恒安嘉新CEO陈晓光专访：网络空间安全治理者之路 – 作者:恒安嘉新

我和我的网安之路

在互联网与人们生活关系如此密切的今天，网络像水、电一样走进千家万户，成为生活必不可少的一部分。网络安全引发的问题日益普遍，其危害性愈发严重，维护网络安全已经上升为国家安全战略。“我和我的网安之路”是对国内网络安全大咖的系列专访，他们中有国内顶级网络安全学者、著名白帽子、CTF挑战赛冠军、名校教授、权威测评机构专家、青年创业者等。通过倾听一线网安从业者真实的声音，向大家呈现当今网络安全世界的生动景象。

第27篇 网络空间安全治理者之路

本期嘉宾：陈晓光，恒安嘉新（北京）科技股份公司CEO /联合创始人/董事，业界资深安全专家，毕业于北京邮电大学信息安全国家重点实验室，长期从事网络与信息安全的技术研究、方案设计和产品推广工作，在网络安全和数据安全领域有多年深厚经验，在网络安全态势感知，防范和打击通讯信息诈骗，工业互联网安全，5G安全等领域有独到见解， 担任多项重大科研项目负责人。是中国网络空间安全协会理事委员，中国通信学会第八届理事会理事、中国信息安全标准委员会委员，腾讯守护者计划特聘专家、深圳大湾区创业指导研究会导师。曾参与多项重大国家和行业标准、全国性安全系统工程和国家关键课题研究，拥有CISSP\CISA\ISO 27001 LA等安全资质。

索引

网络空间安全治理者陈晓光：网络空间安全综合治理满足合规性及企业自身安全需求；我国的网络空间安全综合治理尚处起步阶段；安全技术需与业务紧密融合；新基建下的安全治理需要不同手段和措施结合并用，做到对症下药；安全投入需要适度；解决已知和未知风险为安全治理业务指明发展方向；安全人才培养不能纸上谈兵。

目录

01 安全自主可控的创业初心
02 网络空间安全综合治理的内涵
03 我国网络空间安全综合治理现状
04 新基建下的5G安全治理
05 安全投入需权衡风险
06 安全治理未来发展趋势
07 人才培养不能纸上谈兵

01.安全自主可控的创业初心

我进入安全行业是一个顺应时代号召的过程。2005年左右，国家正处于计算机网络高速发展期，网络安全的需求与日俱增，这促使我攻读信息安全专业硕士。在研究生毕业后我便加入了西门子的安全研究部，该部门在工业安全、通信安全、安全咨询、安全服务等领域均有业务，致使我在安全领域有了一定的积淀。后来随着互联网的进一步普及，网络上的敏感数据、关键信息增多，网络安全对国计民生的影响也逐步变大，国家对于网络安全也愈加重视，为了保证网络安全的自主可控，响应国家在网络安全上的政策号召，我联合他人成立了恒安嘉新。
02 网络空间安全综合治理的内涵
安全行业经历了早期加解密、信息安全、网络安全等阶段。如今网络已与人们日常生活紧密结合，与真实的物理社会呈现出一种并行的关系，承载了工作、娱乐、出行、教育、医疗等日常生活。同时网络空间安全成为目前关注的焦点，其覆盖范围也扩大到了网络空间的各个层级。

网络空间安全的综合治理是个全新、更具专业性的业务领域，它满足法律法规、行业规范/标准的行业合规性需求，以及企业自身的安全需求。网络空间安全作为企业业务稳定发展的重要基石，每个企业都需要在安全上进行投入。网络空间综合治理业务与监管层面存在紧密的联系，为公安、工信、网信等网络空间安全监管部门提供安全技术手段和产品。

综合治理的实际业务范围广泛，如过滤违规或非法信息，保证用户绿色上网；在国家重大活动期间保证关键信息系统的网络安全，避免其遭到境外的黑客攻击；网络舆情关注、舆论控制等合规性业务。然而该领域所需技术要求高，且业务内容随着网络空间安全概念变化而不断延伸，给安全厂商带来较大挑战。目前主流安全厂商在上述业务上均有涉猎，其中恒安嘉新专注该业务领域，提供更为全面、粒度更细的服务。

03 我国网络空间安全综合治理现状
我国网络空间安全综合治理尚处起步阶段，在制度和技术上存在滞后性，管理方法和治理能力相比国外具有更大的提升空间。为推动我国网络空间安全综合治理事业的发展，需要在管理制度和安全技术两个方面共同推进。

首先在管理制度的细化层面上需要完善与拓展，如用户日常上网行为管理中，如何更加有效保证青少年的游戏防沉迷；在个人信息的管理细则上，用户网络行为数据、位置信息、个人隐私数据的访问权限如何进行更为科学的分配；重要信息系统如高铁的信号控制系统，其安全责任划分如何做到合理且有效。目前网络空间安全的管理制度大框架已成型，但细分领域上的覆盖还不够全面，在全面性和具体性上的缺陷亟需改善。

其次在技术层面上，尽管云计算安全技术、人工智能、区块链等新技术在网络空间安全综合治理上已被广泛应用，但安全技术与用户业务之间相对分离独立的问题较为突出，新技术应用对企业业务的影响难以实现最小化，成为安全治理技术革新的瓶颈。用户通常更关注安全防护效果，而如何结合不同的安全技术实现最优的安全防护方案则是每个厂商需要探究的关键点。技术的根本是解决业务需求，能够满足业务需求的技术才是有意义的，因此在网络空间安全治理中安全技术需要强化与业务的融合，解决业务需求才是技术的核心功能。

04 新基建下的5G安全治理
伴随“新基建”的不断推进，工业互联网正迎来多方加速布局，作为5G最主要的应用场景，“5G＋工业互联网”在以数字化和智能化为核心融入信息化的同时，也产生出新的安全风险。工业互联网由于其特殊性，对网络空间的稳定性和安全性提出了更高的要求，需要相应的安全技术与产品进行防护与治理。以“5G＋工业互联网”为代表的新基建为网络空间安全综合治理厂商带来机遇与考验。

5G技术凭借优异的通信性能帮助工业互联网实现设备间的互联互通，其安全性能同样不容忽视。鉴于3G、4G时代安全问题的严重性，5G技术在安全建设上更具前瞻性，从接入、传输、控制到网络协议各方面都采取了相应的安全措施，有效保障了5G技术的安全性，当然安全是一个相对的概念，会随着攻守双方的变化而改变。5G在应用与发展过程中会暴露出新的安全问题，如云网一体化后的5G技术会模糊传统网络边界，导致安全节点无法进行准确地部署。同时5G带来更为繁杂的应用与通信行为，为安全的针对性保护提出了更大的挑战。安全治理方需要持续性的防护，及时修补已知安全漏洞，才能保证5G的安全。

工业互联网有别于传统工业系统，设备需要进行联网或上云，从原有的封闭环境走向一个开放的环境，原本工业系统在健壮性、业务连续性和安全性上的薄弱点也就暴露了出来。安全治理方不仅需要从内生安全的角度，如PLC的设计理念上进行安全加固，还需要从外在角度，通过安全补丁等防护手段来保证系统的安全，基于大数据、纵深防御的安全防护也是必要的措施。工业互联网的应用场景复杂、风险点多样、攻击面更广，安全防护的难度也相对更高，同时作为新兴行业，其安全的需求与供给还处于磨合阶段，需要对彼此技术、产品成熟度进行相互更深的了解。因此安全综合治理企业在为客户提供安全方案时也需要根据业务实际情况进行综合的考量，新基建下的安全治理需要不同的手段和措施进行结合并用，做到对症下药才能保证治理业务的有效性。

05.安全投入需权衡风险

安全的一大理念就是要适度，需要企业在安全投入与风险之间找到平衡点，完全不投入或过量的安全投入都是不可取的。其中安全投入包括资金上的开销、企业业务效益的损失以及可能产生新的安全薄弱点。

安全对企业业务效率会产生或多或少的影响，这是毋庸置疑的，例如手机设置锁屏密码，在带来安全保障的同时输密码环节就会影响手机的使用效率。我们不能因为安全影响效率就完全不采取安全手段。当然安全厂商也需要对自身的安全技术进行提升，采用更成熟、更可靠的技术实现安全的无感化，减少对业务的影响。

在原有的系统上加入额外的安全系统可能带来新的脆弱点，若安全系统自身存在漏洞，在对业务系统进行防护时，用户的业务系统同样会受到攻击。因此安全技术需要与业务进行更加紧密地适配，提升安全产品的成熟度是安全厂商的责任。

目前企业普遍存在安全投入不足的问题，以侥幸心理看待安全问题，在安全投入上的预算比较苛刻，主要归结于安全意识的淡薄。通过法律法规等合规性要求能改善这一问题，但最关键的还是要意识到安全的重要性。重视安全并权衡好安全投入与风险之间的关系是每个企业都需要做到的。

06 安全治理未来发展趋势

网络空间安全综合治理业务会随着行业需求的更替、技术的变革而不断扩展与变化。例如，随着国家对关键信息基础设施的重视，关键信息系统的安全防护手段将成为研究重点；源于国际环境的变化，境外的黑客组织对境内的渗透也变得频繁，对未知攻击的防范也是网络空间安全综合治理厂商未来业务发展方向之一；随着产业链的逐步国产化，从宏观层面而言提升了系统的安全性，同时也对安全治理业务的连续性带来挑战，需要安全治理厂商在技术产品以及相应业务上进行适配，提升安全技术与产品的兼容性。

网络空间安全综合治理的业务发展方向取决于两个核心问题。一是如何解决已知的安全风险。由于安全综合治理业务范围广，在产品、技术、监管层面都有涉及，而市场需求决定安全业务，因此安全治理行业的发展方向主要取决于各个行业遇到哪些突出的安全问题与威胁。二是如何预防未知的安全风险。检测和防范未知的安全风险，也是目前安全治理行业正在着力解决的一个方向，目前已经有如蜜罐、沙箱、动态养殖等技术来预防未知威胁。

安全漏洞始终存在且在不断变更，网络攻击的手段和方式也会随着技术的发展而进步。网络空间安全综合治理在网络安全的防护上效果与效率是首要指标，因此需要安全治理厂商不断跟进并应用新技术来提升安全防护效果，同时结合实际需求提供更具针对性的安全解决方案。

07 人才培养不能纸上谈兵
网络空间安全综合治理领域的发展与进步迫切需要人才的支撑，现在从事安全领域的人很多都是非科班出生，随着网络安全一级学科在各个高校的设立，这种情况正在慢慢改善。由于安全治理涉及的方面非常广泛，因此要成为安全人才首先需要成为全才，这需要在高校获得足够广的安全知识。其次要在某些领域有自己独到的见解和专长，在某个安全领域积累足够多的行业经验。网络空间安全综合治理是一个实操性很强的领域，纸上谈兵是不行的，需要到一线接触实际的安全案例，并进行针对性的学习。因此对于初入安全领域的人而言实践是很有必要性的。同时还需要增强校企合作，才能够帮助学生尽早接触安全一线的实际案例，学会解决实际安全问题。

-End-
策划：Calvin 采集：杨安 编辑：阮丹阳

恒安嘉新（北京）科技股份公司是具有“云—网—边—端”整体解决方案的通信网安全领军企业，专注于网络空间安全综合治理领域，主营业务是向电信运营商、安全主管部门等政企客户提供基于互联网和通信网的网络信息安全综合解决方案及服务。

“没有网络安全就没有国家安全。”网络空间是国家**的新疆域，网络空间安全事关国家安全和国家发展，是把我国建设成为网络强国的有力保障。基于安全与业务的伴生性以及威胁的复杂性，政府、电信、金融、能源等领域对于网络空间安全综合治理产品均存在广泛而迫切的需求。为此，公司自主研发了具有网络空间安全监测预警、威胁研判、追踪溯源、态势感知和应急处置等能力的产品，可用于构建支撑全天候全方位的网络空间安全态势感知和防御体系。

公司是国家高新技术企业，以“支持国家、服务社会、助力行业、合作共赢”为经营理念，矢志成为网络空间安全基础能力的搭建者和网络空间安全生态的引领者。凭借多年的技术和经验积累、卓越的产品和服务质量以及良好的品牌形象和业界口碑，公司产品广泛布局在除港澳台外全国 31 个省、自治区和直辖市，为安全主管部门和电信运营商监测核心网、骨干网、城域网 3,480 个核心网络节点。基于采集点的广泛布局和安全技术的长期积累，公司的网络安全数据采集和分析效率位居行业前列，公司为电信运营商和安全主管部门提供的网络安全数据实时分析能力超过 500Tbps。

公司连续五届入选 CNCERT “网络安全应急服务支撑单位（国家级）”，并为“新中国成立70周年系列活动”、“十九大”、“两会”、G20 杭州峰会、世界互联网大会、“一带一路”峰会、上合峰会、金砖国家领导人峰会、中国国际进口博览会等提供国家级网络安全保障服务；同时，根据 CNCERT 于 2019 年 7月发布的结果，公司是2019年度全国31个省级分中心联合推荐的国家级支撑单位。此外，公司也是“国家网络与信息安全信息通报机制技术支持单位”、“工业信息安全应急服务支撑单位”，参与建设了“计算机病毒防御技术国家工程实验室研究室”和“计算机病毒防治技术国家工程实验室”，在网络空间安全领域拥有突出的行业公信力和品牌影响力。

公司高度重视自主研发能力的培育和建设，并围绕互联网和通信网一体化的海量数据实时处理技术、具有深度学习能力的智能安全引擎技术 、“云—网—边—端”综合管控技术等三大核心技术，构建了自主可控的知识产权体系和产品体系。截至 2020 年9月，公司共申请发明专利106项，其中16项已取得专利权（含1项美国专利）；拥有计算机软件著作权142项和作品著作权2项；参与制定180 项国家、行业、团体标准，其中32项行业标准已完成发布。

来源：freebuf.com 2021-04-25 15:59:28 by: 恒安嘉新