2026安全转型数字化转型框架下的安全建设方案

安全转型数字化转型框架下的安全建设再思考安全能力建设现状大网侧：安域、网站云监测、虚拟化安全、网页防篡改边缘侧：SD-WAN企业侧：天擎、准入、防火墙、入侵防御、漏扫、堡垒机、上网行为管理全局侧：NGSOC服务侧：安服、驻场服务目录网空框架话攻防在什么样的框架下来看安全安全体系沉思录在什么样的体系下来想安全企业安全新思路在什么样的尺度下来干安全

123在什么样的框架下来看安全1网空框架化攻防全球金融行业重大网络全球制造业全球政务系统全球交通物流行业全球能源行业全球医疗行业巴基斯坦央行遭网络攻击珠宝巨头格拉芙遭勒索软件攻击厄瓜多尔最大私营银行遭遇网络攻击（勒索）遭遇大规模DDoS攻击，俄罗斯银行业集体曝出访问故障日本加密货币交易所Liquid遭网络攻击，9400万美元失窃（DNS攻击）日本最大财险公司遭勒索软件攻击：保险行业已成为主要攻击目标巴西国库遭勒索软件攻击，此前高级法院因此瘫痪半月最高赎金支付记录！美保险巨头花4000万美元解密数据美国乳制品巨头遭勒索攻击德国汽车零配件龙头遭勒索攻击日本跨国电子公司遭勒索软件攻击，被勒索700万美金赎金英国工程巨头遭勒索攻击：运营临时中断至少损失4亿元美国糖果巨头在万圣节前几周遭受勒索软件袭击日本科技巨头奥林巴斯遭到勒索攻击：部分网络关闭中国台湾电脑巨头技嘉遭勒索软件攻击，上百GB数据失窃超300万奥迪、大众车主个人信息在地下论坛售卖宏碁电脑遭勒索攻击：赎金3.25亿元创下最高纪录美国一地区发生大面积停电：遭遇火灾与网络攻击双重打击欧洲能源技术供应商遭勒索攻击，业务系统被迫关闭勒索软件攻击对美国燃油供应造成严重影响美国首次因网络攻击宣布多州进入紧急状态美最大燃油管道公司遭网络勒索袭击停运：或影响5000万人生活以色列针对伊朗核设施进行破坏性网络攻击导致断电石油巨头沙特阿美发生数据泄露：1TB数据在暗网兜售美国阿拉巴马州系统遭勒索攻击美国数十家医院诊所系统瘫痪，患者紧急转移意大利地方疫苗接种预约系统因网络攻击被迫关闭爱尔兰医疗系统遭勒索攻击，网上疫苗预约等均无法进行因使用“带毒”盗版软件，这家研究机构遭勒索软件袭击美国奎斯特诊断公司承认35万名患者医疗资料被泄露加州医院因数据泄露被起诉：近50万患者信息受影响加拿大最大城市多伦多遭勒索攻击伊朗遭受网络攻击导致全国加油站大规模关闭美国重要港口计算机网络遭黑客入侵，但运营未受影响南非重要港口因网络攻击系统瘫痪近一周，官方称属于“不可抗力”加拿大邮政供应商泄漏95万条包裹收件人数据勒索软件扰乱轮渡运输，美国数个岛屿交通被迫延误勒索凶猛！物流停运！荷兰多地超市发生食品断货恶意软件导致美国八个州汽车无法年检加拿大邮政供应商泄漏95万条包裹收件人数据航旅业“大地震”：超级供应商SITA被黑巴布亚新几内亚(太平洋岛国)财政部遭勒索软件攻击数十个美国政军网站遭攻击：出现色情内容屡次删除又重新出现美国德州共和党网站遭Anonymous匿名者组织篡改联合国遭网络入侵，大量内部数据或泄露黑客组织窃取国家敏感数据，试图扳倒现任总统美国国务院遭到网络攻击，可能发生严重违规以色列间谍软件潜在监控名单包括中国外交官勒索软件冲击美国猪牛肉供应，农业部推迟公布价格大规模DDoS攻击后，比利时政府网络全面瘫痪欧盟委员会遭遇网络攻击，多个机构受影响俄基础设施遭12万次网络攻击大部分来自美国等三国全球重要网络安全事件

数据来源：信息安全与通信保密杂志社关键词：

勒索软件、

DDoS攻击、网络攻击、数据泄露病毒感染（MalwareEffect）病毒蠕虫木马后门流氓软件……黑客攻击（HackerAttack）WEB渗透网络/系统渗透组织黑客（DDOS/CC）国家级黑客……高级威胁（AdvancedThreat）勒索软件挖矿/流量APT攻击供应链攻击……行为风险（

Behavior

Risk）业务欺诈信息泄露信息盗窃……反病毒技术黑客攻防技术创新安全技术行为分析技术威胁全景IT发展的三大趋势基础设施从铁、公、机向云、大、物、移、智转变；国家新基建战略启动。基础设施形态变革全球数字经济规模再上新台阶；全球数字经济在国民经济中地位持续提升；全球数字经济增速实现“逆势上扬”；全球数字经济融合发展趋势更加深入。数字经济纵深发展AI技术高速发展，向各个行业渗透智能化技术深度应用技术尺度：简单技术与IT场景融合成复杂应用技术反黑客技术大数据技术反病毒技术身份安全技术终端PC移动信创网关云端核心层汇聚层接入层物理机虚拟化云/容器基于操作系统的文件识别基于网络的协议解析基于密码的加解密基于大数据的数据挖掘IT环境融合物联网IOT终端工业控制系统工业互联网……核心技术在IT伴生基础下的安全演进方向应用与业务演进新IT环境演进智能化与全局化演进应用安全身份与访问管理数据安全物联网云安全网络安全终端安全安全运营风险管理隐私Gartner

HypeCycle：全球安全技术全景

本质技术研发创新阶段（技术研究）技术应用创新阶段（场景研究）技术运营阶段

解释非理性的媒体渲染非理性跟风存活下的真正技术真正的技术应用用阶段成熟阶段总计

领域\阶段创新的触发

(InovationTrigger)预预期膨胀的高峰

（PeakofInflatedExpectations）幻灭的低谷

(TroughofDisillusionment)启蒙的斜坡

(SlopeofEnlightenment)生产力的高原

(PlateauofProductivity)

领域\简称OntheRiseAtthePeakSlidingIntotheTroughClimbingtheSlopeEnteringthePlateau

1终端安全32861202网络安全02891203云安全66894334应用安全47762265身份与访问管理56554256数据安全119563347安全运营25523178风险管理487101309隐私128912445

总计4753626523250网络安全终端安全云安全应用安全身份与访问安全数据安全安全运营风险管理隐私物理安全在什么样的体系下来想安全2安全体系沉思录EA方法论安全方法论安全建模威胁方法论Zachman信息系统架构框架（ZachmanFramework）TOGAF开放组织架构框架（TheOpenGroupArchitectureFramework）DoDAF国防部架构框架(DepartmentofDefensiveArchitectureFramework)IBMCBM业务组件模型（ComponentBusinessModel）规划框架DoDPDRR模型ISSP2DR模型NSAIATF框架NSACGS框架NISTCSF框架GartnerSASE安全访问服务边缘建设框架SANSInstitute滑动标尺威胁模型STRIDE(威胁分类模型)DREAD(威胁分级模型)攻击模型威胁能力……网络杀伤链(CyberKillChain)钻石模型(DiamondModel)……MITREATT&CKNSA/ODNICTF网络威胁框架（CyberThreatFramework）GartnerASA自适应安全架构领域框架网关安全领域(Defenseindepthstrategy战略)态势感知领域（

Endsley/JDL/TimBass/NDR）身份安全领域（ABAC/RBAC/ZTE零信任架构）开发框架微软SDL流程……OWASPSAMM模型数据安全领域（DSG/GDPC/DSMM）FEAF联邦企业架构框架（FederalEnterpriseArchitectureFramework）GartnerCARTA持续自适应风险与信任终端安全领域（EPP/EDR）云安全领域(CASB/CSPM/CWPP)业务安全领域（UBA/UEBA）系统安全领域(SCM,SecureConfigurationManagement)美国国防部（DOD）全球信息栅格（GIG，2001）GlobalinformationGrid美国国防部（DOD）联合信息环境（JIE，2012）美国国防部（DOD）数字现代化战略（DMS，2020）奇安信内生安全框架（十工五任，2020）内生安全框架内生安全框架政企网络安全防御十大工程五大任务终端数字化终端及接入环境安全网络重构企业级网络纵深防御云面向云的数据中心安全防护大数据面向大数据应用的数据安全防护态势面向实战化的全局态势感知体系系统面向资产/漏洞/配置/补丁的系统安全身份新一代身份安全内控内部威胁防控体系密码密码专项工业生产网安全防护人安全人员能力支撑运营实战化安全运行能力建设应用应用安全能力支撑业务业务安全能力支撑物联网安全能力支撑甲方视角、信息化视角、安全全景视角，系统化的设计构建网络安全体系，荣获“世界互联网领先科技成果”奖甲方视角、信息化视角、安全全景视角，是引导客户系统化的去设计构建网络安全体系的方法。新一代身份安全重构企业级网络纵深防御数字化终端及接入环境安全面向云的数据中心安全防护面向大数据应用的数据安全防护面向实战化的全局态势感知体系面向资产/漏洞/配置/补丁的系统安全工业生产网安全防护内部威胁防控体系密码专项实战化安全运行能力建设应用安全能力支撑安全人员能力支撑物联网安全能力支撑业务安全能力支撑十大工程五大任务十大工程、五大任务Gartner的安全架构自适应安全架构（ASA，2014）持续自适应风险与信任（CARTA，2018）安全访问服务边缘（SASE，2019）AttackProtectionAttackProtectionAccess

ProtectionPolicyNetworkNetworkSecurity美国国防部（DoD）安全体系建设框架全球信息栅格（GIG，2001）联合信息环境（JIE，2012）数字现代化战略（DMS，2020）以网络为中心基础层通信层计算层应用层用户层以数据为中心网络安全架构SSA（单一安全架构）JIE联合区域安全栈(JRSS)跨域解决方案（CDS）身份和访问管理（IdAM）云安全DODInfoNetwork(DODIN)DefenseInfoSystemsNetwork(DISN)Identity,Credential,andAccessMgt(ICAM)在什么样的视角下来干安全3企业安全新思路安全能力建设现状回顾大网侧：安域、网站云监测、虚拟化安全、网页防篡改边缘侧：SD-WAN企业侧：天擎、准入、防火墙、入侵防御、漏扫、堡垒机、上网行为管理全局侧：NGSOC服务侧：安服、驻场服务企业安全建设三段论框架架构能力战略聚焦技术聚焦规划视角（EA）设计视角（RA）覆盖技术视角（SA）实践理论支撑安全框架（EA）：政企网络安全防御全景模型政企网络安全协同联动模型政企网络安全防御建设项目规划纲要参考架构（RA）：架构化场景化能力化安全能力（SA）：产品能力化能力原子化研发中台化服务实战化第一步：构建企业纵深防御网络区域中心安全防护区面向实战化的全局态势感知体系分支机构应用服务局域网分支机构密码专项局域网局域网物联网环境工业生产网工业生产网安全防护战术网密码专项业务专网/涉密网公有云互联网数字化终端及办公环境安全数字化终端及办公环境安全数字化终端及办公环境安全物联网安全能力支撑数字化终端及办公环境安全面向云的数据中心安全防护身份安全管理身份安全管理身份安全管理内部威胁防控体系面向云的数据中心企业级应用服务应用服务数据库应用安全能力支撑身份安全管理业务安全能力支撑面向大数据应用的数据安全防护面向资产/漏洞/配置的架构安全系统内部威胁防控体系密码专项合作伙伴网络安全接入区企业运行中心安全人员能力支撑实战化安全运行能力支撑互联网访问接入区云访问接入点合作伙伴接入区物联网接入区跨域安全访问区卫星访问接入区物联网环境企业网络纵深防御密码专项应用安全能力支撑安全人员能力支撑全局能力安全体系云与数据中心安全体系特殊环境安全体系办公网络安全体系企业纵深防御网络边界安全体系第二步：构建防御信息系统网络（DMS，2020）一种数据驱动的实战化安全运行模式用数据驱动模式的实战化安全运行打通资产、配置、漏洞和补洞管理等四大基础安全流程环环相扣融入大运维，收缩攻击面，有效控制数字化运营的底座风险第三步：构建以配置为核心的系统安全运行体系系统安全运行全景图安全需求分析企业员工远程办公、IT外包厂商等通过互联网接入企业内部网络将更加频繁。使得企业网络的互联网接入风险日趋严重。互联网边界增加广域网结构趋于复杂随着企业的业务发展，IT基础设施向更广泛的区域延伸。企业广域网运用更多方式组网，使得广域网结构更加复杂、业务访问关系交错。外联边界增多工业生产网、物联网、混合云、卫星通信等技术的应用，带来更多类型的网络出口。企业网络边界变得更加模糊，给边界安全带来更大的挑战。传统网络边界纵深防御存在的问题网络安全域划分较为粗放；同类型网络边界各自独立防护；网络业务平面与管理平面未分离。网络结构安全缺陷硬件堆叠、建设繁琐；架构固化、缺乏弹性。部署方式不灵活安全设备缺乏统一的运行管理；管理自动化程度低，人为误操作风险高。运行管理效率低仅在企业边界做安全防护；防护措施未覆盖所有的访问场景。防护方法单一，仅针对网络技术层面进行防御。

企业边界防御纵深不足汇聚节点安全措施不足；建设和维护配置复杂。广域网防护不到位企业典型网络边界场景存在的风险场景(14)场景归类存在的风险员工移动办公接入互联网边界企业外网边缘网络扫描、恶意代码投递、

非授权访问、漏洞攻击、

DDOS攻击、web类攻击、数据泄露合作伙伴远程接入办公上网出口对外服务接入公有云接入外联边界非授权访问、漏洞攻击、

恶意代码投递物联网接入工业生产网接入卫星通信接入分支机构接入广域网边界企业广域网非授权访问、漏洞攻击、

恶意代码投递、数据泄露区域中心汇聚接入数据中心跨网访问数据中心边界企业内网边缘非授权访问、漏洞攻击、

敏感数据泄露、恶意代码投递管理网接入园区网边界隔离粗放、恶意代码投递、

非授权访问、漏洞攻击开发测试网接入办公网接入安全需求分析需求归类新业务风险传统防御机制问题典型边界场景风险互联网边界增多外联边界增多广域网结构趋于复杂网络结构缺陷边界纵深防御不足广域网防护不足部署方式不灵活运行管理效率低互联网边界广域网边界外联边界园区网边界数据中心边界互联网边界扩大风险外联边界扩大风险广域网传输和边界风险区域粗放、边界冗余、管理平面与数据平面未分离网络边界防御不足广域网传输和边界风险部署僵化、组合防护弱管理分散、运行效率低互联网边界风险广域网边界风险外联边界风险园区网边界风险数据中心边界风险风险归类安全需求互联网边界风险广域网传输和边界风险外联边界风险园区网边界风险数据中心边界风险部署僵化、组合防护弱管理分散、运行效率低区域粗放、边界冗余、管理平面与数据平面未分离安全管理风险网络边界风险基础安全风险互联网边界防护广域网纵深防护外联边界防护园区网边界防护数据中心边界防护安全编排集中管理管理网络划分安全管理纵深安全基础安全安全区域划分安全防护集群网络边界整合安全审计安全运维设计原则针对各类访问场景设计网络安全防护，分析当前网络安全能力的差距，指导网络安全措施的建设部署，保障业务访问安全。接入场景全面覆盖业务访问路径上，在一层网络区域防护措施失效的情况下，仍然有下一层网络区域的防护措施保障，规避局部失效对网络的影响。网络区域多重防护在网络区域边界防护中，参考网络模型协议层次划分进行网络流量深粒度的检测，通过部署一层层针对性的防护措施，构建协整体的防御体系。协议层次层层防护总体参考架构纵深安全安全管理安全编排集中管理基础安全安全区域划分管理网络划分边界整合互联网边界外联边界园区网边界广域网纵深数据中心边界边界安全防护集群广域网纵深防护数据中心边界防护移动办公接入合作伙伴接入办公上网出口对外服务接入公有云接入物联网接入工业生产网接入卫星通信接入管理网接入办公网接入数据中心跨网访问开发测试网接入分支机构接入区域中心接入智能组网传输加密跨网数据交换边界防护纵深防护网络边界安全审计安全运维企业外网边缘企业内网边缘企业广域网应用行为网络DDOS防护网络访问控制网络入侵防范恶意代码防范上网行为管理数据防泄漏WEB安全防护流量加解密准入准出管控全流量检测攻击诱捕数据库审计边界防护应用安全代理数据基础安全设计安全区域划分边界整合管理网络划分从安全角度将网络资产划分成不同的区域，开展针对性的隔离防护，收缩网络攻击面，限制网络威胁影响范围，避免一毁具毁。梳理网络边界后可以对同类的网络边界进行归整，减少暴露面及统一进行安全防护，减少安全成本。建设独立的管理网络，实现业务平面与管理平面的分离，保障管理通道资源的可用性，在业务网络发生故障、链路拥塞等情况下，仍然能通过专用管理网络开展管理工作。梳理目前的网络结构现状，而后依据网络结构的现状进行对应安全防护或网络整改，为高效的安全防护提供支撑。纵深安全设计网络边界纵深防护根据业务访问路径以及网络结构的划分识别所有的网络边界访问场景，包含互联网边界、外联边界、园区网边界、广域网传输和边界、数据中心边界等。根据不同的网络边界访问场景部署不同的安全能力来抵御安全风险。通过访问路径上的多重网络边界防御以及协议层次的层层防护达到业务安全访问的效果。安全管理设计安全编排通过NFV、SDN等技术实现安全能力服务化、弹性扩展和灵活调度编排，适配网络各边界节点的安全需求。实现所有网络安全防护产品的集中管理，并监控各安全产品的运行状态。每网络边界集中收集各安全产品的行为日志、告警日志、操作日志以及系统日志。可通过关联分析对各个网