当前位置:首页 > 国内新闻

山石网科杨庆华:面对等保2.0 没有包治百病的产品和技术

内容摘要:北京2019年5月24日 -- 5月13日,备受期待的网络安全等级保护2.0(简称“等保2.0”)核心标准已正式发布,网络安全行业瞬间热闹起来。标准发布的第二天,市场上就...

北京2019年5月24日 -- 5月13日,备受期待的网络安全等级保护2.0(简称“等保2.0”)核心标准已正式发布,网络安全行业瞬间热闹起来。标准发布的第二天,市场上就出现了各种帮助企业包治百病、顺利过“检”的“药方”。网络安全行业等保领域的专家、山石网科高级副总裁杨庆华则认为,不能将等级保护2.0庸俗化,不能只谈技术不谈管理。

作为网络安全行业从业22年的资深专家,杨庆华认为等级保护是科学发展观,是网络安全建设的科学方法论、具有“单一技术搞不定、单一产品搞不定”的复杂特点,不仅要将管理的重视程度提高至技术层面同级别,还要建立一套科学自律的网络安全“生活习惯”。因为持续稳定保障企业的业务运行,才是等保的核心意义。

等保2.0是否已经变成厂商新商机的狂欢?用户面对类目繁多的等保2.0还有哪些“坑”要绕开?杨庆华先生的观点如下:

1、等保2.0是系统发展观 非单一标准

等级保护是网络安全建设的科学方法论,通过等级保护的政策指导、技术要求建立一套良性发展的安全体系,才是等级保护制度的意义。而不是浅显地理解成一套执行要求、标准集合。

如今市场出现的各种快速通过的等保2.0药方,相当于把等保庸俗化。就好比想要一个强健的身体,不能光靠吃药。吃药甚至是有害的,更重要被认真对待的是健康的生活方式。等保就是在要求用户在网络安全建设方面,培养健康的生活方式。

2、等保2.0是技术+管理 非产品堆叠

用户的安全体系想要健康,必须做到:技术过关,管理够硬。

在技术层面,等保2.0不是一款产品可以解决的,譬如:新标准的三级系统有71个控制点,211个控制项,每一个控制项都需要依靠2-3个设备才能实现;再比如:在等保2.0要求中,三级系统的边界防护,有4条明确的要求项,而这4个要求项至少需要依靠4种技术2-3个产品及安全管理系统才能同时实现……所以说包治百病的“神药”是根本不存在的。

另外,等保也不是购买一堆产品堆叠在一起就可以满足要求的,更不要提什么“套餐”,而是产品的功能、配置、策略以及产品间的协调、配合 、联动。

同时要特别注意的是:等级保护将管理要求上升到和技术要求同等重要的位置,管理要求包括人员、机构、制度、运维、建设等方面,其中管理制度仅这一项就包括了策略制定、制度执行、审批流程等细节内容;安全进程管理、安全运维管理的控制点及要求项的数量,甚至超过了技术要求中的分类。

由此可见,即使技术层面可以通过购买产品解决,但管理软实力的修炼,整个体系的搭建需要用户在运维方面多下功夫,不能期望一蹴而就。

而对于厂商而言,不谈管理的等保2.0都有市场误导的嫌疑。

3、等保测评只是手段 非等保目的 

企业的网络安全是一个大生命周期。在这个周期里,每个系统之间需要不断调整和完善。随着安全环境的变化,需要随时动态调整策略和结构,因为新的攻击和新的漏洞的网络危险也一直在进化。

在这样大的生命周期里,等保的测评只是手段,用户和厂商都不能把通过测评当成目的。举个例子,不能说通过等保2.0三级的建设标准,就能满足三级标准的安全。因为测评只是及格分,而及格分并不代表合规。真正的安全建设应该大大超出60分。

综合以上观点,山石网科认为,结合市场现状可以看出,如果有用户认为购买网络安全产品通过等保2.0测评就能保证系统、数据的安全运行,这是没将等保的原理和目的搞清楚。而部分厂商进行“打保票”式的夸张宣传,也是极不负责任的。

等保2.0作为网安行业具有里程碑意义的建设体系工程,厂商不应将合规需求单纯理解成简单的商机,用户也不应该将等保 2.0理解成一次简单的安全考试。厂商和用户都该本着科学发展观的态度来正确解读等保2.0 -- 厂商以解决用户实际问题的态度研发产品,以实事求是的态度进行宣传;用户则应该对自身提出更高的网络安全管理技术要求,扎扎实实将安全体系建设作为企业业务高效运转的第一护城河。

(以上内容来源如无标示深港网皆为本网站转自其它媒体,相关信息仅为传递更多信息之目的,不代表本网观点,亦不代表本网站赞同其观点或证实其内容的真实性。如有侵权,请来信告知,本站不负任何法律责任。)

上一篇:热烈祝贺汇香坊上海美博会圆满成功!

下一篇:喜迎530,点亮科技成果,集卡赢红包!