「私たちは、企業が一歩下がってセキュリティ機能の構築レベルを包括的に検討し、現段階で最も行うべきセキュリティ構築は何なのかを支援したいと考えています。」
測定はより明確な認知に対応します。企業のセキュリティにとって、この理解は新しい基準にもなりつつあります。
著者|ピエ
プロデュース | 実業家
6月以降、陸一平はさまざまな企業に頻繁に登場するようになった。
同氏にはテンセントのセキュリティ専門家チームの同僚もおり、テンセントのセキュリティ戦略開発センターのゼネラルマネージャーとして、チームと協力して企業が特別な仕事であるセキュリティ免疫評価を行えるよう支援している。
彼の言葉を借りれば、これは継続的なテストと検証のプロセスです。昨年6月、テンセントセキュリティは北京でデジタルセキュリティ免疫研究フォーラムを開催し、そこで「デジタルセキュリティ免疫」と呼ばれるモデルフレームワークが提案された。
Tencent Group副社長兼Tencent Security社長のDing Ke氏は現場で、デジタルインテリジェンスの新たな段階において、企業は受動的なセキュリティから積極的な防御に移行し、デジタルセキュリティの免疫力を向上させ、「病気の前治療」に代わる必要があると述べた。それはすでにそこにあります" "。
「手遅れになる前に病気を治療する」とは一体何でしょうか？
時系列を遡ってみると、過去何年にもわたって、Tencent Security は、攻撃および防御訓練、厳重なセキュリティ、緊急対応などの多くの中核となるセキュリティ シナリオに繰り返し登場し、中国の多数の大規模および超大規模顧客にサービスを提供してきました。企業が最初から総合的な観点から安全建設を計画する決意をせず、安全上の問題を軍隊や水でごまかして対応すると、最終的には破滅するという現象も静かに現れつつある。体力が消耗すれば、安全工事も体力を消耗します。半分の労力で 2 倍の成果が得られます。
一連の「免疫」概念のプロトタイプが Tencent Security 内で密かに形成されてきたのは、まさにこの観点に基づいています。つまり、企業が体系的に内部セキュリティ免疫を構築し、セキュリティの向上を支援する方法を見つけようとする過去の慣行を変えることです。セキュリティ、リスク耐性。
流行から 3 年が経過し、この原型はさらに明確になりました。空間的および地理的な理由により、顧客が対処しなければならない緊急の問題に遭遇した場合、テンセントのセキュリティ専門家チームはプロセス中に現場に急行できないことが多く、何度も「極限運用」という課題に直面する。
安全性免疫コンセプトの立ち上げが正式にカウントダウンに入った。
しかし、カウントダウンの一方で、もう 1 つのより現実的な疑問は、企業のニーズを真に満たす免疫モデルとは何なのか、そして Tencent Security は長年のシナリオ サービスで最初に凝縮された方法論に自信があるのか、ということです。
Lu Yiping と彼のチームは、この質問に対する答えを探して社内に現れました。「主な目的は 2 つあります。1 つは、以前に開発した免疫モデル フレームワークと比較して、問題がないか、会社からのフィードバックがモデル テストの結果と一致しているかどうかを確認することです。もう 1 つは、 「それは、自社の業績を同じ業界の業績と比較することでもあります。他社と比較して、何が違うのかを確認してください。」
「イミュニティ モデル」が最初にリリースされた 6 月から 3 か月後、開催されたばかりのテンセント デジタル グローバル エコシステム カンファレンスで、「デジタル セキュリティ イミュニティ モデル」と呼ばれる評価ツールが正式にリリースされました。企業はこの自動テスト ツールを使用して、デジタル セキュリティを完了することができます独自のエンタープライズ シナリオのセキュリティ スコアリング テスト。この評価ツールは、企業境界セキュリティ、エンドポイント セキュリティ、開発セキュリティ、セキュリティ運用、データ セキュリティ、ビジネス リスク管理などのほとんどのシナリオをカバーします。
それはどういう意味ですか？「私たちは、企業が一歩下がってセキュリティ能力の構築レベルを包括的に検討できるようにしたいと考えています。また、現段階で最も行うべきセキュリティ構築は何か?」と Lu Yiping 氏は語ります。
測定はより明確な認知に対応します。企業のセキュリティにとって、この理解は新しい基準にもなりつつあります。
1. セキュリティを測定する必要がある
セキュリティ、今はどうですか？「多くの企業は依然として『頭が痛ければ頭を治療し、足が痛ければ足を治療する』というモデルを採用しています」とルー・イーピン氏は語った。
確かにそうです。不完全な統計によると、中国企業のネットワーク セキュリティへの投資の割合は一般に情報投資の 1% ですが、世界中の他のデジタル市場ではこの割合は一般に 5% 以上です。
「多くの企業でさえ最高成長責任者がいないが、最高セキュリティ責任者は置く必要がある」と丁柯氏は語った。
この現象の背後にある大きな背景は、デジタル構築の深化に伴い、セキュリティがますます重要な命題になっているということです。
「2022年世界サイバーセキュリティ状況報告書」と呼ばれる文書では、調査に参加した1,200人以上のセキュリティ業界リーダーのうち65％がサイバー攻撃の試みを目撃したことがあると回答しており、その割合は増加傾向にあり、さらに半数近く（49％）の企業が被害を受けたと回答している。過去 2 年間にデータ侵害があったと回答した割合は、1 年前の調査の 39% から増加しました。
中国では、これらのデータは十分に現実的な業界の表現を持っています。これまで、金融、小売などの関連分野がネットワーク セキュリティの最盛期であったとすれば、現在では、産業、小売、さらには教育や医療に至るまで、セキュリティ インシデントが頻繁に発生する分野になりつつあります。
さらに、セキュリティに対する焦点も変化しています。Lu Yiping 氏の調査によると、現在市場に出ている多くの企業は依然としてネットワーク セキュリティと端末セキュリティに注力しているものの、内部開発セキュリティ、つまりセキュリティ運用管理は非常に基本的な段階にあることがわかりました。
なぜそうなるのでしょうか?
「現在、多くの企業でセキュリティ担当者が多数配置されていますが、役割ごとにセキュリティに対する理解が異なります。結局のところ、セキュリティ作業には体系的な計画がなく、どのように進めればよいのかわかりません。」と丁柯氏は語った。
つまり、セキュリティという命題に関して、CEO、CSO、またはより具体的な経営幹部は異なる視点を持ち、最終的に異なる結論に達するのですが、この違いが最も直接的に現れるのがセキュリティへの財務投資です。
これが、今日の多くの大企業が常に「頭痛を治して足の痛みを治す」という姿勢にある理由でもあります。トップレベルの計画の観点から見ると、絶え間ない「パッチ適用」の悪循環に陥りやすいです。
中小企業の場合、こうしたセキュリティ構築の基本性能はさらに顕著になります。「多くの中小企業は、データセキュリティなどのセキュリティサービスについてほとんど知識がありません。多くの企業は、データセキュリティやビジネスセキュリティが何なのか全く知りません。彼らにとって、セキュリティとはファイアウォールの構築やセキュリティボックスを意味します。」とLu Yiping氏は述べた。
実際、「企業は現在セキュリティを構築している」という命題については、市場には多くのセキュリティモデルが出回っているものの、その多くは「境界セキュリティ」と「エンドポイントセキュリティ」の2点に重点を置いたものとなっており、十分に明確な点はありません。必要なデータセキュリティ、ビジネスセキュリティなどのための方法論。
言い換えれば、企業が今日確立する必要があるセキュリティ機能とは何でしょうか? 優先事項は何ですか? また、大企業と中小企業のそれぞれの指標はどうなるのでしょうか?
2. 免疫モデル: 安全のための「ワンステップアップ」
これらはまさに、Tencent Security が解決しようとしている問題です。今回のカンファレンスでは、セキュリティ免疫モデル評価ツールというオプションが発表された。
具体的には、企業がセキュリティイミュニティモデルを通じて自己テストを行い、最終的にはエンドポイントセキュリティ、アプリケーション境界セキュリティ、開発セキュリティ、セキュリティ運用管理、データセキュリティ、ビジネスセキュリティなどにおける自社の構築に基づいた総合スコアを取得できるということです。 、自社の安全施工レベルと、同業界の視点から「自社がどのレベルにあるのか」を明確にするため。
言い換えれば、現在市場にある「セキュリティ モデル」と比較して、このツール セットには、固有のエンドポイント セキュリティとネットワーク セキュリティが含まれているだけでなく、ビジネス レベルおよびデータ レベルでの企業のセキュリティ構築にもより注意が払われています。企業の中核資産のセキュリティ保護。
これはまさに今日テンセントが提案する「タマネギ理論」、つまり外部から内部まで層ごとのセキュリティ検証を通じて、最終的に企業に総合的なセキュリティスコアが与えられるというものである。
「私たちは主に、企業が 2 つの問題を解決できるよう支援したいと考えています。1 つ目の質問は、企業のセキュリティ上の欠点はどこにあるのかということです。2 つ目の質問は、現在のセキュリティ レベルはどれくらいで、根本的な問題を解決するにはどのレベルまで改善したいのかということです」ビジネス? 人生で最も重要な問題に集中し、セキュリティへの投資とリソースを最も重要なことに活用してください。」と Lu Yiping 氏は私たちに言いました。
大企業にとって、この一連のツールの価値は、企業内で「統一された理解」を確立することにあります。つまり、より直感的な言語と問題表現を通じて、企業のビジネス リーダーはセキュリティの重要性と価値を真に認識できます。「少なくとも業界平均レベル、あるいはベンチマーク企業にまで向上するには、何をすべきでしょうか? あるいは、まず何をすべきでしょうか?」
過去 2 か月間、Tencent Security の長年の経験から抽出されたこの一連のセキュリティ測定ツールは、実際のシナリオで継続的に検証されてきました。「多くの大企業にとって、その評価フィードバックは基本的に私たちの評価と同じですが、企業がこれまで注目していなかった側面もいくつかあるでしょう。」とルー・イーピン氏は述べ、「企業は特定のリンクに基づいて、的を絞ったコンサルティングを実施します。 」
一部の中小企業にとって、この一連のセキュリティ測定ツールは、より体系的なセキュリティ意識モデル、つまり「限られた資金で」最良の結果を達成する方法を確立するのに役立つというフィードバックが寄せられています。最初にやるべきですか？」
「たとえば、ある金融顧客が私たちと試験的に取り組んでいます。私たちは、主に現在最もリスクが高く、最も緊急を要する問題を解決するために、免疫モデルの評価を通じて彼らが今年下半期の短期計画を立てるのを支援します。これらの問題を踏まえ、TianmuやYujie（注：それぞれトラフィックブロッキング製品、端末セキュリティ製品）などの製品を通じて対応する導入を実施しており、次の計画としては、来年も引き続きエンドポイント側と端末側に対応する製品と機能を導入する予定です。 .建設」。
Lu Yiping 氏の言葉を借りれば、このツール セットの中心的な価値は、企業が「一歩下がって」グローバルな視点から自社のセキュリティ構築レベルを真に測定できるようになり、それによって現時点での中核的なタスクが明確になることです。
3. 「課題を発見する」「課題を解決する」
しかし、問題を発見するだけでは明らかに十分ではなく、発見の背後にあるのは問題の分割と解決です。安全工事のレベルに関する限り、これらの問題を解決するには適切な措置を講じる必要があります。
Lu Yiping 氏によると、デジタル セキュリティ イミュニティ モデルのセルフテストを通じて、企業はさまざまなセキュリティ機能に基づいて、エキスパート企業、運用企業、ツール企業、改善が必要な企業の 4 つのカテゴリに分類できます。
金融や電力を中心とした熟練企業は、デジタルセキュリティ免疫モデルにおけるセルフテストのスコアが高い企業に相当し、各種指標の観点からセキュリティ構築が良好なレベルにある。ただし、特定の垂直セグメンテーションのシナリオでは、まだ改善の必要があります。
Tencent Security のアプローチは、自社製品の「統合」をサポートすることです。つまり、企業は Tencent Security のアトミック機能を企業独自のセキュリティ システムにいくつかの側面で統合して機能を補完し、より優れたセキュリティ運用と管理を行うことができます。
運営企業は主に準インターネット企業に該当します。その典型的な特徴は、体系的なセキュリティプラットフォームの導入やセキュリティツールの一括購入を行う他の企業に比べて、自社のビジネス特性に応じた専門的なセキュリティ運用やデータ監視を行う「テーラリング」を重視しており、ニーズが高いことです。デジタルセキュリティ免疫モデルをテストして他のツールが必要かどうかを確認し、小売企業や電子商取引企業などの特定のプロセスでの運用を強化することです。
ツール型企業は、比較的基本的な基礎的なセキュリティ機能構築を行っている企業、つまり、業界のリーディングカンパニーとしてセキュリティ構築に対する意識は高いが、セキュリティ構築をどのように行うのか、社内のセキュリティ機能をどのように統合するのかが該当する企業が該当することが多い。企業のセキュリティ能力は? 既存のセキュリティ製品とシステムを有効に活用し、効率的でリンクされたセキュリティ メカニズムを確立することは、この種の企業にとって中心的な問題です。
Tencent のセキュリティ ソリューションはセキュリティ ホスティングに基づいており、企業が完全なセキュリティ リンクを構築できるように専門家による診断と対応するツールによって補完されています。
かつて陸一平はこんな例えをしたことがある。「これは、レンガの山を買ったのに、うまくレンガを積めなかったようなものです。だから、レンガをうまく積めるように一緒に頑張りましょう。」
最後のカテゴリーは改善が必要な企業です。つまり、最初の 3 つのカテゴリーに比べて、安全面におけるこの種の企業の構築基盤は、安全管理概念の体系化であれ、安全製品システム自体の能力構築であれ、比較的初期段階にあります。まだ初期段階です。
このような顧客に対して、Tencent Security は企業向けの製品サポートを提供するだけでなく、別個のセキュリティ チームを構築するかどうか、特別なセキュリティ システムを導入するかどうかの計画の支援など、特別なコンサルティングにも対応します。役割分担など。
「今日のネットワーク セキュリティ サービスでは、セキュリティ機能の細分化とサービス指向のセキュリティ機能において、ますます多くの傾向が現れ始めています。」Lu Yiping 氏は次のように述べています。「セキュリティ機能の細分化は、製品が統合をサポートできるという事実に対応しています。」機能のサービス化は最終結果とサービスに基づいており、企業がセキュリティにおいて適切な仕事を行えるよう支援します。」
これら 2 つの傾向の背後には、Tencent Security 独自の確かな製品とサービスの能力があります。Tencent の現在のセキュリティ レイアウトでは、基本セキュリティ、ビジネス セキュリティ、データ セキュリティ、およびゼロトラスト iOA、脅威インテリジェンス、Tianyu、「SOC+」などの多くのセキュリティ サービス、およびその他の主要製品が、多くの企業のセキュリティ構築における最初の選択肢となっています。 . .
国際権威機関 Forrester が最近発表した「統合エンドポイント管理ランドスケープ、2023 年第 3 四半期」（以下、「レポート」といいます）では、DEX（デジタル従業員エクスペリエンス）におけるゼロトラスト iOA の利点に依存し、リスク管理が行われています。 、など、Tencent Security は Forrester によってさらに認知され、推奨されており、国内セキュリティ サービス ベンダーとして唯一選ばれています。
「ニーズを整理し、顧客がコンサルティングと明確なソリューションを提供できるように支援した後、私たちは企業のセキュリティ部門が最終ステップを実行するのを支援することもあります。」と Lu Yiping 氏は語ります。「これには、予算、専門家、リーダーのサポートが含まれます。 「セキュリティ能力の構築が実行されない場合、中核事業がどのようなリスクに直面する可能性があるか、および考えられる結果」およびその他の問題についてビジネスリーダーと話し合うための、シンプルで直観的な「武器控除」または「サンドテーブル控除」モデル。会社の担当者であれば、基本的には一目で理解できるはずです。」
実際、これらの詳細は、セキュリティ ベースの「診断」機能を構成するだけでなく、さまざまな企業のセキュリティに対する「操作」にも相当します。病気を根本的に解決したいのであれば、状況に応じて適切な薬を処方しなければなりません。
4. サイバーセキュリティにおける新たな船の登場
「能力は以前から蓄積されてきました。これらは私たちの以前の軽いコンサルティング経験から来ています。今、私たちはその時が来たと感じており、これが免疫モデル評価ツールのリリースです。」と Lu Yiping 氏は語った。
現在のデジタル化の観点から見ると、デジタル イミュニティ モデルの価値は、中立的なセキュリティ評価ツールとして、現在の新しいデジタル時代におけるセキュリティ評価に基づいて定規を構築することです。この一連の定規は、企業が「一歩後退」するのに役立ちます。その第一歩として、より高い視点から、十分に計画的かつ最先端の安全保障構築を考えていく必要があります。
具体的な製品の選択に関しては、あらゆるセキュリティ シナリオとリンクの背後に Tencent が自社製品に基づいて提供するソリューションがありますが、企業は依然として独自に選択することができます。「評価後も含め、セキュリティ面での軽いコンサルティングで企業を支援する必要がある場合は、客観的な提案も企業に提供します。たとえば、テンセントに製品能力がない場合、企業は市場に参入できます」単体で購入するなど。」
現在では、Tencent のセキュリティ チームが外部サービスを提供することが標準になりつつあります。より詳しく見ても、これは中国のセキュリティ市場全体の新たな常態となるでしょう。
野蛮は無秩序に相当し、秩序は成長をもたらします。つまり、この新たな安全基準によって、中小企業も大企業も安全に対する体系的な理解と重視がなされ、その上で、より安定した規則正しい中国が徐々に形成されていくことになる。ネットワークセキュリティシステム。
このメトリクスに基づく新しいセキュリティ システムでは、特定の問題に対する製品とソリューションに加え、企業がセキュリティ組織構造を構築する方法やセキュリティ責任を定義する方法などのエンタープライズ セキュリティ システム パラダイムも提供され、安全なサービスが提供されます。十分な境界、オープン性、互換性を備えたエコシステム。
現在もこの定規は進化し続けています。
「業界の平均スコアなどのいくつかの尺度が今後発表される予定です。尺度があれば、専門家や一部の管轄当局と連携することもできます。さらに、さまざまな分野でいくつかの研究機関とも協力します」業界では安全に関するコンサルティングを実際に行うことができます」とDing Ke氏は語った。
これもテンセントセキュリティの特別な価値であることがわかります。
中国のセキュリティ業界では、テクノロジー、製品、サービスソリューションに加えて、インフラストラクチャの役割も果たしており、このセキュリティベースのインフラストラクチャは、これまでの基盤技術やPaaSなどの開発側のオープンで互換性のある理解ではなく、業界の新製品と需要の枠組みの再構築により、無秩序が秩序に変わり、セキュリティ業界に十分な具体的な需要と標準化されたつながりが真に確立され、それによって市場全体の成長が促進されました。
「それで、セキュリティをやっているとき、私たちはよくこう考えます。何を主張しているのですか？資産以外に何があるのですか？実際、それは価値観です。セキュリティ問題の本質は価値観の問題です。」 丁柯氏と私たちに言いました。