关于安全:我的企业安全观

0x00 前言原本筹备新开几篇再介绍下平安架构，恰逢前几个月也看了一些框架。所以决定还是先总结一下，期待日后空了再针对不同层面各写几篇。本篇受限于集体教训，篇幅之间不免有些全面，读者仍需多多思考。看图谈话吧↓0x01 从企业架构谈起

我筹备先从企业架构谈起，理解企业尽管不是做平安的开始，但却决定了做到什么水平。TOGAF 提供了一套从商业架构到 IT 架构的通用方法论。ITIL 提供了对信息技术基础架构的落地领导，ITSM 则是用于领导 IT 的服务治理框架。TOGAF 中提供了 BDAT 的四层架构，在这里我把 T 作为 Infrastructure 层。对于一些产品在 IAAS 和 PAAS 中的定义其实是绝对的，例如 DB 能够是 PAAS 的局部，也能够是 SAAS 的，当然对于金融企业来说，个别要求是 On-Prem 的。另外除去合规，公有云也能够搭建在私有云基础设施。这里的 IAAS，PAAS，公私有均是以其业务性质定义的。交付服务须要重视 Customer Centricity（可信的、可继续的、更快的、交付服务，保护 Customer 之间的关系酌情思考），在企业平安工作中已经也应该借鉴这种思路，无论是内外部业务都应该有一个继续交付业务的态度。在 IAAS 到 SAAS 的过程中，CSP 可能提供的性能越来越多，咱们本人治理的越来越少。但 IAAS 中并不仅仅波及到根底平安，也应该要求数据安全针对 HW/SW，存储、数据库的等日常中的一些场景进行定制化进攻。GRC 往往是产品在内部面临到第一层问题，也是驱动外部 IT 架构做出扭转的能源。在业务架构中，策略，经营，技术缺一不可。所谓架构，就是一些合乎种种规定的框架，而后对新的业务提供束缚。业务能够是对外的，也能够是对内的。对于安全部门，间接的业务客户就是企业外部的其余部门。0x02 再看平安架构

驱动企业针对平安作出扭转的有以下几个方面：合规，公共安全，商誉，金融平安。对于企业来说，业务间接面临的就是来自监管合规方面的压力，以及外部的风险管理的压力。从业务驱动着 IT 作出变动，从而影响业务也产生扭转。在政策和合规上，不言而喻的决定了业务状态。此处将 IT 架构中的平安治理简略分为三层，别离是根底平安，利用平安，数据安全。但同时须要留神办公网的业务零碎不肯定部署在 Office，DC 外部也不肯定仅是生产 (site) 业务, 在近程办公的状况下，可能还会不部署办公网（Corp）业务。CIS 在 Infrastructure 层面提供了最为精准的 Control Set。ISMS 是 ISO27001 中的一部分提供了信息安全治理的领导框架。相似日志和监控这种根底运维层面的货色，还真不肯定是平安团队在 leader，当然也不仅限于根底平安，利用也须要记录日志并做监控，这是通用的需要。相似的还有审计，账户治理，认证集成。

从纵向看一个利用的落地过程，业务拆分进行拆分，能够从解决程序做，也能够从业务类型去做利用设计。设计实现后的利用，采纳某种零碎架构，此处指的是具体采纳的具体组件，例如 Nginx，Tomcat，lvs，网关等等，尔后依据零碎架构，申请对应的 VM 间接部署到对应的数据中心里去。当然云化后的部署形式又会晦涩不少。零碎架构中的一些 TAL，CAL，CAS，DAL 在大部分企业里应该是不具备的 ….. 平安经营，平安治理，平安技术是做平安的三个方面，咱们须要可能提供相应的策略，规范，以及指南，规范操作流程给到内部。在这个过程中，应该可能实现肯定的自动化。尤其是在经营过程。

这里提供了 TOGAF 中针对架构解决的一个指南，具体能够参考 TOGAF 的框架详情。确定范畴，明确指标。通过一系列的输出和步骤失去相应的输入。评估须要的资源或者资源池。咱们的指标是交付一个服务进来，这个服务也能够是产品，能够是实物。评估完所需，通过不同的形式实现指标，能够是商业洽购，能够是外部消化，能够是外包研发，也能够是让厂商去做等等。明确利益相关者（Stakeholder），接口人（Point of Contact），倒退门路（Roadmap）确定好日常沟通的打算，做好项目管理，在 Scrum 会议里疾速迭代。设计架构须要确定高可用，可扩大，容量评估 (Capability Assessment) 等方面的工作。在做不同档次的事件时须要思考的架构是不一样的，例如根底平安中的 WAF 和堡垒机，次要关注在物理架构和零碎架构层面进行设计和部署。如果是 KMS、CA 这种则须要思考的是利用架构和零碎架构，而后对应到 Zone 和 VM 以及各种基础设施，例如 LB，DB 等。以上还是局限在安全部门提供的服务中，如果是在 SDLC 中针对 PD 团队提供的架构设计进行零碎间的依赖剖析之类，此时关注的又有些不同。0x03 合作与组织架构

并不全，之前在本地生存和阿里团体平安之间的经验以及目前在 China 和 Global 之间的交互不尽相同。左图个别是企业中常见的对平安职能部门的划分，当具备团体概念的时候，平安职能部门就进化的绝对残缺一些。在 CRO 线，CTO 线，和 CSO 线相对是有所不同的。技术核心内的部门间合作，以及一级部门之间的工作协调是不是须要对立的收口？例如通过 Devops 采集来自技术核心内外的需要。KPI 设定去束缚人，OKR 束缚集体对我的项目的指标。Scrum 治理这个我的项目的疾速迭代。找到利益相关者，而后往对应的资源池申请资源，生产资源。缺 PMO 要 PMO，缺研发要研发，厂商做，外包做，本人做等等找到我的项目接口人，对立调度相干的资源，追踪我的项目的进度。领导 / 经理应具备 leadership，真正的能激励和鼓励团队，而不是 PUA。同时做好向上治理，要不然上面累的不行，做进去的货色没被认可就难堪了。领导的视角其实无效，应该可能做到 Support 上面做出成绩。可量化的成绩对于大家都是无益的，企业中多方合作往往能达成共赢的场面，但大家遇到更多的状况是撕逼甩锅抢功绩。态度永远是第一位的，技术其次，然而技术视线和深度能力决定能做成什么样。责人之心责己，但也要远离傻逼。金融平安相干的三道防线要求，其实并不是很容易体现在组织架构中，而是有种相似贯通了不同部门的虚构防线概念大型的企业都会去做本人的平安钻研，把平安技术落地的前提下进行产品研发，而后外部推广，在不是造轮子的前提下造成 Core Product 不同企业性质不一样，导致其平安需要建设也是不一样的。来自企业内外部的不同压力驱动着一件事件。屁股决定脑袋，做好本人的份内工作。一生学习是本人的事件，跟企业关系不大，能借光也行，借不到也无所谓。语言和沟通其实是个很重要的软实力，抉择好本人的技能点，造就本人的技能树吧，别长歪了。0x04 总结在企业 / 企业平安演进过程中，咱们发现问题，提出了解决方案，又会遇到新的问题提出新的解决方案。但最重要的是咱们要领有对未知或者未接触的畛域可能疾速学习并发现问题以及提出解决方案的能力。企业平安中搞治理也好，搞平安技术也好，平安经营也罢，都是一场耐力赛。