安全建设与治理思路-李晨.pdf

1、安全建设与治理思路分享者：李晨安世加安世加安世加安世加安世加安世加电子钱包银行卡组织现金支付运营商网银支付广广告告业业务务市场渗透率高商业化能力持续升级流量交付效果强支支付付业业务务茄茄子子科科技技茄子科技（海外SHAREit Group）全球化互联网科技公司，SHAREit累积用户超24亿用户，200+国家，45+语言，主要从事移动互联网软件研发及全球移动广告解决方案、在线支付解决方案等互联网业务。安世加安世加安世加安世加安世加安世加CONTENTS01思 路 与 框 架02方 案 与 治 理03常 态 化 运 营安世加安世加安世加安世加安世加安世加01思路与框架安世加安世加安世加安世加安世

2、加安世加为什么做安全 目标是什么怎么做安全方法是什么做到什么程度如何评价一、思路与框架安世加安世加安世加安世加安世加安世加一、思路与框架为什么做直接损失间接损失信息安全服务中断0元购物PR事件合规处罚数据安全部门定位业务场景成本部门服务部门业务目标业务目标资金转账业务场景安世加安世加安世加安世加安世加安世加一、思路与框架为什么做防直接损失防间接损失信息安全服务中断商品安全PR事件合规处罚数据安全业务场景业务目标业务目标资金安全外部-逻辑漏洞0元购物安全场景外部-篡改数据库0元购物内部-员工后台转账.业务场景安全场景安世加安世加安世加安世加安世加安世加一、思路与框架怎么做业务目标业务场景安全场景

3、安全目标防漏洞（漏洞出不去）重点业务不出漏洞问题，外网应用重点治理，内网应用部分治理保数据（数据盗不走）进行数据加密、权限清理等，监控数据泄露场景防入侵（黑客进不来）可感知、可发现、可阻断加强内网入侵检测能力安全提效（自动化提升）建立安全自动化能力，提升业务与安全联动性01030204安世加安世加安世加安世加安世加安世加一、思路与框架做到什么程度业务目标安全目标支撑指标方案支撑业务体感例：实现0入侵成功事件防漏洞1、漏洞自检率2、漏洞治理率3、.1、XX能力建设2、XX流程搭建3、.1、X类型漏洞清零2、.防入侵1、风险识别率2、风险治理率3、.1、边界收敛2、应急机制3、.1、X场景下，X分

4、钟内发现，X分钟响应2、.例：实现0数据泄露保护数据1、资产盘点2、数据评估覆盖度3、.具备X小时内数据泄露预警能力协作效率提升X%安全提效1、X自动化能力建设2、X问题处置时间缩短X%3、.人员沟通手动协作线上自动化流转业务目标业务场景安全场景安全目标安全指标方案支撑业务体感安世加安世加安世加安世加安世加安世加02方案与治理安世加安世加安世加安世加安世加安世加二、方案与治理电商、金融、物流、游戏、车联网、IOT、工业制造.业业务务属属性性安全能力建设、安全能力覆盖度、安全流程规范.安安全全水水位位IT终端能力、网络管控能力、资产清点能力、Devops.基基建建能能力力IP清单、域名清单、端口

5、清单、主机清单.资资产产清清单单现状评估安世加安世加安世加安世加安世加安世加二、方案与治理安全目标现状评估安世加安世加安世加安世加安世加安世加二、方案与治理安全目标治理方案现状评估安世加安世加安世加安世加安世加安世加二、方案与治理方向目标指标子领域任务子任务todolist里程碑进度负责团队安全团队跟进负责人预期输出物/产出产出结论安全技术防漏洞漏洞检出率业务覆盖率按期修复率网络安全-应用安全-主机安全-防入侵事前-入侵风险识别率事前-入侵风险处置率网络安全-应用安全-主机安全-事中-有效攻击拦截率事中-有效攻击检出率事中-平均检出时间事后-平均响应完成时间网络安全-应用安全-主机安全-数据安

6、全-合规安全-平台能力-安全目标治理方案落地跟进现状评估安世加安世加安世加安世加安世加安世加03常态化运营安世加安世加安世加安世加安世加安世加三、安全运营安全团队平台/工具SOP机制业务团队安 全 指 标安世加安世加安世加安世加安世加安世加三、安全运营DevSecOps相关安全指标：能力覆盖率：单项能力检出率：单项能力误报率：中高风险处置率：漏洞按期修复率漏洞漏出率安世加安世加安世加安世加安世加安世加三、安全运营救火阶段能力不足被动响应存在业务影响风险较大基础安全基础能力 按