2020年8月10日，2020年北京網(wǎng)絡(luò)安全大會(huì)（BCS2020）峰會(huì)正式開幕。奇安信集團(tuán)董事長(zhǎng)齊向東發(fā)表了題為“內(nèi)生安全，從安全框架開始”的主題演講。他表示，內(nèi)生安全框架有三個(gè)重點(diǎn)——“理清楚”、“建起來(lái)”、“跑得贏”，目的是通過(guò)“新管理”，讓網(wǎng)絡(luò)安全體系具有動(dòng)態(tài)防御，主動(dòng)防御，縱深防御，精準(zhǔn)防護(hù)，整體防護(hù)，聯(lián)防聯(lián)控的能力。投入三至五年時(shí)間，就能建立起完善的網(wǎng)絡(luò)安全協(xié)同聯(lián)動(dòng)防御體系，真正實(shí)現(xiàn)內(nèi)生安全。

　　以下為演講全文：

　　尊敬的各位領(lǐng)導(dǎo)、來(lái)賓，觀眾朋友們，上午好！

　　感謝大家參加BCS戰(zhàn)略峰會(huì)。去年，我們?cè)谑讓肂CS大會(huì)上提出了“內(nèi)生安全”，得到了業(yè)界廣泛認(rèn)同。很多客戶來(lái)找我們，想知道內(nèi)生安全到底應(yīng)該怎么做。

　　所以從去年開始，我們專門成立了一個(gè)工作組，和20多個(gè)一線部門緊密協(xié)同，用系統(tǒng)工程的思想，把網(wǎng)絡(luò)安全能力，映射成為可工程建設(shè)的安全能力組件體系，并給出一套規(guī)劃方法論，設(shè)計(jì)工具集和配套的模型、架構(gòu)、項(xiàng)目綱要，構(gòu)建一個(gè)能夠適應(yīng)形勢(shì)變化的網(wǎng)絡(luò)安全框架，來(lái)支撐內(nèi)生安全體系建設(shè)。今年3月，我們正式公開發(fā)布了這套面向新基建的新一代網(wǎng)絡(luò)安全框架。

　　截至目前，我們已經(jīng)在近40個(gè)大型機(jī)構(gòu)里應(yīng)用了這套框架，包括部委、能源央企、金融、航空、大型制造業(yè)和數(shù)字城市，得到了很高的評(píng)價(jià)，他們說(shuō)，有了這套框架，從頂層設(shè)計(jì)到落地建設(shè)運(yùn)行變得很容易了。為了讓更多的政企機(jī)構(gòu)能快速實(shí)現(xiàn)內(nèi)生安全，我們把今年大會(huì)的主題定為“內(nèi)生安全 從安全框架開始”。

　　第一部分：內(nèi)生安全的關(guān)鍵是管理

　　去年的BCS大會(huì)上，我提出了“內(nèi)生安全”，強(qiáng)調(diào)在政府、銀行和大型企業(yè)等機(jī)構(gòu)，通過(guò)系統(tǒng)聚合、數(shù)據(jù)聚合和人的聚合，不斷從信息化系統(tǒng)內(nèi)生長(zhǎng)出安全能力，這種能力具有像免疫系統(tǒng)一樣的自主、自成長(zhǎng)、自適應(yīng)的特點(diǎn)，持續(xù)保證業(yè)務(wù)安全。

　　我們都知道，網(wǎng)絡(luò)安全是高度對(duì)抗性的行業(yè)，網(wǎng)絡(luò)安全系統(tǒng)包括技術(shù)、數(shù)據(jù)、人員和體制機(jī)制等，是一個(gè)復(fù)雜的系統(tǒng)。為了保障業(yè)務(wù)的安全性，實(shí)現(xiàn)這個(gè)系統(tǒng)的有效運(yùn)轉(zhuǎn)，就不能僅僅考慮產(chǎn)品和技術(shù)因素，而是要綜合技術(shù)、管理、運(yùn)行等多方面的因素。

　　一個(gè)網(wǎng)絡(luò)安全體系，必然面臨著層出不窮的攻擊。首先，漏洞是不可避免的，只要這個(gè)系統(tǒng)的0day漏洞還沒有被黑客窮盡，就永遠(yuǎn)面臨著未知的威脅。這個(gè)漏洞可能存在于芯片、操作系統(tǒng)、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備等任何地方，可能掌握在任何一個(gè)未知的敵人手中，這個(gè)敵人可能隨時(shí)發(fā)動(dòng)攻擊，造成的危害也難以掌握，它可能導(dǎo)致數(shù)據(jù)被盜，也有可能會(huì)直接導(dǎo)致系統(tǒng)崩潰。如果只用攻防技術(shù)來(lái)防護(hù)，被漏洞牽著鼻子走，這類安全問題是永遠(yuǎn)無(wú)法解決的。

　　其次，有報(bào)告顯示，超過(guò)85%的網(wǎng)絡(luò)安全威脅來(lái)自于內(nèi)部，危害程度遠(yuǎn)遠(yuǎn)超過(guò)黑客攻擊和病毒造成的損失。這些威脅絕大部分是內(nèi)部各種非法和違規(guī)的操作行為造成的。

　　最后，所有的體系都是人來(lái)操控管理的，但人是不可靠的，人本身的弱點(diǎn)也是網(wǎng)絡(luò)體系最大的脆弱性。比如弱密碼、密碼丟失、使用不安全的設(shè)備等，甚至還有人會(huì)被策反成間諜。

　　上述問題的存在，都導(dǎo)致了不管技術(shù)多高，我們的體系還是會(huì)失效。

　　所以我們認(rèn)為，安全的關(guān)鍵是管理。我們所說(shuō)的管理，不是傳統(tǒng)意義上的管理，它既不是單純的人員管理、行政管理、體制機(jī)制管理，也不是傳統(tǒng)的條文式管理、流程式管理，而是一套“新管理”模式，它由數(shù)據(jù)驅(qū)動(dòng)，通過(guò)與安全體系中的能力平臺(tái)和服務(wù)平臺(tái)有效對(duì)接，實(shí)現(xiàn)對(duì)安全技術(shù)、安全運(yùn)行等各方面要素的有效管理，從而發(fā)現(xiàn)和規(guī)避黑客利用安全體系里的漏洞發(fā)起的攻擊，克服人的不可靠性、彌補(bǔ)人的能力不足。總之，這種新管理模式的表現(xiàn)形式，可以是網(wǎng)絡(luò)安全管理大平臺(tái)，也可以是網(wǎng)絡(luò)安全管理運(yùn)營(yíng)管理中心。

　　內(nèi)生安全，代表的正是這種新形態(tài)的網(wǎng)絡(luò)安全管理模式。它用“一個(gè)中心五個(gè)濾網(wǎng)”，從網(wǎng)絡(luò)、數(shù)據(jù)、應(yīng)用、行為、身份五個(gè)層面來(lái)有效實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)安全體系的管理，從而構(gòu)建無(wú)處不在，處處結(jié)合，實(shí)戰(zhàn)化運(yùn)行的安全能力體系。這種新管理模式，需要有強(qiáng)大的能力體系支撐，需要用工程化、體系化的方式進(jìn)行實(shí)施，這套方法的成果，就構(gòu)成了內(nèi)生安全框架。

　　第二部分：管理的關(guān)鍵是框架

　　新時(shí)代需要新管理。要實(shí)現(xiàn)內(nèi)生安全所代表的的這種新形態(tài)的網(wǎng)絡(luò)安全管理，是一套復(fù)雜的系統(tǒng)工程，它需要一個(gè)新形態(tài)的能力體系做支撐，需要用工程化、體系化的方式進(jìn)行實(shí)施，實(shí)現(xiàn)它的關(guān)鍵就是安全框架。

　　在系統(tǒng)科學(xué)里，有一個(gè)特性叫“涌現(xiàn)”，指的是構(gòu)成系統(tǒng)的多個(gè)組成部分按照一定的方式相互聯(lián)系、相互作用，在整體上就能具備單個(gè)組成部分所沒有的性質(zhì)，產(chǎn)生“1+1＞2”的效果。比如，計(jì)算機(jī)系統(tǒng)可以實(shí)現(xiàn)工程計(jì)算、文字處理、軟件開發(fā)等功能，這些功能是CPU、電源、操作系統(tǒng)等單個(gè)組成部分所不具備的。

　　內(nèi)生安全也具有“涌現(xiàn)”效應(yīng)，能實(shí)現(xiàn)“1+1＞2”的效果。在信息化系統(tǒng)的功能越來(lái)越多、規(guī)模越來(lái)越大、與用戶的交互越來(lái)越深的時(shí)候，單一的、堆疊的安全產(chǎn)品和服務(wù)，哪怕是最新、最先進(jìn)的，都無(wú)法保證不被黑客穿透，但內(nèi)生安全系統(tǒng)，能夠讓安全產(chǎn)品和服務(wù)相互聯(lián)系、相互作用，在整體上具備單個(gè)產(chǎn)品和服務(wù)所沒有的功能，從而保障復(fù)雜系統(tǒng)的安全。建設(shè)內(nèi)生安全，采用的就是系統(tǒng)工程的思想。

　　過(guò)去20年，國(guó)內(nèi)外在信息化建設(shè)方面，用的是系統(tǒng)工程思想，通過(guò)行之有效的EA方法論與框架，引導(dǎo)與推動(dòng)了大規(guī)模、體系化、高效整合的信息化建設(shè)，很好地支撐了各行業(yè)的業(yè)務(wù)運(yùn)營(yíng)。

　　針對(duì)網(wǎng)絡(luò)安全，一些西方發(fā)達(dá)國(guó)家采用體系化思想，也設(shè)計(jì)出了適應(yīng)他們發(fā)展階段的NIST等框架。但由于我國(guó)的網(wǎng)絡(luò)安全基礎(chǔ)比較薄弱，一直采用的是“局部整改”為主的安全建設(shè)模式，導(dǎo)致網(wǎng)絡(luò)安全體系化缺失、碎片化嚴(yán)重、協(xié)同能力差，網(wǎng)絡(luò)安全防御能力與數(shù)字化業(yè)務(wù)的保障要求嚴(yán)重不匹配。在這樣的現(xiàn)狀下，無(wú)法套用西方現(xiàn)成的框架進(jìn)行安全體系建設(shè)。

　　我認(rèn)為，未來(lái)五年我國(guó)各行各業(yè)能不能取得高質(zhì)量發(fā)展就取決于現(xiàn)在。所以，我們提出了內(nèi)生安全框架，這是從工程實(shí)現(xiàn)的角度，針對(duì)我國(guó)的國(guó)情研制出來(lái)的，能將安全需求分步實(shí)施，逐步建成面向未來(lái)的安全體系。這套框架從頂層視角出發(fā)，支撐各行業(yè)的建設(shè)模式從“局部整改外掛式”走向“深度融合體系化”，在數(shù)字化環(huán)境內(nèi)部建立無(wú)處不在的網(wǎng)絡(luò)安全“免疫力”，真正實(shí)現(xiàn)內(nèi)生安全。

　　就在前兩天，我和一位大型央企的領(lǐng)導(dǎo)交流，他非常興奮，非常感慨。他告訴我，他做大規(guī)模信息化建設(shè)的時(shí)候，與業(yè)務(wù)系統(tǒng)融合用的就是系統(tǒng)工程的方法，但他從來(lái)沒有見過(guò)、也沒想到過(guò)網(wǎng)絡(luò)安全公司也能按照系統(tǒng)工程的方法，做出這么具體、這么好用的框架來(lái)。他說(shuō)：“網(wǎng)絡(luò)安全與數(shù)字化，用體系對(duì)體系，這就對(duì)了！”

　　內(nèi)生安全框架有三個(gè)重點(diǎn)，是把安全能力“理清楚”、“建起來(lái)”、“跑得贏”，目的是通過(guò)“新管理”，讓網(wǎng)絡(luò)安全體系具有動(dòng)態(tài)防御,主動(dòng)防御,縱深防御,精準(zhǔn)防護(hù),整體防護(hù),聯(lián)防聯(lián)控的能力。

　　先說(shuō)“理清楚”。內(nèi)生安全體系建設(shè)，需要先體系化地梳理、設(shè)計(jì)出保障政府和企業(yè)數(shù)字化業(yè)務(wù)所需要的安全能力，才能確保這些安全能力能夠融入到信息化與業(yè)務(wù)系統(tǒng)中去。

　　就像建造一棟房子，需要算清楚、準(zhǔn)備好所有的建筑材料和工具，才能打好地基、筑好框架、建好樓板、裝好防盜門窗、配齊消防設(shè)備、布好攝像頭、警報(bào)器，房子才會(huì)安全、堅(jiān)固，抵御各種風(fēng)險(xiǎn)。

　　在梳理的過(guò)程中，我們要充分考慮，這個(gè)系統(tǒng)的架構(gòu)和功能將來(lái)是否可以調(diào)整？系統(tǒng)的安全能力能不能做到持續(xù)不斷的增強(qiáng)？網(wǎng)絡(luò)安全產(chǎn)品是否有維護(hù)升級(jí)的能力？未來(lái)是否根據(jù)需要增加新的安全產(chǎn)品模塊？系統(tǒng)是否有安全監(jiān)控和數(shù)據(jù)采集的功能？

　　在設(shè)計(jì)的過(guò)程中，我們要根據(jù)政府和企業(yè)自身信息化項(xiàng)目的實(shí)際情況，對(duì)安全能力進(jìn)行挑選、組合和規(guī)劃，給出明確標(biāo)準(zhǔn)。

　　再說(shuō)“建起來(lái)”。融合是建設(shè)的關(guān)鍵，將安全能力深度融入物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、數(shù)據(jù)與用戶等各個(gè)層次，確保深度結(jié)合；還要將安全能力全面覆蓋云、終端、服務(wù)器、通信鏈路、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、工控、人員等要素，避免局部盲區(qū)，實(shí)現(xiàn)全面覆蓋。

　　這種將安全能力合理地分配到正確位置的建設(shè)過(guò)程，就是安全能力組件化的過(guò)程。這種安全能力組件，是軟件化、虛擬化、服務(wù)化的�？茖W(xué)、合理地將安全能力組件進(jìn)行組合、歸并，建立相互作用關(guān)系，確保了安全能力的可建設(shè)、可落地、可調(diào)度。

　　在具體建設(shè)過(guò)程中，需要一個(gè)全景化的技術(shù)部署模型，全面描繪政企機(jī)構(gòu)的整體網(wǎng)絡(luò)結(jié)構(gòu)，信息化和網(wǎng)絡(luò)安全的融合關(guān)系，以及安全能力的部署形態(tài)。

　　比如，按照區(qū)域，把政企機(jī)構(gòu)的信息化系統(tǒng)分成總部、區(qū)域中心、分支機(jī)構(gòu)以及網(wǎng)絡(luò)節(jié)點(diǎn)等多種類型；按照業(yè)務(wù)類別和功能，又把政企機(jī)構(gòu)的信息化系統(tǒng)分成了全局網(wǎng)絡(luò)、骨干網(wǎng)絡(luò)、區(qū)域邊界、通信網(wǎng)絡(luò)、信息系統(tǒng)、云平臺(tái)、大數(shù)據(jù)平臺(tái)、數(shù)字化終端等層級(jí)、組件，并標(biāo)記出它們的部署位置和形態(tài)。

　　在這個(gè)基礎(chǔ)上，我們就可以把所有的安全能力組件，分別以系統(tǒng)、服務(wù)、軟硬件資源的形態(tài)，合理部署到信息化系統(tǒng)的不同區(qū)域、節(jié)點(diǎn)、層級(jí)中。各種安全能力組件之間，通過(guò)網(wǎng)絡(luò)和數(shù)據(jù)進(jìn)行整體協(xié)同，使安全能力全面覆蓋信息化所有范圍，實(shí)現(xiàn)了對(duì)各個(gè)層次的管理，消除盲點(diǎn)，增強(qiáng)安全資源的豐富性、靈活性、完整性。

　　第三個(gè)重點(diǎn)“跑得贏”。新基建、數(shù)字化轉(zhuǎn)型，催生了無(wú)數(shù)新的應(yīng)用場(chǎng)景，帶來(lái)的安全風(fēng)險(xiǎn)劇增，推動(dòng)網(wǎng)絡(luò)安全從輔助工程變成了基礎(chǔ)工程。

　　缺乏安全運(yùn)行的安全系統(tǒng)，相當(dāng)于“靠天吃飯”。以前，由于網(wǎng)絡(luò)攻擊是小概率事件，就好比每年都風(fēng)調(diào)雨順，“靠天吃飯”的網(wǎng)絡(luò)安全也很少出事；但隨著網(wǎng)絡(luò)攻擊成為大概率事件，好比“十年九災(zāi)”，繼續(xù)“靠天吃飯”的網(wǎng)絡(luò)安全就會(huì)出大問題。

　　內(nèi)生安全體系強(qiáng)調(diào)安全運(yùn)行，把管理作為關(guān)鍵，就能“人定勝天”，跑得贏漏洞、跑得贏內(nèi)鬼、跑得贏黑客。

　　我們將網(wǎng)絡(luò)安全運(yùn)行的各個(gè)組件，以及網(wǎng)絡(luò)安全與信息化之間聚合、協(xié)同運(yùn)行的狀態(tài)進(jìn)行了詳盡的描繪，使安全工作中大量隱性活動(dòng)顯性化、標(biāo)準(zhǔn)化、條令化，從而確保安全運(yùn)行的可持續(xù)性，實(shí)現(xiàn)管理閉環(huán)。

　　第三部分：框架的關(guān)鍵是組件化。

　　落地內(nèi)生安全，實(shí)現(xiàn)新管理模式，最理想的情況，是建設(shè)一個(gè)完整的框架。但現(xiàn)實(shí)情況是，大多數(shù)政府和企業(yè)的信息化系統(tǒng)，都是新老結(jié)合的，往往需要花若干年的時(shí)間，才能完成對(duì)老系統(tǒng)的替換，這是一個(gè)“立新破舊”的過(guò)程。

　　從安全系統(tǒng)與信息化系統(tǒng)聚合的實(shí)施角度來(lái)看，如果割裂地對(duì)老系統(tǒng)用老辦法，新系統(tǒng)用新辦法，未來(lái)，當(dāng)老系統(tǒng)被替代時(shí)，老的安全系統(tǒng)也不得不替換掉，造成巨大的浪費(fèi)。

　　這就要求我們對(duì)安全體系進(jìn)行“統(tǒng)一設(shè)計(jì)，分步實(shí)施”，在體系的基礎(chǔ)上，把安全框架組件化，讓這些組件既能是新體系的一部分，又能部署到老系統(tǒng)中，從而適應(yīng)信息化系統(tǒng)這種漸進(jìn)式的、“立新破舊”的過(guò)程，避免不斷地把安全系統(tǒng)推倒重來(lái)，確�，F(xiàn)在安全上的投資是面向未來(lái)的。

　　從國(guó)際的經(jīng)驗(yàn)看，ISO/IEC 27000信息安全管理體系就是按照組件化的方式設(shè)計(jì)的，它包含14個(gè)類別，35個(gè)目標(biāo)，114個(gè)控制措施；NIST 的系統(tǒng)安全工程也列舉了從需求、設(shè)計(jì)、實(shí)現(xiàn)到驗(yàn)證、部署、維護(hù)、棄置等14個(gè)過(guò)程應(yīng)該開展的安全工作，包括54個(gè)任務(wù)、235項(xiàng)活動(dòng)。在NIST網(wǎng)絡(luò)空間安全框架中，也通過(guò)IPDRR-識(shí)別、保護(hù)、檢測(cè)、響應(yīng)、恢復(fù)的機(jī)制，以及多個(gè)落地子項(xiàng)來(lái)構(gòu)造網(wǎng)絡(luò)安全的保護(hù)體系。

　　遵循這樣的經(jīng)驗(yàn)，我們用工程化的思想，把體系中的安全能力，映射成為可執(zhí)行、可建設(shè)的網(wǎng)絡(luò)安全能力組件，構(gòu)成了內(nèi)生安全框架，這些組件與信息化進(jìn)行體系化地聚合，是安全框架落地的關(guān)鍵。

　　我相信，政府和企業(yè)按照我們提出的內(nèi)生安全框架，投入三至五年時(shí)間，就能建立起完善的網(wǎng)絡(luò)安全協(xié)同聯(lián)動(dòng)防御體系，真正實(shí)現(xiàn)內(nèi)生安全。

　　朋友們，數(shù)字化轉(zhuǎn)型和新一輪技術(shù)革命，正在重寫全球經(jīng)濟(jì)、科技和政治格局。對(duì)網(wǎng)絡(luò)安全行業(yè)來(lái)說(shuō)，這既是一次前所未有的機(jī)遇，也是一次前所未有的挑戰(zhàn)。讓我們攜起手，從安全框架開始，推動(dòng)網(wǎng)絡(luò)安全產(chǎn)業(yè)再上新臺(tái)階。謝謝大家！