“网络安全网格（CyberSecurity Mesh）”是国际研究机构Gartner 提出的一个创新网络安全技术发展理念，近两年连续入选其年度网络安全战略技术趋势研究报告，成为当前网络安全领域的一个热门概念，也受到全球网络安全从业者的高度关注。

那么，网络安全网格到底是什么？有何应用价值？与当前的网络安全控制方法存在什么关联和区别？网络安全网格对企业的CISO又意味着什么？日前，IT专业媒体CyberTalk.org特别专访了Check Point安全工程高级经理Angel Salazar Velasquez，并就以上行业普遍关心的问题进行了探讨。其中的部分观点，值得企业组织在规划未来的网络安全创新能力建设时借鉴参考。

Gartner 在其发布的《2021 年重要战略技术趋势》报告中，首次提出了网络安全网格的概念并进行了定义。Gartner认为：网络安全网格是一种分布式架构方法，能够实现可扩展、灵活和可靠的网络安全控制。现在许多资产存在于传统安全边界之外，而网络安全网格架构提供了一种基于身份的可组合安全方法，以创建可扩展和可互操作的服务。

从上述 Gartner 报告的描述中可以看出，网络安全网格是一种安全架构方法或者策略，而不是一种定义明确的架构或标准化的技术方法，更不是某种产品，其目的是找到能够应对不断发展的业务系统以及网络环境演变所带来的安全挑战的新方法，提供比传统物理边界防护更强大、更灵活和可扩展的安全能力。

网络安全网格框架代表了在日益复杂和分散的网络环境中应对网络安全新挑战的创新方法。与围绕组织“边界”构建的传统安全模型不同，网络安全网格框架将安全控制置于更接近需要保护的数据、设备和用户的位置。这将带来更大的灵活性和定制性，能够更有效地适应现代企业组织特定的安全和风险管理需求。

对于企业的CISO来说，采用网络安全网格框架也意味着能够大幅提升现有的数字化风险管理能力。网络安全网格架构包括了设计和建设 IT 安全基础设施，采用“水平”分布式方式将各种安全能力集成到网络中，而不是采用传统的“自上而下”、各种安全设备“一应俱全”的集成方式，致力于构建一个能在庞大的安全生态系统中协同运行，且自动适应网络环境演化的全面覆盖、统一管控、动态协同和快速响应的安全平台。

很多企业组织已经采用了多种安全解决方案，希望建立全面的防御。然而，其结果往往并不理想，可能会存在缺乏可见性和复杂的风险管理等问题。对于CISO来说，采用传统的网络安全方法带来了巨大的挑战，因为新出现的威胁往往会利用不同安全工具之间的保护盲区。

网络安全网格架构能够非常有效地解决这个问题。它可以将不同的安全工具和解决方案统一编排到一个完整的安全能力框架中，实现更好的互操作性和可见性。这不仅提高了企业安全团队的运营效率，而且还实现了更加一致地、以数据驱动的数字风险管理。对于CISO来说，这代表着一个根本性的转变，为其实施更积极主动和适应性更强的网络安全策略创造了条件。

企业组织在实施网络安全网格架构之前，必须首先要了解其基本原理，这对于评估其对提升企业数字风险管理能力的价值和影响至关重要。为了确保网络安全网格框架提供一种更具弹性和适应性的安全态势，企业在开展相关建设时，首先应该坚持“受控分散”的原则，它要求组织保持对其安全策略的控制，同时又需要将各种安全能力分布式实施和执行到多个安全节点上。这个原则有利于企业在不影响安全完整性的情况下提升敏捷性；其次，还应该坚持“统一可见性”的概念。不同的安全工具都有自己的数据格式和警报规范，需要将这些信息统一为一个连贯的“事实”。网络安全网格框架非常强调并依赖于这种整合，这样才能确保和风险相关的决策基于完整的上下文信息。

网络安全网格架构和零信任模型的融合是一种值得探索的协同效应。零信任是基于“从不信任，总是验证”的原则，这意味着任何用户或设备都不会被授予默认访问权限，无论其位置是在哪里。网络安全网格框架则是通过分散安全控制来对零信任的访问控制能力进行有效补充。与单一的安全边界保护不同，如果让安全控制措施更靠近用户，就能够实现更细粒度和自适应的安全控制策略。网络安全网格架构和零信任模型的融合使得企业能够采用更加动态的方法来降低风险，通过获得额外的控制层和可见性以加强组织的总体安全态势，从而能够进行更明智和更积极的风险管理。

网络安全网格架构的一个重要特点，就是它满足了跨各种技术和平台无缝集成的关键需求，能够帮助企业组织实现全面的安全能力覆盖，涵盖了从终端设备到云平台的所有潜在攻击路径。同时，网络安全网格架构还强调不同安全能力的整合，将多个安全解决方案集成到一个统一的运营框架中，从而简化安全工具的管理并提高安全运营效率。

此外，网络安全网格架构能够促进不同安全解决方案和产品之间的协作。这使得防护体系能够快速有效地响应多种威胁，并通过可在多个系统之间快速共享的实时威胁情报来促进能力联动，从根本上优化企业的安全投资，同时应对数字化发展中的关键业务挑战。

我们可以看到，人工智能（AI）和机器学习已经在网络安全网格的技术生态系统中发挥着至关重要的作用。这些技术可以实现更有效和更及时地异常监控，同时对新出现的威胁做出更快速响应。通过利用人工智能，网络安全网格框架可以实现更有效的预防，提升框架实时检测和应对漏洞的能力。

从持续安全运营的角度来看，人工智能和机器学习提高了自动化水平，不仅提高了效率，而且最大限度地减少了日常安全任务中的人工干预需求。在风险不断变化的数字环境中，这种敏捷性和快速适应新威胁的能力是非常宝贵的。这些技术能够协调安全防护系统迅速采取行动，提高网络安全网格的有效性。

企业在应用实施网络安全网格架构时确实会面临一些挑战。最显著的障碍之一是这种网状架构的固有复杂性，这可能会增加后续安全管理工作的难度。另一个重大挑战是在分散的安全环境中经常出现的专业技术和知识差距。此外，在日益多样化和动态的生态系统中集成和维护多个安全解决方案，也在一定程度上会增加运营维护的成本。

但是，如果企业能够通过一个运营平台集中提供强大的技术支撑，这些挑战中的许多都可以缓解。这种方法降低了复杂性并缩小了差距，从而实现了更高效和自动化的运营操作。此外，集中式系统可以提供持续学习，因为它将来自各个安全节点的智慧能力集中起来。总之，集中式安全管理和智能可以解决CISO在实施网络安全网格架构时面临的许多挑战。

毫无疑问，网络安全网格架构会对防火墙和IPS等传统安全措施产生重大影响。在传统的安全方法中，这些技术充当网络入口和出口的“看门人”。然而，当企业使用网络安全网格架构之后，组织的安全性将是分布式的，并且更紧密地与当今数字环境的流动性保持一致，而边界已不再是固定的。

但是，这种改变并不意味着要淘汰防火墙和IPS等传统安全措施，而是要推动它们转型并变得更加有效。这些传统安全措施将会成为更广泛和更动态的企业整体安全战略中的一部分。在更灵活地安全体系结构背景下，它们的智能性和防护能力将会得到增强。换句话说，在网络安全网格架构中，传统的安全措施并没有被淘汰，而是集成和优化到一个更加通用和强大的安全生态系统中。

我们认为，网络安全网格架构并不是一个安全技术解决方案，而是一个战略性的体系框架，能够加强CISO应对数字化发展安全挑战的能力。有大量的应用实践表明，网络安全网格架构与当前CISO面临的三个关键业务挑战非常吻合：

1. 数据泄露防护：网络安全网格架构可以为企业的数据资产提供额外的保护层，能够有效应对新出现的攻击方法和数据泄露途径，这完全符合现代企业组织在开展数据安全保护工作时的全面性要求。

2. 安全的数字化转型：网络安全网格架构框具有强大的灵活性和可扩展性，因此能够很好满足企业在数字化转型和云迁移过程中对各种安全能力的整合要求。通过将云、网络、终端上的各种安全工具统一整合，不仅优化了安全运营效率，而且使企业的数字化转型更加安全。

3. 优化网络安全投资：通过建设网络安全网格架构，有助于企业优化在网络安全方面的投资。特别是在一个集中式安全运营平台的支持下，控制点之间共享的智能可实现快速有效地预防性安全策略，最大限度地提高安全投资回报。