1. 案例背景
在國家數(shù)字經(jīng)濟邁入深化應(yīng)用、規(guī)范發(fā)展和普惠共享的新階段，中國人民銀行和中國銀保監(jiān)會相繼發(fā)布《金融科技發(fā)展規(guī)劃（2022-2025年）》和《關(guān)于銀行業(yè)保險業(yè)數(shù)字化轉(zhuǎn)型的指導(dǎo)意見》，全面指導(dǎo)金融業(yè)數(shù)字化轉(zhuǎn)型向縱深推進，面對新的系統(tǒng)架構(gòu)、數(shù)據(jù)架構(gòu)、應(yīng)用架構(gòu)和基礎(chǔ)架構(gòu)，金融機構(gòu)全方位加強網(wǎng)絡(luò)安全防護，做好網(wǎng)絡(luò)安全邊界延展的安全控制是數(shù)字化轉(zhuǎn)型必須攻克的難題之一。而如何量化衡量整體的網(wǎng)絡(luò)安全防御能力，直觀展現(xiàn)信息安全水位，需要專業(yè)化的檢驗方法和技術(shù)支持。
2. 技術(shù)方案
網(wǎng)商銀行基于自身業(yè)務(wù)現(xiàn)狀及面臨的網(wǎng)絡(luò)安全威脅特點，探索出一套基于威脅路徑圖的信息安全水位評估技術(shù)，并研發(fā)了配套的應(yīng)用系統(tǒng)進行落地實踐，至2024年12月，信息安全水位評估系統(tǒng)已持續(xù)運行3年時間，通過多個指標(biāo)切實有效評估且便捷展現(xiàn)了網(wǎng)商銀行的安全防御水位。
該技術(shù)的總體思路是首先建立符合企業(yè)自身面臨的網(wǎng)絡(luò)安全威脅現(xiàn)狀的威脅路徑圖，威脅路徑圖模型如圖1所示，威脅路徑圖是對企業(yè)可能遭受的網(wǎng)絡(luò)攻擊風(fēng)險建立的數(shù)字化模型，模型將企業(yè)網(wǎng)絡(luò)結(jié)構(gòu)抽象成圖，在圖中補充所有黑客可能的攻擊技術(shù)及企業(yè)應(yīng)對攻擊的各項能力，網(wǎng)商銀行根據(jù)自身資產(chǎn)和網(wǎng)絡(luò)環(huán)境等關(guān)鍵信息抽象出了自己的威脅路徑圖。其次，以威脅路徑圖為基礎(chǔ)，由攻防藍軍通過自動化檢驗的方式，持續(xù)驗證企業(yè)應(yīng)對攻擊的預(yù)防、防御、感知能力，再通過紅藍演練方式不斷發(fā)現(xiàn)新的風(fēng)險。最后，根據(jù)演練和檢驗數(shù)據(jù)，運用水位指標(biāo)計算得出威脅路徑預(yù)防率、威脅路徑防御率、威脅路徑感知率、威脅路徑縱深防御率等指標(biāo)體現(xiàn)企業(yè)整體信息安全水位。
圖1 威脅路徑圖模型
3. 解決問題
信息安全水位量化問題，由于網(wǎng)絡(luò)環(huán)境的復(fù)雜性，企業(yè)的安全能力在真實的攻擊事件中的有效性難以保證，此外企業(yè)也無法準(zhǔn)確評估當(dāng)前信息安全水位和面臨的主要風(fēng)險。需要量化指標(biāo)從全局視角展示當(dāng)前的信息安全水位情況，通過指標(biāo)數(shù)據(jù)企業(yè)能夠及時發(fā)現(xiàn)潛在的安全問題和風(fēng)險，進而采取適當(dāng)?shù)陌踩胧﹣肀Ｕ掀髽I(yè)網(wǎng)絡(luò)的穩(wěn)定運行和數(shù)據(jù)的安全。
4. 創(chuàng)新亮點
5. 應(yīng)用落地
通過該水位評估技術(shù)，可以從實戰(zhàn)角度沉淀實戰(zhàn)攻防數(shù)據(jù)，幫助安全能力運營人員及時發(fā)現(xiàn)潛在的風(fēng)險。通過沉淀的攻防數(shù)據(jù)可以形成多個信息安全水位量化指標(biāo)，管理層可以從風(fēng)險域、安全能力等多角度的量化指標(biāo)數(shù)據(jù)了解企業(yè)信息安全水位現(xiàn)狀，幫助企業(yè)更好的認(rèn)識目前可以防御的威脅等級及面臨的風(fēng)險，幫助企業(yè)更好的進行風(fēng)險數(shù)字化管理，將安全建設(shè)從安全事件驅(qū)動轉(zhuǎn)化為風(fēng)險驅(qū)動。
網(wǎng)商銀行借助該技術(shù)結(jié)合網(wǎng)商銀行實際情況建立了信息安全水位評估系統(tǒng)，通過該系統(tǒng)以月度為單位進行周期性的自動化檢驗，保證了安全能力的有效性，體現(xiàn)安全能力建設(shè)進展及效果，通過量化指標(biāo)了解現(xiàn)有信息安全水位防御等級和風(fēng)險。通過系統(tǒng)中威脅路徑圖的指導(dǎo)進行了多次紅藍演練，對可能的威脅路徑進行全面有序覆蓋，提前暴露風(fēng)險。