冬至,我们不仅吃饺子,我们还开会。我们讲战略,讲产业,讲资本,讲发展。
首次以“北向”概念组织的安全会议,其内容架构也很北向。从上到下,依次为战略-->规划-->资本-->管理治理-->技术-->实践。
一、战略论坛
国家创新与发展战略研究会副会长 郝叶力
网络空间威胁是全球的挑战,但发达国家和发展中国家面临的威胁是有差异性的。因此,网络空间规则,第一面临的问题是,对网络空间威胁的定义。
郝叶力将军以那篇著名的对国际网络空间安全战略的解读——“四痛”开场。
现在的网络态势已经从翻墙演变到推墙,但如何推?能不能推?
郝将军对墙的看法是,危害政权稳定必须管治,这个标准放之四海皆准,但趋势一定是开放。
关于如何建立良好的网络空间秩序,郝将军认为:
一需要新文明的觉醒,二要加强对新空间的认知,三需要新机制的主导,最后是新型强国的示范。
不能再陷入那种你多我少、你死我活的PK模式。
丛林法则应该让渡于休与共,风雨同舟;画地为牢让渡于开放共享;唯我独尊让渡于共生共荣;以价值观来划线让渡于尊重差异、包容多样。
腾讯副总裁 马斌
中美网络空间对话时,全球科技公司的市值一共3万亿美元,2.2万亿在美国,中国是6000亿,还不到美国一家公司的市值--苹果(7000亿)
中国的互联网公司的成功,无外乎把线下搬到了线上,抓住历史机遇而成的。
网络空间,谁有了数据谁就有了主动。
用腾讯的能力和更多的伙伴合作,一起打造生态圈。
大潘
国际关系博弈有五个缘:地缘、科缘、经缘、人缘和网缘。
建议企业或机构分为五个层面构建信息安全战略观:国家政策、产业生态、运行对抗、产品装备、技术母体。
战略不仅是在纸面上,它需要更好的执行。
二、规划论坛
中国移动 周智
协调发展的安全保障体系架构:
1. 安全保障体系建设过程中,协调发展至关重要。
2. 实时对抗能力设计(全面安全感知能力;针对性安全防护能力;有效应急响应能力)。
3. 可实践的安全体系模型。好的模型应该具备的特点:技术层次清晰;责任主体清晰;覆盖全面、有弹性;建立平台集中、策略开放、众测众包机制,共建“最强大脑”。
4. 全面安全感知能力是新一代安全管理支撑手段核心要素。
安全既是一把手工程也是全民工程,没有规划就是一盘散沙。
Gartner中国战略大客户总监 周创
周总为与会者介绍了Gartner的特点和对IT行业的理解。
前中油瑞飞技术总监,提出“借鉴塔防模型,建立纵深防御体系”思想的资深安全实践大咖黄晟分享了“信息安全规划十年思考”。
很多时候为什么规划是虚的?因为它是要落实的,不是画个图,图上有个框,这个东西就会有的。
从“功利”的角度来看信息安全规划的话,企业市场是信息安全企业必须要拿下来的市场。
你的技术进不了信息安全规划就进不了项目,就进不去企业市场。
十年前普遍使用的对标方法现在已不再适用。
两种项目规划最容易失败,一种叫“拍脑袋”项目,一种是追赶“最火”的项目。
基于能力的总体架构模型可能会更实际。
规划里面的估算是要变成预算的,因此你的技术或产品要进入规划。
北京景安云信科技创始人兼CEO 庄恩贵
庄总没讲安全,庄总讲的是“预算的编制与执行”。
好的预算是项目成功的关键因素之一,要说服、帮助、配合甲方制定科学的预算。
预算的执行最重要,有了科学的预算,执行不力等于没有;甲乙双方的密切配合是预算执行或者说项目成功的关键。
合适的时间,选择合适的组织和人,去做合适的项目。
关于审计
审计是整个项目周期中的一个不可或缺的环节,做项目一定要考虑审计这个因素,过了审计这关,项目才算是真正的完成。
做项目要有与甲方是一个团队共同做项目的理念;要有与甲方一起成长的理念;要有做项目是给其他人(不是甲方项目参与人)日后看的理念;要有项目经得起甲乙方审计的理念。否则,就不是一个成功的项目,客户忠诚度也不会理想。
规划论坛的最后,黄晟再次上台分享了“土鳖眼里的规划要点”。
没有银弹,没有一招解决一切的技术和方案。因此要构建纵深防御体系。
未来五年,新的防护工作和填坑(弥补过去)的工作量几乎是一样的,云迁移是一个难得机遇。
其他要点:
利用大数据实现企业信息安全监控体系的技术现代化;
面向IT资产的漏洞生命周期管理体系;
身份管理与访问控制体系的现代化提升;
具有深包处理能力面向Session流的统一流量采集与处理平台。
三、资本论坛
东吴证券计算机行业首席分析师郝彪,给大家带来的是“信息安全产业投资框架”。
郝彪
信息安全行业投资逻辑:
1. 网络安全
狭义的信息安全行业可以分为,加密、攻防、审计、取证、管控。IDC统计,2014年市场134亿元,2017年可达200亿元。(某迪统计的700亿水数已成行业笑话)。
2. 自主可控
高端市场:合作与资本运作实现国产化替代。
低端市场:党政系统近万亿空间。
三个千亿市场(全球):
国家安全驱动网络空间军备市场可达千亿;
云计算带动云网端千亿市场;
移动安全启动加密手机千亿空间。
竞争格局:一站式采购时代来临,独立第三方安全厂商地位凸显。
公司发展模式:并购与内生并重,估值向国际接轨。
光速创投执行董事 张矩
信息安全的投入并没有给信息安全问题的解决带来较大的改观。
APU苹果天使基金合伙人,蓝色光标联合创始人吴哲飞的话题--资本的力量,让很多安全圈的创业者更加聚精会神。
万科VS宝能
宝能:我来了
万科:你别来
宝能:我来了
万科:你的钱不干净
宝能:我来了
万科:那我停牌
美国风险投资对安全初创公司的投资达23亿美元,中国所有领域的天使投资为100多亿。
天使投资在中国的失败率大约为90%。
资本能带来哪些力量:团队信心;品牌背书;资源对接;辅导磨练;加速。
如何利用资本的力量:
A)可用、会用、慎用
核心是经营好自己,前提是你要了解资本的好恶。
B)让资本成为合伙人
我们是国内唯一一家专注于安全领域的天使投资。
安全实验室联合创始人方华分享的是他对“北向”的一些思考。
方华:北向小视角
1. 战略安全成为新驱动力;
2. 转向以风险和损失定价;
3. 转向以信息资产价值定价;
4. 附属地位上升为平行地位。
边界
挑战在于,内外网边界消失;云、移动新计算模式使得信息流赂高度复杂;复杂攻击手段超出边界检测能力。
应对尝试,软件定义边界;密码重构边界;强制信息流向形成关键路径法。
资本小视角
智本加资本,创新更偏向单点解决问题,北向社区的协同可促进和培育创新火花。
四、架构之威胁情报论坛
金将军出场,还是普及威胁情报的概念。
战略与战术的贯通——威胁情报的价值
产品与攻防的解耦——威胁情报的实质
威胁情报不只有技术,它根本上是管理。
李宗洋
天融信副总裁李宗洋分享的是,《没有银弹,谈威胁情报应用面临的挑战》。
1. 行动性
用户:无法将期转化成行动,安全产品不支持不具备分析和对抗能力。
产业:安全产品和服务要情报包含明确、自动部署、经过测试和验证应对方案;支持情报的安全防护体系。监管机构要做到,攻击者画像,溯源、根除、反制;安全分析、安全加固(运维)平台。
2. 关联性
用户:价值为王,无关情报是噪音,需要有用、准确。
产业:用户细分;垂直情报;最后一公里的重要性。
3. 及时性
用户:兵贵神速,最早获取信息,以获得主动,赢得先机。
产业:自动化,南北共享体系与协作机制,通用平台与最后一公里服务的共生态。
四、预测性
用户:不关乎审计过往、总结历史,而是防范未来,上医治未病。
行业:主管机构,打掉有组织的入侵,总结应对措施;多威胁情报平台的信息共享;通过蜜罐等主动的威胁信息获取。
微步在线 薛锋
曾任亚马逊中国首席安全官、微软中国互联网安全战略总监,国内首个关注威胁情报的安全公司——微步在线创始人,人称情报薛的薛总出场,他给大家带来的是“安全威胁情报及其基础能力”。
60%的IT安全预算会用在检测和响应。
虽然说数据越大越好,但并不是数据多就能解决问题。
一个安全团队最核心的资产是它的分析师。
安恒总裁 范渊
一直到今天 SOC的理念都没有完全实现,还有很多的空间。
五、管理与治理论坛
分论坛主持人:IDF实验室联合创始人 万涛
安全是一个不断降低风险的过程,安全治理就是要把认知转换为能力。
你不能说骰子哪一个面最大,安全点也一样。
安恒信息北方区技术总监林明峰的话题是“安全的管理和治理模式”。
安全管理四个发展阶段:
基础安全(1)-->合规遵从(2)-->IT风险(3)-->业务风险(4)
从1到2是政策推动的,2到3则基于对自身IT架构重新认识,3到4需要充分竞争,当安全成为企业的竞争力的时候。
安全管理的哲学要永远跟上业务发展的。
华为信息安全运营总监 孙颖
孙总关注的是“华为机要信息资产识别”,她认为机要信息的准确区分可以提升业务效率。
机要信息资产防护的好处在于,解放了大量的非机要信息,实现了非机要信息价值的最大化。
机要信息资产识别的关键,保护有保护价值的信息,有价值的信息不等于信息有保护的价值。
公安三所首席科学家金波分享了两个新互联网服务的安全标准:
GA 1277-2015(互联网交互式服务安全保护要求)
GA 1278-2015(互联网服务安全评估基本程序及要求)
标准结合了合规要求与安全需求,融合了网络安全与内容安全。
公安标准,不是公安部标准,是公共安全标准。
六、架构之数据论坛
思睿嘉得创始人 董靖
数字化商业,驱动信息安全发生改变:
数据是新中心;身份是新边界;行为是新控制;情报是新服务。
无边界的信息架构是不现实的。
业务应用和安全措施以数据为中心构建是大趋势;内容识别和分类分级是数据治理和安全能力的基础。
随着云和移动的流行,身份成为安全区域划分首要因素;实时识别情境和风险并自适应调整权限的功能将会普及。
用户和实体行为分析是侦测内部和外部威胁的有效方法;监控特权用户行为和敏感数据行为的产品将受欢迎。
高相关且可行动的威胁情报显著提升防御水平并降低成本;利用情报的速度、效率、和效果将成为安全产品核心竞争力。
阿里云安全生态专家 邬怡 带来的是“数据驱动安全”:
之前做SOC的时候70%的时间都用在数据的收集和预处理,真正产生价值的数据分析只占20%。
信息安全也存在巴别塔,大家使用各自的“语言”说话。
CVE已经十几年了,老美在下一盘很大的棋。
数据要更有效,更有用,才能驱动安全。
360企业安全集团总裁 吴云坤
互联网企业在初期近乎野蛮的收集数据,到现在已经到了必须考虑隐私问题的时候了。
鼓励安全人员参加安全以外的活动,扩大视野,才可以更深的理解和做好安全。
七、技术落地论坛
北京邮电大学信息安全中心主任,通讯学报主编杨义先教授带来的是“安全通论:经络篇”。
通则不痛,痛则不通,建立经络图以治未病。
想仔细了解杨教授理论的可以看这个:
http://blog.sciencenet.cn/blog-453322-944217.html
中国电信网络安全产品运营中心CEO首席架构师 刘紫千
资源获取的四要素,时间、人力、资金、管理。
运营组织管理四要素,流程、架构、迭代、持续。
价值评估展现,要扎实和客观。
SOC的历史阶段性失败的原因是因为,当时的技术匹配没有跟上。
所有的技术使用之前都要鞭打一下,你会发现好多都不适用。
绿盟科技首席战略官 赵粮
任何一个企业或组织不可能长期存在独特的优于别人的招数,如何在大家类似的环境下建立更高效的体制?
从已知求未知;多维对抗空间;智慧安全2.0之云地人机
中国移动 田峰
谈到规划,安全防护体系,安全标准管理,安全组织管理,安全运维管理体系四方面建设是不可或缺的。
安全又一个很大的误区,厂商总是关心技术的高级先进性,而客户需要的是真正解决问题的产品技术。
---朴素的分割线---
首次以“北向”为概念的安全演讲论坛结束了,牛君在会场呆了一天,满满的都是收获。但遗憾的是,这些文字只能记录其中很小的一部分。安全牛愿作安全领域的一个忠实记录者、观察者,和推动者。
最后,感谢北向峰会的总主持人大潘,和在背后辛苦忙碌的呆神。
大潘
呆神
---
要闻/干货/原创/专业 关注“安全牛”