2023安全平行切面白皮书

安全平行切面 —数字时代的原生安全架构 致谢 在撰写期间，本白皮书得到蚂蚁集团韦韬、王宇、李婷婷、李宏宇、王珉然、程岩、吴飞飞、马传雷、郑旻，平安集团首席信息安全总监陈建，中国移动首席专家王晓征，红途科技CEO刘新凯，吉利汽车数字化中心CTO郑金伟的大力支持。 感谢刘宇江、党二升、徐子腾、莫书棋、庞培、黄文静、罗海棠、蓝潞、崔虹、顾为群、傅成彦、王延辉对于白皮书内容的指导，提供了宝贵的资源和素材。 感谢红途科技、浙江移动、平安科技等切面联盟成员单位，以及合作企业吉利汽车集团，作为受邀企业，贡献了关于安全平行切面实践落地的重要观点和宝贵经验。 特此致谢！ Contents IDC观点01 第一章数字化时代下，安全能力是守护企业创新力的基石0� �.�围绕未来信任构建新一代安全体系，为企业创新保驾护航�� �.�复杂性爆炸是未来信任体系必须面对的核心问题�� 第二章构筑安全平行切面，打造下一代原生安全1� �.�原生安全范式：企业安全建设应明确技术要求�� �.�安全平行切面：为企业生命体注入“安全疫苗”�� �.�安全平行切面的核心能力和特征�� �.�安全平行切面的应用价值�� 第三章安全平行切面的应用和构建�� �.�安全平行切面的应用场景�� �.�建设安全平行切面的方法、步骤与应用指南�� �.�安全平行切面的实践应用�� 第四章IDC建议54 IDC观点 数字化优先时代，复杂性爆炸给未来信任体系的构建带来重重挑战 当企业数字化转型迈向纵深，从以开展数字化试点项目为主的实验阶段，发展至通过数字化手段与业务深度集成助力业务创新的高级阶段时，进一步践行数字化优先战略成为全球企业的必然选择，以进一步扩大技术使能范围，实现切实有效的规模化创新。在业务发展和政策驱动的背景下，企业领导者持续关注网络安全、数据安全的建设，以保护和扩大企业的可信度，构建更具竞争力的企业未来信任体系。在此过程中，数字化业务的蓬勃发展带来了更多的复杂性。伴随整个行业的技术演进，数字化企业逐渐出现了多代系统堆叠并存的局面，企业内部的应用、数据、访问主体和管理对象都在急剧增长，内部、内外部之间的数字化接口繁多，技术体制混杂，缺乏足够的标准规范约束。同时，企业在发展过程中引入了大量外部系统，一些系统呈现技术上的黑盒状态，其安全合规方面的风险很难得到准确评估。此外，数字化系统所支撑的业务流程也在持续迭代升级，导致复杂性进一步增加，企业的安全包袱越来越大，潜在隐患不容小觑。 安全平行切面支撑原生安全范式落地，让业务长出新的安全触角 数字化企业可被视为一个完整的数字生命体，能持续发展出有机生命所必须的成长进化、复杂交互和全局智能能力。在复杂性爆炸的背景下，企业亟需解决的核心问题，是如何对复杂的数字生命体实施全局性、持续性地保护，强化安全效能，提升安全效率，实施规模化的安全感知和干预。“原生安全范式”为企业安全发展提供了理想的目标和参考方案，帮助企业从复杂业务的本源出发，在系统设计时就全面考虑安全与业务的融合问题，从而实现分布式、实时化、工具化的企业安全防护能力。在支撑原生安全思想落地的过程中，安全平行切面作为理念、方法论、技术框架和工程化平台的集合，开始在企业安全实践中快速发挥效用。通过构建切点、切面和安全平行舱等方式，企业一方面可以实现面向业务的深度感知和干预能力，另一方面也为安全能力的迭代发展建立了较为独立的空间，体现出安全与业务之间的 01 02 高融合、低耦合。安全平行切面是支撑未来企业安全架构的重要技术方向，也是提升安全防护水平的全新方法体系。 安全平行切面有望创建更多的安全场景，为企业安全运营带来全新价值 安全平行切面作为一个基础技术框架和服务集合，具备区别于传统安全体系的一系列突出能力特性，包括多维深度感知、微观干预和编程扩展等。其重构了安全与业务的协同关系，让安全真正融入到业务本身，实现业务行为的可知、可见、可控。因此，安全平行切面有望为网络安全、数据安全、个人信息保护等领域带来跨越式的变革，也有望推动一大批安全、合规、攻防和安全保险等场景的创新发展。在面向当前和未来的应用场景落地时，安全平行切面的理念以及落地实践过程，能够在能力、效率和成本方面体现出显著的优势，为企业安全运营带来全新价值。 第一章 数字化时代下 安全能力是守护企业创新力的基石 1.1围绕未来信任构建新一代安全体系，为企业创新保驾护航 数字化优先战略成为全球企业发展的确定性趋势，企业将持续增加数字化转型投资。伴随全球数字经济的蓬勃发展，云计算、大数据、人工智能、�G等信息与通讯技术的应用范围在不断扩大，推动了行业创新场景的规模化涌现。目前，全球企业的数字化转型已进入持续深化阶段，企业在不断进阶的过程中，切身感受到了数字化带来的巨大价值，也促使决策层更加坚定决心，逐年加大数字化转型的投入。IDC数据显示，����年全球企业数字化转型投资规模超过�.�万亿美元，并有望在����年超过�万亿美元，����-����年五年复合增长率（CAGR）约为��.�%。中国的数字化转型市场将保持高速增长态势，到����年，中国数字化转型支出规模预计超过 �,���亿美元，五年复合增长率达到��.�%，增速位于全球前列。 03 图1IDC全球企业数字化转型支出预测 （US$M） 3G00000 3400000 数字化转型(DX)时代数字化业务时代 3200000 3000000 2800000 2G00000 2400000 2200000 2000000 1800000 1G00000 1400000 1200000 DX1.0 创新和试验 DX2.0 规模化 数字化优先 打造有生命力的数字化业务 数字化转型支出 （$） 1000000 20182019202020212022202320242025202G 在数字化转型发展至高级阶段时，进一步践行数字化优先战略成为全球企业的必然 选择。数字化优先是指一个组织为了实现业务目标，能够优先考虑各类数字技术的部署和应用，进而不断满足客户需求，提升组织竞争力，实现可持续发展。数字化优先的显著特征是企业开始全面利用数据驱动业务创新发展，进而构建一种自上而 下的全新思维和行动模式。IDC企业数字化优先战略调研显示，大多数企业都已经开 启了数字化优先战略的尝试，企业会根据自身的具体情况，全面或有重点地推动数字化业务的开展。 04 来源：IDC，2023 图2全球企业对数字化优先战略的采纳程度 30% 28% 27% G% 我们认为没有必要采取我们正在探索如何落地我们已经开始实施数字我们已经快速步入数字化我们已经提前布局数字 10% 35% 30% 25% 20% 15% 10% 5% 0% 数字化优先战略 数字化优先战略 化优先战略 优先战略的实施过程中，并持续拓展实施范围 化优先战略，并实现技术和业务的转型 抗拒 落后 响应 加速 领先 来源：IDC，2023 企业在数字化竞争中欲取得优势，必须对数字化业务和应用进行持续投入。大量的企业正在向实用可行的数字化业务阶段过渡。在实践数字化优先的过程中，企业需要依靠大量应用程序构建数字化业务大厦，以实现客户体验提升以及推动规模化共 情、企业和生态系统智能、智能/自动化设备发展等。事实上，对于大型企业而言，当前的数字化应用发展速度已然令人震惊。例如，喜力在其全球运营中使用了4,500个应用程序；摩根大通仅在一个云应用程序平台上就运行了1,522个生产应用程序。IDC统计显示，仅2022年，全球就产生了3.1亿个新应用。IDC预测，到2023年，全球超过50%的GDP将依赖于已完成数字化转型的企业提供的产品和服务；到2025年，超过三分之二的G2000企业将成为高性能、大规模、基于软件的数字化创新生产商。企业希望依靠软件应用程序创造市场价值，获得可观的回报。 图3应用成为构建企业与市场、企业内部、企业与上下游之间的价值创造纽带 企业和用户 客户体验和 规模化共情 企业和生态系统， 上下游供应链关系 应用 智能和自动化设备 企业和行业 企业内部 来源：IDC，2023 业务发展和政策驱动背景下，企业领导者持续关注网络安全、数据安全的建设。数字化业务和应用的快速发展，带来数据量的激增，企业暴露的危险点也不断扩大。如何保护应用安全、数据安全以及业务安全，成为企业上下广泛关注的话题。 Edelman的一份报告中对400名首席信息官的调查结果显示：“大多数首席信息官认为他们的领导地位与公司的声誉和形象直接相关。”IDC全球在2022年开展的一项针对CEO的调研表明，网络安全和数据主权是企业管理层最关注的发展议题。此外，“网络安全法”“数据安全法”“个人信息保护法”以及“欧洲一般通用数据保护条例（GDPR）”等一系列国内外安全法律法规的相继出台和落地，对企业数字化转型带来制度、组织、技术、预算等多个维度的影响，也让企业更加重视安全合规能力的建设。 图42022年全球CEO最关注的企业发展议题 网络安全威胁 数字主权AI伦理 多样性和包容性可持续发展 8G% 81% 81% 79% 8G% 险管理、监管合规、安全管理以及宣传隐私保护、道德规范和社会责任，来建立与客户、员工、合作伙伴及业务生态系统之间的信任，这不仅有助于企业满足合规要求，更是为企业的长期发展和声誉建设提供坚实的基础。IDC认为，未来信任包含基础、义务、战略、实现四个层面的G个关键要素（也称信任支柱），并通过可信治理、可信生态和可信商务三个实施层实现信任的产出。以未来信任为基础的新一代 企业安全体系，对于企业发展和业务升级具有极大的价值。 07 userid:414195,docid:144753,date:2023-11-04,sgpjbg.com 0.0%10.0%20.0%30.0%40.0%50.0%G0.0%70.0%80.0%90.0%100.0% 来源：IDC，2023 信任是数字化业务健康运行的必要条件，企业领导者必须保护和扩大企业的可信度，构建更具竞争力的未来信任体系。面向全球数字化转型实践，IDC创建了完整的信任框架体系⸺未来信任。IDC认为，信任涉及安全、风险、合规、隐私以及商业 道德，企业未来信任建设不仅需要保护企业免受攻击，建立更高的道德标杆，还需要对收入、支出和股东价值进行可量化的影响评估。因此，企业需要通过有效的风 信任 隐私伦理与社会责任 合规安全 风险 实现 战略 义务 基础 信任的要素 可 可 可 信 信 任 信 信 的 的 的 的 产 商 出 生 务 治 态 理 图5IDC未来信任要素 来源：IDC，2023 1.2复杂性爆炸是未来信任体系必须面对的核心问题 在构建信任体系的过程中，企业将面临一个极具挑战性的现状：数字化业务在提升创新力的同时也会带来更多的复杂性，大幅增加建立信任的难度。IDC针对全球不同行业代表性企业的长期研究发现：在企业数字化转型发展至一定阶段后，数据与业务相融合的运行形态将帮助这些数字化企业成长为一种不断演变进化的生命体；这种演进迭代是持续不断的，甚至还会呈现出加速的态势。 数字化企业伴随整个行业的技术演进，会逐渐出现多代系统堆叠并存的局面，且企业内部、内外部之间的数字化接口繁多，技术体制混杂，缺乏标准规范的约束。同时，企业在发展过程中引入了大量外部系统，一些系统呈现技术上的黑盒状态，其安全合规的风险很难被准确评估。此外，随着业务的快速发展，数字化系统所支撑的业务流程也需要持续迭代升级，导致复杂性进一步增加，企业安全包袱越来越大，潜在的隐患也不容小觑。 据 访 问 主 体 应 用 数 企业数字化业务发展所出现的复杂性覆盖以下六方面： 企业是一个持续演进迭代的复杂生命体 管 理 对 象 威 胁 和 攻 击 访 问 路 径 快速增长的应用数量：如前文所述，企业越来越依赖软件应用来提升内部效率、增加营收以及获得其他战略业务成果，因此，应用程序的数量出现爆发式增长。全球企业上云的大趋势，进一步加速了