數(shù)字時代一基于行業(yè)最佳實踐的安全保護框架

PCSA●數(shù)世咨詢●數(shù)說安全●CIO時代/安全學院中國信息協(xié)會信息安全專業(yè)委員會聚合中國關(guān)鍵安全能力，賦能數(shù)字智能時 研究背景：安全從合規(guī)走向?qū)崙?zhàn)&協(xié)智能化、智慧化信息化體系化第一階段：合規(guī)基礎(chǔ)驅(qū)動2004-2016數(shù)據(jù)化數(shù)字化第二階段：實戰(zhàn)強化驅(qū)動2016年-十四五n運營單位需要滿足監(jiān)管新要求，實現(xiàn)看管監(jiān)控一體化，面對實戰(zhàn)化，實現(xiàn)平戰(zhàn)結(jié)合一體化，安全走向場景業(yè)務(wù)化、平臺化、運營化，亟待解決多年共性問題頑疾，實第三階段：協(xié)同保護驅(qū)全安全政策：密集出臺運營單位應(yīng)接不國際安全形勢日趨嚴峻，監(jiān)管日趨嚴格，安全法律法規(guī)密集出臺，各行業(yè)開展十四五安全規(guī)劃，如何進行多體系融合，國際安全形勢日趨嚴峻，監(jiān)管日趨嚴格，安全法律法規(guī)密集出臺，各行業(yè)開展十四五安全規(guī)劃，如何進行多體系融合，需要一個能夠參考的安全保護框架，將安全戰(zhàn)略與業(yè)務(wù)發(fā)展融合，原體系與新要求融合，安全管理、技術(shù)與運營融合一體化，監(jiān)管視角看管監(jiān)控融合一體化，實戰(zhàn)場景下的平戰(zhàn)融合一體化?！踩ぷ鳎簭睦Щ蟮角謇Щ蠹皢栴}困惑及問題持續(xù)研究持續(xù)研究新時代新時代安全保護框架積木式積淀積木式積淀感謝感謝：數(shù)十個產(chǎn)業(yè)、行業(yè)安全專家共同研討，凝聚智慧結(jié)晶，形成較為清晰、可落地實踐的安全保護框架！安全保護框架的定安全運營單位適度全局適度全局行業(yè)共性答疑解惑行業(yè)共性答疑解惑不同角色不同視角不同困惑共性問題共性頑疾共性經(jīng)驗宏觀全局中觀架構(gòu)微觀要素演示者-----------------------------------------------------------------------總體國家安全觀：國家網(wǎng)絡(luò)空間安全戰(zhàn)略+（網(wǎng)絡(luò)安全法律法規(guī)標準規(guī)范及監(jiān)管要求、組織戰(zhàn)略） 二、“3”個安全體系：融合一體化安全管理體系、安全技術(shù)體系、安全運營體系 三、“3”個保護層次：模塊合規(guī)基礎(chǔ)保護層、實戰(zhàn)強化保護層、指揮協(xié)同保護層四、“4”四、“4”個重要支柱：有效落資源保障、能力提升安全常態(tài)化背景、安全業(yè)務(wù)化趨勢法律法規(guī)標準規(guī)范：覆蓋網(wǎng)絡(luò)安全、數(shù)據(jù)安全、密碼安全、個人信息保護、供應(yīng)鏈安全、關(guān)鍵信息基礎(chǔ)設(shè)監(jiān)管部門及行業(yè)主管部門要求：網(wǎng)信辦、公安部、密碼管理局、工信部、國資委、人民銀行、能源局等監(jiān)9完善安全管理體系、安全技術(shù)體系，構(gòu)建安全運營體系，實現(xiàn)安全管理、安全運營、安全技術(shù)的常態(tài)安全技術(shù)體系：梳理保護措施、整合防護手段、構(gòu)建安全管理體系：落實管理制度、優(yōu)化管理組織、強化安全運營體系：組建運營團隊、制定運營流程、搭建演示演示者兩個三兩個三對調(diào)融合：將安全管理體系、安全技術(shù)體系融入到安全將安全管理體系中建立的各類制度標準、組建的團隊融合：將安全管理體系、安全技術(shù)體系融入到安全將安全管理體系中建立的各類制度標準、組建的團隊人才融入安全運營體系，實現(xiàn)安全管理指標化、管理將安全技術(shù)體系中建立的各類安全能力探針融入到安強化：面向體系化對抗，強化安全管理和安全技術(shù)延伸：面向系統(tǒng)性風險，聚焦供應(yīng)鏈安全，延伸安指揮協(xié)同保護層：聚焦多場景、多角色、多視角合規(guī)基礎(chǔ)保護層：主要完成IT基礎(chǔ)環(huán)境中供應(yīng)鏈安全（“清潔的空氣、干凈的水、安全的食物”）合規(guī)基礎(chǔ)保護層：供應(yīng)鏈安供應(yīng)鏈安全：加強ICT供應(yīng)鏈管理，落實網(wǎng)絡(luò)安全在安全管理層面，不斷健全制度、完善機制、構(gòu)建組織、梳理底賬；在安全技術(shù)層面，通過準入驗證、安面對供應(yīng)商、第三方人員、信息服務(wù)、軟件開發(fā)、系統(tǒng)硬件及系統(tǒng)軟件等不同對象，有針對性地落實網(wǎng)絡(luò)合規(guī)基礎(chǔ)保護層：合規(guī)安合規(guī)安全：通過等級保護、F級保護、數(shù)據(jù)安全、密碼保護、商業(yè)秘密保護、個人信息保護等合規(guī)工作的開展，逐步積淀出安全管理體系、安全技術(shù)體系安全管理體系：聚焦管理制度、管理組織、人員管理、安全技術(shù)體系：聚焦物理安全、網(wǎng)絡(luò)安全、主機安全、實戰(zhàn)強化保護層：重點關(guān)鍵點-資產(chǎn)安全運保護對象由信息系統(tǒng)、云計算、工業(yè)控制系統(tǒng)、物聯(lián)構(gòu)建資產(chǎn)與業(yè)務(wù)、服務(wù)、端口、權(quán)責等細粒度的關(guān)聯(lián)實現(xiàn)輕量與全量、歷史與實時、動態(tài)與靜態(tài)的資產(chǎn)安實戰(zhàn)強化保護層：重點關(guān)鍵點-數(shù)據(jù)安全運數(shù)據(jù)安全運營：建立以數(shù)據(jù)權(quán)益保護為核心的數(shù)據(jù)在數(shù)據(jù)全生命周期保護的基礎(chǔ)上，聚焦數(shù)據(jù)價值釋放緊抓數(shù)據(jù)分類分級分層保護、數(shù)據(jù)確權(quán)、主責數(shù)據(jù)控制與保護、流動安全監(jiān)管、數(shù)據(jù)流動審計追溯等關(guān)鍵打造數(shù)據(jù)安全運營中心，深度融合數(shù)據(jù)安全技術(shù)、管理、運營、監(jiān)管，實現(xiàn)安全監(jiān)管一體系、數(shù)據(jù)態(tài)勢一實戰(zhàn)強化保護層：重點關(guān)鍵點-智能化安全運智能安全中樞：聚合可信任、可訓練、可持續(xù)的數(shù)據(jù)，利用智能分析與算法對抗主引擎，構(gòu)建由“認知域、神全維全域監(jiān)測：建立橫向到邊、縱向到底全方位監(jiān)測能力，實現(xiàn)能力生態(tài)化支撐下的多維度安全狀態(tài)與風險的快速持續(xù)響應(yīng)：建立平戰(zhàn)結(jié)合、多角色聯(lián)動的快速持續(xù)精準研判預測：基于可信數(shù)據(jù)源，利用多類規(guī)則算法進動態(tài)縱深防御：根據(jù)研判預測結(jié)果，基于劇本自動化編指揮協(xié)同保護層業(yè)主管部門、與行業(yè)單位之間的協(xié)同機制，實現(xiàn)安組織內(nèi)部協(xié)同：明確組織內(nèi)部安全相關(guān)人員的責權(quán)利邊監(jiān)管部門、行業(yè)主管部門協(xié)同：從安全監(jiān)管視角，協(xié)同行業(yè)單位協(xié)同：基于各行業(yè)特性，建立行業(yè)運營單位看信息共享：建立信息共享機制，實現(xiàn)安全事件、漏洞信息、情報信息、最佳實踐等在組織內(nèi)部、行業(yè)、監(jiān)管部指揮協(xié)同：建立協(xié)同指揮機制，聚焦資源協(xié)同、能力協(xié)同、應(yīng)急協(xié)同、生態(tài)協(xié)同等，實現(xiàn)組織內(nèi)外部統(tǒng)一指揮安全保護框架：“4”個重要支柱—背景與趨安全保護框架：“4”個重要支柱—保障與提戰(zhàn)略層：全組織、全流程宣貫組織層：決策-管理-執(zhí)行-運營組織架構(gòu)資金層：統(tǒng)一規(guī)劃、分階段持續(xù)投入業(yè)務(wù)洞悉能力：洞悉并匹配業(yè)務(wù)愿景、數(shù)字化規(guī)劃、行業(yè)特點、發(fā)展步調(diào)四同步能力：同步規(guī)劃、同步標準、同步建設(shè)、同步使用軟硬實力：提升安全意識、人才技能，打造平臺工具，具備安全威懾能力再次感謝各位專家的真知灼見?。?！研究團隊將持續(xù)研究落地行業(yè)歡迎聯(lián)系研究組推演過程以安全場景化、安全模塊化、安全業(yè)務(wù)化為積淀，結(jié)合多年安全實戰(zhàn)經(jīng)驗，參考并借鑒國際安全保護框架優(yōu)秀思路，經(jīng)歷持續(xù)、大量的研討、評判、推翻、重來、修訂的推演打磨，形成了《數(shù)字時代—基于行業(yè)最佳實踐的安全保護框架》?！芯繄F隊簡介中國信息協(xié)會信息安全專業(yè)委員會PCSA安全能力者聯(lián)盟/安全研究院數(shù)世咨詢數(shù)說安全CIO時代/安全學院協(xié)會指導下籌建并由民政部批準成立，領(lǐng)導機構(gòu)為主任委員會，聘請何德全、沈昌祥、方濱興院士為顧蓋了信息安全的各個領(lǐng)域，包括信息安全主管部門、國家重要基礎(chǔ)設(shè)施單位、信息安全保障機構(gòu)、軍方能安全等領(lǐng)域，解決行業(yè)長期共性頑疾與共性痛點，持續(xù)為用戶打造安全中樞；【定位】數(shù)字安數(shù)字安全業(yè)務(wù)平臺化、數(shù)字安全業(yè)務(wù)運營化；【致力于】研究問