搜索

[17119] 2021-08-07_企业安全建设建设规划与需求实践思考

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-08-07_企业安全建设建设规划与需求实践思考 企 业 安 全 建 设   |   建 设 规 划 与 需 求 实 践 思 考 两 块   F r e e B u f   2 0 2 1 - 0 8 - 0 7 我 的 安 全 经 验 没 有 最 佳 实 践 ， 因 为 如 果 没 有 实 践 ， 我 不 能 确 定 是 最 佳 方 案 。 建 设 为 什 么 需 要 规 划 建 设 为 什 么 需 要 规 划 在 企 业 的 信 息 安 全 建 设 方 面 ， 真 正 进 行 安 全 规 划 的 企 业 并 不 多 ， 大 多 数 仍 属 于 “ 事 件 驱 动 ” 和 “ 项 目 驱 动 ” 型 建 设 。 发 生 信 息 安 全 事 件 后 才 进 行 信 息 安 全 的 资 源 投 入 建 设 ， 在 建 设 时 又 由 于 项 目 目 标 需 求 明 确 和 事 件 急 迫 ， 仓 促 上 马 ， 而 忽 略 对 体 系 化 的 针 对 性 考 虑 和 设 计 。 抑 或 是 无 战 略 目 标 规 划 ， 依 靠 接 受 外 部 市 场 引 导 ， 盲 目 进 行 项 目 化 建 设 ， 单 单 以 信 息 安 全 产 品 、 服 务 进 行 堆 砌 ， 见 火 扑 火 ， 一 叶 障 目 缺 少 全 局 观 。 最 终 导 致 信 息 安 全 无 法 对 业 务 、 风 险 合 规 等 提 供 有 效 支 撑 ， 在 企 业 中 仅 仅 成 为 救 火 部 门 ， 难 以 体 现 其 价 值 ， 而 信 息 安 全 建 设 各 自 独 立 分 散 ， 无 法 形 成 体 系 化 。 安 全 需 求 评 估 的 挑 战 安 全 需 求 评 估 的 挑 战 合 规 压 力 依 然 突 出 合 规 压 力 依 然 突 出 国 家 出 台 法 律 法 规 越 来 越 完 善 ， 企 业 面 对 的 监 管 要 求 越 来 越 严 格 、 处 罚 力 度 越 来 越 大 。 需 满 足 的 合 规 条 款 较 多 ， 致 使 合 规 基 线 清 单 臃 肿 ； 且 重 复 项 较 多 ， 彼 此 难 以 互 认 。 合 规 监 管 要 求 的 条 款 存 在 普 遍 概 括 性 ， 没 有 具 体 的 落 地 实 施 细 则 ， 或 者 难 以 统 一 管 理 。 法 务 人 员 对 法 律 合 规 理 解 透 彻 ， 却 难 以 将 法 规 条 款 翻 译 成 技 术 措 施 和 业 务 需 求 ； 而 普 通 信 息 安 全 技 术 人 员 面 对 法 律 监 管 风 险 的 识 别 能 力 薄 弱 。 企 业 合 规 自 查 能 力 较 弱 ， 严 重 依 赖 外 部 测 评 机 构 或 服 务 供 应 商 公 司 ， 而 外 部 机 构 只 认 标 准 条 款 ， 不 理 解 业 务 无 法 准 确 判 断 规 避 风 险 措 施 的 有 效 性 ， 导 致 合 规 测 评 有 效 性 则 见 仁 见 智 。 综 合 安 全 架 构 能 力 薄 弱 综 合 安 全 架 构 能 力 薄 弱 企 业 不 管 是 自 行 规 划 建 设 还 是 利 用 市 场 成 熟 的 技 术 方 案 ， 现 状 是 某 项 单 一 技 术 突 出 （ 比 如 体 现 在 渗 透 测 试 或 安 全 运 维 ） ， 顶 层 综 合 架 构 能 力 薄 弱 。 体 现 情 况 之 一 便 是 信 息 安 全 人 才 缺 乏 ， 特 别 是 信 息 安 全 领 域 顶 层 架 构 级 专 家 人 才 缺 失 ， 或 者 人 力 成 本 太 高 ， 很 难 进 入 普 通 企 业 。 但 相 信 随 着 行 业 见 好 ， 这 种 情 况 会 慢 慢 缓 解 ， 会 出 现 更 多 安 全 技 术 专 家 。 安 全 需 求 不 断 增 级 安 全 需 求 不 断 增 级 业 务 迭 代 速 度 提 升 ， 导 致 安 全 需 求 增 加 ， 系 统 不 断 推 陈 出 新 ， 引 入 大 量 新 的 业 务 ， 云 计 算 、 隐 私 计 算 、 多 方 计 算 、 区 块 链 等 新 技 术 应 用 ， 又 对 信 息 和 数 据 安 全 提 出 更 高 要 求 。 受 攻 击 面 收 敛 速 度 放 缓 受 攻 击 面 收 敛 速 度 放 缓 业 务 系 统 逐 渐 复 杂 ， 不 断 拆 解 组 件 ， 自 建 或 利 用 开 源 项 目 增 加 ， 对 外 开 放 业 务 接 口 的 生 命 周 期 管 理 不 善 ， 都 导 致 受 攻 击 面 不 断 扩 大 ， 风 险 点 更 难 以 快 速 有 效 收 敛 。 针 对 其 中 人 性 的 判 断 难 以 掌 控 ， 互 联 网 造 就 了 太 多 暴 富 神 话 ， “ 杀 头 的 事 情 都 有 人 做 ” ， 利 欲 熏 心 的 黑 灰 产 渗 透 ， 难 免 有 些 人 难 以 可 控 。 实 践 的 矛 盾 认 知 实 践 的 矛 盾 认 知
盲 目 开 展 建 设 最 佳 实 践 盲 目 开 展 建 设 最 佳 实 践 灵 魂 疑 问 就 是 要 不 要 “ 摸 着 葫 芦 画 瓢 ” 采 用 同 行 业 经 过 实 践 的 安 全 架 构 体 系 ？ 安 全 规 划 建 设 最 理 想 的 借 鉴 来 源 是 同 行 业 企 业 ， 有 着 共 性 需 求 和 实 践 。 因 此 ， 企 业 安 全 体 系 初 创 之 期 ， 不 排 除 是 一 种 省 脑 省 力 的 方 法 。 但 也 不 见 得 可 以 一 以 贯 之 ， 拿 着 别 家 良 好 实 践 后 而 提 炼 的 企 业 安 全 架 构 全 景 图 ， 照 本 宣 科 ， 反 而 引 入 无 法 掌 控 的 风 险 ， 导 致 建 设 浮 于 表 面 。 能 以 此 为 模 板 进 行 创 新 ， 结 合 内 部 战 略 规 划 设 定 安 全 目 标 ， 才 是 最 终 之 道 。 管 理 体 系 适 用 所 有 企 业 管 理 体 系 适 用 所 有 企 业 体 系 化 管 理 流 程 必 须 要 根 据 企 业 发 展 进 程 的 实 际 情 况 ， 对 高 速 发 展 而 安 全 人 员 缺 乏 的 企 业 ， 可 能 需 要 相 当 的 人 力 物 力 资 源 。 任 何 新 视 角 的 安 全 体 系 （ 数 据 安 全 治 理 、 零 信 任 等 ） ， 引 入 内 部 进 行 应 用 时 ， 都 不 应 该 再 新 建 一 套 标 准 ， 或 推 翻 现 有 长 久 以 来 形 成 的 管 理 模 式 ， 而 应 该 是 融 合 。 一 些 主 流 的 企 业 架 构 ， 自 己 也 承 认 同 其 他 企 业 管 理 体 系 框 架 ， 包 括 战 略 和 业 务 规 划 、 运 营 管 理 、 项 目 管 理 、 I T 开 发 等 有 区 别 ， 又 具 有 互 操 作 性 。 捆 绑 市 场 化 解 决 方 案 捆 绑 市 场 化 解 决 方 案 市 场 上 安 全 厂 商 的 解 决 方 案 都 具 有 其 专 业 性 特 点 ， 是 企 业 体 系 化 规 划 建 设 的 有 力 支 撑 。 如 果 公 司 发 展 情 况 允 许 ， 预 算 可 争 取 情 况 下 ， 尽 量 采 用 市 场 成 熟 产 品 可 快 速 提 升 某 些 方 面 安 全 能 力 。 但 同 时 需 要 避 免 “ 鸡 蛋 放 在 一 个 篮 子 里 ” ， 这 种 形 式 的 一 揽 子 全 家 桶 方 案 ， 虽 然 可 以 保 证 设 备 之 间 联 动 性 ， 形 成 比 较 全 面 的 防 护 能 力 ， 同 时 后 期 也 会 被 捆 绑 ， 失 去 灵 活 性 。 需 要 具 备 一 定 的 技 术 方 案 识 别 能 力 ， 部 分 厂 商 有 时 以 自 我 为 中 心 ， 建 立 生 态 ， 而 给 建 设 方 进 行 填 鸭 式 强 灌 需 求 ， 以 寻 求 “ 我 有 药 ， 尔 必 须 有 病 ” 的 激 进 推 广 方 式 ， 不 排 除 有 些 技 术 人 员 被 疯 狂 洗 脑 而 荒 于 思 考 忽 视 真 实 需 求 。 明 眼 识 别 前 沿 技 术 和 新 概 念 明 眼 识 别 前 沿 技 术 和 新 概 念 终 端 防 护 、 身 份 鉴 别 与 权 限 认 证 这 些 概 念 ， 通 过 I T 建 设 以 及 外 包 服 务 ， 对 企 业 已 经 普 及 教 育 多 年 ， 有 些 人 可 能 认 为 没 有 新 意 。 不 排 除 服 务 公 司 基 于 某 种 目 的 ， 旧 瓶 装 新 酒 ， 整 出 些 稀 奇 古 怪 的 新 概 念 ， 其 核 心 技 术 并 未 有 革 新 ， 在 企 业 内 除 了 混 淆 视 听 、 增 加 实 施 难 度 外 ， 有 百 害 而 无 一 利 。 因 此 更 需 要 我 们 及 时 跟 紧 前 沿 技 术 发 展 ， 不 断 学 习 ， 去 其 糟 粕 取 其 精 华 ， 引 入 对 企 业 市 场 发 展 有 利 的 新 技 术 。 巨 人 之 所 以 成 为 巨 人 ， 因 为 他 脚 下 有 另 一 个 巨 人 。 有 时 技 术 至 上 的 大 脑 里 有 一 个 ” 小 ” 人 ， 告 诉 你 - 我 要 写 出 更 好 的 工 具 。 保 持 开 放 性 建 设 思 维 ， 外 面 的 工 具 和 实 现 都 已 经 非 常 成 熟 ， 经 过 前 任 的 打 磨 ， 并 经 历 过 无 数 的 研 究 、 测 试 ， 而 你 自 己 的 工 具 很 大 概 率 是 没 有 经 验 积 累 的 ， 除 非 是 不 涉 及 知 识 产 权 的 工 具 达 人 。 对 于 一 般 的 公 司 ， 一 定 不 要 自 研 重 复 造 轮 子 。 人 是 安 全 刚 需 人 是 安 全 刚 需 自 动 化 和 工 具 化 程 度 变 高 ， 产 品 通 用 性 几 乎 可 以 解 决 大 部 分 安 全 运 营 工 作 ， 解 放 双 手 ， 快 速 预 警 响 应 或 致 于 溯 源 反 制 。 工 具 化 趋 势 迅 猛 并 不 代 表 能 够 代 替 人 类 的 分 析 和 判 断 （ 虽 然 A I 技 术 发 展 迅 速 但 不 至 于 像 杀 毒 软 件 一 样 普 及 ， 更 何 况 行 业 现 状 是 不 排 除 有 的 人 工 智 能 也 仅 仅 只 是 “ 人 工 + 智 能 ” 而 已 ） 。 企 业 安 全 架 构 层 面 ， 工 程 师 的 丰 富 经 验 、 人 脑 的 洞 察 力 和 判 断 力 ， 工 具 依 然 无 法 替 代 。 运 营 处 置 需 要 依 赖 平 台 化 系 统 、 工 程 师 的 技 术 分 析 和 经 验 的 结 合 ， 其 中 工 程 师 仍 然 至 关 重 要 。 例 如 安 全 运 营 应 急 响 应 处 置 ， 虽 然 我 们 有 应 急 预 案 ， 甚 至 频 繁 开 展 应 急 演 练 ， 墨 菲 定 律 告 诉 我 们 ， 事 故 的 依 然 会 发 生 ， 依 然 状 况 千 变 万 化 。 应 急 预 案 难 以 覆 盖 全 面 ， 快 速 更 新 迭 代 的 系 统 和 架 构 ， 更 新 频 率 让 应 急 预 案 也 难 以 招 架 。 信 息 安 全 才 是 一 切 信 息 安 全 才 是 一 切
为 了 避 免 安 全 团 队 的 事 业 发 展 喧 宾 夺 主 ， 安 全 建 设 的 方 案 设 计 需 要 考 虑 业 务 生 产 的 实 际 需 要 。 毕 竟 ， 安 全 还 是 为 业 务 发 展 服 务 的 。 但 安 全 注 定 要 提 高 成 本 。 然 而 好 的 安 全 性 架 构 设 计 ， 以 及 应 用 适 当 的 技 术 策 略 ， 是 能 够 有 效 降 低 这 种 成 本 （ 也 希 望 业 务 方 达 成 如 此 共 识 ） ， 体 现 安 全 人 员 的 价 值 。 所 以 ， 安 全 要 有 助 于 业 务 ， 但 不 是 完 全 为 业 务 让 路 不 作 为 。 安 全 特 性 能 否 成 就 更 好 的 业 务 ， 比 如 隐 私 保 护 、 数 据 安 全 治 理 ， 本 是 为 用 户 提 供 信 息 安 全 保 护 ， 展 示 安 全 保 障 能 力 ， 让 用 户 更 具 有 “ 安 全 感 ” 。 要 想 安 全 建 设 落 地 做 到 适 用 性 ， 安 全 人 员 要 充 分 理 解 业 务 和 业 务 所 采 用 的 技 术 ， 不 断 学 习 ， 与 时 俱 进 。 这 让 安 全 本 身 这 个 职 业 非 常 具 有 挑 战 性 ， 但 也 让 安 全 人 员 更 具 有 价 值 和 不 可 替 代 性 。 信 息 安 全 规 划 信 息 安 全 规 划 Y 模 型 模 型 企 业 信 息 安 全 规 划 是 根 据 企 业 自 身 现 状 和 实 际 发 展 需 求 ， 对 企 业 战 略 目 标 进 行 分 析 ， 由 信 息 化 建 设 框 架 拆 解 ， 着 眼 于 长 远 战 略 、 全 盘 考 虑 、 业 务 方 向 ， 形 成 指 导 一 定 时 期 内 企 业 生 存 发 展 的 、 动 态 保 障 自 身 安 全 能 力 的 可 执 行 方 案 。 规 划 与 计 划 不 同 ， 规 划 更 具 战 略 性 、 全 面 性 ， 是 未 来 信 息 安 全 工 作 开 展 的 指 导 路 线 ； 而 计 划 侧 重 短 期 性 ， 是 具 体 的 落 地 执 行 。 信 息 安 全 规 划 漏 斗 Y 模 型 ， 可 以 有 分 解 路 线 、 上 升 目 标 和 自 我 沉 淀 三 个 维 度 视 角 。 下 行 分 解 路 线 是 拆 分 战 略 规 划 ， 形 成 目 标 路 线 ， 制 定 建 设 计 划 的 发 散 过 程 。 拙 见 以 为 好 的 公 司 的 企 业 发 展 战 略 ， 应 该 是 全 员 宣 贯 、 意 义 明 确 、 随 时 可 查 。 信 息 安 全 的 总 体 建 设 一 般 来 自 于 信 息 科 技 规 划 ， 而 信 息 科 技 规 划 是 跟 着 企 业 发 展 战 略 前 行 的 ， 所 以 对 信 息 安 全 的 规 划 设 计 需 要 从 理 解 企 业 发 展 战 略 开 始 ， 同 时 在 信 息 科 技 规 划 范 围 内 ， 充 分 分 析 发 展 现 状 和 内 外 部 安 全 需 求 ， 形 成 信 息 安 全 总 体 目 标 ， 最 后 根 据 目 标 规 划 技 术 路 线 ， 形 成 安 全 建 设 计 划 。 上 升 目 标 是 以 企 业 发 展 为 灯 塔 ， 着 眼 于 具 体 的 安 全 管 理 和 技 术 策 略 ， 在 完 成 建 设 计 划 任 务 过 程 中 ， 不 断 完 善 单 一 安 全 管 理 层 面 ， 形 成 全 面 的 架 构 体 系 ， 最 终 目 的 是 支 撑 实 现 企 业 的 业 务 发 展 目 标 。 自 我 沉 淀 过 程 ， 也 是 追 求 良 好 实 践 形 成 的 过 程 ， 是 企 业 在 整 体 安 全 建 设 实 践 中 ， 通 过 持 续 摸 索 、 试 错 和 验 证 （ 不 一 定 要 试 错 但 一 定 要 验 证 ） ， 总 结 归 纳 ， 提 炼 形 成 标 准 化 ， 最 终 形 成 自 己 特 色 的 安 全 架 构 体 系 。 参 考 资 料 ： 《 信 息 安 全 规 划 方 法 及 案 例 》 、 《 全 栈 网 络 空 间 安 全 》 、 F r e e b u f 甲 方 交 流 社 群 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理