CSO面对面｜对话中海地产，地产行业数字化转型中的安全建设
在适应数字化业务的同时，如何构筑起坚固的安全防线？作为头部地产企业，中海地产与腾讯安全深入合作，基于腾讯安全多年来的能力积累，护航企业数字化转型升级。
本期腾讯安全《CSO面对面》栏目，邀请腾讯安全地产行业专家姚慰 对话 中海地产信息安全总监熊暾，以中海地产的安全防御体系建设实践为例，分享地产行业数字化进程中的安全风险应对要点。
姚慰：腾讯安全地产行业专家，有多年的安全建设实践经验，负责地产、交通等行业的安全咨询和规划。
熊暾：中海地产信息安全总监，负责中海地产基础设施安全、数据安全建设等工作，是地产行业内知名安全专家。
以下为本期《CSO面对面》文字实录。
Q1：疫情和国家政策之下，地产行业数字化的趋势是怎样的？
熊暾：对于地产行业来说，借助数字化手段来提供新的服务模式，是必然的探索。疫情期间在线会议、在线卖楼十分火爆，出现数字化全方位管控的趋势。营销和财务也开始走向数字化的精细化运营阶段，疫情给行业数字化的落地提供了一个场景，更好地体现转型的价值。
Q2：地产企业在数字化过程中会遇到哪些问题？中海地产最关注的点是什么？
熊暾：一是数据打通的问题。由于中海地产数字化转型脚步较快，数据打通会面临来自传统业务模式的挑战。数字化的价值需要普惠到基层员工，中海也在实现基层员工工作中的数据打通，这是中海当下数字化最关注的点。
二是数据安全问题。数字化的基础是信息化、数据化，所以最直接的安全风险是信息技术伴生的安全问题 ，包括以云计算、大数据、物联网、移动互联网以及人工智能为代表的新技术本身的安全缺陷。数据流通以后催生了很多新的安全要求，数据安全法、个人信息保护法对企业的安全责任和义务有了更高的要求，但地产企业是传统企业，因为经验不足，容易产生数据泄露等问题。
Q3：和其他行业相比，地产行业的安全有什么特点？
熊暾：相比其它垂直行业，地产行业的安全建设尚有一定距离。目前，地产行业业态相对分散，商业和物业都是分散的，很难对安全进行整合建设。
姚慰：腾讯安全行业安全专家对房地产行业进行调研时，也发现了以下几个突出特点：
一是行业整体安全水平不高。头部企业和中长尾企业之间的安全水平层次明显，基本可以分为三个等级。处于第一档水平的企业不超过5家，处于第二档水平的大概10家左右，绝大多数的安全建设都比较基础。其中较典型的是安全人员的缺乏，尤其是第三档企业，甚至没有专岗的安全人员。
二是行业监管驱动不足。地产行业没有专门的监管机构，针对行业特点进行安全检查和监督，地产企业更多是出于自身需求的满足而进行安全建设。相对而言，内驱力更足的企业安全水平处于行业的高位。
三是行业场景化的需求突出。主要体现在：地产普遍开展的数字营销场景方面黑产对抗需求、企业内部商密信息和个人购房过程产生的隐私数据保护、物业运营过程中数据泄露的风险规避，以及地产生态建设中产生的安全隐患保障。
Q4：当下最困扰地产企业的安全问题是什么？您怎么看待这些安全问题？
熊暾：安全建设是永恒的话题，需要持续不断进行投入，而且，建设和运营也需要同时兼顾。当前地产行业仍然缺乏优秀的体系。
但是，在大环境不好的情况下，地产企业并不能像其他成熟行业，将安全能力建设作为企业的重点投入项目。我们认为，与市场上有实力的安全公司战略合作是一种比较有效的手段。
Q5：中海地产在安全建设过程中遇到了什么难题？腾讯安全提供哪些帮助？
熊暾：2017年中海地产开始推动较全面的数字化转型，随着数字化深入，企业本身的基础安全已经不能满足新时期的需求，如何深入安全建设成为了一大难题。和国内一流企业合作，比如腾讯，也是基于这个出发点。此次和腾讯首次合作就通过攻防推演和红蓝结合的方式，帮助我们发现了现在的安全体系存在的一些问题，并且给出了相应的解决方案。
所以，中海需要跟腾讯等先进的技术企业进行交流，借助腾讯提供的成熟的管理经验和安全布防经验，保障中海地产的在安全建设方面不落伍。
Q6：腾讯安全如何帮助地产企业解决安全问题？具备哪些优势？
姚慰：腾讯安全此前已经针对地产行业的安全需求进行了细粒度场景化的分析，并且结合一些共享的场景需求进行了通用安全产品的匹配映射，这样的产品部署可以解决一些零碎场景的安全风险，但是仍然缺乏体系。
为此，腾讯安全从自身的安全实践出发，结合自身多年业务防御的安全建设思路，帮助地产行业构建一个体系化的安全框架。
腾讯自身的安全建设具备四个方面的特点，分别体现在情报、攻防、管理、规划四个维度。情报层面，腾讯安全积累了扎实的安全大数据能力，可以提供实时、快速识别安全风险的能力。攻防层面，腾讯安全组建了庞大的安全团队，通过安全人才建设来快速完成能力提升、技术转移和经验过渡。此外，腾讯安全的服务本身就伴随着业务的变化而更新，秉持安全规划与安全管理并驾齐驱的原则。在自身的安全规划过程中，腾讯安全充分考虑业务发展面临的新技术风险，使安全建设更具前瞻性，安全防御不滞后。
因此，腾讯基于这样的安全建设思路来帮助地产行业设计了适应当前攻防对抗环境的安全架构：“1+1+N+1”。
1次快速的攻防推演：以动态的攻防视角来梳理房企业务面临的安全风险，真正把安全与业务之间的联系建立起来，然后基于业务的诉求来开药方；
1个稳定可靠的安全底座：以客户现有的安全布防为基础建立更强的安全底座，打通多产品之间的防御壁垒，形成威胁检测和响应处置自动化的能力，最终构建具备综合安全能力的防御体系；
构建多个不同场景的安全能力：以组件化的方式灵活实现数据安全防御、身份安全以及业务安全的能力。利用底座提供的强大安全计算能力，进行快速计算，实现高效安全防御；
1个安全运营指挥中心：一方面通过管理视角来统筹企业的安全风险治理，另一方面，结合安全服务平台（MSP）的标准化流程实现企业内部安全运营流程的标准化，降低对人员的过渡依赖，解决行业普遍缺安全人员的问题，并且提升企业安全运营的效率。
Q7：腾讯安全在服务地产企业过程中，遇到过哪些问题？如何克服？
姚慰：首先是安全效果不可视。看不到安全的价值，不愿意做投入。因此我们提供攻防推演的服务，帮助客户发现业务对安全的依赖，没有安全防御，业务的连续性、可用性就会受影响。
其次是缺少前期统筹规划，对企业其他部门留下不好印象。因此我们帮助客户把握安全定位，统筹规划发展周期内安全目标，细化安全步骤，使每个阶段达到的效果都能有所体现，投入产出看得见。
最后一点是企业安全人员少，需要高度的自动化和体系化。部署安全产品后，客户自己没有人解决日常运营问题，甚至还要参加高强度对抗的攻防演练，而完全外包安全人员不利于自身能力的培养。对此，腾讯安全提供安全托管服务，安排专业驻场，免费提供服务工具，通过工具将不同运营场景下的流程标准化，减少对安全人员的专业性依赖。同时将托管期间的安全经验形成知识库积累，帮助甲方培养安全人员。
Q8：当前，腾讯安全是否有具体实践案例？中海地产如何看待相关合作？
姚慰：目前腾讯安全已经与中海地产、华润置地、碧桂园、龙湖地产等头部房地产企业进行了一定合作。在与碧桂园的合作中，腾讯安全为客户部署了腾讯自己使用的iOA产品，帮助客户解决传统VPN使用麻烦、稳定性差等问题，同时对应用的暴露面进行了收敛和权限管控，进一步提升了客户的应用安全。
在今年网络安全周，腾讯安全和中海地产一起筹划了特别的活动，通过攻防推演给中海地产安全进行了深度的诊断，发现业务侧存在的安全隐患，并帮助中海进行了有效的安全规划。
熊暾：首先中海地产对腾讯安全的帮助非常认可和感激。中海地产跟腾讯安全的合作主要集中在三个方面：
首先是规划能力方面，腾讯安全正在为中海制定3-5年的安全建设规划，中海非常看重腾讯安全在这方面的经验和能力。
其次是管理方面，腾讯安全作为头部互联网公司在这方面有深厚的积累，能对我们后续的业务起到促进作用。
此外，除了自身安全能力建设，中海也希望跟腾讯在安全能力长远规划、业务融合等方面进行更深度的合作。
Q9：如何看待行业未来的发展趋势？
熊暾：数字化是不可扭转的趋势，数字化转型必然是企业的着重发力点。未来地产企业将持续互联网模式化，面临安全风险越来越多，安全防护也越来越重要。中海地产需要重点解决在新型的虚拟化技术衍生的业务中出现的安全问题，使安全和数字化业务并驾齐驱，这也是未来和腾讯安全合作中重点关注的问题。
姚慰：其一，是监管驱动。对于任何行业来说，数字化的最终结果就是数据集中，安全压力随之增加，信息安全的合法合规要求也会越来越严格。其二，是安全前置。对于房地产企业，未来在安全方面将会从事故后弥补向事前安全部署转变。其三，新技术不断涌现，新技术伴生新隐患，在探索新的业务场景、新的业务模式时，企业必将加大安全建设方面的投入。
腾讯安全早已积极布局产业互联网，在房地产领域也有一定技术沉淀和安全能力储备，可以帮助地产客户从容应对新业务形态下的安全风险，包括超级智能终端安全防御、AR/VR场景下的服务安全等。
腾讯安全正在护航产业安全
金融行业
中国银行 | 招商银行 | 华夏银行 | 中国建设银行 | 江苏银行 | 光大银行 | 微众银行 | 交通银行 | 富途 ……
交通行业
海航集团 | 祥鹏航空 | 长龙航空 | 电科航电 | 国铁吉讯 | 广汽集团 | 上汽集团 | 如祺出行 ……
零售行业
贵州茅台 | 蒙牛乳业 | 东鹏饮料 | 家乐福 | 洋河酒厂 | 永辉超市 | 联合利华 | 国美 | 苏宁易购 | 农夫山泉 ……
互联网
同程艺龙 | 虎牙直播 | 唯品会 | 哔哩哔哩 | 快手 | 知乎 | 京东 | 顺丰 | 蘑菇街 | 三七互娱 | 完美世界 ……