2022新一代網(wǎng)絡(luò)安全框架體系實踐

新一代網(wǎng)絡(luò)安全框架體系實踐2022目錄第1部分為什么需要內(nèi)生安全第1章信息化的發(fā)展與安全的挑戰(zhàn)信息化的發(fā)展歷程網(wǎng)絡(luò)安全的發(fā)展歷程國家網(wǎng)絡(luò)安全戰(zhàn)略的新要求數(shù)字化時代的安全新挑戰(zhàn)2第2章內(nèi)生安全的內(nèi)涵與特性內(nèi)生安全的理念內(nèi)生安全的特點內(nèi)生安全優(yōu)勢和價值三大關(guān)鍵落地內(nèi)生安全第3章內(nèi)生安全建設(shè)的方法論基礎(chǔ)EA方法論簡述內(nèi)生安全思想與EA章新一代網(wǎng)絡(luò)安全框架4.1新一代網(wǎng)絡(luò)安全框架的概述新一代網(wǎng)絡(luò)安全框架的主要組件3第5章新一代身份安全數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求什么是新一代身份安全新一代身份安全建設(shè)要點第6數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求如何重構(gòu)企業(yè)級網(wǎng)絡(luò)縱深防御7數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求什么是數(shù)字化終端及接入環(huán)境安全8數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求什么是面向云的數(shù)據(jù)中心安全防護9數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求什么是面向大數(shù)據(jù)應(yīng)用的數(shù)據(jù)安全防護10章面向?qū)崙?zhàn)化的全局態(tài)勢感知體系10.1數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求什么是面向?qū)崙?zhàn)化的全局態(tài)勢感知體系11/漏洞/配置/補丁的系統(tǒng)安全11.1數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求什么是面向資產(chǎn)/漏洞/配置/補丁的系統(tǒng)安全/漏洞/配置/12數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求什么是工業(yè)生產(chǎn)網(wǎng)安全防護13數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求什么是內(nèi)部威脅防護體系14數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求什么是密碼專項框架1515.1通過安全運行回歸安全本質(zhì)什么是實戰(zhàn)化安全運行能力16數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求什么是安全人員能力17數(shù)字化轉(zhuǎn)型與業(yè)務(wù)發(fā)展的新要求什么是應(yīng)用安全能力支撐18物聯(lián)網(wǎng)支撐企業(yè)數(shù)字化轉(zhuǎn)型帶來新的威脅什么是物聯(lián)網(wǎng)安全能力支撐19業(yè)務(wù)轉(zhuǎn)型與業(yè)務(wù)安全新要求什么是業(yè)務(wù)安全能力業(yè)務(wù)安全能力支撐建設(shè)要點第1部分為什么需要內(nèi)生安全第1章信息化的發(fā)展與安全的挑戰(zhàn)第1章信息化的發(fā)展與安全的挑戰(zhàn)2020年4月9日，《中共中央國務(wù)院關(guān)于構(gòu)建更加完善的要素市場化配置體制機制的意見》（以下簡稱“《意見》”）正式發(fā)布?！兑庖姟肥状螌?shù)據(jù)列為與土地、勞動力、資本、技術(shù)并列的生產(chǎn)要素。這可以看作是信息化發(fā)展歷史上的一個里程碑，數(shù)據(jù)作為數(shù)十年信息化應(yīng)用和發(fā)展的結(jié)果，已經(jīng)成為經(jīng)濟社會發(fā)展的核心生產(chǎn)要素之一，這也意味著信息化作為當今時代經(jīng)濟社會發(fā)展核心驅(qū)動力的地位正式確立。性地提出了“內(nèi)生安全”這一新型網(wǎng)絡(luò)安全建設(shè)思想。為了深入地理解“內(nèi)生安全”思絡(luò)安全工作的時代特征。信息化的發(fā)展歷程回顧我國的信息化發(fā)展歷程，不同領(lǐng)域、不同角色會有不同的維度和視角。但無論是哪種維度，都需要以國家的經(jīng)濟社會發(fā)展為大背景，從政企發(fā)展需求，或從政策驅(qū)動視角來觀察。在下文中，我們從國家政策驅(qū)動和建設(shè)方法兩個維度進行梳理。政策驅(qū)動的政務(wù)信息化發(fā)展歷程長期以來，我國在政企機構(gòu)信息化方面的政策驅(qū)動屬性較強，企業(yè)信息化與政務(wù)信息化緊密相關(guān)，政務(wù)信息化的發(fā)展歷程在一定程度上決定了企業(yè)信息化的發(fā)展歷程。我國的政務(wù)信息化發(fā)展經(jīng)歷了以下4個主要的階段。第一階段：辦公自動化階段主要目標是普及推廣計算機在辦公系統(tǒng)中的應(yīng)用。1992全國政府行政首腦機關(guān)辦公決策服務(wù)系統(tǒng)的通知》（國辦發(fā)〔1992〕25號）政府系統(tǒng)辦公自動化的快速發(fā)展。第二階段：業(yè)務(wù)流程自動化階段1993年，國務(wù)院信息化工作領(lǐng)導(dǎo)小組擬定了《國家信息化“九五”規(guī)劃和2010目標（綱要）》；1994年底，我國正式啟動了國民經(jīng)濟信息化的起步工程——“三金工化為特征的系統(tǒng)工程，是我國政府信息化的雛形。隨著互聯(lián)網(wǎng)的興起，1999年1月，40多個部委的信息主管部門共同倡議發(fā)起了“政府上網(wǎng)工程”，目標是部委和各級政府部門上網(wǎng)。同時利用政府職能啟動行業(yè)用戶上網(wǎng)工到了“十二金工程”。第三階段：全面信息化階段2006年，中共中央辦公廳、國務(wù)院辦公廳印發(fā)《2006——2020年國家信息化發(fā)展戰(zhàn)不斷提高國家信息化水平。第四階段：數(shù)字化階段也有人稱該階段為“互聯(lián)網(wǎng)+”階段。2015年，國務(wù)院印發(fā)《關(guān)于積極推進“互聯(lián)網(wǎng)+”行動的指導(dǎo)意見》，“互聯(lián)網(wǎng)+”成為我國經(jīng)濟社會創(chuàng)新發(fā)展的重要驅(qū)動力量?！盎ヂ?lián)網(wǎng)+”是兩化（信息化和工業(yè)化）融合的升級版，將互聯(lián)網(wǎng)作為當前信息化發(fā)展的核心特征提取出來，并與工業(yè)、商業(yè)、金融業(yè)等服務(wù)業(yè)全面融合。2016措施，國務(wù)院印發(fā)《“十三五”國家信息化規(guī)劃》，圍繞建設(shè)數(shù)字中國，明確了17指標，部署了10項重大任務(wù)、16項重點工程；2017設(shè)網(wǎng)絡(luò)強國、數(shù)字中國、智慧社會，推動互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能和實體經(jīng)濟深度融合；2019年3月，“智能+”首次被寫入政府工作報告。報告中提出：打造工業(yè)互聯(lián)網(wǎng)平臺，拓展“智能+”，為制造業(yè)轉(zhuǎn)型升級賦能。在這些政策推動下，我國的信息化進入了一個數(shù)字化、智能化的新階段，充分利用大數(shù)據(jù)、人工智能等新技術(shù)，推進決策支持的知識化，依靠數(shù)據(jù)提高生產(chǎn)力，這也是數(shù)據(jù)成為生產(chǎn)要素的先決條件。下面列舉了2006年以來（第三階段和第四階段），我國在信息化發(fā)展歷程中的一些重大政策驅(qū)動事件。2006年5月，中共中央辦公廳、國務(wù)院辦公廳印發(fā)《2006——2020展戰(zhàn)略》，是我國信息化發(fā)展史上第一次制定的中長期戰(zhàn)略性發(fā)展規(guī)劃。2012年6若干意見》（國發(fā)〔2012〕23號），確定了“寬帶中國”工程；信息化和工業(yè)化深度融合；要“建立健全信息安全保障體系”等6項重點工作。2012年7代信息技術(shù)產(chǎn)業(yè)為重點發(fā)展方向和主要任務(wù)之一。2013年8月，國務(wù)院印發(fā)《“寬帶中國”戰(zhàn)略及實施方案》，到2020網(wǎng)絡(luò)基礎(chǔ)設(shè)施發(fā)展水平與發(fā)達國家之間的差距大幅縮小。2015年5月，國務(wù)院印發(fā)《中國制造2025為主線，重點發(fā)展十大領(lǐng)域。2015年7月，國務(wù)院印發(fā)《關(guān)于積極推進“互聯(lián)網(wǎng)+”行動的指導(dǎo)意見》“互聯(lián)網(wǎng)+”成為我國經(jīng)濟社會創(chuàng)新發(fā)展的重要驅(qū)動力量。2016年1列為“科技創(chuàng)新2030項目”重大工程之一。2016年5化、網(wǎng)絡(luò)化、智能化、綠色化作為提升產(chǎn)業(yè)競爭力的技術(shù)基點。2016年7強調(diào)加快建設(shè)數(shù)字中國、大力發(fā)展信息經(jīng)濟是信息化工作的重中之重。2016年122017年32017年102018年9月，國家發(fā)改委、教育部等19發(fā)展的就業(yè)政策體系。2019年3政企機構(gòu)信息化發(fā)展的4個階段在政策與信息技術(shù)發(fā)展的雙重驅(qū)動之下，政企機構(gòu)結(jié)合自身的發(fā)展特點，一般也會先后經(jīng)歷多個不同的發(fā)展階段。行業(yè)內(nèi)普遍比較認同《企業(yè)信息技術(shù)總體規(guī)劃方法》（石油工業(yè)出版社，2012年）一書中對政企機構(gòu)的信息化建設(shè)階段的劃分。該書將政企機構(gòu)的信息化建設(shè)階段由低到高分為4個階段：分散建設(shè)階段、統(tǒng)一建設(shè)階段、集成應(yīng)用階段和共享應(yīng)用階段。以這一劃分為基礎(chǔ)，我們對這4個階段的基本概念和含義進行了如下詮釋和分析。從全球來看，國際領(lǐng)先的企業(yè)大多在1995年后進入了信息化建設(shè)的第二階段，2000年后進入第三階段，其信息化規(guī)劃和建設(shè)上升到了企業(yè)戰(zhàn)略高度。當政企機構(gòu)的信息化建設(shè)達到第四階段時，業(yè)務(wù)與信息化系統(tǒng)已經(jīng)變得密不可分。EA方法在信息化發(fā)展中的指導(dǎo)作用2000年后，我國的信息化發(fā)展逐步走向了規(guī)模化和體系化。零散的、“摸著石頭過是許多行業(yè)領(lǐng)先的企業(yè)，開始采用企業(yè)架構(gòu)（EnterpriseArchitecture）方法，簡稱方法（或EA方法論），信息化（組織）能力。其中國內(nèi)比較知名的成功案例包括：華為公司，從2002年開始以EA方法來牽引企業(yè)的IT業(yè)務(wù)需求；中國建設(shè)銀行，從2004年開始進行企業(yè)架構(gòu)的設(shè)計工作；中國工商銀行，從2006年開始設(shè)立企業(yè)架構(gòu)設(shè)計隊伍。EA業(yè)領(lǐng)跑地位奠定了重要的技術(shù)基礎(chǔ)。IDC在2010年發(fā)布了一份《2010企業(yè)架構(gòu)中國管理者調(diào)查報告》，報告顯示“企業(yè)架構(gòu)的初期普及實施已經(jīng)開始。超過73%的大型、超大型企戰(zhàn)略的支撐能力，并以此作為企業(yè)實現(xiàn)未來競爭力的關(guān)鍵”。EA方法強調(diào)，要站在全局的、整體的、系統(tǒng)的高度，根據(jù)企業(yè)發(fā)展戰(zhàn)略，設(shè)計信息化的總體架構(gòu)體系來制定和實施信息化規(guī)劃。EA方法為企業(yè)科學(xué)、規(guī)范、全面地進行信息化規(guī)劃建設(shè)提供了參考方法，對全球政企機構(gòu)的信息化發(fā)展起到了巨大的推動作用，引導(dǎo)規(guī)劃建設(shè)了大量體系化的、高效整合的業(yè)務(wù)運營體系，為企業(yè)的業(yè)務(wù)運營起到了很好的支撐作用。網(wǎng)絡(luò)安全的發(fā)展歷程作為信息化的基礎(chǔ)保障，信息安全和網(wǎng)絡(luò)安全伴隨著信息化的發(fā)展而不斷發(fā)展變化。過去二十多年間，我國的信息安全和網(wǎng)絡(luò)安全的發(fā)展，主要是由合規(guī)導(dǎo)向和事件驅(qū)動相互交織，在這個過程中呈現(xiàn)出了明顯的零散化發(fā)展特征。合規(guī)導(dǎo)向和事件驅(qū)動交織1994年是我國信息安全領(lǐng)域的一個轉(zhuǎn)折點。1994年2月18日，國務(wù)院發(fā)布了《中華人民共和國計算機信息系統(tǒng)安全保護條例》，該條例規(guī)定了計算機信息系統(tǒng)安全保護的主管機關(guān)、安全保護制度、安全監(jiān)管等。從1994年起，我國信息安全法律法規(guī)體系進入了初步建設(shè)階段，一大批相關(guān)法律法規(guī)先后出臺，包括《計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護管理辦法》《金融機構(gòu)計算機信息系統(tǒng)安全保護工作暫行規(guī)定》等。從這個時期開始，信息安全建設(shè)開始進入合規(guī)遵從階段。1998年，隨著互聯(lián)網(wǎng)開始普及，爆發(fā)了著名的CIH病毒，該病毒在2個月時間內(nèi)蔓延全球，超過6000萬臺電腦受到了不同程度的破壞。進入1999年，國家、行業(yè)甚至是企業(yè)開始嚴密防范“千年蟲”，并耗費了大量資金來解決千年蟲問題。信息安全問題由此受到高度重視。2000年10絡(luò)與信息安全管理方面的重大問題。同時，國家加強了信息安全基礎(chǔ)設(shè)施的建設(shè)，成立證體系。2003年，中央辦公廳、國務(wù)院辦公廳頒發(fā)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》（中辦發(fā)〔2003〕27號）（以下簡稱27號文件）。27號文件明確指出“實行信息安全等級保護”，這也標志著我國信息安全法律體系的建設(shè)進入一個更高的階段。27號文件的頒發(fā)是中國信息安全工作的一個分水嶺?！队嬎銠C世界》報2005年的文章中援引信息安全業(yè)內(nèi)人士的話稱，“27號文件具有奠基意義：其一，這是我們國家首次對信息安全有了一個全面認識，從整體上，從頂層統(tǒng)籌考慮信息安全的政策、方針、規(guī)劃，以統(tǒng)籌領(lǐng)導(dǎo)信息安全的各個部門，而在這以前工作是比較零散的；其二，在27號文件頒發(fā)后的兩年，信息安全相關(guān)工作有了大的推進，信息安全等級保護、風險評估、密碼保護、網(wǎng)絡(luò)信任體系、應(yīng)急響應(yīng)與災(zāi)難備份、產(chǎn)品管理、產(chǎn)業(yè)發(fā)展等基礎(chǔ)性工作的相關(guān)政策、標準正在制定并將陸續(xù)出臺”。2004年至2006年，公安部聯(lián)合四部委開展涉及65117家單位，共115319個信息系統(tǒng)的等級保護基礎(chǔ)調(diào)查和等級保護試點工作，為全面開展等級保護工作奠定基礎(chǔ)。2004年，公安部等四部門印發(fā)了《關(guān)于信息安全等級保護工作的實施意見》。2007年至2012年，圍繞信息安全等級保護工作的管理辦法和相關(guān)標準陸續(xù)發(fā)布，信息安全建設(shè)全面進入等級保護階段。2013年，國外一家安全公司發(fā)布了全球第一份APT（AdvancedPersistent高級持續(xù)性威脅）事件，使得具有政府背景的高級威脅和高級威脅組織成為全球安全關(guān)注焦點。當年CNCERT/CC（國家互聯(lián)網(wǎng)應(yīng)急中心）公布的數(shù)據(jù)顯示，我國境內(nèi)至少4.1有APT特征的木馬程序，涉及大量政府部門、重要信息系統(tǒng)以及高新技術(shù)企事業(yè)單位，木馬控制服務(wù)器絕大多數(shù)位于境外。2014年，中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組成立（于2018全和信息化委員會），標志著網(wǎng)絡(luò)安全正式上升至國家戰(zhàn)略層面。2016和國網(wǎng)絡(luò)安全法》和《國家網(wǎng)絡(luò)空間安全戰(zhàn)略》陸續(xù)發(fā)布，特別是2016年習(xí)近平總書記的“4·19”講話，表明網(wǎng)絡(luò)安全在國家發(fā)展戰(zhàn)略中的地位越來越明確和突出。2018年在略思想。2017年5月12日，“永恒之藍”勒索病毒大規(guī)模爆發(fā)，全球至少150個國家、30萬用戶中招，波及金融、能源、醫(yī)療等眾多行業(yè)，造成的損失達80億美元。這次事件使所有人認識到，網(wǎng)絡(luò)安全直接關(guān)系國家安全、經(jīng)濟安全和社會穩(wěn)定。2017年之后，《中華人民共和國密碼法》《網(wǎng)絡(luò)安全等級保護條例（征求意見稿）》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例（征求意見稿）》《信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南》《網(wǎng)絡(luò)安全審查辦法》等配套法律法規(guī)陸續(xù)出臺，我國的網(wǎng)絡(luò)安全治理體系逐步完善。網(wǎng)絡(luò)安全的零散化發(fā)展合規(guī)導(dǎo)向和事件驅(qū)動的網(wǎng)絡(luò)安全建設(shè)模式、建設(shè)過程是為了滿足合規(guī)的某些指標要對信息化系統(tǒng)進行修補。與體系化發(fā)展的信息化相比，安全建設(shè)模式大多以“局部整改”為主，缺乏以復(fù)雜系統(tǒng)性思維引導(dǎo)的規(guī)劃與建設(shè)實踐，致使網(wǎng)絡(luò)安全體系化缺失、碎片化嚴重，安全能力相互割裂，缺乏協(xié)同聯(lián)動與整體運行。合規(guī)導(dǎo)向和事件驅(qū)動的網(wǎng)絡(luò)安全建設(shè)模式還引發(fā)了其他一些安全痼疾。例如：技術(shù)效的防護作用。事實上，除等級保護測評外，在相當長的一段時間內(nèi)，我們也缺少其他更加有效的手段對安全能力進行評估。這也導(dǎo)致了很多政企機構(gòu)的信息化負責人都會誤以為通過等級保護測評后即可高枕無憂。由于缺少對安全能力或安全建設(shè)成熟度的評價體系，安全能力的建設(shè)必然會出現(xiàn)缺失，“缺規(guī)劃、缺經(jīng)費、缺人手、缺運行”的現(xiàn)象非常普遍。缺經(jīng)費：網(wǎng)絡(luò)安全預(yù)算相對于IT缺運行：幾乎沒有運營，IT客觀地說，在過去相當長的一段時間內(nèi)，合規(guī)導(dǎo)向和事件驅(qū)動的網(wǎng)絡(luò)安全建設(shè)模式也起到了保護信息化正常發(fā)展的作用。但隨著信息化進一步向數(shù)字化升級，這種缺乏頂層設(shè)計、工程化考慮不足的模式，已經(jīng)難以達到保障數(shù)字化業(yè)務(wù)的更高標準，更達不到國家網(wǎng)絡(luò)空間安全戰(zhàn)略的要求，無法以面向?qū)沟膶崙?zhàn)化運行模式應(yīng)對升級的威脅。其結(jié)果是，網(wǎng)絡(luò)安全建設(shè)整體處于被動發(fā)展模式，安全工作難以落實，網(wǎng)絡(luò)安全創(chuàng)新能力難以釋放，網(wǎng)絡(luò)安全的零散化發(fā)展特點格外明顯。網(wǎng)絡(luò)安全建設(shè)方法論的缺失處于快速發(fā)展中的數(shù)字化轉(zhuǎn)型階段的信息化領(lǐng)域，政企機構(gòu)采用企業(yè)架構(gòu)（EnterpriseArchitecture，EA）方法論為引導(dǎo)，在管理層、IT人員和業(yè)務(wù)人員之間建立充分溝通的橋梁并達成共識，以頂層視角全局思考信息化建設(shè)，使信息化與業(yè)務(wù)緊密結(jié)合，各子系統(tǒng)間形成有效聯(lián)動，消除功能重復(fù)建設(shè)，引導(dǎo)規(guī)劃建設(shè)大規(guī)模、體系化、高效整合的業(yè)務(wù)運營體系，很好地支撐了業(yè)務(wù)運營。與之形成強烈反差的是在網(wǎng)絡(luò)安全領(lǐng)域，建設(shè)者普遍缺乏以復(fù)雜系統(tǒng)思維引導(dǎo)的規(guī)劃與建設(shè)實踐，導(dǎo)致形成了以往以“局部整改”“輔助配套”為主的安全建設(shè)模式，致使網(wǎng)絡(luò)安全體系化缺失、碎片化嚴重，網(wǎng)絡(luò)安全防御能力與數(shù)字化業(yè)務(wù)運行的高標準保障要求嚴重不匹配。營是否得到了充足的網(wǎng)絡(luò)安全保障？”等問題時普遍缺乏信心。對比國內(nèi)的網(wǎng)絡(luò)安全與信息化的發(fā)展歷程，我們不難發(fā)現(xiàn)：從政策驅(qū)動來看，網(wǎng)絡(luò)安全工作與信息化工作幾乎是同時起步（1993-1994年但是發(fā)展速度卻大相徑庭；從方法論角度看，信息化建設(shè)已經(jīng)在實踐中逐步形成了以EA圖1.1所示為信息化發(fā)展歷程與網(wǎng)絡(luò)安全發(fā)展歷程的對比。圖1.1信息化發(fā)展歷程與網(wǎng)絡(luò)安全發(fā)展歷程的對比20世紀80年代到20世紀90年代初，信息化建設(shè)和網(wǎng)絡(luò)安全建設(shè)都處于比較原始的狀有當某些極端或嚴重的安全事件發(fā)生時，才有可能觸發(fā)一些小規(guī)模的安全建設(shè)。20世紀末期，IT體系規(guī)劃方法已經(jīng)基本成形，EA方法、服務(wù)管理和運維管理等理論體系和實踐都已經(jīng)初步形成；而網(wǎng)絡(luò)安全建設(shè)開始進入以合規(guī)需求為主導(dǎo)的時期，總體表現(xiàn)為零散的、局部的、創(chuàng)可貼式的（哪里出了問題補哪里）建設(shè)。合規(guī)需求主導(dǎo)的網(wǎng)絡(luò)安全建設(shè)一直持續(xù)到21世紀的前10年。2000年以后，IT建設(shè)或者信息化建設(shè)已經(jīng)逐漸演變成為支撐業(yè)務(wù)的基礎(chǔ)服務(wù)，對業(yè)務(wù)的影響持續(xù)加?。?015年以后，越來越多的政企機構(gòu)開始將核心業(yè)務(wù)運行在信息化系統(tǒng)之上，數(shù)字化轉(zhuǎn)型持續(xù)加速。國家層面，以數(shù)字化為基礎(chǔ)的“新基建”建設(shè)也開始全面推進。體系化的方法論為信息化建設(shè)的持續(xù)深入奠定了理論基礎(chǔ)和方向指引。與信息化發(fā)展相比，網(wǎng)絡(luò)安全建設(shè)的發(fā)展階段相對滯后。直到2010年以后安全能力建設(shè)才被逐步認可，可運行的、可與信息化結(jié)合的網(wǎng)絡(luò)安全建設(shè)模式開始受到重視。2018-2020年，以“內(nèi)生安全”為代表的體系化的、主動的、以三同步為原則（信息化系統(tǒng)應(yīng)當與網(wǎng)絡(luò)安全系統(tǒng)同步規(guī)劃、同步建設(shè)、同步運營）的安全建設(shè)思想及方法論才逐步形成體系。總體對比中國的信息化發(fā)展歷程與網(wǎng)絡(luò)安全發(fā)展歷程不難看出，缺少科學(xué)的、系統(tǒng)性的方法論，是網(wǎng)絡(luò)安全建設(shè)始終顯著落后于信息化建設(shè)的重要原因之一。而內(nèi)生安全思想正是破解這一發(fā)展困境的關(guān)鍵。國家網(wǎng)絡(luò)安全戰(zhàn)略的新要求國家網(wǎng)絡(luò)安全戰(zhàn)略要求我們建設(shè)更強大的、體系化的網(wǎng)絡(luò)安全防線。2014年，中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組第一次會議召開時，習(xí)近平總書記強調(diào)，網(wǎng)絡(luò)安全和信息化是一體之兩翼、驅(qū)動之雙輪，必須統(tǒng)一謀劃、統(tǒng)一部署、統(tǒng)一推進、統(tǒng)一實施。做好網(wǎng)絡(luò)安全和信息化工作，要處理好安全和發(fā)展的關(guān)系，做到協(xié)調(diào)一致、齊頭并進，以安全保發(fā)展、以發(fā)展促安全，努力建久安之勢、成長治之業(yè)。上述要求指明了網(wǎng)絡(luò)安全與信息化相互依存、同步發(fā)展的大方向，明確了“四個統(tǒng)一”缺一不可的體系化建設(shè)要求。2016年，在“4·19網(wǎng)絡(luò)安全和信息化工作座談會”上，習(xí)近平總書記提出“安全是發(fā)展的前提，發(fā)展是安全的保障，安全和發(fā)展要同步推進。要樹立正確的網(wǎng)絡(luò)安全觀，加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系，全天候全方位感知網(wǎng)絡(luò)安全態(tài)勢，增強網(wǎng)絡(luò)安全防御能力和威懾能力”的要求。隨著全球經(jīng)濟全面進入數(shù)字化轉(zhuǎn)型期，我國也提出了“數(shù)字中國”“網(wǎng)絡(luò)強國”等一系列與數(shù)字化轉(zhuǎn)型緊密相關(guān)的戰(zhàn)略部署，將數(shù)字化轉(zhuǎn)型作為重要發(fā)展戰(zhàn)略與經(jīng)濟驅(qū)動力。數(shù)字化轉(zhuǎn)型是在信息化極大地降低了政企機構(gòu)運行成本的基礎(chǔ)上，進一步將信息技術(shù)與政企機構(gòu)業(yè)務(wù)運行、管理流程融合在一起，形成新的業(yè)務(wù)運行模式。2020年3月，中共中央政治局常務(wù)委員會召開會議提出，要加快5G網(wǎng)絡(luò)、數(shù)據(jù)中心等新型基礎(chǔ)設(shè)施的建設(shè)進度。與傳統(tǒng)基建相比，“新基建”內(nèi)涵更加豐富，涵蓋范圍更廣，更能體現(xiàn)數(shù)字經(jīng)濟特征，有助于加速推動中國經(jīng)濟轉(zhuǎn)型升級。在數(shù)字化轉(zhuǎn)型為政企機構(gòu)的業(yè)務(wù)運行帶來巨大收益的同時，信息技術(shù)與業(yè)務(wù)的深度融合也使網(wǎng)絡(luò)安全風險更具有實質(zhì)性的意義。網(wǎng)絡(luò)安全問題對業(yè)務(wù)更加具有破壞性乃至災(zāi)難性。從某種角度看，網(wǎng)絡(luò)安全風險將會等效于業(yè)務(wù)運行風險；同時數(shù)字化技術(shù)的應(yīng)用也會為業(yè)務(wù)運行引入更多新的風險。政企機構(gòu)信息系統(tǒng)一旦被入侵或被破壞，將會直接危害到業(yè)務(wù)運行，進而危害到生產(chǎn)安全、社會安全甚至國家安全。數(shù)字化轉(zhuǎn)型對政企機構(gòu)運行模式的轉(zhuǎn)變是顛覆性的、不可逆轉(zhuǎn)的，傳統(tǒng)的信息化模式也將無法滿足目前經(jīng)濟環(huán)境下的業(yè)務(wù)運行要求。因此，政企機構(gòu)必須立足于有效保障數(shù)字化業(yè)務(wù)運行的安全、高效、可靠運行，建設(shè)具有動態(tài)、綜合、可持續(xù)等特點的數(shù)字化業(yè)務(wù)安全保障體系?！笆奈濉笔菙?shù)字化轉(zhuǎn)型的關(guān)鍵階段，網(wǎng)絡(luò)安全模式亟需轉(zhuǎn)變。廣大政企機構(gòu)需把握住“十四五”的契機，踐行安全與信息化同步規(guī)劃、同步建設(shè)、同步運行思想，通過安全規(guī)劃承接國家網(wǎng)絡(luò)安全戰(zhàn)略，建立從頂層設(shè)計、部署實施到安全運行的一整套網(wǎng)絡(luò)安全新模式，使網(wǎng)絡(luò)安全向面向?qū)沟膶崙?zhàn)化運行模式升級。數(shù)字化時代的安全新挑戰(zhàn)數(shù)字化是信息化發(fā)展的高級形態(tài)，主要表現(xiàn)為多種新型數(shù)字化技術(shù)對生產(chǎn)方式的深刻改變以及與傳統(tǒng)領(lǐng)域的業(yè)務(wù)融合。國內(nèi)著名產(chǎn)業(yè)研究機構(gòu)“前瞻產(chǎn)業(yè)研究院”的一份報告中稱：從2018年開始，中國企業(yè)數(shù)字化轉(zhuǎn)型加速，政企加速云化進程，大數(shù)據(jù)應(yīng)用于企業(yè)管理經(jīng)營決策。如果說網(wǎng)絡(luò)安全建設(shè)在過去20年的滯后發(fā)展，使得信息化建設(shè)的快速發(fā)展沒有得到充分的保護，那么在數(shù)字化時代，系統(tǒng)性的網(wǎng)絡(luò)安全建設(shè)方法的缺失，將為生產(chǎn)、生活、經(jīng)濟發(fā)展、社會穩(wěn)定乃至國家安全帶來深遠的影響和致命的傷害。數(shù)字化時代的產(chǎn)業(yè)新形態(tài)IT在經(jīng)歷了大型機、小型機、PC、互聯(lián)網(wǎng)等持續(xù)的技術(shù)變革后，已經(jīng)進入以云計算、大數(shù)據(jù)和人工智能為核心的新一輪技術(shù)創(chuàng)新周期。近十年，伴隨著移動互聯(lián)網(wǎng)、大數(shù)據(jù)、云計算、物聯(lián)網(wǎng)、人工智能等新興技術(shù)的發(fā)展，政企信息化也開始向數(shù)字化、網(wǎng)絡(luò)化、智能化方向發(fā)展。特別是云計算技術(shù)的成熟，推動了IT基礎(chǔ)架構(gòu)的巨大變遷，將傳統(tǒng)獨立垂直的硬件設(shè)施資源虛擬化為融合共享的云基礎(chǔ)設(shè)施，分時復(fù)用、按需付費的模式降低了系統(tǒng)部署門檻的同時，也打破了傳統(tǒng)系統(tǒng)的獨立的煙囪式架構(gòu)，實現(xiàn)了當前“數(shù)據(jù)融合共享、應(yīng)用協(xié)同交互”平臺型架構(gòu)的重塑。新技術(shù)的應(yīng)用，使行業(yè)的生產(chǎn)經(jīng)營發(fā)生了顛覆性的重構(gòu)，大量復(fù)雜的、非結(jié)構(gòu)化的數(shù)據(jù)得以利用。大范圍的數(shù)據(jù)獲取結(jié)合人工智能技術(shù)的處理能力，使管理決策向半自動化、自動化方向發(fā)展。從某種程度上看，數(shù)據(jù)本身是數(shù)字化系統(tǒng)最重要的生產(chǎn)輸出，它們不僅可以用于生產(chǎn)的監(jiān)控與管理，同時其本身也具有巨大價值。數(shù)據(jù)本身是重要的機構(gòu)資產(chǎn)。數(shù)字化時代的安全新威脅與數(shù)字化轉(zhuǎn)型和數(shù)字經(jīng)濟的發(fā)展相伴的，是網(wǎng)絡(luò)安全威脅形勢的重大變化。其中，攻防對抗過程的變化直接導(dǎo)致了傳統(tǒng)安全思想和防御體系的全面失效，具體表現(xiàn)在以下幾個方面。戰(zhàn)場的變化，從網(wǎng)絡(luò)與系統(tǒng)演變到“云、大、物、移、工”新技術(shù)的應(yīng)用也會帶來新的安全風險。例如：IT基礎(chǔ)設(shè)施和業(yè)務(wù)系統(tǒng)向云的遷移，必然導(dǎo)致安全風險向云端集中；IoT設(shè)備接入生產(chǎn)、辦公系統(tǒng)，必然形成新的不可控的安全缺口；大數(shù)據(jù)的匯聚帶來了高效的信息交互，但同時也增加了數(shù)據(jù)泄露和數(shù)據(jù)被篡改、破壞的風險。僅就政企機構(gòu)而言，傳統(tǒng)的網(wǎng)絡(luò)安全攻防戰(zhàn)場通常是本地的網(wǎng)絡(luò)或系統(tǒng)。但新型數(shù)字化技術(shù)的普及應(yīng)用，使云服務(wù)系統(tǒng)、大數(shù)據(jù)系統(tǒng)、工業(yè)生產(chǎn)系統(tǒng)等成為新的攻防主戰(zhàn)場。同時，安全防護相對較弱的IoT設(shè)備、移動終端，也往往會成為攻擊者入侵機構(gòu)內(nèi)部網(wǎng)絡(luò)的新突破口。不僅如此，在很多實際系統(tǒng)中，不同類型的網(wǎng)絡(luò)設(shè)備或系統(tǒng)、不同用途的數(shù)字化技全問題。對手的變化，從普通網(wǎng)絡(luò)犯罪演變到組織與國家級對抗最早期的網(wǎng)絡(luò)攻擊者大多數(shù)是沒有明確攻擊目標的技術(shù)愛好者；2000年以后，以牟利為目標的個體攻擊者開始大量涌現(xiàn)；再后來，有組織的黑產(chǎn)團伙、有主張的黑客團伙和有國家背景的攻擊組織開始活躍，逐漸成為與政企機構(gòu)網(wǎng)絡(luò)安全工作對抗的主要“對手”。對手的升級變化，使我們正在面臨越來越多的未知威脅，對越來越多的攻擊根本無法進行完全有效的防御。也就是說，任何邊界上的防御體系一定會被打穿，任何已知的系統(tǒng)都可以被滲透。這就要求我們必須認真地考慮“系統(tǒng)被打穿以后會怎么樣”，以及“系統(tǒng)被打穿以后該怎么辦”的問題。武器與戰(zhàn)術(shù)的變化，勒索蠕蟲、APT和供應(yīng)鏈攻擊成為主要威脅勒索病毒的出現(xiàn)不過是最近幾年的事情，卻顛覆了人們的傳統(tǒng)安全認知。早期的勒索病毒主要是針對高價值人群發(fā)動定點攻擊。但2017年以后，以關(guān)鍵信息基礎(chǔ)設(shè)施、網(wǎng)絡(luò)服務(wù)器為目標的勒索攻擊逐漸成為主流，并且出現(xiàn)了大量可以自動傳播的勒索蠕蟲病毒。2018年以來，勒索病毒幾乎成為導(dǎo)致政企機構(gòu)停產(chǎn)停工的首要網(wǎng)絡(luò)安全威脅。APT攻擊被普遍認為是理論上無法完全有效防御的攻擊。一方面，政府支持的APT活動正在持續(xù)增加，這些攻擊者往往擁有大量的資源、工具和技術(shù)，使得APT溯源難度顯著提升；另一方面，由于APT組織的網(wǎng)絡(luò)武器庫頻繁泄露，使無政府背景的攻擊者更容易獲取資源，從而實施難以被發(fā)現(xiàn)的、新的、復(fù)雜的APT攻擊。供應(yīng)鏈攻擊則是一種有效的、另辟蹊徑的攻擊策略。當攻擊者遇到難以直接攻破的組織或系統(tǒng)時，就會考慮發(fā)起供應(yīng)鏈攻擊，即對該組織的供應(yīng)商發(fā)起攻擊，或?qū)?yīng)商的供應(yīng)商發(fā)起攻擊，最終實現(xiàn)對攻擊目標的滲透。例如，將惡意軟件植入合法軟件包，在企業(yè)采購的設(shè)備芯片中設(shè)置“后門”等。供應(yīng)鏈攻擊在高級威脅中比較常見，某些黑產(chǎn)團伙也會使用。在數(shù)字化時代，勒索病毒、APT攻擊、供應(yīng)鏈攻擊等新型威脅的危害被進一步放大。使用傳統(tǒng)的方法對“固有地盤”嚴防死守，并不能有效地防御這些新威脅。打擊目標的變化，從瞄準網(wǎng)絡(luò)與系統(tǒng)演變到瞄準數(shù)據(jù)和業(yè)務(wù)應(yīng)用仍然是針對普通網(wǎng)民的“盜竊”或“詐騙”。所以，機構(gòu)只要進行必要的網(wǎng)絡(luò)與系統(tǒng)防護，一般不會受到嚴重威脅。但是，隨著業(yè)務(wù)系統(tǒng)數(shù)字化轉(zhuǎn)型的深入，數(shù)據(jù)和業(yè)務(wù)應(yīng)用逐漸成為攻擊者的首選目低；另一方面則是因為一旦攻擊成功，攻擊者就有可能獲得“超額回報”。以勒索攻擊為例，如果勒索病毒只能攻擊幾臺辦公電腦，攻擊者可能無法獲得任何收益；但如果攻擊機構(gòu)的服務(wù)器，破壞機構(gòu)的核心數(shù)據(jù)或核心業(yè)務(wù)系統(tǒng)，攻擊者獲得贖金的可能性要比勒索高價值的個人大得多。這也是近年來勒索病毒將服務(wù)器作為主要攻擊目標的根本原因。可以預(yù)見，隨著新技術(shù)應(yīng)用的深入、國家對抗的持續(xù)、網(wǎng)絡(luò)犯罪組織化的升級，網(wǎng)絡(luò)安全威脅將越發(fā)呈現(xiàn)出多樣化和未知性；新的攻擊組織、新的攻擊技術(shù)、新的攻擊手法將層出不窮；外部威脅和內(nèi)部威脅相互交織，商業(yè)利益訴求和恐怖破壞目的相互交織；以APT為代表的組織化的定向攻擊將常態(tài)化，而傳統(tǒng)模式的安全思維將受到越來越嚴峻的挑戰(zhàn)。信息化保障呼喚內(nèi)生安全攻防戰(zhàn)場的變化，要求我們必須在新的技術(shù)環(huán)境下重構(gòu)安全建設(shè)體系；對手的變化、武器與戰(zhàn)術(shù)的變化，要求我們必須以“系統(tǒng)一定會被打穿”為安全建設(shè)的前提假設(shè)。而打擊目標的變化，要求我們必須把數(shù)據(jù)和業(yè)務(wù)的安全保障作為安全建設(shè)的首要目標。面對新的信息化環(huán)境和威脅形勢，圍墻式的、外掛式的安全已不可持續(xù)，信息化環(huán)境的保障需要“內(nèi)生安全”。圍墻式安全早期的網(wǎng)絡(luò)安全建設(shè)思想大都是圍墻式的。自20世紀80年代全球首個殺毒軟件誕生，一直到本世紀初的十幾年間，圍墻式安全一直是網(wǎng)絡(luò)安全建設(shè)的主導(dǎo)思想。簡單地說，就是使用一套軟件或硬件系統(tǒng)，把要保護的區(qū)域與外界的網(wǎng)絡(luò)環(huán)境隔離開來，就好像是在信息化系統(tǒng)的外面建造了一座高高的圍墻。早期的安全軟件、防火墻、入侵檢測等設(shè)備大都是這種圍墻式安全思想的產(chǎn)物。圍墻式安全思想也曾經(jīng)發(fā)揮過非常積極的作用，但在數(shù)字化的生產(chǎn)環(huán)境中，在新的安全威脅形勢下，卻暴露出以下3個明顯的弊端：圍墻之內(nèi)不設(shè)防，一旦邊界被突破，系統(tǒng)就會完全淪陷；樣本庫、規(guī)則庫等往往缺乏有效維護，更新緩慢，所謂的圍墻形同虛設(shè)；不同的防護設(shè)備和系統(tǒng)之間相互孤立，無法形成合力。這也是為什么很多政企機構(gòu)雖然購買了大量軟硬件防護設(shè)備，但還是會頻頻被攻陷的原因所在。數(shù)據(jù)驅(qū)動安全2015年以后，業(yè)務(wù)系統(tǒng)的安全問題開始得到越來越多的重視，圍墻式安全的脆弱性日益明顯。人們開始考慮在內(nèi)部業(yè)務(wù)系統(tǒng)的IT環(huán)境中部署更多的安全措施，并且將各種安全措施與云端相連（即安全上云），并通過外部（來自安全公司）安全大數(shù)據(jù)與內(nèi)部（來自各類安全措施）安全大數(shù)據(jù)的結(jié)合，提升整體安全防護能力。這種新的安全建設(shè)理念，已經(jīng)不再追求100%的有效防御，而是把安全建設(shè)的重心轉(zhuǎn)移到安全監(jiān)測與威脅發(fā)現(xiàn)上。從技術(shù)角度看，數(shù)據(jù)是網(wǎng)絡(luò)安全的基礎(chǔ)，行為是風險監(jiān)測的關(guān)鍵；所有基礎(chǔ)的安全產(chǎn)品都不再僅僅是以隔離和防護為目標，而是兼具安全監(jiān)測和數(shù)據(jù)采集的作用。這種以數(shù)據(jù)為核心的新安全理念被概括為“數(shù)據(jù)驅(qū)動安全”。相較于圍墻式安全，數(shù)據(jù)驅(qū)動安全理念的進步非常明顯。首先，將安全措施部署在業(yè)務(wù)系統(tǒng)的IT其次，與云端相連之后，所有的防護措施都變得更加智能，智慧安全的概念開始流行。特別是威脅情報技術(shù)的引入，使安全公司可以將自身強大的威脅感知能力賦能給服務(wù)的政企機構(gòu)，從而使被服務(wù)機構(gòu)的安全能力成倍提升。不過，數(shù)據(jù)驅(qū)動安全的早期實踐還有一些明顯的不足，其主要問題在于仍然沒有能夠從根本上解決業(yè)務(wù)或生產(chǎn)系統(tǒng)的安全問題，主要原因有以下幾個方面。不過，客觀來說，“數(shù)據(jù)驅(qū)動安全”理念的實踐為“內(nèi)生安全”思想的提出奠定了重要的基礎(chǔ)。同時，“數(shù)據(jù)驅(qū)動安全”理念本身也是“內(nèi)生安全”思想的重要組成部分。只不過在后來的“內(nèi)生安全”思想體系中，驅(qū)動安全的“數(shù)據(jù)”范疇被大大擴展，從單純的安全大數(shù)據(jù)擴展到業(yè)務(wù)大數(shù)據(jù)，最終實現(xiàn)了外部安全大數(shù)據(jù)、內(nèi)部安全大數(shù)據(jù)與業(yè)務(wù)大數(shù)據(jù)的深度融合與統(tǒng)一。內(nèi)生安全的提出圍墻式安全的局限性，致使其在數(shù)字化環(huán)境中不可避免地遭遇重重挑戰(zhàn)。政企機構(gòu)的信息化建設(shè)，需要一種全新的安全思維。我們需要的并不只是一層比一層更加堅固的防護罩，而是一種本身能夠與信息化環(huán)境相融合的安全能力，做到與信息化環(huán)境的深度融合與全面覆蓋，從而構(gòu)建本身就具有內(nèi)在“免疫力”和“抵抗力”的新型信息化環(huán)境。這就要求我們必須以信息化的視角、業(yè)務(wù)的視角和全局的視角，來重新構(gòu)筑整個網(wǎng)絡(luò)安全防護體系；要求我們必須將網(wǎng)絡(luò)安全的元素融入到信息化建設(shè)的方方面面；要求我們必須在信息化建設(shè)中，全面落實“三同步”原則，即信息化系統(tǒng)應(yīng)當與網(wǎng)絡(luò)安全系統(tǒng)同步規(guī)劃、同步建設(shè)、同步運營。內(nèi)生安全正是在上述認知基礎(chǔ)上建立起來的全新的網(wǎng)絡(luò)安全建設(shè)思想。2019年召開的北京網(wǎng)絡(luò)安全大會以“聚合應(yīng)變，內(nèi)生安全”為主題。此后，內(nèi)生安全的思想得到了廣泛傳播，并快速地得到了業(yè)界的普遍認同。以該思想為指導(dǎo)的“新一代網(wǎng)絡(luò)安全框架”，及該框架下的“十大工程、五大任務(wù)”，已經(jīng)成為指導(dǎo)大中型政企機構(gòu)網(wǎng)絡(luò)安全規(guī)劃建設(shè)的重要參考。需要說明的是，內(nèi)生安全思想并不是對圍墻式安全的徹底否定，而是為原有的建的“圍墻”。第2部分什么是內(nèi)生安全第2章內(nèi)生安全的內(nèi)涵與特性第3章內(nèi)生安全建設(shè)的方法論基礎(chǔ)第4章新一代網(wǎng)絡(luò)安全框架第2章內(nèi)生安全的內(nèi)涵與特性內(nèi)生安全的理念內(nèi)生安全，就是在信息化環(huán)境內(nèi)不斷衍生出安全能力，即使網(wǎng)絡(luò)的邊界防御被打穿，系統(tǒng)仍然能夠在一定程度上保持健康運行，并保證數(shù)據(jù)和業(yè)務(wù)安全。內(nèi)生安全是一種全新的網(wǎng)絡(luò)安全建設(shè)思想。與內(nèi)生安全相對的概念是外生安全。絕大多數(shù)的傳統(tǒng)安全防護方法都屬于外生安全。具體來說，就是當用戶需要保護一個系統(tǒng)時，就在該系統(tǒng)的外面設(shè)置一層防護罩，將系統(tǒng)與外界環(huán)境隔離開來。小到一款殺毒軟件，大到整個機構(gòu)的邊界防御，其實質(zhì)都是在隔離的基礎(chǔ)上進行防護。圍墻式安全和外掛式安全都是外生安全的不同表現(xiàn)形式。內(nèi)生安全的根本目標是保障業(yè)務(wù)和業(yè)務(wù)系統(tǒng)的安全，而不是單純地保障IT系統(tǒng)和IT設(shè)備的安全。所以，內(nèi)生安全要求在信息化環(huán)境內(nèi)部建設(shè)安全能力，使生產(chǎn)系統(tǒng)、業(yè)務(wù)系統(tǒng)自身具有一定的免疫力，而不是完全依賴于系統(tǒng)之外的隔離和防護。內(nèi)生安全落地實現(xiàn)的保障機制是“三同步”原則，即信息化系統(tǒng)與網(wǎng)絡(luò)安全系統(tǒng)必須同步規(guī)劃、同步建設(shè)、同步運營。只有把網(wǎng)絡(luò)安全工作貫穿到信息化系統(tǒng)的規(guī)劃、建設(shè)、運營的整個生命周期，將信息化建設(shè)與運維工作相結(jié)合，將網(wǎng)絡(luò)安全的防護與響應(yīng)過程相結(jié)合，達到工作任務(wù)事項級別的深度綁定，才能夠真正實現(xiàn)具有免疫力的內(nèi)生安全系統(tǒng)。同步規(guī)劃同步規(guī)劃，是內(nèi)生安全的關(guān)鍵與起點，強調(diào)關(guān)口前移與預(yù)算保障。具體指在信息化系統(tǒng)的設(shè)計規(guī)劃中，充分考慮網(wǎng)絡(luò)安全，確保網(wǎng)絡(luò)安全成為信息化系統(tǒng)的有機組成。首先通過與信息化同步規(guī)劃安全體系，落實“關(guān)口前移”，實現(xiàn)安全與信息化的深度結(jié)合和全面覆蓋。然后通過規(guī)劃來解決各層級、各業(yè)務(wù)口對網(wǎng)絡(luò)安全的理解不一致。同步建設(shè)同步建設(shè)是內(nèi)生安全的落地和保障，強調(diào)在信息化建設(shè)的方方面面充分考慮引入并融合安全能力。既要積極建設(shè)網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施，又要開展信息系統(tǒng)內(nèi)建安全機制的建設(shè)。安全能力建設(shè)需要基于“疊加演進”的原則，既要積極建設(shè)網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施，又要建設(shè)信息系統(tǒng)內(nèi)在安全機制。同步運營同步運營，是內(nèi)生安全的生命，通過規(guī)劃、建設(shè)形成的安全能力需要具備運營、技術(shù)、人和管理規(guī)范，才能形成一個完整體系，將安全能力有效輸出。而且IT零散工作。內(nèi)生安全的特點內(nèi)生安全要求信息系統(tǒng)的安全體系具有自我免疫（自適應(yīng)安全能力）、內(nèi)外兼修（自主安全能力）、自我進化（自成長安全能力）三大特點。自我免疫（自適應(yīng)安全能力）自我免疫，是指安全系統(tǒng)必須像人體免疫系統(tǒng)一樣，具有自適應(yīng)功能，即使網(wǎng)絡(luò)被攻破，也能保證業(yè)務(wù)安全。網(wǎng)絡(luò)安全與人的身體健康同理：人之所以能保持健康，是因為當病毒和細菌入侵時，免疫系統(tǒng)會調(diào)動各種防御力量來消滅病菌。安全系統(tǒng)也需要具備這樣的能力，即針對一般性攻擊，能夠自動發(fā)現(xiàn)、自動修復(fù)、自我平衡；針對大型攻擊，能夠自動預(yù)測、自動告警和應(yīng)急響應(yīng)；針對極端網(wǎng)絡(luò)災(zāi)難，能夠確保關(guān)鍵業(yè)務(wù)不中斷。滿足，還需要將接口、協(xié)議、數(shù)據(jù)標準化，以實現(xiàn)異構(gòu)兼容。同時安全系統(tǒng)也要進行解控制權(quán)限；當業(yè)務(wù)檢測出異常時，網(wǎng)絡(luò)控制系統(tǒng)會自動采取措施來嚴防死守。內(nèi)外兼修（自主安全能力）內(nèi)外兼修，是指安全體系必須同時具有內(nèi)外兩種能力：“外”能及時感知威脅、發(fā)現(xiàn)風險；“內(nèi)”能與業(yè)務(wù)系統(tǒng)深度融合。一個具備免疫功能的系統(tǒng)，無法完全依靠外部力量建立起來。無論外部檢測技術(shù)多么先進，也無法檢查內(nèi)部系統(tǒng)的問題。同樣地，我們需要把安全系統(tǒng)和業(yè)務(wù)系統(tǒng)進行深度融合。如果只依靠外部的力量和安全數(shù)據(jù)，或者只有泛化的安全思維，則無法解決內(nèi)部的安全問題。要實現(xiàn)自主安全能力，需要將業(yè)務(wù)數(shù)據(jù)和安全數(shù)據(jù)相聚合。數(shù)據(jù)既是業(yè)務(wù)的核心，也是解決安全問題的核心。以往安全關(guān)注的是網(wǎng)絡(luò)運行數(shù)據(jù)，但要建立自主的內(nèi)生安全，還必須關(guān)注相關(guān)的業(yè)務(wù)數(shù)據(jù)。這些業(yè)務(wù)數(shù)據(jù)包括業(yè)務(wù)元數(shù)據(jù)、業(yè)務(wù)訪問行為數(shù)據(jù)等。網(wǎng)絡(luò)安全數(shù)據(jù)，包括流量數(shù)據(jù)、終端數(shù)據(jù)、漏洞數(shù)據(jù)、系統(tǒng)日志等，更多地用以描述網(wǎng)絡(luò)行為。但在攻防對抗中，攻擊者都會隱藏、偽裝網(wǎng)絡(luò)行為。只有把業(yè)務(wù)數(shù)據(jù)和網(wǎng)絡(luò)數(shù)據(jù)聚合起來，將網(wǎng)絡(luò)威脅與業(yè)務(wù)異常結(jié)合起來進行分析，才能更準確地發(fā)現(xiàn)攻擊者。數(shù)據(jù)聚合成一個完整的安全數(shù)據(jù)視圖，通過檢索、AI系背后的安全問題。所謂“實體”，是指客觀的對象，如身份賬號、IP、域名、URL、證書等；“關(guān)系”則表示對象和對象之間的聯(lián)系、事件、行為。自我進化（自成長安全能力）自我進化，是指安全體系必須能夠伴隨著業(yè)務(wù)的成長和變化，在不斷抵抗各類網(wǎng)絡(luò)攻擊的過程中，不斷自我改進和自我完善。以人體的免疫系統(tǒng)為例，鍛煉身體、適應(yīng)嚴酷的環(huán)境、不斷對抗疾病都會提高免疫解決問題，才能提高安全防護水平。要實現(xiàn)自成長安全能力，需要將IT知識的IT人才，也需要具備打補丁、配置安全策略等專業(yè)能力的安全人才。只有將IT時，不能只考慮技術(shù)體系的IT提前進行安全人才儲備，將IT人才和安全人才聚合起來，是后續(xù)安全系統(tǒng)發(fā)展壯大的根基。內(nèi)生安全優(yōu)勢和價值在數(shù)字化生產(chǎn)及辦公環(huán)境中，內(nèi)生安全的防護優(yōu)勢與價值非常明顯。下面我們從防護目標、防護能力和防護效果三個方面進行分析和說明。適應(yīng)新基建和數(shù)字化的需要從防護目標上看，內(nèi)生安全可以適應(yīng)新基建和數(shù)字化的需要。這里首先來簡單介紹一下新基建的概念。新基建與數(shù)字化2018年12月，中央經(jīng)濟工作會議在確定2019年重點工作任務(wù)時提出“加強人工智能、工業(yè)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)等新型基礎(chǔ)設(shè)施建設(shè)”，這是新基建首次出現(xiàn)在中央層面的會議中。2020年3月4日，中共中央政治局常務(wù)委員會召開會議，強調(diào)“加快5G網(wǎng)絡(luò)、數(shù)據(jù)中心等新型基礎(chǔ)設(shè)施建設(shè)進度”。2020年4月20日，國家發(fā)改委在新聞發(fā)布會上首次明確了新型基礎(chǔ)設(shè)施的范圍。新型基礎(chǔ)設(shè)施是以新發(fā)展理念為引領(lǐng)，以技術(shù)創(chuàng)新為驅(qū)動，以信息網(wǎng)絡(luò)為基礎(chǔ)，面向高質(zhì)量發(fā)展需要，提供數(shù)字轉(zhuǎn)型、智能升級、融合創(chuàng)新等服務(wù)的基礎(chǔ)設(shè)施體系。國家發(fā)改委對新型基礎(chǔ)設(shè)施的內(nèi)容給出了權(quán)威解釋，主要包括以下3方面內(nèi)容。信息基礎(chǔ)設(shè)施：主要包括以5G國家發(fā)改委還特別指出，伴隨著技術(shù)革命和產(chǎn)業(yè)變革，新型基礎(chǔ)設(shè)施的內(nèi)涵、外延也會隨之發(fā)生改變。新基建是數(shù)字經(jīng)濟發(fā)展的戰(zhàn)略基石，是數(shù)字化發(fā)展的典型代表，其核心本質(zhì)是數(shù)字鍵。新基建的安全特點從網(wǎng)絡(luò)安全的角度看，新基建具有覆蓋范圍廣、系統(tǒng)復(fù)雜度高、系統(tǒng)暴露面大、安全事故損失大等特點。覆蓋范圍廣無論是從技術(shù)角度、產(chǎn)業(yè)角度還是地域角度來看，新基建的覆蓋范圍都是非常廣泛要一種大范圍可控的安全建設(shè)方法。行，就不太可能停止運行來進行安全檢修?！靶扌扪a補”的安全方式顯然不適用于新基建。系統(tǒng)復(fù)雜度高新基建是新型IT度與傳統(tǒng)IT或信息化系統(tǒng)不可同日而語。越是復(fù)雜的系統(tǒng)，出現(xiàn)安全漏洞的頻率就會越高，可能遭遇的安全風險就越大，入侵者的隱秘行跡就越難以被發(fā)現(xiàn)。系統(tǒng)暴露面大覆蓋范圍廣和系統(tǒng)復(fù)雜度高的直接結(jié)果之一是系統(tǒng)暴露面大幅增加。新基建系統(tǒng)中的任何一個節(jié)點、任何一種設(shè)備、任何一次協(xié)議交換、任何一套業(yè)務(wù)系統(tǒng)，都有可能成為攻擊者入侵的突破口。網(wǎng)絡(luò)防御難度呈指數(shù)級增加。安全事故損失大在新基建時代，物理與現(xiàn)實的結(jié)合日趨緊密。針對物理世界的網(wǎng)絡(luò)攻擊會對現(xiàn)實世界造成巨大的影響和損失。事實上，正是由于新基建對數(shù)字化環(huán)境的高度依賴，使得數(shù)字化環(huán)境一旦遭遇網(wǎng)絡(luò)攻擊，就有可能造成大規(guī)模的停產(chǎn)停工。這不僅可能帶來巨大的經(jīng)濟損失，甚至還有可能造成人員傷亡并引發(fā)社會混亂和災(zāi)難。內(nèi)生安全對新基建和數(shù)字化的意義一方面是安全風險的成倍增加，另一方面是事故損失的影響擴大。能否為新基建搞好安全基礎(chǔ)建設(shè)，成為部署網(wǎng)絡(luò)安全工作的一大考驗。我們必須全盤考慮新基建的網(wǎng)絡(luò)安全建設(shè)問題，以及網(wǎng)絡(luò)邊界被打穿后的系統(tǒng)安全及可靠性問題。這就要求我們必須從整個新基建系統(tǒng)的規(guī)劃設(shè)計之初，以內(nèi)生安全的建設(shè)思想為指導(dǎo)，充分考慮安全問題，深植網(wǎng)絡(luò)安全能力，保持高水平安全運維，并為系統(tǒng)提供可升全。從防護能力上，可以實現(xiàn)安全能力的動態(tài)成長從防護能力上，內(nèi)生安全可以實現(xiàn)安全能力的動態(tài)成長。數(shù)字化時代，業(yè)務(wù)結(jié)構(gòu)與業(yè)務(wù)需求的快速變化將成為企業(yè)經(jīng)營的常態(tài)，這就要求信息化系統(tǒng)不斷根據(jù)業(yè)務(wù)需求進行快速調(diào)整。同時，網(wǎng)絡(luò)安全環(huán)境也處于瞬息萬變的狀態(tài)，安全策略必須能夠快速適應(yīng)業(yè)務(wù)變化與威脅變化。按照傳統(tǒng)的網(wǎng)絡(luò)安全建設(shè)思路，網(wǎng)絡(luò)安全的規(guī)劃建設(shè)與業(yè)務(wù)系統(tǒng)的發(fā)展是相互獨立系統(tǒng)的建設(shè)同步成長。只有按照內(nèi)生安全的建設(shè)思想，將業(yè)務(wù)系統(tǒng)與安全系統(tǒng)深度聚合，IT深度聚合，實現(xiàn)安全能力與業(yè)務(wù)能力的同步增長和動態(tài)增長，才能實現(xiàn)可持續(xù)的安全能力。業(yè)務(wù)系統(tǒng)與安全系統(tǒng)深度聚合可以有效解決安全與業(yè)務(wù)相互獨立的問題，實現(xiàn)安全能力與業(yè)務(wù)系統(tǒng)的深度融合，實現(xiàn)對業(yè)務(wù)系統(tǒng)的安全防護需求的動態(tài)響應(yīng)。IT人員與安全人員的深度聚合可以提升系統(tǒng)本身的安全性，最大限度地減少安全漏洞和由此帶來的安全風險，改變“系統(tǒng)越多，漏洞越多，風險越大”的傳統(tǒng)局面，做到在源頭降低安全風險。最大限度降低安全風險和損失從防護效果上看，內(nèi)生安全可以最大限度地降低安全風險和損失。傳統(tǒng)網(wǎng)絡(luò)安全防護重建設(shè)，輕運營；重預(yù)防，輕響應(yīng)；重安全設(shè)備采購，輕安全能力建設(shè)；重外部威脅，輕內(nèi)部風險；重系統(tǒng)風險，輕業(yè)務(wù)風險。在網(wǎng)絡(luò)攻擊手段日益復(fù)雜、系統(tǒng)漏洞層出不窮、內(nèi)部風險和業(yè)務(wù)風險日益突出的背景下，傳統(tǒng)的安全理念和防護手段無法真正降低安全風險和減少損失。結(jié)果導(dǎo)致有些時候，為了防護某些損害不大的風險，卻付出了高昂的防護代價；有些時候，某些看似偶然的風險，卻造成了極大的損失，如停工停產(chǎn)、業(yè)務(wù)中斷、數(shù)據(jù)被破壞等。傳統(tǒng)網(wǎng)絡(luò)安全工作能夠為政企機構(gòu)實現(xiàn)怎樣的安全保障，防護價值如何，往往都是不確定的。最終保障將安全風險的損失降到最低。將安全與業(yè)務(wù)緊密結(jié)合，有力保障數(shù)據(jù)和業(yè)務(wù)安全，這也是內(nèi)生安全防護的終極目標。以內(nèi)生安全思想為指導(dǎo)的安全體系建設(shè)，網(wǎng)絡(luò)安全工作可以貫徹到規(guī)劃、開發(fā)和運營全威脅；通過最大程度發(fā)揮檢測與響應(yīng)的價值，能夠更加及時地阻止和消除網(wǎng)絡(luò)入侵行為，將安全風險和損失降至最低。三大關(guān)鍵落地內(nèi)生安全網(wǎng)絡(luò)安全是高度對抗性的行業(yè)，網(wǎng)絡(luò)安全系統(tǒng)包括技術(shù)、數(shù)據(jù)、人員和體制機制等，是一個復(fù)雜的系統(tǒng)。為了保障業(yè)務(wù)的安全性，實現(xiàn)系統(tǒng)的有效運轉(zhuǎn)，不能僅僅考慮產(chǎn)品和技術(shù)因素，而是要綜合考慮技術(shù)、管理、運行等多方面的因素。安全的關(guān)鍵是管理首先，漏洞是不可避免的，只要系統(tǒng)0day漏洞還沒有被黑客窮盡，就永遠面臨著未知威脅。這個漏洞可能存在于芯片、操作系統(tǒng)、應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備等任何地方，隨時可能導(dǎo)致數(shù)據(jù)被盜，也有可能會直接導(dǎo)致系統(tǒng)崩潰。如果只采用攻防技術(shù)來防護，這類安全問題是永遠無法解決的。其次，絕大部分威脅是由內(nèi)部各種非法和違規(guī)的操作行為造成的。根據(jù)FBI和CIA等機構(gòu)聯(lián)合進行的一項安全調(diào)查報告顯示，超過85%的網(wǎng)絡(luò)安全威脅來自于內(nèi)部，危害程度遠遠超過黑客攻擊和病毒造成的損失。最后，所有的體系都是人為操控管理的，但人本身的弱點造成了網(wǎng)絡(luò)體系最大的脆弱性。上述問題的存在，決定了不管技術(shù)多先進，我們的體系最終會失效。安全的關(guān)鍵是管理。這里的管理不是傳統(tǒng)意義上的管理，它既不是單純的人員管理、行政管理、體制機制管理，也不是傳統(tǒng)的條文式管理、流程式管理，而是一套“新管理”模式。它由數(shù)據(jù)驅(qū)動，通過與安全體系中的能力平臺和服務(wù)平臺有效對接，實現(xiàn)對安全技術(shù)、安全運行等各方面要素的有效管理，從而發(fā)現(xiàn)和規(guī)避黑客利用安全體系中的漏洞發(fā)起的攻擊，克服人的不可靠性，彌補人的能力不足。這種新管理模式的表現(xiàn)形式，可以是網(wǎng)絡(luò)安全管理平臺，也可以是網(wǎng)絡(luò)安全管理運營中心。內(nèi)生安全，代表的正是這種新形態(tài)的網(wǎng)絡(luò)安全管理模式。它采用“一個中心、五個濾網(wǎng)”模式，從網(wǎng)絡(luò)、數(shù)據(jù)、應(yīng)用、行為、身份五個層面來有效實現(xiàn)對網(wǎng)絡(luò)安全體系的管理，從而構(gòu)建無處不在、處處結(jié)合、實戰(zhàn)化運行的安全能力體系。這種新管理模式，需要有強大的能力體系支撐，需要采用工程化、體系化的方式進行實施，這套方法的成果構(gòu)成了內(nèi)生安全框架。管理的關(guān)鍵是框架實現(xiàn)內(nèi)生安全是一套復(fù)雜的系統(tǒng)工程，需要采用工程化、體系化的方式實施，實現(xiàn)它的關(guān)鍵就是安全框架。內(nèi)生安全框架有3個重點：“厘清楚”“建起來”“跑得贏”，目的是通過“新管理”，使網(wǎng)絡(luò)安全體系具有動態(tài)防御、主動防御、縱深防御、精準防護、整體防護、聯(lián)防聯(lián)控的能力。實現(xiàn)內(nèi)生安全所代表的這種新形態(tài)的網(wǎng)絡(luò)安全管理是一套復(fù)雜的系統(tǒng)工程，它需要一個新形態(tài)的能力體系作為支撐，需要采用工程化、體系化的方式來實施，其實現(xiàn)關(guān)鍵是安全框架。統(tǒng)能夠使安全產(chǎn)品和服務(wù)相互聯(lián)系、相互作用，在整體上具備單個產(chǎn)品和服務(wù)缺失的功能，從而保障復(fù)雜系統(tǒng)的安全。建設(shè)內(nèi)生安全采用的就是系統(tǒng)工程的思想。實施，逐步建立面向未來的安全體系。該框架從頂層視角出發(fā)，支撐各行業(yè)的建設(shè)模式安全“免疫力”，真正實現(xiàn)內(nèi)生安全。內(nèi)生安全體系建設(shè)，需要先體系化地梳理、設(shè)計保障政府和企業(yè)數(shù)字化業(yè)務(wù)所需要的安全能力，才能確保這些安全能力能夠融入到信息化與業(yè)務(wù)系統(tǒng)中去。在設(shè)計的過程中，我們要根據(jù)政府和企業(yè)自身信息化項目的實際情況，對安全能力進行挑選、組合和規(guī)劃，制定明確標準。融合是建設(shè)的關(guān)鍵，將安全能力深度融入物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、數(shù)據(jù)與用戶等各個層次，確保深度結(jié)合；還要將安全能力全面覆蓋云、終端、服務(wù)器、通信鏈路、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、工控、人員等要素，避免局部盲區(qū)，實現(xiàn)全面覆蓋。這種將安全能力合理地分配到正確位置的建設(shè)過程，就是安全能力組件化的過程。在具體的建設(shè)過程中，需要一個全景化的技術(shù)部署模型，全面描繪政企機構(gòu)的整體網(wǎng)絡(luò)結(jié)構(gòu)、信息化和網(wǎng)絡(luò)安全的融合關(guān)系，以及安全能力的部署形態(tài)。在這個基礎(chǔ)上，我們就可以把所有的安全能力組件分別以系統(tǒng)、服務(wù)、軟硬件資源的形態(tài)，合理部署到信息化系統(tǒng)的不同區(qū)域、節(jié)點、層級中。內(nèi)生安全體系強調(diào)安全運行，把管理作為關(guān)鍵，就能“人定勝天”，跑得贏漏洞，跑得贏內(nèi)鬼，跑得贏黑客?？蚣艿年P(guān)鍵是組件化從安全系統(tǒng)與信息化系統(tǒng)聚合的實施角度來看，如果割裂地對老系統(tǒng)采用老辦法，新系統(tǒng)采用新辦法，當老系統(tǒng)將來被替代時，安全系統(tǒng)也不得不替換掉，從而造成巨大的浪費。這就要求對安全體系進行“統(tǒng)一設(shè)計，分步實施”，在體系的基礎(chǔ)上，將安全框架組件化，使這些組件作為新體系的一部分部署到老系統(tǒng)中，從而適應(yīng)信息化系統(tǒng)這種漸進式的、“立新破舊”的過程，避免不斷地重建安全系統(tǒng)，并確?，F(xiàn)在安全系統(tǒng)的投資是面向未來的。從國際經(jīng)驗看，ISO/IEC27000信息安全管理體系是按照組件化的方式設(shè)計的，包含14個類別、35個目標、114個控制措施。遵循這樣的經(jīng)驗，采用工程化的思想，將體系中的安全能力映射成為可執(zhí)行、可建設(shè)的網(wǎng)絡(luò)安全能力組件，構(gòu)成內(nèi)生安全框架，然后將這些組件與信息化進行體系化的聚合，是安全框架落地的關(guān)鍵。為了窮盡安全能力組件的類型，我們研究了針對黨、政、軍、央企、金融等大型機構(gòu)網(wǎng)絡(luò)安全的新技術(shù)產(chǎn)品和服務(wù)體系，為這些體系設(shè)計并解構(gòu)出了十個網(wǎng)絡(luò)安全工程，以及五方面的支撐能力任務(wù)，亦稱“十大工程、五大任務(wù)”，簡稱“十工五任”?！笆の迦巍笔莾?nèi)生安全框架的具體落地手冊，具備一個復(fù)雜龐大的信息化系統(tǒng)所需要的全部安全能力。這相當于打造了一個信息化巨系統(tǒng)內(nèi)生安全框架的建設(shè)樣板，每一個工程和任務(wù)，都可以理解成樣板房里的不同“房間”。政企機構(gòu)可以結(jié)合自身信息化的特點，選取不同的“房間”進行組合，定義自己的關(guān)鍵工程和任務(wù)。第3章內(nèi)生安全建設(shè)的方法論基礎(chǔ)EA方法論簡述過去20年，無論國內(nèi)還是國外，EA（EnterpriseArchitecture，企業(yè)架構(gòu)）營等方面起到了至關(guān)重要的作用。事實上，EA方法論不僅指導(dǎo)了信息化建設(shè)，在組織架網(wǎng)絡(luò)安全框架”的很多思路也來源于EA方法論。什么是EA？我們?yōu)槭裁葱枰狤A？這個誕生于30年前的方法論為何至今仍然在解決IT系統(tǒng)性問題中發(fā)揮著舉足輕重的作用？我們在將EA方法論借鑒應(yīng)用到網(wǎng)絡(luò)安全時，哪些思想可以實際應(yīng)用，哪些思想只是作為參考開闊思路，而不適合在我國的網(wǎng)絡(luò)安全領(lǐng)域具體落地？本節(jié)將對這些問題進行系統(tǒng)性的探討。EA的定義EA景和戰(zhàn)略轉(zhuǎn)化成有效的企業(yè)變更的過程。EA方法主要用于演進或維護現(xiàn)存的信息技術(shù)體系，或是引入新的信息技術(shù)體系，以實現(xiàn)組織的戰(zhàn)略目標和信息資源管理目標。EA的重要目的是將跨組織的、零散的遺留流程（人工或自動）優(yōu)化進一個集成的環(huán)同目標的組織的集合，那么EA變更的過程。如果將日益復(fù)雜的數(shù)字化環(huán)境看作一個復(fù)雜的系統(tǒng)，EA信息化領(lǐng)域的結(jié)合應(yīng)用。EA是承接企業(yè)業(yè)務(wù)戰(zhàn)略與IT戰(zhàn)略之間的橋梁與標準接口，是企業(yè)信息化規(guī)劃的核心。對于持續(xù)變更的業(yè)務(wù)環(huán)境，IT系統(tǒng)也需要隨之演進，而EA則能為響應(yīng)這種演進提供戰(zhàn)略背景支撐。EA是企業(yè)頂層設(shè)計的圖紙，決定企業(yè)結(jié)構(gòu)、組成部分、各部功能、空間關(guān)系等元素。一般而言，EA可以分為兩大部分：業(yè)務(wù)架構(gòu)和IT架構(gòu)。目前大部分EA方法都是從IT架構(gòu)發(fā)展而來的。IT架構(gòu)：是指導(dǎo)IT投資和設(shè)計決策的IT其中，業(yè)務(wù)架構(gòu)的重點是流程和數(shù)據(jù)，而IT架構(gòu)的重點是應(yīng)用和技術(shù)。前者增加了商業(yè)愿景和任務(wù)目標驅(qū)動力，后者增加了可落地的實施策略和計劃。EA的誕生與演變1987年，美國人JohnZachman在其發(fā)表的AFrameworkforInformationArchitecture論文中首次提出了“信息系統(tǒng)架構(gòu)框架”的概念，由此奠定了EA的理論基礎(chǔ)。JohnZachman架構(gòu)已經(jīng)不再是一個可有可無的選擇，而是企業(yè)的必需。論文從信息、流程、網(wǎng)絡(luò)、人員、時間、基本原理等6個透視角度來分析信息系統(tǒng)架構(gòu)；同時提供了與這些視角相對應(yīng)的6個模型，包括語義、概念、邏輯、物理、構(gòu)件和功能模型。由于其杰出的開創(chuàng)性工作成果，JohnZachman被公認為是EA領(lǐng)域的開拓者。1996年，美國的Clinger-Cohen法案（也稱為“信息技術(shù)管理改革法案”）中首次確定了術(shù)語“IT架構(gòu)”。該法案的主旨是美國政府應(yīng)指導(dǎo)下屬聯(lián)邦政府機構(gòu)通過建立綜合方法來管理信息技術(shù)的引入、使用和處置等。Clinger-Cohen法案要求政府機構(gòu)的CIO負責開發(fā)、維護一個合理的、集成的IT架構(gòu)（ITA），并幫助實施。當時的術(shù)語ITA被解釋為ITEA（IT與EA的組合，即企業(yè)IT架構(gòu)）。由于該法案的實施，美國的一些政府機構(gòu)率先開始使用EA，這對EA非常重要的作用。美國國家標準與技術(shù)研究院（NationalInstituteofStandardsTechnology，NIST）于1989年發(fā)布企業(yè)架構(gòu)模型（NISTEAModel），于1999企業(yè)架構(gòu)框架（FederalEnterpriseArchitectureFramework，F(xiàn)EAF），于2003國防部體系架構(gòu)框架（DepartmentofDefenseArchitectureFramework，DoDAF）時，在企業(yè)機構(gòu)和一些標準化組織中，也涌現(xiàn)出一些具有影響力的框架，例如OpenGroupArchitectureFramework，開放標準組織體系結(jié)構(gòu)框架）。還有IBMCBM（ComponentBusinessModel，組件化業(yè)務(wù)模型），美國情報體系使用的JARM（JointArchitectureReferenceModel，聯(lián)合架構(gòu)參考模型），這些都是業(yè)界實踐后抽取出來的標準方法論。另外，微軟、Gartner也都對EA有相應(yīng)的理解。在實際的落地應(yīng)用中，Zachman的基礎(chǔ)框架已經(jīng)較少使用；而TOGAF更多以成果為目的，整個體系過于復(fù)雜；DoDAF的應(yīng)用場景與我國的現(xiàn)實情況有較大的不同；JARM引入了值得借鑒的層次模型來表述能力體系；而CBM則注重可用于實踐的能力體系；EA3Cube框架也給出了多維度視角。這些典型的方法與框架，將在3.1.4節(jié)與3.1.5述，以幫助我們更好地理解EA的方法論思路，并考慮如何借鑒應(yīng)用到網(wǎng)絡(luò)安全領(lǐng)域。EA的作用很多企業(yè)在進行信息化建設(shè)時，常常以技術(shù)為主導(dǎo)，僅將關(guān)注點放在當前問題的IT實現(xiàn)上，缺乏全局思考，經(jīng)常與業(yè)務(wù)脫節(jié)。這往往會導(dǎo)致上線的新系統(tǒng)無法對業(yè)務(wù)提供有效支持，無法適應(yīng)業(yè)務(wù)快速變化的需求；各系統(tǒng)間無法形成有效聯(lián)動；也存在功能重復(fù)建設(shè)的情況。簡單來說，就是管理層、IT人員和業(yè)務(wù)人員之間沒有進行充分溝通并達成共識。在數(shù)字化時代，“業(yè)務(wù)即IT，IT即業(yè)務(wù)”。我們已經(jīng)不可能割裂地來看待業(yè)務(wù)與IT在外部環(huán)境迅速變化、內(nèi)部環(huán)境日益復(fù)雜的情況下，一個完備而科學(xué)的EA就顯得極為重障各方擁有共同的理解與愿景。因此，通過IT對信息進行有效的利用及管理，是業(yè)務(wù)成功的關(guān)鍵因素，也是獲取競爭優(yōu)勢不可缺少的手段，可以借此實現(xiàn)下述目的。更高效率的IT更好的投資收益，更低的投資風險：具體包括降低ITIT基礎(chǔ)設(shè)施投資回報率；增加開發(fā)、購買和外包IT解決方案的彈性；降低新投資以及IT本風險。典型的EA框架Zachman框架Zachmam框架的全稱是企業(yè)架構(gòu)和信息系統(tǒng)架構(gòu)Zachman框架（ZachmanforEnterpriseArchitectureandInformationSystemsArchitecture）。Zachman框架是一種邏輯結(jié)構(gòu)（見圖3.1），模型分為兩個維度。橫向維度采用6W（What、How、Where、Who、When、Why）進行組織，分別為什么（數(shù)據(jù)）、如何（功能）、哪里（網(wǎng)絡(luò)）、誰（人員）、何時（時間）、為什么（動機）?？v向維度反映了IT架構(gòu)層次，分別為范圍（規(guī)劃人員）、企業(yè)模型（員）、功能模型（用戶）。橫向結(jié)合6W，Zachman框架分別由數(shù)據(jù)、功能、網(wǎng)絡(luò)、人員、時間、動機分別對應(yīng)回答What、How、Where、Who、When與Why這6個問題。圖3.1Zachman框架模型3.0縱向按企業(yè)中不同角色的關(guān)注點進行劃分。規(guī)劃人員關(guān)注范圍模型，能夠看到企業(yè)的發(fā)展方向、業(yè)務(wù)宗旨和系統(tǒng)邊界范圍。體系結(jié)構(gòu)設(shè)計人員關(guān)注系統(tǒng)模型，能夠使用更嚴格的術(shù)語定義企業(yè)業(yè)務(wù)，看到的是每項業(yè)務(wù)處理所要完成的功能。構(gòu)建人員關(guān)注技術(shù)模型，使用技術(shù)模型來解決企業(yè)業(yè)務(wù)的信息處理需求。用戶關(guān)注功能模型，也是系統(tǒng)的最終用戶，考慮系統(tǒng)能否支持自身的工作。從這兩個維度將所有IT構(gòu)件進行分割，可以劃分成相對獨立的模塊，以便于獨立管理，如圖3.2所示。圖3.2拓展的Zachman模型采用Zachman框架進行IT規(guī)劃的一般步驟如下。步驟1.確定組織的愿景和原則。確定IT架構(gòu)業(yè)務(wù)、組織與IT系統(tǒng)范圍，識別業(yè)務(wù)驅(qū)動力。確定IT架構(gòu)愿景和目標。制定IT架構(gòu)定義的原則。識別IT架構(gòu)相關(guān)需求。研究與學(xué)習(xí)業(yè)界IT架構(gòu)最佳實踐。步驟2.現(xiàn)狀描述分析。搜集現(xiàn)有IT系統(tǒng)的現(xiàn)狀資料。業(yè)務(wù)現(xiàn)狀分析，識別現(xiàn)有IT系統(tǒng)在業(yè)務(wù)支撐方面存在的問題。步驟3.目標機構(gòu)定義。引入最佳實踐，并結(jié)合企業(yè)實際，定義目標IT步驟4.差距與改進點分析。目標架構(gòu)與現(xiàn)狀的差距與改進點分析。將具體IT需求納入目標架構(gòu)框架。步驟5.改進點優(yōu)先級排序。對IT架構(gòu)的改進點以及具體需求進行優(yōu)先級排序。步驟6.制定IT架構(gòu)的實施計劃。確定向目標IT架構(gòu)遷移的具體實施計劃。確定目標IT架構(gòu)實施的推行組織。步驟7.持續(xù)改進IT架構(gòu)規(guī)劃過程，各個環(huán)節(jié)不斷優(yōu)化。制定目標IT架構(gòu)的持續(xù)改進計劃。制定IT架構(gòu)的管理維護機制。從1987年至今，EA發(fā)展了30余年，許多專家與組織都試圖對EA的內(nèi)涵進行定義，國際上也涌現(xiàn)出一批企業(yè)架構(gòu)方法論。其中，影響力比較大的有TOGAF、FEAF和DoDAF。TOGAF是聯(lián)盟性組織TheOpenGroup輕重的作用；FEAF組織中扮演了重要角色；DoDAF作為美國國防部指導(dǎo)開發(fā)的框架，在國防信息化建設(shè)中發(fā)揮了重要作用。TOGAFTOGAF全稱為TheOpenGroupArchitectureFramework，是由致力于技術(shù)標準制定和推廣的非營利組織TheOpenGroup制定的用于開發(fā)EA的方法，是目前具備影響力的主流EA框架之一，主要應(yīng)用于企業(yè)。TOGAF是一種協(xié)助開發(fā)、驗收、運行、使用和維護架構(gòu)的工具。在福布斯排名前50的公司中，有80%的公司采用了TOGAF框架。TOGAF更接近于一個常用的標準EA描述，提供了架構(gòu)開發(fā)方法、架構(gòu)能力框架、架構(gòu)內(nèi)容框架、企業(yè)連續(xù)體及參考模型等一系列組件。TOGAF是TheOpenGroup員包含全球領(lǐng)先的IT客戶及廠商，基本上代表了架構(gòu)發(fā)展的最佳實踐。使用TOGAF作為架能的業(yè)務(wù)需求提供應(yīng)有的考慮。在國際上，TOGAF已經(jīng)被證實可以靈活、高效地構(gòu)建企業(yè)IT架構(gòu)。TOGAF在國內(nèi)的引進已對國內(nèi)IT產(chǎn)業(yè)產(chǎn)生了重要影響。2009年之前，國內(nèi)IT企業(yè)很少參與國際標準的制定，致使國內(nèi)企業(yè)的IT建設(shè)與歐美企業(yè)之間有較大差距。引進TOGAF后，國內(nèi)企業(yè)的IT技術(shù)架構(gòu)基本與國外先進的技術(shù)架構(gòu)保持同步。TOGAF幫助國內(nèi)企業(yè)節(jié)約了成本，增加了業(yè)務(wù)模式的靈活性，加強了個性化和隨需應(yīng)變的能力；同時提高了信息系統(tǒng)的應(yīng)用水平，還對企業(yè)的業(yè)務(wù)模式創(chuàng)新起到了一定的推動作用。FEAFFEAF（FederalEnterpriseArchitectureFramework，聯(lián)邦企業(yè)架構(gòu)框架）國國家標準與技術(shù)研究院EA模型（NISTEAModel）國聯(lián)邦政府治下機構(gòu)及企業(yè)架構(gòu)的組織和管理需求。在實際應(yīng)用中，F(xiàn)EAF美國聯(lián)邦政府組織的結(jié)構(gòu)和管理的框架設(shè)計。FEAF提供了一個組織結(jié)構(gòu)和收集渠道，方便成員將各自的架構(gòu)集中到企業(yè)架構(gòu)中去。該框架是非限制性的，適用于所有的聯(lián)邦內(nèi)機構(gòu)，特別是已存在架構(gòu)的機構(gòu)。如今，F(xiàn)EAF已經(jīng)發(fā)展出了許多更先進的模型。FEAF可以看作一個基礎(chǔ)框架，為EA的建設(shè)提供了一整套開發(fā)方法。FEAF的架構(gòu)共分為4個層次。第一層次是FEAF的最高層次，它介紹了開發(fā)和維護聯(lián)邦企業(yè)架構(gòu)所需的8分。?架構(gòu)推動者（ArchitectureDriver）?戰(zhàn)略方向（StrategicDirection）?當前架構(gòu)（CurrentArchitecture）?目標架構(gòu)（TargetArchitecture）?轉(zhuǎn)換過程（TransitionalProcess）?架構(gòu)片段（ArchitecturalSegment）?架構(gòu)模型（ArchitecturalModel）?標準（Standard）第四層次通過借鑒EADoDAFDoDAF（DepartmentofDefenseArchitectureFramework）是由美國國防部的工作小組制定的系統(tǒng)架構(gòu)框架，于1996年6月推出，主要用于指導(dǎo)國防信息化建設(shè)。DoDAF的前身是“指揮、控制、通信、計算機、智能、監(jiān)視和偵察”（Command,Control,Communications,Computers,Intelligence,SurveillanceandReconnaissance）架構(gòu)框架。DoDAF演變至今已經(jīng)具有以下一些特點：體系結(jié)構(gòu)開發(fā)過程從以產(chǎn)品為中心轉(zhuǎn)向以數(shù)據(jù)為中心，主要為決策提供數(shù)據(jù)；從初期的三大視圖（作戰(zhàn)視圖、技術(shù)視圖和系統(tǒng)視圖）更新到現(xiàn)有的8項目視圖；描述了數(shù)據(jù)共享和在聯(lián)邦環(huán)境中獲取信息的需求；定義和描述了國防部企業(yè)架構(gòu)；明確和描述了與聯(lián)邦企業(yè)架構(gòu)的關(guān)系；創(chuàng)建了國防部架構(gòu)框架元模型；描述和討論了面向服務(wù)架構(gòu)（Service-OrientedArchitecture）3.1.5組件化業(yè)務(wù)模型CBM（ComponentBusinessModel，組件化業(yè)務(wù)模型）是IBM開發(fā)的業(yè)務(wù)模型組件化的方法，通過將組織活動重新分組到數(shù)量可管理的離散化、模塊化和可重用的業(yè)務(wù)組件中，幫助企業(yè)實現(xiàn)有組織的提供服務(wù)的能力，實現(xiàn)內(nèi)部、外部的專業(yè)化。該模型可以幫助企業(yè)在擴張和發(fā)展的同時，在不增加其復(fù)雜性的前提下，降低風險，提高效率。業(yè)務(wù)組件業(yè)務(wù)組件是CBM的核心概念，是構(gòu)建專業(yè)化企業(yè)的功能模塊，每個組件包含5個維度，如圖3.3所示。圖3.3業(yè)務(wù)組件的5個維度業(yè)務(wù)用途（businesspurpose）：表現(xiàn)為該組件向其他組件提供的價值?；顒樱╝ctivity）：資源（resource）：組件需要各種資源（如人員、知識、資產(chǎn)等）治理模式（governancemodel）：立的方式進行管理。業(yè)務(wù)服務(wù)：每個業(yè)務(wù)組件都可以提供和接收業(yè)務(wù)服務(wù)。業(yè)務(wù)組件的優(yōu)勢之一來自組件之間通過松散耦合方式進行鏈接，具備靈活、快速響質(zhì)量的服務(wù)。CBM模型CBM模型通過兩個維度對組件進行組織，分別是業(yè)務(wù)能力和責任級別。如圖3.4所示。圖3.4CBM模型示意圖業(yè)務(wù)能力即企業(yè)創(chuàng)造價值的能力。通過明確不同部門的業(yè)務(wù)功能、劃分邊界來確定關(guān)系，確保所有工作都在進行，而且不會進行重復(fù)的工作。不同行業(yè)不同公司建立的模型會有所不同，但都是按照業(yè)務(wù)能力、工作來劃分組件，并按照特定的順序進行排序。責任級別分為戰(zhàn)略決策（引導(dǎo)）、管理檢查（控制）、業(yè)務(wù)行動（執(zhí)行）。戰(zhàn)略決策（引導(dǎo)）向，建立總體的方針政策，調(diào)配資源，管理和指導(dǎo)各個業(yè)務(wù)板塊。管理檢查（控制）程中，并監(jiān)控和管理業(yè)務(wù)指標與企業(yè)員工，發(fā)揮監(jiān)管資產(chǎn)和信息的作用。業(yè)務(wù)行動（執(zhí)行）率和處理能力，處理各種資產(chǎn)和信息。CBM如何設(shè)計CBM通過設(shè)計組織的未來形式，推動企業(yè)內(nèi)部和外部向?qū)I(yè)化發(fā)展。該過程包括以下3個方面：通過分析業(yè)務(wù)和市場環(huán)境，得到現(xiàn)有公司的業(yè)務(wù)組件整體視圖；在不斷變化的環(huán)境中，按照遷移規(guī)劃方案向?qū)I(yè)化發(fā)展；促使組織、基礎(chǔ)設(shè)施向組件化的企業(yè)方向不斷優(yōu)化。內(nèi)生安全思想與EA方法論內(nèi)生安全是信息化與網(wǎng)絡(luò)安全發(fā)展的內(nèi)在要求，是解決復(fù)雜體系網(wǎng)絡(luò)安全問題的必由之路，但實現(xiàn)內(nèi)生安全需要有實踐基礎(chǔ)上的方法論的指引。EA方法論是指導(dǎo)政企機構(gòu)信息化建設(shè)行之有效的方法論，非常值得日益復(fù)雜的網(wǎng)絡(luò)安全領(lǐng)域進行借鑒。盡管EA的各類實現(xiàn)框架并不能簡單地套用在網(wǎng)絡(luò)安全的規(guī)劃建設(shè)上，很多也不能完全適應(yīng)本土化的網(wǎng)絡(luò)安全建設(shè)環(huán)境，但其核心思想和方法體系卻可以為我們實現(xiàn)內(nèi)生安全思想指引下的新一代網(wǎng)絡(luò)安全框架的設(shè)計提供有力的支撐和借鑒。采用系統(tǒng)性框架指引網(wǎng)絡(luò)安全建設(shè)作為系統(tǒng)工程思想在信息化領(lǐng)域的應(yīng)用，EA方法要求我們打破零散式的規(guī)劃與建設(shè)，系統(tǒng)性地構(gòu)建信息化體系，從而引導(dǎo)與推動大規(guī)模、體系化、高效整合的信息化建設(shè)。但是與信息化發(fā)展不同的是，網(wǎng)絡(luò)安全行業(yè)一直缺乏與信息化系統(tǒng)工程方法相匹配的框架，來指導(dǎo)未來的網(wǎng)絡(luò)安全體系建設(shè)。尤其在數(shù)字化轉(zhuǎn)型不斷深入的過程中，需要有一套行之有效的以系統(tǒng)工程方法論結(jié)合“內(nèi)生安全”理念而形成的網(wǎng)絡(luò)安全規(guī)劃建設(shè)框架，引導(dǎo)政企等大型機構(gòu)規(guī)劃和建設(shè)網(wǎng)絡(luò)安全。我們要做的是從EA的方法體系與各種框架中找到適合中國網(wǎng)絡(luò)安全狀況的方法，并結(jié)合我國的實際國情，加以開發(fā)與利用，以及結(jié)合內(nèi)生安全理念，形成適用于網(wǎng)絡(luò)安全的框架、方法、配套工具等。這里也需要特別說明，傳統(tǒng)的EA框架中也包含網(wǎng)絡(luò)安全的內(nèi)容，但這里的網(wǎng)絡(luò)安全更多是提出了安全需求，而不是體系化地闡述如何去進行網(wǎng)絡(luò)安全的能力建設(shè)，這與我們的目的是有區(qū)別的。在這項工作中，我們在使用EA方法論時，需要清晰地理解其真正的目的是為了幫助政企等大型機構(gòu)厘清并實現(xiàn)其所需要具備的網(wǎng)絡(luò)安全能力體系，而不是為了建設(shè)某種系統(tǒng)。政企機構(gòu)所需要具備的網(wǎng)絡(luò)安全能力體系是什么、包含什么，以及應(yīng)該如何有序地進行構(gòu)建并真正運行起來才是關(guān)鍵。平臺、系統(tǒng)等只是實現(xiàn)這個能力體系的具體措施。一些非常有益的借鑒思路與方法如下。汲取IBMCBM力體系。而在國內(nèi)政企機構(gòu)所需要的網(wǎng)絡(luò)安全能力體系上，滑動標尺模型（參見3.2.2節(jié)）則給出了很好的思路。汲取EA3Cube架構(gòu)中的多視角思維，結(jié)合我國大型機構(gòu)的實際需求，從“技術(shù)、管理、運行”多方面視角來對網(wǎng)絡(luò)安全的能力覆蓋進行展開。我們還可以汲取JARM對于同樣是復(fù)雜系統(tǒng)的網(wǎng)絡(luò)安全建設(shè)問題，EA的基本思想與方法論同樣適用。我們要做的是充分進行合理恰當?shù)倪x取與應(yīng)用，從全局視角，以系統(tǒng)性的方法進行整體的設(shè)計、建設(shè)與運行；應(yīng)當綜合考慮業(yè)務(wù)現(xiàn)狀與信息化環(huán)境的未來發(fā)展，規(guī)劃設(shè)計與之相匹配的網(wǎng)絡(luò)安全能力體系，并像建設(shè)信息化一樣，將網(wǎng)絡(luò)安全的能力與信息化環(huán)境融合內(nèi)生，全面覆蓋，深度融合，從而保障政企核心業(yè)務(wù)的順暢運行。應(yīng)用上述思路，我們可以形成一套全面的實用型框架，以及配套的方法論、工具集，從而為網(wǎng)絡(luò)安全的建設(shè)模式升級提供方法與依據(jù)。本書后續(xù)章節(jié)將要介紹的“新一代企業(yè)網(wǎng)絡(luò)安全框架”（以下簡稱“新框架”）就是結(jié)合網(wǎng)絡(luò)安全、系統(tǒng)工程與項目管理，以及大量國內(nèi)政企機構(gòu)信息化與網(wǎng)絡(luò)安全建設(shè)的實踐經(jīng)驗，總結(jié)成一套適合于國內(nèi)政企機構(gòu)，特別是大中型政企機構(gòu)信息化發(fā)展的、系統(tǒng)性的網(wǎng)絡(luò)安全建設(shè)框架。新框架既是對網(wǎng)絡(luò)安全模式升級新方法的探索，也是“內(nèi)生安全”理念的有效落地。新框架借鑒EA方法論，以“網(wǎng)絡(luò)安全能力體系”建設(shè)為中心，識別出在信息化的各個層面，構(gòu)成網(wǎng)絡(luò)安全能力的能力組件，并將這些安全能力組件全面覆蓋到政企普遍存在的信息化各領(lǐng)域，進而規(guī)劃出網(wǎng)絡(luò)安全建設(shè)實施“項目庫”（需要逐步實施的項目的集合）安全能力。最終，隨著安全技術(shù)體系與安全運行體系的建立與完善，可以實現(xiàn)“內(nèi)生安全”的全面落地，使政企機構(gòu)能夠具備體系化的安全防御能力。新框架必須重點設(shè)計所需安全能力之間的依賴協(xié)同關(guān)系，以及通過安全能力的協(xié)同所能提供給信息化的安全服務(wù)。要明確安全服務(wù)能力與信息化各層次的結(jié)合方式，建立以能力為中心的安全能力服務(wù)化模式。新框架涉及的安全能力應(yīng)全面覆蓋云、終端、服務(wù)器、通信鏈路、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、工控、人員等IT要素，避免局部盲區(qū)而導(dǎo)致的防御體系失效；還需要將安全能力深度融入物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、數(shù)據(jù)與用戶等各個層次，確保安全能力在IT系統(tǒng)的各層次有效集成。將當前需求與未來發(fā)展相結(jié)合網(wǎng)絡(luò)安全的零散化發(fā)展有一個重要的表現(xiàn)，就是根據(jù)漏洞位置進行修補，根據(jù)安全需求進行安全建設(shè)。但EA方法論告訴我們，系統(tǒng)建設(shè)的目標不僅僅是維護現(xiàn)存的技術(shù)體系，還應(yīng)充分考慮企業(yè)未來狀態(tài)及新型技術(shù)體系的引入，以此實現(xiàn)企業(yè)未來的戰(zhàn)略目標和管理目標。將EA方法論用于網(wǎng)絡(luò)安全，就要求我們在規(guī)劃建設(shè)階段，不能僅僅局限在服務(wù)于當前的業(yè)務(wù)系統(tǒng)和解決已知的網(wǎng)絡(luò)安全問題，而是應(yīng)當結(jié)合企業(yè)的業(yè)務(wù)與信息化發(fā)展，使網(wǎng)絡(luò)安全建設(shè)能夠服務(wù)于企業(yè)的戰(zhàn)略目標和管理目標，敏捷應(yīng)對未來的網(wǎng)絡(luò)安全擴展需求。這就要求企業(yè)在制定網(wǎng)絡(luò)安全規(guī)劃、實施網(wǎng)絡(luò)安全建設(shè)的過程中，至少必須做到以下兩點。所有的網(wǎng)絡(luò)安全規(guī)劃與建設(shè)應(yīng)當在某種通用型的統(tǒng)一框架下進行，這樣才能確保接口、協(xié)議、組件、模塊等建設(shè)的標準化和可擴展性，盡可能減少或避免封閉式建設(shè)在安全擴展、商業(yè)替換及技術(shù)換代等方面給企業(yè)帶來的高昂成本。如本書前文所述，政企機構(gòu)的信息化建設(shè)，一般可以歸納為4個不同的發(fā)展階段：分散建設(shè)階段、統(tǒng)一建設(shè)階段、集成應(yīng)用階段和共享應(yīng)用階段。而在網(wǎng)絡(luò)安全領(lǐng)域，也有這樣一個行業(yè)共識度較高的發(fā)展階段模型，即滑動標尺模型。網(wǎng)絡(luò)安全滑動標尺（TheSlidingScaleofCyberSecurity）模型是SANS員RobertM.Lee在2015年8月發(fā)表的一份白皮書TheSlidingScaleofCyber把網(wǎng)絡(luò)安全的行動措施和資源投入進行了分類，使機構(gòu)能夠很方便地辨識自己所處的階務(wù)的布局?；瑒訕顺吣Ｐ桶褭C構(gòu)的網(wǎng)絡(luò)安全建設(shè)分為5個主要的階段，分別為架構(gòu)建設(shè)（Architecture）、被動防御（PassiveDefense）、積極防御（ActiveDefense）脅情報（Intelligence）和進攻反制（Offense），如圖3.5所示。圖3.5網(wǎng)絡(luò)安全的滑動標尺模型這5個階段對應(yīng)5個逐步進化的能力。對于政企機構(gòu)來說，為了使安全建設(shè)的投資更合理，回報率更高，應(yīng)該按照滑動標尺從左向右的順序進行建設(shè)。下面將滑動標尺模型給出的網(wǎng)絡(luò)安全能力五大階段進行簡要說明。架構(gòu)建設(shè)在系統(tǒng)規(guī)劃、建設(shè)和維護的過程中，我們應(yīng)該充分考慮安全要素，確保這些安全要素被設(shè)計到系統(tǒng)中，從而構(gòu)建一個安全要素齊全的基礎(chǔ)架構(gòu)。早期建設(shè)的很多信息系統(tǒng)，由于沒有考慮架構(gòu)安全問題，致使系統(tǒng)在投入運行后，需要不斷地打“補丁”。但實際上，在絕大多數(shù)情況下，如果系統(tǒng)的設(shè)計架構(gòu)不夠安全，那么打再多的補丁也無濟于事。被動防御被動防御的能力體系建立在架構(gòu)安全的基礎(chǔ)上，目的是在假設(shè)攻擊者存在的前提下，保護系統(tǒng)的安全。被動防御可在沒有人員介入的情況下，附加在系統(tǒng)架構(gòu)之上，提供持續(xù)的威脅防御或威脅洞察力。求捕獲攻擊者。從某種角度上來看，被動防御就像是給整個機構(gòu)拉出了戰(zhàn)場防御的“縱深”，并在陣地的不同層次、不同區(qū)域上進行層層設(shè)防。積極防御在積極防御的能力體系中，數(shù)據(jù)分析被充分利用，分析人員開始介入，形成人機互動，并對網(wǎng)絡(luò)內(nèi)的威脅進行監(jiān)控、響應(yīng)、學(xué)習(xí)和應(yīng)用知識（理解）的過程。與被動防御相比，積極防御將攻防過程從一次對一次，發(fā)展成一個有歷史、有現(xiàn)在、有未來的長期過程；將攻擊發(fā)生時的瞬間防御轉(zhuǎn)換為日常的監(jiān)測、分析和學(xué)