“极致”，始终是大型央国企网络安全工作建设谋求的指标。随着我国数字化转型全面走深向实，网络安全危险、数据管理、层出不穷的网络攻击，为各畛域大型央国企数字化转型带来了更多的挑战。如何充分发挥劣势、携手各方构筑网络安全屏障、晋升平安保障能力？成为大型央国企数字化转型路线上必须要攻克的首要难题。
本期腾讯平安《CSO 面对面》栏目，邀请到中核华辉副总经理刘博，以中核团体为例，分享在以后简单的经济环境和数字化降级转型逐步深刻的大背景之下，大型央国企网络安全建设的实战经验与前瞻思路。
- 刘博，中核团体北京中核华辉科技倒退有限公司副总经理、信息安全总师、云 & 平安事业部总经理。
以下为本期《CSO 面对面》文字实录。
Q1：对于中核这样的大型国企来说，利用数字化产品的次要场景有哪些？
刘博：中核团体是一个很大的复合体，蕴含很多成员单位，也蕴含整个核电建设的全产业链。所以在产业链当中，中核团体相应的各种数字化门类的产品十分多。次要蕴含了经营治理类的所有业务零碎、日常生产的一些信息系统。
每个板块日常生产的零碎又都有区别。比如说在核建板块生产的零碎 ENPower 就是外围生产的零碎，对核电建设、我的项目综合治理起到核心作用。其中蕴含了生产控制系统、生产管理系统这样各种各样的零碎。在医疗板块，也有相干的医疗对立治理的零碎，所以整体相应信息化的产品的门类是十分十分多的。
Q2：中核如何在整体体系上保障团体数字化的全面平安？
刘博：平安始终是核工业的底线，网络安全始终是核工业的红线。在以前，核工业针对网络安全的治理是做到极致的，然而随着数字化的倒退，中核团体整体的业务规模从原有的专用网络侧，逐步向互联网侧倒退，也逐步向大型专用网络方向倒退。在整个过程中，兼顾治理、对立进行防护、建设残缺的网络安全体制是目前中核团体整个网络安全倒退的重点工作。
Q3：在简单的信息化需要和平安需要下，中核平安建设的要害思路是什么？
刘博：中核团体的能源板块是一个复合体。大家认为中核团体的能源板块次要蕴含核电，但其实在中核团体的能源板块中，除了核电以外，还包含风力、光伏、新能源的发电体系，也蕴含水力发电的体系。所以中核团体的能源板块，是一个相当宏大的复合体，能源幅员跨过全国所有疆域，北至黑龙江、南至海南、西至新疆。如果依靠繁多的传统体制来进行整体的平安治理，其实很难达到咱们平安治理的指标。
平安治理须要一个十分残缺的体系性的治理。而咱们在建设过程中，一直引入新的技术，向国内及国内的先进经验进行学习、向国内和国外的互联网安全技术厂商进行学习，逐步把技术进行融入，与咱们传统的网络安全红线进行联合，最初达到整体平安的对立指标。
Q4：互联网公司的技术倒退对大型国企的平安建设有怎么的影响或者帮忙？
刘博：传统的网络安全建设，在大型的央国企业里，绝对（来说）技术计划还是比拟传统的，进攻的模式次要是集中化的。而随着互联网产业的逐步倒退，像国内的支流互联网厂商，整个笼罩的用户数总量，蕴含它自有的员工数总量，十分宏大。
随着大型央国企业的业务逐步向宽广民众凋谢，网络安全的挑战曾经产生了变动。互联网厂商网络的平安解决方案更先进，为咱们提供更多的抉择，也为咱们提供很多的最佳实际。随着互联网厂商逐步向金融化转变，一些新的技术应运而生。在这个过程中其实很多研发老本、很多试验老本都由互联网厂商帮咱们实际过了，所以咱们在利用的时候，其实有更多的抉择空间、也有很多的学习空间。
互联网厂商须要保障宽广业务的平安，咱们很多企业有十几亿用户逾越寰球各个领域、又要合乎国内及国内法律法规的要求。在这种状况下，互联网厂商对网络安全倒退其实是非常重视的，不论是用户的隐衷也好，还是相应领取平安也好，还是业务自身的平安也好，互联网厂商提供了很多的实际，蕴含了整体的开发体系的管制、整体利用平安体系的管制、员工在寰球畛域管控的平安的管制，也蕴含像邮件系统、大型业务零碎在互联网侧如何综合保障业务系统安全等等，也为咱们实现了后期的摸索工作。
Q5：中核华辉在推动中核团体的平安建设与部署中，施展了哪些“先行者”的作用？
刘博：云 & 平安事业部其实分为四块外围能力，第一块是解决方案的建设能力。包含团体很多的大型项目网络安全，其实咱们都在我的项目中进行了深度的参加，使中核团体整个的技术体系放弃当先是咱们外围职能之一。
第二，是整个的系统集成能力。各类大型的业务零碎，包含各类大型的根底组网，都是由云 & 平安事业部进行参建的。
第三，是整体的运维保障能力。咱们在 SLA 的等级业务联系性保障等级上，咱们会逐年递进，每年会把业务联系性的保障等级进行进步。
最初，是网络安全反抗能力。在每年的重大节庆流动，包含各类演练中，中核华辉的云 & 平安事业部都是起到外围的保障作用。每年都会与国内及国内的各个平安团队进行反抗，保障团体的网络安全能力。
在技术利用方面，中核华辉自 2019 年开始启用 SDWAN 组网，目前曾经覆盖全国所有疆域，就是东南西北的所有疆域、各个省市都有咱们的组网节点。在零信赖整个体系建设上，咱们经验了三年的工夫，目前曾经建成国内相应比拟先进的零信赖网络安全技术体系。将来，咱们将更多的投入信创体系的建设。这个就是咱们整体的建设指标。
Q6：将来中核团体的平安建设还有哪些部署和思路？
刘博：其实团体有对立的平安治理的策略，就是在中核团体有了本人的数据中心之后，整体的业务规模会向对立来聚拢。在咱们有了残缺的算力核心之后，咱们会 建设新的、覆盖全国的互联网对立平安管理体系，也蕴含咱们所有终端的对立管理体系。在超过十几万用户的状况下，咱们的体系肯定是须要整齐划一。
在整个建设上，其实咱们更多的去讲大一统的概念。在反对这个体系下，咱们整体的网络安全通报体系、情报管理体系、网络安全的整体指挥体系、联动体系，都是须要咱们前期来进行残缺建设。
Q7：中核利用了腾讯平安的很多优良产品，次要在哪些场景中发挥作用？
刘博：其实在整个建设过程中，咱们更多的不是把腾讯当成一个平安产品厂商。咱们更多的是向腾讯学习一些先进的解决方案，包含残缺的网络安全体系、在互联网侧的网络安全体系。所以在建设过程中，其实咱们对腾讯产品的引入蕴含在咱们的各个环节里，所有业余的产品、专项的产品，都会作为咱们体系的一部分。
同时咱们也会学习腾讯整体的网络安全体系，蕴含腾讯整体的零信赖技术体系，其实在中核团体失去了很好的互联网侧实际。目前整个腾讯的零信赖平安体系在中核团体曾经运行了三年多，次要笼罩了咱们的能源板块。目前全国有 4,600 多名用户在享受零信赖技术体系的平安服务。
在三年中，没有产生网络安全事变，所以也给咱们进行全国的零信赖技术体系推广，提供了最佳实际及优良的技术解决方案。
Q8：大型国企建设独立的平安经营核心（SOC）能起到哪些作用？
刘博：网络安全曾经被国家放在一个十分高的策略地位，网络安全目前在中核团体也是有一个十分高的定位的。所以打造本人的队伍、造成本人的能力，始终是中核团体网络安全的外围倒退方向。目前中核团体其实曾经建设了整体的网络安全管理中心，这个核心也曾经运行了将近 6 年的工夫。
在整个情报体系治理、统一指挥治理、网络安全能力调度、应急响应等方面，都须要一整套残缺的体系来反对。在咱们看，建设对立的网络安全治理平台是咱们解决情报解决问题的一个基本技术门路。
在咱们的响应上，包含大数据的技术响应、人工智能的技术响应、疾速的联动处理，都是咱们网络安全管理中心一个外围的职能。中核团体整个的业态绝对比较复杂，各个板块的信息化能力、网络安全能力，很难实现对立。大型网络安全管理中心、包含技术体系的建设，能够无效地保障中核团体整体网络安全能力程度能疾速的拉齐。在被动平安处理能力上、在残缺的情报治理能力上、在疾速应急响应能力上，网络安全程度及能力始终处于高位运行。
国家对网络安全其实是逐渐器重的，每年都有很多的法定法规会进行公布。国家各相干部门对平安、网络安全的管理工作在逐年增强，包含咱们每年参加很多大型的演练流动。随着信息化倒退，网络安全是这个倒退阶段的一个必然条件。所有的企业，不论是大型企业还是中小型企业，在网络安全建设上，目前都曾经到了一个外围的倒退阶段。
大家也意识到把网络安全交给他人其实是靠不住的，也不能让网络安全成为企业的“卡脖子”工程。自行建设网络安全管理中心，包含建设网络安全治理平台，这个是每个企业迫切的需要。在所有的可控方面，平安的可控是每个企业整体平安的重要组成部分之一。网络安全在最近几年，其实跟生产平安、食品安全提到了相应等同的高度。在以往，咱们可能在生产平安或者食品安全当中，不会探讨咱们是否须要建设新的核心的问题。而在网络安全建设过程中（就很有必要），这是咱们倒退到这个阶段的一个必然的后果。
Q9：大型国企数字化过程中，有哪些比拟广泛的平安痛点和平安危险？
刘博：首先咱们须要解决的第一个问题，就是网络安全“卡脖子”的问题。咱们很多大型的应用软件目前还是依靠国外技术绝对比拟多，这个是咱们首要解决的网络安全问题。
第二，目前利用平安是咱们整体的外围痛点。因为很多大型央国企，曾经有了很多的业务零碎，这些业务零碎一部分是自建的，一部分是外来洽购的，业务零碎的规模十分宏大。然而在本身整体平安能力上，最近这些年还在逐步增强，还没法把所有的利用平安来对立进行治理，没有达到这样的能力程度。
利用平安，其实目前是大中型企业整体的外围短板。这也是须要残缺的体系和大量的资源投入能力解决的问题。在整个建设过程中，其实在整个行业内，利用平安整体能力的建设、整体体系的建设、整个代码品质、平安治理这样残缺体系建设，还须要走很长的一段路。
Q10：针对大型要害基础设施型企业的网络攻击应如何应答？
刘博：要害基础设施的网络安全治理是国家非常重视的，不论是从国际形势来看，还是从各个企业理论的本身生产要求也好，要害基础设施的平安保障工作始终是整个网络安全保障的重中之重。在整个保障过程中，很多方面是要远超于一般的治理类业务零碎的。要害根底其实是相对不能中断的，所以在整个技术进攻体系上咱们既要有传统的防一般网络层的入侵，也须要针对各类的高级攻打、社工的攻打具备肯定的防御能力，逐步筑强咱们整体的防御能力。
要害基础设施的保障其实是通过网络安全技术手段和简略的管理手段就能解决的网络安全问题。在整体进攻上，须要人、财、物整体的联动，在全员造成要害基础设施网络安全保障意识。之后再通过足够健壮的技术手段，来解决咱们整体网络安全保障的问题。
要害基础设施的网络安全保障工作，还蕴含很多防歹意攻打，比如说来自于人的歹意攻打。其实要害基础设施整体的网络安全保障工作，是依靠人与人之间的反抗，技术只是咱们在整体反抗过程中的一个伎俩。
栏目简介
以后，作为数字经济倒退的“生命线”，网络安全已渗透到国民经济的全畛域、各层级，为产业数字化倒退提供了松软的根底。在数字平安建设的洪流中，有一批敢为人先、敢于冲破的探索者，他们的平安建设之路，对于各行业有着极高的参考价值和借鉴意义。因而，腾讯平安联动雷锋网、数世征询等媒体策动 「CSO 面对面」 栏目，旨在通过深度采访数字化实际中标杆企业 CSO、CTO、平安负责人、数字化负责人等 平安先行者，理解在其工作场景如何中部署建设平安体系，解决企业平安痛点，打消平安危险，为产业数字化的平安实际提供参考和指引。