10月29日，“2019中国网络安全等级保护和关键信息基础设施保护大会”在无锡召开。

“新一代数字化转型信息化技术的发展引发了网络安全的变革，面对有组织的网络攻击，没有攻不破的“墙”。”奇安信集团副总裁韩永刚在新技术与新应用安全分论坛上提出，“关键信息基础设施安全防护要采用内生安全的思想，从安全规划开始，进行三同步，构建新的安全体系”。

奇安信集团副总裁韩永刚发表主题演讲

据了解，近些年来，在《中华人民共和国网络安全法》，《国家网络空间安全战略》、《网络安全等级保护制度2.0》、《中华人民共和国密码法》等一系列政策法规出台的同时，《关键信息基础设施安全保护条例》及配套的各类标准，也会在近期颁布。国家网络安全的战略及法律法规标准框架不断细化、完善和延伸。

关键信息基础设施单位会对国计民生、社会影响、甚至国家安全都产生重大的影响，而目前的关键信息基础设施安全防护，在数字化转型的大潮下，还有很多地方需要变革与改进。韩永刚认为，传统的网络安全防护缺乏体系化的构建，局限在外部的互联网，难以将安全要素贯穿到全过程。“现在必须把安全能力构建在内部的信息化与业务系统上，从而保证信息化环境能具备内生安全能力。”

据介绍，“内生安全”是奇安信集团基于新一代网络安全体系的创新实践，奇安信集团董事长齐向东在2019北京网络安全大会上首次提出，得到了业界的广泛认同。

“内生安全”是信息化系统内生长出的一种安全能力，随业务的增长而持续提升，具备自适应、自主和自成长三个特点。聚合是实现“内生安全”的必要手段，信息化环境和安全的聚合，产生自适应安全能力；业务数据和安全数据的聚合，产生自主安全能力；IT人才和安全人才的聚合，产生自成长的安全能力。

具体到关键信息基础设施内生安全的构建层面，韩永刚提出，安全与信息化就像是DNA的双链，是相辅相成的，而它们的关键结合点，就是在同步规划、同步建设、同步运行三个关键点上。从而做到安全与信息化的深度融合，全面覆盖，实战化运行，协同响应。要从应对局部威胁和合规点的建设模式，走向面向能力导向建设模式，关口前移，构建信息化环境的“内生安全”能力，为关键信息基础设施的核心数据与业务运营提供保障。

“在能力建设过程中，要基于‘叠加演进’原则，通过体系化的能力建设，保证信息化系统的‘内生安全’能力有效落地。”韩永刚说，关键信息基础设施要应对多样化、未知性威胁，首先是要基于网络安全滑动窗口模型，按照架构安全、被动防御、积极防御与威胁情报叠加演进思路建设体系化的安全能力；同时要将只是防御外部威胁的安全思路，扩展为“安全+信任”的新体系，基于“零信任”原则构建动态、可信的访问控制体系，将新的防线构建在身份、数据、业务应用上，从而不仅抵御外部威胁，也要关注由于凭证窃取及异常行为所产生的内部威胁问题。进一步还应构建基于数据驱动的的态势感知和安全运营平台等。

韩永刚强调，安全运营的成熟度也是关键信息基础设施评估的另一个重要方向。他从数据、技术工具、人员能力等多个维度，综合识别、防护、检测、响应、处置等关键信息基础设施的安全能力，以构建实战化的安全运营。

“这其中，人是安全运行的关键。”韩永刚说，能力导向的内生安全体系需要管理、技术与运行一体化，也需要通过人员组织与技术平台的协同，实现“实战化”安全运营，有效保障信息化系统“内生安全”能力输出。