| 白皮书 2020中国安全运营中心 调研分析报告 2021年12月 前 言 2020年7月，赛迪顾问第一次开展了《2019中 本次调研通过发放调研问卷、进行电话访谈等多 国安全运营中心调研分析报告》的调研工作，一共 种方式，针对中国企事业单位的网络安全负责人， 收集到涵盖政府、金融、电信等各行各业的300多 开展包括基础IT系统建设、安全运营中心建设现状、 份有效问卷，通过对问卷的分析，我们了解到中国 安全运用过程中所遇到的问题和挑战、对安全运营 安全运营中心建设处于起步阶段，核心驱动力依然 中心的未来预期等内容的调研工作，具体调研设计 以满足合规性要求为主，但是大部分企业也认识到 如下： 安全运营中心是未来企业安全建设的重点之一，期 望进一步提升自身安全运营中心的成熟度。 调研目标： • 客观地展示中国安全运营中心发展的现状； 从2020年初至今，新冠肺炎疫情肆虐全球，对全 • 客观地展现中国安全运营中心遇到的阻碍和困难； 球的经济发展、人们的生活和工作方式都产生了重 • 为用户建立适合企业自身条件的安全运营中心提 大影响，远程办公和远程服务成为政治和社会的新 供实践指导和建议 趋势和新焦点。在此背景下，中国网络安全运营中 调研内容： 心的工作重心发生了哪些变化？中国安全运营中心 • 调研对象的基础资料； 的实践是否有了新的进展？用户对安全运营中心的 • 调研对象的安全运营中心建设现状； 期望是否有新的想法？ • 困扰调研对象的问题和挑战； • 对安全运营中心的未来预期 因此，赛迪顾问再次启动了《2020中国安全运营 调研对象： 中心调研分析报告》的调研工作，本次调研的主题 • 负责所在单位的网络安全规划和预算申报； 是：安全运营中心建设的新趋势。期望借此次调研 • 负责所在单位的安全团队管理； 了解2020年中国网络安全运营中心建设的新动向， • 负责所在单位的日常安全运营管理； 并且为企业建立适合自身条件的安全运营中心提供 • 负责所在单位的网络安全建设项目 进一步的实践指导。 调研方式： • 问卷调研；电话访谈；桌面调研 本次调研共收集到400份有效问卷，样本量涵盖 从本次调研结果来看，中国安全运营中心所处的 到政府、金融、电信、互联网、医疗、教育科研、 阶段跟2019年的调研结果相比，处于二三级阶段的 制造等各行各业，与2019年的样本情况相比， 明显增多，安全运营团队也逐步完善，可以看出国 2019年参与调研的单位以大规模的企业居多， 内企业对安全运营的重视度有所提升。有部分企业 2020年参与调研的单位以事业单位及民营企业较多， 尤其是小规模企业已经开始接受安全外包团队，并 与2019年侧重点不同，也形成了一定的对比，给予 且选择了远程安全运营服务及云托管服务。从工作 报告充分的数据分析基础。 内容上来看，常态化安全监控与分析工作、资产梳 理与常态化管理工作、漏洞与配置安全管理工作等 根据2020年的调研结果，赛迪顾问形成了 常态化的运营服务是未来的重点发展方向。我们可 《2020中国安全运营中心调研分析报告》， 本报告 以看出，安全运营中心不仅仅要做好前期的建设， 主要由六个部分组成，第一部分为安全运营中心的 持续常态化的安全运营服务更是重中之重，在任何 概念界定与成熟度模型的更新；第二部分为安全运 时候都不可以掉以轻心，以为建设就能一劳永逸。 营中心调研对象单位及系统的基础情况，第三部分 为中国安全运营中心的建设现状呈现以及总结；第 面对全球网络攻击组织化、产业化的严峻态势， 四部分是中国安全运营中心调研的建设预期呈现以 我们需要安全运营中心作为企事业单位整体运营的 及总结；第五部分为典型案例分析，主要选取了中 IT运行保障，促使企业从“合规”到“效果”的需 国安全运营中心建设中的几个案例进行重点分析， 求升级，配备持续化、常态化的运营服务，逐步构 为企业安全运营中心建设提供一些指导。最后一部 建完善的网络安全体系，真正做到保障企事业单位 分是安全运营中心的几点思考，主要是对比两年的 的业务安全、高效的运行。 调研结果，针对中国安全运营中心的形势，提出一 些安全运营中心建设方面的思考。 目录 安全运营中心的定义 04 l 1.1 概念界定 05 l 1.2 成熟度模型 06 调研基础情况分析 08 l 2.1 调研单位基本情况 09 l 2.2 调研单位IT系统及设备情况 11 中国安全运营中心建设现状分析 12 l 3.1 建设现状调研分析 13 l 3.2 困难与挑战调研分析 27 l 3.3 建设现状总结 30 中国安全运营中心建设预期分析 32 l 4.1 未来预期调研分析 33 l 4.2 未来预期总结 39 重点案例分析 40 l 5.1 中国华电集团有限公司 41 l 5.2 北京大学第一医院 42 l 5.3 广汽乘用车有限公司 43 l 5.4 中国第一汽车集团有限公司 44 中国安全运营中心建设的几点思考 45 01 安全运营中心的定义 l 概念界定 l 成熟度模型 2020中国安全运营中心调研分析报告| 第一章 安全运营中心的定义 1.1 概念界定 在企业初期，安全工作的主要内容通常是购买安全设备或者部署开源安全软件，安全岗位的职责也就是仅 限于部署安全系统以及确保其稳定运行。但后来通常会发现安全状况并没有得到有效改善，其根本原因就是没 有深耕细作及深入运营，因此，近些年来，安全运营中心的概念就应运而生，网络安全需要专业化运营。 安全运营中心由一个全天候轮班执行运营工作的团队以及一套专注于帮助运营团队执行预测、防御、检测、 评估并对威胁或事件进行响应的工具和运营管理流程组成。 同时，安全运营中心应该包含但不仅限于以下能力： 图1-1：安全运营中心能力图谱 安 全 事 件 响 应 安 安全运营 中心 全 合 规 管 理 安全培训 威 胁 狩 威胁情报 管理 威胁和脆弱性 管理 管 理 安 及 全 维 设 护 备 安全监控/检 测/告警 猎 数据来源：赛迪顾问，2021.09 从安全运营中心的运营成本及安全能力考虑，现阶段市场中也衍生出了托管安全服务的新方式。 托管安全服务通常是由安全服务提供商通过安全运营中心为客户提供全天候远程管理或代为监控的IT 安全服务。服务范围包括部署在本地、外部数据中心和云上的托管安全服务。服务模式通常包括驻场服务、 远程服务、SaaS类服务等。 5 2020中国安全运营中心调研分析报告| 第一章 安全运营中心的定义 1.2 安全运营中心成熟度模型 随着网络安全市场技术创新的不断加速，新的威胁、技术和方法不断涌现，仅仅利用网络安全设备不能满 足网络安全建设的需求，提供网络安全的专业运营服务就迫在眉睫。但是，在网络安全运营中心的建设还处于 初级阶段，网络安全的运营中心的建设也缺乏评判依据，需要建立成熟度模型来判断其发展程度。 因此，在前期研究及调研基础上赛迪顾问提出了网络安全运营中心的成熟度模型。我们认为，一个网络安 全运营中心的成熟度应当有五个阶段： D1 – 初始状态：仅仅布局基础安全设备 D2 – 基础运行：满足安全合规化建设与维护 D3 – 运行可控：以安全能力与标准化流程构建为主 D4 – 体系运营：实现安全运营体系化建设及安全价值的输出 D5 – 深度运营：具备完善的安全运营能力及技术与管理探索 网络安全运营中心的成熟度模型的每一个维度、因素和方面都沿着成熟度的 5 个阶段进行构建，用来帮助 企业确定自己目前的安全运营中心的能力水平。网络安全运营中心的成熟度模型能够帮助企业快速找到安全运 营中的短板并制定有针对性的策略，加速将安全运营融入企业文化中，提升企业“安全竞争力”。 图1-2：安全运营中心成熟度模型 具备完善的安全运营能力及技术与管理探索为主题 5. 深度运营 以安全运营体系化建设及安全价值输出为主题 以安全能力与标准化流程构建为主题 以安全合规化建设与维护为主题 以基础安全设备为主题 4. 体系运营 3. 运行可控 2. 基础运行 1. 初始状态 能 力 投 入 成长周期 数据来源：赛迪顾问，2021.09 6 6 2020中国安全运营中心调研分析报告| 第一章 安全运营中心的定义 从安全运营中心的建设上来说，一般是技术先行，管理再跟上，进而扩展到IT及业务的风险管理体系，即 由安全技术体系、安全管理体系、安全运营体系组成。其中，技术体系、管理体系及运营体系虽然存在着一定 的关系，但绝对不是技术体系全部建设完成，才开始进行安全管理体系及安全运营体系的建设，三个体系是从 安全运营中心建设之初就同时存在并且有机协调运行的。当然，安全运营体系的建设也是循序渐进、按需建设 的，安全运营中心的成熟度也是一步步进行建设的，并不是一蹴而就到达深度运营的层次的。 每个阶段的安全运营中心都应该具备自身的目标，有能有的放矢。因此，我们设计了安全运营中心每阶段成 熟度的目标体系，具体设定如下： 表1-1：安全运营中心成熟度目标 级别 状态 运营成熟度目标 • 处在基础设施建设阶段，安全建设以预防为主，具有防火墙、 一级 初始状态 图1-1：安全运营中心能力图谱 防病毒系统运维能力，资产不清晰、缺少漏洞管理机制，对 整体安全威胁不可见，没有事件响应处置流程。 • 安全建设以合规为主，具备安全监控人员，有资产管理动作 二级 基础运行 及漏洞管理认知，对安全威胁有一定可见性，但不具备与威 胁事件深入分析的能力，没有建立成熟的事件响应流程。 • 安全运营团队各岗位职责明确，资产管理及漏洞管理已形成 三级 运行可控 常态化流程与机制，具备威胁监测、分析及时间处置能力， 对整体安全威胁态势可见，有成熟的时间响应流程，具备初 步的量化管理。 • 具有安全事件响应中心或安全运营中心等安全运营常态组织， 运营团队各岗位之间紧密配合，资产、漏洞等基础工作扎实 四级 体系运营 有效，能够高效地开展监测、响应、处置、调查取证分析工 作，能够积极主动挖掘威胁情报，能够应对高级别的安全攻 击（APT等），具有完善人员培养和量化考核机制，安全运 营流程完善，部门间协同效率高。 • 除可自主成熟开展各项安全运营工作外，具备网络取证分析 和威胁情报收集能力，能够发现位置威胁，能够使用自动化 五级 深度运营 工具或手段开展安全监测、事件响应处置工作，能够7x24 小时应对高级安全威