興業數金應用風險防範新思路：以內生安全實現資訊系統自我免疫

隨著資訊技術的不斷發展，新技術的應用與變化對資訊安全工作提出了新的挑戰，現有的圍墻式安全已不再適應新的安全威脅形勢。圍墻式安全的邊界一旦被突破，內部系統就會完全淪陷；規則庫更新緩慢，使圍墻形同虛設；不同的圍墻相互孤立，形成資訊孤島。圍墻式安全的局限性，使企業在數字化環境中面臨巨大挑戰。為了彌補圍墻式安全的“盲區”，新的安全思路內生安全應時而生。

內生安全是在資訊化環境內部建設安全能力，使生産系統、業務系統具備一定的免疫能力，而不是完全依賴於邊界的圍墻式保護。內生安全強調資訊系統自身的安全能力，在縱深防禦體系的基礎上，通過資訊系統安全能力建設和運營，實現資訊系統自我免疫。

內生安全的落地實現需要保障執行“三同步”原則，即資訊化建設過程中必須同步規劃、同步建設、同步運營網路安全。將網路安全工作貫穿資訊系統的規劃、建設、運營的全生命週期，使網路安全與資訊系統深度綁定，才能真正實現具有免疫力的內生安全系統。

1、同步規劃

同步規劃指在資訊系統的設計規劃中，充分考慮安全需求，包括內在安全功能和外在安全系統，確保安全成為資訊系統的有機組成。通過與資訊系統同步規劃安全體系，實現安全與資訊系統的深度結合和全面覆蓋，安全能力適配資訊系統的安全等級。

2、同步建設

同步建設強調在資訊系統建設時充分考慮引入並融合安全能力。既要積極建設外在安全基礎設施，如防火牆、入侵檢測等網路安全産品，又要開展資訊系統內在安全機制的建設，如訪問控制、許可權管控、操作審計等。在資訊系統發生變更時，需要評估安全能力是否滿足變更後資訊系統的安全需求，未能滿足的應同步變更、建設安全能力。

3、同步運營

同步運營要求網路安全能力在資訊系統運作時保持有效輸出。網路安全工作應拋棄“買了設備就安全”的思想，通過制度政策、人員、技術、運營等形成完整的安全體系，對接應用系統運營中所有與安全相關的環節，執行常態化安全工作機制，摒棄零散化工作模式。