數(shù)字化時(shí)代，上云是企業(yè)不可忽視的路徑，因此對(duì)于云上安全治理以及云平臺(tái)自身安全性的考量，也成為長期以來業(yè)界持續(xù)探索的課題。從參考傳統(tǒng)網(wǎng)絡(luò)安全而設(shè)計(jì)的云安全，到補(bǔ)丁式的云原生安全，再到如今的云安全治理體系，階段演進(jìn)的背后，是云安全治理能力提升的迫切性要求，以及思維和理念的革新。

進(jìn)入3.0時(shí)代，云安全治理已然上升戰(zhàn)略與價(jià)值層面。既要確保戰(zhàn)略與企業(yè)組織業(yè)務(wù)發(fā)展相一致，也要通過量化價(jià)值，實(shí)現(xiàn)安全投入產(chǎn)出的最大化，進(jìn)而提升安全治理能力與效率。在數(shù)字化時(shí)代筑牢安全底座，推動(dòng)產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型升級(jí)，共建數(shù)字經(jīng)濟(jì)美好未來。

正值2024騰訊全球數(shù)字生態(tài)大會(huì)，騰訊云安全總經(jīng)理李濱，安在新媒體創(chuàng)始人張耀疆，云安全聯(lián)盟上海分會(huì)聯(lián)席主席 沈勇，三位嘉賓坐而論道，共話“云時(shí)代，如何夯實(shí)安全治理的核心戰(zhàn)略與價(jià)值呈現(xiàn)”。

新紀(jì)元，云安全與企業(yè)戰(zhàn)略的深度融合

云安全的發(fā)展經(jīng)歷了三個(gè)階段。早期，是對(duì)傳統(tǒng)網(wǎng)絡(luò)安全模式的借鑒與適應(yīng)；而后，伴隨容器時(shí)代的來臨，云原生安全嶄露頭角，并催生出豐富的外掛式安全技術(shù)；如今，產(chǎn)業(yè)開始思考并致力于構(gòu)建以戰(zhàn)略和價(jià)值為引領(lǐng)、架構(gòu)為核心、機(jī)制為支撐的云安全治理體系，標(biāo)志著云安全已然從單純的技術(shù)堆砌邁向了與企業(yè)戰(zhàn)略深度融合的新紀(jì)元。

Q：云安全經(jīng)歷了怎樣的發(fā)展脈絡(luò)？

李濱：最初在云尚未定型時(shí)，云安全主要借鑒傳統(tǒng)網(wǎng)絡(luò)安全的防護(hù)思路和理念。進(jìn)入容器時(shí)代后，與云相關(guān)的資源力度、運(yùn)行效率、迭代速度越發(fā)明顯，國際上因此提出了全新的概念—Cloud Native，即云原生。然而，云原生安全與系統(tǒng)的耦合性較差，龐大的資源數(shù)據(jù)逐漸成為安全建設(shè)的最大阻礙，顯然“先采用后補(bǔ)安全”的方式已無法適用云安全的需求。需要從全新的理念和架構(gòu)出發(fā)，規(guī)劃、引導(dǎo)、設(shè)計(jì)云安全治理體系。

之所以稱為云安全治理體系，是因?yàn)樗邆鋷讉€(gè)層面。首先是戰(zhàn)略和價(jià)值，有別于過去純技術(shù)角度的思考，在今天這樣外部環(huán)境、經(jīng)濟(jì)形勢(shì)、業(yè)務(wù)發(fā)展方式全然不同的時(shí)代下，我們更需要關(guān)注安全的價(jià)值，即如何使用最大化的投入產(chǎn)出比來提升安全效率，將安全置于企業(yè)整體的戰(zhàn)略和規(guī)劃中。

以此為核心，設(shè)計(jì)合理的安全架構(gòu)，最后根據(jù)架構(gòu)設(shè)計(jì)出合理的安全機(jī)制，比如哪些機(jī)制在早期設(shè)計(jì)時(shí)就應(yīng)該做好內(nèi)置，并且以更低的成本提供給用戶。最終形成價(jià)值決定戰(zhàn)略、戰(zhàn)略決定架構(gòu)、架構(gòu)決定技術(shù)形態(tài)的分析思路。這也是云安全進(jìn)入第三階段的主要特征。

沈勇：云安全的蓬勃發(fā)展誕生于2010年。第一個(gè)階段主要從基礎(chǔ)架構(gòu)入手，是計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)、虛擬化技術(shù)成熟后的產(chǎn)物，具備全新的組織形態(tài)。由于基礎(chǔ)架構(gòu)的變化對(duì)整個(gè)IT產(chǎn)生了巨大影響，業(yè)界逐漸發(fā)現(xiàn)補(bǔ)丁式的安全思維已經(jīng)跟不上云應(yīng)用的迭代速度，云安全便因此進(jìn)入第二個(gè)階段，即云原生安全。然而，外界環(huán)境的變化不允許人們長時(shí)間停留于“縫縫補(bǔ)補(bǔ)”的狀態(tài)，所以當(dāng)云原生安全還未被業(yè)內(nèi)熟知與充分利用，第三階段的云安全便“撲面而來”了。

當(dāng)前階段的云安全需要更完整的治理體系。首先，從用戶的角度來看，應(yīng)用永遠(yuǎn)都是第一位的，安全本身不是目的，目的是保護(hù)有價(jià)值的應(yīng)用；其次，面對(duì)不斷發(fā)展的應(yīng)用，補(bǔ)丁式的安全方案已完全不適用，云原生安全防護(hù)思路已經(jīng)到達(dá)極限，外掛式的安全方解決方案只會(huì)導(dǎo)致安全系統(tǒng)過于復(fù)雜且成本巨大，因此，用戶急需一種更好的理念和治理體系，來組織、設(shè)計(jì)云安全管理。

Q：企業(yè)在云安全建設(shè)中應(yīng)該關(guān)注哪些方面？

李濱：企業(yè)需要關(guān)注云安全防御體系落地中的幾個(gè)注意事項(xiàng)。首先在應(yīng)用開發(fā)和獲取階段，需要進(jìn)行網(wǎng)絡(luò)安全的同步規(guī)劃和建設(shè)。尤其需要注意軟硬件應(yīng)用服務(wù)的外采；其次，通過各個(gè)數(shù)據(jù)點(diǎn)的采集指標(biāo)來形成完整的安全分析和運(yùn)營系統(tǒng)是重點(diǎn)之一，所以基礎(chǔ)設(shè)施安全和安全運(yùn)營要重點(diǎn)關(guān)注；供應(yīng)鏈安全中包括軟硬件的供應(yīng)鏈，上下游關(guān)系，以及人員和外包服務(wù)；而在跨云安全協(xié)同上，需要從底層進(jìn)行技術(shù)支撐，主要體現(xiàn)在身份訪問控制和權(quán)限審計(jì)等方面；此外，包括數(shù)據(jù)安全、業(yè)務(wù)風(fēng)控等，都是云安全防御體系落地過程中需要重點(diǎn)關(guān)注的地方。

沈勇：在構(gòu)建整體云防護(hù)的過程中，首先要有整體性的戰(zhàn)略思維，此思維需要具備頂層設(shè)計(jì)。因?yàn)檫^去“先用產(chǎn)品后補(bǔ)防護(hù)”的理念和方式已經(jīng)完全跟不上時(shí)代所需，所以企業(yè)的安全防御體系要從業(yè)務(wù)系統(tǒng)的建設(shè)初期就同步部署。最終的目標(biāo)是讓企業(yè)的云安全建設(shè)具備基礎(chǔ)的服務(wù)能力，具備個(gè)性化的安全能力，以及形成總體的指標(biāo)體系。

騰訊云的安全治理戰(zhàn)略與價(jià)值呈現(xiàn)

騰訊云在構(gòu)建云平臺(tái)安全戰(zhàn)略時(shí)，深刻認(rèn)識(shí)到安全不僅是技術(shù)層面的保障，更是與多方利益相關(guān)者的價(jià)值共創(chuàng)與協(xié)同。通過全面審視并界定核心利益相關(guān)方，騰訊云確保了安全策略與企業(yè)戰(zhàn)略及外部環(huán)境的緊密對(duì)齊。在此基礎(chǔ)上，騰訊云積極探索量化安全價(jià)值的新路徑，通過構(gòu)建一套科學(xué)、系統(tǒng)且可度量的安全指標(biāo)體系，將安全從無形保障轉(zhuǎn)化為可評(píng)估、可優(yōu)化的戰(zhàn)略資產(chǎn)。

Q：騰訊云在云平臺(tái)安全治理方面有哪些核心戰(zhàn)略和原則？

李濱：既然是治理，就一定會(huì)涉及組織的最高戰(zhàn)略層面，它的內(nèi)涵是最高層對(duì)于治理方向的監(jiān)督指導(dǎo)和評(píng)價(jià)。通過提供具體的事項(xiàng)和必要的數(shù)據(jù)，讓組織最高層來評(píng)估目前的治理階段是否準(zhǔn)確，從而得到相應(yīng)的指導(dǎo)和支持。此外，面對(duì)“落地治理框架”這一巨大挑戰(zhàn)，企業(yè)在治理之下還需具備管理能力，通過流程、組織機(jī)構(gòu)、崗位職責(zé)的設(shè)定來進(jìn)行落地。最后還需要在技術(shù)的支撐下，才能讓治理框架有效實(shí)踐。

騰訊云在戰(zhàn)略對(duì)齊的層面上，首先思考的是“誰為安全的利益相關(guān)方”。作為互聯(lián)網(wǎng)時(shí)代下較為全面的平臺(tái)，騰訊云界定了五個(gè)方向核心利益相關(guān)方。第一是騰訊客戶，對(duì)企業(yè)而言，客戶的利益是首要的；第二是監(jiān)管方，作為平臺(tái)企業(yè)，會(huì)涉及國家以及不同地區(qū)法律法規(guī)、行業(yè)標(biāo)準(zhǔn)的約束；第三是社會(huì)責(zé)任，作為上市公司，廣大的公眾就是利益相關(guān)方，即使沒有直接的利益損失，也需要評(píng)估和衡量可能對(duì)公眾造成的影響；第四，為了保證財(cái)務(wù)控制的準(zhǔn)確性，內(nèi)部控制也是利益相關(guān)方的重要一環(huán)；第五是廣義的風(fēng)險(xiǎn)管理，主要涉及騰訊的客戶、供應(yīng)鏈上下游等。

綜上所述，騰訊云除了和企業(yè)內(nèi)部的業(yè)務(wù)戰(zhàn)略對(duì)齊外，還會(huì)評(píng)估云安全戰(zhàn)略是否和利益相關(guān)方的目標(biāo)相一致，從而做到安全最終價(jià)值的呈現(xiàn)和保障。

Q：騰訊云在云平臺(tái)安全治理中如何量化安全價(jià)值和投資回報(bào)率（ROI）？

李濱：在量化安全價(jià)值方面，騰訊云具備了相應(yīng)的支撐性原則。其一，安全必須可靠、可度量；其二，安全需要形成核心且能覆蓋不同層級(jí)的度量指標(biāo)。比如安全的投入對(duì)業(yè)務(wù)和戰(zhàn)略的支撐能否量化成具體的數(shù)值？其次，支撐這些參數(shù)所需不同的安全治理模塊有無合適的量化指標(biāo)？這些指標(biāo)能否支撐最上層的投入產(chǎn)出比？最終，通過逐層的分解，便能對(duì)整個(gè)安全治理形成數(shù)據(jù)化、指標(biāo)化的度量體系。

在騰訊云內(nèi)部，安全指標(biāo)分為三層，最核心的是網(wǎng)絡(luò)安全ROI；往下是每個(gè)安全治理模塊中較為核心的指標(biāo)，比如事件全流程的溯源覆蓋率，就是安全事件造成風(fēng)險(xiǎn)損失的核心指標(biāo)之一；再往下還有漏報(bào)和誤報(bào)，全流程的分析響應(yīng)時(shí)間，以及最終對(duì)安全事件的遏制時(shí)間等。每個(gè)安全治理模塊中都存在幾項(xiàng)核心指標(biāo)，且缺一不可，因?yàn)檫@是構(gòu)成最上層數(shù)據(jù)的必要基礎(chǔ)。

通過建立成熟的指標(biāo)體系，騰訊云可以實(shí)現(xiàn)安全上的戰(zhàn)略和價(jià)值。同時(shí)，通過持續(xù)的優(yōu)化和迭代，最終形成對(duì)用戶而言必要的監(jiān)控點(diǎn)。這些監(jiān)控點(diǎn)可回落到系統(tǒng)中，并為用戶完善系統(tǒng)建設(shè)指出必須具備核心監(jiān)控指標(biāo)的環(huán)節(jié)，最終實(shí)現(xiàn)保證從系統(tǒng)到架構(gòu)，再到指標(biāo)體系的一致性。

云安全治理體系對(duì)用戶的賦能與意義

在探討云計(jì)算環(huán)境下安全價(jià)值的呈現(xiàn)與實(shí)現(xiàn)路徑時(shí)，首先要關(guān)注如何構(gòu)建一個(gè)全面且可度量的安全體系，這一體系不僅覆蓋了從工具到流程能力的全方位保障，還深刻影響著業(yè)務(wù)價(jià)值的提升與成本的優(yōu)化控制。通過實(shí)現(xiàn)安全指標(biāo)與業(yè)務(wù)價(jià)值的深度綁定，不僅為用戶提供了直觀的安全量化評(píng)估，還進(jìn)一步推動(dòng)了安全成為業(yè)務(wù)發(fā)展的強(qiáng)大驅(qū)動(dòng)力。

Q：騰訊云安全指標(biāo)體系如何讓用戶實(shí)現(xiàn)落地？

李濱：在具體形態(tài)上，騰訊云從工具到流程能力進(jìn)行了全面覆蓋。而從現(xiàn)實(shí)出發(fā)，所有的價(jià)值衡量都有一個(gè)前提——在成本有限的情況下將能力價(jià)值最大化，這也就是為什么必須實(shí)現(xiàn)可度量的安全指標(biāo)，且一定要和業(yè)務(wù)價(jià)值相互綁定。

假設(shè)有兩個(gè)產(chǎn)品線，產(chǎn)值分別為1億和10億，此時(shí)我們?nèi)舭寻踩笜?biāo)和業(yè)務(wù)價(jià)值相對(duì)齊，就能實(shí)現(xiàn)量化。比如對(duì)于1億的產(chǎn)品，投入相應(yīng)的安全人員可為其挖掘100個(gè)漏洞，再結(jié)合安全事件所造成的停機(jī)損失，就能形成該產(chǎn)品線風(fēng)險(xiǎn)成本的總值，對(duì)應(yīng)其產(chǎn)值，就能形成安全的量化值。與之相比，10億的產(chǎn)品線由于其自身業(yè)務(wù)實(shí)現(xiàn)更好，因而在安全投入的相同的情況下，安全投入比和總體風(fēng)險(xiǎn)成本更低，最終體現(xiàn)出更高的業(yè)務(wù)價(jià)值。

如此我們就能得到兩個(gè)結(jié)果：其一，安全的指標(biāo)和數(shù)據(jù)得到了直接的價(jià)值量化，公司經(jīng)營者可清晰辨別安全效果、投入產(chǎn)出比等；其二，安全和業(yè)務(wù)價(jià)值對(duì)齊后，為業(yè)務(wù)形成了驅(qū)動(dòng)力，即只有做好安全，業(yè)務(wù)指標(biāo)才能更為優(yōu)良，安全為助力業(yè)務(wù)成長提供了價(jià)值。

綜上，從戰(zhàn)略到價(jià)值對(duì)齊，再到可量化的指標(biāo)，這三點(diǎn)的構(gòu)成能夠幫助用戶解決“如何呈現(xiàn)安全價(jià)值”的問題。

Q：用戶如何看待騰訊云的價(jià)值量化和評(píng)價(jià)體系？

沈勇：只要用戶在云上擁有大量的資產(chǎn)，就一定需要云平臺(tái)所提供的評(píng)價(jià)體系以展現(xiàn)安全的價(jià)值，決策者也可以對(duì)此進(jìn)行橫向和縱向的對(duì)比。雖然業(yè)內(nèi)可參考的模型有很多，但真正能方便實(shí)行和落地的卻很少，所以云平臺(tái)提供方可以通過自身實(shí)踐不斷深入，最終能力賦予用戶。像騰訊云這樣既具備細(xì)化指標(biāo)和總體指標(biāo)，還能用一種方式計(jì)算數(shù)據(jù)，并落實(shí)到平臺(tái)上的評(píng)價(jià)體系十分難得。即使在自定義方面只能滿足70%-80%的需求，對(duì)于用戶也已經(jīng)具備極大的吸引力。

當(dāng)然，作為用戶，更希望評(píng)價(jià)體系能具備基礎(chǔ)模板，讓用戶可以進(jìn)行一些自定義設(shè)計(jì)。畢竟同一件事情，不同用戶的看待角度、感受也并不相同，所產(chǎn)生的評(píng)價(jià)以及發(fā)展階段也不一樣，這是用戶最為期待的產(chǎn)品內(nèi)容。此外，用戶希望在云平臺(tái)購買服務(wù)時(shí)，廠商能配齊基礎(chǔ)的安全能力。比如購買云存儲(chǔ)，用戶希望其中已內(nèi)嵌發(fā)現(xiàn)敏感數(shù)據(jù)的能力，不需要再單獨(dú)配置相關(guān)的安全工具。正如“買車無需自己購置安全帶”一樣，這是用戶對(duì)于云平臺(tái)首要的期望。

云與智能融合，讓安全內(nèi)置業(yè)務(wù)

安全的數(shù)據(jù)化與指標(biāo)化是安全價(jià)值構(gòu)建與提升的基石，而AI技術(shù)的深度融入則成為推動(dòng)這一進(jìn)程的關(guān)鍵力量。騰訊云通過一系列前沿實(shí)踐，不僅展現(xiàn)了AI高效處理海量數(shù)據(jù)，精準(zhǔn)轉(zhuǎn)化為安全研判關(guān)鍵指標(biāo)的能力，更揭示了AI在云安全領(lǐng)域的廣泛應(yīng)用與深遠(yuǎn)影響。此外，只有強(qiáng)調(diào)技術(shù)與業(yè)務(wù)的深度融合，才能實(shí)現(xiàn)安全價(jià)值的最大化。

Q：AI、大模型等前沿技術(shù)和理念如何在云安全建設(shè)中發(fā)揮價(jià)值？

李濱：安全的數(shù)據(jù)化和指標(biāo)化對(duì)于安全價(jià)值呈現(xiàn)非常重要。以騰訊云為例，從捕捉到的信號(hào)將其轉(zhuǎn)化成有效數(shù)據(jù)，再到形成研判的一些關(guān)鍵指標(biāo)，最終形成價(jià)值衡量，這是一個(gè)數(shù)據(jù)逐步過濾的分析過程，而其中所接觸的數(shù)據(jù)是海量的，必須依靠AI才能進(jìn)行有效處理。

此外，AI作為快速發(fā)展的技術(shù)，其本身也會(huì)帶來非常多的安全問題和場(chǎng)景。騰訊云每天為用戶自動(dòng)攔截的攻擊超過1.2億次；過去三年以來，騰訊云每天檢測(cè)到的攻擊信號(hào)在50億次以上。而這些檢測(cè)和攔截都離不開AI的賦能，可以說AI技術(shù)已經(jīng)在騰訊云上發(fā)揮了重要作用。

當(dāng)然，AI工作還包括了內(nèi)容風(fēng)控、反欺詐、攻擊事件的協(xié)助分析、數(shù)據(jù)分析等。AI技術(shù)早已在騰訊云的各個(gè)領(lǐng)域有所應(yīng)用，并在具體的應(yīng)用上展現(xiàn)出了足夠的價(jià)值，最終形成了一整套有效的工具集。大大降低了騰訊云內(nèi)部以及用戶的工作量，同時(shí)為安全生產(chǎn)效率帶來了極大的提升。

沈勇：AI必然會(huì)影響、賦能各行各業(yè)，但AI并不能替代人，而是會(huì)讓主動(dòng)擁抱AI技術(shù)的人群具備更強(qiáng)的競(jìng)爭優(yōu)勢(shì)。此外，AI不僅賦能云安全這一個(gè)具體的場(chǎng)景，更是極大影響了安全產(chǎn)業(yè)的變革與發(fā)展。由于AI應(yīng)用帶來了更大的暴露面，因此安全的產(chǎn)值會(huì)更大，對(duì)安全人員的需求會(huì)更多，同時(shí)也會(huì)讓安全人員的競(jìng)爭變得更激烈。

Q：未來，云安全還呈現(xiàn)哪些發(fā)展趨勢(shì)？

李濱：過去30年以來，最有價(jià)值的安全技術(shù)應(yīng)用其實(shí)是指紋識(shí)別，以及由此衍生出的人臉識(shí)別等。指紋識(shí)別其實(shí)是眾多老技術(shù)的集成，但就是這么一個(gè)小小的改變和拼湊，卻極大地簡化了終端的身份認(rèn)證，提高了便捷應(yīng)用的門檻。

如今來看，指紋識(shí)別不但簡化了身份認(rèn)證、手機(jī)應(yīng)用，還進(jìn)一步帶動(dòng)了支付鏈條的變化，讓人員愿意通過互聯(lián)網(wǎng)和移動(dòng)終端進(jìn)行業(yè)務(wù)交易，進(jìn)而改變了互聯(lián)網(wǎng)電子金融和電子商務(wù)的生態(tài)。所以說，指紋識(shí)別帶動(dòng)了不可估量的產(chǎn)業(yè)價(jià)值。

因此對(duì)云安全而言，未來也會(huì)呈現(xiàn)同樣的發(fā)展趨勢(shì)。真正的安全技術(shù)并不一定要以單獨(dú)的產(chǎn)品形態(tài)來呈現(xiàn)，關(guān)鍵在于能給業(yè)務(wù)帶來怎樣的助力。安全技術(shù)的最終目標(biāo)是要能融入業(yè)務(wù)，成為業(yè)務(wù)的一部分，這樣用戶才更愿意接受，實(shí)現(xiàn)安全價(jià)值最大化。

沈勇：用戶而言，最希望看到的是好用的產(chǎn)品，內(nèi)置安全能力。比如，領(lǐng)導(dǎo)地位的產(chǎn)品內(nèi)置必需的安全能力。用戶并不會(huì)因?yàn)槟硺赢a(chǎn)品特別安全而去購買，而是會(huì)在產(chǎn)品功能更好的情況下，關(guān)注其安全性是否過關(guān)。所以可以預(yù)測(cè)，未來云安全及產(chǎn)品的發(fā)展，或許會(huì)是某一個(gè)領(lǐng)域中的領(lǐng)導(dǎo)產(chǎn)品將安全作為自己的護(hù)城河，作為其內(nèi)置的原生能力。