“不打无准备的仗，不考有准备的试”——实战攻防主题分享

2016年，公安部会同民航局、国家电网组织开展了“护网2016”网络安全攻防演习活动。演习活动至今，带来许多益处，比如安全预算、安全意识、安全产品、安全服务等方面的提升，但在这样的趋势下，也要警惕行业自high，以及一些“流于形式，乱象丛生”的情况出现。

分析造成这些状况的原因，具体表现为三点：首先是实力差距与建设差距，比如在关基行业中，安全作为刚需，在国家的带动下，会大量投钱进行安全建设，而中小企业更多是被动参加护网；其次是演练性质与考核机制不同，对部分中小企业来说，即使护网考核不过关也不会影响其发展，因此会出现躺平的情况；最后一点是认知、观念和综合生态上的区别。

安全人员需要明白的是，安全演练既是对网络安全部门的一次考核，也是一次发现自身安全建设短板的机会。而除了一战定胜负，绝大多数考试成绩只代表当下，不代表永远。同时，企业的安全防护是全年全天候开展的，与是否有外部组织演练无关，若企业的安全能力足够强，应该随时随地都能检测出风险和威胁。

傅奎指出，安全人员需要始终做好准备，随时迎接挑战，因为安全能力应该允许被随时验证。而企业应该回归攻防演练的本质。

演练需要回归企业安全的本质。对企业方而言，安全最终要服务于组织的业务，体现为“演一百遍，不如打一遍”；而对主管单位来说，要注重法规建立和落实，体现为“打一百遍，不如罚一件”。

傅奎表示，从其自身经验来看，许多企业的安全防护都会出现这三点问题：

安全人员需要树立正确的安全运营观。同时，“踏实做事，少走捷径”是非常重要的忠告。

首先要开展持续自适应风险与信任评估，其具备七个原则；其次是要构建集成自适应网络防护框架，在网络防御中借助通用自动化和交互式操作的方式，最终超越网络攻击的速度和规模；第三是“量化风险计算，连续安全度量”；最后是用数字化和指标化开展安全运营。

安全运营平台构建思路，其核心在于先有人，然后用好产品、做好策略、流程驱动，让整个运营体系运作起来，同时依据指标衡量，让体系精益求精、持续运转。

在会议的最后阶段，傅奎对攻防演练进行了全新的思考，并提出了一系列重要观点。首先，他强调推动常态化安全防护与验证的重要性，应减少运动式安全演练。其次，他提出了加速人才培养和人才储备的建议，鼓励培养更多高水平的CISO，并促进跨学科人才交流，以加强组织内部安全专业人才的培养和储备。此外，傅奎强调了注重体系化问题思考和解决能力的必要性。他还提出了鼓励和引导技术创新的建议，并强调了法规建设和应用的落实，尽管困难重重，但我们必须坚持下去。

此次研讨会参会人员：CDB、中国出口信用保险公司、阿里、云盾智慧、贝壳找房、中银金融商务有限公司、中国石油昆仑数智、中国铁道科学研究院、研究所、新奥、北京智者四海科技有限公司、建信金科、鲁班电商、联通数字科技有限公司、去哪儿旅行、新能源车企（理想汽车）、中核能源科技有限公司、北银金融科技有限责任公司、航天云网、国网信产-思极网安等企业的安全专家共同参与。