诸子云 | 2024评优：最佳分享候选展播及投票

本次推文，是年度评优活动的第一期，即2024年度诸子云“最佳分享”的候选展播和公开投票。所列举的是在过去一年内，诸子云的专家会员们在各个线上或线下活动中所做的主题分享。

近年来，随着《网络安全法》《数据安全法》《个人信息保护法》等顶层法律相继颁布和正式实施，我国数据跨境安全管理框架基本成型，其中《数据出境安全评估办法》以下简称《办法》成为数据跨境安全管理的重要手段之一。

刘永杰对《办法》在企业应对过程中的实际申报实践做了说明，并对申报的整体流程做了讲解。他重点讲述了风险自评估的过程，风险自评估是数据出境安全评估的重要组成部分，理论上无论是否涉及重要数据或满足一定条件的个人信息，只要进行数据出境活动，数据处理者均需开展风险自评估。

平安集团建设信息安全过程有五个阶段。第一阶段是建立简单的边界防御，例如防火墙等。第二阶段是发现仅凭防火墙无法保障安全后，平安集团开始在内部划分数字区域，并进行区域隔离，建立了相对健全的安全防护体系。第三阶段是随着零信任技术的发展，平安集团将原本的安全架构替换为零信任架构，取消了VPN之后，开始在网络内部建立可信访问。

王治纲表示，在这一阶段平安集团的安全依然是在开发和业务后端，起到查漏补缺的作用。第四阶段是为了过渡到自动化和云原生，平安集团利用云原生的特点来解决系统上线后出现的新挑战，涉及容器、微隔离等技术。第五阶段则是当前平安集团的信息安全建设阶段，也是内生安全阶段。在这一阶段，安全不再像过去一样在开发和运营之后，而是参与到设计、开发、建设、运营的全流程中，在左移的思想下确保安全的有效性。

据邓双旖介绍，平安集团内部的场景非常复杂，平安集团的版本迭代年均几万个。其中约五、六万个版本是集团统一发版，其他则是平安集团BU包括银行、证券等子公司的自建DevSecOps平台，即便如此，这些自建的版本依然要基于平安集团的管理制度。换言之，就是以平安集团制度为基线要求，并根据各自领域的监管和行业规范去进一步优化。

漏洞的持续剧增让产业开始关注开发安全，在越来越多人参与到开发安全的工作后，当前的开发漏洞走势开始放缓，在HW中可以发现，当前开发安全的主要问题集中在供应链，常规渗透和钓鱼也不容忽视。在修复方面，依据厂商提供的补丁包修复的比例达到80%以上，但仍有20%左右的漏洞和风险需要企业管控，同时，厂商提供的补丁包也需要企业拥有一定的安全能力和建设水平。

就国内安全环境而言，除了个保法、数安法、网安法，还有相应的法规、标准，以及许多地方性的要求也需要根据组织内部的业务，在不同的城市中进行学习和应用。相关的法律法规往往由中国政府网提供，此外，人大每年的年初也会公布立法计划，特别是在两会前后。

最近的《促进和规范数据跨境流动规定》和配套指南指出：处理个人信息达到一百万人的个人信息处理者向境外提供个人信息，累计向境外提供超过十万人个人信息或者一万人以上敏感个人信息，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。在自贸区会涉及负面清单，同样需要有相应的评估标准合同和安全认证。

刘欣指出，九方财富作为证券投资服务公司，对数据安全有特别要求。公司设定了创建一个安全的数据处理环境的目标，包括对业务部门的文件使用、网络行为、通讯和邮件进行合规监管，以及对财务部和数据部文件加密，确保数据安全。

九方财富选择了IP-Guard来满足管控和加密两大需求，IP-Guard具备详尽的流程审计、严格的权限管控和稳定的文档加密功能。刘欣根据各部门特点，结合IP-Guard功能制定了不同的安全策略。

方案系统架构的设计分为三个阶段。阶段一，结合监管要求、行业现状、行内情况完成需求设计，包括外采数据类型、行内场景规划；阶段二，结合需求，与其他团队制定安全组件模型及风险场景模型；阶段三，设计并制定与行内系统对接方案、部署方案。此外，方案安全组件模型包含了IPS、NTA、WAF、EDR、蜜罐、DBFW、堡垒机，分别对应着不同数量的规则。

项目系统安全运营效果分为两个部分，一是安全作业平台，二是月报，月报分为情报月报和安全月报；项目系统安全运营分为六大板块，分别为事件分析与处理、故障响应、系统升级、客户化定制、特殊保障和服务报告。其中，特殊保障方面，系统能在重大节日、国家及地区活动等特殊时期，提供安全运维提醒服务。

“数智云”安全运营平台的主要目标是开放安全生态、弹性安全资源、融合安全大数据。其核心技术分别为：多维异构时空序列数据智能分析技术、攻防实践智能化学习技术、基于IT孪生的攻防实践效能评估系统。

XDS是“数智云”安全运营平台的补充和增强，其核心能力包括了SOE-开放安全生态能力、BAS-持续安全效能评估、SOAR-安全自动化编程响应、DASP-动态/自适应安全、DRP-数字风险防护、SLM-安全大模型赋能。

某医疗集团已形成安全体系建设，分别为安全管理体系、安全技术体系和安全运营体系。其中，安全技术体系包括安全通信网络、安全区域边界、安全计算环境、安全基础设施和安全物理环境。安全通信网络的安全防护基本要求是网络架构、通信完整性、通信保密性、可信验证；安全区域的基本要求是边界防护、访问控制、入侵防范等；安全计算环境的基本要求是安全审计、剩余信息保护、备份恢复等。

随着业务高速增长，对安全的需求也就越来越高，其离不开SIEM的能力，比如数据采集与存储、异构数据的管理、历史数据检索能力、人员协同工作、安全事件展示效果等。安全运营的整体目标是完成整体网络拓扑、日志&流量接入、关联分析规则、应用组件部署、监控告警、人员协同办公。因此，初期搭建需做好日志采集、流量采集、关联分析、分析报告、事件发现、大屏展示等。

近年来，由于全球各地域合规标准、文化认同、意识协同差异，企业风险在“人”的因素方面呈现严峻态势，全球化安全文化建设也面临更多挑战。

全球化企业的安全文化建设，需要针对全球化布局、数字化阶段、内外部生态合作的情况进行适应性设计，以较少资源撬动全球范围的安全遵从和价值显现。

政策与规范方面，需结合业务特点和场景，梳理安全体系与适配组织，并定期审核更新；培训与教育方面，需结合外部法律法规和内部安全政策、规范，按岗位定制培训教育内容，覆盖各地域的安全制度、安全红线、操作SOP、异常上报渠道、安全课程等。

2023年12月，ISO和IEC发布了ISO/IEC 42001:2023标准。该标准为寻求人工智能成功的组织提供了一份全面的指引，帮助组织在开发、提供或使用AI系统以追求其目标、满足相关方的要求、义务及应对他们的期望。

ISO/IEC 42001标准中明确了人工智能管理体系采用PDCA持续改进的运行模式；在附录A和B中列出了AIMS 在10个领域的管控要求和最佳实践；在附录C中列出了人工智能的8个风险源及12个风险管理目标。最后，由于人工智能、隐私合规等新技术新场景的出现，对CSO的知识领域提出了更高的要求，CSO必须保持不断学习的心态，才能确保企业的安全管控不会出现缺失。

关于数据安全的话题，来自巴斯夫的潘杰表示：传统的数据安全方案以控制数据流通，削减数据价值为目标，比如数据脱敏，数据库防火墙。然而在数字经济时代，数据的加速流通对数据安全有了更高的要求，传统数据安全方案无疑限制了其发展，在这个背景下，隐私计算，机密计算等先进数据安全解决方案应运而生，它们可以让数据拥有者更放心地进行数据交换与合作。在这个安全新领域，云计算厂商，金融，医疗行业中的头部供应厂商作为数据平台提供商，比传统安全厂商具备更多的先发优势。巴斯夫也在与头部芯片厂商及云计算厂商展开合作。

接着，潘杰也介绍了应用安全在巴斯夫中国区的实践情况。作为全球化工巨头，仅在中国大陆，巴斯夫就拥有几十家独资与合资子公司。巴斯夫在中国共建有26家全资子公司、10家合资企业、30个生产基地、23个销售办事处，同时拥有11411名员工。巴斯夫2022年销售总额约为116亿欧元。巴斯夫具备全球网络安全团队，并在世界七个国家拥有125名安全员工。其内部CISO的管理范畴包括了：1、网络安全治理、风险和合规；2、网络安全战略、创新与联盟；3、网络安全审计与修复；4、网络安全防御中心；5、网络安全情报；6、网络安全意识和培训。

王晓晓首先介绍了当前我国汽车行业数据安全监管的要求及车企所处的业务环境，同时分析了Gartner、IDC等机构发布的关于数据安全技术的应用与发展趋势。

王晓晓指出，开展数据安全建设工作之前需要明确数据安全与其他安全领域间的关系，数据安全是始终贯穿于公司业务的，网络安全、车联网安全、工业互联网安全场景下涉及的数据内容应当遵从公司数据安全统一的管理要求，但是在特定场景下（例如智能座舱内部司乘隐私信息的采集存储安全）也要根据技术实现特点单独规划考虑。