金融企业安全建设痛点实践
Last login: Sun Sep 10 on ttys000 ？ ~ whoami Sven ？ ~ uname –a 安信证券 刘亦翔-安全管理岗 2020.9.10 英文名：Sven 信息安全从业6年 负责安全攻防、安全运营、DevSecOps 相关工作。 独立运营微信公众号《极思》。 2017年ASRC、AFSRC、JSRC top 白帽 子。
场景案例
场景案例 1. 我没有时间处理这个任务 2. 你说是漏洞就是漏洞 3. 这个弱口令无法修复 4. 不修不修就不修 你咋的 5. 互扛撕逼找领导
协作简史 2017年（明怼阶段） 安全：我们检测出有漏洞，你们修复吧？ 运维：你说是漏洞就是漏洞啊，把业务修挂了你负责啊？ 安全：系统被攻破了，你负全全责吗？ 运维：这漏洞修不了因为xxx、还有xxx，还有xxxx。 安全：行，不修你签字负全责吧。 2018年 （暗战阶段） 安全：上线要过安全检测啊。 开发：好，我们会过的（然后悄悄的绕过）。 开发：出了个漏洞，这个你们检测过啊？你没查出来你负全责。 安全：... ...
协作简史 2019年（同舟共济） 开发：这个我们是这样设计的，你看有没有安全问题？ 安全：好的，我们评审后觉得可以，出事一起抗。 2020年（同步规划-建设-运营） 项目组A：DevOps项目安全需求你们写。 项目组B：容器安全项目安全需求你们写。
思考分析
企业生命周期、运行逻辑 与安全策略 创业期 发展期 守业期 改革期 夕阳期 组织（地位） 流程 （引导） ？工具（效率） 制度 （控制）？文化（认可）
行业特性 银行、证券、保险等 金融行业 互联网 行业 政府行业 教育行业 金融行业 业务？ 容易招攻击者 ？ 线上业务众多 ？ 业务关联复杂 IT？ 历史包袱重 ？ 机房和IDC多 ？ 供应商强依赖 驱动力 ？ 监管合规 ？ 安全事件 ？ 安全风险 人员？ 老领导众多 ？ 元老员工众多 ？ 人员关系复杂
组织结构和规划、团队生命周期与安全策略 企业战略 规划 业务规划 ...... 信息技术 规划 安全规划 研发规划 运维规划 和安全策略 成立期（突破） 适应期（调整） 运营期（融合） ......
任务优先级、关系类型与安全策略 年度绩效任务 领导安排任务 同事协作任务 自主发起任务 差序格局图 “差序格局”是发生在亲 属关系、地缘关系中的， 以自己为中心像水波纹 一样推及开，愈推愈远， 愈推愈薄且能放能收， 能伸能缩的社会格局， 且它随自己所处时空的 变化而产生不同的圈子。
驱动/驱动力和安全策略 考核 双向考核 多奖少罚 协作 求同存民 合作共赢 专家 利害驱动 严谨专业 人情 诚信为基 守望相助 魅力 人畜无害 乐于助人 规划驱动 风险驱动 事件驱动 合规驱动 驱动力类型
协作七步 ？ 师出有名 第一 ？ 目标共赢 第二 ？ 思考角度 第三 ？ 和谐沟通 第四 ？ 让渡选择 第五 ？ 双向考核 第六 ？ 共同承担 第七
解决实践
解决总体80%的问题 安全文化为基 ？ 原则宣传 ？ 入职培训 ？ 在职培训 ？ 组队活动 活动 ？ 定位=队友 ？ 地位=管理 ？ 能力=专家 ？ 定位=队友 效果 师出有名 第一 规划驱动 风险驱动 事件驱动 合规驱动
解决总体80%的问题 目标共赢 第二 成果共享 ？ 项目成果 ？ 任务成果 奖励机制 ？ 绩效奖励 ？ 实物奖励 协作机制 ？ 加入职责 ？ 领导确认 表扬机制 ？ 榜样效应 思考角度 第三 为对
- 2021-06-22
- 阅读326
- 下载0
- 24页
- pdf
