“安全的本質(zhì)是一種能力，實戰(zhàn)是檢驗安全能力的重要核心標(biāo)準(zhǔn)?！?60政企安全集團(tuán)高級副總裁高瀚昭在ISC 2021第九屆互聯(lián)網(wǎng)安全大會上強(qiáng)調(diào)。

　　7月27日，第九屆互聯(lián)網(wǎng)安全大會（ISC 2021）在北京國家會議中心盛大啟幕。全球頂級安全智囊、技術(shù)專家、知名學(xué)者等齊聚一堂，圍繞“網(wǎng)絡(luò)安全需要新戰(zhàn)法，網(wǎng)絡(luò)安全需要新框架”主題，進(jìn)行了前瞻性對話與交流。

　　在首日未來峰會上，360政企安全集團(tuán)高級副總裁高瀚昭以《面向?qū)崙?zhàn)的安全體系建設(shè)方法論》為題發(fā)表重要演講，他從當(dāng)前安全行業(yè)遇到的挑戰(zhàn)談起，提出面向?qū)崙?zhàn)的安全體系建設(shè)方法論，并分享了三六零公司（股票代碼：601360.SH，以下簡稱360）實踐該方法論的效果，最后還與現(xiàn)場嘉賓探討了關(guān)于該方法論的未來展望。

　直面企業(yè)在體系建設(shè)和頂層設(shè)計上的挑戰(zhàn)

　　當(dāng)前，網(wǎng)絡(luò)安全事件層出不窮，網(wǎng)絡(luò)安全已上升至國家高度。危機(jī)之下，企業(yè)逐步意識到安全建設(shè)亟需頂層設(shè)計。然而就頂層設(shè)計而言，多數(shù)企業(yè)面臨的最大困境是戰(zhàn)略目標(biāo)和執(zhí)行路徑脫節(jié)，目標(biāo)是為了提升各項安全能力，但在如何提升方面，除把滿足合規(guī)要求和行業(yè)安全標(biāo)準(zhǔn)作為執(zhí)行目標(biāo)外，并沒有太過清晰的路徑。

　　所以，如何規(guī)劃頂層設(shè)計以及在具體頂層設(shè)計上，又該如何結(jié)合每個單位的實際業(yè)務(wù)情況和管理能力，一步步落地，成各大廠商面臨的重大安全挑戰(zhàn)。

　　從實戰(zhàn)化視角落地網(wǎng)絡(luò)安全建設(shè)方法論

　　網(wǎng)絡(luò)安全，講百遍不如打一遍。安全的本質(zhì)是一種能力，實戰(zhàn)是檢驗安全能力的重要核心標(biāo)準(zhǔn)。大會上，高瀚昭提出：安全體系建設(shè)需要面向?qū)崙?zhàn)以安全能力提升為目標(biāo)的方法論。

　　作為方法論的核心，安全能力具體由哪些內(nèi)容組成？現(xiàn)場，高瀚昭分享道：安全能力= (資源+技術(shù)+管理) *執(zhí)行。具體剖析如下：

　　●第一個維度：資源。這里的資源包括：安全大數(shù)據(jù)和對這些數(shù)據(jù)的分析結(jié)果。高瀚昭認(rèn)為數(shù)據(jù)是安全能力的核心。數(shù)據(jù)驅(qū)動的安全，將使得安全更好的融入企業(yè)的業(yè)務(wù)與管理；同時，基于數(shù)據(jù)的威脅情報共享機(jī)制，也將極大提高業(yè)界整體安全防御水平。

　　●第二個維度：技術(shù)。技術(shù)是安全能力支撐的工具。未來，安全技術(shù)將更加細(xì)分到更多業(yè)務(wù)領(lǐng)域，安全產(chǎn)品和服務(wù)將更具多樣性。

　　●第三個維度：管理。高瀚昭認(rèn)為，好的管理能保障整個業(yè)務(wù)生命周期的安全性。廠商需將安全技術(shù)和安全管理工作，有效地結(jié)合貫穿到業(yè)務(wù)研發(fā)測試、上線運(yùn)行、日常運(yùn)維和漏洞管理等工作中。

　　●第四個維度：執(zhí)行。人是安全能力的載體，是具體的執(zhí)行者。所以，安全體系建設(shè)要重點考慮全員安全意識的提升。

　　在詳細(xì)闡述完該公式后，關(guān)于如何做好企業(yè)的網(wǎng)絡(luò)安全體系建設(shè)？高瀚昭還補(bǔ)充道，企業(yè)的網(wǎng)絡(luò)安全體系建設(shè)需與企業(yè)的總體戰(zhàn)略保持一致。此外，還需四個指導(dǎo)思想加持：一是，用大數(shù)據(jù)的手段驅(qū)動安全建設(shè)；二是，要打造能夠沉淀安全能力，不斷應(yīng)對新技術(shù)發(fā)展變化的網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施；三是，一手抓攻防，一手抓管控，做到內(nèi)外兼修；四是，要培育安全人才，構(gòu)建持續(xù)的安全運(yùn)營能力。在建設(shè)完成后，通過網(wǎng)絡(luò)安全實戰(zhàn)評估對于建設(shè)的結(jié)果給出客觀、定量的評價，在最終的結(jié)果輸出上，我們就能通過資源、管理、技術(shù)、執(zhí)行的每一個方面清楚的知道我們每開展一項新的安全工作，對于安全能力的提升有多少。

　　360踐行安全體系建設(shè)方法論

　　現(xiàn)場，高瀚昭還以為360為例，講述了：企業(yè)如何踐行這套安全體系建設(shè)方法論。

　　在頂層設(shè)計方面，360定義了以安全大腦為核心的安全體系能力框架，并結(jié)合資源、技術(shù)、執(zhí)行的能力需求，建立相應(yīng)的基礎(chǔ)設(shè)施。在資源方面，360有神經(jīng)元基礎(chǔ)設(shè)施，負(fù)責(zé)多元異構(gòu)數(shù)據(jù)的采集和標(biāo)準(zhǔn)化，有網(wǎng)絡(luò)空間測繪基礎(chǔ)設(shè)施負(fù)責(zé)對網(wǎng)絡(luò)空間的地圖測繪，有威脅情報中心提供從數(shù)據(jù)到情報的分析、加工以及互聯(lián)互通工作。在技術(shù)方面，360既有針對攻擊面防御的實網(wǎng)攻防靶場、漏洞眾測中心、蜜罐誘捕設(shè)施、高級威脅檢測中心、安全開發(fā)能力中心，也有針對資源面管控的SASE、零信任、管理認(rèn)證等基礎(chǔ)設(shè)施。在執(zhí)行方面，360以人和運(yùn)營為中心打造了態(tài)勢感知中心、安全運(yùn)營中心、應(yīng)急響應(yīng)中心、人才培訓(xùn)基地和安全能力評估中心。

　　正是依托這套面向?qū)崙?zhàn)的安全建設(shè)方法論和以安全大腦為核心的安全體系，360在過去16年中，發(fā)現(xiàn)了46個國外APT組織對我國的滲透攻擊，也幫助了國內(nèi)的億萬消費(fèi)者免受病毒和勒索軟件的侵襲，并幫助城市和行業(yè)建設(shè)并提高自己的安全能力。

　　當(dāng)前，IT技術(shù)和攻擊手段在持續(xù)進(jìn)化，安全體系也必須與之同頻。唯此，才能應(yīng)對實戰(zhàn)考驗。所以，關(guān)于該方法論的未來展望，高瀚昭表示：該方法論目前還只是360在自身安全建設(shè)以及服務(wù)國家、城市、各行業(yè)用戶過程中的總結(jié)和提煉；然而，從他國經(jīng)驗來看，不同行業(yè)都有自身獨(dú)特的業(yè)務(wù)戰(zhàn)略和安全需求。所以，高瀚昭提出，針對不同行業(yè)企業(yè)特色，構(gòu)建經(jīng)得起實戰(zhàn)考驗的安全建設(shè)方法論，仍需更多安全專家們共同探索。

　　7月28日，ISC 2021大會持續(xù)進(jìn)行中，更多產(chǎn)業(yè)與技術(shù)論壇邀您蒞臨！