安全工作的“四防一处置”

记者 苏洁/整理报道

我对安全工作的理解，就是“四防一处置”。

“四防”第一防就是人防，从组织、制度方面加强安全管理问题。第二就是物防，从架构设计以及整个基础设施投入方面加强物防建设。第三就是技防，今天听的都是偏技防的内容，我们在网络端、云端、桌面端不断部署安全防御产品和监控系统。第四就是机制防，做系统设计的时候要有同步的安全方案设计，系统上线的时候不光有系统功能和业务方面的测试，还有安全测试的问题。运行时，通过新的装备，包括安全态势感知和漏斗扫描，实现实时的安全巡查、探查，就像小区巡逻一样日常化，而不是运动式的检查，这是运行机制的问题。

这四个“防”都有了，怎么还防不住？为什么还有保险行业？答案就是风险总会发生，安全事件也会发生。我们可以在安全事件发生的时候及时响应、及时处置。国家方面也有信息安全通报的机制，有情况也要及时处置。

出口信用保险软件开发部副总经理 张建强

以下是文字实录（部分）：

张建强：大家早上好，我一直做软件开发，（今天这个角色也比较特别，昨天吴总、刘总，今天邵总、刚才的刘总都讲了护网，我们主管安全的同志正在做护网的活动。）这两天收获非常大。下面从我的视角谈一下我对安全的理解，从“四防一处置”看安全工作。

四防第一防就是“人防”，就是从组织、制度方面加强安全管理问题。从我们出口信用保险公司的实践来看，2007年我们按照ISO27001建立了我们的信息安全管理体系。由于国家和保监会对安全的重视，我们2011年设立了信息安全处。我们认为安全工作并不仅仅是一个IT部门的事儿，昨天吴主任也讲了，其实安全是全员的事儿。今年我们明确了涵盖所有的部门和分支机构的网络信息安全责任制和信息安全通报机制。

第二就是“物防”，我们这一两年主要围绕同城双活和两地三中心灾备体系建设，加大信息安全方面的投入，从架构设计以及整个基础设施投入方面加强物防建设。

第三就是“技防”，今天听的都是偏技防（技术防御、技术防护）的内容，刚才邵总讲了网络边界的蔓延，我们也在网络端、云端、桌面端不断部署安全防御产品和监控系统，包括刚才有嘉宾讲的网络安全态势感知系统。

人防、物防、技防等人员、装备都有了，下面就是第四个防，“机制防”，包括设计时和运行时的安全运行机制，邵总讲了三个同步的问题，我非常赞同。做系统设计的时候要有同步的安全方案设计，系统上线的时候不光有系统功能和业务方面的测试，还有安全测试的问题。运行时，通过新的装备，包括安全态势感知和漏斗扫描，实现实时的安全巡查、探查，就像小区巡逻一样日常化，而不是运动式的检查。把安全的探查、巡查工作日常化，这是运行机制的问题。

最后就是“一处置”，应急响应和及时处置。这四个防都有了，怎么还防不住？我学了新的安全观，为什么有保险行业？就是风险总会发生。网络安全事件也会发生，我们可以在安全事件发生的时候能够及时响应、及时处置。我们国家方面也有信息安全通报的机制，有情况我们也会及时处置。各个点的问题都能可以得到及时的处置，我们就实现了一个动态安全。我就分享这么多。