打开APP

“证无”的“数字风洞”向“*安全”靠近了一大步

2023-04-10 13:55 互联网

我们常说,网络安全没有“*安全”,因为“人”难免会发生失误,“系统”的新漏洞总会产生,“数据”风险无处不在,“百密一疏”发生在我们事前想象不到的地方。

但行业对于“*安全”的追求并没有止步,更为严谨地说,这里的*安全并非百分之一百的安全,而是将安全的风险降到*、趋近于零的“*安全”。即便如此,同样充满挑战。

安全“证无”,逼近零风险

在网络安全行业,我们似乎已经习惯了解决问题的方法论——“证有”,证明人有失误、有脆弱,系统有漏洞、有风险、有病毒,数据有泄露、有越权、有残留等等。“证有”的逻辑很容易理解,当证明这些风险点存在,才能找到对症下药解决问题的方法,该培训的培训、该补洞的补洞,这时,网络安全产品亦在极力证明“我有风险评估能力、有漏洞挖掘能力、有数据防泄密能力”等。

当然,“证有”为保护网络安全发挥了巨大价值,但它就等于安全吗?一定程度上,“证有”或许自证了安全,但它是局部的、是产品第 一视角的安全。一次“证有”也仅是解决了一次安全问题。

如何站在用户视角去实现近乎零的“*安全”?永信至诚基于在网络靶场领域构建的核心技术和经验积累,建立了一套新的架构体系——“数字风洞”,通过反复对人、系统、数据等进行持续测试评估,并做出相应处置和优化,最终无限接近安全,这就是“证无”的逻辑体系。

从“证有”到“证无”,“风洞”是实现这一转变的方法核心。源于航空航天领域的专业词语,风洞通过进行空气动力实验,是飞行器研制工作中的一个不可缺少的组成部分。1903年,莱特兄弟成功实现了人类的第 一次飞行,开辟了航空史的新纪元,而这一切的前提离不开三年间进行的1000多次的风洞实验,不断对机翼进行反复测试评估后飞上蓝天。F-22第五代战机的研发设计也是花费了近10年时间,并在15座高低速风洞进行了约4.4万小时的试验,才最终确定结构和外形。所以,一次次“证有”最终实现了安全“证无”,确保航天器的安全稳定可靠。

图片1.jpg

借鉴此理念,永信至诚“数字风洞”定位于对人、系统、数据、方案、流程等进行量化评估,贯穿规划建设、运营和处置等全生命周期的各个阶段,从而形成持续的验证,不断发现安全并消除隐患,直到“证明没有问题”,去达到逼近无、近乎零风险的“*安全”状态。

“数字风洞”有一个风洞载荷时光机

当然,也许有人疑问,“数字风洞”和我们平常说的安全测试又有何区别,为什么它能够推向“证无”?

其中的核心在于永信至诚在“数字风洞”产品中构建了自主研发的风洞载荷时光机子系统,将测试环境以及配套的测试风险载荷以“风洞时光”的形态封存在“数字风洞”之中,成为持续测试和反复验证的节点。也就是说,每次测试前,系统都会优先将上一次的“风洞时光”封存下来的风险载荷进行测试并验证,以确保之前的风险得到及时消除,系统实现了迭代进化的目标。

图片2.jpg

在采访中,永信至诚董事长蔡晶晶举例说,如果用户有一个新系统要上线,“数字风洞”会对其进行一个完整测试,并把测试环境、工具手段、问题风险和问题产生的原因等封装起来,待测试发现的问题整改后,“风洞时光”会对整改或升级后的系统进行类似于验收的重新测试。载荷测试完毕后,如果问题依然存在,则再会走上面的循环,直到改进完毕,新的一轮测试又启动了。

“‘证无’的逻辑高度依赖于迭代的价值。”蔡晶晶指出,随着“测试-发现风险-迭代优化-再测试-再迭代优化”过程的不断反复,逐渐收敛并消除安全风险,进而帮助用户实现安全“证无”的目标。

所以,“数字风洞”是一种测试评估,不过有别于众测等安全测试,它建立了一套系统化的科学的测试评估方法,以丰富的测试评估手段、数字化的测试评估流程等,去达到“证无”的测试评估目的。

聚焦数据安全,将“形式合规”推向“实质合规”

基于安全“证无”理念和3×3×3×(产品×服务)安全感公式,永信至诚正式推出了数据安全“数字风洞”产品,构建覆盖数据收集、存储、使用、加工、传输、提供、公开等全周期数据处理活动的测试评估体系,围绕数据安全业务、数据安全风险、威胁、合规等需求,化解数据安全治理挑战。

图片3.jpg

数据安全是信息安全的核心,这也就不难理解永信至诚在发布“数字风洞”产品体系战略后,第 一个落地的产品即是围绕数据安全场景。同时从国家政策和宏观环境来看,无论是《数据安全法》等政策法规的出台,还是“国家数据局”的组建,都将数据资源和安全提升至新的战略高度。

为了将数据安全“数字风洞”产品落地,永信至诚构建了数据安全“数字风洞”的七大产品模块:数据安全意识测试评估、技能测试评估、实网系统测试评估、数据生命周期测试评估、应急演练测评、合规测试评估和风险评估。以数据生命周期测试评估举例,其针对数据业务系统及防御措施对数据安全防御能力、策略有效性开展验证评估。基于业务应用场景构建高逼真模拟环境,根据建设要求在平台中构建测评方案,加载测评工具及测评数据集,快速判定安全设置对应用场景的防护价值,利用测评数据识别设施防御短板,及时调整策略或优化产品并反复测评,为数据安全能力建设、实施和改进提供数字化、流程化和模型化解决方案。

整体而言,永信至诚数据安全“数字风洞”重点聚焦人和系统建立的这套产品体系,能够站在用户视角帮助客户看清楚风险在哪、解决方案在哪,通过反复的迭代优化不断“证无”,向“*安全”靠近,成为伴生数字化的免疫系统。

更为重要的是,“证无”逻辑的“数字风洞”能够推动网络和数据安全由“形式合规”转向“实质合规”,更加趋向于安全结果导向,发挥安全的主动作用。由此看来,永信至诚“数字风洞”开启了网络安全行业的一轮新的跃迁式创新,安全“证无”明显是一次换维思考。“安全‘证无’具有划时代意义,让我们打开了一个没有天花板的未来世界。”蔡晶晶如是说。

(免责声明:本文转载自其它媒体,转载目的在于传递更多信息,并不代表本站赞同其观点和对其真实性负责。请读者仅做参考,并请自行承担全部责任。)

相关资讯

【声明:本页面数据来源于公开收集,未经核实,仅供展示和参考。本页面展示的数据信息不代表投资界观点,本页面数据不构成任何对于投资的建议。特别提示:投资有风险,决策请谨慎。】