<mark id="oztn4"></mark>
0
| 本文作者： 楊玲俐 | 2023-03-30 14:17 |
3月21日，中國產(chǎn)業(yè)互聯(lián)網(wǎng)發(fā)展聯(lián)盟、《中國信息安全》雜志、南方日報、中國網(wǎng)絡(luò)空間新興技術(shù)創(chuàng)新論壇、騰訊安全、騰訊研究院聯(lián)合推出《2023產(chǎn)業(yè)互聯(lián)網(wǎng)安全十大趨勢》。
報告匯聚了網(wǎng)絡(luò)與信息安全專家、中國工程院院士方濱興、中國產(chǎn)業(yè)互聯(lián)網(wǎng)發(fā)展聯(lián)盟常務(wù)副秘書長陳勝喜、《中國信息安全》雜志社執(zhí)行董事溫哲、南方日報副社長王更輝、騰訊副總裁丁珂、騰訊研究院院長司曉等30余位行業(yè)專家、學(xué)者、智庫對產(chǎn)業(yè)安全趨勢的思考與研判，從宏觀態(tài)勢、產(chǎn)業(yè)實踐、技術(shù)演進三個維度對產(chǎn)業(yè)安全的核心議題進行分析研判，給產(chǎn)業(yè)互聯(lián)網(wǎng)健康可持續(xù)發(fā)展提供指引。
中國工程院院士方濱興：
產(chǎn)業(yè)各界需攜手共識，建立產(chǎn)業(yè)發(fā)展安全觀，建設(shè)涵蓋企業(yè)人才、技術(shù)、管理、生產(chǎn)、服務(wù)等全鏈路數(shù)字化協(xié)同的安全防御能力，打造貫穿企業(yè)生命周期的安全免疫體系。
騰訊副總裁丁珂：
企業(yè)參與數(shù)字化時代的市場競爭、謀求新階段的高質(zhì)量發(fā)展，企業(yè)家需要樹立正確的安全觀念，了解并研判產(chǎn)業(yè)安全發(fā)展趨勢，在戰(zhàn)略上以一把手工程的視角看待安全，統(tǒng)籌發(fā)展與安全，既要基于安全謀發(fā)展，又要以發(fā)展促安全。
《中國信息安全》雜志社執(zhí)行董事溫哲：
產(chǎn)業(yè)安全建設(shè)將成為支撐國家“高質(zhì)量發(fā)展”戰(zhàn)略的關(guān)鍵命題，產(chǎn)業(yè)安全相關(guān)立法與監(jiān)管將成為國家法治進程的常態(tài)話題，產(chǎn)業(yè)安全工作也將成為企業(yè)組織架構(gòu)調(diào)整和業(yè)務(wù)合規(guī)的重要方向。
騰訊研究院院長司曉：
伴隨數(shù)字化轉(zhuǎn)型進入“深水區(qū)”，企業(yè)對安全的投入目標(biāo)也要進一步升級：從安全基礎(chǔ)能力的建設(shè)，轉(zhuǎn)變?yōu)橄虍a(chǎn)業(yè)高質(zhì)量發(fā)展提供系統(tǒng)化保障、提升產(chǎn)業(yè)抗風(fēng)險能力。
南方日報副社長王更輝：
作為連通架構(gòu)的產(chǎn)業(yè)互聯(lián)網(wǎng)，其安全脆弱性前所未有，需要網(wǎng)絡(luò)安全產(chǎn)業(yè)齊心協(xié)力，打破技術(shù)、行業(yè)之間的壁壘，共同構(gòu)建產(chǎn)業(yè)互聯(lián)網(wǎng)安全生態(tài)。
企業(yè)應(yīng)該如何在趨勢指引之下，建設(shè)攻防、事件、風(fēng)險、合規(guī)一體驅(qū)動的安全免疫力？以下是報告全文。
趨勢一：產(chǎn)業(yè)安全建設(shè)將成為企業(yè)數(shù)字化實踐的“前置條件”
2023年是全面貫徹落實黨的二十大精神的開局之年，高質(zhì)量發(fā)展，是全面建設(shè)社會主義現(xiàn)代化國家的首要任務(wù)。高水平安全，是高質(zhì)量發(fā)展的前提。高質(zhì)量發(fā)展，同樣是指導(dǎo)產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型升級、企業(yè)健康可持續(xù)經(jīng)營的重要政策牽引。實現(xiàn)高質(zhì)量發(fā)展，需要統(tǒng)籌發(fā)展和安全、堅持發(fā)展和安全并重，實現(xiàn)高質(zhì)量發(fā)展和高水平安全的良性互動。對于參與其中的市場主體而言，需要樹立正確的產(chǎn)業(yè)發(fā)展安全觀念、建立企業(yè)安全免疫系統(tǒng)、重視安全管理和評估；隨著數(shù)據(jù)生產(chǎn)要素的價值不斷被發(fā)掘和被釋放，需要全面建設(shè)防范風(fēng)險的能力，為數(shù)據(jù)在安全前提下的融通流動及數(shù)字業(yè)務(wù)的創(chuàng)新發(fā)展構(gòu)建基礎(chǔ)，為企業(yè)長期可持續(xù)發(fā)展提供保障。
尤其隨著人工智能、大數(shù)據(jù)、數(shù)字孿生等新技術(shù)的融合應(yīng)用，中國數(shù)實經(jīng)濟發(fā)展正步入一個全新階段，安全將為產(chǎn)業(yè)發(fā)展三個“新動能”提供關(guān)鍵支撐作用。
因此，在產(chǎn)業(yè)互聯(lián)網(wǎng)時代，基于企業(yè)高質(zhì)量發(fā)展的自身需求，安全建設(shè)將成為企業(yè)數(shù)字化實踐的“前置條件”和“基礎(chǔ)底座”；企業(yè)安全建設(shè)思路將更加前置，真正做到以安全為始、以安全為終。
趨勢二：立法監(jiān)管趨嚴，企業(yè)安全“巡檢”常態(tài)化
在過去一個階段，IT基礎(chǔ)設(shè)施建設(shè)、網(wǎng)絡(luò)安全以及信息安全的不斷發(fā)展，催生了大量被動式安全解決方案；尤其在相關(guān)監(jiān)管法規(guī)建設(shè)相對滯后階段，企業(yè)在安全建設(shè)方面往往也是“鴕鳥心態(tài)”，認為安全投入是企業(yè)運營的成本項，追求“合規(guī)”而忽視“實效”。隨著我國網(wǎng)絡(luò)安全與產(chǎn)業(yè)安全相關(guān)立法頂層設(shè)計和主體框架日趨完善，這種情況已經(jīng)發(fā)生徹底改變。
近年，國家密集出臺了《中華人民共和國密碼法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例》《網(wǎng)絡(luò)安全審查辦法》等法律法規(guī)及《關(guān)鍵信息基礎(chǔ)設(shè)施安07全保護要求》、等級保護2.0等系列配套標(biāo)準(zhǔn)，對市場主體的安全邊界、安全責(zé)任等作出了系統(tǒng)要求。尤其隨著黨的二十大進一步明確關(guān)于中國數(shù)字經(jīng)濟發(fā)展以及產(chǎn)業(yè)安全的總體框架，對應(yīng)的產(chǎn)業(yè)安全治理制度、處罰條例均基于產(chǎn)業(yè)發(fā)展的新形勢、新階段不斷細化修正。
目前，產(chǎn)業(yè)安全相關(guān)的監(jiān)管部門對于違反網(wǎng)絡(luò)安全、信息保護等相關(guān)法律法規(guī)的處罰主要采取后置處罰手段，改正、罰款、整頓、下架業(yè)務(wù)、吊銷許可證或營業(yè)執(zhí)照、導(dǎo)致企業(yè)忽視安全建設(shè)的風(fēng)險成本被指數(shù)級放大。例如，“監(jiān)管標(biāo)準(zhǔn)化數(shù)據(jù)”存在數(shù)據(jù)質(zhì)量違法違規(guī)行為為由，對21家銀行進行大規(guī)模處罰。
2023年，安全相關(guān)的立法、監(jiān)管與執(zhí)法，將會聚焦于產(chǎn)業(yè)高質(zhì)量發(fā)展、數(shù)據(jù)合規(guī)和隱私保護等層面，對企業(yè)數(shù)字化實踐和創(chuàng)新，給予更多的監(jiān)管、約束和引導(dǎo)，常態(tài)化安全巡檢將成為監(jiān)管及企業(yè)自我健康診斷的重
要手段。短期內(nèi)，合規(guī)會擠出產(chǎn)業(yè)中存在的一些痼疾與泡沫，通過數(shù)字經(jīng)濟的合規(guī)治理，盡可能降低數(shù)實融合趨勢中的風(fēng)險。從長期來看，合規(guī)能夠?qū)崿F(xiàn)“從合規(guī)要發(fā)展”及“以監(jiān)管促發(fā)展”的目標(biāo)。
趨勢三：安全將成為企業(yè)治理水平的重要度量
過去，網(wǎng)絡(luò)安全威脅風(fēng)險程度較低、攻擊相對不太復(fù)雜，同時，企業(yè)傳統(tǒng)IT系統(tǒng)建設(shè)周期很長，安全建設(shè)通常按固定周期做風(fēng)險評估、漏洞掃描、補丁管理，安全工作可以按部就班進行滾動周期的管理，網(wǎng)絡(luò)安全部門長期作為企業(yè)IT部門的一個分支存在，并未被納入企業(yè)經(jīng)營管理的核心部分。
隨著產(chǎn)業(yè)數(shù)字化進程提速，企業(yè)越來越多地將數(shù)字資產(chǎn)轉(zhuǎn)移到云上，企業(yè)發(fā)展效率提升同時也導(dǎo)致攻擊面加大，7*24小時業(yè)務(wù)“在線”也帶來了 7*24小時安全防護的需求。加之，DevSecOps、容器等云原生方法的引入，打破了傳統(tǒng)網(wǎng)絡(luò)安全邊界，傳統(tǒng)的安全建設(shè)方法和組織架構(gòu)都亟需更新。
數(shù)據(jù)泄露、勒索攻擊、供應(yīng)鏈攻擊等安全事件持續(xù)高發(fā)，安全已經(jīng)成為制約企業(yè)健康發(fā)展的生命線。在這一背景下，安全被企業(yè)提升到前所未有的重要程度；但受限于傳統(tǒng)企業(yè)管理理念和組織架構(gòu)，“擔(dān)責(zé)無權(quán)”的安全部門既要當(dāng)好企業(yè)健康發(fā)展的“守門人”，又因在企業(yè)內(nèi)部組織架構(gòu)中處于“小馬拉大車”位置，往往無法真正將安全工作貫徹到實處。
面對日益嚴峻的安全挑戰(zhàn)，企業(yè)在安全建設(shè)上不再寄期望于先發(fā)展后治理。“安全左移”成為行業(yè)共識，安全活動逐步進入企業(yè)生產(chǎn)環(huán)節(jié)，參與企業(yè)發(fā)展戰(zhàn)略、進入產(chǎn)品研發(fā)生命周期全流程。這種生產(chǎn)流程的改變， 也需要從組織架構(gòu)上予以支撐。企業(yè)重視安全，除了增加人力和預(yù)算、技術(shù)投入外，安全管理工作將納入核心管理團隊，成為企業(yè)治理水平的重要度量。
趨勢四：從“奢侈品”到“日用品”，構(gòu)建安全免疫力成為新共識
當(dāng)前，企業(yè)安全建設(shè)普遍處于升級轉(zhuǎn)型的關(guān)鍵階段。從“十三五”期 間的企業(yè)數(shù)字化浪潮初至，到“十四五”的數(shù)字化建設(shè)逐步進入深水區(qū)， 企業(yè)對安全的思考和對安全技術(shù)、能力、人才、管理體系的儲備已經(jīng)具備一定基礎(chǔ)。下一個階段，構(gòu)建企業(yè)級的安全免疫體系將成為企業(yè)普遍的關(guān)注重點，著力建設(shè)涵蓋企業(yè)發(fā)展全生命周期、企業(yè)運行全流程以及產(chǎn)業(yè)鏈各環(huán)節(jié)的安全“穹頂”。
現(xiàn)階段，不同產(chǎn)業(yè)領(lǐng)域、不同規(guī)模企業(yè)的安全建設(shè)水平仍有較大差距
在金融、政務(wù)、傳媒等數(shù)字化進程較快的重點行業(yè)，由于安全建設(shè)需求旺盛、成本充足、合規(guī)導(dǎo)向明確，基本上已經(jīng)建立起集團級的安全免疫力，包括安全技術(shù)和能力的貫通，也包括人才儲備、生態(tài)支持、彈性擴容 能力、災(zāi)備能力等。但在更長尾的中部企業(yè)及小微企業(yè)隊列，被劃歸為 “成本中心”的安全投入往往被視為“奢侈品”，很難以較低的成本建立起自適應(yīng)的安全免疫系統(tǒng)。
隨著云原生及SaaS化發(fā)展趨勢，以及技術(shù)與產(chǎn)品的創(chuàng)新改變現(xiàn)有的安全供給體系的環(huán)境中，中等以下規(guī)模的企業(yè)也能建立起全視角的安全免疫力，安全正在從“奢侈品”變?yōu)椤叭沼闷贰薄?/p>
此外，企業(yè)安全免疫系統(tǒng)之間也非孤立的。企業(yè)與企業(yè)之間的安全投入、安全建設(shè)應(yīng)保持高度的兼容與同頻，在安全產(chǎn)業(yè)底層實現(xiàn)技術(shù)、產(chǎn) 品、服務(wù)的充分流動，通過行業(yè)協(xié)同與行業(yè)競爭，促進“安全底座”的自我優(yōu)化、自我迭代，為數(shù)字經(jīng)濟提供動態(tài)穩(wěn)定的底層支持。
趨勢五：反欺詐風(fēng)控策略由“體驗優(yōu)先'向“動態(tài)治理'轉(zhuǎn)變
伴隨企業(yè)數(shù)字化轉(zhuǎn)型的深入，安全風(fēng)險從傳統(tǒng)網(wǎng)絡(luò)安全向各類業(yè)務(wù)安全快速轉(zhuǎn)移，企業(yè)面臨更多來自外部的欺詐和未知威脅，其手段和方式不斷翻新，如刷榜刷單、惡意騙貸、欺詐廣告、流量作弊、惡意占票、虛假申請等。有機構(gòu)測算，網(wǎng)絡(luò)欺詐導(dǎo)致的損失占GDP比例達0.63%，約4000多億元規(guī)模之巨。
加強反欺詐體系建設(shè)成為企業(yè)大勢所趨，但在線業(yè)務(wù)方便、快捷、高效的特點，讓反欺詐策略的制定往往遵循“用戶體驗優(yōu)先”，在不影響大部分用戶體驗的前提下以“無感式”“一刀切”“大顆粒”的反欺詐策略開展。
在高質(zhì)量發(fā)展戰(zhàn)略牽引及個人隱私信息保護相關(guān)法律條例的施行下， 企業(yè)經(jīng)營由跑馬圈地進入精耕細作階段，以極致體驗快速搶奪市場的競爭策略已經(jīng)成為過去。企業(yè)需要以動態(tài)的視角平衡欺詐損失和客戶體驗，根 據(jù)業(yè)務(wù)峰值和黑灰產(chǎn)攻擊態(tài)勢，靈活在“安全優(yōu)先”與“合規(guī)優(yōu)先”的兩極之間不斷精細化反欺詐策略，護航業(yè)務(wù)健康發(fā)展。
從另一方面看，“無感式”的風(fēng)控策略反而將引發(fā)用戶對隱私數(shù)據(jù)保護的擔(dān)憂。在數(shù)據(jù)隱私事件頻發(fā)的背景下，用戶隱私保護意識顯著提升，已普遍接受驗證碼、人臉識別等身份識別手段不再是影響產(chǎn)品使用體驗的掣肘，而是為了提升整體產(chǎn)品的安全水位。尤其在金融場景中，太過“順滑”的體驗反而將引發(fā)用戶對平臺及產(chǎn)品的安全性質(zhì)疑。
黑灰產(chǎn)的攻擊態(tài)勢嚴峻，也讓過往單一的風(fēng)控策略顯得滯后。欺詐風(fēng)險由過往集中在金融行業(yè)向全行業(yè)滲透；由賬號開通到商業(yè)變現(xiàn)的線性流程變?yōu)闃I(yè)務(wù)與用戶及供應(yīng)鏈關(guān)系網(wǎng)狀風(fēng)險，任何一個業(yè)務(wù)環(huán)節(jié)的缺口都有可能被黑灰產(chǎn)利用。
趨勢六：安全合規(guī)成為企業(yè)出海的核心關(guān)注
中國企業(yè)出海正在迎來新一輪的浪潮。據(jù)《埃森哲2022中國企業(yè)國際化調(diào)研》報告顯示，多重因素正在推動中國企業(yè)加速出海步伐，95%受訪的中國“出海”企業(yè)認為自己未來3年海外業(yè)務(wù)的增長可以超過5%。
在云計算、大數(shù)據(jù)、AI等技術(shù)的支持下，企業(yè)出海的門檻大大降低，進一步催生了新一輪的企業(yè)出海熱潮。在頻發(fā)的出海企業(yè)被當(dāng)?shù)靥幜P事件以及全球趨嚴的數(shù)據(jù)安全相關(guān)出臺的背景下，中國出海企業(yè)在關(guān)注市場機遇的同時，開始將安全合規(guī)列入最高優(yōu)先級事項中。
數(shù)據(jù)隱私保護首當(dāng)其沖
全球范圍內(nèi)圍繞數(shù)據(jù)安全的立法已臻完善。目前，全球約80%的國家已經(jīng)完成數(shù)據(jù)安全和隱私立法或者已提出法律草案。尤其在過去兩年間，東南亞等地區(qū)加快修訂數(shù)據(jù)安全相關(guān)法規(guī)。更嚴格的監(jiān)管體系和框架，意味著企業(yè)出海要針對性地了解當(dāng)?shù)胤ㄒ?guī)，除了典型的“數(shù)據(jù)不出域”和“告知-同意”原則等，不同類型企業(yè)、不同用途的數(shù)據(jù)使用場景在不同國家和地區(qū)也有截然不同的監(jiān)管政策。
業(yè)務(wù)邏輯層面的風(fēng)險預(yù)判與應(yīng)對是企業(yè)“本地化”的關(guān)鍵
以跨境電商、游戲、社交等業(yè)態(tài)為代表的出海企業(yè)，不僅要打磨產(chǎn)品，更要能結(jié)合當(dāng)?shù)匚幕L(fēng)俗、商業(yè)習(xí)慣等特點凸顯“本地化”價值。但在這個過程中，出海企業(yè)會面臨更加復(fù)雜的業(yè)務(wù)邏輯層面的風(fēng)險。內(nèi)容安全風(fēng)險、信用支付欺詐等風(fēng)險都需要出海企業(yè)建立全新應(yīng)對體系和經(jīng)驗。
出海企業(yè)將面臨海外更嚴峻的網(wǎng)絡(luò)攻擊
以DDoS攻擊為例，全球企業(yè)均飽受此類攻擊困擾。騰訊安全發(fā)布的《2022年DDoS攻擊威脅報告》顯示，幾乎在所有月份，東南亞區(qū)域的 DDoS攻擊在海外區(qū)域的占比都高居第一；從行業(yè)來看，游戲行業(yè)作為DDoS攻擊的高發(fā)地，在2022年依舊被黑產(chǎn)威脅所困擾，攻擊占比在全行業(yè)中位居第一，相比2021年也有大幅提升。
趨勢七：云原生安全“一體化”將大幅副企業(yè)安全水位
在云原生技術(shù)框架下，軟件的架構(gòu)方式、生產(chǎn)方式和運行方式都發(fā)生了深刻的變革，整個安全的邊界變得更模糊、更細粒度。
以前，許多企業(yè)都采購單一的云安全產(chǎn)品，來緩解特定場景下的安全問題。但隨著全球安全形勢日益嚴峻，攻擊和漏洞層出不窮，傳統(tǒng)異構(gòu)設(shè)備堆疊式安全體系的弊端開始顯現(xiàn)，各安全產(chǎn)品孤島式分布，缺乏有效聯(lián)動，導(dǎo)致安全告警量大、威脅處置效率較低。企業(yè)安全人才儲備存在嚴重供需不匹配，許多企業(yè)都未配備專業(yè)的安全運營團隊，疊加產(chǎn)業(yè)安全相對較高的建設(shè)門檻，大量企業(yè)還處于較低的安全水位。
因此，云原生安全產(chǎn)品在提高防護能力的同時，將更加聚焦降低使用門檻，通過云上“一體化”思路快速提升中小廠商的安全水位。
一體化的綜合解決方案，可以解決企業(yè)安全設(shè)備多、安全運營難等問題，幫助企業(yè)構(gòu)建高效的云上原生安全防御體系。所謂“一體化”，并不是簡單地把一些云原生安全產(chǎn)品串聯(lián)起來，而是從產(chǎn)品、技術(shù)架構(gòu)、安全能力和運維體系等多維度進行整合打通，通過可視化平臺實現(xiàn)各道安全防線的協(xié)同聯(lián)動，打破信息孤島，做到安全不漏防，防御工事更加堅固。
此外，如今云原生安全所涉及的范圍也越來越廣，架構(gòu)也越來越復(fù)雜，包括從云原生基礎(chǔ)設(shè)施到云原生應(yīng)用、再到Devops運營管理的全方位的安全防御體系。面對如此龐雜的安全鏈條，如果僅僅憑借某一家安全廠商的技術(shù)能力和產(chǎn)品，是不可能保障云原生環(huán)境安全與穩(wěn)定的。未來，云服務(wù)提供商可以深度綁定不同領(lǐng)域的安全廠商，結(jié)合廠商的產(chǎn)品能力、研發(fā)能力等經(jīng)驗和優(yōu)勢，基于云原生的技術(shù)架構(gòu)，建設(shè)一個開放且較為有效的云原生安全環(huán)境。
趨勢八：數(shù)據(jù)風(fēng)險挑戰(zhàn)供應(yīng)鏈安全，數(shù)據(jù)安全中心持續(xù)推進安全治理
隨著全球發(fā)展進入戰(zhàn)略機遇和風(fēng)險挑戰(zhàn)并存、不確定因素增多的時期，新冠肺炎疫情、局部戰(zhàn)爭等風(fēng)險因素對全球供應(yīng)鏈的連鎖反應(yīng)已在網(wǎng)絡(luò)安全層面有所顯現(xiàn)。全球化合作與軟件開源協(xié)作使得攻擊者正處于一個非常有利的位置，更易于尋找到供應(yīng)鏈中最薄弱的環(huán)節(jié)。
《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《個人信息保護法》三部法律的頒布，以及《信息安全技術(shù)個人信息安全規(guī)范》等行業(yè)標(biāo)準(zhǔn)的實施，將數(shù)據(jù)安全治理工作提升至安全體系建設(shè)的重中之重，也成為企業(yè)供應(yīng)鏈風(fēng)險管控的核心目標(biāo)之一。
統(tǒng)籌來看，數(shù)據(jù)安全產(chǎn)品不僅包括數(shù)據(jù)庫安全防御、數(shù)據(jù)防泄露、數(shù)據(jù)容災(zāi)備份及數(shù)據(jù)脫敏等，也涵蓋關(guān)注云存儲全、數(shù)據(jù)風(fēng)險動態(tài)評估、跨平臺數(shù)據(jù)安全、數(shù)據(jù)安全虛擬防護等前瞻領(lǐng)域，因此在企業(yè)視角圍繞數(shù)據(jù)安全建設(shè)整體安全中心、在供應(yīng)鏈視角推動數(shù)據(jù)安全一致性保障，將會是應(yīng)對企業(yè)供應(yīng)鏈安全風(fēng)險的有效思路。
在數(shù)據(jù)安全合規(guī)應(yīng)對層面
快速發(fā)現(xiàn)資產(chǎn)內(nèi)是否涉及敏感信息，自動生成數(shù)據(jù)資產(chǎn)、敏感資產(chǎn)盤點、合規(guī)差距、綜合數(shù)據(jù)安全治理多維度報告，并提供相應(yīng)的技術(shù)控制能力，為數(shù)據(jù)安全法律及行業(yè)合規(guī)標(biāo)準(zhǔn)的管理要求、安全保護策略落地，提供有力的技術(shù)基礎(chǔ)。
在日常數(shù)據(jù)安全運營層面
圍繞核心數(shù)據(jù)資產(chǎn)，識別核心數(shù)據(jù)資產(chǎn)風(fēng)險，按風(fēng)險類型歸集并輸入風(fēng)險差距分析矩陣，根據(jù)數(shù)據(jù)安全場景，進行現(xiàn)狀差距分析，輸出風(fēng)險消除緩解策略，以便采取對應(yīng)的保護措施，防止數(shù)據(jù)泄露。
在綜合數(shù)據(jù)安全治理層面
基于數(shù)據(jù)安全中心，形成數(shù)據(jù)資產(chǎn)梳理、安全風(fēng)險預(yù)警、安全運營、響應(yīng)處置、安全管控六大數(shù)據(jù)安全能力，支撐業(yè)務(wù)體系做好數(shù)據(jù)分級分類、訪問權(quán)限控制、數(shù)據(jù)加密、數(shù)據(jù)脫敏、數(shù)據(jù)備份等數(shù)據(jù)安全基礎(chǔ)能力建設(shè)，構(gòu)建管理、技術(shù)、流程閉環(huán)與持續(xù)運營監(jiān)測響應(yīng)數(shù)據(jù)安全治理能力。
趨勢九：ChatGPT大模型AI計算廣泛應(yīng)用安全領(lǐng)域，攻防進入智能化對抗時代
人工智能技術(shù)為各行各業(yè)的業(yè)務(wù)和人們的生活帶來了巨大的發(fā)展?jié)摿Γ矠榫W(wǎng)絡(luò)安全形勢帶來前所未有的挑戰(zhàn)。人工智能是一把雙刃劍，一方面，人工智能可用于提高網(wǎng)絡(luò)安全的效率，包括自動檢測和響應(yīng)威脅、智能識別漏洞；另一方面，黑客也可將人工智能技術(shù)用于網(wǎng)絡(luò)犯罪活動， 這將是對網(wǎng)絡(luò)安全的真正威脅。以ChatGPT為代表的人工智能技術(shù)掀起新一輪的人工智能革命，也會引發(fā)潛在新型攻擊和內(nèi)容合規(guī)等安全風(fēng)險。
ChatGPT基于強大的基礎(chǔ)模型、高質(zhì)量的樣本數(shù)據(jù)、基于人類反饋的強化學(xué)習(xí)三大能力，帶來了巨大的可能性。然而隨著生成式人工智能技術(shù)的進步，網(wǎng)絡(luò)攻擊者可以輕松地進行微調(diào)和針對性的攻擊，因此ChatGPT將對網(wǎng)絡(luò)安全構(gòu)成嚴重的威脅。目前，網(wǎng)絡(luò)攻擊者已開始使用ChatGPT創(chuàng)建惡意軟件、暗網(wǎng)站點和其他實施網(wǎng)絡(luò)攻擊的工具。
此外，使用ChatGPT編寫用于網(wǎng)絡(luò)攻擊的惡意軟件代碼，將會大大降低攻擊者的編程或技術(shù)能力門檻，將導(dǎo)致即使沒有技術(shù)基礎(chǔ)也能成為攻擊者。
同時，人工智能賦能網(wǎng)絡(luò)攻擊與傳統(tǒng)網(wǎng)絡(luò)攻擊在技術(shù)與手法上相比，將使過去勞動密集型、成本高昂的攻擊手法開始徹底轉(zhuǎn)型，朝著分布式、智能化、自動化方向發(fā)展，從而形成更為精準(zhǔn)和快速的自動化攻擊手法。未來，隨著大模型AI計算被廣泛應(yīng)用于網(wǎng)絡(luò)攻擊各個領(lǐng)域，網(wǎng)絡(luò)安全形勢將更加嚴峻，攻防真正進入智能化對抗時代。
趨勢十：多重勒索成為常態(tài)勒索攻擊對產(chǎn)業(yè)安全威脅有增無減
勒索軟件攻擊持續(xù)在發(fā)生，影響范圍從個人電腦到關(guān)鍵基礎(chǔ)設(shè)施，甚至連一些國家安全水平最高的部門也未能幸免。云計算開源產(chǎn)業(yè)聯(lián)盟《勒索軟件防護發(fā)展報告（2022年）》顯示，2022年1-6月，全球共記錄了2.361億次勒索軟件攻擊；世界經(jīng)濟論壇《2022年全球網(wǎng)絡(luò)安全展望報告》稱，勒索軟件損害預(yù)計將從2015年的3.25億美元增長到2031年的2650億美元。
雖然勒索攻擊已經(jīng)是老生常談，但由于并沒有防御“銀彈”，加之供應(yīng)鏈帶來的攻擊面的擴大、勒索攻擊手法持續(xù)進化等原因，企業(yè)遭受到的勒索攻擊威脅不減反增。
早期，勒索攻擊的形態(tài)是加密文件、要求支付贖金來解密文件，如果企業(yè)能保持數(shù)據(jù)備份的習(xí)慣，能在一定程度上規(guī)避勒索病毒的影響，但近兩年攻擊者不斷升級攻擊手法，開始往雙重勒索或者多重勒索方面演進。雙重勒索也被稱為“點名羞辱”，攻擊者在運行勒索病毒之前先竊取重要數(shù)據(jù)，因此除了直接索取解密贖金之外，還可以通過威脅將數(shù)據(jù)披露到暗網(wǎng)或者公諸于眾等方式加大受害者的壓力；多重勒索則是以受害者的和客戶或供應(yīng)商為攻擊目標(biāo)。
Venafi對全球范圍內(nèi)1000多位IT和安全決策者進行了調(diào)查，結(jié)果顯示83%的成功勒索軟件攻擊涉及其他勒索方法，例如使用被盜數(shù)據(jù)勒索客戶（38%），將數(shù)據(jù)泄露到暗網(wǎng)（35%），以及告知客戶其數(shù)據(jù)已被泄露（32%）。
2022年的《報告》指出，未來有可能出現(xiàn)“勒索病毒”+“供應(yīng)鏈漏洞”的結(jié)合，這一擔(dān)憂成為現(xiàn)實：勒索病毒利用Log4j\ Springboots等幾個影響廣泛的供應(yīng)鏈漏洞大肆傳播，加之勒索軟件即服務(wù)(RaaS)等 黑灰產(chǎn)工業(yè)化、專業(yè)化程度提升，勒索攻擊門檻進一步降低、影響面指數(shù)級擴大，或?qū)Σ煌袠I(yè)、不同體量的企業(yè)造成無差別攻擊。
企業(yè)在數(shù)字化進程中還將持續(xù)面臨勒索病毒的威脅。一方面，安全廠商需要推動更有效的勒索病毒防治相關(guān)產(chǎn)品的研發(fā)；
另一方面，由于勒索攻擊實際上是對企業(yè)安全建設(shè)薄弱環(huán)節(jié)的利用，任何一個疏漏都有可能導(dǎo)致攻擊的發(fā)生，因此要想加強應(yīng)對能力，企業(yè)需要從源頭把安全縱深防御的基線筑牢、構(gòu)筑內(nèi)生免疫能力，并通過勒索病毒防治方案“加強針”實現(xiàn)對勒索攻擊的免疫。
雷峰網(wǎng)(公眾號：雷峰網(wǎng))雷峰網(wǎng)
