企业数字化转型，安全要先行

刘晔

华为安全产品领域首席架构师

近年来企业快速的数字化转型和云的发展给安全带来了很多变化，从2022年RSA议题和创新沙盒十强体现出创新趋势上看，无论是远程办公、云原生环境安全、供应链安全，还是DevSecOps，都是聚焦如何通过技术创新，解决企业数字化转型面临的安全风险和问题。

首先，随着企业应用程序的现代化，容器、Serverless和服务网格等云原生技术得以日益普及，企业应用和数据的API开放以及多云环境部署，企业应用的敏捷、弹性要求与之配套的安全防护产品也必须满足智能、敏捷、弹性、灵活编排才能快速适应云原生场景下各类安全风险。

其次，是高流动性的威胁环境，边界被打破。网络犯罪分子可以针对的攻击面随着云、移动、OT、物联网、医疗物联网和远程办公而显著扩展，同时黑客也在利用云和ML、人工智能，快速发起自动化、复杂、多阶段的网络攻击。

最后，安全解决方案日益复杂，也给企业带来了很大的困扰，据SANS在本次RSAC上发布的调查结果，大企业CISO普遍反映缺乏有效集成和持续运营的专业工具来快速应对安全攻击事件。而对于中小企业来说，则是缺乏安全专业人员来应对企业安全风险。企业需要新的安全运营产品和新的安全方案、服务模式来解决企业安全工具和人才短缺的问题。

尽管数字化转型的挑战在不断增加，但安全技术创新的脚步没有停歇，在本次RSAC 2022大会上，一些新的安全框架和先进的、以云为中心的安全技术值得重点关注。

零信任

零信任依然是当前安全架构的圣杯，无数大型公司和初创企业用自己的方式向着这个目标迈进，无论是零信任和无密码技术、网络钓鱼检测和横向移动检测技术的结合，还是应对MFA认证绕过这种新型攻击技术，都在显示零信任走向应用深水区，和其他安全技术的结合和应用在深化。

攻击面管理

提供覆盖IT、OT、ICS、IIoT和云外部攻击面可视和监控，可以帮助企业减少攻击面和改善安全态势，发现和识别企业未知的（影子）数字资产（如网站、IP、域名、SSL证书），并按敏感性、类型、法规、策略等自动识别和分类处理，结合自动化攻击模拟技术，提供资产和漏洞的完整视图、基于风险的优先级排序、安全自动化响应处置以及跟踪漏洞缓解工作的功能。

API安全

企业IT应用架构变化导致的API安全风险是本届RSAC的技术创新热点。通过自动持续识别包括云原生环境中的所有API、评估风险状况和监控用户行为异常，防御BOT攻击，帮助企业识别和防御业务API流量中的威胁、防范数据泄露的风险。

低代码平台技术

在日益复杂的数字化环境中，随着基础设施和安全事件的数量持续增加，一线安全团队往往不堪重负，自动化是唯一解决途径。无代码或低代码技术是这几年的热门技术方向, 无论是本次RSAC上创新沙盒的Torq，还是startup公司Zenity，都是展示在此领域不断的技术创新努力，我们看到通过低代码应用程序开发平台（LCAP）、工作流自动化平台、集成平台即服务（iPaaS）和机器人流程自动化（RPA）等技术降低安全开发门槛，使企业安全运维人员都有可能成为潜在的开发者，安全左移，提升安全自动化水平。

云安全服务

利用云的弹性、敏捷来加速安全检测和响应，结合AI和ML等技术，提供各类安全服务，是安全产业拥抱云的主流方向，也是安全产业的未来。在本次大会上，包括思科在内的多个公司发布了新的安全云战略，其目标是提供一个基于云的平台来连接和保护企业安全。除了检测和响应服务，还包括基于云的二进制分析平台、无代码攻击模拟自动化平台等新产品和技术

在数字化转型过程中，针对不同类型的企业，可以采取不同的网络安全建设思路：

对于大中型企业，针对企业远程办公、API开放等供应链安全、互联网暴露面这些问题，可以先行试点零信任、API安全、攻击面风险评估等新技术方案，逐步复制和改造到其他业务场景的方式稳步推进。同时联合有能力的安全厂商进行技术创新，利用低代码平台技术，提升企业安全事件运维效率。 对于中小企业，把企业单点运维集中上云，依靠云上专家系统提供运维服务，通过集约化网络运维服务，解决中小企业建设和运维问题，是未来网络安全建设的方向之一。

总之，应对企业数字化转型，安全没有银弹，需要安全产业围绕企业在数字化转型过程中的各类安全风险，积极拥抱云和新的IT技术，利用云敏捷、弹性的优势，持续技术创新，提供各类满足企业数字化转型诉求的安全产品和服务。

免责声明：文章内容和观点仅代表作者本人观点，供读者思想碰撞与技术交流参考，不作为华为公司产品与技术的官方依据。如需了解华为公司产品与技术详情，请访问产品与技术介绍页面或咨询华为公司人员。