奇安信齐向东：网络安全要抛弃“事后补救”建设思路

奇安信董事长齐向东在国家网络安全宣传周高峰论坛上演讲。（受访者供图）

　　出席高峰论坛活动的奇安信董事长齐向东在接受新技术带来了便捷化数字生活，同时也让越来越多的人处于“透明”状态，暴露在危险之下。

　　“在传统互联网时代，人们对网络安全的防护习惯于采取‘事后补救’措施。”齐向东认为，这样往往是“头痛医头、脚痛医脚”。网络安全必须抛弃这种安全建设思路，要防患于未然，构建全面的“事前防控”网络安全防护体系。

　　他直言，目前我国绝大多数网络安全企业仍处于小规模、零散化、同质化的“小零同”状态。因此，“我们需要从信息化视角出发，在信息化系统中深度融合网络安全，扩大行业规模，打造良性生态，与数字经济相互促进，形成正循环，推动整个网络安全行业与数字经济同步发展、共同壮大。”齐向东说。

　　以下为文字实录：

　　进一步明确了网络安全企业的责任和使命，即网络安全是人民群众安居乐业的必要保障。没有网络安全，人民的日常生活、财产安全和生命安全都将面临巨大风险。网络安全的最终结果是直接造福于人，造福于百姓。全面提高网络安全能力，为人民群众的生活造福，成了我们当下最主要的任务。

　　网络安全的重要性越来越凸显，但攻击技术的提升也使得网络安全呈现出易攻难守的局面。您认为目前我国网络安全现状如何？主要面临哪些方面的挑战？

　　齐向东：新技术带来了便捷化数字生活，同时也让越来越多的人处于“透明”状态，暴露在危险之下。一是数据隐私风险。过去难以获得的敏感隐私在数字化时代变得唾手可得，人们的隐私荡然无存，不仅可能带来财产损失，甚至连基本的尊严都无法得到保障。二是智能终端风险。智能家居逐渐走进了千家万户，比如一部手机可以遥控电视机、空调、冰箱等各种电器，一旦被攻击，人们的生活将寸步难行。三是智慧城市风险。未来水厂、电厂、煤气厂、轨道交通等都连接在互联网上，一旦被攻击，将带来灾难性后果。

　　但现实是，一边是数字化转型和新基建对网络安全的需求不断激增，另一边网络安全整体的现状依旧是小规模、零散化、同质化，不能满足数字化转型和新基建的需求。与此同时，网络安全很大程度上停留在以“局部整改”为主的建设模式，这也造成了网络安全零散发展，与信息化发展严重不匹配。

　　导致这一现状的原因是，网络安全处于重要转折期，传统的思维和惯性做法还没有及时转变，跟不上数字经济时代的步伐，具体有三个方面：

　　第一方面是甲方的传统思维局限。有的受传统思维影响，不愿意增加网络安全建设的投资；有的虽然转变了思维，想增加投资，把对网络安全的重视落实，但局限在传统认知里，认为加大网络安全投入，就是购买更多的防火墙、终端安全软件这样的网络安全产品，不知道该建设什么系统；

　　第二方面是乙方的创新动能弱。网络安全产品创新周期长，一般需要三年：第一年研发，第二年开通实验局，第三年市场推广，很多企业在生存压力下，研发占比不高，更倾向于把有限的研发资金投向市场成熟的合规类产品，这些产品严重同质化，没有竞争力；

　　第三方面是市场竞争标准单一。目前安全产品是好是坏的依据是官方测评机构的合格证书，一般情况下监管部门为了鼓励公平竞争，为了让更多的企业参与市场，给出的测评标准是较低水平的市场准入门槛。这就导致厂家难以证明自己的产品和竞争对手产品相比到底有什么优势，而甲方也没有依据按质论价，影响了网络安全市场的发展。

　　到护航工业互联网，面对新的应用场景和市场空间，网络安全产业参与者应该如何转变思维？

　　齐向东：在传统互联网时代，人们对网络安全的防护习惯于采取“事后补救”措施，安全厂商也习惯于用“治病救人”的方法，就是出了事再采取安全措施，比如中了毒才知道杀毒，网站被攻击才知道建设防护系统。而在以往相当长一段时间里，网民中毒、网站被攻击导致事故都是小概率事件。

　　“事后补救”和“治病救人”的措施，往往是 “头痛医头、脚痛医脚”的，是局部的、针对单点的，而不是彻底的和全面的，这种措施省钱，也能看见一定的效果，但严重影响网络安全产业的健康。

　　安全产业必须做出改变，需要和信息化深度结合，成为信息化的伙伴。因此，网络安全必须抛弃“事后补救”的安全建设思路，关口前移、防患于未然，构建全面的“事前防控”网络安全防护体系。

　　参与竞争的市场主体不断增多，您怎么看网络安全行业的现状？您的公司希望在这个行业里扮演一个什么样的角色？

　　齐向东：数字经济的高速增长，网络安全成为了风口行业，吸引了更多的人才、更多的资金。近三年，网络安全产业持续火热，企业资本交易活动活跃程度明显提升，大量投资机构涌入市场助力产业发展。与行业的高温相反，网络安全企业赚钱难、发展慢的状况没有得到根本改善，绝大多数企业仍处于小规模、零散化、同质化的“小零同”状态。

　　去年我们提出了“内生安全”理念，认为网络安全已经进化到内生安全时代，需要把安全能力构建在内部的业务系统上，从而保证信息化系统能不断生长出自适应、自主和自成长的安全能力，持续保证业务安全。今年我们推出了内生安全框架，以系统工程的方法论结合“内生安全”的理念，改变以往“局部整改”和产品堆叠为主的安全规划及建设模式，从顶层视角建立安全体系全景视图。

　　我国不断出台推动网络安全产业发展的相关政策法规，对于进一步促进网络安全产业健康发展，减少人民的“网络安全焦虑”，您有何建议？

　　齐向东：正如前面所说，网络安全是人民群众安居乐业的必要保障，无论是推动网络安全产业健康发展，还是减少人民的网络安全焦虑感，都离不开三个方面：一是离不开强大的网络安全产业。在数字化转型的过程中，我们需要从信息化视角出发，在信息化系统中深度融合网络安全，扩大行业规模，打造良性生态，与数字经济相互促进，形成正循环，推动整个网络安全行业与数字经济同步发展、共同壮大。

　　二是离不开优秀的网络安全人才。网络安全的本质是人与人之间的攻防对抗，再聪明的机器也不能取代人，再先进的防护技术都不能代替人的运营和响应。不管是网络资产管理、补丁管理，还是遇到攻击时调整外环境防护策略、入侵防护策略、终端策略，都需要专业的网络安全人才去分析和执行。

　　三是离不开法律法规的强监管。法律法规的强监管是网络安全措施落地的基石。我相信，法制的强监管将为人民群众的安居乐业筑牢安全保护屏障。