《企业安全建设指南：金融行业安全架构与技术实践》 —1.5　安全趋势

1.5　安全趋势

未来已来，如果只着眼于当下的安全，很可能疲于奔命，被超越或抛弃。因此，必须看到安全的趋势方能提早布局，确保立于不败之地。

1.安全度量

安全度量是指如何衡量企业安全的效果。做安全的人遇到的最大挑战就是讲不清楚安全的价值。安全这个东西很微妙，不像业务可以用销售额和用户数来衡量，也不像运维可以用可用性指标（比如故障数）来衡量，也不像研发可以用bug数、项目完成率、扩展性、专利等来衡量。安全往往是事件性的，很可能你什么都不做，但一年都不出问题；也可能你花了很大力气，花了很多钱，却还是问题频出。所以我们很难用单一的事件性指标来衡量数据安全做得好还是不好。

企业做安全，最终还是要对结果负责，对于安全效果，有两个最关键的核心指标：一个是漏洞数，一个是安全事件数。这两个关键安全指标，却没有一个安全厂商愿意承诺，他们通常都只愿意承诺卖出设备的功能效果，或者服务的响应时间。由于漏洞数涉及企业发现能力，每年第三方漏洞报告平台（如补天或CNCERT）上，漏洞数量排前十的大多是互联网公司，但不能因此认为互联网公司安全能力靠后，相反，由于互联网公司面临安全威胁且自身发现能力（各种SRC虽然是白帽提交的安全漏洞，但可以理解为自身发现能力提高导致）较强，所以发现的漏洞数量靠前。很多没有爆出安全漏洞的企业不是因为做得有多好，而是自身发现能力不够。

在这种情况下，有必要把漏洞数分成两类：一类是通过众测与SRC获得的外部上报漏洞数量，一类是通过自身安全防护和检测发现的安全漏洞数量。某些金融机构已引入专业的蓝军团队进行攻防，检测红军安全防护和安全检测能力，将是未来安全度量的发展趋势。

安全事件数的情况和漏洞数大体相同，不同点是，安全事件数没有第三方报告平台，数据主要来自于监管通报等被动暴露以及主动发现，数据统计要更难一些。

2.历史问题免疫

运维管理目前事实上的标准是ISO20000服务管理体系，这套体系也称为ITIL运维流程管理，ITIL众多流程中有个核心流程—问题管理。问题管理有个有意思的做法，通过问题管理的思维模式，对企业所有曾经出现过的历史故障进行举一反三的持续改进，从而实现对历史故障免疫。

既然安全性要当作可用性来运维，那么安全管理也应该能做到对历史问题免疫，而这也应该成为安全未来趋势之一。笔者理解历史问题免疫有两个含义：一是对企业曾经出过的安全漏洞和安全事件做举一反三的彻底整改，从人、技术、流程、资源四个维度分析问题产生根源，查找差距，并建立机制进行防护，从而根本上解决已出现的安全问题，实现历史安全问题免疫。二是对已部署的安全措施的有效性做100%确认，比如已经部署了防病毒客户端，那么就一定要关注防病毒客户端安装率、正常率两个指标，这两个指标能做到99.99%的应该算执行力和安全有效性不错的企业了。类似的指标也同样应该在已部署的安全措施中得到确认。严格来说，历史问题免疫这一点其实不能算安全趋势，而应该是常识，在各种安全概念层出不穷的今天，希望越来越多的甲乙方能回归常识。

3.安全成为属性

越来越多的企业重视信息安全，这种重视可能是主动的，但仍然被动居多。不管怎样，今天的安全人员面对的安全环境越来越恶化，但得到的资源和支持却比任何时候都多，这一点体现在：安全将成为各类系统甚至人才的关键属性之一。举个例子，十年前，很少看到系统需求阶段就会有安全需求，测试阶段有安全测试，开发人员需要接受专业的安全编码开发规范培训。十年后，这些都很常见了，甚至是标配（默认）。对安全知识和技能的掌握也从单纯安全人员必备变成了开发人员的必备技能，实际上，安全意识和安全开发能力较强的开发人员，薪酬水平和发展空间已高于技能单一的程序员。程序员在用代码改变世界的同时，也有义务更好地保护世界。安全将成为越来越多的需求品，成为非专业安全人员的一种标配属性，这将是安全发展趋势之一。

4.安全人才缺口增大

安全人才缺口越来越大，想必各企业的安全主管或者CSO都深有体会。甚至越来越多的甲方企业，会要求乙方建立专门服务于本企业的专业安全队伍。从市场经济的角度看，需求增大，必将导致更多的优秀人才投身于安全行业，这对原有安全人员也必将是个挑战。安全行业是典型“活到老、学到老”的行业，逆水行舟，不进则退，各位安全人士一定感同身受。