、 国 外 企 业 走 进 来 都 离 不 开 法 律 法 规 的 遵 循 与 合 理 运 用 ， 更 进 一 步 来 说 一 些 业 界 最 佳 实 践 、 国 际 标 准 、 行 业 指 南 不 应 该 仅 仅 是 简 单 的 符 合 要 求 ， 更 能 成 为 企 业 基 本 能 力 的 公 允 说 明 、 重 视 程 度 的 态 度 表 达 和 沟 通 协 作 的 统 一 ” 语 言 界 面 “ 。 在 国 内 开 展 信 息 安 全 相 关 工 作 ， 一 些 基 本 要 求 需 要 得 到 有 效 关 注 与 落 实 ， 如 2 0 1 7 年 6 月 1 日 实 施 的 《 网 络 安 全 法 》 以 及 配 套 的 系 列 法 规 要 求 ； 刑 法 2 8 5 、 2 8 6 条 款 以 配 套 司 法 解 释 ； 信 息 系 统 等 级 保 护 相 关 的 系 列 ； 《 个 人 信 息 安 全 保 护 规 范 》 ； 各 行 业 主 管 机 构 的 相 关 要 求 。 全 球 开 展 业 务 中 ， 数 据 与 隐 私 保 护 会 是 面 临 的 主 要 挑 战 ， 如 G D P R （ 欧 盟 通 用 数 据 保 护 方 案 ） 、 H I P A A （ H e a l t h   I n s u r a n c e   P o r t a b i l i t y   a n d   A c c o u n t a b i l i t y   A c t ） 等 最 为 代 表 。 另 外 ， 在 互 联 网 、 金 融 、 能 源 、 资 源 型 等 行 业 ， 各 国 对 基 础 设 施 方 面 的 保 护 法 案 与 要 求 也 面 临 规 范 与 日 趋 严 厉 。 另 外 ， 国 际 标 准 组 织 （ I S O ） 的 信 息 安 全 相 关 标 准 、 N I S T   S P - 8 0 0 最 佳 实 践 、 行 业 性 实 践 要 求 如 I S A E 3 4 0 2 、 云 计 算 相 关 的 安 全 认 证 如 C S A - S t a r 、 支 付 卡 组 织 的 P C I - D S S 及 A D S S 等 也 是 开 展 业 务 不 可 缺 少 的 要 求 。 从 这 方 面 的 工 作 来 说 ， 实 施 难 度 与 复 杂 度 并 不 仅 仅 在 于 技 术 方 案 ， 而 在 于 这 是 一 个 与 人 强 相 关 的 内 容 （ 虽 然 信 息 安 全
很 多 工 作 都 是 与 人 强 相 关 的 ， 但 合 规 方 面 很 容 易 因 为 沟 通 不 到 位 、 理 解 不 准 确 等 原 因 小 事 变 大 、 主 动 被 被 动 ） 。 主 动 与 监 管 部 门 沟 通 不 要 试 图 游 离 于 法 规 边 界 ， 主 动 参 与 影 响 规 则 制 定 过 程 而 不 是 被 动 等 待 甚 至 隐 瞒 欺 诈 ， 更 加 开 放 的 心 态 来 看 待 安 全 合 规 ， 更 加 主 动 的 行 为 来 拥 抱 变 化 ， 安 全 合 规 也 能 变 成 企 业 安 全 能 力 的 倍 增 器 与 推 动 力 。 第 九 条 ： 安 全 审 计 第 九 条 ： 安 全 审 计 安 全 审 计 可 以 理 解 为 “ 安 全 “ + ” 审 计 “ 两 个 关 键 词 ， 目 标 是 和 安 全 有 关 的 技 术 、 管 理 、 人 员 以 及 这 些 要 素 所 产 生 的 环 境 与 能 力 ， 手 段 是 审 计 ， 如 何 做 呢 ？ 可 以 分 为 两 个 维 度 ： 1 . 方 法 ， 也 就 是 解 决 如 何 做 ， 可 以 结 合 传 统 “ I T 审 计 “ 的 理 念 ， 分 为 ” 审 计 准 备 “ 与 ” 审 计 执 行 “ 两 个 阶 段 ， 其 中 审 计 准 备 包 括 环 境 理 解 ， 也 就 是 审 计 目 的 、 目 标 的 充 分 理 解 以 及 涉 及 的 环 境 、 技 术 、 系 统 、 流 程 、 业 务 等 内 容 的 调 研 分 析 过 程 ； 确 定 审 计 重 点 ， 也 就 是 根 据 审 计 目 的 与 风 险 理 解 ， 确 定 重 点 内 容 ； 编 制 审 计 计 划 ， 根 据 时 间 、 资 源 、 重 点 等 要 素 完 成 工 作 计 划 准 备 以 及 必 要 的 工 具 、 模 板 、 技 术 环 境 准 备 。 审 计 执 行 包 括 审 计 计 划 实 施 ， 也 就 是 实 际 去 做 审 计 ， 包 括 通 知 （ 也 可 以 不 通 知 ， 如 涉 密 类 审 计 、 抽 查 突 击 类 审 计 等 ） 审 计 计 划 、 审 计 手 段 运 用 （ 一 些 安 全 评 估 常 用 的 手 段 在 这 个 环 节 基 本 都 能 用 到 ， 同 时 一 些 审 计 特 有 的 工 具 与 方 法 ， 如 抽 样 数 据 测 试 、 穿 行 测 试 、 监 督 环 境 下 流 程 重 放 等 ） 最 后 得 出 审 计 结 果 ； 沟 通 审 计 结 果 ， 由 于 时 间 限 制 、 资 源 限 制 ， 审 计 结 果 有 可 能 存 在 疑 点 ， 同 时 除 保 密 需 要 以 外 ， 实 施 团 队 应 与 被 审 计 部 门 与 团 队 通 过 会 议 的 方 式 进 行 结 果 确 认 与 去 伪 存 真 ； 持 续 优 化 改 进 ， 审 计 的 目 的 不 仅 是 发 现 问 题 ， 更 重 要 的 是 实 现 问 题 的 改 进 ， 所 以 一 般 会 进 行 审 计 结 果 跟 进 、 解 决 方 案 跟 进 甚 至 进 行 结 果 复 测 ， 以 验 证 审 计 与 后 续 优 化 的 效 果 。 2 . 内 容 ， 信 息 安 全 有 自 身 的 特 点 与 规 律 ， 技 术 、 管 理 、 人 员 、 文 化 等 都 可 能 存 在 风 险 与 威 胁 点 ， 因 此 从 某 种 意 义 上 说 ， 目 前 能 见 到 的 安 全 技 术 、 产 品 、 理 念 都 可 以 作 为 审 计 的 内 容 ， 同 样 也 可 以 作 为 审 计 的 工 具 ， 这 方 面 能 认 知 到 这 个 层 面 的 人 员 在 业 内 着 实 不 多 。 很 多 安 全 创 业 公 司 在 安 全 产 品 、 技 术 的 红 海 中 力 拼 ， 其 实 稍 微 换 个 角 度 就 是 一 片 蓝 海 。 在 企 业 内 安 全 审 计 可 以 作 为 三 道 防 线 （ 自 行 搜 索 风 险 管 理 的 三 道 防 线 概 念 ， 国 内 提 出 较 早 ， 国 外 认 可 度 也 非 常 高 ） 的 最 后 一 个 环 节 提 供 保 障 作 用 ， 同 时 也 可 以 作 为 兜 底 的 手 段 确 保 安 全 方 案 的 落 实 ， 合 理 运 用 的 话 威 力 无 穷 。 第 十 条 ： 危 机 管 理 、 安 全 事 件 调 查 与 取 证 第 十 条 ： 危 机 管 理 、 安 全 事 件 调 查 与 取 证 企 业 安 全 做 的 再 好 ， 建 设 的 再 完 善 ， 能 力 再 强 ， 团 队 尽 职 尽 责 ， 也 一 样 没 有 1 0 0 % 的 安 全 ， 何 况 还 做 不 到 如 此 高 的 要 求 呢 。 所 以 必 须 为 可 能 的 外 部 攻 击 、 内 部 泄 露 、 商 业 间 谍 、 员 工 无 意 等 等 各 种 情 况 做 好 准 备 ， 尤 其 是 极 端 情 况 下 的 准 备 工 作 ， 万 一 出 现 不 至 于 手 忙 脚 乱 或 者 应 对 不 合 理 、 及 时 ， 导 致 事 态 扩 大 。 危 机 管 理 预 案 需 要 提 前 准 备 好 ， 信 息 流 转 机 制 、 危 机 管 理 团 队 、 必 要 的 技 术 与 工 具 、 预 案 处 置 流 程 等 等 内 容 需 要 清 晰 、 快 速 、 准 确 ， 同 时 需 要 进 行 演 练 ， 使 内 容 深 入 人 心 ， 一 旦 出 现 极 端 情 况 ， 各 部 门 的 处 置 可 以 形 成 合 力 。 另 外 需 要 强 调 的 是 ， 危 机 管 理 是 为 了 应 对 极 端 情 况 ， 而 非 一 般 安 全 事 件 ， 因 此 预 案 强 调 的 是 有 限 的 场 景 （ 结 合 业 务 场 景 确 定 ） 下 的 应 对 能 力 ， 危 机 应 对 启 动 也 需 要 严 苛 的 控 制 。 一 般 性 的 安 全 事 件 可 以 通 过 事 件 调 查 、 应 急 响 应 去 处 理 ， 当 然 这 方 面 也 需 要 提 前 准 备 好 ， 如 事 件 分 级 、 响 应 流 程 、 恢 复 过 程 、 调 查 机 制 、 协 调 组 织 、 事 后 复 盘 机 制 等 等 ， 如 果 应 对 不 好 ， 安 全 事 件 也 可 能 上 升 为 危 机 ， 因 此 不 管 是 实 体 还 是 虚 拟 的 安 全 事 件 响 应 与 调 查 组 织 、 足 够 的 事 件 响 应 调 查 技 术 与 数 据 储 备 、 必 要 的 演 练 与 复 盘 机 制 都 是 基 本 要 求 。 内 部 的 安 全 事 件 调 查 需 要 把 海 量 数 据 进 行 积 累 、 清 洗 、 关 联 ， 最 终 还 原 攻 击 路 径 与 事 件 发 生 的 时 间 轴 ， 所 以 数 据 是 非 常 重 要 的 基 础 性 工 作 ， 数 据 的 完 整 度 、 稳 定 性 、 质 量 要 求 都 很 高 。 常 常 出 现 的 问 题 是 数 据 貌 似 都 在 ， 但 可 能 由 于 格 式 不 同 、 记 录 字 段 不 同 甚 至 细 微 的 类 型 差 异 都 可 能 导 致 数 据 无 法 进 行 归 集 、 串 联 ， 最 终 变 成 一 个 个 的 数 据 片 段 ， 导 致 整 个 证 据 链 的 断 裂 缺 失 ， 从 而 无 法 勾 勒 出 事 件 的 本 来 面 目 ， 也 就 谈 不 上 有 效 的 处 置 与 根 源 问 题 复 盘 改 进 。 提 到 证 据 链 这 个 概 念 ， 上 升 到 司 法 调 查 层 面 时 ， 内 部 调 查 的 方 法 还 可 以 用 ， 但 过 程 控 制 、 规 范 要 求 则 要 严 苛 很 多 ， 对 证 据 链 的 固 定 、 可 信 度 要 求 、 电 子 证 据 的 采 集 均 有 法 庭 采 信 的 规 则 限 制 ， 如 在 调 查 中 我 们 可 以 实 际 去 硬 盘 、 存 储 空 间 、 各 种 系 统 上 去 分 析 ， 找 出 蛛 丝 马 迹 ， 但 在 需 要 提 供 呈 堂 证 供 的 情 况 下 ， 任 何 调 查 分 析 动 作 不 能 破 坏 原 始 状 态 与 属 性 ， 这 时 需 要 使 用 专 业 工 具 ， 如 E n c a s e 、 F K 等 进 行 只 读 环 境 下 的 操 作 。 国 内 已 经 有 很 多 鉴 定 中 心 、 调 查 机 构 可 以 完 成 上 述 工 作 ， 配 套 的 技 术 能 力 也 算 是 比 较 健 全 ， 如 取 证 工 作 箱 、 针 对 手 机 、 智 能 设 备 的 取 证 系 统 与 平 台 ， 限 于 内 容 的 敏 感 性 就 不 展 开 介 绍 了 ， 总 之 司 法 调 查 取 证 需 要 严 苛 的 证 据 链 、 取 证 环 境 、 方 法 动 作 等 ， 方 可 作 为 证 据 去 接 受 质 疑 、 去 伪 存 真 。
第 十 一 条 ： 组 织 架 构 、 安 全 意 识 与 内 部 安 全 品 牌 建 设 第 十 一 条 ： 组 织 架 构 、 安 全 意 识 与 内 部 安 全 品 牌 建 设 前 面 大 部 分 内 容 讨 论 的 是 各 项 管 理 、 技 术 能 力 的 建 设 ， 能 不 能 落 地 ， 很 大 程 度 上 依 赖 与 团 队 与 人 ， 合 理 的 组 织 架 构 可 以 最 大 化 的 发 挥 人 的 价 值 ， 反 过 来 有 可 能 极 大 的 削 弱 与 限 制 ， 这 个 道 理 大 部 分 领 导 者 都 懂 ， 但 是 不 是 能 实 际 做 到 就 是 另 外 一 回 事 了 ， 环 境 限 制 、 时 机 甚 至 个 人 决 断 力 都 是 容 易 打 折 的 因 素 。 组 织 架 构 的 设 置 可 以 从 几 个 方 面 考 虑 ： 1 . 战 场 布 局 方 式 ， “ 战 区 主 战 、 军 种 主 建 、 军 委 管 总 “ 。 战 区 主 战 ， 安 全 团 队 与 能 力 应 该 融 入 业 务 与 技 术 环 境 的 一 线 ， 不 应 该 是 自 娱 自 乐 的 闭 门 造 车 ， 安 全 能 力 能 不 能 前 出 到 这 里 ， 考 验 的 是 团 队 中 综 合 能 力 人 员 的 配 比 ， 能 谈 技 术 、 能 懂 业 务 、 能 搞 安 全 ， 这 类 人 可 以 部 署 在 战 区 ， 也 就 是 业 务 与 技 术 实 际 环 境 中 ， 融 入 业 务 与 技 术 战 场 ， 快 速 联 动 ， 贴 身 肉 搏 。 能 把 业 务 线 、 技 术 线 的 发 展 规 划 、 诉 求 、 对 接 能 力 要 求 等 战 场 态 势 实 时 回 传 到 后 续 支 持 防 线 ， 同 时 把 安 全 能 力 、 管 控 要 求 投 放 到 业 务 实 际 中 。 军 种 主 建 ， 各 安 全 业 务 方 向 ， 如 信 息 安 全 、 数 据 安 全 、 业 务 安 全 等 等 ， 应 做 好 各 自 的 工 具 、 系 统 、 平 台 ， 构 建 各 种 方 法 、 框 架 、 体 系 ， 全 面 提 升 所 属 方 向 的 作 战 实 力 ， 为 前 线 提 供 弹 药 、 装 备 、 情 报 ， 同 时 协 调 资 源 ， 完 成 战 役 级 的 指 挥 、 综 合 保 障 以 及 跨 兵 种 协 同 等 ， 提 供 大 中 后 台 的 整 合 作 战 能 力 。 军 委 管 总 ， 战 略 规 划 能 力 、 资 源 投 放 协 调 能 力 、 风 险 优 化 能 力 等 等 考 验 格 局 与 ” 大 国 “ 战 略 视 角 ， 一 个 公 司 的 信 息 安 全 能 不 能 发 挥 出 价 值 ， 能 不 能 体 现 出 来 业 务 的 安 全 感 ， 往 往 需 要 从 全 局 观 上 发 挥 作 用 ， ” 不 怒 而 威 、 刚 柔 并 济 “ 。 2 . 能 力 布 局 方 式 ， 不 是 所 有 公 司 都 需 要 庞 大 、 分 工 明 确 的 安 全 组 织 ， 根 据 公 司 的 实 际 情 况 ， 选 择 合 适 的 技 术 栈 能 力 进 行 布 局 也 是 一 种 合 理 方 式 。 从 简 单 到 复 杂 的 层 次 关 系 可 以 大 致 这 样 罗 列 ， 基 础 防 护 能 力 、 检 测 发 现 能 力 、 对 比 分 析 能 力 、 S L A 支 持 的 自 动 化 能 力 、 产 品 化 输 出 能 力 。 团 队 小 、 投 入 不 大 ， 工 作 重 点 优 先 考 虑 在 实 现 基 础 的 防 护 ， 如 防 火 墙 部 署 、 I D S / I P S 、 网 络 准 入 、 终 端 安 全 等 ， 可 以 抵 御 一 般 的 内 外 部 攻 击 。 规 模 大 一 些 、 资 金 也 充 裕 一 点 可 以 考 虑 侧 重 在 检 测 能 力 建 设 与 使 用 ， 日 志 收 集 分 析 、 不 同 量 级 的 S O C 与 S I E M 等 可 以 把 原 有 的 防 护 能 力 进 行 整 合 ， 一 般 的 病 毒 、 偶 然 的 攻 击 行 为 可 以 有 效 发 现 与 应 对 。 规 模 再 大 一 些 ， 重 视 程 度 更 高 一 些 ， 单 一 环 节 与 产 品 技 术 的 支 持 就 显 得 不 够 了 ， 每 个 产 品 、 技 术 都 有 自 己 的 优 劣 势 和 擅 长 领 域 ， 总 有 可 以 绕 过 的 方 式 与 漏 网 的 行 为 ， 通 过 提 高 单 一 产 品 技 术 的 准 确 率 、 召 回 率 R O I 逐 步 降 低 ， 那 么 可 以 考 虑 进 行 比 对 能 力 的 建 设 ， 可 以 是 不 同 类 型 产 品 的 比 对 ， 可 以 是 在 线 、 离 线 方 式 的 比 对 ， 也 可 以 是 部 署 方 式 如 终 端 侧 、 网 络 侧 的 比 对 ， 总 之 战 略 性 纵 深 开 始 形 成 （ 对 应 于 如 果 把 多 个 产 品 技 术 不 同 区 域 布 防 称 为 战 术 纵 深 的 话 ） 。 S L A 支 持 的 自 动 化 能 力 ， 是 在 满 足 业 务 、 安 全 的 功 能 性 与 时 效 性 要 求 的 前 提 下 ， 通 过 系 统 、 平 台 自 动 化 完 成 联 动 ， 如 攻 击 、 漏 洞 自 动 化 触 发 规 则 ， 基 于 用 户 行 为 的 账 号 权 限 自 动 化 处 理 机 制 等 。 产 品 化 输 出 能 力 ， 不 是 说 大 公 司 一 定 要 把 安 全 团 队 做 成 盈 利 中 心 ， 虽 然 很 多 公 司 有 这 个 想 法 也 实 际 是 在 这 么 做 ， 而 更 多 强 调 在 实 现 稳 定 预 期 的 情 况 下 快 速 投 放 能 力 。 有 两 个 关 键 词 ， “ 稳 定 预 期 “ 就 是 大 家 潜 移 默 化 的 达 成 一 致 的 对 安 全 的 要 求 与 实 现 程 度 ； ” 快 速 投 放 “ 就 是 实 现 时 间 成 本 效 益 最 大 化 ， “ 天 下 武 功 唯 快 不 破 ” ， 不 敢 提 安 全 引 领 业 务 ， 也 至 少 不 能 拖 业 务 后 腿 ， 不 然 就 只 能 被 各 种 “ 吊 打 ” 。 当 安 全 团 队 完 美 的 打 造 了 “ 大 杀 器 ” 以 后 ， 回 头 发 现 业 务 已 经 尸 横 遍 野 ， 那 么 安 全 团 队 最 好 的 方 式 就 是 拿 自 己 祭 “ 大 杀 器 ” 吧 。 安 全 意 识 就 不 多 说 了 ， 人 是 最 薄 弱 的 一 环 ， 喊 了 好 多 年 了 ， 这 个 确 实 需 要 实 实 在 在 抓 起 来 ， 再 好 的 技 术 能 不 能 发 挥 作 用 靠 的 是 人 ， 在 理 想 的 设 计 遇 到 人 这 个 环 节 都 可 能 被 各 种 绕 过 ， “ 不 怕 神 一 样 的 对 手 就 怕 猪 一 样 的 队 友 ” ， 人 肉 渗 透 远 比 A P T 快 得 多 ， 道 理 都 懂 ， 看 行 动 效 果 吧 。 安 全 不 能 闭 门 造 车 ， 公 司 内 部 能 不 能 信 任 、 业 务 能 不 能 与 安 全 协 调 配 合 ， 大 家 愿 不 愿 意 为 安 全 成 本 （ 不 只 是 直 接 成 本 ， 也 包 括 因 为 安 全 而 放 弃 的 一 些 便 利 性 等 间 接 成 本 ） 埋 单 ， 取 决 于 能 不 能 建 立 “ 安 全 感 ” 以 及 对 安 全 价 值 的 正 确 认 知 下 的 品 牌 效 应 。 当 业 务 要 冲 锋 陷 阵 的 时 候 ， 安 全 是 在 旁 边 拍 拍 业 务 兄 弟 的 肩 膀 ， 告 诉 他 “ 一 切 别 怕 ， 我 和 你 一 起 ” ， 还 是 用 “ 千 里 传 音 ” 之 术 躲 得 远 远 的 说 “ 我 们 有 最 先 进 的 技 术 、 最 好 的 产 品 ， 你 放 心 去 吧 ” ， 当 然 有 时 连 传 音 这 个 事 情 都 省 了 ， 安 全 何 在 、 价 值 何 在 ？ 品 牌 树 立 很 难 ， 信 任 崩 塌 很 快 ， 且 行 且 珍 惜 。 第 十 二 条 ： 资 源 管 理 与 使 用 效 率 控 制 第 十 二 条 ： 资 源 管 理 与 使 用 效 率 控 制 最 后 一 章 了 ， 要 写 的 东 西 还 有 很 多 ， 这 里 先 谈 谈 资 源 管 理 和 使 用 效 率 吧 ， 稍 微 有 些 管 理 经 验 的 都 知 道 ， 团 队 应 该 有 层 级 ， 为 什 么 呢 ， 不 只 是 说 团 队 发 展 的 梯 队 需 要 ， 也 有 资 源 限 制 的 实 际 需 要 。 比 如 5 0 人 的 团 队 ， 全 部 招 高 阶 的 ， 看 似 很 厉 害 但 这 个 不 现 实 ， 可 能 没 这 么 高 阶 可 以 招 ， 资 金 预 算 也 不 允 许 ， 因 此 C S O 们 要 合 理 规 划 团 队 层 级 ， 可 以 基 于 工 作 技
能 集 的 分 布 ， 也 可 以 基 于 考 虑 资 金 限 制 后 的 职 级 测 算 等 很 多 方 法 ， 所 以 推 荐 C S O 们 稍 微 懂 一 些 财 务 知 识 ， 能 看 得 懂 基 本 的 财 务 报 表 与 预 算 规 划 ， 无 限 资 源 那 是 在 游 戏 人 生 中 开 挂 以 后 。 集 中 优 势 兵 力 、 快 速 见 效 ， 做 事 有 轻 重 缓 急 算 是 最 基 本 的 要 求 。 同 时 多 个 项 目 的 并 发 是 不 可 避 免 的 ， 控 制 质 量 与 数 量 ， 做 好 资 源 池 管 理 ， P M O 的 多 项 目 管 理 还 是 值 得 参 考 与 借 鉴 的 。 还 是 5 0 人 的 团 队 ， 同 时 做 6 0 个 项 目 与 产 品 ， 后 果 是 什 么 自 己 脑 补 吧 。 如 果 换 作 是 你 ， 怎 么 带 领 这 5 0 人 的 团 队 ， 如 何 合 理 规 划 资 源 ， 如 何 分 轻 重 缓 急 ， 如 何 做 到 风 险 可 控 没 有 明 显 短 板 ？ 一 个 是 好 钢 使 在 刀 刃 上 ， 另 一 个 就 是 “ 让 子 弹 飞 一 会 儿 ” 别 急 急 火 火 的 有 点 风 吹 草 动 就 乱 ， 团 队 不 能 变 成 救 火 队 这 是 L e a d e r 的 责 任 与 担 当 。 也 许 有 人 看 到 以 上 这 十 二 个 能 力 要 素 会 觉 得 “ 有 这 样 的 人 吗 ？ ” 答 案 肯 定 是 有 ， 只 是 每 个 人 有 一 些 侧 重 ， 不 太 可 能 各 个 领 域 都 是 满 分 。 另 外 ， 这 类 “ 全 才 式 ” （ 全 栈 式 都 不 足 以 形 容 了 ） 的 人 员 ， 往 往 都 不 是 或 至 少 现 在 已 经 不 是 技 术 研 究 领 域 的 顶 级 大 牛 ， 也 不 太 可 能 是 攻 防 领 域 或 者 白 帽 子 名 人 ， 所 以 在 目 前 信 息 安 全 的 大 环 境 下 ， 很 少 有 人 能 够 进 入 媒 体 的 聚 光 灯 与 收 获 粉 丝 的 追 捧 ， 但 这 类 人 确 实 存 在 。 有 兴 趣 的 可 以 用 雷 达 图 对 标 一 下 自 己 的 知 识 体 系 ， 看 看 擅 长 领 域 与 短 板 。 C O S 能 力 要 素 雷 达 图 这 十 二 个 要 素 ， 可 以 说 是 C S O 的 能 力 集 ， 其 实 也 极 有 可 能 是 一 个 企 业 安 全 能 力 的 映 射 集 ， 往 往 C S O 的 能 力 决 定 了 企 业 安 全 的 能 力 天 花 板 ， 如 同 一 个 企 业 创 始 人 的 风 格 会 变 成 一 个 企 业 的 风 格 。 说 完 了 能 力 集 ， 在 企 业 中 实 际 如 何 落 地 这 些 能 力 建 设 呢 ？ 这 个 话 题 太 大 ， 不 过 可 以 说 几 点 思 路 ： 1 . 企 业 安 全 的 切 入 点 企 业 安 全 的 切 入 点 在 企 业 安 全 中 ， 最 为 重 要 和 基 础 的 其 实 可 以 分 为 两 个 部 分 ， I A M 与 数 据 ， 也 就 是 如 果 在 一 个 企 业 里 安 全 想 快 速 做 一 些 正 确 的 事 情 ， 没 有 必 要 拉 开 阵 势 进 行 全 面 安 全 风 险 评 估 ， 时 间 上 来 不 及 ， 效 果 和 价 值 也 不 容 易 体 现 出 来 ， 可 以 先 期 从 I A M 与 数 据 安 全 作 为 切 入 点 ， I A M 包 括 了 账 号 、 权 限 以 及 配 套 的 准 入 、 控 制 分 析 系 统 等 ， 数 据 安 全 包 括 了 数 据 的 使 用 场 景 、 高 危 情 况 以 及 感 知 与 管 控 要 求 。 这 几 个 工 作 如 果 没 有 做 好 ， 其 他 安 全 工 作 、 安 全 产 品 都 会 出 现 问 题 。 从 另 一 个 角 度 ， 一 个 公 司 非 安 全 人 员 能 够 感 知 安 全 能 力 的 界 面 也 基 本 在 账 号 、 权 限 、 数 据 这 三 个 地 方 ， 众 口 成 川 ， 企 业 安 全 的 生 存 与 发 展 空 间 也 是 动 态 的 。
2 . 基 础 能 力 建 设 基 础 能 力 建 设 能 深 入 业 务 、 给 业 务 带 来 价 值 的 安 全 不 一 定 是 最 新 、 最 炫 酷 的 技 术 与 产 品 ， 认 认 真 真 的 把 基 础 能 力 建 设 起 来 ， 让 公 司 有 信 心 、 业 务 有 保 障 、 员 工 有 安 全 感 ， 实 用 、 够 用 、 好 用 是 基 本 目 标 和 要 求 。 实 实 在 在 的 把 感 知 能 力 、 防 护 能 力 、 处 置 能 力 落 到 实 处 ， 可 以 分 阶 段 、 分 重 点 、 分 场 景 的 有 选 择 性 的 布 局 ， 自 研 、 外 采 结 合 ， 风 险 敞 口 与 时 间 成 本 综 合 考 虑 。 在 正 确 的 时 间 做 正 确 的 事 ， 很 难 ， 但 是 是 必 须 的 ！ 3 . 高 优 业 务 场 景 应 用 高 优 业 务 场 景 应 用 除 了 为 企 业 实 际 开 展 的 业 务 保 驾 护 航 以 外 ， 基 于 价 值 链 分 析 的 方 法 与 战 略 一 致 性 要 求 可 以 使 安 全 更 为 主 动 的 布 局 与 准 备 ， 这 里 不 多 说 了 。 在 一 些 特 定 的 场 景 下 做 好 准 备 也 可 以 发 挥 安 全 的 价 值 ， 为 公 司 实 现 业 务 目 标 贡 献 安 全 能 量 。 企 业 并 购 、 收 购 、 重 组 等 往 往 是 安 全 风 险 较 高 ， 安 全 威 胁 频 发 的 阶 段 ， 如 何 做 好 安 全 尽 职 调 查 、 系 统 如 何 对 接 ， 数 据 如 何 整 合 、 人 员 如 何 管 控 等 等 各 方 面 的 问 题 比 在 业 务 稳 定 期 要 复 杂 很 多 ， 信 息 安 全 能 否 做 好 准 备 ？ 业 务 弹 性 与 业 务 连 续 性 管 理 要 求 ， 在 互 联 网 、 金 融 、 政 府 都 诸 多 行 业 与 业 务 场 景 下 ， 对 业 务 的 持 续 与 稳 定 提 出 了 很 高 的 要 求 ， 由 于 信 息 安 全 问 题 导 致 的 业 务 中 断 、 数 据 泄 露 等 情 况 后 果 非 常 严 重 ， 基 于 风 险 导 向 的 安 全 管 理 工 作 ， 应 该 把 B C M 与 D R P 纳 入 管 控 范 围 ， 防 范 归 零 风 险 ， 同 时 B C M 、 D R P 各 个 环 节 中 信 息 安 全 保 障 机 制 也 是 重 点 。 项 目 交 付 生 命 周 期 中 的 信 息 安 全 （ S M P ， S e c u r i t y   M a n a g e m e n t   i n   P r o c e s s e s ） , 企 业 安 全 不 是 一 成 不 变 的 ， 随 着 业 务 、 信 息 系 统 、 基 础 架 构 甚 至 组 织 结 构 的 变 化 ， 信 息 安 全 也 是 在 变 化 ， 以 前 没 有 问 题 、 低 风 险 的 地 方 可 能 突 然 被 业 务 挤 压 扭 曲 ， 以 前 有 防 护 产 品 、 安 全 技 术 部 署 的 领 域 可 能 被 新 的 业 务 与 技 术 架 构 打 通 旁 路 通 道 被 绕 过 甚 至 完 全 失 效 ， 因 此 在 企 业 安 全 中 安 全 能 否 融 入 业 务 与 技 术 生 命 周 期 ， 显 得 尤 为 重 要 ， 我 们 常 说 的 S D L （ 安 全 开 发 生 命 周 期 ） 就 是 最 为 常 见 的 S M P 一 种 形 式 ， 当 然 还 有 各 种 与 产 品 开 发 无 关 的 内 容 ， 如 数 据 交 换 、 业 务 流 程 改 变 等 ， 安 全 能 否 前 置 性 分 析 、 伴 随 性 监 督 、 查 缺 补 漏 性 处 置 会 是 安 全 的 动 态 性 最 好 的 体 现 。 法 务 、 人 力 管 理 中 的 信 息 安 全 ， 涉 及 人 员 管 理 这 个 环 节 ， 简 单 的 安 全 技 术 与 管 理 要 求 很 难 闭 环 ， 应 该 与 法 务 、 人 力 进 行 联 动 ， 打 通 人 员 入 离 职 、 合 同 条 款 、 保 密 协 议 等 环 节 ， 通 过 安 全 的 技 术 优 势 与 全 局 性 能 力 把 人 员 的 安 全 意 识 、 管 理 诉 求 落 地 实 现 。 外 包 、 供 应 商 、 供 应 链 安 全 ， 外 包 的 管 理 一 直 是 信 息 安 全 较 为 薄 弱 的 一 个 领 域 ， 签 署 必 要 的 安 全 协 议 、 保 密 条 款 、 S L A 承 诺 很 有 必 要 ， 对 外 包 人 员 、 供 应 商 的 定 期 评 估 与 事 件 追 查 机 制 也 很 重 要 ， 由 于 技 术 产 品 与 管 控 力 度 的 部 署 无 法 全 量 全 层 面 覆 盖 ， 外 包 与 供 应 商 是 人 员 攻 防 的 主 战 场 之 一 ， 黑 产 、 恶 意 对 手 、 商 业 间 谍 第 一 攻 击 对 象 往 往 是 高 权 限 的 外 包 与 供 应 商 。 另 外 ， 随 着 产 业 分 工 协 作 的 深 入 ， 供 应 链 不 再 由 某 一 个 公 司 完 全 自 建 或 控 制 （ 从 成 本 方 面 没 有 必 要 ， 从 精 细 化 运 营 方 面 边 际 效 益 不 高 ） ， 而 是 由 一 个 完 整 的 分 工 、 配 套 、 协 作 机 制 衔 接 的 产 业 供 应 集 群 进 行 资 源 整 合 ， 达 到 收 益 最 大 化 要 求 ， 那 么 这 种 情 况 下 如 何 确 保 供 应 链 安 全 变 成 非 常 有 挑 战 的 事 情 。 攻 击 面 被 放 大 到 夸 张 的 程 度 、 安 全 能 力 水 平 能 够 产 生 年 代 级 的 差 异 、 重 视 程 度 也 可 以 用 代 沟 来 形 容 ， 处 于 供 应 链 的 主 导 地 位 的 公 司 需 要 对 信 息 安 全 有 全 新 的 认 识 与 建 设 布 局 。 新 技 术 环 境 下 的 安 全 ， 如 云 计 算 运 用 下 端 管 云 安 全 、 I o T 设 备 的 系 统 与 硬 件 级 安 全 、 工 业 控 制 系 统 安 全 等 等 ， 由 于 篇 幅 的 限 制 这 次 就 不 展 开 了 ， 但 这 些 技 术 本 质 上 的 区 别 有 可 能 会 颠 覆 安 全 原 有 的 体 系 、 框 架 与 技 术 。 4 . 安 全 价 值 实 现 ， 安 全 价 值 实 现 ， “ 合 合 ” 字 诀 。 字 诀 。 业 务 融 合 、 感 控 结 合 、 纵 深 整 合 ， 三 个 “ 合 ” 字 算 是 对 企 业 安 全 的 一 个 基 本 总 结 吧 。 业 务 融 合 ， 安 全 能 够 实 现 价 值 的 基 本 途 径 ； 感 控 结 合 ， 安 全 能 够 实 现 价 值 的 基 本 方 法 ； 纵 深 整 合 ， 安 全 能 够 实 现 价 值 的 基 本 手 段 。 安 全 是 管 理 者 意 志 的 延 伸 ， 技 术 是 管 理 理 念 的 延 伸 ， 细 思 共 勉 。 * 本 文 作 者 本 文 作 者 g o o d 1 2 0 5 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理