“任何新技术的出现和应用都不是凭空的，都是要有一定的土壤和环境，比如要考虑到先期的基础安全建设。”面对数字化转型对政企机构运营模式带来的颠覆性转变，日前，奇安信&Gartner发布《数字化转型需要内生的安全框架》报告（以下简称《报告》），重点强调网络安全建设工作在追求新技术的同时，更要打好基础。同时，《报告》还重点对比了国内外网络安全建设差异化现状，提出了一种更具中国特色的、切实有效的网络安全建设体系。
图：奇安信&Gartner《数字化转型需要内生的安全框架》
拥抱新技术要打好基础，面对新挑战需要内生安全
数字化转型为网络安全带来更多新威胁、新挑战，旧有的网络安全建设模式已经无法满足业务和安全要求，国内外领先的组织和研究机构开始关注安全技术新趋势，帮助组织机构的管理者采取相应的技术措施和建设工作，以适应时代背景下更复杂、更庞大、更具价值的安全需求。
“新的安全技术越来越强调协同和联动。”对此，《报告》强调：“需要注意到，我们在关注安全技术新趋势的时候，更要考虑到应用这些安全新技术的基础。”跟紧前沿技术，必要的前提工作就是安全基础的积累。
国内网络安全建设工作而言，各组织机构继续建设高水平的新安全能力来应对新挑战。《报告》提到，早期的网络安全建设大多是围墙式的，随着业务与信息化的融合深入，人们开始在内部业务系统的IT环境中部署更多安全措施，结合内外部安全大数据，采用外挂式安全建设提升整体防护能力。
无论是围墙式还是外挂式，都无法做到业务与安全真正融合，其本质仍然是传统防护手段的组合、叠加。政企机构的信息化建设，需要一种新的安全思维，即本身与信息化环境相融合的能力，具有内在“抵抗力”的内生安全思想，也是我国数字经济发展所需要的全新的网络安全建设思想。从用户业务需求出发，围绕其核心业务形成自适应、自主、自生长的新安全能力，真正解决数字经济时代的业务安全问题。
网络安全建设差异化明显，“十四五”带来破局新契机
在网络安全建设差异化现状层面，《报告》指出，我国网络安全建设发展差异主要集中在两个方面，即我国和欧美国家之间、国内政企机构之间的差异。一方面，与起步早、成熟度较高的欧美市场相比，我国网络安全建设在网络安全基础结构、安全管理、安全运营等方面处于构建和完善阶段，安全技术的研究和应用情况也存在很大差别。
另一方面，在国内早期等保合规与应对威胁的驱动下，网络安全呈现“应对合规、局部整改”的特点，导致国内各行业的安全建设与发展出现明显差别，如电力、金融等领域的安全保障水平国内领先，甚至已经与国际水平相接轨。国内政企机构之间的发展差异集中体现为，网络安全的高度体系化仍然只存在于小部分领先组织，各政企机构在基础设施完备度、安全对信息化环境的覆盖面、安全与信息化各层次结合程度、安全运行可持续性、应急能力就绪度、资源保障等方面差异明显。
概括来说，我国网络安全建设和发展阶段与欧美截然不同，国内各政企机构之间的安全建设及安全基础积累更是差异明显。弥合安全能力基础积累的差异并有效落地内生安全，是对我国网络安全建设的新挑战。
前，我国网络安全建设发展迎来机遇期，“十四五”规划及国家统筹下相关法律法规、政策制度的密集出台，从发展与治理两个方面，为我国网络安全基础能力提升、数字化转型带来破局契机。对此，政企机构应牢牢把握机遇，以顶层设计的视角考虑安全建设现状与差异，有效落地内生安全，兼顾我国网络安全建设现状与技术发展新趋势。
以奇安信内生安全框架为土壤，承接技术发展新趋势
将以企业架构（EA，Enterprise Architecture）为代表的系统性方法论用于网络安全；其次，在安全框架方面，需能以系统工程方法论结合“内生安全”理念而形成的建设框架，以引导政企机构规划和建设网络安全，使其从外挂走向内生、从“走形式”转向“实战化”，适应数字经济的发展。
图：奇安信内生安全框架
在上述背景下，奇安信全面分析了国内外网络安全态势和我国政企面临的挑战，结合政府、央企、金融等大型机构面临的普遍性需求，借鉴国内外网络安全最佳实践，吸收最新网络安全技术研究成果，提出面向“十四五”期间的新一代企业网络安全框架，即内生安全框架，为政企机构提供从“甲方视角、信息化视角、网络安全全景视角”出发的顶层规划与体系设计思路与建议。
《报告》介绍，内生安全框架包括网络安全能力体系、规划方法论与工具体系、能力化组件模型、建设实施项目库、政企机构网络安全技术部署参考架构、政企机构网络安全运行体系参考架构等多个组件，这些组件可被用于政企网络安全规划的不同阶段，并随着安全建设项目实施逐步融入信息化环境，从而构建体系化安全能力。更重要的是，内生安全框架可以为新技术的持续引入、创新提供“土壤”，使得新技术在体系化网络安全环境充分发挥效能。
总体而言，国际网络安全技术新趋势对我国网络安全建设具有重要参考价值，但我们应综合考虑发展差距和差异化现状，牢牢把握时代发展契机，选择具有中国特色的、符合发展需求的内生安全框架这一方法论，从而切实指导各政企机构网络安全建设，提升实战化运行能力，有效保障数字化业务发展。