奇安信&Gartner《數字化轉型需要內生的安全框架》：打好基礎是前提

“任何新技術的出現和應用都不是憑空的，都是要有一定的土壤和環境，比如要考慮到先期的基礎安全建設。”面對數字化轉型對政企機構運營模式帶來的顛覆性轉變，日前，奇安信&Gartner發布《數字化轉型需要內生的安全框架》報告（以下簡稱《報告》），重點強調網絡安全建設工作在追求新技術的同時，更要打好基礎。同時，《報告》還重點對比了國內外網絡安全建設差異化現狀，提出了一種更具中國特色的、切實有效的網絡安全建設體系。

奇安信&Gartner《數字化轉型需要內生的安全框架》

擁抱新技術要打好基礎 面對新挑戰需要內生安全

數字化轉型為網絡安全帶來更多新威脅、新挑戰，舊有的網絡安全建設模式已經無法滿足業務和安全要求，國內外領先的組織和研究機構開始關注安全技術新趨勢，幫助組織機構的管理者采取相應的技術措施和建設工作，以適應時代背景下更復雜、更龐大、更具價值的安全需求。

“新的安全技術越來越強調協同和聯動。”對此，《報告》強調：“需要注意到，我們在關注安全技術新趨勢的時候，更要考慮到應用這些安全新技術的基礎。”跟緊前沿技術，必要的前提工作就是安全基礎的積累。

就國內網絡安全建設工作而言，各組織機構繼續建設高水平的新安全能力來應對新挑戰。《報告》提到，早期的網絡安全建設大多是圍墻式的，隨著業務與信息化的融合深入，人們開始在內部業務系統的IT環境中部署更多安全措施，結合內外部安全大數據，采用外掛式安全建設提升整體防護能力。

無論是圍墻式還是外掛式，都無法做到業務與安全真正融合，其本質仍然是傳統防護手段的組合、疊加。政企機構的信息化建設，需要一種新的安全思維，即本身與信息化環境相融合的能力，具有內在“抵抗力”的內生安全思想，也是我國數字經濟發展所需要的全新的網絡安全建設思想。從用戶業務需求出發，圍繞其核心業務形成自適應、自主、自生長的新安全能力，真正解決數字經濟時代的業務安全問題。

網絡安全建設差異化明顯 “十四五”帶來破局新契機

在網絡安全建設差異化現狀層面，《報告》指出，我國網絡安全建設發展差異主要集中在兩個方面，即我國和歐美國家之間、國內政企機構之間的差異。一方面，與起步早、成熟度較高的歐美市場相比，我國網絡安全建設在網絡安全基礎結構、安全管理、安全運營等方面處于構建和完善階段，安全技術的研究和應用情況也存在很大差別。

而另一方面，在國內早期等保合規與應對威脅的驅動下，網絡安全呈現“應對合規、局部整改”的特點，導致國內各行業的安全建設與發展出現明顯差別，如電力、金融等領域的安全保障水平國內領先，甚至已經與國際水平相接軌。國內政企機構之間的發展差異集中體現為，網絡安全的高度體系化仍然只存在于小部分領先組織，各政企機構在基礎設施完備度、安全對信息化環境的覆蓋面、安全與信息化各層次結合程度、安全運行可持續性、應急能力就緒度、資源保障等方面差異明顯。

概括來說，我國網絡安全建設和發展階段與歐美截然不同，國內各政企機構之間的安全建設及安全基礎積累更是差異明顯。彌合安全能力基礎積累的差異并有效落地內生安全，是對我國網絡安全建設的新挑戰。

當前，我國網絡安全建設發展迎來機遇期，“十四五”規劃及國家統籌下相關法律法規、政策制度的密集出臺，從發展與治理兩個方面，為我國網絡安全基礎能力提升、數字化轉型帶來破局契機。對此，政企機構應牢牢把握機遇，以頂層設計的視角考慮安全建設現狀與差異，有效落地內生安全，兼顧我國網絡安全建設現狀與技術發展新趨勢。

以奇安信內生安全框架為土壤 承接技術發展新趨勢

“高水準的網絡安全規劃尤其需要一套行之有效的方法論和框架作為指引。”《報告》建議，首先在方法論方面，可將以企業架構（EA，Enterprise Architecture）為代表的系統性方法論用于網絡安全；其次，在安全框架方面，需能以系統工程方法論結合“內生安全”理念而形成的建設框架，以引導政企機構規劃和建設網絡安全，使其從外掛走向內生、從“走形式”轉向“實戰化”，適應數字經濟的發展。

圖 奇安信內生安全框架

在上述背景下，奇安信全面分析了國內外網絡安全態勢和我國政企面臨的挑戰，結合政府、央企、金融等大型機構面臨的普遍性需求，借鑒國內外網絡安全最佳實踐，吸收最新網絡安全技術研究成果，提出面向“十四五”期間的新一代企業網絡安全框架，即內生安全框架，為政企機構提供從“甲方視角、信息化視角、網絡安全全景視角”出發的頂層規劃與體系設計思路與建議。

《報告》介紹，內生安全框架包括網絡安全能力體系、規劃方法論與工具體系、能力化組件模型、建設實施項目庫、政企機構網絡安全技術部署參考架構、政企機構網絡安全運行體系參考架構等多個組件，這些組件可被用于政企網絡安全規劃的不同階段，并隨著安全建設項目實施逐步融入信息化環境，從而構建體系化安全能力。更重要的是，內生安全框架可以為新技術的持續引入、創新提供“土壤”，使得新技術在體系化網絡安全環境充分發揮效能。

總體而言，國際網絡安全技術新趨勢對我國網絡安全建設具有重要參考價值，但我們應綜合考慮發展差距和差異化現狀，牢牢把握時代發展契機，選擇具有中國特色的、符合發展需求的內生安全框架這一方法論，從而切實指導各政企機構網絡安全建設，提升實戰化運行能力，有效保障數字化業務發展。