CSS峰會圓桌論道丨共享產業數字化升級中的安全探索

近年來，隨著我國開始在雲端計算、人工智慧、區塊鏈等新一代資訊科技上進行佈局，各行各業紛紛開啟了數字化轉型升級的步伐。然而資訊科技發展在推動產業數字化轉型升級的同時，也衍生出新的安全問題。如何抓住數字化轉型升級所帶來的發展機遇，有效應對數字化升級過程中的安全問題，保障企業安全、高效的發展？

9月11日，在騰訊全球數字生態大會CSS網際網路安全領袖峰會-產業專場中，由騰訊安全副總裁黎巍，煙臺張裕葡萄釀酒股份有限公司總經理孫健，天融信戰略合作中心總經理劉斯宇，小紅書安全業務負責人周達，騰訊企業IT部安全運營中心總監蔡晨，在圓桌討論環節分享了各自在數字時代中的安全實踐，看雪學院創始人段鋼主持了本次圓桌對話。

以下為對話實錄節選：

段鋼：現在到了我們的圓桌環節，我是主持人段鋼，來自看雪學院。今天我們探討的是《產業數字化升級過程中的安全建設》。從前面嘉賓的主題演講中，不難看出，在數字經濟時代，安全是推動產業發展的重要基礎，但同時也將面臨更多的挑戰。新基建催生的新業態、新場景、新需求、新模式，需要全新的產業安全生態加以應對。
在座的嘉賓剛好代表了數字化轉型不同階段的企業。加速擁抱數字化轉型的酒類企業、誕生在網際網路上的內容社群、以及騰訊這種超大規模的數字化服務提供商，大家對安全的挑戰和應對之法應該都有自己的親身實踐。首先問一下孫總，張裕在數字化轉型過程中，如何看待安全的價值，以及有哪些得益於安全建設的成功案例？

孫健：以前我們說數字化轉型，用的詞叫錦上添花，就是你轉也行，不轉也可以，現在不行了，現在是生死存亡，如果企業不轉型或者是轉得不到數，可能就是死路一條。我們葡萄酒行業的安全痛點主要體現在流通領域。酒類產品的流通性非常強，如果其中有一些不法分子利用流通環節監管的缺失或是消費者資訊的不對稱，來製造假冒偽劣商品來以次充好。張裕在溯源和防偽的安全性上，經歷了三個階段：

第一個階段，是那種很笨的辦法，我們每個工廠下線的產品，在產品上打上哪個省的標識，然後發到全國的29個倉庫再打上經銷商的標識，重新上線就重新打。這個做法是沒有資料做基層支撐的。

兩年前，我們已經實施了第二個階段，引入了“一物一碼”技術，讓葡萄酒從原廠到消費者手上的過程都是有痕跡記錄的。按道理應該說，這個做法本身已經足夠安全了，但實際上卻是“道高一尺，魔高一丈”——葡萄酒的二維碼被破壞之後，那你就讀取不出來整個的資訊流轉了。

第三個階段，我們現在和騰訊合作，把區塊鏈技術應用於溯源和防偽。第一步我們想把400萬瓶的我們國內7個酒莊的酒，零售價300多元錢以上的這樣的產品來首先匯入用區塊鏈技術；第二步，進一步延伸到我們全球旗下大概有14座酒莊，20間工廠，1.8億瓶的產品全部來部署上這個區塊鏈。區塊鏈技術對比之前我們的“一物一碼”技術，最大的好處就是去中心化，這種多方記賬完全透明可追溯。有了區塊鏈技術之後，相信我們就徹底解決了防偽和溯源的問題，而這個問題它實際解決的是消費者對你的品牌的信心的問題，這個痛點解決了，可能會對我們的品牌帶來極大的提升。

段鋼： 感謝孫總的分享,酒類行業和區塊鏈整合確實讓人眼前一亮，可以看到張裕在數字化及安全方面的部局 。 作為依託網際網路的企業，小紅書的安全痛點和張裕應該截然不同。請周總為我們分享下內容社群眼中的安全挑戰和成功案例。

周達：小紅書作為一家網際網路企業，安全和業務結合的會更加地緊密，小紅書一直致力於，打造一個真實美好多元向上的社群環境，來創造我們的使用者價值。在這個方向上，安全方面，我們會有兩個主要大的著力點:

第一、就是我們業界所常說的內容安全，本質上是對於我們使用者在平臺上釋出的影片、圖片、文字等內容進行稽核，保證其能夠符合平臺的價值觀以及國家的相關規定；第二是比較大的挑戰，我們稱之為生態安全，生態安全本質上是用於構建我們的釋出者、消費者、平臺三方的平衡。我們要的不單是和平，我們要的是有尊嚴的和平。它是一個重點在可持續。

在這兩方面呢，我們其實遇到了非常非常大的挑戰。以內容安全為例，對於內容安全的規則、策略，其實非常地難以制定，如果我們制定得非常嚴，可能會對我們的消費者以及內容生產者產生比較大的打擊，如果我們制定得非常松，就會導致大量的漏放，最終會觸犯到國家的一些相關規定以及我們平臺的價值觀。如何在中間做一個平衡，就是我們平臺需要承擔的責任和壓力。而在生態安全領域，我們主要的競爭對手是那些企圖破壞整個社群生態平衡的那些黑灰產，以及在這些黑灰產背後的商業利益。

在解決這個問題上，我們和騰訊進行了一些深入的合作。以內容安全為例，我們引入了騰訊的AI相關的技術，來幫助我們去做內容的識別，由此稽核的人力可以大幅地下降，機器代替了人。另一方面呢，我們稽核的時效可以大大地縮短，因為機器對一篇文章，或者對一張圖片的處理速度遠高於人。在生態安全的方向上，我們會和騰訊去做一些在使用者畫像上的合作，將一些黑灰產的使用者，在進入平臺之前，就標識出來，那麼就避免了他們對企業內部，或者說對社群平臺內部資料的一些干擾，以此保障我們社群的資料安全。

段鋼： 剛才孫總和周總是從企業的角度來看待數字化轉型過程中面臨的安全問題和解決方案。對於騰訊來說又是怎麼看待這個問題的？請黎總談一談。

黎巍：當企業發展得越好，這個時候被這種黑灰產盯上的機率也是最大的。所以企業在數字化轉型早期，面臨的痛點可能還不是傳統意義上的安全攻擊、漏洞攻擊之類的，而是它的業務安全挑戰，騰訊在這方面感觸尤深，也積累了很多經驗和能力。最近幾年我們看到企業在積極上雲和數字化轉型，騰訊也希望透過自身的積累去提供助力。

騰訊過往的積累下，從反欺詐到內容風控再到營銷風控等等這幾條線，我們逐漸從能力中提煉出了一些產品和解決方案，然後服務到各行各業。騰訊過去這二十多年走過的彎路、踩過的一些坑，幫大家爭取能先去踩完，大家能夠少走一些彎路，透過我們的一些能力和資源，能夠去惠及到大家，讓大家在數字轉型的過程中，更多關注的是高效經營和運營，其它的安全問題都可以交給騰訊。

段鋼： 再來問下蔡總，年初的疫情將線上辦公推上風口，騰訊會議和企業微信在疫情間幫助很多企業度過了遠端辦公難關，能撐得起這麼多流量，非常難得，安全需求也成幾何倍增長，騰訊又是如何應對其中的安全風險？

蔡晨：今年的疫情讓很多的企業和員工迅速進入到遠端工作的狀態，企業的IT部門和安全部門可以說是措手不及。傳統的這種企業VPN在面對突發性事情的時候，它本身的擴容性是比較慢的，同時在支援海外網路訪問或者中小運營商的這些場景下，它其實是有著訪問速度、穩定性較差的痛點，除此之外大規模的員工的遠端辦公的話，會把企業傳統的防護的安全邊界給打破，很容易造成駭客的入侵和企業敏感資訊洩露。

其實騰訊在2015年開始就已經在著手內部研發設計並且部署了一套基於零信任無邊界的一套訪問控制系統，代號iOA。這套系統打破了傳統基於區域的這種安全授信的管控方式，提供了一個全新的基於可信的員工身份、可信的員工裝置狀態、可信的員工軟體應用，根據這個三要素，進行訪問資源的安全授權。透過這套系統的話，騰訊的員工是無論身處何地、何時、用何樣的裝置都能夠安全穩定高效地訪問到企業的內部資源。藉助這iOA，在整個疫情期間，騰訊的IT部門只用了兩天的時間，就完善地搭建了8個業務大的訪問通道，給7萬多員工提供了和在職場一模一樣的這種工作環境。

段鋼：  剛才張裕、小紅書、騰訊分別分享了他們的安全實踐，接下來請劉總幫我們從安全廠商的角度總結下。

劉斯宇：天融信作為一個專業的安全廠商，今年剛好是天融信成立了25年，在這25年期間，我們一直致力於一件事情，就是為客戶的網路安全護航。現在安全的變化很大，在深度和廣度方面都有很大的變化。

首先從廣度上來看，以前安全覆蓋的範圍沒有這麼大。從《網路安全法》頒佈之後，國家把網路安全上升到了國家安全的高度之後，開始把安全重視到了前所未有的高度，有了《網路安全法》，有了《網路安全等級保護條例》，我們可以看到安全的內容從範圍、工作內容、業務範圍都發生了很大的變化，以前看似和安全沒有關係的業務內容，都開始與安全相互關係，說明現在安全已經開始涉及到了各個行業的各個形態。

在這個過程中，又提出了一些具體的深度方面的要求。從剛才幾位嘉賓的分享可以看出，對於安全的要求開始結合到了實際業務本質上的需求，這已經不是法律法規所簡單要求的一個覆蓋性的範圍，而變成由於企業自身安全所轉化出來的需求，這個就推動了我們現在安全從被動轉成為主動了。

段鋼： 剛才聽了幾位嘉賓的實踐分享，都是大家不同場景的安全需求和具體實踐。劉總也幫我們做了一個總結，單一的安全產品很難解決數字化時代的安全需求。下面我們擴充一下視角，從行業的角度來觀察，未來我們面對安全挑戰應該怎麼做。 首先還是看看孫總的想法 

孫健：站在行業來看，像張裕作為排在前面的企業，我們更應該做的是，怎麼能夠帶動這個行業一起把蛋糕做大，因為葡萄酒本身自帶健康屬性國際最流行的飲品，中國消費者隨著生活水平的提高，葡萄酒產業大有前景。我們未來的做法還是想在區塊鏈這個技術上再做擴充套件。

在張裕內部應用區塊鏈技術之外，我們還有和騰訊有個想法，一起我們來做更大的事情，包括我們讓各個產區的監管部門參與進來，把他們的資訊上鍊，這樣就更多方的認證，我們甚至把國外的廠家也引入進來，因為區塊鏈的好處就是越多的人來玩這個平臺越大，我們實際上是要構建一個區塊鏈的聯盟平臺。

在區塊鏈技術的應用上，我們和騰訊的合作是中國葡萄酒行業的第一家，可能在國際上，也沒有別的葡萄酒廠家在應用。我們和騰訊領御團隊達成的共識是，我們不僅僅是要做第一家，我們是希望把它做成一個行業的聯盟，做成一個全球的典範。

段鋼： 謝謝孫總，希望傳統企業和網際網路企業的融合能成為一種常態，雙方共建新生態。

內容社群的建設是持續並且長遠的，周總這邊的業務與安全緊密關聯，也請周總分享下，面對新的環境，如何應對安全上的新挑戰。

周達：隨著業務的數字化，安全的內涵和外延也在確實不斷地擴充套件。舉個最簡單的例子，以我們內容社群為例，如果我們把內容社群比作市場經濟，那麼它的供需關係是什麼呢？就是由我們的內容釋出者釋出他們的內容，內容消費者去消費那些內容，在這個過程當中，平臺起到的作用在市場經濟中我們稱之為invisible hands，我們做到一個市場調節的作用，去把需要的內容推給需要的使用者，把需要的使用者的反饋反饋給需要的作者。

但是市面上的刷量、炒作、虛假種草等黑灰產非常多，這是我認為一個比較大的挑戰。在這樣的挑戰下，我們其實非常希望與騰訊這樣的大型企業去進行合作，因為整個黑產的生態是一個非常大的產業鏈，很難依靠單家公司或者單家企業去防禦，所以我們更多的是希望像騰訊這樣的平臺來牽頭組建一個聯防聯控的體系或者聯盟，把我們的防禦陣地往前推，在任何一個點我們只要識別出這撥人是黑產，就可以在整個聯盟體系內進行全盤的打擊。

還有一點就是我們安全的領域要主動出擊，要從以往被動的、耐受式的這種安全防護，要轉向成反應式的安全防護，也就是說我們能夠和像騰訊這樣的企業去聯合，然後把整個的證據鏈進行打通，能夠更快地主動出擊，去找到這些黑產，並且透過法律的手段，去解決這些存在的違法獲利的行為，我相信這對於整個行業會是比較大的提升。

段鋼： 面對新基建這個重大的課題，產業在數字化升級過程中未來將不可避免的面臨更多的挑戰，劉總從安全行業的角度跟我們分析一下，安全廠商應該如何應對。

劉斯宇：從安全企業來看，對我們而言是更多的責任。安全廠商經常提“安全前置”，騰訊也在提到一個叫“安全左移”的理念，這兩個概念合到一起，其實在說什麼？我們要先找到這個業務怎麼去定義，定義它為安全和定義它為異常，只有把正常和異常定義清楚了，然後在這個過程中，我們才能有效地去檢測。

安全企業一定要做好自己的定位，在這個定位過程中，我們要清楚一點是，我不是在教這些行業去怎麼做業務，業務是每個行業自己的問題，安全在整個生態過程中是一個基石，它用來保障的是我們業務的穩定執行和可靠，所以在這個過程中，做好定位，才是解決新基建所面臨的新場景、新問題的解決路徑。

段鋼： 騰訊企業IT部一直聚焦騰訊內部網路安全建設，蔡總從企業安全管理的角度看看有哪些建議可以分享給行業？

蔡晨：好的，在企業的內部網路安全建設和IT的基礎架構方面，我認為未來零信任是一個大的一個趨勢，它實行的理念就是從不信任，持續校驗。零信任的全鏈路加密、集中的訪問入口管控和審計、所有終端安全的動態持續的檢測和跟蹤，這都相對於傳統企業內部安全防護有一個很大的提升和進步。

除此之外，我們還聯合CNCERT、中國移動、公安三所等22家的產業機構一起成立了一個零信任的產業標準工作組。工作組還聯合釋出了一個基於零信任的實戰白皮書，可以對很多典型的安全場景給出解決思路和解決方案。我們希望和歡迎產業中的夥伴，能夠關注以及一起加入到這個零信任的工作組去，共同地推進零信任。

段鋼： 我們都知道，在數字經濟和新基建的推動下，企業上雲已經是大勢所趨，深受企業歡迎，幫助企業節約了大量人力和物力，那麼作為騰訊雲安全的負責人，黎總可以談一談應對新的形式，雲上安全建設應該怎麼做？

黎巍：現在不僅是一箇中小企業，甚至一些規模很大的大型企業，都在積極擁抱雲，我們看到現在有幾個趨勢，一個是數字化轉型，它的一個加速，第二個是企業上雲的一個加速；第三個的話，就是企業在數字化轉型過程中，它必然會面對的就是安全的挑戰。

對待安全大家的重視也都上來了，但是真正要讓一個企業去構建一套完整的安全的體系，從它的人才、資源然後各方面的投入，其實是非常龐大的。對國內的很多企業來說，安全其實還是一種奢侈品。所以我們也一直在思考這個問題，怎麼樣去幫助我們的企業，大家能夠更加高效更加便捷，當然也是更加實惠地去享用安全服務。

最近幾年騰訊安全主要在致力於幾個方面：

第一，按照木桶原理的話，雲其實可以幫助大家把最短的那塊板首先填起來。例如等保合規，企業上雲以後，由於雲平臺的安全不需要你再重複去做大量的投入。

第二、上到雲以後企業其實也會擔心雲安不安全。我們這幾年在做的一個很重要的事就是雲自身的合規建設，包括雲自有的一個安全體系的建設，讓我們的企業能夠放心地把它的業務、設施能夠交託給一個雲廠商。

第三、一個企業無論是在私有云也好，公有云也好，進入到這種場景以後，難道我們還是像在過去一樣你需要去買相應的產品你去構建嗎？顯然這並不是面向未來的方向。我們更希望把安全變成一種服務，企業需要的時候能夠很便捷地開通。

我們更希望是最後提供給企業的是一個普惠的安全，把“奢侈品”變成我們最基本的“生活用品”，而不是說大家確實安全很重要，但是落到實處怎麼做的時候，一算賬很多企業覺得安全是承受不起的。

段鋼：我覺得未來一個趨勢，最終安全會走向普惠。從自身行業探討今天的話題，在新基建加速國家數字化轉型的浪潮下，未來將會有更多的企業和行業，進行數字化轉型，其中，網路安全是整個基石，沒有安全，整個數字化轉型將不可能成功，數字化新生態的建設，需要傳統企業還有網際網路企業，以及安全廠商的共同努力，可以預見的是新生態將更加完善。