中國網絡安全能力圖譜 (2020.9) 之信息技術篇

中國網絡安全能力圖譜之信息技術篇，主要包含包括二個維度“計算對象”和“計算環境”。

網絡安全技術與產業有三個關鍵支撐點，一技術，即信息技術環境；二是應用，即業務應用場景，三是專業，即網絡安全攻防。這三個支撐點互為交叉重疊，衍生出各種安全手段和保護方法，是網絡安全技術與產業之所以呈現出碎片化特性的主要原因。業內傳統的對網絡安全能力的梳理大多集中在安全專業技術上，但實際的情況是，離開信息技術的基礎環境，網絡安全技術是不存在的。*而離開業務需求與應用場景，保護手段就無法落地。不同的信息環境和應用場景決定了網絡安全解方案也不盡相同，基于此理念，數世咨詢創新性的提出了“網絡安全三元論”，全面覆蓋三個支撐點的分類方法。 *

（方法論：上圖中的信息技術與網絡安全結合形成信息安全，即對信息技術環境的保護。業務應用與網絡安全結合形成業務安全，即對業務應用系統的保護。信息技術與業務應用結合是數字經濟的概念，而信息安全和業務安全是數字經濟健康發展的必然保障。信息技術、業務應用與網絡安全，三者缺一不可，并且只有三者的緊密融合才能形成真正的安全原生、安全內生，擺脫安全伴生，走向安全共生。）

能力圖譜將信息技術、業務應用和網絡安全劃分為八個維度，每個維度又劃分成不同的細分領域并一直對應到各領域的優秀安全能力提供者，力求全面、清晰的反映網絡安全各細分領域，并突出安全能力者，為國家部門、行業用戶、研究機構和資本機構提供參考。由于文章篇幅所限，同時便于讀者閱覽，完整圖譜將分三次發出，本次首先推出“信息技術篇”，包括二個維度“計算對象”和“計算環境”。

一、 計算對象

計算對象的維度主要是指從物理設備到主機、代碼、數據，以及網站、數據庫等信息計算實體或信息基礎設施。

1. 物理安全

物理安全是指圍繞電子設備運行時產生、接收及處理的電磁信號或運行時表現的機械特征展開對抗，對抗過程往往需要接近甚至接觸到設備本身。物理安全的能力提供者主要集中在電子制造領域，而且“邊信道”的子分類則多屬于國防、保密領域，此次圖譜暫時不做能力提供者推薦。（注：本圖譜中的“物理安全”不包括人員守衛、攝像門禁、防火防盜等非電子對抗能力）

2. 端點安全

端點安全是指，圍繞主機、服務器、PC等計算設備展開的安全防護，值得指出的是，業內往往把端點安全和終端安全混為一談，但實際上服務器也是端點，但不是終端，兩者是包含的關系。值得注意的是，諸如手機、平板等移動辦公設備也屬于終端，但業內目前對其的關注，移動屬性大于端點屬性，因此能力圖譜將其劃分在“計算環境”維度下的“移動安全”領域。同時，一些如電視、空調、手表、無人機等智能網設備也屬于終端，但這些終端主要在個人消費級市場，暫未形成規模化的企業級安全收入。

3. 代碼安全

代碼安全是指，通過對軟件或程序的源代碼進行混淆、加密、檢測、分析、審計，以增加代碼的反逆向能力，并在軟件生命周期的早期階段發現漏洞或風險點。與代碼安全相近的概念有軟件安全、開發安全和應用安全。軟件安全的定義過為寬泛，應用安全則除了代碼安全還包含了網站安全和Web應用安全，軟件安全和應用安全兩者會交叉不同的細分領域，因此不適合做分類名稱。開發安全實際上包含了代碼安全，但開發屬于企業或機構的生產或業務環節，為此能力圖譜將其劃分在“業務場景”維度下。

4. 數據安全

數據安全涵蓋的范圍非常廣，從數據結構的角度，可分為結構、半結構、非結構數據。從保護手段的角度，可分為訪問、加密、脫敏、審計等。從數據生命周期來看，則包含了從收集、產生到存儲、加工、分析、應用等各個環節。數據時代已經來臨，數據資產的保護內涵正在從靜態保護開始向動態轉變，開始從靜態的數據資產保護延伸到動態的業務資產保護，這也是能力圖譜把“大數據交換”劃分到“業務對象”維度中的原因，而“大數據保護”依然屬于“計算對象”維度中的“數據安全”分類。

5. 網站安全

網站安全是指以網站系統及其相關服務和應用為保護對象的安全能力，包括網站訪問、網站頁面、網站仿冒、DNS、Web應用的防護等。

二、 計算環境

計算環境的維度主要是指新興的計算網絡形態，如移動網絡、云計算、物聯網等，這些新興的計算環境不斷驅動著網絡安全技術的演化。

1. 移動安全

移動安全是指圍繞移動設備、應用、系統和業務開展的安全防護。

2. 物聯網安全

物聯網安全的涵蓋面非常廣，理論上包括了一切聯網設備、應用、系統的安全，但某些計算環境，如工業互聯網安全的行業屬性更強，因此本次圖譜將其歸入到了“行業環境”的維度。目前，物聯網還處于初期發展階段，安全防護更多的集中在智能聯網設備本身及應用的防護上。

3. 云安全

云安全的概念內涵主要有三種，一是保護云基礎設施的安全，二是保護云上各種業務系統的安全，如云堡壘、云身份管理等，三是用云計算技術來做安全，如云原生、安全云。基于云原生的DevSecOps并未普及，其并行開發、快速迭代的理念目前更多的落地場景為本地開發環境，因此能力圖譜暫時將其劃分到“”業務場景“維度中的開發安全“。

注：數世咨詢將于9月8日左右推出《中國網絡安全能力圖譜(2020.9)》之業務應用篇 屆時我們將同步更新，敬請關注期待