邮发代号 2-786
征订热线：010-82341063
文 | 国际数据公司（IDC） 腾讯安全 腾讯安全研究院企业数字化进程在带来敏捷、开放创新环境的同时，也增加了多样和不可预测的安全风险，给企业的业务和运营带来全方位的冲击。尽管企业已经普遍开展安全建设，但是面对来自数据、业务等维度的新挑战，企业的安全应对能力不能很好应对新威胁。企业应从传统的、基于攻防和事件的被动安全模式，转变为面向未来部署和企业长远发展的安全模式，构建起全面的、基于风险与合规的安全体系，即仿照人体用于抵御疾病的免疫力系统，构建数字安全免疫力体系，建立前瞻性的安全理念，从“治已病”发展为“治未病”，并在面临多维威胁时，可以更加及时地启动体系化的抵抗和防御机制，有效应对基础设施、网络、数据、业务以及管理领域的组合攻击行为。在数字经济高速发展和数实融合不断迈向纵深的今天，虽然很多企业已经普遍构建起了适应其自身需求的基础安全能力，但是企业仍面临多方面挑战和困扰。
（一）信息泄露事件频发，企业蒙受经济和声誉双重损失数字经济时代，数据价值的显露引发大批黑色产业的觊觎。攻击者通过爬虫、木马、漏洞等技术手段，结合社会工程学方法进行拖库、撞库攻击，实施勒索攻击，频繁攻破企业的安全防线，在给企业带来惨痛经济损失的同时，也使企业面临严重的法律风险和社会舆情压力。在中国，数据泄露事件同样频发，威胁企业的稳定健康发展。总体看，外部攻击、内部泄露以及系统和设备本身的漏洞是造成数据泄露的主要原因。而且，企业在数字化进程中面临数据泄露、业务停滞等危险的同时，声誉也将受到重创。（二）大量潜在复杂攻击，导致业务数字化面临多重威胁伴随业务的数字化发展，数字化与业务融合所产生的全新类型的风险越来越多，企业的业务安全直接面临安全大考。数字化运营是企业安全保障的重心，特别是与互联网密切相关的大量数字化原生企业，运营活动通过互联网触达海量的个人用户群体，使企业用户每时每刻都面对虚假注册、刷单、恶意操作等大量不可预知的行为。如果企业的内控体系不健全，流程不完善，极易出现业务漏洞，可能造成无法预知的巨额损失。一些具有极大经济价值的大型企业机构，还可能会长期遭受高级可持续攻击（APT）的威胁。此外，以 ChatGPT 为代表的人工智能技术的加速进步，也将使攻击行为和攻击规模变得更具破坏性且难以防范。随着数字化广度和深度的持续强化，企业仍受到多个现实性痛点的困扰，且这些痛点呈现出泛在化趋势。一是战略认知的局限性。企业缺少对安全、合规价值的战略认知。安全投入的价值产出不够直观和显性，也难以量化。因此，安全建设无法引起企业管理层和决策层的足够重视，也无法体现为自上而下的安全意识。企业安全建设更多体现为被动式的投入，应对检查、评审的客观要求。二是安全价值理解的悖论。足够的投入带来的高安全环境，往往会因为过于风平浪静而无法让人真正体验到安全的价值。此外，如何平衡信息安全与工作效率也是企业重点关注的问题。三是安全人才的匮乏。随着第三方平台信息技术快速发展，大量新技术不断被引入，企业安全需求产生显著变化。企业普遍缺乏适应新发展的专业化人才，甚至难以组建起体系化的安全人才团队。企业推进数智化发展所引入的大量新技术必然产生新的漏洞和威胁。一是云化环境安全。云环境的企业 IT 架构发生了很多新的变化，需要建立和提升许多新的能力。例如，采用大量软件定义网络（SDN）技术，每个技术环节是否稳健和规范，执行防范是否到位，薄弱环节是否能准确评估，以及如何优化和改进，需要体系化应对。二是物联网环境安全。企业智能化生产环境大量增加，产品设计、生产、交付流程中的智能化，以及用户侧大量增加的智能化产品，给企业经营和运营提出了新的要求。互联信息的增加以及用户服务模式由线下向远程服务的转变，也对安全形势产生了显著影响。三是大数据应用体系安全。企业数据持续沉淀，数据资产的价值被广泛认知。外部攻击理念也随之变化：传统意义上的攻击更多是威胁或炫技，而当前和未来的攻击则潜藏了巨大的经济诉求，对企业产生的影响更深远。四是旧系统的兼容与维护问题。老旧系统越来越难以实施安全加固策略，很多系统在被动式地打完补丁后，可能无法正常运转，甚至会导致新的问题出现。同时，产业数字化使企业以更加开放的形态面对外部环境，内、外部的数字化交互渠道显著增加，安全边界变得更为模糊。一方面，是安全流程的动态变化。传统的安全流程越来越缺乏适配性，如何发挥安全投入的价值仍是难题。另一方面，是安全运营理念的缺失。安全运营的理念已经延伸至充分利用数字化、自动化手段监测安全动态、洞察威胁隐患、实施风险管理以及快速应对事件的发生，同时，还需要根据事件反馈不断优化和调整安全策略。在这个升级迭代的过程中，企业需要在资金和资源上进行持续性投入。（四）数据安全和隐私保护意识提升，促使企业安全理念发生变化面对日益严重的企业安全威胁，各级政府和社会机构持续推动相应的立法行动和组织协同。经过多年的发展，企业形成了很多较为稳定、成熟的企业安全架构和安全合规体系等框架和模型。随着企业数字化体系的边界不断拓展，企业业务活动的不断创新，对数字化体系的敏捷性、高效性、灵活性等也提出了更高的要求，也促使企业的安全理念发生变化，以便适应新发展。和生物体一样，企业正面临一个更为复杂多变的环境。除不断提升现有的安全防护措施和手段外，企业愈发需要全方位提升自身的免疫力，以便从容应对不可预知的突发威胁，并在遭受威胁后能以更快的速度恢复健康运行状态，保障企业实现并完成数字化转型。
数字安全免疫力指的是企业在面临多维威胁时，能更加及时地启动体系化的抵抗和防御机制，有效应对针对基础设施、网络、数据、业务以及管理等的组合攻击行为。数字安全免疫力对于维护企业健康高效发展具有至关重要的作用。与人体免疫系统类似，数字安全免疫力包含两个重要的子系统。一是先天性数字安全免疫力。人体的先天性免疫是指与生俱来的固有防御体系，可以很大程度抵御病原体入侵，具有广谱性、基础性、稳定性和可遗传性。对企业而言，安全文化和意识可构成其先天性数字安全免疫力，包含领导层对企业安全以及相关法规的了解和重视程度，决策层对安全的战略性认知和全局性举措。这些基本定义了企业安全的范围和上限；员工对用户信息/网络安全的意识，在一定程度上反映企业在安全执行层面的整体水平，体现安全措施的成效；企业安全能力的整体状态包括 IT 发展状态和数字化进度，以及企业安全组织架构、战略和资源情况，是对企业真实安全能力的客观评价。良好的先天性数字安全免疫力可以帮助企业规避诸多风险，全面、稳定、持续地守卫企业的健康。二是适应性数字安全免疫力。对人体而言，先天性免疫构成了第一和第二道防御屏障，但仍会存在冲破先天免疫防护的情况发生。此时，适应性免疫系统被激活，通过更具针对性的主动防御，建立起深度保护机制。对企业而言，适应性数字安全免疫力是针对高度具体的攻击所形成的防线。企业在先天免疫系统的基础上，通过对安全威胁进行针对性的分析、洞察和应对，形成面向不同威胁要素的、组合式的防御能力。企业适应性数字安全免疫力包含六大模块（见下图）。第一，边界安全是数字安全免疫力的基础屏障，通过对外部入侵检测、防御和有效的访问控制策略，帮助企业形成基础防护能力，对攻击行为进行控制和阻断。第二，端点安全是数字安全免疫力在企业内部控制威胁入侵的防线，在与外部深度交互的过程中，能够保持对不同攻击的识别、检测和响应，在保证业务正常开展的前提下，实现动态化防御。第三，应用开发安全是数字安全免疫力的加强防线，对开发全过程进行规范化管控，利用自动化、智能化平台手段，识别业务逻辑错误，发现应用程序漏洞，对代码进行合规审计，实现数字安全免疫力“左移”。第四，安全运营与管理是数字安全免疫力的中枢系统，是建立抵抗力的重要场所，是感知威胁、监测漏洞、练兵练将、指挥作战的大本营。围绕战略、组织、流程、人员等要素，通过指挥各个系统分工合作、密切配合，建立有效的体制机制，保障企业长期健康、稳定运行，实现风险可控。因此，企业应考虑引入安全运维、安全托管、安全审计等一系列技术管理手段，以及威胁感知、威胁响应、漏洞扫描、攻防演练、容灾备份等常态化安全运营手段。第五，数据安全治理是数字安全免疫力里具有靶向特征的防御模块，可以极大地提高数字化活动的完整性和有效性，通过准确定位数据安全目标，明确数据安全目标和自上而下的组织共识，从数据全生命周期的安全保障出发，兼顾技术与管理举措，形成与业务目标高度融合的动态安全治理流程和工具体系。第六，业务风险控制同样是具有靶向特征的防御模块，与数字化业务发展息息相关，也与具体业务场景的安全需求高度耦合。应重点关注企业合规和业务安全保障体系，构建风险画像、反欺诈、账号黑名单等能力，从业务源头开始识别风险行为，阻断风险过程的发生，清除不良业务行为造成的影响。上述系统和模块彼此协作，共同维持企业安全、高效、稳定地运行。除了这些适应性和针对性的免疫能力之外，企业普遍还存在一类获得性的加强免疫能力，即通过外部安全力量的引入，强化企业安全建设的效率，解决短板效应，应对突发的安全困境。数字安全免疫力模型的实践过程应重点关注打造合规底线、提升影响力、全面拓展三个逐级递进的安全价值层次。与传统的安全理念不同，数字安全免疫力更加强调前置投入，将安全要素融入至企业的战略、管理、运营流程，打破平台、技术、能力等层面的壁垒，强调动态、轻量、实时的反应能力，在一定程度上实现自主容错、纠错和升级，最终达成以下发展目标。一是全面提升抗风险能力，构筑企业数字化韧性。事实上，数字安全免疫力适应企业的全生命周期发展过程，长期的前置投入，可有效降低遭遇重大事件时的破坏性损失，提高企业的韧性，保证业务的连续性。二是保障业务运营和创新，提升企业商业竞争力。强化企业安全体系，持续推动业务创新，保障数字化转型向纵深发展，加快推进数字经济和实体经济深度融合。数字安全免疫力既可以提升企业的弹性，构建轻量、实时、容错纠错能力，又可以通过业务流、数据流、管理流，将企业内部的安全战略、管理、流程与外部的工具、技术、能力打通，减少重复投入。三是赋能生态发展，提升企业行业领导力。通过健全的内外部体制机制，增强企业领导力，提升企业的“头雁”效应；通过安全、完善的数字化能力推动产业链上下游协同发展，促进大中小企业间的融通。数字安全免疫力能够深入行业纵深，应对行业级痛点。在实践过程中，企业应以数字安全免疫力模型统一框架为基础，依托核心场景，实现不同安全方案的组合落地。核心场景一：数据安全合规。数据安全是数智化时代安全体系建设的重中之重。数据安全的防护对象不仅是数据库、数据湖等具象化的产品和组件，还包括与数据相关的所有技术、管理和运营环节。目前，通过技术平台手段强化数据安全合规管理已成为企业的趋势性选择，特别是围绕《数据安全法》和“等保 2.0”等合规实践所形成的常态化监测、检查、整改、验证等工具和流程，企业可广泛借鉴。核心场景二：金融风险管理。金融风险控制与合规管理是金融机构的第一要务。数字化金融的发展带来海量数据集中，关乎社会民生的诸多方面。互联网金融的发展使金融核心系统增加了很多的外部连接，这些外部连接使系统的复杂度不断增加，潜在威胁也不断加大。金融数字安全免疫力建设应注重在合规体系下建立多重手段相结合全方位、多层次的安全协同体系。核心场景三：零信任与混合办公安全。混合办公已成为大多数企业的选择，特别是在业务类型极为丰富且各类角色和权限管理非常复杂的大型和超大型企业，企业网络连接触达的地域广、边界模糊，传统安全体系模型不足以应对这些复杂局面。基于零信任安全基础理论的发展，配合进程级别的隔离手段，系统访问过程可通过一套完整的零信任安全机制实现免密登录。核心场景四：安全管理与运营。企业安全运营旨在建立日常安全管理和应急安全处置相结合的一体化机制，使企业具备常态化、流程化的风险管理和安全防护能力。企业应关注大数据领域的技术进步成果，特别是重视威胁情报分析和态势感知能力建设，将安全防护关口前置，形成主动防御和全生命周期动态防御的模式。核心场景五：云环境工作负载安全。云的分布式环境和软件定义等技术体使传统的信息安全保障体系面临管控粒度粗放、管理效率低下等严重问题。云原生安全的快速进步能够帮助企业建立起与云相融合的、多重防护手段相结合的云安全环境。为更好地激活、提升企业数字安全免疫力，企业应重点关注以下三个方面，做好企业数字安全免疫力状态监测。一是定期“体检”，掌握自身健康状态。做好企业安全定期检查可以帮助企业提早发现并控制“疾病”，是构建企业数字安全免疫力的重要一环。一些重要的安全测试方法能帮助企业发现潜在的安全风险，并提供对应的解决方案降低企业安全风险。这些安全测试包括但不限于漏洞评估、渗透测试、社会工程学测试、安全控制评估、数据安全评估等。这些测试方法的综合使用，可以帮助企业建立更全面、更强大的安全预防措施，在提高系统安全性的同时，确保企业系统的弹性以及业务的韧性。二是接种“疫苗”，补充风险抵御能力。如同人体一样，企业的安全免疫系统也需要在“不同年龄段”（例如企业的信息化/数字化发展阶段）针对不同需求，接种相应“疫苗”，借助专业安全厂商提供的反勒索攻击软件、威胁情报服务、安全漏洞扫描和风险评估、安全培训和教育等服务，加强针对特定风险的抵御能力。三是保持积极活跃的“生活方式”，全面布局。企业的数字安全体系也是企业在全面数字化转型时代保持健康活跃发展的关键要素。企业应建立宏观、前瞻性的安全理念，围绕数字安全免疫力模型中的文化与意识、边界、端点、应用开发、安全运营、数据、业务等七大要素，面向未来进行部署，打造自上而下、自内而外的全面数字安全免疫力体系，为促进企业整体发展带来切实价值。针对企业安全建设呈现出不充分、不完善、难推进等问题，企业应以构建全面、主动的数字安全免疫力体系为契机和核心，实现多重安全要素有机组合，形成面向当前和未来的、动态联系的、可持续迭代的安全体系模型框架。
（一）文化与意识：建立上下一致的认知，形成统一有序的行动企业在加强数字安全免疫力的文化与意识维度建设时，应重点关注以下层面：一是管理层，提升对企业安全的战略性认知，将企业发展战略、企业数字化转型战略以及企业安全战略相结合，实现一体化的规划与传承，形成统一认知，进而落实为统一有序的行动。二是组织架构，为企业安全建设和运维工作提供常设的、与企业发展相融合的组织与岗位，同时，密切关注安全形势的变化和安全策略的调整，及时升级组织架构，为整体战略体系服务。三是资源配置，在企业现有资源配置的基础上，适度向新型安全人才储备和培训体系倾斜，关注安全投入带来的长期价值。（二）边界安全：夯实安全基础防线，守护不断扩展的边界企业在提升数字安全免疫力的边界安全维度能力建设时，应重点关注以下新变化：一是网络，如在以端口管理和访问控制为主的防火墙上增加深度检测能力，成为一体化深度防御能力的一环。二是入侵检测和入侵防御，关注其与相关安全措施的联动能力，提高识别准确性，减少阻断机制对业务的影响，并及时更新特征库、病毒库。三是身份准入，关注零信任基础上的一体化身份认证能力，并在业务访问过程中结合对用户访问特征的分析，动态评估用户风险。四是联合防御，与互联网态势感知能力结合，结合 Anti-DDoS、Anti-bots、WAF 等手段，构建逻辑上的动态边界防御。（三）端点安全：填补端点安全间隙，构筑多形态环境安全企业在提升数字安全免疫力的端点安全维度能力建设时，应重点关注以下新变化：一是异构终端的检测与响应，面向不同技术架构的终端以及不同的交互模式建立安全检测与响应手段，并将不同终端的访问管理纳入一体化管理体系。二是身份和访问管理，配合进程级别的隔离手段以及先进的认证系统，系统访问过程可以通过一套完整的零信任安全机制实现企业体验的显著优化，并提高身份认证效率。三是云原生环境安全，云内的安全解决方案需要合理评估从软件开发到系统运营所面临不同的风险，解决虚拟机、容器环境下的安全问题，以及应对容器之间、计算环境之间、数据库之间的访问隔离等安全挑战。企业在提升数字安全免疫力应用开发安全维度能力建设时，应重点关注以下新变化：一是云上负载的开发、交付，在 DevOps 所建立的一体化开发、交付、管理环境下，重点针对业务安全逻辑、代码安全检测引入相关的技术和管理措施。二是智能化安全技术，关注智能化技术与安全需求的结合成果，如采用人工智能检测工具，实现智能化检测和评估。三是应用程序编程接口（API）安全，企业中台化的服务架构和丰富的内外部服务，使 API 的统一安全管理变得至关重要。API 调用过程的协议、权限管控等，都值得重点关注。四是软件供应链安全，对外包、分包软件模块的开发进行全程安全管理，构建统一、强管控的外包开发环境，对外采安全软件进行标准化检测评估。（五）安全运营与管理：打造统一、可视、主动、协同的安全运营企业在提升数字安全免疫力的安全运营与管理维度能力建设时，应重点关注以下新变化：一是预警与感知，利用新的技术手段和平台化工具，强化安全扫描、渗透测试能力；利用安全大数据领域的最新发展成果，建立实时态势感知和威胁情报分析能力，实现漏洞/威胁/风险的统一管理。二是安全加固，对网络、主机和业务系统进行持续性的安全加固，特别是在分布式云计算和软件定义环境下，利用丰富的云技术成果，构建起云原生安全体系。三是应急响应机制，建立智能化的应急响应机制，强化各环节的技术能力和统一联动，并把应急响应与常态化的容灾备份、攻防演练结合起来，降低安全事件造成的损失。四是合规与审计，关注合规与审计规则的数字化表达与呈现，将相关的工作通过数字化与智能化能力实现标准化和常态化，触达企业业务的每个参与者。（六）数据安全治理：打造企业数据生态，加速合规数据价值释放企业在提升数字安全免疫力的数据安全治理维度能力建设时，应重点关注以下新变化：一是数据泄露检测与保护，引入先进的检测和防护工具，结合其他层面的技术和安全审计手段，重点防范数据泄露，特别要注意技术与管理体系的结合，防止社会工程学攻击。二是数据加密，紧密关注密码领域的最新进展，特别是遵循国家对密码算法和密钥管理体系的要求，确保加密、认证和防篡改等密码应用体系的健全。三是数据脱敏，应重点解决脱敏算法的灵活分类与合规管理问题，与边界安全等相结合，确保对脱敏数据应用过程的严格管控。此外，还应进一步深入研究多模态数据的脱敏和使用。四是数据全生命周期管理，利用完善的平台化策略，确保数据全生命周期的闭环管控。在源头采集端强化采集质量管理，在进入管控流程后，对复制、交换、共享服务等过程进行细粒度审计。五是交易与共享，利用区块链、隐私计算等新技术提升对交易和共享环节的安全管控能力，在保障数据安全的前提下，进一步拓展数据开放机制和数据融合场景，推动数据价值的广泛释放。（七）业务风险治理：健全风险管理体系，兼顾风险与效率平衡企业在提升数字安全免疫力中的业务风险治理维度能力建设时，应重点关注以下新变化：一是行业安全深度拓展，以行业为分类，推动企业通用安全场景的沉淀、积累和广泛复制。例如，在风控、反欺诈、市场营销、内容运营等维度，提供标准化的安全管理和治理工具平台，帮助企业快速缩小与行业最佳实践之间的差距。二是一些特定领域的新业务场景，数智化与传统行业的广泛结合使一些具有行业属性的场景如车联网安全、工控安全等，也成为业务风险治理的热点目标，其对社会公共安全具有十分重要的影响力，也是围绕安全需求进行融合创新的重要领域。（本文刊登于《中国信息安全》杂志2023年第8期）
文章来源: https://mp.weixin.qq.com/s?__biz=MzA5MzE5MDAzOA==&mid=2664195641&idx=1&sn=fcc114adcf0aea7bb4c2602137355fa2&chksm=8b5964c0bc2eedd6e49519b88bafc566e715eea8e129d7f478889644a3686f8e45abfa34813d&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh