痛點與要點：中國企業網絡安全現狀及需求分析
企業網絡安全三分靠技術，七分靠管理。只有認清現狀，利用有限的資源，圍繞數據安全的核心任務，從需求出發，面向安全威脅，以安全建設和安全運營為根本手段，才能最終提高網絡安全相關風險管理水平。繼上一篇《大數據解讀中國網絡安全人才市場現狀》之后，我們再次邀請到智聯招聘安全總監張坤，從安全威脅、安全管理和安全需求的角度，為我們刨析中國企業網絡安全現狀。在《人才篇》和《需求篇》之后，我們還將發布《建設篇》，重點討論企業網絡安全團隊建設，作為本系列中國網絡安全市場分析的終章。
中國企業網絡安全現狀的四個重點問題
1. 數據泄漏仍然是企業安全風險最大的來源。對企業而言，數據安全日漸成為核心業務系統體系運轉的基石，數據已經成為網絡安全行業聚焦點最高的一個細分領域。而對企業而言數據一直以來是重要生產資料，數據驅動業務決策也成為實踐業務創新的核心手段。隨著數據交易的常態化，勒索軟件開發市場的規模化，數據衍生服務的體系化，在低成本高收益的誘惑下，企業的核心數據保護均面臨著來自內外部的巨大風險。
2. 數據泄露途徑、動機、涉案角色均呈現出多元化和隱蔽化的特點，從泄露數據類型、泄露人身份、泄露動機和泄露渠道等更精準的制定數據監控策略，更有效地落實數據安全防控一體化機制成為企業在數據泄露對抗中的當務之急。
3. 經過我國等保標準強制要求以及企業自身沉淀積累，大部分企業具有或部分具有安全技術能力，整體資源投入不足，相比防護手段而言，缺少能力運營和外部情報獲取分析能力。
4. 企業安全的工作的重點和思路：從馬斯洛需求模型上來講，企業安全建設的當務之急是排查自身需求層級，從需求建設能力，能力還是那個追逐熱點、人員上追求“吉祥物”都不會讓企業水位線顯著提高，方法和需求結合才能構建符合企業現狀的能力。
企業數據風險管理的痛點和重點
如何確定數據的權屬，如何合理的跨境流動，又如何在保護個人隱私的前提下，充分發揮數據的價值，成為當下企業最應重視的問題和風險。
數據時代與數字世界的來臨，信息數據已從資產保護對象成為重要的經濟生產工具。數據安全面臨的威脅前所未有，數據安全與身份安全保護的難度也將面臨巨大挑戰。而數據泄漏泄露事件除直接損失外，對企業的聲譽、客戶滿意度、市場占有量、股價以及企業合規都會產生極其負面的影響。
1. 任何一個在企業內部工作的員工，或多或少都能夠接觸到企業內部各種類型的數據。如何有效甄別數據敏感度，如何對不同敏感度數據實施差分保護，如何在不降低工作效率的前提下控制訪問權限，如何保證數據訪問和操作均具備可審計性，這是數據安全防護建設需要重點考慮的內容。
2. 數據風險來源80%來自內部人員，外部人員中90%的攻擊來源是黑客，外部人員中第三方合作伙伴也是最常見數據泄露角色，由于業務合作需要共享數據，而下游合作廠商的數據保護意識或數據保護能力存在偏差從而導致數據泄露，這也是近年來攻擊者更愿意從數據產業鏈的下游發起攻擊，從而竊取數據的原因。
內部在職人員造成的數據泄露呈現高速增長趨勢，待離職員工和已離職員工造成的數據泄露大多都發生在求職階段。無論是新東家要求夾帶機密數據離職，還是員工自己主動留存竊取資料給自己增加談判籌碼，都會對原所在企業造成損失。另外近一兩年隨著互聯網信息互通共享，合作者或者競爭廠商未經允許私自利用共享信息牟利的案例也呈增長趨勢。
企業應在趨于完善的安全防護體系之上，強化內部數據保護宣導，加強特權賬號管理、核心操作審計，提升內部用戶行為分析、回溯能力。從流量、終端、應用各個方面建立預防為主，監控為輔的數據安全能力機制。
3. 牟利永遠是數據竊取的最強原動力，針對動機的發現和提前預判，可以通過員工網絡流量，上網行為、數據操作行為偏差值綜合判定，如員工近期大量瀏覽求職網站，可判斷其有離職傾向，從而就可以調整安全策略，對該員工的某些數據訪問操作采取以阻斷防護、監控審計為主的數據防護策略。剩余兩成數據泄露案件大多是由員工誤操作引起的，且越是技術人員的誤操作所造成的影響和破壞越是嚴重。針對誤操作，應盡可能在高權限用戶的關鍵操作環節，增加復核審批手段。
4. 泄露渠道是數據監控的重點環節，移動存儲介質(U盤/移動硬盤/存儲卡)占據近半壁江山，也符合其拷貝量大、傳輸速度快的特點。其次即時通訊、網盤類工具、郵件也常用于數據外發或數據備份，拍照常見于不能直接獲取到此類數據，只具備查看權限的案例，例如拍取屏幕顯示高敏感信息等。數據安全不應脫離于具體業務，需要與業務場景高度耦合。這些除了數據安全的基礎能力建設之外，有一批懂運營會分析，服務意識強的安全人員，積極在企業內部推動數據安全的各項舉措，從而構建有效(真正產生價值)的數據安全體系。
企業安全建設現狀與需求分析
在當下的共享經濟，對信息數據也提出了共享的概念，保障數據安全當成為技術發展的前提。除了要保證數據不外泄，更要保證信息不被入侵者篡改，不論哪一種風險都可能給用戶帶來風險和損失。數據安全是這一切的基礎。在數據的應用過程中更要嚴格遵守數據物理隔絕、訪問權限控制、應用數據分層管理、知情授權等規范化路徑。
在當下，企業網絡安全建設主要面臨如下八大問題：
- 企業信息系統互聯互通，面臨來自外部的威脅;
- 各企業具有大量客戶各類型信息漸漸得到灰色產業鏈的覬覦;
- 安全事件造成的損失以及信息系統恢復的成本激增;
- 缺乏安全技術人員以及安全管理制度;
- 面對外部網絡威脅的恐慌，導致了某些企業信息化發展的裹足不前;
- 企業對信息共享、互聯網化、云服務、AI等高新技術的追求延伸出新的信息安全風險點;
- 安全意識的淡薄以及管理制度的不完善，面臨著來自內部的人為失誤或蓄意破壞、信息竊取;
- 僵木蠕等問題嚴峻,勒索病毒威脅嚴重。
對傳統企業和傳統型互聯網企業來說機構安全建設存在一定的復雜性，信息系統的封閉性、應用間交互性、數據的多樣性、導致IT資產混亂;其次，應用架構龐大、數據龐雜，相關人員無法系統的了解應用的架構、數據的類型、數據的級別和相對應的策略，系統間交互沒有較好的權限控制和管理。
另一方面，人員安全意識較低、缺少安全隊伍，缺少行業規范，國家法律法規也相對薄弱，導致安全能力和系統應用的能力不匹配。
另外企業安全建設較多偏離業務和實際場景，安全不應脫離于具體業務，需要與業務場景高度耦合。這些除了安全的基礎能力建設之外，和業務強綁定，為業務提供數據輸入、功能處理才能實現更高的價值，有一批懂運營會分析，服務意識強的安全人員，積極在企業內部推動數據安全的各項舉措，從而構建有效(真正產生價值)的安全體系。
【本文是51CTO專欄作者“安全牛”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
