如果說互聯(lián)網(wǎng)開啟了“數(shù)字化生存”時代，那么，智慧城市為我們許諾的則是“數(shù)字化生活”。從“叢林”到都市，從生存到生活，人們在享受智慧城市“萬物互聯(lián)”的同時，對信息安全的焦慮也在與日俱增。一座智慧城市的良心：不是下水道，而是信息安全的“基建”水平。
在目前的信息化時代，基于信息技術(shù)的各種應(yīng)用不斷出現(xiàn)，電子商務(wù)、實時GIS服務(wù)（地理信息系統(tǒng)服務(wù)）、在線社交、網(wǎng)絡(luò)大文娛、視頻直播等信息技術(shù)的發(fā)展。特別是2020年，Covid-19的全球性爆發(fā)，極大地改變了人們的生產(chǎn)和生活方式，遠(yuǎn)程辦公、遠(yuǎn)程問診、在線教育等社會服務(wù)蓬勃發(fā)展，加之5G的快速推進(jìn)，促使著人們對城市服務(wù)提出了更高的要求，催生了新時代信息化的城市基礎(chǔ)設(shè)施建設(shè)的安全需求。隨之而來新基建的推進(jìn)，以信息技術(shù)為代表的科技進(jìn)步，提供了城市發(fā)展和創(chuàng)新的新思路，智慧城市由此誕生并日益成熟，“云在算、數(shù)在轉(zhuǎn)、機(jī)器在干”正在成為人類生活的普遍形態(tài)。
而隨著智慧城市信息業(yè)務(wù)的展開，越來越多的網(wǎng)絡(luò)安全隱患逐漸暴露，網(wǎng)絡(luò)詐騙事件和數(shù)據(jù)泄露事件常常見諸報端，如明星健康寶照片泄露，1,000多位藝人的身份證號僅售1元；鎮(zhèn)江丹陽警方偵破的侵犯公民個人信息案件，30人販賣6億條個人隱私數(shù)據(jù)，獲利800余萬；杭州中院公開庭審“中國人臉識別第一案”。從此種種，我們發(fā)現(xiàn)在智慧城市的構(gòu)建中不僅要注重信息技術(shù)發(fā)展的便捷性，還需必要性地考慮信息化建設(shè)的網(wǎng)絡(luò)安全性問題。
近日安全牛有幸邀請到杭州安恒信息技術(shù)股份有限公司高級副總裁楊勃先生，圍繞智慧城市如何建設(shè)信息安全等話題展開了一系列討論與分享。
當(dāng)前，智慧城市和新基建成為目前城市發(fā)展的主旋律，根據(jù)您的從業(yè)經(jīng)驗，當(dāng)前智慧城市建設(shè)中的安全痛點有哪些？
楊勃：由于城市信息化的需求，智慧城市在構(gòu)建之初搭載了一系列的信息化基礎(chǔ)設(shè)施來滿足城市居民的衣食住行。特別是政務(wù)、商務(wù)等業(yè)務(wù)陸續(xù)上云后，網(wǎng)絡(luò)與資源從集中封閉的實體化逐漸呈現(xiàn)出分布式虛擬化的特征，從而引起了多云業(yè)務(wù)復(fù)雜化和邊界模糊化。云上的網(wǎng)絡(luò)應(yīng)用和數(shù)據(jù)快速增長，多種業(yè)務(wù)的開展形成了云資源的多樣化和巨量化，各類個人信息和業(yè)務(wù)信息使得數(shù)據(jù)價值高，網(wǎng)絡(luò)應(yīng)用風(fēng)險也隨之增加。
從技術(shù)生態(tài)體系上來說，我們通常把智慧城市構(gòu)建分為云—網(wǎng)—數(shù)—端這四部分。從云端的計算服務(wù)和資源調(diào)動，到龐大網(wǎng)絡(luò)系統(tǒng)的交互傳輸，再到大數(shù)據(jù)的全生命周期，最終到具體用戶場景的端點應(yīng)用，整套體系環(huán)環(huán)相扣、相互作用，沒有信息安全的智慧城市構(gòu)建，就像是沒有鎖的防盜門，結(jié)實的門板看似堅不可破，卻可輕松打開。
而智慧城市網(wǎng)絡(luò)結(jié)構(gòu)中，多云業(yè)務(wù)復(fù)雜化，網(wǎng)絡(luò)邊界模糊化以及云資源的多樣化和巨量化，無論在技術(shù)上和管理上都對信息安全的構(gòu)建提出了更高水平更嚴(yán)格的要求，但由于建設(shè)系統(tǒng)的龐大性與復(fù)雜性、網(wǎng)絡(luò)惡意攻擊的不斷升級等因素，導(dǎo)致網(wǎng)絡(luò)空間在互聯(lián)網(wǎng)蓬勃發(fā)展同時，逐漸表現(xiàn)出與信息安全建設(shè)的不平衡性。
您剛才提到的網(wǎng)絡(luò)信息化發(fā)展與信息安全建設(shè)的不平衡性，請問這種不平衡性主要表現(xiàn)在什么方面，可以展開講講嗎？
楊勃：如2020年的Covid-19事件，在線辦公、網(wǎng)課服務(wù)、遠(yuǎn)程醫(yī)療逐漸深入人們的生活。在2020年上半年，在線業(yè)務(wù)噴井式發(fā)展，企業(yè)信息資產(chǎn)迅速增加，為了完成快速的迭代或上線，部分企業(yè)的很多在線端口在完成某個特定任務(wù)之后并沒有及時關(guān)閉或納入常規(guī)化管理，從而導(dǎo)致部分?jǐn)y帶重要用戶信息或企業(yè)信息的網(wǎng)絡(luò)資產(chǎn)成了“三不管”，在互聯(lián)網(wǎng)中長期開放。2020年，社交媒體爆出了不少案例，如未妥善管理的云主機(jī)遭遇病毒感染，服務(wù)器數(shù)據(jù)被惡意加密，暗鏈、掛馬、篡改事件常有發(fā)生，勒索、網(wǎng)絡(luò)詐騙事件層出不窮。這些網(wǎng)絡(luò)安全事件嚴(yán)重干擾了企業(yè)的正常業(yè)務(wù)的開展，甚至某些網(wǎng)絡(luò)安全事件危及企業(yè)的生存。
與此同時，高價值的數(shù)據(jù)信息，讓這一生態(tài)有利可圖。根據(jù)安恒的安全數(shù)據(jù)大腦對全球約200個黑客組織的長期跟蹤，我們發(fā)現(xiàn)，近年來黑客組織已經(jīng)逐步集團(tuán)化和專業(yè)化，一些代表某些地域利益或民族利益的國際性黑客團(tuán)伙常年活躍在互聯(lián)網(wǎng)中，并且由于利益可觀，黑客組織還在實時更新攻擊手段和工具。
對于智慧城市而言，城市中的經(jīng)濟(jì)主體龐大、人口眾多，近幾年由于法律法規(guī)與網(wǎng)絡(luò)監(jiān)管的力量，以及相關(guān)單位持續(xù)舉辦如凈網(wǎng)行動、護(hù)網(wǎng)行動這類網(wǎng)絡(luò)安全活動，政府和事業(yè)單位的安全狀態(tài)日漸好轉(zhuǎn)；而對于企業(yè)，很多企業(yè)在網(wǎng)絡(luò)空間處于孤軍奮戰(zhàn)的狀態(tài)，或者由于業(yè)務(wù)和市場需求的風(fēng)口式發(fā)展，網(wǎng)絡(luò)安全很多時候需要妥協(xié)于業(yè)務(wù)。不可忽視的是由于企業(yè)的安全建設(shè)投入大，安全運營成本高，導(dǎo)致企業(yè)特別是中小型企業(yè)，在網(wǎng)絡(luò)安全建設(shè)中處于弱勢地位。因此，智慧城市的網(wǎng)絡(luò)安全整體態(tài)勢參差不齊，企業(yè)安全是智慧城市網(wǎng)絡(luò)安全領(lǐng)域的薄弱點之一。智慧城市，亟需構(gòu)建一套完整的網(wǎng)絡(luò)安全聯(lián)動防御體系。
很多企業(yè)用戶在做安全建設(shè)中，無法很好地選擇適合自己的安全防護(hù)計劃，請問您有什么建議？
楊勃：不同規(guī)模的企業(yè)，在安全規(guī)劃上的投入有一定的差別。
對于中小企業(yè)：建議采用輕量化、軟件化和SaaS化的安全防護(hù)計劃，主要做好防篡改、防泄漏、防中斷和防勒索這四個方面。
對于大型企業(yè)：一般具有體量較大、數(shù)據(jù)較多和系統(tǒng)復(fù)雜等特點，因此建議實體化、體系化和實戰(zhàn)化安全防護(hù)建設(shè)方案，如“實戰(zhàn)化防護(hù)七劍四式”方案，提供實體化、體系化和實戰(zhàn)化安全防護(hù)建設(shè)方案、產(chǎn)品和服務(wù)，滿足企業(yè)的等保合規(guī)要求和安全防護(hù)需求。主要表現(xiàn)以下五步為：
第一步：安全意識，等保合規(guī)
第二步：查漏補(bǔ)缺，摸清家底
第三步：安全監(jiān)測，威脅情報
第四步：數(shù)據(jù)安全，縱深防御
第五步：持續(xù)運營，統(tǒng)一管理
某些初創(chuàng)企業(yè)沒有組建專門的安全團(tuán)隊，如何幫助他們做好自身的網(wǎng)絡(luò)安全工作呢？
楊勃：在云計算發(fā)展蓬勃趨勢與相關(guān)政策法規(guī)保障的雙重條件下，中小型企業(yè)乘著云的力量，實現(xiàn)算力上云，在云上享受良好的企業(yè)服務(wù)。對于網(wǎng)絡(luò)安全工作，基礎(chǔ)性的安全能力是云平臺自身賦予的，對于增值性的安全能力，如終端安全、數(shù)據(jù)安全等，可通過SaaS化安全服務(wù)實現(xiàn)，實現(xiàn)一站式安全服務(wù)全托管，投入少，見效快。
您認(rèn)為安全建設(shè)工作中，良好的交付模式將會是什么樣的？
楊勃：信息安全，將會是城市智慧建設(shè)工作的一塊重要木板，而企業(yè)安全，將決定這塊重要木板中的長度。安全賦能企業(yè)，將會以兩種形式出現(xiàn)：
創(chuàng)新安全服務(wù)模式，通過統(tǒng)一能力方式，為企事業(yè)單位輸出強(qiáng)有力的安全分析、編排、響應(yīng)和運營能力，對算力、數(shù)據(jù)、流程和機(jī)制等提供完整的創(chuàng)新安全服務(wù)，再在威脅信息共享、安全知識培訓(xùn)等內(nèi)容的支撐下，為安全結(jié)果負(fù)責(zé)。
共享安全平臺模式，通過統(tǒng)一建設(shè)平臺，服務(wù)多個企業(yè)對象的模式來降低單個用戶的安全建設(shè)成本，協(xié)助等保預(yù)測評并幫助解決等保測評后存在的安全技術(shù)問題。通過一站式的安全解決方案，集中化、集約化地為不同的企業(yè)用戶提供不同的安全套餐，為更多用戶提供服務(wù)。
上了一系列的安全防護(hù)體系之后，是否可以萬無一失？
楊勃：沒有萬無一失，只有未雨綢繆。除了聯(lián)動響應(yīng)和縱深防御之外，網(wǎng)絡(luò)安全保險服務(wù)將是為安全技術(shù)服務(wù)兜底的最佳選擇。
網(wǎng)絡(luò)安全保險服務(wù)，可實現(xiàn)對用戶信息系統(tǒng)事前預(yù)防（風(fēng)險評估、系統(tǒng)加固）、事中防護(hù)（實時監(jiān)測、應(yīng)急響應(yīng)）、事后補(bǔ)償（保險賠付）的全周期保障。用戶可根據(jù)自身需求和風(fēng)險偏好，選擇合適的保障范圍和保險額度。該保險服務(wù)可覆蓋第一方風(fēng)險和第三方風(fēng)險，針對第一方的保險責(zé)任主要針對投保企業(yè)自身的資產(chǎn)，包含網(wǎng)絡(luò)安全事件造成的業(yè)務(wù)中斷損失、網(wǎng)絡(luò)勒索損失、數(shù)據(jù)泄露損失、企業(yè)名譽損失和法律費用等；針對第三方的保險責(zé)任主要包括第三方數(shù)據(jù)的泄露、丟失、損壞等風(fēng)險。
因此，更加實惠便捷的網(wǎng)絡(luò)安全保險服務(wù)，是作為轉(zhuǎn)移信息系統(tǒng)安全剩余風(fēng)險的有效輔助措施，有效實現(xiàn)了“有防有保”的網(wǎng)絡(luò)安全風(fēng)險管理閉環(huán)新模式。