隨著數字化進程加快,企業數字化體系的邊界在不斷拓展,安全風險和挑戰不斷增加,傳統被動防御的安全應對常顯疲態,數字安全時代亟待建立全新的安全范式。
6月13日,騰訊安全聯合IDC等多家機構在北京舉辦研討論壇,并發布“數字安全免疫力”模型框架,提出用“免疫力”的思維應對新時期下安全建設與企業發展難以協同的挑戰。騰訊集團副總裁、騰訊安全總裁丁珂在論壇上表示,數智化新階段,發展驅動成為安全建設的普遍共識,企業需從被動安全變為主動防御,以數據資產和業務資產為目標,建設一套全新的安全范式和框架。
(澎湃新聞副總編輯、生態內容管理工作委員會主席 黃楊專訪騰訊集團副總裁、騰訊安全總裁 丁珂)
當日,澎湃新聞(www.thepaper.cn)副總編輯、生態內容管理工作委員會主席黃楊也就當前網絡安全態勢、AI如何影響網絡安全等議題與丁珂展開了對話。
當前,全球網絡安全形勢依然嚴峻,針對關鍵行業和新技術、新場景的網絡安全威脅事件頻發。例如,互聯網、金融企業遭遇DDoS拒絕服務攻擊比較常見,對傳統工業、教育和醫療領域來說,勒索病毒攻擊時有發生。此外,數字化程度較高的國家,也會對企業提出更嚴格的安全合規要求。
丁珂指出,對企業來說,安全不是成本而是生命線,也是業務“硬幣”的另一面。在數智化新階段,發展驅動成為安全建設的普遍共識,企業需將安全思維從被動建設變為主動防御,構建一套全新的安全范式和框架,提升數字安全免疫力,以更積極、主動的安全觀,用“治未病”的思路替代“治已病”,前置預判、及時響應處置安全風險,才能維護品牌價值、保障健康發展。
同時,當前企業對安全建設還存在“不知往哪投入、不知如何投入”的普遍痛點。對此,騰訊安全提出企業可以根據數字安全免疫力模型框架全局部署安全,并且在重點領域,例如業務安全、數據安全、安全運營管理、邊界安全、端點安全、應用開發安全等薄弱環節,重點注射“免疫力加強針”。
今年走進公眾視野的AIGC,其產業化和產品化尚在摸索中,但已經有大量攻擊者已經在用它生成攻擊腳本、釣魚郵件,甚至偽造身份用于詐騙。AI本身是安全的么?AI會讓網絡變得更不安全么?
騰訊安全研究認為,目前AIGC帶來的風險主要集中在“不可解釋”以及“不可追溯”的特性上,但這在技術上能夠找到應對的方法。丁珂談道,AIGC作為生產力的巨大提升,確實會帶來更復雜的攻防態勢和更大的防御難度。但任何新技術都要經歷這個周期。而法律法規會隨著技術的演進不斷更新,讓新技術的發展更加規范健全。
丁珂認為,隨著我國網絡安全法律法規體系的不斷完善,合規將給企業推進網絡安全帶來很大的驅動力,并且是很直觀地展現在需求側。未來伴隨著數據要素市場的建立或企業對于數據價值的挖掘,也將驅動數據安全市場迅猛增長。
對于騰訊安全的商業邏輯和經營之道,丁珂表示并不追求一定要構建競爭優勢壁壘,而是期望跟生態共同發展的成長,騰訊安全希望通過能力開放實現安全與業務伴生的生態模式。
談及未來,丁珂表示,安全板塊已進入發展加速期,將持續關注處于藍海的很多新業務領域,期望能孵化出新的商業模式,而騰訊安全團隊也會持續關注并把握機會,做好產品。
以下為采訪實錄(在不改變原意的基礎上略經編輯):
澎湃新聞:當前,以人工智能、大數據等新技術推動的第四次工業革命正在不斷走向深入,給人類的生產生活帶來了深刻的變化。而互聯網作為新技術的載體,面臨的安全挑戰不僅數量在增多,形式也變得更加復雜。從互聯網安全從業者的角度,騰訊觀察到近年來國內外網絡安全形勢發生了哪些變化?這些變化呈現怎樣的趨勢?
丁珂:近年來,騰訊安全的能力不斷成長,面向場景也在延伸,大致經歷了三個階段:
第一個階段是從2000年前后開始的互聯網PC時代。PC領域的盜版情況十分普遍,盜版軟件也有漏洞,導致安全問題頻發。我們做過統計,那個時候幾乎60%的電腦都中過木馬病毒。QQ是互聯網時代普及率最高的軟件之一,在這樣的環境下用戶的賬戶安全很難得到保障,于是騰訊就開展了PC端和手機端的安全軟件業務,凈化用戶的上網環境。
然后,隨著移動互聯網興起,騰訊的業務延伸到了保護用戶隱私。用戶使用安全產品的場景也開始有了變化,比如溝通、支付等等。而安全業務也從傳統的端點保護變成了要搜集威脅情報,掌握網絡攻擊的情況,針對自身業務做到先發制人。
目前進入到第三個階段——數智化時代。騰訊安全也從單純服務個人用戶,轉變為建立合作供應鏈與上下游,服務于政府、金融、能源、汽車制造、教育、醫療等各個行業。在這個階段,安全從用戶、產品進入到產業和生態階段,更多是面向B端客戶提供完整的安全能力、助力他們建立完整的安全理念和范式,針對薄弱環節采用“對癥”的安全產品。
我們調研了1500位CSO(首席安全官)和50位企業決策層,發現每家企業的數字化能力都有了巨大的提升。而數字化能力提升之后,卻面臨著一些安全建設的斷層甚至鴻溝。一方面是安全意識不到位,有些企業在做安全規劃時,還停留在買設備、拓帶寬的層面,對于保護用戶數據、維護業務安全等方面沒有多少預算,對這些方面的安全意識也不強。另一方面是不知道往哪投入、怎么投入,這也是現階段企業網絡安全建設的普遍痛點。此外,即使法律法規的要求在持續強化,很多企業也并沒有意識到,保護企業自身的數據資產安全、保護企業掌握的用戶隱私數據安全,都已經成為企業必須承擔的安全責任。
企業需要從全局構建“數字安全免疫力”,并且在重點領域,例如業務安全、數據安全、安全運營管理、邊界安全、端點安全、應用開發安全等薄弱環節,重點注射“免疫力加強針”。騰訊安全的責任,是在不同發展環節、不同場景、不同攻防和合規需求下,為企業客戶提供性能更好、防護效率更高的安全產品,幫助企業構建免疫力,以小成本解決企業面向未來的成長性問題。
澎湃新聞:目前企業的網絡安全建設面臨的最大挑戰有哪些?是內部自身的問題更多些,還是外部攻擊更多一些?騰訊安全的解決方案是什么?
丁珂:現在外部攻擊壓力是非常大的。互聯網、金融企業遭遇DDoS拒絕服務攻擊比較常見,對傳統工業、教育和醫療領域來說,勒索病毒攻擊時有發生。此外,數字化程度較高的國家,也會對企業提出嚴格的安全合規要求。企業必須與時俱進練好基本功,在安全領域持續投入,建立合理的治理安全框架、基于業務和數據的安全策略等,同時日常也要做滲透測試。
我們重要的客戶,基本每季度或半年都會進行紅藍滲透測試和攻防演練。除非企業數字化水平特別低,或者企業沒有商業價值,否則一定要做網絡安全防護,并且也要注意威脅情報。
此外,企業還應特別重視“治未病”。行業里一旦碰到安全事件,就要快速自查,從技術和時效性層面時刻關注類似的安全情況,讓安全建設形成系統化、體系化的條件反射。
澎湃新聞:ChatGPT的火爆出圈,讓人工智能再次成為公眾熱議的話題。當前AI大模型落地商業化還處在摸索中,但一些不法分子已經將AI用在了網絡攻擊中。騰訊安全在人工智能倫理方面的考慮有哪些?
丁珂:今年走進公眾視野的AIGC(生成式人工智能),其產業化和產品化尚在摸索中,但已經有大量攻擊者已經在用它生成攻擊腳本、釣魚郵件,甚至偽造身份用于詐騙。當攻擊變得無處不在的時候,傳統的安全產品也需要接受技術革新。
AI會讓網絡變得更不安全么?可能階段性會有這個趨勢,我認為應該從兩個方面看:
一方面,技術進步的速度往往快于法律法規的更新,各國皆是如此,對于AI這種先進的技術工具,不同國家和地區的法律法規都有不同程度的滯后。一般情況下人們在應用新技術時,往往會循序漸進,不僅會考慮法律法規,而且還會有很多倫理、道德方面的思考,摸索出一條可持續的使用路徑,而惡意攻擊者在使用新技術時往往會將它用到極致。新技術應用一般都會經歷這樣的一個周期。
另一方面,大模型平臺自身也在探索法律法規和倫理道德,從而防止被壞人利用。早期,不法分子確實可以利用大模型來快速生成攻擊代碼。但現在大模型平臺可以判斷這樣的請求是不是有危害性,如果有就會發出提醒,同時并不會按照指令行事生成攻擊代碼。
當然這個過程中也確實可能會碰到模棱兩可、看上去正確或中性的指令,比如deepfakes生成換臉的視頻或照片,可能用于正當用途,也可能用于非法用途,這個防范起來就變得復雜了。
雖然說攻擊方的確天然占據先發優勢,但是過往的經驗上看,總體上看防御側都是能夠應對的。對于目前出現的AIGC的攻擊應用,我們的技術團隊做過研究,風險主要集中在“不可解釋”以及“不可追溯”的特性上,但這在技術上能夠找到應對的方法。
澎湃新聞:維護網絡安全的支出并不會直接產生效益,一些企業會認為增加了自身負擔,對此您怎么看?
丁珂:這關系到產業安全的商業邏輯,也就涉及我們提出的“企業數字安全免疫力”新范式。騰訊安全認為,免疫力也是企業原生的成長過程。
一方面,安全對企業來說是生命線,當前很多監管標準疊加,合規成本上升。特別是在內容安全領域,我們了解到一些企業大規模使用人工團隊進行篩查,從商業的成本收益模型上看,如果AIGC等自動化平臺可以實現調用,將極大節約企業內容風控審核的成本。我們觀察到,2021年到2022年,國內內容風控API(應用程序編程接口)調用量漲了130%左右,但整個市場規模漲了20%左右,這說明整體市場空間越來越大,企業內容審核的實際成本在不斷降低。
另一方面,安全就像是企業核心業務這枚硬幣的“背面”,安全建設得越好,業務團隊越能安枕無憂。在我們騰訊內部,業務團隊不覺得安全投入是成本項,如果第一時間打掉了安全風險,企業的產品品牌價值就不會損失,收入不會莫名其妙地流失,業務的健康度也會保持在一個平穩的水位。
以網絡游戲為例,如果不做好安全防護,出現了外掛、盜號等情況,對業務營收肯定是有影響的。所以對于業務團隊來說,往往很樂意負擔安全的成本,不會推三阻四。他們會說:一定要把安全投入和發展收益最高效地結合在一起,形成一種企業原生的安全價值觀。
以前傳統的IT企業,每年會將IT建設的5%-9%劃做安全支出,但當前IT的商業模式開始呈現兩個趨勢,一種是授權服務方式,與客戶長期共同發展,另一種是MaaS服務解決方案,我們在云端構建API,客戶企業需要本地化部署我們就去建設。
澎湃新聞:隨著《數據安全法》《個人信息保護法》《關鍵信息基礎設施安全保護條例》等法律法規落地,網絡安全領域的合規壓力有感受到增大嗎?
丁珂:近幾年國家對網絡安全越發重視,政策法規也逐漸系統化,幾乎每年都會編制、修訂兩三部關鍵的法律法規。這對整體安全來說是好事,可以讓無邊界的責任變得清晰明確,但是企業短期可能會不適應,但未來一定會更聚焦一些有價值的方向。
可以說,合規確實是安全很大的驅動力,并且是很直觀地展現在需求側。比如原來做傳統安防設備的廠商,因為他們有生物識別的應用,最近兩年也會開始咨詢數據安全相關的產品;比如去年《反電信網絡詐騙法》出臺之后,很多銀行也開始咨詢和購買我們的反欺詐產品。
我們也感受到了國家信創在更多行業應用落地,從早期試點到現在越來越成熟,給了非常大的指引。對我們來說,與客戶合作共建安全不會有任何障礙。我們也參與了很多客戶的數字化流程建設與產品研發過程,包括在安全性、開放效率等不同角度實現了合作。基于這種信任,我們和客戶會協同解決漏洞等問題。
當下最棘手的問題是一些企業在特定歷史時期的存量問題比較多,積累起來,企業沒有能力去改變。但隨著信創的推進,這些問題不會是停滯不前的,會共同進步,越來越合理。
澎湃新聞:在數據收集和存儲方面,網絡安全面臨的挑戰越來越多,對于企業數字化轉型過程中遇到的數據安全問題,騰訊安全采取了哪些策略來保護企業的數據安全?
丁珂:當前很多金融服務公司、互聯網公司等,他們沒有特別大規模的固定資產,數據就是他們的核心資產,有巨大的潛在價值。所以,數據安全最重要的一點是法律法規層面的合規性,這在全世界也是通行的。未來伴隨著數據要素市場的建立或者說企業對于數據價值的挖掘,基于數據安全驅動的安全市場增量將會非常大。
我們一般會將數據分為四個大類:個人隱私數據、企業業務相關的行為數據、交易數據、內容數據。這四大類數據的界定非常關鍵,比如廣告使用了用戶的行為數據,法律規定企業可以閉環使用。而有些數據企業是不能用的,比如內容數據、隱私數據等。
騰訊安全會幫助提供識別權限管理和敏感數據加密的服務,就是隱私保護和特定用戶權限,以及權限變更的風險提示。當前數據的關注度很高,而且法律法規的要求也持續變化,我們一直在持續跟進。
澎湃新聞:在安全賽道上,騰訊安全自身的最大優勢是什么?如何構建競爭優勢壁壘?
丁珂:騰訊經歷了海量個人用戶助推企業成長的過程,業務領域也越發全面復雜,從IM、游戲到支付、云業務等等。騰訊安全的技術和能力,恰恰源自于騰訊過去二十多年自身發展中的積累,并在騰訊及生態海量場景和產品中獲得實踐。在安全領域的產品、服務,我們都是通過實踐積累走出來的,這方面還是非常自信的。我們積累了優勢的原子能力,又將這些能力封裝,并在騰訊自身的業務上進行了工程驗證。我們的技術能力、對產品的提煉以及對業務的理解上,都還是有獨到的地方的。
在To B服務客戶的過程中,我們深度參與了金融、能源等好多項目,也有了自己對這些行業的安全觀察,這也是我們比較自信的地方。
對于未來,我們也并不追求一定要構建競爭優勢壁壘,期望能走跟生態共同發展成長的路徑。我們會越來越多地把產品變成API、SDK(軟件開發工具包)模塊化產品,讓合作伙伴來用,直接集成。很多安全廠商也是我們的合作伙伴,他們也看重騰訊安全的“三大原子力”:AI、威脅情報和攻防能力。例如威脅情報是很多客戶關注的能力,很多廠商的安全設備里就直接集成了我們的API,能直接調用騰訊安全的能力。
我們不想建立壁壘,反而希望打破壁壘,和業界共同發展,往能力開放這個路徑上走。從騰訊安全的視角來看,合作、開放、共贏是必然的趨勢。安全產業是生態伴生型的生態形式,安全能力強、產品質量好的廠商,就會建立強伴生的關系。未來,安全和業務是強伴生的,越是偏向業務的安全越要有自信。
澎湃新聞:騰訊安全是否有計劃進一步深化與政府、企業以及社會各界的合作,提高整體網絡安全水平?我們知道維護網絡安全也是國家責任,您如何看待網絡安全中的國家責任和企業責任?二者邊界該如何設定?您如何看待網絡安全產業的未來?
丁珂:安全最重要的是系統化,在過去幾年里,國家的法律法規系統化定義了安全,目前正在推動安全領域進步,特別是合規要求,明確了企業的主體責任。
比如對一家酒店的經營者來說,住客會留下很多信息,這些信息他不能拿出去賣,如果管理不善造成了泄露、造成了用戶損失還要擔責。當前國家的各種法律法規、規章制度,把企業的數據安全責任和用戶隱私責任界定得很清楚。
與此同時,很多歷史欠賬還是要補救的,目前企業在安全投入上的節奏與數字安全基礎設施有錯位,造成了有些關鍵數據已經流出去了,可能會產生不好的影響。騰訊安全的角色就是要幫助企業更好、更安全地跟用戶互動,在了解的過程中將用戶數據的價值挖掘出來,同時擔負起安全責任,讓企業能夠長遠安全發展不留隱患。總體來說,發展兼顧社會責任和安全是一個體系化的成長,所以一定是與法律法規、企業責任共同成長的。
對于邊界問題,現在不是管得過多,而是很多的法律規章框架存在銜接的問題,上位法在金融、零售等行業的實踐落地存在適配度問題,實踐中還有很多空檔可以調整優化,還處在共同成長的階段。制度建設層面,法律法規也不需要太多,而是需要細則,行業應用方面往往需要一個摸索周期。
澎湃新聞:放眼未來,互聯網安全還將應用于哪些商業新場景?未來騰訊安全在技術創新方面還有哪些計劃?有什么遠期目標?
丁珂:對于騰訊安全來說,未來還是要在客戶企業數字化業務的大場景里持續成長,以最快速度解決問題,把新技術落實到各種場景里。
整體來說,很多新領域還是藍海,如果能孵化出商業模式,比如模型即服務的商業模式,能夠被集成、被生態伙伴認可,也會帶給我們團隊巨大的收獲感。
我覺得,安全板塊應該在進入一個加速期,而在這個加速期,騰訊安全團隊最關注的一定是把握機會、做好產品。 (澎湃新聞記者 周頔)
(新聞稿 2023-06-21)