企业 · 安全建设指南
《企业安全建设指南 金融行业安全架构与技术实践》——聂君
李燕 何扬军 编著，资深信安专家十余年实战经验的结晶，安全领域多位专家联袂推荐。
本书系统化介绍金融行业中企业信息安全的架构与技术实践，总结了作者在金融行业多年的信息安全实践经验，致力于解决金融企业信息安全“最后一公里”问题，内容丰富，实践性强。
金融企业信息安全建设中，有一项最基本的东西—安全规划，准备不够充分，就会导致工作千头万绪但收效甚微，也会导致员工起早摸黑却碌碌无为。所谓“凡事预则立，不预则废”，有规划的信息安全，才能忙而不乱，事半功倍。
我们会在日常工作中有非常多的时间浪费现象，或者感觉太辛苦。著名企业文化与战略专家陈春花老师曾说过，要常问自己三个问题：
1）你为什么会辛苦？很多人会发现你想做的事情下属没帮你去做。
3）你为什么那么辛苦？是因为你发现很多人做的事情并不真正产生效益。
据史书记载，诸葛亮54岁去世，诸葛亮为何英年早逝呢？诸葛亮以忠君扶蜀为先，把自身的健康放在一边，既不锻炼，又不习武。为了一统天下，诸葛亮常常要深谋远虑，运筹帷幄。他还习惯于晚睡早起，一生谨慎小心，军中事无巨细，都要事必躬亲，整天弄得精疲力竭。这种身心劳累的负担，年轻时还能应付，一旦过了中年，就会显出快速衰老的征象。据史书载，诸葛亮的使者到了魏营，司马懿不问军中之事，单问诸葛亮的饮食起居和工作忙闲情况。使者告诉他，诸葛公向来喜欢晚睡早起，连罚打士兵二十军棍这样的小事都要亲自处理，可早饭却吃得很少。司马懿听后马上得出结论：“亮将死矣！”果然不出司马懿所料，不久在撤退途中，诸葛亮就忧虑呕血而亡。可见，事必躬亲，对大BOSS来讲，弊大于利。
三个问题，一则典故，反映了很多问题和错误，这些错误显然都不应该发生。但怎么解决呢？这个见仁见智，可以有很多角度的解决方案。但在信息安全领域，首要的解决方案就是做好安全规划。
金融企业战略规划（通常是五年为周期）、IT战略规划（通常三年为周期）、信息安全三年规划、××年工作计划，是自上而下、一脉相承的。负责制订IT战略规划的人，通常会要求企业安全负责人提供信息安全三年规划作为基础材料，统筹而成。能否做一份看起来高大上，实施起来又接地气可执行的信息安全规划，是金融企业安全负责人的必备技能。
信息安全规划，以及在此框架下的年度工作计划，决定了新一年的安全投入，包括人员和资金的预算。而预算的大小，往往和IT战略规划中信息安全相关内容的篇幅形成正比关系。
在信息安全规划编制启动时间点选择方面，建议选择每年10月启动，12月定稿。有的企业喜欢12月启动，春节前后甚至3月底定稿，这样的时间安排存在很大弊端。企业工作中，总结、考核、预算，通常以自然年为单位（大部分金融企业如此，外资企业不同），而企业员工概念中，一年工作结束一般以农
历年为单位。
因此元旦到春节后，各种年会、总结、庆祝，基本上处于
一个工作断档期。
规划如果是
3
月
前后定稿，那么和规划相关的重点项目的资源准备，如合作厂商技术交流测试
、项目采购等，就会浪费
自然年的第一季度。
如果每年
10
月启动，
12
月定稿，就
可以利用元旦到春节前后的时间，进行规划相关
项目、资源的准备工作（比如，采购文档编制、采购流
程发起、新招人员面试笔试等
），
春节后就可以
开足马力，立刻开干。
安全规划考虑的因素，除了时间外，还应该考虑监管要求、企业风险偏好、IT战略目标、技术发展、资源约束、安全价值体现等，此处就不一一展开了。
3.2
规划框架
安全规划的框架，应包括概述、需求分析和安全目标、各个安全领域的现状和差距分析、解决方案和计划、安全资源规划、当年重点项目和重点任务、上一版安全规划目标差距分析等。以下是安全规划的框架示例，如图3-1所示。
概述部分主要包括信息安全形势分析，安全形势可以是外部安全形势、行业形势、监管和股东要求、对手分析(攻击者、内部异常员工)等。
安全目标是指规划周期结束组织应该达到什么样的信息安全水平。安全目标应该是跳一跳，拼命奔跑才能达到的，甚至是很大概率达不到的，而不应该是躺在床上就能实现的。
对现状和差距的分析相当于自我体检，最重要的是能从过往的安全检查中分析管理差距，以及从白盒检测、黑盒检测失效中获得技术差距。其中黑盒检测有两大利器，即安全众测和红蓝对抗，能够先于对手发现自己的漏洞和弱点，对这类检测失效的原因进行深挖，是差距分析的重点。
解决方案和计划，解决方案提出的一条条解决措施，最终要落到重点项目和任务上去实现。计划分
解的频度方面，当年的至少细化到月，未来两年的细化
到季度即可。
当年重点项目和重点任务，是解决方案落地的关键，当年的工作目标靠重点项目和重点任务实现。差距、解决方案、重点项目和任务、计划要形成一系列有继承关系的完整链条，才是可落地的整套规
划。
项目和任务的区别是，项目比任务要大和复杂一些，任务属于优化改进的小措施，项目通常是要立
项和花钱的，如图
3-2所示。
上一版安全规划目标差距分析，是针对上一阶段的规划执行情况进行回顾和检讨，排查实际完成效果与规划目标的差距，分析造成差距的原因，避免新规划执行过程中重蹈覆辙；分析后认为需要调整或补充执行的内容，放入新的规划中落地。
3.3.1调研
·未来三年，你认为世界最好的团队会做哪三件最牛的事（我们不做的原因）？
·未来三年想做但没敢写入规划的三件事是什么？本团队领域，很有价值但技术没有可能实现的事情是什么？请列出1~2件。
每年最痛苦的就是怎么填这个大坑了，后来，我们将大
BOSS
的问题转
换了一下，更接地气一点：
回答上述问题的最好渠道是实地调研，多方学习，例如：
一是向大型互联网企业学习，这些大型互联网企业无论是面临的安全威胁、全量的攻击场景、复杂的网络和应用环境，还是海量的服务器、终端、人员数量、遇到过的坑等，都是宝贵的实践经验。稍显遗憾的是，互联网企业（特别是做安全的）不太可能敞开心扉进行传道授业解惑。因此，拥有一定的安全圈人脉资源也是企业安全负责人的必备条件之一，越来越多的企业安全人员招聘也要求这点。同时，注意参加这些互联网企业举行的年度会议，也能收获很多干货，建议多参加此类会议，远离厂商自嗨
会。
二是向同业学习。
可以抓住一切了解金融同业的机会，向规模比自
己大的企业学习实践中遇到过的
问题，向规模差不多的企业学习资源配置情况，向规模比自己小的企业学习单
点突破能力强的领域。
每年开春后，北上广深走一圈，基本上就能大致了解整个行业的概况。
3.3.2目标、现状和差距
调研结束后，金融企业安全负责人通常对行业的未来趋势和规划方向有了大致了解，接下来就需要明确本企业的目标，分析现状和差距。
目标来自于企业战略规划和IT战略规划，分为总体目标和具体目标。
·总体目标，应尽可能清晰、简洁，相对宏观和“务虚”。企业安全目标可以定义为“通过综合应用各类安全解决方案，发现并预防各类安全风险，能够承受除DDoS以外的黑客高手或者黑客集团的攻击；内部系统能有效防止非专业人员有意或者无意的数据泄露；能发现对内部重要服务器的普通内部黑客的攻
击；
对人员进行安全合规教育，违规、违纪现象
持续降低，安全审计发现持续降低
”
。
·具体目标，应尽可能明确、数字化，相对微观和“务实”。例如，非本企业组织的互联网系统漏洞发现为0；安全防护100%全覆盖；互联网基础设施风险在2小时内化解；自动化验证平台100%覆盖所有管控措施，管控措施失效能够在24小时内发现……
一是目标绝对不合理。目标是一种预测，没有人敢说预测是合理的；而且，目标是一种决心，你发誓要做什么，目标就会出来。目标其实是你自己战略的一个安排，决定你目标的是三个要素：你对未来的预测，你下的决心，你的战略想法。
二是实现目标的行动必须合理。理解了这点，规划就成功了大半，才能围绕实现目标制订行动计划。如果实现目标的行动是合理的，那么看似不合理的目标反而有实现的可能。
关于目标，陈春花老师有三个建议，笔者很赞同，在此也做些分享：
·目标一定是从上往下，一定不要从下往上。我们最喜欢犯的错误就是团队或者个人将自己要做的工作一报，报完集合起来然后往下一拍就行。目标绝对不能从底往上报，目标一定是上边来定，其他东西都可以授权，但是目标设定是不授权的。
·目标必须是个人的目标。目标一定要给到个人，而不可以给到部门。
·每一个人承接的不是目标，而是一套解决方案。他必须去承诺这个解决方案，怎么让这个目标实现。目标不是要确保实现1亿的销售额，而是要告诉我为了实现这个销售额的行动方案是什么。
此处，科普一下目标设定的SMART原则及在安全规划领域的应用，如图3-3所示。
图3-3SMART原则
所谓明确的就是要用具体的语言清楚地说明要达成的行为标准。明确的目标几乎是所有成功团队的一致特点。很多团队不成功的重要原因之一就是目标模棱两可，或没有将目标有效地传达给相关成员。
举个例子，安全目标中有一条是“防黑反黑”。这种对目标的描述就很不明确，因为我们不知道要防护哪些目标，防护什么级别的黑暗力量。所以最后可以改成：能够承受除DDoS以外的黑客高手或者黑客集团的攻击；内部系统能有效防止非专业人员有意或者无意的数据泄露；能发现对内部重要服务器的普通内部黑客的攻击。
可衡量的是指应该有一组明确的数据，作为衡量是否达成目标的依据。如果制订的目标没有办法衡量，就无法判断这个目标是否实现。
举个例子，定安全目标时，常见的用词是“提高××水平”“加强××能力”“完善××措施”,这些目标是无法衡量的，因为不知道要提高到什么水平，加强到什么能力，完善哪些措施。在内部定具体安全目标时尽量使用可量化的目标，例如，非我公司组织的互联网系统漏洞发现为0;管控措施失效能够在24小时内
发现，等等。
目标是能够被执行人所接受的，目标设置要坚持员工参与、上下左右沟通，使拟定的工作目标在组织及个人之间达成一致。目标不能是躺在床上就能完成的，也不能是“摘星星”的工作任务。
举个例子，中小金融企业如果提出所有安全防护系统和工具都自研这一目标，虽然勇气可嘉，然而实现起来却非常困难。当目标完全不可实现，会打击团队士气，造成“死猪不怕开水烫”的后果。
目标的相关性是指实现此目标与其他目标的关联情况。如果实现了这个目标，但对其他目标完全不相关，或者相关度很低，那么即使达到这个目标，意义也不大，还很有可能劳民伤财，得不偿失。
举个例子，所有安全规划的目标和任务都是围绕保障企业安全性，并最终促进企业战略目标来计划的，如果一项工作与企业战略目标完全无关，不管其技术先进性多么强，都应该忽略。
目标的时限性是指目标是有时间限制的，没有时间约束的目标是没有办法衡量和评价的。
举个例子，安全工作的目标和任务需要时间约束，比如三年后达到什么安全水平，每一年提升哪些安全能力，每个季度完成哪些安全任务，都是时间条件强约束。
一是分析维度要全，建议分成安全管理、安全防护、安全运营、安全资源、安全度量五个维度。安全管理考虑组织架构、职责、制度、考核；安全防护考虑覆盖网络层、虚拟层、系统层、应用层、数据层、用户层的纵深防护技术体系；安全运营考虑安全运维、安全验证、安全反制；安全资源考虑人员、流程、资源；安全度量考虑技术维度、安全运营成效、安全满意度和安全价值。现状和差距最好能做到全量摸底，重点突出。
二是敢于自揭老底，自我否定。不要自我感觉良好，没发现异常很可能是发现能力不够，没有事件很可能是运气好。
3.3.3制订解决方案
目标确定并分析差距后，必须针对性地制订解决方案，才能确保目标落地实现。制订解决方案要注意以下几个原则：
一是要体系化。头痛医头脚痛医脚，可能短时间得到一点效果，但禁不住大BOSS问，怎么又是这个问题，怎么又要这个投入，你们能一次性和我说清楚吗，等等。有些问题，初看是技术问题，仔细想
想，其实根源还是管理问题。
遇到问题，最好从管理和技术两个方面考虑解决措施，得到综合的结果。
二是要可持续。金融企业有个常见的例子，给分行或分支机构上IPS/IDS，但分行或分支机构根本就没有能看懂IPS/IDS日志的管理员，如果合规要求必须上，那一定要考虑日志如何收集、分析和处理。最好的做法是将日志统一上收到总部，由总部统一管理和运营（注意不是运维，日常开机等还是分支机构管，日志分析和异常告警由总部完成）。每项安全措施、每套安全设备都是有管理成本的，如果仅仅上一个技术手段，而不考虑持续的运营，那么这个解决方案整体看来就是无效的。
