本文4997字   阅读约需 14分钟

    编者按

    虎符智库

     大型机构安全建设系列文章，，，，，将萦绕大型机构在安全规划、安全运营、攻击面治理、威胁谍报系统建设方面的挑战，，，，，约请ca88登陆平台安全专家进行深刻分享。。。。。。。。

    随着对网络安全防护意识的日益全面和深刻，，，，，从全局进行网络安全规划的作用和价值被逐步认可，，，，，越来越多的大型机构积极推动网络安全规划工作。。。。。。。。安全规划若何提升机构网络安全能力？？？？？安全规划应该怎么发展？？？？？《26号院》约请到ca88登陆平台战术征询规划部（以下简称：ca88登陆平台战规）总经理邬怡，，，，，就大型机构的网络安全规划进行深刻探求。。。。。。。。

    图：ca88登陆平台战术征询规划部总经理邬怡

    邬怡以为，，，，，随着安全成熟度的提升，，，，，安全规划的需要在逐步开释。。。。。。。。大型机构的安全规划，，，，，应该以常态化可持续方式发展，，，，，提升安全成熟度，，，，，持续输出安全价值。。。。。。。。

    近况：安全成熟度提升，，，，，网络安全规划需要正逐步开释

    《26号院》：当前国内大型机构的网络安全规划近况是什么？？？？？哪些行业领域较为成熟靠前，，，，，哪些行业领域仍有待提升？？？？？

     邬怡：从前几年，，，，，ca88登陆平台援手超过100多家央企和部委发展网络安全规划。。。。。。。。从整体网络安全规划的局势上看，，，，，重要有三个特点：

    首先，，，，，目前的网安征询规划需要重要集中在当部门委，，，，，以及能源、金融等头部行业。。。。。。。。相对来说，，，，，这几个行业的政策敏感度、业务有关度最大，，，，，对网络安全征询规划的需要提出最早；；；；；一些相对传统的行业存在较大提升空间。。。。。。。。

    其次，，，，，网络安全征询规划越来越出现 “中国特色”。。。。。。。。以往的网络安全规整齐般会纳入信息化规划中一并实现。。。。。。。。在服务商选择上，，，，，通常会拔取国表驰名征询机构。。。。。。。。这些国表征询机构的安全规划时时导致“不服水土”、难以适配国内需要。。。。。。。。近几年，，，，，随着国内征询机构能力的不休提升和政策要求的变动，，，，，越来越多的大型机构选择国内的安全征询机构发展网络安全征询规划。。。。。。。。

    最后，，，，，网络安全征询规划的需要在逐步开释。。。。。。。。目前网络安全征询规划的重要案例还集中在信息化发展较快的一些行业领域，，，，，但随着传统行业数字化转型的深刻，，，，，我们已经收到了越来越多的规划需要，，，，，这也是国度推动“网络强国」亟略带来的必然景象。。。。。。。。

    另表，，，，，从国内政企机构网络安全成熟度来看：

     · 网络安全成熟高的大型企业会积极推动征询规划工作。。。。。。。。网络安全成熟高的大型企业，，，，，能正确理解业务需要，，，，，意识到网络安全的价值和作用。。。。。。。。其中，，，，，少部吩祗业内部有幼型规划团队或网络安全规划专岗，，，，，能在借助表部专业团队的援手下，，，，，定期合理地发展网络安全征询规划与技术演进路线设计，，，，，频率可达每年都进行（滚动）规划，，，，，将安全建设融入业务发展，，，，，以科学化、系统化的方式发展网络安整个系建设。。。。。。。。

     · 大部门网络安全成熟度较高的企业都有发展系统化规划，，，，，以规划作为安全建设的指引。。。。。。。。但由于安全组织、安全治理建设方面不及，，，，，齐全依附表部专业征询团队，，，，，以企业发展规划的沉大契机（如“十三五”规划、“十四五”规划）为网络安全工作的推动力，，，，，以安全能力为导向发展网络安全专项规划建设，，，，，提升网络安全建设的整体水平。。。。。。。。

     · 网络安全成熟度较低的政企网络安全工作处于齐全被动状态。。。。。。。。短缺专业的网络安全规划内容，，，，，网络安全规划可能仅作为信息化规划的少部门内容出现，，，，，存在于“十三五”、“十四五”的信息化（数字化）规划中。。。。。。。。安全工作以合规为导向，，，，，安全短缺系统化。。。。。。。。近年来，，，，，随着国度监管部门的要求、律例的强造性与国内安全环境的影响，，，，，此类企业都已经慢慢改善，，，，，网络安全规划工作都逐步提到了新的高度。。。。。。。。

    难点：大型机构安全规划需满足三项主题需要、解决四大难点

    《26号院》：目前大型机构网络安全规划的需要和难点是什么？？？？？

     邬怡：总结一些大型机构的安全规划案例，，，，，我们发现一个很有意思的景象：业务数字化水平越高的企业对安全征询规划的理解越深刻、要求越高。。。。。。。。这种理解和要求重要体此刻：

    1. 逐步意识到安全工作复杂性，，，，，要求用工程化、系统化的规划步骤论来领导安全建设。。。。。。。。数字化转型再造了业务流程、汇集了大量数据、使天堑越来越吞吐，，，，，安全出现出“复杂巨系统”的个性，，，，，必要工程化、系统化的规划步骤论来领导建设。。。。。。。。

    2. 安全规划必要可能全面鉴别安全能力的管控点、进一步设计管控流程。。。。。。。。安全能力必要与业务越发深刻的融合，，，，，数据和信息系统已经融入业务流程，，，，，成为了新的出产身分，，，，，安全能力也必要进一步与业务和信息化流程相融合，，，，，必要征询规划工作可能全面鉴别安全能力的管控点、进一步设计管控流程。。。。。。。。

    3. 可能与信息化规划对齐的安全规划步骤成为新的需要。。。。。。。。“查字典”式的征询规划步骤已不能满足大型企业的必要，，，，，基于合规要求的安整个系建设成为了大型企业的基础工作，，，，，金融、能源等先进行业在追求一种可能与信息化规划对齐的安全规划步骤。。。。。。。。

    要满足大型机构的安全规划要求，，，，，并不是一件容易的事。。。。。。。。重要有四大难点：

    难点1: 业务、信息化和安全有着分歧的沟通界面和沟通说话，，，，，要保险安全规划不是技术型“自嗨”的设计，，，，，就必要安全规划使用与业务和信息化一样的沟通界面，，，，，这对于分歧知识布景的人来说是一件很难的事件。。。。。。。。

    难点2: 组织内部治理层短缺对网络安全专业的相识，，，，，对网络安全工作认知有限，，，，，也没有合理的网络安全治理架构。。。。。。。。造成部吩祗业的决策层将重要关注点放在业务发展，，，，，忽视网络安全，，，，，对规划工作的价值没有认同。。。。。。。。导致企业的网络安全治理层，，，，，对于网络安全工作不敢要求更多的资源，，，，，更不敢启动专门的网络安全征询规划项目。。。。。。。。从而形成恶性循环，，，，，决策层越发看不清网络安全工作的全局，，，，，不明显网络安全工作的价值与作用。。。。。。。。

    难点3: 从安全战术到安全措施的落地，，，，，涉及到决策层、治理层、执行层等分歧层级的人员，，，，，要保险安全工作功效不打折扣，，，，，必要通过征询规划工作拉齐各个层级人员对安全的认知。。。。。。。。设计出从战术到落地的“一张蓝图”，，，，，领导安全工作在统一的措施下发展。。。。。。。。

    难点4：对征询规划步骤论的评价必要对安整个系有深刻的认知，，，，，必要大量的人力、物力和财力投入，，，，，这对一些企衣反说是一个挑战。。。。。。。。其工作功效的展示所需的周期较长，，，，，很难在项目招标周期中进行正确的衡量，，，，，好多企业仅仅基于成本考量，，，，，反而浪费了资金、错过了节点。。。。。。。。

    破题：战术意识、匹配业务、造就人才是安全规划的三身分。。。。。。。。

    《26号院》：有哪些网络安全规划经验可供大型机构借鉴？？？？？沉点必要把握哪些环节？？？？？

     邬怡：在持久服务大型机构的过程中，，，，，ca88登陆平台确总结了一些企业安全战术规划的成熟经验，，，，，能够供大型机构来参考和借鉴。。。。。。。。这重要蕴含三个方面：要具备网络安全战术意识、要做到与企业自身业务相匹配，，，，，以及造就自己的安全人才。。。。。。。。

    一是企业的决策和治理层必要具备网络安全战术的意识，，，，，企业必须不失机遇地定期造订或更新网络安全战术规划，，，，，能力成功适应企业业务和IT的发展变动。。。。。。。。

    二是企业不要盲目仿照其他企业的网络安全战术。。。。。。。。网络安全战术必要匹配本企业自身业务和IT发展规划，，，，，每个企业的业务和IT发展规划是基于特定的企业战术，，，，，它因时、因地、因公司而变动。。。。。。。。

    三是造就自己的网络安全人才，，，，，企业在执行网络安全战术时必须复苏地意识到，，，，，有了正确的工作思路，，，，，还要拥有相应能力的治理者及员工能力实现公司的网络安全战术意图，，，，，不然在执行过程中会偏离方向，，，，，不仅无法实现网络安全战术指标，，，，，反而很可能会给企业造成沉大损失。。。。。。。。

    因而，，，，，我们以为，，，，，要正确的发展网络安全规划工作，，，，，沉点必要把握两点：理清意识观点与规划工作工程化。。。。。。。。

    一是必要厘清网络安全规划工作的现实意思。。。。。。。。谬误的概想以为网络安全的规划就是网络安全数门自己的事，，，，，造成规划工作的关门造车情况，，，，，规划项目执行团队在不明显业务发展、不明显业务保险需要的情况下实现的规划内容。。。。。。。。这个问题必要项主张团队拥有成熟的征询规划步骤与工具流程，，，，，在项目过程中必要保障业务部门积极参加、沉度参加。。。。。。。。以科学的步骤发展项目，，，，，加强网络安全与业务的聚合。。。。。。。？？？？Ｄ芄挥胗心芰Ψ⒄雇绨踩ㄏ钫餮婊钪髡虐踩潭嗷セ，，，，，借助有实力、有经验的网络安全厂商的援手，，，，，将发展项主张过程、成就、作用、价值等内容索求明显。。。。。。。。在获得决策层支持的情况下，，，，，通过现实项目进行实际。。。。。。。。将实际所获得经验，，，，，形成常态化的工作项。。。。。。。。确定好常态化发展征询规划项主张机造、流程、工作。。。。。。。。

    二是将网络安全规划工作工程化，，，，，保险网络安全从战术到执行的过程可能顺利发展。。。。。。。。必要征询规划团队具备工程化的步骤论，，，，，对网络安全技术发展、国内网络安全市场、网络安全工程建设都有深刻的理解，，，，，能通过战术工作的设计和架构管控保障网络安全战术的落地。。。。。。。。同时也能够在项目执行过程中，，，，，要求项目执行团队，，，，，必要针对网络安全特定的大型建设，，，，，发展解决规划到执行的征询设计。。。。。。。。

    实际：以安全规划疏导安全建设，，，，，推动行业转变。。。。。。。。

    《26号院》：ca88登陆平台在安全规划方面和客户做了哪些索求，，，，，有哪些收成？？？？？

     邬怡：ca88登陆平台战规作为网络安全征询规划服务的提供方，，，，，充分吸收国内表先进的步骤及框架（如：TOGAF、DODAF、SABAS、CTF、IPDR2、C2M2等），，，，，结合大型企业的现实情况，，，，，利用内生安全—新一代网络安全框架成就，，，，，提供“十三五”、“十四五”在内的3-5年期网络安整个系规划设计。。。。。。。。

    ca88登陆平台战规先后服务多个当部门委、央企、大型民企，，，，，覆盖金融、能源、交通、造作业、及智慧城视注数字政务等方向，，，，，蕴含但不限于：南方电网、中石化、中海油、三峡能源、中国铁塔、大唐电信、国电投、邮储杏注北京银杏注兴业银杏注一汽丰田、中车集团、HTKJ、奇瑞集团等数十家单元，，，，，在满足大型企业网络安全规划的同时，，，，，自身的步骤论越发饱满，，，，，更具逻辑性、推理性更强。。。。。。。。2023年，，，，，ca88登陆平台凭借实战导向的安全征询服务，，，，，在国际权威征询机构Forrester颁布的 《2023年Q3亚太网络安全征询服务市场格局汇报》中被提名，，，，，并被评为驰名供给商。。。。。。。。

    ca88登陆平台以系统工程步骤论结合内生安全理想，，，，，奉行以征询规划疏导网络安全建设，，，，，推动整个行业，，，，，自动扭转传统网络安全思想，，，，，变“过后补救”为“事前防控”型建设思路，，，，，用“十大工程五大工作”建动态综合的网络安全防御系统，，，，，让网络安全从部门整改表挂式建设模式，，，，，转向安全与数字化业务的深度融合系统化建设模式。。。。。。。。

    通过与客户的深刻合作和互换，，，，，我们选取业内先进的步骤论和安全理想，，，，，进行系统化、系统化的安全规划，，，，，解决碎片化、两张皮的问题，，，，，实现网络安全与信息化深度融合，，，，，全面覆盖。。。。。。。。通过专家团队的深刻调研分析，，，，，定造化设计，，，，，系统化规划，，，，，援手客户把握自身功夫和空间领域的网络安全全景，，，，，援试祗业充分相识网络安全近况并鉴别安全风险，，，，，明确安全建设工程，，，，，指明网络安全建设资源（人、钱、物）投入凭据，，，，，明确网络安全建设项目执行蹊径和优先级，，，，，领导项目立项。。。。。。。。

    建议：把握五年网安规划与三年网安规划滚动更新的重点

    《26号院》：对于大型企业的网络安全规划，，，，，ca88登陆平台有哪些具体建议？？？？？

     邬怡：从全球领域看，，，，，数字化已成为推动经济社会转型、实现可持续发展、提升国度竞争力的关键动力引擎。。。。。。。。信息化、网络化、数字化在带来巨大盈利的同时，，，，，也随之带来新的安全风险。。。。。。。。同时，，，，，大型企业网络安全建设也面对严格挑战，，，，，面向这样的刷新机缘期，，，，，针对五年网络安全征询规划、三年网络安全规划滚动更新等性质的征询规划，，，，，ca88登陆平台建议如下：

    1. 以“三同步”准则，，，，，推动安全和信息化的“全面覆盖、深度融合”，，，，，建设网络安全基础设施和实战化运行系统。。。。。。。。

    2. 安全规划应致力于提高网络安全成熟度。。。。。。。。大型企业必要通过征询规划，，，，，将网络安全工作条例化、显性化，，，，，以常态化、可持续方式发展网络安全规划，，，，，实现网络安整个系的自我驱动、循环提升，，，，，从而提高网络安全成熟度，，，，，面向实战化匹敌，，，，，持续输出安全价值。。。。。。。。

    3. 选取科学的规划步骤论领导安全规划全周期的工作。。。。。。。。网络安全征询规划拥有专业性强、复杂度高和涉及面广等特点，，，，，规划出的项目（工程和工作）的指标瞻望、资源要求、关键里程碑、可落地性、检验尺度等身分，，，，，对于确保规划项主张科学性、经济性、可控性与了局的可达成起到关键作用。。。。。。。。将网络安全、系统工程、项目治理、服务治理等理论融入网络安全规划步骤中，，，，，合理使用安全规划工具，，，，，确保能以齐全、严谨、科学的方式将安全专业知识利用于规划建设全周期，，，，，使规划出的项目（工程和工作）适合企业。。。。。。。。

    （ca88登陆平台战规安全专家舒服、张泰宁、王维超、莫非对本文亦有贡献）

      关 于 作 者  

     邬怡，，，，，ca88登陆平台合资人，，，，，集团战术征询规划部总经理。。。。。。。。曾在国内驰名云推算公司和网络安全公司工作，，，，，掌管安全产品以及解决规划的技术规划，，，，，持久从事安全技术利用创新索求和前沿技术预研。。。。。。。。多年从事信息安全规划工作，，，，，善于安全架构设计。。。。。。。。屡次参加国度部委、大型央企信息安全规划和建设工作，，，，，对企业安全架构、数据安全、云安全有极度丰硕的经验。。。。。。。。

    本文选自ca88登陆平台《网安26号院》大型机构安全建设专题。。。。。。。。