基于内生安全框架的面向数字化转 型的网络安全防御体系 • 韩永刚 • 奇安信科技集团股份有限公司 摘要 : 提出了网络空间安全领域的一种新安全体系设计、建设与运 营思路方法。所阐述的内生安全，指通过内生安全框架方法，将网络安 全能力与数字化环境进行融合内生，达到安全与信息化的深度融合与全 面覆盖。 以系统工程与企业架构的方法， 结合内生安全理念， 从体系化、 全局化的视角，以能力为导向，可以构建动态综合的新型网络安全防御 体系。 关键词 : 内生安全 ,系统工程 ,企业架构 ,网络安全能力 , 1数字化时代的网络安全体系需求演进 全球经济已全面进入数字化时代，中国在 “十四五 ”规划中也明确提 出了 “加快数字化发展，建设数字中国 ”的战略规划。近年来， “网络强国 ” “加快培育数据要素市场 ”“加强数字政府建设 ”等一系列与数字化转型紧 密相关的战略部署，都将数字化转型作为重要的发展战略与核心经济驱 动力。数字化的核心不仅在于云计算、大数据、 5G、物联网、人工智能、 智能制造、卫星互联网这些新技术的应用，更在于将信息技术与政企机 构业务运营、管理流程融合在一起，形成新的业务运营模式，从而显著 提升业务运营效率和效益， 为政企机构带来巨大的创新红利。 与此同时， 信息技术与业务的深度融合也将增加网络安全方面的风险，使得网络安 全问题对业务产生破坏性乃至灾难性的影响。在这种情况下，网络安全 风险将会等效于业务运营风险。政企机构信息系统一旦被入侵或被破坏， 将会直接危害业务运营， 进而危害生产安全、 社会安全， 甚至国家安全。这也是国家在数字化转型期从战略与法律法规角度，频繁推 出《网络安 全法》 《数据安全法》 《个人信息保护法》 《网络安全等级保护制度》、 等一系列法律、法规、制度、标准的原因。 近年来，随着数字化环境的变化，网络空间威胁也发生了新的变化： 各类新型的威胁如勒索攻击、大规模数据泄漏、供应链攻击、高级威胁 高级持续性威胁（ APT）攻击、内部威胁、国家网络空间对抗等相继出 现，并带来了一系列影响。数字化转型对政企机构运营模式的转变是颠 覆性的、不可逆转的，传统的信息化模式也将无法支撑目前经济环境下 的业务运行要求。因此，政企机构必须立足于数字化业务运营的安全、 高效、可靠运行，建设具有动 态、综合、可持续等特点的适应于数字化 业务的新型网络安全保障体系。 2内生安全的理念 “内生安全 ”是指面向数字化业务，将网络安全能力内置到数字化环 境中，并通过信息化系统和安全系统的聚合、业务数据和安全数据的聚 合、 IT人才和安全人才的聚合，让网络安全系统像人的免疫系统一样， 实现自适应、自主和自成长，从体系化全局视角构建出动态综合的网络 安全防御体系[1]。 从内生安全理念的产生到框架设计方法的形成与落地，相关实践指 引了中国大量大型政企机构的网络安全体系的设计、建设、运行。这些 实践与系统工程及企业架构（ EA）方法论 的结合与应用，起到了关键作 用。 系统工程产生于 20世纪 50年代，被广泛地用于航空、航天、机械 制造、电子工程等各个领域，并由钱学森院士在中国积极倡导并开拓创 新。系统工程是看待复杂系统（ SoS）时的一种逻辑思维方法，是组织、 管理 “系统 ”规划、研究、设计、制造、试验和使用的科学方法[2]。系统工 程专注于复杂系统的整体设计，从问题的全局视角来审视，为系统整体 而非单一子系统设计方案， 将所有变量都考虑在内， 并梳理其相互关系。从系统化的视角看来，系统作为整体所产生的价值主要来自各组成部分 的相互联系和相互作用关系，而且远远 超过各组成部分的单独贡献的和 [3]，这也就是所谓系统工程的 “涌现 ”效果。 如果将日益复杂的数字化环境也视为一个复杂系统，那么 EA就是 系统工程在信息化领域的应用。在过去的 20～30年，企业架构（ EA） 方法论在引导与推动大规模、体系化、高效整合的信息化建设、支撑各 行各业科学地展开业务运营等方面都起到至关重要的作用，而内生安全 框架亦有很多思路来源于 EA方法论。通过创建、沟通、提高等方法， EA可以描述企业未来状态和发展的关键原则，进而把商业远景和战略 转化成有效的企业变革。 EA方法主要用于维护信息技术（ IT）体系，或 引入新的信息技术体系，从而实现组织的战略目标和信息资源管理目标。 1987年， J. ZACHMAN 在《 A Framework for Information Syst ems Architecture 》中首次提出了 “信息系统架构框架 ”的概念，从 “信息、 流程、网络、人员、时间、基本原理 ”等6个视角来分析信息系统架构， 由此奠定了 EA的理论基础[4]。美国的一些机构率先使用 EA：美国国家 技术标准研究所（ NIST）于 1989年发布企业架构模型（ NIST EA Mo del），于 1999年发布联邦企业架构框架（ FEAF），于 2003年发布国 防部体系架构框架 （ DoDAF） 。 同时， 在企业机构和一些标准化组织中， 也涌现出一些具有影响力的框架，例如开放标准组织体系结构框架（ T OGAF）。 EA是企业业务战略与 IT战略之间的接口， 是企业顶层设计的图纸， 决定企业结构、组成部分、各部功能、空间关系等元素。一般来说， EA 可以分为两大部分：业务架构和信息技术（ IT）架构。目前大部分 EA方 法都是从 IT架构发展而来的。业务 架构是把企业的业务战略转化为日 常运作的渠道。业务战略决定业务架构，它包括业务的运营模式、流程 体系、组织结构、地域分布等内容。而 IT架构，是指导 IT投资和设计 决策的 IT框架，是建立企业信息系统的综合蓝图，包括数据架构、应用 架构和技术架构 3部分。其中，业务架构的重点是流程和数据，而 IT架构的重点是应用和技术。前者增加了企业愿景和任务目标驱动，后者增 加了可落地的实施策略和计划。 作为系统工程思想在信息化领域的应用， EA方法打破了零散式的 规划与建设，系统性地构建信息化体系，从而推动了大规模、体系化、 高效整合的信息化 建设。在很长一段时间里，网络安全在方法论上都缺 乏这种体系化与全局视角。我们要做的就是从 EA的方法体系与各种框 架中，找到适合中国网络安全状况的方法，并结合具体国情，加以开发 与利用，并结合内生安全理念，形成适用于网络安全的框架、方法与配 套工具等。 在网络空间安全领域对 EA方法论的使用，是为了帮助政企大型机 构理清并实现所需的 “网络安全能力体系 ”，而不是为了建设某种具体的 系统或是产品。我们需要从全局视角了解大型政企机构所需的网络安全 能力体系是什么？包含什么？应该如何有序地构建，并真正运行起来。 我们要做的是进行合理恰 当的选取与应用，从全局视角以系统性的方法， 进行整体的设计、建设与运行。我们应当综合考虑业务现状与信息化环 境的未来发展，规划设计与之相匹配的网络安全能力体系，并像信息化 的建设一样，将网络安全的能力与数字化融合内生，做到与信息化环境 全面覆盖以及深度融合，从而保障政企核心业务的顺畅运行。 通过对政企机构信息化与网络安全建设实践经验，我们总结了一套 适合于中国政企机构，特别是大中型政企机构信息化发展的、系统性的 网络安全建设框架。新框架即是对网络安全模式升级新方法的探索，也 是“内生安全 ”理念的有效落地。 3 内生安全框 架与体系设计方法 借鉴 EA方法论，以 “网络安全能力体系 ”建设为中心，内生安全框架 可以识别出在信息化的各个层面构成网络安全能力的能力组件，并将这 些安全能力组件全面覆盖至政企普遍存在的信息化各领域，进而规划出 网络安全建设实施 “项目纲要库 ”（需要逐步实施的项目的集合）。随着这些项目的实施，安全防护体系将逐步融入信息化环境，进而共同实现 全面的安全能力。最终，安全技术体系与安全运行体系的建立完善，可 以实现 “内生安全 ”的全面落地，并使政企机构能够具备体系化的安全防 御能力。 内生安全框架（具体如图 1所示）涉及的安全能力应 全面覆盖云、 终端、服务器、通信链路、网络设备、工控、人员等 IT要素，避免因局 部盲区而导致的防御体系失效； 还需要将安全能力深度融入物理、 网络、 系统、应用、数据与用户等各个层次，确保安全能力能在 IT的各层次有 效集成。 内生安全框架为大型政企机构在数字化转型的快速发展期开展整 体的网络安全规划与体系设计提供了思路与建议。我们通过该框架，从 “甲方视角、信息化视角、网络安全顶层视角 ”展现出政企网络安全体系 全景，通过以能力为导向的网络安全体系设计方法，规划出面向中长期 的建设实施项目纲要库（即重点工程与任务，其进一步的扩展 与细化可 以形成网络安全相关重点领域的参考架构），并设计出将网络安全与信 息化相融合的目标技术体系和目标运行体系，供政企机构参考、借鉴。 图1 内生安全框架[1] 通过 “叠加演进的能力分类方法 ”，内生安全框架形成面向政企信息 化全领域 的网络安全能力体系。政企可结合自身情况，采用框架中包含 的方法工具，对每个安全领域的安全能力进行组合，重点设计能力间的 逻辑关系以形成能力逻辑架构，并规划出覆盖网安全领域的建设实施项 目库。在规划周期内，项目库中的工程和任务依据路线图确定的时间开 展可研、立项、建设。随着项目和任务的落地，政企将逐步建成目标技 术体系架构与目标运行体系架构。体系化的网络安全能力也将随之达成， 从而保障了数字化业务。 网络安全能力体系是保障政企机构数字化