信息化技術(shù)正在深度改變經(jīng)濟(jì)與社會面貌，網(wǎng)絡(luò)空間安全的重要性與日俱增，《網(wǎng)絡(luò)安全法》、等保2.0等政策法律也要求推動網(wǎng)絡(luò)空間安全治理，并將網(wǎng)絡(luò)安全檢查常態(tài)化。對于企事業(yè)單位來說，要滿足網(wǎng)絡(luò)安全檢查要求、提升網(wǎng)絡(luò)安全治理能力，一項重要的基礎(chǔ)性工作就是詳細(xì)、完整的識別組織內(nèi)部的信息資產(chǎn)，并制定覆蓋所有網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)安全策略，只有這樣才能盡可能封堵組織內(nèi)部的安全漏洞，保護(hù)數(shù)據(jù)資產(chǎn)的安全性。

信息資產(chǎn)識別是網(wǎng)絡(luò)空間治理的基石 
 

        信息資產(chǎn)識別是網(wǎng)絡(luò)安全策略重要的基礎(chǔ)性工作，“4.19講話”上指出“維護(hù)網(wǎng)絡(luò)安全，首先要知道風(fēng)險在哪里，是什么樣的風(fēng)險，什么時候發(fā)生風(fēng)險”，還明確的指出應(yīng)該以“摸清家底，認(rèn)清風(fēng)險，找出漏洞，通報結(jié)果，督促整改”的流程來進(jìn)行網(wǎng)絡(luò)安全檢查。其中，“摸清家底”就是指通過各種技術(shù)手段實現(xiàn)網(wǎng)絡(luò)空間設(shè)備的描述和識別，這也是網(wǎng)絡(luò)空間安全治理的基石。

        盛邦安全CEO權(quán)小文指出：“信息資產(chǎn)識別之所以如此重要，是因為安全治理的前提是發(fā)現(xiàn)哪些設(shè)備獲知環(huán)節(jié)存在安全風(fēng)險，這樣才能有針對性地進(jìn)行防護(hù)。而信息化的發(fā)展讓組織內(nèi)部的信息資產(chǎn)環(huán)境錯綜復(fù)雜，大量的信息資產(chǎn)處于隱蔽的角落，在無孔不入且日趨精進(jìn)的網(wǎng)絡(luò)攻擊面前，這些未經(jīng)發(fā)現(xiàn)、整理的信息資產(chǎn)都有可能成為網(wǎng)絡(luò)攻擊的入口或是跳板，進(jìn)而入侵到組織的核心資產(chǎn)。”

        盛邦安全針對五大類、近五十個教育機(jī)構(gòu)，通過被動流量學(xué)習(xí)進(jìn)行的 Web 資產(chǎn)梳理顯示，即使在資產(chǎn)管理方面做得較好的211/985院校，其實現(xiàn)的已知資產(chǎn)管理也僅僅占所有資產(chǎn)的55%, 也就是說仍然有45%資產(chǎn)是未知的；這些未知的資產(chǎn)包括高端口資產(chǎn)、業(yè)務(wù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備/網(wǎng)絡(luò)安全設(shè)備、中間件與疑似業(yè)務(wù)系統(tǒng)。這些信息資產(chǎn)可能潛藏著大量的安全風(fēng)險，隨時可能會讓組織在網(wǎng)絡(luò)安全方面“觸雷”。
 

信息資產(chǎn)識別為何棘手？

        網(wǎng)絡(luò)安全的重要性已經(jīng)得到了大多數(shù)組織的充分重視，先進(jìn)的安全管理和技術(shù)手段更是比比皆是，但是為什么組織內(nèi)部還有如此多的未知資產(chǎn)，以至于在持續(xù)、高強(qiáng)度的資產(chǎn)調(diào)查活動中成為漏網(wǎng)之魚？盛邦安全通過對于信息資產(chǎn)識別現(xiàn)狀的研究，認(rèn)為業(yè)務(wù)量增多、新技術(shù)的使用、信息資產(chǎn)需求的突發(fā)性、管理員交接是重要的幾個原因。

        由于業(yè)務(wù)需求，組織內(nèi)部往往運(yùn)行著大量的業(yè)務(wù)系統(tǒng)，其對于信息資產(chǎn)都有著不同的需求，再加上云計算、虛擬化等創(chuàng)新技術(shù)的應(yīng)用，會導(dǎo)致原有的記事本等模式的資產(chǎn)管理方式不能跟進(jìn)系統(tǒng)變化。另外，信息資產(chǎn)需求往往具有突發(fā)性，組織可能因為某個活動而建立一個應(yīng)用系統(tǒng)，而當(dāng)活動結(jié)束這個系統(tǒng)又沒有及時退出運(yùn)行時，就可能導(dǎo)致這部分資產(chǎn)被長期遺忘。最后，在人員管理層面，當(dāng)管理員進(jìn)行更替的時候，交接不徹底或者多次交接，都可能導(dǎo)致系統(tǒng)變?yōu)榻┦到y(tǒng)。
 

組織需要怎樣的網(wǎng)絡(luò)空間資產(chǎn)治理能力
 

        針對組織用戶對于網(wǎng)絡(luò)空間資產(chǎn)識別的需求，盛邦安全認(rèn)為，信息資產(chǎn)描述需要描述動態(tài)資產(chǎn)和靜態(tài)資產(chǎn)，并針對每個資產(chǎn)采用元數(shù)據(jù)標(biāo)注描述，為進(jìn)行大數(shù)據(jù)統(tǒng)一分析奠定基礎(chǔ)。而要實現(xiàn)資產(chǎn)的元數(shù)據(jù)標(biāo)注描述，就需要對資產(chǎn)屬性進(jìn)行深入洞察，并根據(jù)資產(chǎn)類別、資產(chǎn)應(yīng)用場景、資產(chǎn)附屬屬性等指標(biāo)進(jìn)行分析和驗證，從而達(dá)到對網(wǎng)絡(luò)空間進(jìn)行管理和管控目的。

        資產(chǎn)發(fā)現(xiàn)只是網(wǎng)絡(luò)安全體系建設(shè)的開始，以資產(chǎn)發(fā)現(xiàn)為起點，結(jié)合等保體系、態(tài)勢感知體系，盛邦安全提出了“安全有道、治理先行、源于摸底、防患未然”的安全理念，構(gòu)建了完整、豐富、高效的網(wǎng)絡(luò)空間資產(chǎn)治理體系，提出了資產(chǎn)摸底——備案審核——立體化防御——自動化運(yùn)營——應(yīng)急響應(yīng)的網(wǎng)絡(luò)空間資產(chǎn)治理“五步法”解決方案。
 

        通過持續(xù)而體系嚴(yán)密的網(wǎng)絡(luò)空間資產(chǎn)治理，不僅可以讓組織滿足網(wǎng)絡(luò)安全法、等保的要求，還能讓組織提升對于內(nèi)部網(wǎng)絡(luò)安全的洞察力，并及時處理可能存在的安全風(fēng)險。