云安全说丨绿盟科技周凯：安全建设关注“投入产出比”
安全曾经是企业用户是否选择云计算的主要顾虑之一，然而随着上云趋势渐长，云环境下的安全建设成为一个不可回避的话题。
”
近年来IT基础设施云化，企业将业务向云迁移，已经成为一种常态。随之而来的是企业的网络边界也扩展到云端，加上云的开放、复杂、分散的特性，云安全的防护难度急剧上升。
与此同时，黑客已衍生为一个成熟产业链，在技术和资金上的能力远超人们的想象。一个规模不大的企业，甚至是大型企业，如果不具备上百人的专业安全团队，想要抵御如今有组织的黑客攻击，基本上是天方夜谭。
云环境带来的复杂性和多样性，让企业在安全建设上感到前所未有的困惑。作为一家18年的老牌网络安全厂商，绿盟科技于2015年成立了云端安全服务品牌——绿盟云，致力于为企业用户提供网站安全云解决方案和公有云租户安全解决方案。
此次科技云报道专访绿盟科技副总裁周凯，就中国安全市场发展态势、企业安全能力建设、绿盟云安全能力输出等话题进行了深入交流。
绿盟科技副总裁周凯
政府、金融、运营商 将是云安全重点投入领域
周凯认为，2019-2020年，关键基础设施安全和云安全将会出现市场爆发，相对其他行业，政府、金融、运营商三大行业将会在IT安全投入上更多。
这是因为中国是一个相对特殊且封闭的安全市场，有自己的国情和特点，比如中国提出国产化、信息化等级保护等相关政策，都引导着相关行业的发展。
周凯表示，虽然政府、金融、运营商同属于安全高投入行业，但这三大行业对安全建设仍有各自的需求和特点。
金融和运营商的信息化能力比较强，在常年的积累中对于如何开展安全建设也比较清楚，但是从整体来看，金融和运营商企业的安全运营理念不是那么强，因此像绿盟这样的专业安全厂商能够充分发挥自身价值。
比如，在金融行业，绿盟与中信、平安等大型金融机构合作推出金融行业云；在运营商行业，绿盟与大型运营商一起去做安全增值，将安全能力输出给运营商的客户群体。
对于政府行业而言，在政务云、智慧城市等政策推动下，政府行业对于安全建设的需求已经进入了新的阶段，不再停留在传统的安全设备，而是寻求完整的安全设备、安全能力以及安全运营的解决方案。
在周凯看来，虽然很多政府网站已经有了相应的安全措施，但实际上仍存在不少安全问题。这是因为在信息系统管理上，政府不如金融和运营商能力强，同时也缺乏专业安全人员进行管理运维。
周凯告诉记者，就在春节前的日常安全防护中，某黑客组织发布了针对一百多个政府网站进行攻击的推文，如果仅靠政府自身安全运维，想要防御这种有组织的大规模网络攻击绝无可能。
因此，绿盟推出了“春节重保安全防护服务套餐”，以应对有可能发生的网站安全威胁。通过绿盟的应急预案，做好此类事件的风险管控，可以弥补政府IT运维的弱项，为政府解决IT安全隐患。
基于政府行业面临的普遍性安全问题，周凯表示，政务行业的安全解决方案将成为绿盟2019年发力重点，从行业云的角度做出一些符合政府行业特点的解决方案，进而提供给各地的政府。
安全能力是
“技术+流程+人”三位一体
IT基础环境的变化，将原先物理的服务器变成虚拟化的环境，进而出现了公有云、私有云、混合云等多种云环境，整个IT架构变得比以前复杂得多。安全作为IT系统的一部分，技术和解决方案也随之发生了变化。
据周凯介绍，绿盟已推出多种支持主流云架构的安全解决方案。在网站安全方面，企业用户可以使用云扫描、云监测、云WAF、云清洗等全套网站安全SaaS服务；公有云安全方面，绿盟云已经和AWS、微软Azure、阿里云、腾讯云、华为云、青云等国内外主流公有云合作，公有云用户可快速在线获取所需的安全能力。
绿盟云安全解决方案的优势在于，将资源池安全能力和端点防护相结合，提供丰富的云安全服务，可以帮助用户从网络、主机、应用和数据等多个维度进行防护，并最终形成基于云中心外部安全及虚拟化层防护，结合绿盟科技线上运营、线下服务的立体防护体系。
针对近年兴起的容器技术，绿盟也领先于业界开展了基于容器的安全研究，如：安全产品、安全能力的Docker化等，同时，绿盟自身已经开始在绿盟云上实践Docker安全。
去年，绿盟科技携手硅谷知名容器安全公司NeuVector，联合发布了《2018绿盟科技容器安全技术报告》，使用户进一步了解容器以及容器环境的安全威胁，向其提供安全防护建议。
虽然IT技术架构发生了很大的变化，但同时周凯也认为，从客户的角度看，最关心的问题还是如何把已有的安全能力和安全设备用好。“在现实中，很多客户买了安全产品不会用，买完只是放在那里，一旦出问题的时候，就急需安全运营的支持。”
“其实业界有一整套的安全标准流程”，周凯举例说：“比如IT资产有哪些，这些IT资产都放在那儿，每个资产可能会有什么样的风险，如果出现这种事情会造成多大损失......根据这些问题再去分析，那些安全手段可以保护你的资产安全。”
虽然这套标准安全流程，安全厂商都会提供给客户，但并不是所有的客户都会认真按照这套流程，从头梳理自己的IT资产，往往在日常安全运维中也没有太多的重点。
对此，周凯表示，光有安全技术和产品，没有人会用，没有流程支持，安全照样用不起来，“安全是‘技术+流程+人’三位一体的”。
正是考虑到这种实际情况，绿盟提出了“安全运营服务”的想法，将技术、流程和人有机结合起来，帮助客户从体系架构、流程等方面梳理出一个可落地、可执行的安全解决方案，再将这个方案落实到客户的IT运维体系中，内置到客户的日常安全运维流程中。这项服务既包含咨询，也帮助客户落地安全方案，可以说是将安全防护落到了实处。
安全建设的关键 在于 “投入产出比”
一直以来，安全建设都是一个无底洞，有人曾开玩笑说，安全团队是一支“给的预算越多，发现问题就越多”的队伍。
在安全风险状况不断复杂化的今天，信息安全的投入也随之增加。那么，是否投入越多就越安全呢？从安全厂商的角度看，必然是投入费用越高越好，但是周凯却不这么认为。
“站在客户的角度，安全建设更需要看投入产出比”，周凯举例说道：“投一万块或者投几百万都可以做一些安全建设，但是不论投多少钱，都没有人敢承诺这个系统就100%安全。你需要知道业务重点、IT资产在什么地方，最有价值的东西在哪里，根据这些来投入安全，做到最好的ROI，尽可能少花钱多办事。”
周凯强调，花钱多并不等于能够解决实际问题，客户真正的诉求在于，应该花多少钱去保证自己最有价值的资产。因此，安全厂商的责任就是帮助客户找到投入产出比最高的解决方案，而不是最贵的解决方案。
“比如有的企业最在意的是云端业务数据，数据一旦丢失会造成不可逆的损失，除了必要的数据防护手段之外，还需要定期备份数据，一旦出了问题还可以做数据恢复，其实这种方法花不了多少钱，却可以解决实际问题。
还有的企业面临的安全隐患，可能来自服务器的安全配置和运维人员的专业素养，那就用技术+流程+人的体系来规范，很多事情就能防患于未然。”
周凯表示，绿盟希望成为用户安全的后台，作为安全服务的提供方，能够真正帮客户解决问题，落地安全解决方案。最终，客户可以不用关心设备的状况，不用关心安全的技术细节，就可以在自己的业务环境中做好安全。
随着云计算采用的不断深化，企业将更深刻地认识到云安全体系化升级势在必行。值得注意的是，虽然云安全催生了新的安全技术和解决方案，然而要真刀真枪地解决所面临的云计算安全问题，还需要切实将安全解决方案落地到企业业务和日常运维中去。
相关阅读
【科技云报道原创】
转载请注明“科技云报道”并附本文链接