奇安信吴云坤：用三个转变、四大创新推进网络安全产业供给侧变革

7月24日，奇安信集团总裁吴云坤，在BCS2023重庆网络与数据安全产业大会上发表题为《推进供给侧改革，保障数智安全》的主题演讲。

吴云坤表示，“数智时代”对网络安全和数据安全提出了新要求，安全产业需要通过“三个转变、四大创新”加速推进供给侧改革，提升满足业务保障的安全供给能力，保障数智化安全。

以下为奇安信集团总裁吴云坤在BCS 2023重庆网络与数据安全产业大会上的演讲全文。

各位领导，各位专家、各位嘉宾，上午好！

今年以来，以ChatGPT为代表的生成式人工智能爆发，标志着数字化发展进入了一个新阶段，各行业、各领域着力于发挥数据要素价值，推进智能化应用，数据成为重要的生产要素，人工智能成为先进生产力，“数智时代”已经到来，对网络安全和数据安全提出了新要求，需要安全行业加速推进供给侧改革，用新思维、新方法、新模式来保障数智化安全。接下来和大家分析几点实践和思考。

一是国家级网络攻防对抗成为新常态，直接影响国家安全。随着国家级力量入场，原先小规模网络攻防模式，逐渐被高强度网络对抗取代，国家级攻防对抗成为常态。比如网络战成俄乌冲突重要组成部分，双方针对对方的关键信息基础设施进行了持续的、大规模的攻击；还有近年来发现了多起国家背景的APT组织针对我国的重要机构和部门的持续攻击，窃取机密信息或实施破坏，对国家安全造成了直接威胁。

二是针对关基设施的网络攻击频发，直接影响社会稳定运行。关系国计民生的关键信息基础设施已经成为网络攻击的重要目标，攻击事件屡屡发生，造成社会服务和运行中断。比如今年5月希腊教育部高中考试平台遭DDoS攻击，导致高中考试中断；同一个月，美国达拉斯市遭勒索软件攻击，包括达拉斯警局网站在内的多项市政服务被迫中断。

三是针对重要经济机构的攻击日趋升级，直接影响生产经营。出于经济或政治目的，针对金融、交通和生产企业的网络攻击愈演愈烈，屡屡引发业务和生产经营中断。比如这个月初，勒索软件攻击了日本最大的名古屋集装箱码头，锁定文件和系统，导致港口无法装卸集装箱；上个月为俄罗斯银行提供连接服务的电信服务商遭攻击，多家主要银行被切断了与国家银行系统的连接，无法进行在线支付。

一是新场景的业务开放和数据流转，增加了数据保护难度。数字化新场景改变了信息化环境，保护对象发生了变化，从云边端基础设施延伸到了数据和应用。数据从“死”到“活”，在复杂流动中产生更大风险。以数据为目标的勒索软件攻击、APT攻击愈演愈烈，影响也越来越大。很多机构的重要数据资产基础防护还不到位，数据安全体系还不完善，数据安全风险越来越大。

二是生成式AI等新技术的应用带来了新的数据安全风险。Team8的报告称，企业使用机密或私密数据来投喂ChatGPT类工具，其敏感信息、知识产权、源代码、商业机密和等，会通过用户输入或API等渠道被他人获取。今年初，三星电子被爆机密数据被泄漏,涉及半导体设备、测量资料产品良率等相关机密内容，被存入ChatGPT数据库。

一是法律法规和标准规范体系逐步完善。我国网络安全法、密码法、数据安全法、个人信息保护法以及等级保护制度、关基保护制度、数据安全制度以及关基保护要求等法律、政策、标准有机衔接，形成了完整的法律监管体系。

二是对新技术、新应用监管越来越及时。7月13日，网信办等7部门发布《生成式人工智能服务管理暂行办法》，对ChatGPT等生成式AI进行监管。强调了安全评估和算法备案的前提性和必要性；强调了服务提供者需确保数据安全和个人信息保护合规，尤其是隐私保护；夯实了违规责任的处罚措施，包含追究刑事责任。

所有这些都是在监管层面强调安全先行，强化安全是数智化发展的前提。

长期以来，我们的网络安全和数据安全落后于信息化发展，也落后于数字化、智能化的发展，传统的安全防护理念和方法无法满足数智化业务保障需求，需要做出改变。

一是转变视角，从业务看安全风险和安全防护。这是一张城市的数字化结构图，最上层是真正的物理空间，第二层是核心的业务价值链，第下层是信息化层和安全防护层。

传统上我们一直是从下往上看，比如2015年奇安信提出了数据驱动安全，用互联网数据做威胁情报分析，解决安全问题，这是典型的从安全看安全。

2019年我们提出了内生安全思想，希望将安全能力与信息化覆盖和融合，这是从IT看安全。

最近两年我们在思考，政企客户数字化业务的核心价值链是什么，有哪些业务板块、业务流程，应用逻辑是什么。分析清楚之后才知道到底是什么数字资产和数据在支撑这些核心业务，才会进一步分析这些服务组件和数据面临什么威胁，然后做威胁建模，做安全能力体系的设计和安全措施的罗列、部署，这就进入了一个从业务看安全的视角，这也是数字化业务安全保障应该做的事情。

从业务板块视角看，如果把很多业务流转和安全风险放在一起的时候，会比纯从安全角度看到不一样风险，也会有很多不同的发现。

一次网络攻击可能是从破坏网络、到破坏数据、到破坏应用的一个连续过程，从业务视角看，网络安全的某个事件叠加上数据安全、叠加上应用安全问题，才能引起一次业务故障，因此保护业务安全是一个复杂的巨系统；同时业务又是小切口、场景化的，对安全的需求也是个性化的；所以保护业务安全，业务、IT和安全必须在一起。

二是转变目标，“零事故”应该成为安全保障的新目标。在发展数字业务过程中，必须以“业务不中断”、“数据不出事”、“合规踩线”的网络安全零事故为标准，构建数字安全体系。业务不中断是指不能因为网络安全事故影响业务的正常运行，造成业务中端；数据不出事是指核心和重要数据资产不泄露、不丢失、不被锁定，不能因为数据安全问题影响业务正常运行，不能因为数据安全问题造成违法违规问题；合规不踩线是指网络安全以满足合法合规为前提，这也是数字化业务开展的基础和前提。

三是转变方法，用系统工程方法体系化构建安全能力。前面我们提到，从业务视角看，保护业务安全是一个复杂的巨系统，安全体系也需要用系统工程的方法，通过全局性、系统性、体系化的规划建设和运行构建安全能力。在这个过程中，要以获得组织所需要的“能力”为目标；重点关注“巨系统、构成系统”的完整性、联系性、协同性；实现安全系统的功能分配、系统对接、数据互通、平行扩展。

四是转变方法，基于内生安全理念指引新安全体系建设。内生安全理念就是把安全能力内置到数字换环境和业务系统中，感知、响应对业务系统和数据的任何破坏行为，真正做到体系化的“事前防控”，达到1+1>2的“涌现”效果。实现内生安全需要安全技术与信息化和业务融合内生，安全能力与信息化环境和业务系统深度融合、全面覆盖，以能力为导向输出覆盖全局的体系化、实战化、组件化的安全能力，构建出动态综合的安全防御体系。基于内生安全理念，我们已经为超过100家重要部委、重点机构和大型企业构建了面向数字化的网络安全体系。

基于内生安全理念指引新安全体系建设，实现“零事故”目标，有以下四个关键点。

关键点1：把安全能力内生到网络的全链条中，构建纵深防御。所谓纵深，就是保证多道网络安全防线联动，在信息系统上构建多层的、异构的网络安全防线，一道防线被突破还有其它若干防线拦截攻击。

当任何一个安全产品发现攻击的时候，都会实时进行内部溯源，给漏报的设备增加功能。这种保护策略能把安全产品有机调动起来，通过相互支持和配合，将安全威胁抵挡在外。只有这样，才能真正保证数智时代复杂业务系统、生产系统不中断。

关键点2：将安全机制内生于数据的全链路、全流程，保护数据安全。这张数据内生安全运行构想图展示了如何将安全能力内生到跨身份、跨端、跨网、跨云、跨应用和跨数据的访问流转全过程，覆盖从业务方发起的数字身份、以及承载的这些身份的终端的工作空间，再通过了不同类型的应用，最终根据特定的业务规则访问到了什么样的数据的全过程，形成了全链路、全流程的安全防护体系。在这个过程中我们会碰到新的应用环境，比如敏捷开发、云原生，这些新的应用架构使得中间应用的架构发生很大的变化，传统的安全手段和措施、产品难以融入到类似于微服务环境和服务网格的环境中去，而在这其中有大量的应用与数据是要通过API接口来交互的，我们就需要把安全能力内生结合到API上，以避免没有在管控视野范围之内的接口无意间的暴露，造成数据泄露风险。

关键点3：将零信任架构内建于数字化工作场景，实现全链条业务安全保护。针对数字化业务环境复杂，安全边界模糊，应用访问入口多，业务数据缺乏管控，内部威胁加剧等诸多问题，传统的基于边界的防护思维已经失效。需要构建以数据为中心，以身份为基石，从“可信访问、工作空间、业务保护、动态策略”四个环节构建 “主体身份可信、业务行为合规、数据安全保护、工作敏捷开展”的零信任工作系统 。基于零信任架构，先验证后连接，实施最小权限访问控制，构建业务安全新边界，任何人员、任何设备需要经过持续动态验证，才能赋予访问相应应用和数据的权限；同时围绕工作空间构建环境隔离、软件加固、权限管控、数据保护为核心的体系化业务安全保护能力。

关键点4：强化实战安全运行，为网络安全和数据安全兜底。过去网络安全领域一直有一种现象就是“重建设轻运行”，然而实践中我们发现规划建设形成的安全系统，必须通过安全运营有效运行起来，才能真正将能力输出。只有安全能力“活”起来，政企机构才能根据业务数据和风险情况调整安全策略，并对各类安全风险持续跟踪及修复，真正做到 “安全合规不踩线”。

实例1：去年的北京冬奥会有12个竞赛场馆，26个非竞赛场馆，200多个场站，60多种业务系统，同时服务于运动员、观众、媒体、裁判等8大类用户，横跨IT、CT、OT多个交叉领域，是一个复杂的数字化系统，业务场景多且复杂，威胁形势严峻，业务运行稳定性和安全性要求高。奇安信以上面的思维和方法为指导，成功实现了北京冬奥会的网络安全“零事故”。

实例2：中国电子是一家大型央企，在31个国家有600多家所属企业，近20万员工，3年前通过数字CEC建设来发展数字化生产力，实现公司能力和效率提升，控制成本和风险。在数字CEC建设过程中，确定了安全为先的原则，经过3年多体系化规划、建设和运行，安全对业务保障能力大幅度提升，实现了事件可预警、态势可感知、攻击可追随、安全内生化、运营一体化、风险可控化。

数智安全需要转变视角、转变目标、转变方法，从根本上讲就是要改变安全产业发展落后于数智化发展的局面，进行供给侧变革，提升满足数智安全需求侧的供给能力，这会引发赛道、能力、组织和生态等多方面的改变和创新。

一是新赛道：出现面向数智化业务场景、数据和应用安全需求的新领域。业务数智化新场景以及新技术的应用，带来了新的安全需求和防护方式的变化，由此出现了很多安全空白，需要新的工具、产品和技术支撑，促生了新的安全赛道。比如随着数据要素发展、AI应用和发展、智能制造的推进，数据安全、AI安全、应用安全及工业网络安全等成为新赛道，这些新赛道既是安全产业创新空间，也是安全产业发展的新动力。

二是新能力：需要建设覆盖政企客户全业务周期的安全能力。数智化系统是一个复杂系统，任何单点技术都无法保护这个系统的安全，所以必须抛弃“银弹”思维，进行体系化规划、建设和运行安全体系，这就需要具备满足客户需求的综合能力的龙头企业，来聚集能力，覆盖政企客户全业务周期的能力需求。牵头与甲方客户的信息化、业务部门在一起，从业务出发，规划、设计安全体系，完成安全集成、定制开发、部署实施和策略配置，最后建立运营体系，保证整个系统有效运行。

三是新组织：建立新的能组织和调动多方资源和能力的组织机制。从大的层面，国家重要系统和重点工程的安全防护，需要最大范围、最高效的调动国家网空监管、对抗和机构防御等多方资源和能力，构建安全能力和体系；从小的层面，数字化业务是场景化和小切口的，需要面向不同业务场景组织相应资源和能力，让安全、信息化和业务在一起，让架构、方案、产品、交付、运行能力集中在一起输出，满足不同场景的能力需求。这将需要新的组织机制。

四是新生态：形成以保护政企客户数字化业务为核心的面向能力聚合的安全大生态。我们讲了很多年的生态，更多的是从安全看安全的小生态，是安全企业之间的项目合作和能力聚合。而保护数智化业务，需要从业务视角推动产业合作，既需要传统的安全企业间的能力聚集，更需要安全厂商走出“小院子”，与信息化、不同行业、不同业务领域的进行全面融合和深度合作，共同进行基于场景的方案、产品、技术创新和能力聚合，形成面向业务的能力聚合大生态。

《数字中国建设整体布局规划》明确提出筑牢可信可控的数字安全屏障；7月15日，全国网络安全和信息化工作会议强调要统筹发展与安全，实施网络安全重大战略和任务，构建大网络安全工作格局，筑牢国家网络安全屏障。

筑牢数智化时代的安全屏障，需要发挥新型举国机制优势。重点从两个方面着手：

一是建立“集中力量办大事”的组织机制，在国家数字化重点工程、重大项目和活动目中，最大范围、最快速、最高效调集大量国家和社会资源，形成体系化作战。

二是形成“打赢团体赛”的融合创新生态，基于市场化机制，由政府机构指导，政企单位推动，国家队和综合性大型安全企业牵头，聚集细分领域的专精技术厂商，共同进行原创性技术和融合性技术创新。