搜索

[8988] 2015-06-02_安全教育：企业安全包括的那些事儿

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2015-06-02_安全教育：企业安全包括的那些事儿 安 全 教 育 ： 企 业 安 全 包 括 的 那 些 事 儿 F r e e B u f   2 0 1 5 - 0 6 - 0 2 微 信 号 ： 微 信 号 ： f r e e b u f 从 我 在 绿 盟 所 受 的 安 全 教 育 来 看 大 致 分 为 以 下 几 方 面 ： 从 我 在 绿 盟 所 受 的 安 全 教 育 来 看 大 致 分 为 以 下 几 方 面 ： 1 . 网 络 安 全 ： 基 础 、 狭 义 但 核 心 的 部 分 ， 以 计 算 机 （ P C 、 服 务 器 、 小 型 机 、 B Y O D … … ） 和 网 络 为 主 体 的 网 络 安 全 ， 主 要 聚 焦 在 纯 技 术 层 面 。 2 . 平 台 和 业 务 安 全 ： 跟 所 在 行 业 和 主 营 业 务 相 关 的 安 全 管 理 ， 例 如 反 欺 诈 ， 不 是 纯 技 术 层 面 的 内 容 ， 是 对 基 础 安 全 的 拓 展 ， 目 的 性 比 较 强 ， 属 于 特 定 领 域 的 安 全 ， 不 算 广 义 安 全 。 3 .   广 义 的 信 息 安 全 ： 以 I T 两 个 字 为 核 心 ， 包 括 广 义 上 的 “ I n f o r m a t i o n ” 载 体 ： 计 算 机 数 据 库 意 外 还 有 包 括 纸 质 文 档 、 机 要 ， 市 场 战 略 规 划 等 经 营 管 理 信 息 、 客 户 隐 私 、 内 部 邮 件 、 会 议 内 容 、 运 营 数 据 、 第 三 方 的 权 益 信 息 等 但 凡 你 想 得 到 的 都 在 其 中 ， 加 上 泛 “ T e c h n o l o g y ” 的 大 安 全 体 系 。 4 .   I T 风 险 管 理 、 I T 审 计 & 内 控 ： 对 于 中 大 规 模 的 海 外 上 市 公 司 而 言 ， 有 诸 如 S O X - 4 0 4 这 样 的 合 规 性 需 求 ， 财 务 之 外 就 是 I T ， 其 中 所 要 求 的 在 流 程 和 技 术 方 面 的 约 束 性 条 款 跟 信 息 安 全 管 理 重 叠 ， 属 于 外 围 和 相 关 领 域 ， 而 信 息 安 全 管 理 本 身 从 属 于 I T 风 险 管 理 ， 是 C I O 视 角 下 的 一 个 子 领 域 。 5 .   业 务 持 续 性 管 理 ： B C M （ B u s i n e s s   C o n t i n u i t y   M a n a g e m e n t ） 不 属 于 以 上 任 何 范 畴 、 但 又 跟 每 一 块 都 有 交 集 ， 如 果 你 觉 得 3 和 4 有 点 虚 ， 那 么 B C M 绝 对 是 面 向 实 操 的 领 域 。 最 近 前 有 网 易 、 中 有 支 付 宝 、 后 又 携 程 ， 因 为 各 种 各 样 的 原 因 业 务 中 断 ， 损 失 巨 大 都 属 于 B C M 的 范 畴 。 有 人 会 问 这 跟 安 全 有 什 么 关 系 ？ 安 全 是 影 响 业 务 中 断 的 很 大 一 部 分 可 能 因 素 ， 例 如 D D O S ， 入 侵 导 致 必 须 关 闭 服 务 自 检 ， 数 据 丢 失 隐 私 泄 露 等 。 又 会 有 人 问 这 些 归 入 安 全 管 理 即 可 ， 为 什 么 要 跟 B C M 扯 上 关 系 ， 做 安 全 的 人 可 以 不 管 这 些 吗 ？ 答 案 自 然 是 可 以 不 管 ， 就 好 像 说 “ 我 是 个 j a v a 程 序 员 ， J V M 、 d a l v i k （ A R T ） 运 行 原 理 不 知 道 又 有 什 么 关 系 ， 完 全 不 影 响 我 写 代 码 ！ ” 事 实 上 B C M 提 供 了 另 一 种 更 高 维 度 ， 更 完 整 的 视 角 来 看 待 业 务 中 断 的 问 题 ， 对 于 安 全 事 件 ， 他 的 方 法 论 也 比 单 纯 的 I S M S 更 具 有 可 操 作 性 ， 对 业 务 团 队 更 有 亲 和 力 ， 因 为 你 知 道 任 何 以 安 全 团 队 自 我 为 中 心 的 安 全 建 设 都 难 以 落 地 ， 最 终 都 不 会 做 的 很 好 。
6 .   安 全 品 牌 营 销 、 渠 道 维 护 ： C S O 有 时 候 要 做 一 些 务 虚 的 事 情 ， 例 如 为 品 牌 的 安 全 形 象 出 席 一 些 市 场 宣 介 ， p r e s e n t a t i o n 。 笼 统 一 点 讲 现 在 S R C 的 活 动 基 本 也 属 于 这 一 类 。 7 .   C X O 们 的 其 他 需 求 ： 俗 称 打 杂 。 这 里 你 不 要 理 解 为 让 安 全 团 队 去 攻 击 一 下 竞 争 对 手 的 企 业 这 样 负 面 向 的 事 情 ， 而 是 有 很 多 公 司 需 要 做 ， 但 运 维 开 发 都 不 干 ， 干 不 了 或 者 不 适 合 干 的 事 情 ， 安 全 团 队 能 力 强 大 时 可 以 承 包 下 来 的 部 分 ， 事 实 上 我 的 职 业 生 涯 里 就 做 了 不 少 这 样 的 事 情 。 网 络 安 全 的 甲 方 乙 方 网 络 安 全 的 甲 方 乙 方 基 础 的 网 络 安 全 是 绝 大 多 数 在 甲 方 的 安 全 团 队 能 c o v e r 的 事 情 ， 不 管 你 的 安 全 团 队 能 力 如 何 ， 在 公 司 里 有 无 影 响 力 ， 这 个 是 必 须 要 做 的 因 为 这 是 把 你 招 过 来 的 初 衷 。 再 往 后 的 发 展 ， 是 否 止 于 此 则 看 各 人 的 想 法 ， 对 于 沉 醉 攻 防 技 术 的 人 其 实 不 需 要 往 后 发 展 了 这 些 足 够 了 ， 但 如 果 你 的 安 全 团 队 富 有 活 力 和 想 法 ， 即 便 你 想 止 于 此 他 们 也 不 干 ， 把 部 门 做 大 做 强 是 这 些 人 的 愿 望 ， 只 有 这 样 才 能 给 安 全 团 队 更 大 的 空 间 ， 因 为 这 点 跟 乙 方 是 不 一 样 的 ： 对 于 乙 方 而 言 你 可 以 在 某 个 单 点 领 域 上 无 限 深 挖 ， 而 不 会 遇 到 天 花 板 ， 因 为 你 始 终 是 在 满 足 主 营 业 务 的 需 求 ， 即 使 你 成 为 骨 灰 级 的 专 家 公 司 也 会 对 你 在 某 方 面 创 新 有 所 期 待 而 给 你 持 续 发 展 的 可 能 性 ， 但 是 在 甲 方 ， 安 全 不 是 主 营 业 务 ， 归 根 结 底 是 一 个 保 值 型 的 后 台 职 能 ， 不 是 一 个 能 创 造 收 益 的 前 台 职 能 ， 他 是 一 个 成 本 中 心 而 非 盈 利 中 心 ， 他 的 成 本 的 大 小 跟 业 务 规 模 以 及 公 司 盈 利 能 力 相 关 ， 公 司 发 展 时 他 的 b u d g e t 和 h e a d c o u n t 会 发 展 ， 业 务 停 滞 时 安 全 做 的 再 好 也 不 会 追 加 投 入 ， 因 为 无 此 必 要 。 反 面 的 例 子 也 有 ： 做 的 不 好 反 而 追 加 投 入 的 ， 那 是 一 种 政 治 技 巧 而 非 现 实 需 要 。 如 果 你 在 乙 方 的 研 究 部 ， 无 论 你 的 漏 洞 挖 掘 技 能 多 牛 逼 ， 公 司 都 不 会 跳 出 来 说 “ 你 已 经 超 出 我 们 需 求 了 ， 你 还 是 去 更 N B 的 公 司 吧 ” （ 通 常 情 况 ） 。 但 是 在 甲 方 ， 假 设 是 在 一 个 国 内 排 名 大 约 T O P 5 - T O P 1 0 的 互 联 网 公 司 ， 养 一 个 漏 洞 挖 掘 的 大 牛 也 会 觉 得 很 奇 怪 ， 他 是 在 给 公 司 创 造 价 值 还 是 在 自 娱 自 乐 是 会 受 到 质 疑 的 ， C S O 也 会 被 质 疑 是 否 花 了 大 价 钱 挖 来 的 人 不 是 出 于 业 务 需 要 而 是 用 于 扩 大 自 己 团 队 在 业 内 影 响 力 这 种 务 虚 的 事 。 假 如 公 司 到 了 g o o g l e 这 种 级 别 ， 有 一 大 堆 产 品 ， 储 备 大 牛 则 是 顺 利 成 章 的 ， 业 务 上 显 然 是 有 这 种 需 求 的 ， 不 过 还 是 要 看 产 出 是 否 对 主 营 业 务 有 帮 助 ， 工 作 成 果 不 能 转 化 为 主 营 业 务 竞 争 力 的 尝 试 性 活 动 在 公 司 有 钱 的 时 候 无 所 谓 ， 在 公 司 收 紧 腰 带 时 则 其 存 在 价 值 会 受 到 质 疑 。 以 狭 义 的 安 全 垂 直 拓 展 去 发 展 甲 方 安 全 团 队 的 思 路 本 质 上 是 个 不 可 控 的 想 法 ， 筹 码 不 在 C S O 手 中 ， 甚 至 不 在 C T O 手 中 ， 而 是 看 主 营 业 务 的 晴 雨 表 ， 也 就 是 我 以 前 微 博 上 说 的 ， 甲 方 安 全 是 要 看 “ 脸 ” 的 ， 这 个 脸 还 不 是 指 跨 部 门 沟 通 合 作 ， 而 是 在 最 原 始 的 需 求 出 发 点 上 受 限 于 他 们 。 因 此 有 想 法 的 安 全 团 队 在 （ 1 ） 做 的 比 较 成 熟 时 会 转 向 （ 2 ） ， （ 2 ） 是 一 个 很 大 的 领 域 ， 发 展 的 好 安 全 团 队 的 规 模 会 x 2 ， x 3 ， 并 且 在 企 业 价 值 链 中 的 地 位 会 逐 渐 前 移 ， 成 为 运 营 性 质 的 职 能 ， 结 合 B C M 真 正 成 为 一 个 和 运 维 、 开 发 并 驾 齐 驱 的 大 职 能 。 B C M 在 很 多 人 眼 里 就 是 D R （ 灾 难 恢 复 ） ， D R 其 实 只 是 B C M 中 的 一 个 点 ， 属 于 下 层 分 支 。 不 过 这 对 技 术 领 域 的 人 而 言 是 最 直 观 的 部 分 ， D R 在 互 联 网 公 司 里 由 基 础 架 构 部 门 或 运 维 主 导 ， 不 过 对 于 强 势 的 甲 方 安 全 团 队 其 实 也 是 能 参 与 其 中 一 部 分 的 ， 我 之 前 也 主 导 过 这 些 ， 当 然 也 是 受 到 了 绿 盟 的 教 育 以 及 我 的 “ 前 辈 们 ” 的 启 发 。 有 兴 趣 的 可 以 看 一 下 B S 2 5 9 9 9 。 企 业 信 息 安 全 建 议 企 业 信 息 安 全 建 议 广 义 的 信 息 安 全 ， 比 较 直 观 的 映 射 就 是 I S O 2 7 0 0 x 系 列 ， 行 业 里 的 绝 大 多 数 人 都 知 道 I S O 2 7 0 0 1 和 B S 7 7 9 9 . 不 展 开 了 ， 对 真 正 有 安 全 基 础 的 人 而 言 都 是 很 简 单 的 东 西 。 在 企 业 里 能 否 做 到 广 义 的 安 全 ， 主 要 看 安 全 负 责 人 和 安 全 团 队 在 公 司 里 影 响 力 ， 对 上 没 有 影 响 力 ， 没 有 诠 释 利 害 关 系 和 游 水 的 能 力 自 然 也 就 做 不 到 这 些 。 另 一 方 面 ， 狭 义 安 全 主 要 对 接 运 维 开 发 等 技 术 面 公 司 同 僚 ， 但 是 广 义 安 全 会 对 接 整 个 公 司 的 各 个 部 门 ， 对 于 沟 通 面 的 挑 战 来 说 又 上 了 一 个 新 的 台 阶 ， 似 乎 在 我 看 来 这 主 要 取 决 于 安 全 的 领 队 人 物 自 己 拥 有 什 么 样 的 知 识 结 构 以 及 他 的 推 动 能 力 如 何 。
对 于 （ 4 ） ， 如 果 你 所 在 的 组 织 有 这 方 面 的 需 求 ， 安 全 职 能 自 然 也 会 参 与 其 中 ， 是 否 刻 意 去 发 展 他 则 看 自 己 需 求 ， 对 我 朋 友 中 某 些 做 过 I T 治 理 和 风 险 咨 询 的 人 相 信 是 有 能 力 一 并 吃 下 的 ， 如 果 是 技 术 派 我 就 不 建 议 你 去 搞 了 。 （ 6 ） 属 于 水 到 渠 成 的 事 情 ， 到 了 那 一 步 你 自 然 需 要 考 虑 ， 就 算 你 不 想 公 司 也 会 让 你 去 ， 就 像 我 现 在 明 明 做 技 术 活 ， 却 也 不 知 道 为 啥 会 跟 这 一 类 事 情 挂 上 钩 。 （ 7 ） 有 人 看 时 自 动 过 滤 了 ， 不 过 安 全 负 责 人 自 身 是 否 有 瓶 颈 ， 能 否 在 企 业 里 发 展 起 来 跟 这 条 有 很 大 关 系 ， 甚 至 有 很 多 从 （ 1 ） 发 展 到 （ 2 ） （ 3 ） 的 人 都 需 要 借 助 （ 7 ） 这 个 渠 道 ， 点 到 为 止 不 多 说 了 。 。 。 对 于 互 联 网 公 司 ， 我 建 议 做 1 、 2 、 5 ； 对 于 传 统 行 业 ， 我 建 议 做 ： 1 、 3 、 4 、 5 。 互 联 网 安 全 内 容 互 联 网 安 全 内 容 在 互 联 网 行 业 安 全 包 括 哪 些 内 容 ， 我 觉 得 可 以 概 括 为 ： 信 息 安 全 管 理 （ 设 计 流 程 、 整 体 策 略 等 ） ： 这 部 分 工 作 约 占 总 量 的 1 0 % ， 比 较 整 体 ， 跨 度 大 ， 但 工 作 量 不 多 。 基 础 架 构 与 网 络 安 全 ： I D C 、 生 产 网 络 的 各 种 链 路 和 设 备 、 服 务 器 、 大 量 的 服 务 端 程 序 和 中 间 件 ， 数 据 库 等 ， 偏 运 维 侧 ， 跟 漏 洞 扫 描 ， 打 补 丁 ， A C L ， 安 全 配 置 ， 网 络 和 主 机 入 侵 检 测 等 这 些 事 情 相 关 性 比 较 大 ， 约 占 不 到 3 0 % 的 工 作 量 。 应 用 与 交 付 安 全 ： 对 各 B G ， 事 业 部 ， 业 务 线 自 研 的 产 品 进 行 应 用 层 面 的 安 全 评 估 ， 代 码 审 计 ， 渗 透 测 试 ， 代 码 框 架 的 安 全 功 能 ， 应 用 层 的 防 火 墙 ， 应 用 层 的 入 侵 检 测 等 ， 属 于 有 点 “ 繁 琐 ” 的 工 程 ， “ 撇 不 掉 、 理 还 乱 ” ， 大 部 分 甲 方 团 队 都 没 有 足 够 的 人 力 去 应 付 产 品 线 交 付 的 数 量 庞 大 的 代 码 ， 没 有 能 力 去 实 践 完 整 的 S D L ， 这 部 分 是 当 下 比 较 有 挑 战 的 安 全 业 务 ， 整 体 比 重 3 0 % + ， 还 在 持 续 增 长 中 。 业 务 安 全 ： 上 面 提 到 的 （ 2 ） ， 包 括 账 号 安 全 、 交 易 风 控 、 征 信 、 反 价 格 爬 虫 ， 反 作 弊 反 b o t 程 序 、 反 欺 诈 、 反 钓 鱼 、 反 垃 圾 信 息 、 舆 情 监 控 （ 内 容 信 息 安 全 ） 、 防 游 戏 外 挂 、 打 击 黑 色 产 业 链 、 安 全 情 报 等 ， 是 在 “ 吃 饱 饭 ” 之 后 “ 思 淫 欲 ” 的 进 阶 需 求 ， 在 基 础 安 全 问 题 解 决 之 后 ， 越 来 越 受 到 重 视 的 领 域 。 整 体 约 占 3 0 % 左 右 的 工 作 量 ， 有 的 甚 至 大 过 5 0 % 。 这 里 也 已 经 纷 纷 出 现 乙 方 的 创 业 型 公 司 试 图 解 决 这 些 痛 点 。 对 整 体 介 绍 的 部 分 在 前 面 的 篇 幅 讲 的 比 较 多 ， 主 要 目 的 是 希 望 “ 视 野 ” 部 分 不 缩 水 ， 这 些 概 念 在 后 面 篇 幅 都 不 打 算 再 展 开 了 ， 如 果 你 迟 迟 没 看 到 技 术 篇 ， 很 正 常 ， 这 只 是 一 个 开 头 而 已 。 下 一 篇 谈 谈 互 联 网 企 业 安 全 管 理 和 传 统 行 业 安 全 管 理 的 区 别 。 作 者 ： a y a z 3 r o ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理