如何低成本构建安全、高效、稳定的办公环境——企业高效安全办公实战提升之道

基于办公终端安全实践的思考与分享 为企业创造安全、高效、稳定的办公环境 腾讯云安全刘登峰2025年3月 讲师介绍 腾讯安全零信任产品负责人 刘登峰 安全行业从业多年，负责腾讯零信任iOA产品运营工作，曾参与主导金融、互联网、智能制造等多家头部企业级用户的零信任安全规划及落地建设，熟悉零信任、终端安全、开发安全等安全技术，实践落地经验丰富。 目录Menu 企业办公安全痛点分析 腾讯内部办公安全实践 办公安全解决方案分享 办公安全最佳实践落地 企业办公已经进入智能化时代 19501990 传统办公时期 19902005 电子办公时期 20052015 网络协同办公时期 2015至今 智能协同办公时期 特点：在很长一段时间内，办公都是以纸笔为主，员工均在线下进行办公，依赖面对面的会议和交流，大量使用纸质文件进行信息的传递和存 档，VPN等技术仍处在萌芽期，没有被广泛应用在办公领域 代表工具：会议室、电话、传真机、纸质文件和档案柜等 特点：计算机快速发展，人们开始使用电子邮件进行沟通和交流，逐步取代部分纸质信件，办公媒介也从手写纸质文件开始向电子文档转变 （Office），开始出现VPN产品，部分企业开始探索远程办公 代表工具：EMail、办公软件Office、局域网LAN、虚拟专用网VPN 特点：互联网快速普及，人们开始广泛使用即时聊天工具进行办公交流，办公软件如Office快速普及和应用。开始出现在线协作平台、云盘等办公产品，大量企业开始广泛使用VPN 等产品进行远程办公 代表工具：QQ、微信、Dropbox、GoogleDocs、办公软件（Office、WPS）、SSLVPN 特点：云计算快速发展，协同办公也拥抱云端，各类文档应用也快速转型成为云文档，企业级通讯软件、会议软件、办公软件开始蓬勃发展，零信任在VPN替换场景得到广泛认可， 在AI的驱动下，企业协同办公已经进入智能化时代 代表工具：企业微信、钉钉、飞书、腾讯会议、Zoom、微软Teams、ChatGPT、零信任 经历了持续的探索和技术积累，企业协同办公已经逐渐进入智能化协同办公时代 企业办公终端安全的现状和差距 企业办公安全差距 企业办公安全现状 疫情 数字化 集约化 移动化 PC办公仍是主要生产力 PC办公仍然是最主要的办公形态，承担着生产力的主要输出职责 在疫情的推动下，远程办公逐渐成为常态化趋势 终端需要安装的办公软件、安全软件越来越多，开始影响办公效率 移动办公开始承担更多 用户开始广泛使用移动端开展业务，会议接入和业务审批是典型场景 移动端天然使用互联网接入，企业较为关注数据安全问题 移动端大多为用户个人资产，大量用户反感打扰，不愿意安装过多企业App 安全问题 体验问题 业务访问权限不够精细，传统的访问控制手段难以匹配业务的快速发展，企业需要动态、灵活的访问控制手段 高级安全威胁层出不穷，终端钓鱼、无文件攻击、Oday漏洞等高级攻击手段层出不穷 数据泄露难管控：大量企业敏感信息在办公软件中扭转，数据泄密事件层出不穷 内外网接入体验不一致，大量企业内网和外网接入方式有差异，用户需要来回切换访问方式 需要安装多个安全软件，出于安全考虑，大量企业需要安装VPN、杀毒、桌管、防泄密等多种终端安全软件，员工感受不佳 移动端办公体验不佳：移动端访问业务卡慢，影响办公效率 5 目录Menu 企业办公安全痛点分析 腾讯内部办公安全实践 办公安全解决方案分享 办公安全最佳实践落地 腾讯集团早期的办公痛点 终端数量庞大操作系统繁多 新方案？ 业务类型复杂职场分布广泛 智能终端设备Win6WMac6K 移动设备iPhone1WAndroid4k 职场分布国内办公海外办公子公司外包人员 业务类型办公业务开发业务语音坐席业务 思考 访问质量 兼容性 现有VPN方案体验差 1、访问质量不佳：现有VPN采用长链接技术，在弱网环境（延迟200ms，城中村）、海外分支接入等场景表现不佳，员工体感不佳； 2、兼容性不好：现有VPN产品在部分终端上兼容 性不佳，安装报错，导致员工无法正常开展远程办公，影响业务开展 如何平衡生产力和安全 现有VPN方案运营难1、扩容费用昂贵：现有VPN产品License扩容费用昂贵，难以推动集团层面实现全员远程办公 2、灵活度不足：VPN产品定位本身就是小规模 远程办公产品，从产品定位上来看，就不是为大规模使用客户设计的，在功能定制和对接上消耗大量人力物力，运营难度持续加大。 授权费用 灵活度 腾讯集团的业务需求已经发展到了下一个阶段 腾讯所需要的办公终端安全架构 腾讯需要全新的安全架构：基于零信任思想构建的一体化终端安全保护平台 传统安全边界防御失效 传统安全边界逐渐模糊，伴随着业务上云、BYOD、移动互联网的持续发展，传统的网络安全边界逐渐模糊，对外业务暴露面逐渐扩大。 内网安全可见度较低，过去的网络安全 建设主要聚焦在边界防护上，边界一旦被突破，攻击者在内部几乎可以畅通无阻。 终端安全产品种类繁多 终端安全产品种类繁多，伴随终端安全产品的持续发展，SSLVPN、杀毒软件、桌管软件、EDR、DLP等多种不同的安全产品为“鹅厂“IT部门带来了极大的管理负担。 用户较为排斥安装多个客户端，腾讯内 部年轻用户较多，大多排斥在电脑上安装多个客户端。 互联网公司的殊途同归 谷歌BeyondCorp：当腾讯企业IT部的人正在尝试新的“无边界访问”方法的时候，我们看到了谷歌发布的论文 《BeyondCorp：一种新的企业安全方案》 坚定方向，一以贯之：从谷歌的实践中， 腾讯猜想这条路是正确的，应该坚定的走下去 8 基于腾讯iOA基座扩展零信任能力 标准 全网零信任 目标 从2016年决定自研零信任开始，腾讯就坚定的认为网络安全架构应该向零信任架构转变，腾讯公司的零信任架构从一开始就是按照全网零信任的目标进行设计和 终端Allinone 腾讯是极为重视用户体验的公司，在2010年左右，腾讯就已经感受到了多终端共存的痛苦和烦恼，在零信任架构落地伊始，就已经把终端Allinone作为统一标准进行看待 落地的 全场景接入 腾讯iOA 需求 为企业创造安全、高效、稳定的办公环境 全终端覆盖 基线全终端覆盖是腾讯iOA在内部落地的基线要求，要让集团内部的用户都能够、都愿意使用iOA进行业务访问，避免出现终端不兼容的老问题，让所有“鹅厂”的 腾讯内部早期存在着办公网、开发网、生产网三张内网，多种 不同类型的业务，并非所有的业务在一开始都能够使用零信任进行访问，在这个过程中也进行了很多深入的研究和设计 员工都能够随时随地的安全访问内网业务 2017年，腾讯企业IT部正式启动iOANGN（NextGernerationNetwork）项目，用零信任思想重构iOA产品。他们的目标概括起来是4个A：Anytime、Anywhere、AnyDevice和AnyWork，让员工在任何时候、任何地方、任何设备接入内网完成任何内容的工作。 腾讯iOA的发展变迁历史 20062012 20162020 萌芽期发展期成熟期至今 正式更名为腾讯iOA 20122016 持续扩展DLP、EDR能力 2020至今 桌面助手腾讯iOA（NGN）时期 腾讯iOA的持续运营建设思路 多年龄段 小步快跑敏捷迭代 说干就干，2016年下定决心后， 腾讯企业IT团队迅速构建起iOA第一个版本，并热情邀请了一批鹅厂小伙伴进行内测，在无情的批判和打击下不断迭代更新 多用户身份 多岗位角色 更多的用户 组织架构 组织架构 Multipleusers 组织架构 吸引用户提交反馈 随时随地接入 登录OA免Tok 访问不通 内部实践商用交付 2019年，腾讯iOA产品基于内部 最佳实践，通过内部TEG和CSIG的联合协作，由腾讯电脑管家原班人马接棒打造商用版iOA，正式拥抱产业互联网 卡顿掉线 全系统适配 更好的体验 反连优化 Betterexperience 免VPN 新需求 两网合一 快速迭代 更多的反馈 功能新增 Bug优化 安装失败 Morefeedback 腾讯iOA的零信任体系框架 腾讯iOA 腾讯iOA（NGN）是iOA的全新版本，结合智能网关，打造腾讯新一代企业网NGN，确保员工在不可信的网络环境下，通过可信的设备、可信的进 程，安全访问企业资源。iOANGN为鹅厂员工提供变革型的办公模式和全新的用户体验。 典型访问链路 鉴权 人设备应用网络业务 Trustedidentity可信身份 Trusteddevice可信设备 Trustedapplication可信应用 Trustedlink可信链路 企业微信扫码 本地身份 漏洞修复 病毒查杀 系统安全加固 仅允许受信应用授权业务强制校验所有访问 长短链接结合 MFA二次认证 域身份 合规检测 威胁响应 发现恶意进程即拦截访问 服务隐身 全链路加密 更多功能 数据保护更多功能 链路加速 腾讯iOA的零信任4T能力构成：身份安全、设备安全、应用安全、链路安全（包括权限管理） 腾讯iOA的零信任架构改造历程 零信任iOA（NGN）建设内容 将原先的内部开发网络和内部办公网络合二为一， 并根据零信任原则进行架构变革 接入终端必须安装iOAagent，agent自带端点安全 杀毒补丁、安全管控、合规检查、系统加固等能力 使用内部IAM系统的MFA、扫码、硬件token、短信 对接认证 iOA与内部OA等业务系统进行整合实现SS0 iOA与内部SOC联动阻断，借助SOC的分析能力并 做自动化的访问阻断降低企业风险 全球接入点加速覆盖，全面覆盖海内外全体员工 关键节点历程 2016 2017 2019 基于现有终端安全扩展升级 所有访问内部网络终端均需安装ioa代理内网准入、终端反入侵 身份可信 全面支持多因素认证，全部应用接入IAM实现SSOSSO单点登录上万个业务系统 VPN完全替换 远程运维替换、分散职场VPN替换、海外办公替换零信任接入网关全面替换VPN，实现全球加速 统一“接入架构”“全网终端安全运营” 连成“大网”、安全管理问题 落实轻量化EDR，大数据AI手段，实现自动化响应 办公安全建设内外网统一接入架构 访问互联网免2小时申请，员工在一台电脑上即可完成代码开发、办公协作和服务器维护工作。 快速登录OA应用免去Token认证 应用优化 快速登录OA站点：登录iOA后，只需鼠标一点，即可免密“快速登录”OA站点。 开发网访问互联网免2小时限制两网（开发网、办公网）合一 基于“人设备进程”对触碰敏感资源的每一次请求进行验证和授权。授权的决策维度包括：是否为在职员工、是否符合公司安全加固标准、无木马病毒）、发起会话的进程是否公司授信（验证进程指纹、证书，分析API行为得出）。 远程办公免VPN登录 网络优化 敏感资源访问零信任终端深度监控 企业网络无边界 基础安全 办公安全建设应用免Token登录 OA应用免Token登录 1、快速登录OA站点：登录iOA后，只需鼠标一点，即可免密“快速登录”OA等各类应用站点。 2、快速登录跳板机：使用腾讯自研的Console工具TenTERM，可免密“快速登录”MNET跳板机和IDC服务器（须安装铁将军）。 办公安全建设办公开发两网合一 办公开发两网合一 1、访问互联网免2小时申请，员工在一台电脑上即可完成代码开发、办公协作和服务器维护工作。 远程办公免VPN 在家远程办公，只需打开电脑，登录iOA，秒速建立链接访问公司资源，无需VPN。iOANGN依赖tcp短链接传输方式，对网络兼容性更好，即使在网络抖动、丢包严重等情况下，依然可以稳定的远程办公。 办公安全建设特色直连访问通道 除标准零信任代理模式外，腾讯iOA还可以提供直连访问方式访问业务，针对敏感核心业务可以优先通过直连方式访问，最大程度保障业务高可用，同时逐步平滑过渡到全网零信任 保障业务