合力應對數字化時代安全挑戰 首屆數字風險峰會成功舉辦
原創【51CTO.com原創稿件】當前，人類社會正由信息化向數字化演進，數字化已是很多企業的核心戰略，數字技術也已成為社會快速發展的核心基礎及創新原動力。然而，云計算、物聯網、人工智能等新數字技術的出現也帶來了新的安全風險，提出了新的安全需求。
在此背景下，為了進一步打破傳統安全防護的邊界，有效應對數字風險，加強行業用戶、審計監管部門以及技術廠商間的交流研討，中國內部審計協會、北京國家會計學院、國際信息系統審計協會（ISACA）、北京谷安天下于10月26日聯合舉辦了2019首屆數字風險峰會(DRS)，會議邀請了信息化建設、企業風險管理以及內部審計領域的國際專家、權威學者及企業數值化轉型的先行者，共同探討了在企業數字化轉型趨勢下，如何構建有中國特色的數字風險管理應對之道。
直擊數字時代安全，各路大咖出謀劃策
在致辭中，中國電子信息產業集團首席科學家方濱興表示：“數字化的過程，一定伴隨著新的安全過程，而‘安全過程’不單是數據安全，數據安全僅是安全的細分領域。數字化依賴于平臺，平臺的可靠性和穩定性使企業數字面臨著各種各樣的脆弱和不確定性，從而產生了數字風險。如何有效控制風險是現在企業面臨的主要問題，需要安全、業務、管理、審計等多個部門，加強協作、共同探索。”
談起如何應對安全風險，國際信息系統審計協會ISACA全球CEO David Samuelson認為，在數字化時代，企業需要采取各種方法消除風險，但這并不意味著企業要避免所有風險，因為風險也會帶來機會。因此，風險應該管理，而不是消除。風險管理就是要幫助企業接受風險，擴大企業目標，為客戶和利益相關者帶來更大的價值。“我們相信，專注于目標，通往有效風險管理的道路將更加清晰。”
中國內部審計協會副會長兼秘書長沈立強指出，數字風險已成為一項影響組織目標實現的關鍵風險。與傳統風險相比，數字風險呈現出三大特點：第一，數字風險廣泛存在于組織的方方面面；第二，數字風險的復雜性決定了應對風險的難度更高，對風險的管理也會涉及到多個領域的知識和技能；第三，數字風險可能會在極短時間內給組織在戰略和聲譽上造成沉重的打擊。
“這對企業內部審計人員提出了更高的要求，需要不斷提升在相關領域的業務能力。” 沈立強表示，首先，需要熟知組織的數字化發展規劃，深入理解其中包含的關鍵舉措和相關技術。其次，內部審計還要與組織內部的其他職能密切協作，整合資源，形成對風險的統一認識以及二三道防線聯動的工作機制。此外，還需要通過不斷提升在相關領域的業務能力，為數字化轉型和發展的決策者提供富有價值的信息和建議，成為幫助組織應對數字風險的關鍵助力。
北京國家會計學院院長秦榮生表示：“我們應以全新視角去理解數字安全問題，因為數字安全問題未必出現在組織原有的體系內，而可能是發生在體系外。現在，數字安全已經成為國家、社會乃至全人類的問題。傳統安全觀以攻防為主體，面對新的數字生態，應該跳出攻防概念，以協作為基礎，推動政府、組織、個人聯動，共同提高防護措施，構建數字安全的整體體系。只有從根本上轉變安全觀念，提升安全認知維度，才能真正地以安全為驅動力，構建真正意義上的數字安全新生態。”
北京谷安天下公司董事長、谷安研究院院長陳偉認為：“數字化在給我們帶來機會的同時，也必然帶來許多新的風險。在企業數字化應用環境下，風險管理相關部門（風險、內控及審計）將很難沿用傳統的‘先找監管規范，再建內控體系，后進行審計’的傳統方法，技術的快速發展、市場的快速變化將使傳統風險管理逐步進入無‘規’可依的境地，‘鼓勵創新’與‘風險控制’未來將是一對矛盾體，對風險管理相關部門將是一個需要長期面對的挑戰。”
行業專家共話實踐，談數字風險應對之道
中國建設銀行信息總監金磐石坦言，數字化時代，“風控體系建設”已經成為數字銀行建設的重中之重，風險防護能力已經成為衡量一家商業銀行金融科技創新能力的首要標準。
他指出，在風險防控能力建設上，中國建設銀行主要聚焦三大方面：第一，安全與體驗平衡，在防控風險的同時兼顧客戶體驗；第二，實施動態調整策略，針對不同等級賬戶采取差異化的安全管控策略；第三，主動防御措施，通過監測外部泄漏數據、風險傳播渠道、暴力猜解行為以及主動識別釣魚網站等手段，主動出擊應對交易風險。最終，通過利用大數據分析技術及人工智能手段，中國建設銀行已成功做到風險看得見、風險理的清、風險控得住。
隨著政務大數據與安全“同步”進入新的發展階段，大數據技術在電子政務中得到廣泛應用。數據資產權益就是現實資產在網絡社會中的投影，數據資產權益保護也顯得愈發重要。ISACA中國專家委員會委員劉滌西指出，人類只要還有未被云化的生產、生活方式，互聯網應用就有創新的動力；社會只要還有未被完整描述和轉化的人與人、人與物的關系，信息安全就有發展的方向，總而言之，即“數據暨世界、應用暨生活、安全暨社會”。
中國醫藥健康產業信息化聯盟理事長雷萬云則認為：“基于云計算的系統思維可以將數字化時代的安全體系分成管理體系、運維體系和技術體系，從而進一步持續改進、更新。對于大型政企單位，可以逐漸建設成圍繞數據的安全保護系統，將內外組件化，達到快速響應，使安全賦能企業、保障業務安全且有效的進行。”
阿里巴巴集團內控總監周佳敏指出，數據驅動需要內控、內審團隊共同推動，協調長期資源，整合線上信息，將數智化之后的數據作為決策依據并給出最后的判斷。產品建設要抓具體業務場景，解決具體問題，賦予COSO方法論完成數據化平臺建設，最終形成全經濟多業態數據風控解決方案。最終，希望形成數據驅動、產品助力、專家服務三位一體的模式，使風控融合在業務全鏈路中：決策預判風險，事前布控事中監控，事后檢查和復盤，讓風險無處可逃。
CMMI研究院中國卓越中心負責人胡偉健表示，今天，數據正在從傳統靜態的、被動的變遷成動態、流動的，已成為一種重要資產。同時，數據也正在從單純的物理結構，轉變成和場景有關的內容。因此，在數字化時代，我們對數據有了三個（3A）基本要求：準確、可用、可獲得，并且數據必須同企業的業務成果相互聯系。
“面對復雜的數字化環境下的風險管理，我們正在基于數據分析、快速識別、衡量以及監控客戶和產品風險，構建一個數據管理成熟度模型DMM，該模型不僅可以作為一個測量工具，更是一種能夠衡量企業數據管理能力的實踐框架。” 胡偉健分享說。
會議當日，除了以上嘉賓精彩演講，來自安全廠商，奇安信集團副總裁鄔怡在演講中與大家分享了新安全體系如何助力企業數字化轉型。他表示：“企業面對有組織的攻擊，顯得十分脆弱，網絡安全需要‘內生安全’，以往傳統的安全防護手段局限在外部的互聯網，現在必須把安全能力構建在內部的業務系統上，從而保證信息化系統能生長出安全能力。內生安全實現的四要素：新機制、技術集合、數據聚合、人的聚合，強調了在信息化建設的方方面面，充分考慮引入并融合安全能力，以應對數據集中之后帶來的內部威脅日益增長。”
普華永道中國合伙人季瑞華認為，企業要善用大數據以賦能業務發展。審計技術應用的演變，從數據分析到人工智能的過程中存在很多機遇和挑戰。在普華永道，我們已經實現了多維度數據分析，全面提升了企業對于特定領域的洞察能力。通過大數據技術賦能風險管理，對于如何合理使用數據應當重點關注以下四點：善用內部數據；尋找可實現增值的數據源；搭建數據治理體系，強化數據安全保護和合規；不斷測試、學習、調整。
寫在后面
“風險”的重要內涵就是要實現控制，因為風險是不可避免的，而資源是有限的，所以要將風險控制在可接受的范圍內。隨著數字化經濟、社會數字化程度的提高，數字風險必將成為全社會的關注重點。只有將數字風險合理的控制，才能更好的發展數字經濟，迎接數字世界的到來，這也正是數字風險大會召開的意義所在。
【51CTO原創稿件，合作站點轉載請注明原文作者和出處為51CTO.com】
