掌握企业安全建设的1+1+N， 你就拿到了通向未来CISO的钥匙！ 企业安全未来方向在哪里？ 经常有安全的朋友吐槽： 1、信息安全涉及的东西太多，从法律合规、网络、服务器、开源组件、办公设 备、开发、云、大数据，甚者以后的智能设备，现在科技变化这么快，什么都需 要懂，学不完； 2、现实中也没有百分百的安全，经常背完这个“锅”，又要背下一个“锅”，做 安全的太难了，未来企业的信息安全到底应该怎么做？ 从中国企业正在发生的变化看未来安全的方向？ 1、当前产业正在发生什么变化？ 中国改革开发40+年，经历了制造业的大发展，也经历了互联网的高速增长。但是双方都想惦记着 对方的一亩三分地，互联网企业想在高端制造分一杯羹，制造业又想用互联网思维提升企业生产管理水 平，这种软件与硬件的强化融合，造就了产业互联的大趋势，这种趋势下科技赋能业务，业务不断科技 化，成本不断降低、效率不断提升产品不断创新，这就是当前产业正在发生的变化。 2、未来5年企业信息安全会朝什么方向发展？ 安全伴随科技而生。在产业互联转型的大趋势下，信息安全就是生产安全，安全必须融入业务。企 业的安全人员也要基于企业的信息化和科技架构绘制安全业务全景图。 未来安全业务架构-一句话安全 从以上的分析，我们可以了解到几个基本信息： 1、未来5年产业互联网转型是个大趋势； 2、安全伴随科技而发展； 3、安全需要融入业务就像质量之于产品，安全需要成为业务的一部分。 基于这些，我提出了一句话的安全业务架构：安全的员工，使用安全的设备，经过动态的鉴 权，精细化的授权，访问安全的系统。 一句话安全如何落地？ 如果我们认为至此就可以开心地跟公司说出伟大的目标，那就想多 了，因为业务永远是第一位的，安全团队需要想好一切。 1、如何通过技术落地一句话安全？ 2、一句话安全建设的路径和阶段如何？ 3、需要多少时间和人力才能完成一句话安全的建设？ 一、一句话安全必须以产品思维落地：1+N，实现安全业务的信息化、自动化、数据 化，甚者智能化。 1指的是一个安全运营平台-安全ERP：这个平台主要是处理安全业务的主逻辑，实现安全业务的信息化和数据化。 1）作业中心，着重风险闭环，通过信息化产品固化安全作业，降低对熟练人工的依赖。主要内容含全面的资产管理、风险的闭环 处置。 2）稽查中心，着重人工触发的风险稽查任务。主要内容含SRC、安全评审、例行检查、专项检查。 3）数据安全中心，着重数据在使用流转过程中的风险管理。内容含业务导数管理、DBA敏感操作管理、大数据平台安全、敏感数据 轨迹。 4）预警中心，着重应急响应，通过及时的告警数据，提高应急响应的速度和全面性。预警中心内容含：终端日志、账号日志、网 络日志、服务器日志、应用安全日志、授权日志、数据安全日志、安全设备日志、以及可疑场景类告警，如攻击类、泄密类、违规 类等。日志分析也是多层次分阶段实现的，从简单的告警规则，到聚合类分析，再到利用AI模型的自动分析。 5）报表中心，着重风险趋势和效能分析，实现企业风险的透明化、安全团队任务的透明化。主要内容含：产品安全质量报表、办 公安全报表、系统运营过程中的风险分布图、数据安全报表、安全人员效能分析报表、用户行为分析报表及轨迹数据等。 6）评分中心，着重企业安全水平评价，尝试通过各领域的风险指数以及能力指标评估企业安全成熟度。主要内容含员工安全素 养、攻击者视角的防护能力、内部人员违规泄密的管控能力、日常运营能力、应急响应速度，以及风险发现的自动化率等。 一、一句话安全必须以产品思维落地：1+N，实现安全业务的信息化、自动化、数据 化，甚者智能化。 N指的是围绕一句话安全架构，能够与安全ERP对接的各类安全产品，实现安全业务的产品化、自动化。 1）终端安全系统，该系统解决的是业务系统之外数据的安全管理、以及设备使用过程中的安全合规监管，涉及的内容非常多，此类 产品的开发涉及到OS比较底层的技术。日志和异常入安全ERP中处理。 2）员工安全系统，着重通过信息化提升员工安全素养，主要包含安全场景互动、安全培训考试、安全测试复核等模块。每个员工的 状态会放到安全ERP中处理。 3）鉴权中心，着重员工接入系统前的安全及合法验证。主要包含员工账号、设备、位置、行为等的识别和执行，具体如何是安全合 法，每个企业可以根据企业的要求自行配置。日志和异常入安全ERP中处理。 4）授权中心，这个产品做成什么样子取决于企业IT水平的现状。如果你的企业有应用门户，并且应用大都是自研的，那就可以做到 模块、行、列的细粒度授权。如果是网关形式，那只能考虑基于域名、IP、协议等的授权。日志和异常入安全ERP中处理。 5）应用安全自动化，这类系统大家都知道，其中每个具体风险的处置，会放到安全ERP中处理。 6）基础安全自动化，这个系统
