1. 案例背景
在國家數(shù)字經(jīng)濟(jì)邁入深化應(yīng)用、規(guī)范發(fā)展和普惠共享的新階段，中國人民銀行和中國銀保監(jiān)會(huì)相繼發(fā)布《金融科技發(fā)展規(guī)劃（2022-2025年）》和《關(guān)于銀行業(yè)保險(xiǎn)業(yè)數(shù)字化轉(zhuǎn)型的指導(dǎo)意見》，全面指導(dǎo)金融業(yè)數(shù)字化轉(zhuǎn)型向縱深推進(jìn)，面對(duì)新的系統(tǒng)架構(gòu)、數(shù)據(jù)架構(gòu)、應(yīng)用架構(gòu)和基礎(chǔ)架構(gòu)，金融機(jī)構(gòu)全方位加強(qiáng)網(wǎng)絡(luò)安全防護(hù)，做好網(wǎng)絡(luò)安全邊界延展的安全控制是數(shù)字化轉(zhuǎn)型必須攻克的難題之一。而如何量化衡量整體的網(wǎng)絡(luò)安全防御能力，直觀展現(xiàn)信息安全水位，需要專業(yè)化的檢驗(yàn)方法和技術(shù)支持。
2. 技術(shù)方案
網(wǎng)商銀行基于自身業(yè)務(wù)現(xiàn)狀及面臨的網(wǎng)絡(luò)安全威脅特點(diǎn)，探索出一套基于威脅路徑圖的信息安全水位評(píng)估技術(shù)，并研發(fā)了配套的應(yīng)用系統(tǒng)進(jìn)行落地實(shí)踐，至2024年12月，信息安全水位評(píng)估系統(tǒng)已持續(xù)運(yùn)行3年時(shí)間，通過多個(gè)指標(biāo)切實(shí)有效評(píng)估且便捷展現(xiàn)了網(wǎng)商銀行的安全防御水位。
該技術(shù)的總體思路是首先建立符合企業(yè)自身面臨的網(wǎng)絡(luò)安全威脅現(xiàn)狀的威脅路徑圖，威脅路徑圖模型如圖1所示，威脅路徑圖是對(duì)企業(yè)可能遭受的網(wǎng)絡(luò)攻擊風(fēng)險(xiǎn)建立的數(shù)字化模型，模型將企業(yè)網(wǎng)絡(luò)結(jié)構(gòu)抽象成圖，在圖中補(bǔ)充所有黑客可能的攻擊技術(shù)及企業(yè)應(yīng)對(duì)攻擊的各項(xiàng)能力，網(wǎng)商銀行根據(jù)自身資產(chǎn)和網(wǎng)絡(luò)環(huán)境等關(guān)鍵信息抽象出了自己的威脅路徑圖。其次，以威脅路徑圖為基礎(chǔ)，由攻防藍(lán)軍通過自動(dòng)化檢驗(yàn)的方式，持續(xù)驗(yàn)證企業(yè)應(yīng)對(duì)攻擊的預(yù)防、防御、感知能力，再通過紅藍(lán)演練方式不斷發(fā)現(xiàn)新的風(fēng)險(xiǎn)。最后，根據(jù)演練和檢驗(yàn)數(shù)據(jù)，運(yùn)用水位指標(biāo)計(jì)算得出威脅路徑預(yù)防率、威脅路徑防御率、威脅路徑感知率、威脅路徑縱深防御率等指標(biāo)體現(xiàn)企業(yè)整體信息安全水位。
圖1 威脅路徑圖模型
3. 解決問題
信息安全水位量化問題，由于網(wǎng)絡(luò)環(huán)境的復(fù)雜性，企業(yè)的安全能力在真實(shí)的攻擊事件中的有效性難以保證，此外企業(yè)也無法準(zhǔn)確評(píng)估當(dāng)前信息安全水位和面臨的主要風(fēng)險(xiǎn)。需要量化指標(biāo)從全局視角展示當(dāng)前的信息安全水位情況，通過指標(biāo)數(shù)據(jù)企業(yè)能夠及時(shí)發(fā)現(xiàn)潛在的安全問題和風(fēng)險(xiǎn)，進(jìn)而采取適當(dāng)?shù)陌踩胧﹣肀Ｕ掀髽I(yè)網(wǎng)絡(luò)的穩(wěn)定運(yùn)行和數(shù)據(jù)的安全。
4. 創(chuàng)新亮點(diǎn)
5. 應(yīng)用落地
通過該水位評(píng)估技術(shù)，可以從實(shí)戰(zhàn)角度沉淀實(shí)戰(zhàn)攻防數(shù)據(jù)，幫助安全能力運(yùn)營人員及時(shí)發(fā)現(xiàn)潛在的風(fēng)險(xiǎn)。通過沉淀的攻防數(shù)據(jù)可以形成多個(gè)信息安全水位量化指標(biāo)，管理層可以從風(fēng)險(xiǎn)域、安全能力等多角度的量化指標(biāo)數(shù)據(jù)了解企業(yè)信息安全水位現(xiàn)狀，幫助企業(yè)更好的認(rèn)識(shí)目前可以防御的威脅等級(jí)及面臨的風(fēng)險(xiǎn)，幫助企業(yè)更好的進(jìn)行風(fēng)險(xiǎn)數(shù)字化管理，將安全建設(shè)從安全事件驅(qū)動(dòng)轉(zhuǎn)化為風(fēng)險(xiǎn)驅(qū)動(dòng)。
網(wǎng)商銀行借助該技術(shù)結(jié)合網(wǎng)商銀行實(shí)際情況建立了信息安全水位評(píng)估系統(tǒng)，通過該系統(tǒng)以月度為單位進(jìn)行周期性的自動(dòng)化檢驗(yàn)，保證了安全能力的有效性，體現(xiàn)安全能力建設(shè)進(jìn)展及效果，通過量化指標(biāo)了解現(xiàn)有信息安全水位防御等級(jí)和風(fēng)險(xiǎn)。通過系統(tǒng)中威脅路徑圖的指導(dǎo)進(jìn)行了多次紅藍(lán)演練，對(duì)可能的威脅路徑進(jìn)行全面有序覆蓋，提前暴露風(fēng)險(xiǎn)。
