2023年6月17日,第三屆數(shù)字安全大會在北京隆重召開,本屆大會由數(shù)世咨詢、CIO時代聯(lián)合主辦,新基建創(chuàng)新研究院作為智庫支持。本次大會吸引了來自全國各地500多位行業(yè)CIO和網(wǎng)絡(luò)安全負(fù)責(zé)人、白帽子及主流安全廠商到場,同時當(dāng)天有近萬人通過線上觀看此次直播盛會。
數(shù)字時代“安全”成為CSO們的“核心關(guān)注”,騰訊安全數(shù)據(jù)安全商業(yè)化總監(jiān)徐展以《加強(qiáng)數(shù)字安全免疫力,促進(jìn)數(shù)字化時代韌性發(fā)展》為主題分享,指出“數(shù)字安全免疫力”,就像我們依靠運動鍛煉身體、依靠注射疫苗提前應(yīng)對疾病、遇到疾病要把握底層原因?qū)ΠY下藥一樣,數(shù)字安全免疫力理念推崇更積極、主動的安全觀,用“治未病”的理念替代“治已病”。
騰訊安全數(shù)據(jù)安全商業(yè)化總監(jiān)徐展
第三屆數(shù)字安全大會演講精華
以下為演講實錄摘要:
我們已經(jīng)從信息化時代,過渡到數(shù)字化時代,進(jìn)入到當(dāng)前的數(shù)智化時代。在過程中,企業(yè)對于安全建設(shè)的驅(qū)動力發(fā)生了顯著變化。
以前,我們把信息當(dāng)作孤島,只有在被攻擊后,才考慮安全建設(shè)。進(jìn)入數(shù)字化時代,隨著云計算、物聯(lián)網(wǎng)等應(yīng)用的普及,企業(yè)面臨更復(fù)雜的風(fēng)險,而安全建設(shè)的動力更多來自于法規(guī)監(jiān)管和防御攻擊的需求。進(jìn)入數(shù)智化時代,AI和大數(shù)據(jù)模型的應(yīng)用使企業(yè)流程智能化,機(jī)器在企業(yè)決策中的作用越來越大。這時,我們必須構(gòu)建一個新的安全范式,把安全與發(fā)展緊密結(jié)合。
騰訊安全聯(lián)合安全媒體對1500家企業(yè)進(jìn)行了調(diào)研,發(fā)現(xiàn)存在兩個問題。第一,大部分企業(yè)在數(shù)字安全的投入上嚴(yán)重不足。第二,大部分企業(yè)對于安全建設(shè)的理念落后,對自身的安全建設(shè)評分低于60分。
騰訊在過去20多年的發(fā)展過程中,積累了豐富的AI能力、威脅情報能力和人的攻防能力。我們建議,企業(yè)應(yīng)該以數(shù)據(jù)和業(yè)務(wù)為中心,構(gòu)建一個包括數(shù)據(jù)安全堡壘、業(yè)務(wù)安全堡壘以及安全運營閉環(huán)的安全免疫力框架,同時在外圍設(shè)立三個免疫屏障,以產(chǎn)品技術(shù)為導(dǎo)向,通過持續(xù)的迭代和完善,構(gòu)建出全方位的安全防護(hù)體系。
數(shù)據(jù)安全已成為企業(yè)發(fā)展的關(guān)鍵。面臨的挑戰(zhàn)包括:數(shù)據(jù)安全建設(shè)滯后于數(shù)字化進(jìn)程;數(shù)據(jù)隱私和合規(guī)壓力增加;企業(yè)的暗數(shù)據(jù)增多,導(dǎo)致數(shù)據(jù)泄露;新的數(shù)據(jù)威脅,如API泄露,身份攻擊和勒索攻擊;以及企業(yè)對數(shù)據(jù)泄露的反應(yīng)遲緩。
為應(yīng)對這些挑戰(zhàn),騰訊安全提出一個數(shù)據(jù)安全免疫力框架,包括四個方面:
一、數(shù)據(jù)默認(rèn)安全:將數(shù)據(jù)安全和整體安全建設(shè)視為一體,從業(yè)務(wù)建設(shè)初期就考慮數(shù)據(jù)全生命周期的安全防護(hù)。
二、數(shù)據(jù)看得見:能看到并跟蹤數(shù)據(jù)在企業(yè)內(nèi)部的流轉(zhuǎn),給數(shù)據(jù)打上標(biāo)簽,使其流向可追蹤。
三、數(shù)據(jù)保護(hù)、防御能力:構(gòu)建能管控風(fēng)險并能處置的數(shù)據(jù)安全體系。
四、數(shù)據(jù)安全智能化運營,風(fēng)險閉環(huán):通過DataSecOps數(shù)據(jù)安全運營體系,做風(fēng)險閉環(huán),做持續(xù)的檢查、核查,不斷完善風(fēng)險能力。
根據(jù)不同的業(yè)務(wù)場景,采取相應(yīng)的安全免疫力建設(shè)方式,包括數(shù)據(jù)防泄漏、加密、零信任、數(shù)據(jù)分類識別、脫敏等策略。同時,也要建立數(shù)據(jù)治理的框架,對數(shù)據(jù)安全進(jìn)行評估和風(fēng)險排查,貫穿數(shù)據(jù)安全建設(shè)的每一個流程,并保證數(shù)據(jù)安全建設(shè)的方法的有效性。
騰訊安全中心將數(shù)據(jù)安全作為關(guān)鍵度量指標(biāo)進(jìn)行數(shù)字化,以此驅(qū)動各部門進(jìn)行數(shù)據(jù)安全建設(shè)。我們的數(shù)據(jù)運營安全體系涵蓋了數(shù)據(jù)全生命周期,包括生產(chǎn)、傳輸、存儲、防護(hù)和保護(hù)。
我們也制定了一套數(shù)據(jù)安全運營保障體系,通過政策和流程機(jī)制,以及巡檢機(jī)制等手段,來確保整個數(shù)據(jù)安全的目標(biāo)得以實現(xiàn)。
在數(shù)據(jù)跨境治理方面,我們在數(shù)據(jù)出海前后均進(jìn)行評估和保護(hù)。數(shù)據(jù)跨境前,我們對數(shù)據(jù)進(jìn)行分類分級,以快速評估;數(shù)據(jù)跨境中,我們通過數(shù)據(jù)細(xì)密度的全監(jiān)管,梳理不必要的訪問,實現(xiàn)敏感數(shù)據(jù)的加密和脫敏;數(shù)據(jù)跨境后,我們通過持續(xù)識別數(shù)據(jù)跨境風(fēng)險,達(dá)到全流程閉環(huán)。
騰訊安全也構(gòu)建了基于數(shù)據(jù)安全治理、隱私計算、機(jī)密計算平臺的風(fēng)險治理框架。我們希望通過持續(xù)的流程保障,底層核心能力的建設(shè),來不斷完善自身的數(shù)據(jù)安全能力建設(shè),助力整個行業(yè)的數(shù)據(jù)生態(tài)安全建設(shè)。