吴云坤：关键信息基础设施安全防护管理平台建设的五个要点

6月29日，2018年度国家网络与信息安全信息通报工作交流研讨会在安徽合肥举行。来自公安部的领导、以及超过200名部委、央企、金融机构的网络安全负责人参与了此次研讨会。本次研讨会是为了贯彻党中央对网络安全工作的新指示新要求，有效应对当前网络安全面临的新威胁新挑战，提升国家关键信息基础设施安全防护能力和水平。

360企业安全集团总裁吴云坤受邀发表了《关键信息基础设施安全防护管理平台建设经验》的主题演讲，向与会成员单位介绍了360企业安全在态势感知平台建设上的成功经验。以下是演讲内容摘录。

360对态势感知平台的理解，经历了不断的变化：从最早的态势感知到现在的关键信息基础设施安全防护管理平台，态势感知平台的战略定位已经发生了很大的变化。

态势感知平台不单单是技术问题，而是把组织流程、技术手段综合在一起，把组织中的能力聚合在一起。此外，态势感知平台要重视平战结合，要保证国家与地方、公安跟企业，以及部委间的连通性，最终形成国家大的体系。

360企业安全在态势感知平台建设有下面一些经验：
要点一业务导向、安全闭环
任何企业、机构和部委建设态势感知平台，一定要形成安全闭环。技术是支撑，而管理是根本。通报机制、评估检查、教育培训等都是在态势感知平台上发展出来的管理场景。平台系统不是技术系统，技术是藏在其中的，这是整个建设过程当中非常重要的要点，这个要点就是坚持业务为导向的过程。每个企业、部委和机构，包括公安部的业务场景都不一样，每个机构都有自己的职责，因此在安全管理、组织设计、业务流程、管理制度上都是不一样的。每个系统都是围绕业务系统做定制，这是整个系统建设中最基本的要点。

要点二关口前移、系统规划

任何机构做安全防护，都要遵照网络安全滑动标尺模型。最左边是基础架构安全；第二部分是被动防御。态势感知是在第三部分的积极防御和第四部分的威胁情报。

关口前移不是技术问题，过去在整个安全建设思路上，更多的是查缺补漏，我们平常做的扫描、评估，整个建设思路就是查缺补漏，是在信息化建设完成之后我们做更多的工作。我们现在的信息系统规划思路，是在早期做三同步：同步规划、同步建设、同步运营。尤其这三年中，出现了很多新兴的信息技术应用浪潮，我们可以在早期的建设过程中把态势感知考虑进去。

态势感知需要全要素数据采集，从硬件、安全设备到基础服务，甚至终端、网络、业务系统有很多数据采集。如果建设态势感知系统时没有这些数据，态势感知的能力是非常薄弱的。拿到这些数据不是安全问题，而是信息化的问题。

要点三纯正的大数据基因
三年前我们讲“数据驱动安全”时一般会讲两点：一是我们拥有大量的数据，二是这个数据能产生出很多威胁情报，帮助用户发现未知威胁，这其实是我们大数据基因的结果，这是一种外在的能力。

所谓纯正大数据基因就是全开放的数据采集，即全要素数据，这里面有人的数据、资产数据、身份数据、认证数据，金融行业还有很多交易数据。系统建设初期不考虑开放采集的话，未来数据就进不来。数据治理是整个态势感知中最重要的工作，而数据治理将是持续运营的过程。

我们过去做的所有安全一般是在低位做网络防护、终端防护。态势感知是典型的中高位能力体现，利用互联网数据能让中位能力得到最大的发挥。在设备采集数据和处置响应的基础上，态势感知系统在中位和高位中体现出价值，这一点是数据驱动安全的核心能力。

要点四人为核心、运营驱动
安全运营驱动的一个中心点就是为人服务，这里的人包括很多人，比如值班人员、研判分析人员。这不仅存在于建成之后，还在建设过程当中，它是持续开发的过程，从技术、运营到制度这一套体系，包括数据治理也是运营的，云端也是运营的。

这种运营是以人为核心的运营设计，比如集团领导、安全服务人员，要做的事情都不一样，全局决策则要依靠领导。要围绕这些人的能力和角色设计运营流程。

要点五攻防兼备是前提
我们公司一直讲“因知攻、故善防”。态势感知中怎么体现这一点呢？实际上，得到威胁情报过程就是攻防兼备的过程。如果没有攻防体现，很难实现威胁情报的提供。比如，高级威胁检测能力与攻防的关系，还有去年的“5.12”勒索病毒攻击事件，需要在很短的时间内，把问题搞清楚，给所有单位提供应急处理工具。所以我们认为攻防是整个态势感知的关键点。