中测安华的系统安全工程实践

6月29日，第二届“全国信息安全企业家高峰论坛”在海口举办。峰会由中国信息安全测评中心、海南省互联网信息办公室等单位指导，中国工程院沈昌祥院士等亲临峰会做主题演讲，来自国内政府主管单位、科研院校、测评中心分支机构、网络安全企业等600余业内专家学者、企业家参加了会议。

中测安华副总经理姚轶崭受主办方邀请在峰会上进行了题为“系统安全工程实践”的主题演讲，重点介绍了中测安华的系统安全工程实践以及从实践中总结的方法论，凝练大工程管理和大数据梳理两大能力，提出安全实践中产品可用可控的解决方案。安华君将此次演讲的重点内容整理如下，以期让大家对我们有更加深入的了解。

以国家使命工程为己任，我们做了什么

中测安华是以国家使命为己任的公司，承接了一系列国家重大项目，单一项目最大金额上亿。在此选上两个典型的案例具体阐述：

1.安全内容审计平台。这是全球最大的安全内容审计平台，所谓的全球最大，得益于我们国家的规模效益，一个行业级平台就能超过他国国家级平台的规模。安全是一个成本部门，往往投入了大量资金，效益却很难体现，特别对于领导层面、管理部门体验感不强。此平台应用于我国关键基础设施，能够实现可视一体化管理，让相关领导清晰认识到网络安全工作的重要性，保证应用单位符合《网络安全法》等相关法律法规和上级监管单位的要求。此工程用技术的手段实现了治理的目的，将保密管理、安全技术、业务价三者有效融合，真正让安全看得见，为业务传递安全价值。

2.安全运营指控中心。连续的项目成功，使我们有了更大的雄心，我们以大数据为核心，将流解析、批解析、交互解析整合，设计了一个业界庞大的下一代安全运营指控中心。因项目巨大且需要多方相互配合，项目推进存在许多困难。中测安华不仅考量商业利益，更是以国家使命为己任，在上级领导单位强有力的支持下，我们重新评估了目标和范围，主动向产业界一线实战专家请教成功的经验，最终出色地完成了项目。这份坚持既赢得了用户的尊重，也夯实了大数据安全解析的地基，使其它现今技术真正能在此平台上插装式实现，后续各种算法技术都能在此开放式平台上舞动，引领了产业界新新一代的安全架构。

中测安华不仅能够承接完成企业级、行业级的项目，还出色地完成过防务级项目，项目完成后得到了我国相关主管单位及用户方领导的充分肯定。

面对大工程、大数据，我们怎么做的

经过一系列大型项目的锻炼和实践，中测安华总结了两点经验，也在这两方面进行砺炼提升：第一，必须要有大工程的管理能力；第二，必须有大数据的梳理能力。

大工程的管理能力

中测安华通常承接的是国家级高金额的大项目，许多企业都在思考如何盈利，而中测安华更加注重通过提升大工程的管理能力，从成本、质量、风险、采购等方面进行科学有序的计划和管理，从而为用户节省时间和经济成本，保证大型项目的顺利运营。

▲管理大型项目七百多个配置项

大数据的梳理能力

大工程的管理能力是IT时代的要求，而大数据的梳理能力是DT时代的要求。没有大数据的梳理能力就好像做好了大型枪炮而没有子弹，因此大数据梳理能力必须跟上。如何对大量不同类型的安全产品进行整合是对一个公司能力的严峻考验。

▲对系统大数据进行梳理

用系统安全工程的方法，能够解决什么问题

如何提高自身的大工程管理能力和大数据梳理能力？中测安华提出：用系统安全工程的方法来解决安全问题。国外也有系统安全工程的提法，但他们更偏重“工程”，而我们更注重“安全”。对于我国现在的网络安全现状，有两个需要我们解决的问题：

问题一：可用但不可信的产品如何可控？一些国际产品具有成熟的产品体验和较好的应用效果，但是由于国际化产品可信性以及风险不可控性的因素，针对这类问题，我们应该在安全工程中运用什么方式让其实现可控。

问题二：可控但不可靠的产品如何可用？也有一些国产化的产品是相对可控的，但是由于技术局限可能在某些方面牢固性稍有欠缺，在这种情况下我们如何将这些产品组装起来。

中测安华希望用系统安全工程的方法解决上述两个问题，实现Security与Safety的统一，打造Resilience（强韧、弹性）的工程。

中测安华从安全测评起步，希望从一系列项目实践中提炼出一些“不变”的安全认识。从系统的维度，我们关注的焦点从“系统的安全”到“安全的系统”再到“体系的对抗”。当我们面临APT（高级持续）威胁的时候，潜伏期可能是数年甚至十数年，我们要用空间去换取时间，将数据都储存下来再进行分析，从攻击中发现防御之道，形成“反脆弱”的架构体系。具体如下图所示：