绿盟杯 | 诸子云分享汇：第二周直播回顾
2022年5月，值百家智库二期纳新之际，安在新媒体推出“百家智库 | 诸子云 & 分享汇（2022第1季）”系列直播，聚焦新热点，探讨新技术，研判新趋势，以飨受疫情之困的中国网络安全的关注者和守护者。
本季直播由安在新媒体和绿盟科技联合举办，活动共10场，包括绿盟科技和百家智库在内20多位专家，主题涵盖安全合规、数据安全、个信保护、安全运营、安全管理、供应链安全、云安全、漏洞治理、零信任、工业互联网和车联网安全等诸多热点，通过形成“甲乙方同台PK”的方式，力图让本次比赛的内容更加充分，也更具看点。
每周直播结束，我们都会对上周直播进行回顾总结，本文即第二周直播内容的精华摘选。同时我们还将专家们的分享议题上传至诸子云知识星球，扫描文末二维码即可获取。
5月30日
第一场
数据安全工程化路径
刘志诚 乐信 信息安全中心总监
根据CNCF定义，可以将云原生分为四个部分。第一部分是容器云，容器云的演进过程也是基础设施的演进过程。为了满足企业成本最小化和业务部署的性能效果，基础设施从物理机到虚拟机，从公有云到私有云最后到容器云。弹性逐渐递增的同时，效率也逐渐扩大。
第二部分是DevOps，传统的信息化主要是依靠购买第三方软件作为管理的支撑的运行模式。而现在的数字化已经不单纯是一个管理信息化系统，更多的是业务、运营的作业系统。这种作业系统体现出企业业务的核心竞争力，因此企业需要自己开发对应的作业系统，也需要从过去的商业化开发模式转变成开发运营一体化的模式。其快速实现、快速交付的特点对安全带来了很大的改变。
第三部分是微服务，微服务是整个业务和应用信息系统技术架构的变化以及API模式的崛起。通过对业务的细粒度的解耦，实现小团队的快速交付。这会对整个业务系统、数字化系统的提升，都会有一个比较强的架构方面的支持。
第四部分是持续交付，以上三种都是为了提高用户体验，满足持续交付和快速交付的市场需求。
互助问答
零信任应对数据安全相对于传统的安全解决方案有哪些优势？
刘志诚：数据安全分为预防和运营两部分。从预防的角度来讲，零信任解决了身份、权限访问控制等方面提供数据安全的预防能力。其中需要注意的是，对于零信任大家更多的是从企业的视角来思考，2C业务的运维人员和企业内部员工的身份是有区别的。零信任在2C的场景中应对数据安全还是有欠缺的。
第二场
企业云原生数据防泄漏（DLP）架构与运营探索
胡恺健 深圳艾贝链动科技 数据安全与隐私保护负责人
数据防泄漏最主要的就是一个规划。先把目标定好，如果目标不清晰，后面所有的工作都是徒劳。
数据防泄漏由哪些部分组成，从企业端来看，一般包括网络、终端、移动设备、云和安全智能管理。下图是一些控制措施，网络包括应用隐身、互联网隔离、URL过滤、邮件DLP等。终端包含AD域控、外设与移动存储、密码托管/代理、屏幕水印等。移动设备分为Android和IOS，包括应用沙箱、远程擦除、远程锁屏等。云则是包括云原生DLP等安全防护措施。
安全智能管理这方面需要通过数据标签化、数据发现实现分类分级，这是数据安全治理的基础。另外还需要做日志采集汇聚，这样才能搭建数据安全的SOC，包括UEBA、威胁情报联动和态势感知。这些都需要日志采集汇聚后才能完成。
互动问答
目前企业在上终端DLP时，与隐私合规会有冲突。对于这种冲突，有什么好的建议吗？
胡恺健：一方面可以通过禁用个人IM聊天软件、个人邮箱等渠道，从而实现公司电脑不处理个人数据。第二是通过告知的方式取得个人同意，同时，可以与律师沟通，将数据处理活动的合法性基础进行调整，例如采用合规义务，正当利益等合法性基础来采集该类员工数据。
第三场
重构网络安全信任体系全方位保障数据安全
田旭达 绿盟科技 零信任解决方案专家
数据安全法的正式实施，预示着数据安全分量日益加重，随着新技术的发展，网络边界被不断打破，社会和企业都在面临数字化转型带来的数据安全风险。为有效的解决数据安全中违规访问、数据泄露等威胁，绿盟科技在针对数据安全的防护中，基于零信任架构，深度融合技术、管理和运营能力，通过内部体系建设、外部服务支撑、来实现持续的治理评估改进，实现入侵威胁的防御和业务数据的安全流转。
零信任体系下解决的数据安全问题，能够充分考虑数据安全各个阶段的安全风险，以数据为中心，为用户构建端到端的数据安全信任模型，将安全管控手段覆盖到数据生命周期的各个环节，对用户、设备、网络、业务、数据都采取“零信任”的态度， 持续验证多方可信，动态保障数据全流程安全。
互助问答
零信任应对数据安全相对于传统的安全解决方案有哪些优势？
田旭达：零信任在防护对象、防护基础、防护理念、防护效果等方面都具有一定优势。在防护对象方面，零信任更侧重以数据安全为中心，改变了传统的以网络为中心的防护，注重应用资源的本身。防护基础是零信任本身的特性决定的，它不是基于边界的防护架构，在访问过程中，对用户、终端等权限方面的验证是一致的，没有不同。防护理念方面，零信任在防护过程中限制了资源的可见性，实现了业务隐藏。在防护效果方面，零信任做到了动态防护，通过持续的信任评估、动态分析实现对数据资源的动态化访问控制。
第一场
企业安全建设二三事
于利新 CVTE（视源股份）安全部经理
企业安全建设主要有两个方向，一是从上至下，二是从下至上。从上至下是从管理层逐渐推动到全体员工，其前提是需要管理层或企业重视信息安全，愿意为信息安全建设投入资源和精力。从下至上是反其道而行之，如果管理层或企业不重视安全的话，可以通过以点到面的方式来传递安全意识和思想。在面对类似未成立安全部门或是安全部门依附于系统运维部的企业，安全负责人可以选择从下至上的方式建设企业安全。
还可以通过体系来入手，从ISO 27001或等保切入。首先无论是ISO 27001还是等保，都包含企业安全建设的各个层面。ISO 27001从A5到A18的14个域，涵盖了企业需要做的基本内容。安全负责人在做相关工作时，既可以选择其中的1、2个域，也可以全部作为一个大方向去规划。
其次，在做体系时是不可能由一个人或一个部门来完成，是必要的有多部门的协同。例如涉及到人力资源，就需要联动人力资源部门，当和很多部门联动之后，就可以了解到业务部门的实际情况。在这个过程中可以向他们普及信息安全的概念和意识，在后面信息安全推广和建设时都会有很大帮助。
第三是通过体系认证后可以获得证书，这个证书可以为业务带来实际的价值。例如将证书挂在官网上做宣传推广，或者在产品投标时带来额外的加分等等。因此，就可以获得业务部门的支持。
如果企业在等保或ISO 27001等相关体系都已经完成了，那还可以选择尝试新的体系。例如最近很火的ISO 27701等等。这些体系可以扩充企业对安全的认知，当企业在面对瓶颈时可以通过这些体系获得指引。
互助问答
网安新人如何评估项目的时间计划？
新人要多去询问上级，通过与其沟通拉近彼此的距离。另一方面，在定好时间规划后要与上级达成共识，与上级共同承担风险和后果。
第二场
合规视角下APP个人信息保护建设思考
黄鹏华 某互联网企业 安全负责人
满足监管的专项行动需要做以下四点。定要求、自评估、循环改和设卡点。
监管的专项行动都会有依据，定要求就是结合专项行动提供的公告来设立企业内部的要求。当满足这些要求之后，就需要开展自评估。自评估主要是通过调研和技术结合的方式，结合不同的场景来评估是否满足之前制定的要求。循坏改是根据评估的结果，进行整改，然后继续评估来保证已经改过的问题不会重复出现。设卡点就是在APP正式发布或上线之前进行合规检查。
定要求的来源有哪些？一个是部门规章和专项行动的要求。第二是信安标委的实践指南，结合前面就可以获得更加具体和可落地的要求。第三是监管通报，根据其内容可以大致清楚一些重点方面的要求。最后定要求在推进的过程中可能会面临一些挑战，主要是业务方面。因此需要对要求足够的熟悉，然后有理有据的告诉业务部门规定的来源和目的。
第一场
工业互联网安全杂谈
唐宇 海尔卡奥斯 安全负责人
目前，已经有30余家专注于工业互联网平台的企业，这些企业统称为双跨企业。工业互联网平台本质是工业的数字化转型，并且在工业领域相对领先。由于我国工业基础较为薄弱，相当多的中小型企业达不到上平台的能力和水平。但也有类似海尔、美的等有大量资金支持的企业可以上工业互联网平台。双化企业聚焦赋能，例如为汽车企业提供上云等服务。
在安全方面，近年来工业互联网的安全事件频有发生，部分专家认为工业互联网的风险非常大。实际上我个人认为无需多虑，因为很多企业比外界更清楚风险所在。目前工业互联网还没有达到所有最核心、最敏感的设备都上云，还没有说在远端一个指令就可以使生产设备宕机等等。很多企业目前还处于数据采集、资产梳理等初级阶段。
互动环节
工业互联网领域用哪种轻量级的身份认证管理模式？
身份认证方面跟互联网行业基本区别不大，常规的硬件加密机HSM，加上sso技术，（oauth2.0 saml ）等。有一种技术方面采用x.509简化版本证书，应用于低能耗的硬件，但应用很少。ca和kpi体系认证够用。
第二场
工业互联网安全态势与防护实践
张智南 绿盟科技 首席行业专家
工业互联网的安全风险是传统工控系统像工业互联网转化的风险。下图是《中国工程科学》2021年发布的期刊中的图片。左边的传统工控系统强调的是与互联网隔离的模式，采用了三级模型来描述工厂内部的局域网。其中包括工厂级、车间级和现场级。
工业互联网与传统工控的区别是右图。其中，设备智能化指的是不再是原来简单的输出输入设备，而是采用了更多包括智能传感器的高级操作系统。每一台设备都拥有独立的输入输出功能。另外，在工厂级实现了IT与OT的融合，可以看成是一套边缘计算体系。还有业务上云，也是传统工控系统的隔离网络有所区别。通过数据执行在云端进行数据共享和企业协作。
互动环节
在工业安全的起步阶段，特别是工业生产线的各种终端和智能设备的安全监视、运营、预警等方面如何规划和建设？各类涉及生产线的服务、产品供应商如何实施安全管控，降低工业安全风险？
由于工业网络生产系统对网络的实时性要求很高，在做防护时一般从以下几个方面考虑：
一是加强管理网络和生产网络的边界隔离，特别是较强的访问控制机制和恶意代码防范机制。
二是在生产系统内部，除了必要的分层隔离之外，不推荐使用网关型设备，防止出现时延对生产造成影响。尽量采用支持工控协议的流量监测设备进行实时分析。
三是对于工程师站等终端、数控机床等智能设备，在安全增强的同时，加强运维审计，对操作过程进行全纪录。
第一场
多元事件处置与安全生态建设思考
郭惠龙 某电商 安全专家
生态指的是生物在一定自然环境下的生存和发展状态，也指生物的生理特性和生活习性。类比安全生态的话，其中企业就是生物，产业链和时代背景就是环境，生存发展状态就是安全的出发点：有没有严重的信息安全事件等。信息安全事件对行业的督查和法规的监管都有一定影响。安全价值提升包括品牌影响力、企业合作影响等等。
生态关系包括企业自身的信息安全生态、信息安全事件生态、员工安全意识和技能生态、信息安全产业链生态以及干系第三方企业的信息安全建设的成熟度。首先左边的事件生态对企业有驱动作用。员工安全意识不仅仅是对企业自身，对于其他行业和企业也会产生循环的效果。第三方则是互相传递、互相影响的作用。最后的信息安全产业链则是对企业整个信息安全的建设和认知起到关键作用。
第二场
“高性价比”的安全运营
姜山 某投资控股集团 信息安全经理
本次议题的安全运营不是指安全管理中心技术平台，SOC需要相对全面的安全设备支持，并且基于不同的业务场景来定制开发和配置。本次议题的安全运营是指基于已有的产品和服务，实施相对有效地策略来处置风险，然后持续对安全进行赋能，最终达成安全目标，关键在于如何利用有限的资源进行有效的运营。
很多企业的安全建设情况是不一样的，但是即便是只有一台防火墙，也可以把安全做起来。具体来讲，从业务视角看资产、合理的使用开源产品、追求合适而不是完美、努力追求价值体现可以达成更高效的安全运营效果。
目前，很多安全管理都停留在纸面上。ISO 27001、等保虽然从体系、制度上看都很完善，但如果不实际落地意义不大，真正的安全运营是能够将安全策略有效落地。
在上周的群内互动打分环节中，我们一共抽出了三位幸运评委，获得精美奖品，名单如下，恭喜中奖的评委！
春天、YH、Leon
相关演讲文档，可以加入诸子云知识星球获取。扫描下图二维码即可获取加入途径。
推荐阅读
绿盟杯 | 诸子云分享汇：第一周直播回顾
齐心抗疫 与你同在