|
近年以來(lái)，各行各業(yè)都在使用AI等新技術(shù)提質(zhì)增效，物流行業(yè)也不例外，如何建立完備的安全體系，以保障用戶(hù)信息安全和企業(yè)的長(cháng)遠發(fā)展？本期對談中，CIO時(shí)代聯(lián)合創(chuàng )始人兼COO、新基建創(chuàng )新研究院秘書(shū)長(cháng)劉晶圍繞相關(guān)話(huà)題，邀請到了知名物流科技平臺貨拉拉信息安全部負責人黃宇鴻（以下簡(jiǎn)稱(chēng)黃宇鴻），共話(huà)數據驅動(dòng)的物流體系下，貨拉拉如何構建安全體系。 采訪(fǎng)嘉賓 | 貨拉拉信息安全部負責人 黃宇鴻 訪(fǎng)談主持 | CIO時(shí)代聯(lián)合創(chuàng )始人兼COO新基建創(chuàng )新研究院秘書(shū)長(cháng) 劉 晶 1、劉晶：從您個(gè)人角色來(lái)看，當前物流行業(yè)或貨拉拉在安全方面面臨哪些難點(diǎn)和痛點(diǎn)？ 黃宇鴻：作為一家網(wǎng)絡(luò )貨運平臺，貨拉拉與其他眾多行業(yè)在面臨安全挑戰時(shí)既有共性也有其獨特性。共同點(diǎn)在于我們都是面對黑產(chǎn)，物流業(yè)務(wù)需要采集跟實(shí)際用戶(hù)相關(guān)的一些個(gè)人的信息，所以我們和其他行業(yè)一樣都會(huì )面臨敏感數據的保護的挑戰。 貨拉拉的獨特性在于其業(yè)務(wù)的廣泛覆蓋和高度分散性。公司在全國300多個(gè)城市開(kāi)展業(yè)務(wù)，人員也遍布這些城市，這種地理上的廣泛分布使得線(xiàn)上與線(xiàn)下的運營(yíng)場(chǎng)景變得異常復雜。 此外，貨拉拉還面臨著(zhù)一些特定的安全挑戰，比如在處理司機與用戶(hù)之間的糾紛時(shí)，客服人員可能需要調取訂單相關(guān)數據來(lái)進(jìn)行責任判定。這一過(guò)程涉及到一些敏感數據的使用，要求企業(yè)做好數據安全的保護。 針對這種數據調用，貨拉拉建設了非常嚴格的安全屋機制，安全屋是個(gè)物理隔離的區域，客服人員在處理涉及隱私的數據之前，必須遵守嚴格的規定，如不得攜帶手機入場(chǎng)，有嚴格身份認證、權限管理、工作過(guò)程中也會(huì )做審計和監控，以確保數據處理過(guò)程的安全與私密，并且所有這些數據調用相關(guān)的活動(dòng)只能在安全屋進(jìn)行，從而最大限度地減少數據泄露的風(fēng)險。 總體上，貨拉拉對特定的業(yè)務(wù)和相關(guān)的產(chǎn)品做了很多特定的措施去做保障。 2、劉晶：能否描述一下您加入團隊時(shí)面臨的挑戰，您做了哪些工作？ 黃宇鴻：最近這些年，貨拉拉不僅在業(yè)務(wù)上持續創(chuàng )新，更在信息安全領(lǐng)域加大了投入，以應對日益復雜的安全挑戰。從早期的等保合規要求，到后來(lái)的數據安全和個(gè)人信息保護法規的出臺，信息安全領(lǐng)域已經(jīng)形成了相對完善的法律法規體系。這一變化使得貨拉拉在應對信息安全挑戰時(shí)，有了更為明確的法律依據和更高的標準。 數據安全、個(gè)人信息保護這塊，不管是從技術(shù)上還是產(chǎn)業(yè)成熟度上面，相較于網(wǎng)絡(luò )安全板塊，挑戰會(huì )更大一些。此外，由于數據安全與業(yè)務(wù)是強耦合的，其處理過(guò)程需要業(yè)務(wù)部門(mén)的緊密配合，這無(wú)疑增加了工作的復雜性和難度。 為了有效應對這些挑戰，加入貨拉拉以后，我從組織和管理制度入手，推動(dòng)升級了公司層面的信息安全委員會(huì )，信息安全工作提升到了公司層面統一管理，同時(shí)還制定了一系列安全制度和運行流程，并設立了信息安全的BP（業(yè)務(wù)伙伴）機制。通過(guò)派遣安全BP深入業(yè)務(wù)部門(mén)，有助于更準確地了解業(yè)務(wù)部門(mén)的信息安全需求和問(wèn)題，保障問(wèn)題解決和推動(dòng)安全要求真正在業(yè)務(wù)上落地。 除了制度和機制建設外，貨拉拉還注重技術(shù)創(chuàng )新和應用。近年來(lái)，公司緊跟行業(yè)前沿技術(shù)，引入了零信任、攻防云、切面安全等先進(jìn)的安全理念和最佳實(shí)踐，進(jìn)一步完善了信息安全體系。這些技術(shù)的應用不僅提高了系統的安全性，也為貨拉拉在信息安全領(lǐng)域積累了較好實(shí)踐。 3、劉晶：貨拉拉在信息安全建設及應用方面的典型場(chǎng)景可否重點(diǎn)分享一下？ 黃宇鴻：最近兩年我們安全這邊重點(diǎn)做了一些和指標量化相關(guān)的事情，可以分享一下。在信息安全方面，我們始終秉持一個(gè)基本原則：通過(guò)數據驅動(dòng)安全建設。信息安全領(lǐng)域具有明顯的短板效應，企業(yè)的整體安全水平往往并非由最強項決定，而是受制于最薄弱環(huán)節。并且信息安全相對復雜，和企業(yè)生產(chǎn)經(jīng)營(yíng)各方面都相關(guān)，為了精準評估企業(yè)安全水位，就需要有指標體系來(lái)反應安全水平，貨拉拉設立了五大基本安全指標： ①、覆蓋率：覆蓋率是衡量安全能力在企業(yè)各場(chǎng)景中覆蓋水平的重要指標。通過(guò)持續監測覆蓋率的變化，能夠及時(shí)發(fā)現安全能力的薄弱環(huán)節，并采取有效措施予以加強，從而提升企業(yè)整體的安全防護水平。 ②、準確率準確率是評估安全檢測能力的重要指標，反映了安全系統在檢測到攻擊時(shí)的準確性。 ③、召回率召回率也是評估安全檢測能力的重要指標，衡量了系統能夠發(fā)現所有潛在攻擊的能力。 ④、MTTD：平均檢測時(shí)長(cháng)MTTD（平均檢測時(shí)長(cháng)）是衡量安全技術(shù)效率和安全運營(yíng)效率的關(guān)鍵指標。MTTD反映了從攻擊發(fā)生到被檢測出來(lái)的時(shí)間間隔。 ⑤、MTTR：平均響應時(shí)長(cháng)和MTTR（平均響應時(shí)長(cháng)）同樣是衡量安全運營(yíng)效率的關(guān)鍵指標。MTTR衡量了從檢測到攻擊到采取有效應對措施的時(shí)間。 通過(guò)建立五個(gè)指標，安全檢測防御相關(guān)的安全水平就能大致衡量出來(lái)能力和響應水平。并且我們推動(dòng)了整個(gè)安全運營(yíng)實(shí)現線(xiàn)上化，這樣指標數據就能通過(guò)工具自動(dòng)統計出來(lái)。另外我們也通過(guò)攻防演練檢驗我們的指標。我們建立了一個(gè)安全的攻防云環(huán)境，將內部安全檢測能力做了虛擬化，然后做攻擊測試，借助一些腳本和BAS產(chǎn)品（入侵和攻擊模擬），實(shí)現周期性的攻擊測試以驗證各種檢測能力，通過(guò)這種方式，能比較有效得到各個(gè)安全檢測防御能力的召回率指標，提高召回率的準確性。 4、劉晶：我們了解到貨拉拉此前已與騰訊安全展開(kāi)相關(guān)合作，可否介紹具體合作在哪些方面？ 黃宇鴻：騰訊安全作為業(yè)界領(lǐng)先的網(wǎng)絡(luò )安全解決方案提供商，擁有深厚的技術(shù)積累和創(chuàng )新理念，為我們提供了強有力的支持。此前，已引入多款優(yōu)秀的騰訊安全產(chǎn)品與服務(wù)，以強化我們的安全防護體系。 個(gè)人認為騰訊安全的一大顯著(zhù)優(yōu)勢，在于其在移動(dòng)端與終端領(lǐng)域的廣泛裝機量。龐大的用戶(hù)基礎為騰訊在安全威脅情報分析方面提供了得天獨厚的條件。騰訊能接觸到更多的攻擊樣本，通過(guò)長(cháng)期的數據積累與分析，騰訊安全有能力構建了一個(gè)全面且精準的威脅情報庫。我們也有和騰訊的安全情報庫合作，通過(guò)合作還是比較顯著(zhù)提升安全檢測效率與準確性，甚至在威脅爆發(fā)前就能做出預警，有效降低了潛在的安全風(fēng)險。 在代碼安全方面，我們同樣與騰訊安全也有合作。通過(guò)合作和借鑒騰訊的安全經(jīng)驗，來(lái)不斷優(yōu)化我們自身的代碼審查與安全管理流程，力求從源頭上消除安全隱患，提升軟件安全質(zhì)量。 5、劉晶：現在大家都在談“新質(zhì)生產(chǎn)力”，將新技術(shù)應用到生產(chǎn)流通環(huán)節提質(zhì)增效，可否分享一些貨拉拉在這方面的相關(guān)工作？ 黃宇鴻：貨拉拉作為一家深耕于物流領(lǐng)域的互聯(lián)網(wǎng)平臺，在數字化、網(wǎng)絡(luò )化方面具有先天優(yōu)勢。近年來(lái)，隨著(zhù)人工智能（AI）技術(shù)的迅猛發(fā)展，新質(zhì)生產(chǎn)力已成為推動(dòng)社會(huì )進(jìn)步的重要力量。在此背景下，貨拉拉緊跟時(shí)代步伐，從公司戰略層面高度重視AI技術(shù)的跟蹤與應用創(chuàng )新，不僅在業(yè)務(wù)層面積極探索AI的無(wú)限可能，同時(shí)在信息安全領(lǐng)域也積極跟進(jìn)，以AI為引擎，驅動(dòng)信息安全防護的全面升級。 AI的應用首先在信息安全運營(yíng)方面，貨拉拉已經(jīng)建設了眾多信息安全檢測能力，每日產(chǎn)生的告警數量高達數萬(wàn)條。面對如此龐大的告警量，傳統的方式是通過(guò)規則進(jìn)行告警壓制，但壓制以后還是有不少告警。為此，我們嘗試用AI技術(shù)對告警做處理，通過(guò)AI對告警進(jìn)行預處理和篩選，目前看效果還比較好。經(jīng)過(guò)初步的技術(shù)優(yōu)化，通過(guò)AI壓制后告警量在召回率沒(méi)下降的情況下比原來(lái)減少了三分之二，這對安全運營(yíng)效率有明顯的提升。 同時(shí)我們AI能力，包括大模型也在多個(gè)方向做些嘗試，在一些攻擊檢測、漏洞檢測，還有數據分類(lèi)分級，以及面向內部員工的一些服務(wù)，我們都在嘗試通過(guò)大模型去提升體驗跟效率。 6、劉晶：今年的騰訊數字生態(tài)大會(huì )上提出了“看得見(jiàn)的安全”理念，您如何理解這一理念？ 黃宇鴻：安全怎么被看見(jiàn)是個(gè)老生常談的問(wèn)題，安全最好的狀態(tài)其實(shí)就是不出問(wèn)題、默默無(wú)聞地在后面做支撐，這也是為什么會(huì )有“看得見(jiàn)”這個(gè)議題。 “看得見(jiàn)的安全”可以分別從幾個(gè)層面來(lái)解讀： 首先，“看得見(jiàn)”指安全能力。比如此前提到的安全的指標化，如果這些安全的威脅沒(méi)有被看見(jiàn)，則沒(méi)法做保護，從保護的角度來(lái)說(shuō)，我們必須先“看到”這些威脅和不足。 其次，“看得見(jiàn)”安全價(jià)值。對企業(yè)而言，安全是增強企業(yè)成功的確定性，如果安全出了問(wèn)題，無(wú)論是合規出問(wèn)題，或被攻擊導致業(yè)務(wù)中斷，其后果可大可小，或為業(yè)務(wù)帶來(lái)極大損失。因此，安全需要降低此類(lèi)事件發(fā)生的概率，這是安全在企業(yè)內部體現的主要價(jià)值。 最后，企業(yè)在安全方面的持續投入也希望能被外部“看見(jiàn)”，使得企業(yè)能贏(yíng)得用戶(hù)和監管的認可和信任。有很多安全工作會(huì )最終通過(guò)認證和測評的方式來(lái)獲得各種證書(shū)和資質(zhì)。這些是企業(yè)在安全能力方面的體現，有利于增強用戶(hù)對企業(yè)數據保護方面的信任。還有一些新業(yè)態(tài)落地過(guò)程中，監管機構需要與頭部企業(yè)共同探討如何落實(shí)安全監管，該過(guò)程中我們可以參與其中，分享經(jīng)驗、參與標準制定，幫公司在監管層面贏(yíng)得更多支持。 7、劉晶：談?wù)勀鷮τ诎踩袠I(yè)未來(lái)的預期如何？ 黃宇鴻：信息安全行業(yè)作為現代科技發(fā)展的重要支撐，一直受到國家層面的高度重視。近年來(lái)，隨著(zhù)數字化轉型的加速和網(wǎng)絡(luò )安全威脅的日益嚴峻，信息安全人才的需求量急劇增加，市場(chǎng)缺口顯著(zhù)，進(jìn)一步推動(dòng)了該行業(yè)的發(fā)展活力。 從行業(yè)發(fā)展趨勢來(lái)看，信息安全無(wú)疑是一個(gè)充滿(mǎn)潛力且持續發(fā)展的領(lǐng)域。與其他行業(yè)相比，信息安全的需求具有更強的穩定性和持續性。無(wú)論經(jīng)濟環(huán)境如何變化，信息安全作為保障數據安全、維護網(wǎng)絡(luò )空間秩序的關(guān)鍵環(huán)節，其重要性不言而喻。因此，即便在短期內面臨一些挑戰和困難，信息安全行業(yè)依然展現出強勁的發(fā)展勢頭和廣闊的市場(chǎng)前景。 我堅信，信息安全行業(yè)不僅是一個(gè)具有廣闊發(fā)展空間的賽道，更是一個(gè)值得長(cháng)期投入和深耕的領(lǐng)域。隨著(zhù)技術(shù)的不斷進(jìn)步和應用的不斷深化，信息安全行業(yè)將持續迎來(lái)新的發(fā)展機遇和挑戰。 ★ 結束語(yǔ) ★ 作為國內互聯(lián)網(wǎng)物流領(lǐng)域佼佼者，貨拉拉在安全方面始終秉承著(zhù)“建設成行業(yè)一流信息安全水平”為使命，在安全技術(shù)能力、安全體系、安全合規以及安全文化建設等方面不斷發(fā)力，持續關(guān)注行業(yè)最佳實(shí)踐以及新安全技術(shù)、理念的應用。緊握新一代AI技術(shù)變革下的安全領(lǐng)域新機遇，持續進(jìn)行安全左移，提高檢測能力，保持安全管控更加前置，構建安全防護盾，探索新型物流模式，為物流行業(yè)高質(zhì)量發(fā)展助力。 |
