【安防展覽網(wǎng) 企業(yè)關(guān)注】網(wǎng)絡(luò)安全的重要性不言而喻，但要如何落實好網(wǎng)絡(luò)安全保障，卻沒有一個標準答案，也沒有一個衡量的標準。
“網(wǎng)絡(luò)安全現(xiàn)在普遍的囧境是說起來重要，做起來次要，忙起來不要，一旦問起責(zé)來就逃之夭夭。”李洋打趣地說道。
李洋，碩士畢業(yè)于國防科大、博士畢業(yè)于中科院，從2001年就開始研究安全相關(guān)課題?，F(xiàn)任平安集團信息安全運營官，平安金融安全研究院執(zhí)行院長。他是業(yè)界的網(wǎng)絡(luò)安全與信息化專家，專家頭銜包括大數(shù)據(jù)協(xié)同安全技術(shù)國家工程實驗室-金融行業(yè)安全研究中心執(zhí)行主任、行業(yè)*專家、中國網(wǎng)絡(luò)空間安全人才教育聯(lián)盟常務(wù)理事……
在2017年來到平安以前，李洋先后在運營商、金融、制造業(yè)、互聯(lián)網(wǎng)等行業(yè)工作出任CIO和CSO等高管要職，負責(zé)企業(yè)信息化以及安全的相關(guān)工作。
在近20年的網(wǎng)絡(luò)安全與信息化工作中，李洋總結(jié)出了保障網(wǎng)絡(luò)安全的兩個關(guān)鍵詞——“業(yè)務(wù)”“科技”。
△李洋
安全就像下棋，是一場博弈
“安全應(yīng)該是面向業(yè)務(wù)的安全。”李洋說。網(wǎng)絡(luò)安全是一項“伴生技術(shù)”，無法獨立存在，必須要有具體業(yè)務(wù)訴求，才能有用武之地。
但具體要如何才能滿足行業(yè)業(yè)務(wù)的需求呢？李洋給出的答案是：“重運營。”
以金融行業(yè)為例，普遍的保障安全的方法，就是做到合法合規(guī)，另外企業(yè)還會購買相關(guān)安全設(shè)備。這樣的方式確實能在一定程度上保障安全，起到“打預(yù)防針”的作用，但卻十分機械，而且更多地只能在事后的響應(yīng)處理上發(fā)揮作用。
“安全，強調(diào)的應(yīng)該是對抗性，就像下棋一樣，它是一個博弈，要根據(jù)對手的落子，來制定戰(zhàn)術(shù)。”李洋說，雖然“打預(yù)防針”能解決一部分的問題，但更重要的，是需要把安全的事前預(yù)防、事中對抗和事后相響應(yīng)處理有機結(jié)合、聯(lián)動，要實現(xiàn)這一目標，就需要做好安全運營。
實際上，“安全運營”的概念并非李洋*，李洋告訴億歐，這個概念由CNCERT提出，“我是在慢慢將國家安全的概念，在企業(yè)里面深化。”
李洋來到平安后，成立了三個部門：集團信息安全運營部、專家服務(wù)部和平安金融安全研究院。其中，信息安全運營部就是承擔(dān)運營的工作。安全運營部將平安集團所有業(yè)務(wù)單元都接入到了應(yīng)急響應(yīng)體系中，未來還將通過可視化大屏，實時反應(yīng)各業(yè)務(wù)單元的安全狀況，其作用就像軍隊的作戰(zhàn)指揮中心一樣。
安全要強調(diào)與業(yè)務(wù)之間的聯(lián)動，安全運營部解決了“聯(lián)動”的問題，但卻無法解決不同業(yè)務(wù)“個性化”的需求。平安集團旗下業(yè)務(wù)眾多，不僅有金融保險，還有汽車、房產(chǎn)、智慧城市等，不同的業(yè)務(wù)對安全的要求不同，解決方式也有差異，李洋牽頭創(chuàng)立的第二個部門——專家服務(wù)部就發(fā)揮了作用。
“運營部提供的是共享服務(wù)，有點像網(wǎng)絡(luò)服務(wù)器，專家服務(wù)部是做量體裁衣的工作。”李洋說，安全運營和專家服務(wù)相結(jié)合，才稱得上是一套完整的服務(wù)。
如果說安全運營和專家服務(wù)是為平安集團的安全“賦能”，而“要’賦能’，首先還得’蓄能’”，平安金融安全研究院就是一個“蓄能池”。
李洋說，平安再大也只是一個企業(yè)節(jié)點，只是在整個社會生態(tài)產(chǎn)業(yè)鏈條上的其中一環(huán)，如果要更好地把保障安全的能力聚集起來，就需要多方參與，“所以我們適時提出了’政產(chǎn)學(xué)研金介用’結(jié)合的概念。”
“政產(chǎn)學(xué)研”并不難理解，但什么是“金、介、用”？李洋介紹道，“金”是指金融行業(yè)，也是平安的主業(yè)；“介”是中介、協(xié)會，通過這些第三方機構(gòu)，不僅能夠進一步拓寬交流圈子，也能更好地吸納人才；“用”是指用戶，用戶分集團內(nèi)的用戶和集團外的用戶，內(nèi)部的用戶就是各個子公司，外部用戶是C端用戶，比如手機銀行的用戶，“安全要讓大家有感知，才能增加用戶的信任感，以及對我們的粘合度。”李洋說。
科技、安全、生態(tài)，驅(qū)動業(yè)務(wù)發(fā)展
2017年，卡巴斯基實驗室和B2B International調(diào)查報告指出，有40%的企業(yè)存在員工隱藏IT安全事故的情況，每年有46%的IT安全事故是由企業(yè)員工造成的。既然是不少安全事故都是人為造成的，那是否意味著，網(wǎng)絡(luò)安全的保障，關(guān)鍵還是在制定規(guī)則，更好地約束人的行為？
李洋認為，規(guī)范人的行為的確很重要，但無論規(guī)則如何完備，但人總有粗心大意的時候。此外，現(xiàn)在人工智能等技術(shù)正在滲透各行各業(yè)，而AI基礎(chǔ)框架和算法本身也存在漏洞和缺陷，這也為安全帶來新的挑戰(zhàn)。
技術(shù)帶來的問題，還需要用技術(shù)來解決，因此安全的保障，也離不開科技的手段。“從我這么多年從事信息化和網(wǎng)絡(luò)安全的從業(yè)經(jīng)驗來說，其實就是突出六個字——科技、安全、生態(tài)。”李洋說。真正的科技和安全應(yīng)該是通過生態(tài)更好地驅(qū)動業(yè)務(wù)發(fā)展，讓企業(yè)、社會、老百姓切實感受和體驗到科技、安全、生態(tài)帶來的益處。
李洋認為，科技和網(wǎng)絡(luò)安全發(fā)展到現(xiàn)階段，要做到“系統(tǒng)防入侵、數(shù)據(jù)防泄漏、業(yè)務(wù)防風(fēng)險”，就需要搭建一個完善的、能夠面向業(yè)務(wù)的安全保障系統(tǒng)。這個系統(tǒng)不僅能讓安全變得可視化、可評估，還能通過分析數(shù)據(jù)，給出相應(yīng)的預(yù)測和方案。
據(jù)了解，平安現(xiàn)在正在打造的“智能安全運營中心”就具備這樣的態(tài)勢感知功能。今年，平安金融安全研究院聯(lián)合大數(shù)據(jù)協(xié)同安全技術(shù)國家工程實驗室、中國信通院，發(fā)布《網(wǎng)絡(luò)安全態(tài)勢感知技術(shù)及應(yīng)用發(fā)展藍皮書》(下稱藍皮書)，通過收集、整理范圍內(nèi)的網(wǎng)絡(luò)空間態(tài)勢感知發(fā)展情況，展示了態(tài)勢感知技術(shù)及發(fā)展的全貌。
根據(jù)藍皮書，網(wǎng)絡(luò)安全態(tài)勢感知是綜合分析網(wǎng)絡(luò)安全要素，評估網(wǎng)絡(luò)安全狀況，預(yù)測其發(fā)展趨勢，并以可視化的方式展現(xiàn)給用戶，并給出相應(yīng)的報表和應(yīng)對措施。具體而言，態(tài)勢感知平臺對風(fēng)險預(yù)測的結(jié)果，可以為傳統(tǒng)安全設(shè)備提供防御指導(dǎo)，為其提供風(fēng)險預(yù)警，提前規(guī)劃和制訂安全措施應(yīng)對即將到來的攻擊威脅；并且能夠與威脅情報平臺進行融合，從而提升風(fēng)險研判的準確性；此外還打造了一個統(tǒng)一支撐安全運營的平臺，改變以往多套平臺、多套系統(tǒng)林立的局面，提升運營效率。
網(wǎng)絡(luò)安全，企業(yè)究竟該如何做？
雖然科技對安全建設(shè)很重要，但李洋承認，現(xiàn)在安全平臺的建設(shè)還不能跟上技術(shù)發(fā)展的腳步。
一方面，現(xiàn)在的不少攻防工具還是基于“黑客”或“白帽”的經(jīng)驗打造的，難以標準化，不能標準化就難以大規(guī)模復(fù)制，批量化生產(chǎn)。
另一方面，安全有很強的時效性，對技術(shù)的要求也很高。李洋舉例說道，就好比一場足球賽，守門員就是守衛(wèi)安全的角色，球員在90分鐘內(nèi)能不斷發(fā)起進攻，但守門員是否能擋住球，就在一瞬間，如果無法馬上響應(yīng)，就會出現(xiàn)安全事故。
“數(shù)據(jù)中心可以慢慢建，但攻擊來了不可能慢慢去處理，這種不確定性和對應(yīng)對時效的高要求，是目前科技不能在安全很好地落地的一大原因。”李洋說。
但不可否認的是，未來安全一定需要科技的手段去守護，而且在萬物互聯(lián)的時代，任意一個小節(jié)點出了問題，都會對整個系統(tǒng)造成影響，只有用科技的手段，才能更有效地保障安全。
而“保障網(wǎng)絡(luò)安全”常常是說起來容易，企業(yè)要做起來卻常常不知如何是好，李洋的建議是，要重視基礎(chǔ)建設(shè)。一方面，在開發(fā)系統(tǒng)和應(yīng)用的一開始，就要開始考慮安全因素，“要把安全做全流程植入，不能后再來’補課’，這樣不僅需要付出更高的代價，而且效果也不好。”另一方面，要考慮各環(huán)節(jié)的安全需要，以物聯(lián)網(wǎng)為例，既要考慮到感知層硬件設(shè)備的安全性，也要考慮到邊緣計算平臺、云端的安全。
科技雖然重要，但李洋告訴億歐，在他過去近20年從事網(wǎng)信工作的經(jīng)歷中，很多問題的答案不是在技術(shù)里面找到的，李洋日常不僅會看網(wǎng)絡(luò)安全相關(guān)的書籍，還會看云計算、金融，甚至人文方面的書。
“安全需要綜合學(xué)科的人才，不僅要懂IT，要懂具體的業(yè)務(wù)，還要有網(wǎng)絡(luò)安全的攻防意識。”李洋說，只有具備了這樣綜合的能力，才能對“安全”有更深層的理解。
移動版
智慧城市網(wǎng)APP
智慧城市網(wǎng)小程序
微信公眾號
