齐向东的“内生安全框架”

奇安信希望未来成为全球第一的网络安全公司，实现收入第一、人数第一、技术第一。

8月11日报道（整理/黎曼）

提到网络安全，我们不得不提到360与奇安信这两家公司。一个是为C端大众所知的360，一个是B端企业安全的龙头。

2019年4月12日，随着奇安信从360彻底分离出去，开足马力向B端网络安全市场进发。

彼时，网络安全行业里面已经有很明显的苗头：国际产品IOE（IBM、Oracle、EMC）已经逐渐被中国本土产品替代、越来越多的新兴安全技术产品层出不穷。但是市场上没有主导性地位的安全产品品牌。

凯旋创投创始合伙人陶冶曾在奇安信2017年的首轮融资中出手押注。“从360当年融资开始，老齐其实一直在我们视线中。他一直以做事沉稳，会带团队，给投资人留下深刻印象。无论他在原来的企业，还是重新创业，他一定会是一个能干坚持，专注事业，能做大事的企业家。”陶冶如此评价齐向东。

如今这个评价正在慢慢应验。

2020年7月22日，在科创板开板一周年之际，作为中国领先的网络安全供应商，奇安信成功登陆科创板，正式挂牌交易。奇安信原计划募资45亿元，已实现超募57.19亿元，创同类型企业A股募资额新高。

“我们现在已有接近8000人的队伍，是国内人数最多，收入最多，技术最强的公司了，希望未来成为全球第一的网络安全公司，实现收入第一、人数第一、技术第一。”齐向东表示。

展望中国网络安全市场，到2023年年底将是一个突破千亿元规模的市场。而随着疫情在全球肆虐，对安全产业带来了愈加正面的影响。

齐向东表示，疫情带来全球变化，对安全是带来新的大的机会。网络安全在国家、社会互联网化、物联网化、智能化大背景下，安全产业已经站在风口上，前年，我认为它是风口中的风口，这次疫情让安全产业这个“风”又加大了，所以我相信一定会引发新一轮网络安全产业投资热潮，就是新一轮热潮，会有更多人、更多的资本来进入安全产业。

在新基建浪潮下和物联网时代的到来，“网络安全的机会才刚刚开始”。陶冶认为，数据交换从人对人迅速扩展到人对机、机对机等蓝海领域。关键数据的保护、实时监控都会是实实在在的企业需求。

他表示：“网络安全是一个全球化公平竞争的领域，技术不过关没法被市场接受，简单地政策保护或者行业准入不可能培育出优秀的数据安全企业。我们的网络安全服务市场跟其他互联网大国相比也还有相当的差距。我们有理由相信未来10年会产生一系列细分市场的龙头企业，以技术优势赢得市场，并从持续增长的规模中获益。”

在回答记者的访问中，齐向东回答：“我们在技术上网络安全攻防技术上处于全球第一梯队，处于领先水平。但在安全体系建设上还处于第二梯队。”

改革开放40年，我们一直主张和平是世界主流、全球化是主流。全球化要求就是采用全球供应链，如果不考虑国家级网络攻击，不考虑国家级网络战，黑客零散式破坏形不成大气候，在基于这样大假设下，所以我们国家在新的信息系统建设过程中，安全方面预算比较低，有的更严重根本不考虑安全方面的预算。但这也支撑了这几十年的发展。

齐向东表示，那个时候，安全攻击、网络攻击确实是小概率事件。但是如今已然不是。单一零散的黑客攻击，已变成黑客组织。面对日益严峻的网络安全威胁，一旦银行数据库、医院数据库、运营商数据库等大型B端企业被锁住将会发生巨大损失。

为了构筑自身护城河，齐向东表示，安全行业拼的是服务，而服务由规模决定。“首先跑得赢你人得多，就像打仗确实需要军队，如果打一场战争只要兵力部署就好，如果同时打一千场仗、一万场战争呢？”

他表示，对于整个行业而言，恶性竞争其实会越来越少。“因为你突然发现我们的客户数量无限大了，比如政府、大型企业、大型装置，可能重要系统或者重要单位有可能是十万、二十万甚至百万级的数量，解决某一个单位问题的时候一定有一支队伍跟进。一个公司服务能力是有限的，那你的团队的规模就是服务的能力，而且规模越大未来客户越信任你，从理论上来讲就有能力帮他干好。如果你数量不够，理论上就不成立。“

其次，他认为卖给客户一个硬件或者一个软件声称是不可能永远安全。“因为安全属于‘矛’和‘盾’的关系，‘盾’造出来那天开始一定有矛可以穿透，什么时候被穿透？怎么解决窟窿问题？这是动态不可预知的。所以需求将会源源不断地出现。”

网络安全是一个需要不断与时俱进的，需要前瞻性建设的行业。

8月10日，有网络安全行业“达沃斯”之称的北京网络安全大会（以下简称BCS 2020）隆重开幕，大会联席主席、奇安信集团董事长齐向东发布“内生安全，从安全框架开始”的大会主题，与在座十余位两院院士，500多位全球重磅嘉宾，围绕1000多个网络安全议题进行交流和碰撞，议题涵盖网络安全发展的战略新趋势、产业新机遇、前沿新技术等，共同探讨内生安全框架在不同领域的落地和实践。

齐向东在去年的BCS 大会上首度发布了“内生安全”理念，指出需要依靠聚合应变，从信息化系统内不断生长出自适应、自主和自成长的安全能力。短短一年时间，“内生安全”理念被广泛接受。

基于此理念，奇安信推出了内生安全框架。该框架以系统工程的方法论结合“内生安全”理念，改变了以往“局部整改”和产品堆叠为主的安全规划及建设模式，按照系统工程的思想，将安全能力组件化，由规划方法、工具集、模型、架构和项目纲要构成，能够让安全产品和服务相互联系、相互作用，在整体上具备单个产品和服务所没有的功能，从而保障复杂系统的安全。

当前奇安信的试点用户已将近40家，包括政府客户、有金融的客户、有能源的客户，还有其他制造业一些大企业客户，“今天开大会正式推广这套体系，其实代表它已经相对完善了”。

尊敬的各位领导、来宾，观众朋友们，上午好！

感谢大家参加BCS战略峰会。去年，我们在首届BCS大会上提出了“内生安全”，得到了业界广泛认同。很多客户来找我们，想知道内生安全到底应该怎么做。

所以从去年开始，我们专门成立了一个工作组，和20多个一线部门紧密协同，用系统工程的思想，把网络安全能力，映射成为可工程建设的安全能力组件体系，并给出一套规划方法论，设计工具集和配套的模型、架构、项目纲要，构建一个能够适应形势变化的网络安全框架，来支撑内生安全体系建设。今年3月，我们正式公开发布了这套面向新基建的新一代网络安全框架。

截至目前，我们已经在近40个大型机构里应用了这套框架，包括部委、能源央企、金融、航空、大型制造业和数字城市，得到了很高的评价，他们说，有了这套框架，从顶层设计到落地建设运行变得很容易了。为了让更多的政企机构能快速实现内生安全，我们把今年大会的主题定为“内生安全 从安全框架开始”。

在开始讲安全框架之前，我想先说一个观点，也是我今天演讲的第一部分：内生安全的关键是管理。

去年的BCS大会上，我提出了“内生安全”，强调在政府、银行和大型企业等机构，通过系统聚合、数据聚合和人的聚合，不断从信息化系统内生长出安全能力，这种能力具有像免疫系统一样的自主、自成长、自适应的特点，持续保证业务安全。

我们都知道，网络安全是高度对抗性的行业，网络安全系统包括技术、数据、人员和体制机制等，是一个复杂的系统。为了保障业务的安全性，实现这个系统的有效运转，就不能仅仅考虑产品和技术因素，而是要综合技术、管理、运行等多方面的因素。

一个网络安全体系，必然面临着层出不穷的攻击。首先，漏洞是不可避免的，只要这个系统的0day漏洞还没有被黑客穷尽，就永远面临着未知的威胁。这个漏洞可能存在于芯片、操作系统、应用系统、网络设备等任何地方，可能掌握在任何一个未知的敌人手中，这个敌人可能随时发动攻击，造成的危害也难以掌握，它可能导致数据被盗，也有可能会直接导致系统崩溃。如果只用攻防技术来防护，被漏洞牵着鼻子走，这类安全问题是永远无法解决的。

其次，根据FBI和CIA等机构联合做的一项安全调查报告显示，超过85%的网络安全威胁来自于内部，危害程度远远超过黑客攻击和病毒造成的损失。这些威胁绝大部分是内部各种非法和违规的操作行为造成的。

最后，所有的体系都是人来操控管理的，但人是不可靠的，人本身的弱点也是网络体系大的脆弱性。比如弱密码、密码丢失、使用不安全的设备等，甚至还有人会被策反成间谍。

上述问题的存在，都导致了不管技术多高，我们的体系还是会失效。

2016年，黑客控制大量摄像头进行网络攻击，导致美国东海岸大规模断网的事件，就是没有管理好摄像头的行为，而发生的悲剧。因为摄像头的正常行为，只会向指定的地址回传数据，而绝不会去访问推特、Paypal等知名网站。

2017年，在全球范围内大规模爆发的“永恒之蓝”勒索蠕虫，利用Windows漏洞进行传播，导致大量政企机构内网沦陷系统瘫痪，也是缺乏管理酿成的苦果。微软在3月就下发了相关漏洞的补丁，但中招的各大机构因为各种各样的原因没有去修补这个漏洞，有的是没能力补，有的是怕补了影响业务，有的纯粹就是安全意识问题。

今年7月，奥巴马、拜登、比尔·盖茨、巴菲特等多位美国政商名流的推特账号被劫持并发布诈骗信息，事后调查发现，是一个17岁的黑客窃取了推特员工内部管理系统账号的权限，已经控制了好几个月，并且在黑产市场交易获利。如果对身份、行为做了有效的管理，这种事情就不会发生。

这几年，我们搞了很多实网攻防演习，每年都能发现一大堆问题，一打就穿，但很多机构“头疼医头脚疼医脚”后，由于管理不行，还是被打穿。

所以我们认为，安全的关键是管理。我们所说的管理，不是传统意义上的管理，它既不是单纯的人员管理、行政管理、体制机制管理，也不是传统的条文式管理、流程式管理，而是一套“新管理”模式，它由数据驱动，通过与安全体系中的能力平台和服务平台有效对接，实现对安全技术、安全运行等各方面要素的有效管理，从而发现和规避黑客利用安全体系里的漏洞发起的攻击，克服人的不可靠性、弥补人的能力不足。总之，这种新管理模式的表现形式，可以是网络安全管理大平台，也可以是网络安全管理运营管理中心。

内生安全，代表的正是这种新形态的网络安全管理模式。它用“一个中心五个滤网”，从网络、数据、应用、行为、身份五个层面来有效实现对网络安全体系的管理，从而构建无处不在，处处结合，实战化运行的安全能力体系。这种新管理模式，需要有强大的能力体系支撑，需要用工程化、体系化的方式进行实施，这套方法的成果，就构成了内生安全框架。

我今天要讲的第二部分是：管理的关键是框架

新时代需要新管理。要实现内生安全所代表的的这种新形态的网络安全管理，是一套复杂的系统工程，它需要一个新形态的能力体系做支撑，需要用工程化、体系化的方式进行实施，实现它的关键就是安全框架。

在系统科学里，有一个特性叫“涌现”，指的是构成系统的多个组成部分按照一定的方式相互联系、相互作用，在整体上就能具备单个组成部分所没有的性质，产生“1+1＞2”的效果。比如，计算机系统可以实现工程计算、文字处理、软件开发等功能，这些功能是CPU、电源、操作系统等单个组成部分所不具备的。

内生安全也具有“涌现”效应，能实现“1+1＞2”的效果。在信息化系统的功能越来越多、规模越来越大、与用户的交互越来越深的时候，单一的、堆叠的安全产品和服务，哪怕是最新、最先进的，都无法保证不被黑客穿透，但内生安全系统，能够让安全产品和服务相互联系、相互作用，在整体上具备单个产品和服务所没有的功能，从而保障复杂系统的安全。建设内生安全，采用的就是系统工程的思想。

过去20年，国内外在信息化建设方面，用的是系统工程思想，通过行之有效的EA方法论与框架，引导与推动了大规模、体系化、高效整合的信息化建设，很好地支撑了各行业的业务运营。

针对网络安全，一些西方发达国家采用体系化思想，也设计出了适应他们发展阶段的NIST等框架。但由于我国的网络安全基础比较薄弱，一直采用的是“局部整改”为主的安全建设模式，导致网络安全体系化缺失、碎片化严重、协同能力差，网络安全防御能力与数字化业务的保障要求严重不匹配。在这样的现状下，无法套用西方现成的框架进行安全体系建设。

今年，是我国“十三五”规划收官、“十四五”规划谋篇布局之年，8月6日，习近平总书记刚对“十四五”规划编制工作做出了重要指示，要求“把加强顶层设计和坚持问计于民统一起来，齐心协力把‘十四五’规划编制好。”

我认为，这是非常重要的时间窗口，未来五年我国各行各业能不能取得高质量发展就取决于现在。所以，我们提出了内生安全框架，这是从工程实现的角度，针对我国的国情研制出来的，能将安全需求分步实施，逐步建成面向未来的安全体系。这套框架从顶层视角出发，支撑各行业的建设模式从“局部整改外挂式”走向“深度融合体系化”，在数字化环境内部建立无处不在的网络安全“免疫力”，真正实现内生安全。

就在前两天，我和一位大型央企的领导交流，他非常兴奋，非常感慨。他告诉我，他做大规模信息化建设的时候，与业务系统融合用的就是系统工程的方法，但他从来没有见过、也没想到过网络安全公司也能按照系统工程的方法，做出这么具体、这么好用的框架来。他说：“网络安全与数字化，用体系对体系，这就对了！”

内生安全框架有三个重点，是把安全能力“理清楚”、“建起来”、“跑得赢”，目的是通过“新管理”，让网络安全体系具有动态防御,主动防御,纵深防御,精准防护,整体防护,联防联控的能力。

先说“理清楚”。内生安全体系建设，需要先体系化地梳理、设计出保障政府和企业数字化业务所需要的安全能力，才能确保这些安全能力能够融入到信息化与业务系统中去。

就像建造一栋房子，需要算清楚、准备好所有的建筑材料和工具，才能打好地基、筑好框架、建好楼板、装好防盗门窗、配齐消防设备、布好摄像头、警报器，房子才会安全、坚固，抵御各种风险。

在梳理的过程中，我们要充分考虑，这个系统的架构和功能将来是否可以调整？系统的安全能力能不能做到持续不断的增强？网络安全产品是否有维护升级的能力？未来是否根据需要增加新的安全产品模块？系统是否有安全监控和数据采集的功能？

在设计的过程中，我们要根据政府和企业自身信息化项目的实际情况，对安全能力进行挑选、组合和规划，给出明确标准。

再说“建起来”。融合是建设的关键，将安全能力深度融入物理、网络、系统、应用、数据与用户等各个层次，确保深度结合；还要将安全能力全面覆盖云、终端、服务器、通信链路、网络设备、安全设备、工控、人员等要素，避免局部盲区，实现全面覆盖。

这种将安全能力合理地分配到正确位置的建设过程，就是安全能力组件化的过程。这种安全能力组件，是软件化、虚拟化、服务化的。科学、合理地将安全能力组件进行组合、归并，建立相互作用关系，确保了安全能力的可建设、可落地、可调度。

在具体建设过程中，需要一个全景化的技术部署模型，全面描绘政企机构的整体网络结构，信息化和网络安全的融合关系，以及安全能力的部署形态。

比如，按照区域，把政企机构的信息化系统分成总部、区域中心、分支机构以及网络节点等多种类型；按照业务类别和功能，又把政企机构的信息化系统分成了全局网络、骨干网络、区域边界、通信网络、信息系统、云平台、大数据平台、数字化终端等层级、组件，并标记出它们的部署位置和形态。

在这个基础上，我们就可以把所有的安全能力组件，分别以系统、服务、软硬件资源的形态，合理部署到信息化系统的不同区域、节点、层级中。各种安全能力组件之间，通过网络和数据进行整体协同，使安全能力全面覆盖信息化所有范围，实现了对各个层次的管理，消除盲点，增强安全资源的丰富性、灵活性、完整性。

第三个重点“跑得赢”。新基建、数字化转型，催生了无数新的应用场景，带来的安全风险剧增，推动网络安全从辅助工程变成了基础工程。

缺乏安全运行的安全系统，相当于“靠天吃饭”。以前，由于网络攻击是小概率事件，就好比每年都风调雨顺，“靠天吃饭”的网络安全也很少出事；但随着网络攻击成为大概率事件，好比“十年九灾”，继续“靠天吃饭”的网络安全就会出大问题。

内生安全体系强调安全运行，把管理作为关键，就能“人定胜天”，跑得赢漏洞、跑得赢内鬼、跑得赢黑客。

我们将网络安全运行的各个组件，以及网络安全与信息化之间聚合、协同运行的状态进行了详尽的描绘，使安全工作中大量隐性活动显性化、标准化、条令化，从而确保安全运行的可持续性，实现管理闭环。

第三部分，框架的关键是组件化。

落地内生安全，实现新管理模式，最理想的情况，是建设一个完整的框架。但现实情况是，大多数政府和企业的信息化系统，都是新老结合的，往往需要花若干年的时间，才能完成对老系统的替换，这是一个“立新破旧”的过程。

从安全系统与信息化系统聚合的实施角度来看，如果割裂地对老系统用老办法，新系统用新办法，未来，当老系统被替代时，老的安全系统也不得不替换掉，造成巨大的浪费。

这就要求我们对安全体系进行“统一设计，分步实施”，在体系的基础上，把安全框架组件化，让这些组件既能是新体系的一部分，又能部署到老系统中，从而适应信息化系统这种渐进式的、“立新破旧”的过程，避免不断地把安全系统推倒重来，确保现在安全上的投资是面向未来的。

从国际的经验看，ISO/IEC 27000信息安全管理体系就是按照组件化的方式设计的，它包含14个类别，35个目标，114个控制措施；NIST 的系统安全工程也列举了从需求、设计、实现到验证、部署、维护、弃置等14个过程应该开展的安全工作，包括54个任务、235项活动。在NIST网络空间安全框架中，也通过IPDRR-识别、保护、检测、响应、恢复的机制，以及多个落地子项来构造网络安全的保护体系。

遵循这样的经验，我们用工程化的思想，把体系中的安全能力，映射成为可执行、可建设的网络安全能力组件，构成了内生安全框架，这些组件与信息化进行体系化地聚合，是安全框架落地的关键。

为了穷尽安全能力组件的类型，我们研究了针对党、政、军、央企、金融等这些大型机构网络安全的新技术产品和服务体系，为这些体系设计并解构出了十个网络安全工程，以及五方面的支撑能力任务，简称“十大工程”“五大任务”。

这“十工五任”是内生安全框架的具体落地手册，具备了一个复杂庞大的信息化系统所需要的全部安全能力。这就相当于打造了一个信息化巨系统内生安全框架的建设样板，每一个工程和任务，都可以理解成样板房里的不同“房间”。政企机构可以结合自身信息化的特点，选取不同的“房间”进行组合，定义自己的关键工程和任务。

以某个“新基建”项目为例，它包括了136个信息化组件，我们就依据“十工五任”手册的具体指引，总结出了29个安全区域场景，部署了79类安全组件。

所以，我们在进行安全体系建设时，首先必须对自己的安全框架有整体性的设计，就可以依据“十工五任”手册，面向未来进行安全组件建设，避免“建好之时就是改造重建之日”。

“十工五任”手册，对每个组件的部署位置、部署顺序、部署要求都给予了详细的说明。就像房子装修有水电改造、刷漆、铺地板等固定流程，我们对每一个工程和任务都给出了具体的部署步骤和标准。

下面，我给大家看一个实战攻防的视频，因为“网络安全讲一百遍不如打一遍”，实战攻防是检验网络安全能力的唯一标准。这个视频呈现了一个网络安全的“战场沙盘”，很清楚地展示了我们在一个巨系统里部署的安全能力组件是怎么在物理层、虚拟化层、应用层逐层展开、协同联动，让安全体系真正运转起来的。

我相信，政府和企业按照我们提出的内生安全框架，投入三至五年时间，就能建立起完善的网络安全协同联动防御体系，真正实现内生安全。

朋友们，数字化转型和新一轮技术革命，正在重写全球经济、科技和政治格局。对网络安全行业来说，这既是一次前所未有的机遇，也是一次前所未有的挑战。让我们携起手，从安全框架开始，推动网络安全产业再上新台阶。谢谢大家！