ISC 2021开幕，360高瀚昭以实战化视角谈网络安全建设方法论

　　“安全的本质是一种能力，实战是检验安全能力的重要核心标准。” 360 政企安全集团高级副总裁高瀚昭在ISC2021 第九届互联网安全大会上强调。

　　 7 月 27 日，第九届互联网安全大会（ISC2021）在北京国家会议中心盛大启幕。全球顶级安全智囊、技术专家、知名学者等齐聚一堂，围绕“网络安全需要新战法，网络安全需要新框架”主题，进行了前瞻性对话与交流。

　　在首日未来峰会上， 360 政企安全集团高级副总裁高瀚昭以《面向实战的安全体系建设方法论》为题发表重要演讲，他从当前安全行业遇到的挑战谈起，提出面向实战的安全体系建设方法论，并分享了三六零公司（股票代码：601360.SH，以下简称360）实践该方法论的效果，最后还与现场嘉宾探讨了关于该方法论的未来展望。

　直面企业在体系建设和顶层设计上的挑战

　　当前，网络安全事件层出不穷，网络安全已上升至国家高度。危机之下，企业逐步意识到安全建设亟需顶层设计。然而就顶层设计而言，多数企业面临的最大困境是战略目标和执行路径脱节，目标是为了提升各项安全能力，但在如何提升方面，除把满足合规要求和行业安全标准作为执行目标外，并没有太过清晰的路径。

　　所以，如何规划顶层设计以及在具体顶层设计上，又该如何结合每个单位的实际业务情况和管理能力，一步步落地，成各大厂商面临的重大安全挑战。

　　从实战化视角落地网络安全建设方法论

　　网络安全，讲百遍不如打一遍。安全的本质是一种能力，实战是检验安全能力的重要核心标准。大会上，高瀚昭提出：安全体系建设需要面向实战以安全能力提升为目标的方法论。

　　作为方法论的核心，安全能力具体由哪些内容组成？现场，高瀚昭分享道：安全能力= (资源+技术+管理) *执行。具体剖析如下：

　　●第一个维度：资源。这里的资源包括：安全大数据和对这些数据的分析结果。高瀚昭认为数据是安全能力的核心。数据驱动的安全，将使得安全更好的融入企业的业务与管理；同时，基于数据的威胁情报共享机制，也将极大提高业界整体安全防御水平。

　　●第二个维度：技术。技术是安全能力支撑的工具。未来，安全技术将更加细分到更多业务领域，安全产品和服务将更具多样性。

　　●第三个维度：管理。高瀚昭认为，好的管理能保障整个业务生命周期的安全性。厂商需将安全技术和安全管理工作，有效地结合贯穿到业务研发测试、上线运行、日常运维和漏洞管理等工作中。

　　●第四个维度：执行。人是安全能力的载体，是具体的执行者。所以，安全体系建设要重点考虑全员安全意识的提升。

　　在详细阐述完该公式后，关于如何做好企业的网络安全体系建设？高瀚昭还补充道，企业的网络安全体系建设需与企业的总体战略保持一致。此外，还需四个指导思想加持：一是，用大数据的手段驱动安全建设；二是，要打造能够沉淀安全能力，不断应对新技术发展变化的网络安全基础设施；三是，一手抓攻防，一手抓管控，做到内外兼修；四是，要培育安全人才，构建持续的安全运营能力。在建设完成后，通过网络安全实战评估对于建设的结果给出客观、定量的评价，在最终的结果输出上，我们就能通过资源、管理、技术、执行的每一个方面清楚的知道我们每开展一项新的安全工作，对于安全能力的提升有多少。

　　3 60 践行安全体系建设方法论

　　现场，高瀚昭还以为 360 为例，讲述了：企业如何践行这套安全体系建设方法论。

　　在顶层设计方面， 360 定义了以安全大脑为核心的安全体系能力框架，并结合资源、技术、执行的能力需求，建立相应的基础设施。在资源方面， 360 有神经元基础设施，负责多元异构数据的采集和标准化，有网络空间测绘基础设施负责对网络空间的地图测绘，有威胁情报中心提供从数据到情报的分析、加工以及互联互通工作。在技术方面， 360 既有针对攻击面防御的实网攻防靶场、漏洞众测中心、蜜罐诱捕设施、高级威胁检测中心、安全开发能力中心，也有针对资源面管控的SASE、零信任、管理认证等基础设施。在执行方面， 360 以人和运营为中心打造了态势感知中心、安全运营中心、应急响应中心、人才培训基地和安全能力评估中心。

　　正是依托这套面向实战的安全建设方法论和以安全大脑为核心的安全体系， 360 在过去 16 年中，发现了 46 个国外APT组织对我国的渗透攻击，也帮助了国内的亿万消费者免受病毒和勒索软件的侵袭，并帮助城市和行业建设并提高自己的安全能力。

　　当前，IT技术和攻击手段在持续进化，安全体系也必须与之同频。唯此，才能应对实战考验。所以，关于该方法论的未来展望，高瀚昭表示：该方法论目前还只是 360 在自身安全建设以及服务国家、城市、各行业用户过程中的总结和提炼；然而，从他国经验来看，不同行业都有自身独特的业务战略和安全需求。所以，高瀚昭提出，针对不同行业企业特色，构建经得起实战考验的安全建设方法论，仍需更多安全专家们共同探索。

　　 7 月 28 日，ISC2021 大会持续进行中，更多产业与技术论坛邀您莅临！