2019（第二屆）中國2018/29316.html">金融科技產業峰會于10月31日——11月1日在北京國際會議中心隆重召開。在11月1日下午召開的“金融業網絡信息安全”分論壇上，長江證券股份有限公司信息技術總部總監陳傳鵬帶來了《可持續的網絡安全運營實踐分享》。

各位下午好！我來自長江證券，負責安全和大數據相關的工作。

昨天晚上到了之后跟一個安全專家的朋友吃飯，他說做安全很苦，做甲方很苦，做乙方也很苦。做乙方覺得一百萬或者幾十萬的單子就很大了，但是資本至少要加個零，一千萬很小。但是作為甲方我們壓力也很大，面對的風險、威脅、內部的安全。剛才趙老師講到安全和風險的平衡、新技術或者再生風險怎樣去防范，甲方面對的風險面更大。這個安全專家朋友說好像我們都很苦，我說我們還是有點情懷，做安全是保家衛國的事情，至少是治病救人，還是要有點情懷。我們不圖賺多少錢，但是至少守一方、保一方安全。

我講的題目叫“可持續的網絡安全運營實踐”。剛才講到可持續、安全運營、場景化，土話是“人少，活多，場景化”。安全運營，活太多了，通過智能化技術去自動化降低人重復的工作量；場景化，威脅或者風險太大了，能夠通過場景去關注主要矛盾，去解決主要的問題，讓安全人員少做救火員、少做應急醫生。我打個比方，安全跟醫生有點像，我們甲方像醫生，天天系統把脈，對安全人員做意識教育；乙方提供更好的藥、更好的工具，我們能夠更快的去診斷疾病、更好的去治療。但是我又希望大家永遠不要把自己當作應急醫生，天天去救火，工作沒有很高的提升。我們希望把安全做成可持續的，就像我剛來國家電網，領導問我：你來了以后能不能就不出安全問題？不發生漏洞？不發生黑客攻擊？我說做不到，如果你有這個目標，我們就談不攏了。安全肯定不是買一個系統就所有問題都可以解決的，這時候大家都很高興，相信乙方這個產品也可以大賣熱賣，不可能的。剛才趙老師講過體驗、風險平衡、攻擊和防護的不對等，安全工作不可能一成不變，不可能一蹴而就，也不可能一勞永逸，它是持續運營的工作。

為什么叫“可持續安全運營”？我今天分享的東西不適合所有的企業，也不適合所有的乙方借鑒，更多的是我把適合我們產業證券的想法、實踐過程中的東西與大家分享。安全更多是因時、因地、因人來制宜，需要依據企業的目標或者跟管理層溝通達成安全目標一致性，去制定相應的措施，而不是我都要保證不出問題，我只能把風險怎么控制住。

毛主席三個著名論著：矛盾論、論持久戰、實踐論。矛盾論跟我們安全很像，有些事情很矛盾。實踐論，要依據實踐，依據公司當前的研發水平、運維水平成熟度，去制定相應的安全策略。論持久戰，前面講到安全是一個持續改變優化的過程，不可能一蹴而就，不是今天你給我500萬買一個設備，明天就可以睡大覺了。給領導講了目標、定位、規劃，告訴他我的目標是持續保障，而不是我去消滅漏洞，我要持續不產生安全事件、沒有發生誤操作。第二個是目標。第三個，建團隊。安全肯定要投入，不可能所有安全工作依賴網絡、防火墻管理人員去做，要有專門的團隊，要有持續的安全演進架構，工作機制要持續運營。

最終的結果，安全要看得見、感知得到、監測得到，發現以后快速處置，三個風險的量化可視可控，威脅之后能夠感知、定位、回溯，安全行為要快速、準確、有效。短期做外防、內控至少要把問題得住，中期主動防御，把問題鞏固起來，最后做運營，能夠預先預判和預發現問題。

思路有幾點：

1、開商業與開源融合互促，借助專業力量實現我的目標。很多廠商做的專業化很好，審計、日志收集等等，但是很多時候業務安全或者我們自身的安全依賴于我對業務的理解，這時候需要我做個性化的開發。現在講自動編排、講場景化就是這個概念，每一關都拿最好的產品堆迭起來以后能解決安全問題嗎？解決不了，還是會發生安全事件。這時候需要自有的安全團隊把商業和開源的東西結合起來，做個性化的場景。

2、架構團隊要融通。買了安全產品就能夠睡大覺了嗎？不能依賴廠商，要自己把工具完善。買一艘航空母艦至少要配備一個編隊把航空母艦開起來。

3、管理意識強化。讓管理層達成安全共識，意識到安全是會發生的，一是把影響降到最低，二是把處置時間縮短，三是降低損失。讓全員參與工作，安全不是安全團隊一個團隊的事情，應該是全員。我們現在公司很好的是運維同事主動加入安全審計，研發同事上新系統時會找我做安全評審或者出具研發的架構方案，這個很好。