ISC 2021云峰会：360政企安全集团发布实战驱动的网络安全方法论 i黑马讯8月9日-12日

i黑马讯8月9日-12日，在ISC2021云峰会上， 360政企安全集团重磅发布了“实战驱动的网络安全方法论” ，提出将实战攻防元素与传统网络安全模型、框架驱动的方法相结合，提供实战化的网络安全规划与度量方法。
在ISC2021云峰会上，三六零（以下简称360）集团创始人、董事长周鸿祎以军队打仗为行动思路，提出了“体系化作战” ，不能再把网络安全当作数字化的附庸，试图堆砌碎片化产品解决不断变化的安全问题，而是应该直面安全挑战，以“作战、对抗、攻防思维”为指导，进行实战化的安全能力建设。此次发布的方法论，即是从实战化的角度去规划与度量网络安全能力建设的具象。

文章图片
360集团创始人、董事长周鸿祎
以方法论持续提升网络安全能力
在本次ISC大会中发布的方法论是360政企安全集团自上而下的一次战略规划。由360集团首席运营官、360政企安全集团首席执行官叶健阐述了方法论的核心思想与构成，并将其作为360政企安全集团的核心能力之一对外提供服务；360政企安全集团高级副总裁高翰昭阐述了方法论全景以及如何指导网络安全体系建设；360政企安全集团产品战略规划专家何帆阐述了如何将攻击框架、防御框架、成熟度模型三大基础元素相关联，从而将实战攻防元素与传统网络安全模型、框架相结合来驱动网络安全规划与度量；360集团战略创新研究院副院长吴露渟阐述了如何利用360网络安全成熟度模型来度量网络安全能力及其特点。
其中， 360集团首席运营官、360政企安全集团首席执行官叶健在题为“新形势、新战法、新使命、新生态”的演讲中提出了360网络安全新战法的三大能力，其中重点之一是安全实战方法论，他分别从如未知攻、岂能知防；纵深防御、体系运营；检验机制、不断提升的维度阐述了网络安全建设需要了解安全攻击全景、构建安全防御体系、并且持续进行安全成熟度评估的安全实战方法论来提升网络安全能力。

文章图片
360集团首席运营官、360政企安全集团首席执行官叶健
如何利用安全实战方法论来进行网络安全体系建设？360政企安全集团高级副总裁高翰昭在题为“面向实战的安全体系建设方法论”的演讲中进行了阐述，他提到了在过去很多年中，网络安全的顶层设计与网络安全的落地执行路径在很大程度上出现了断层，原因是提供顶层设计的第三方咨询公司或者提供安全产品与解决方案的安全厂商都没有很强的实战攻防经验，然而360则是最擅长实战攻防的网络安全公司，因此也更责无旁贷地帮助各级机构从实战攻防的角度去度量与提高网络安全能力。
演讲中，高翰昭提出了安全体系建设需要定量、客观的以安全能力提升为目标的方法论。网络安全体系设计需要与企业业务的发展保持一致，以满足各类合规要求、充分了解自身业务和信息系统的安全风险、新型安全攻击趋势等因素作为输入；以大数据的手段驱动安全建设，打造能够沉淀安全能力的网络安全基础设施，攻防与管控内外兼修，培育安全人才、构建持续的安全运营能力等基本原则作为指导思想;从网络安全顶层设计、能力建设、实战评估、改进计划的闭环输出以资源、管理、技术、执行等四大元素所构成的网络安全能力。
其中最为关键的部分就是如何通过实战衡量和检验每一步建设的成果，主要由三个关键元素来提供支撑，分别是：网络攻击知识图谱、网络安全防御效能和网络安全成熟度模型。

文章图片
360政企安全集团高级副总裁高翰昭
三大基础关联驱动实战规划与度量
方法论最关键的部分，也是最大的创新是将网络安全实战攻防元素与传统的网络安全咨询规划建设方法相结合，通过实战度量与改进网络安全能力。具体来说，如何提供实战化的网络安全能力度量与规划？
360政企安全集团产品战略规划专家何帆在“ATT&CK安全能力衡量论坛”上，发表了题为“网络安全能力度量与规划”的演讲，提出其核心是将网络安全攻击框架、防御框架、成熟度模型三者之间产生关联，并分别利用三者进行入侵模拟、防御评估与成熟度评估，并且使三者间前者的评估结果能够为后者提供输入，从而使实战攻防元素与传统的咨询规划方法想结合，形成了实战化的评估与度量方法，最终结合差距分析的结果进行建设规划。