零零信安王宇：数字化转型进程伴生新威胁 风险管理亟需智能化

世界经济论坛（达沃斯论坛）在今年1月份发布的《2022年全球风险报告》指出，随着整个社会不断向数字世界迁移，网络安全威胁也在不断加剧，掌握主动权的攻击者经常给组织带来数千万甚至数亿美元的损失，同时次生灾难所造成的损失更难以用金钱来衡量。网络风险已成为近年来需关注的重要风险之一，在今年的报告中，更是单独围绕数字化转型进行了全面的思考，报告关注到人们正在使用更加先进的技术，但在日益复杂的数字系统背景下，网络威胁已超过了当前社会普遍的风险管理能力。

可见，如何对来自于网络世界中的安全风险进行有效管理已成为企业、组织亟需解决的当务之急。最近，安全419走进专注于全局风险管理领域且刚刚完成千万级天使轮融资的初创安全企业——北京零零信安科技有限公司，同其创始人、CEO王宇就该话题进行了探讨。

零零信安创始人、CEO 王宇

传统方法论已然落伍 

要打造安心、省心的风险管理解决方案

面对当下数字化转型过程中不断涌现的各类新型网络威胁，王宇告诉我们，这是他在创业前一直思考的问题，结合自己近20年从事网络安全相关工作的经历，以及当前不断扩大的攻击面，他看到的现状是，在防御侧应用的大多还是基于10多年前的技术，这难免会有些落伍。

“当黑客的攻击手段和能力在发展和进步时，我们防御的手段也要与时俱进。”因此，王宇萌生了从风险管理角度切入的想法，他告诉我们，零零信安的目标就是要打造更高效、更简单、更全方位的风险管理解决方案，让企业用的安心，让运维人员用的省心。

王宇直言，从攻击者的视角来看，一般情况下都是通过漏洞发起攻击，但对于有组织的黑客或政治黑客而言，除了漏洞、0day之外，他们甚至还可以做到一个漏洞都不去利用，最终依然能够成功地实施攻击，他们已经具备了这样的能力。

“也就是说，在防御中需要在攻击者的视角下来建立与之相匹配的能力，以往关注的漏洞是一方面，另一方面还要帮助企业建立一套能够通过数据就可以面向全局去排查、分析潜在风险的管理工具。”只有这样，王宇认为才能够让在国内技术发展停滞了10多年的风险管理能力与时俱进，满足当前发展趋势所需。

“从理论上来看，国内一直强调的是动态风险管理，但这意味着你要跟得上国际和国内的发展形势，现在我们有大量的企业用户正在数字化转型，如果这个时候还依靠老的技术和方法论去解决当下的安全风险问题，必然是做不到位的，所以要用新的技术去保障新的产业。”

说起零零信安，大家的印象可能更多的认为他们一家热衷于VPT技术的企业，经过交流我们发现，这种想法虽然没有错，但却过于片面了。

“VPT其实是我们在风险管理领域众多技术中选择的一个，其实除了VPT之外，我们也会选择ASM（攻击面管理）、DRP（数字风险保护）以及BAS（入侵攻击模拟）等。”王宇谈道，“要达到做好风险管理的目标，光凭借某一个技术去实现是不可能的。我们最终是以帮助用户实现更好的风险管理为目标，在这个目标之下，需要什么技术我们就用什么技术。因此，外界认为我们只依靠VPT来做风险管理这一看法并不准确。”

数据

——智能化风险管理的根基

作为网络安全领域的初创企业，技术能力尤为重要，对于零零信安也不例外。“每个企业都有自己的强项，我们能够创业做这个事情，也是建立在对自己的数据采集能力有着充足信心这一基础之上的。”王宇认为，“不管我们‍‍之前做的事情、刚创业时做的事情，还是我们现在做的这些事情，所有的‍‍这些技术、产品不管再怎么变，最终围绕的都是一个点——如何把数据利用好。”

在他看来，无论是渗透测试还是攻防演练等等，那些攻击者此前长期都基本是处在单兵作战的状态，但在近四、五年以来，攻击者已经开始转变为有组织的形态，走向集团化。在这种情况下，对于攻击者而言最有价值的就是数据，在拥有了数据之后，就可以形成很多智能化的工具，帮助他们更简单、更高效的发起攻击。

这就回到了采访伊始所说的，当黑客的攻击手段、能力在发展和进步时，我们防御的手段也要与时俱进。因此，将风险管理智能化也是大势所趋。

王宇表示，智能化风险管理的基础就是数据，所以零零信安当前最关注的就是与数据相关的内容，包括数据的采集、数据的分析以及数据的处理等，以数据为出发点，让其为VPT等技术所利用以建立模型，从而可以判断出哪些弱点、漏洞在处置工作中应给予最高优先级。

数据的重要性对于风险管理领域中的其他方面也是如此，王宇告诉我们，如ASM（攻击面管理）技术所针对的不仅是当前已知的资产和数据，而是会面向更大规模的未知数据去做操作；再如DRP（数字风险保护），它有很大一部分是基于互联网的数据资产，包括公开网络和暗网等等，因为这些都有可能是自身重要数据的泄露点。

“要想做好全局风险管理，那么就一定要将数据基础做好，无论是VPT还是ASM、DRP，它们的能力强弱与否最终都会取决于数据能力。”王宇语气肯定地说道，“对于我们零零信安自己而言，一定是基于数据‍‍来为企业来做智能化的风险管理，这也是我们当前的目标。”

谈及自身的数据能力建设，王宇也坦言，零零信安从创立至今还不足两年，初期将主要精力投入到技术和产品相关的研发上，目前数据量仍处在积累过程当中。他告诉我们，截至采访当天，他们的数据量大概在20亿条左右。

这一量级本已相当惊人，但王宇进一步透露称：“从2021年底，我们已经开始加大了在数据方面的投入，目前我们每天的数据收集能力已经达到千万级别，之后我们至少要做到每天的收集能力达到上亿级别。”

安全419现场感受 测试结果触目惊心

结束这场对话之余，在好奇心驱使下，安全419现场对零零信安当时还处在开发状态下的智能化风险管理产品某一模块化功能进行了试用性测试，这也让我们成为了零零信安的首批体验用户。

作为相关从业者，其实我们是有心理准备的，但面对测试的结果（试用显示本人的个人信息已经不止一次地被泄露）还是不免会惊得一身冷汗，在感叹着技术与数据在为产业带来无限想象之余，同样伴随而来的也是我们难以想象的风险，在此我们也希望该款产品能够尽快商业化，同时也能够被更多的用户所使用。

THE END

// 推荐阅读