奇安信吴云坤：由内而外构建实战化网络安全

8月21日，2019北京网络安全大会(BCS 2019)在京开幕。20位两院院士，与来自30多个国家、70多所全球知名院校、机构和企业的 400多位国内外安全领袖齐聚，聚焦全球网络风险应对策略，探讨网络安全前沿技术，呼吁构建网络内生安全体系，实现组织安全能力的自生长。

围绕四化打造实战化能力

奇安信集团总裁吴云坤在峰会上演讲时表示，在云计算和大数据为基础设施的新一代信息化环境下和日趋严峻的网络威胁，网络安全产业亟需聚变以更好地支撑数字化时代的保障和防护。

　　奇安信集团总裁 吴云坤

　　奇安信集团提出的“44333”新一代网络安全体系思想，是围绕“四化”建设的网络安全体系，是构建实战化水平安全能力的重要支撑。其中包括：构建基于零信任架构的安全体系来解决数据共享集中带来的数据安全风险;通过SD-WAN等方案实现网络信息化系统与安全的深度结合和全面覆盖，构建纵深防护能力;基于态势感知构建积极防御能力应对组织化攻击;建设管理、技术与运行一体化的安全能力体系实现实战化安全防护与安全运行。

奇安信重点投资专业业务领域

作为国内著名的安全企业，奇安信也花大力气投资了很多公司，用以充实自己的安全阵营。而据吴云坤介绍，奇安信重点关注终端、云、大数据、安全服务这四大领域，其他方面一般都会开放给合作伙伴。

在投资方面，首先，奇安信会着重相对比较偏门的一些领域，比如工业控制领域的威努特，还有新兴的一些系统，比如IoT这样的新兴信息化系统也是一种方向。

其次，奇安信还会投资业务安全领域的公司，云、IoT、大数据都是基础设施，业务安全是出行安全，例如金融欺诈这种才叫业务安全，业务安全是跟某个细分行业非常相关的。

最后，有攻才有防，奇安信还会选择一些比较有特色的攻防类团队，比如盘古等等，重点在于漏洞挖掘、漏洞攻防、红蓝队对抗。总体逻辑就是要有核心的产品与技术。

构建安全体系，需从内生安全开始

一直以来，产品聚合都是一项非常复杂的技术，在奇安信看来要始终坚守八个字：全面覆盖，深度结合。

全面覆盖是覆盖所有信息化系统及环境，举例来讲，怎样才能高效地给云平台做规划?从最底层的物理层开始一直到顶层的SaaS，对中间的DaaS、PaaS、IaaS，每层都做拆解。就可以看到他所需要的安全措施，这就是规划的力量。

相比之下国外有很多咨询机构可以帮助企业做规划，而中国企业则会先做产品，所带来的劣势就是没有规划，让信息化部具备自身防护能力。内生安全讲的是让信息化在早期阶段，也就是开发软件和上线部署过程中都有一些安全能力，这个能力可以防护住大部分的安全问题。

举例来讲，家里并不是装上防盗门就安全了，还要考虑楼、结构、地基、材料等等都是安全的，这才叫内生安全。相比之下这些因素都不是安全产品，但却需要完整的安全规划。

法律对于网络安全至关重要

网络安全，关键点在安全二字上，随着法律的不断完善，安全也愈发深入人心。

在吴云坤看来，就是“需要把三股绳子绕在一起看”。第一个绳子是信息化的变化;第二个绳子是法治与政策的改变;第三个绳子是安全事件，三个绳子是拧在一起的，你会发现它们都会起作用。

如果企业没有数字化营销，就等于没有公民隐私保护，如果再没有法律做约束，那么安全事件会带来巨大的影响。

举例来讲，如果没有《消防法》相信消防市场起不来的，车里也不会备一个灭火器，建筑物里不会有消防检查，也不会上消防措施，所以实际上法律对整个市场的增长是具有极其决定性的意义。

相关法律一定要有效执行才可以，举个例子，数据泄露了如果没有主体责任问题，就会发现偷数据的人有罪，泄露数据的人没罪，所以这个过程就是期待法律不断完善的过程当中。

在美国和欧洲，只要数据泄露，主体责任人一定会罚款，动辄4%的收入足以让企业重视安全问题。相比之下我们也更加期待国内法律日趋完善。