随着越来越多企业使用移动办公，以及物联网应用爆发式增长，企业所面临的网络信息安全风险成倍放大。但是，很多企业还没有意识到信息安全形势之严峻，防护力量普遍不足。必须“双管齐下”，一方面通过自主创新为企业安全防护提供更加可靠的技术支持；另一方面加强企业网络安全制度建设，从管理上堵住漏洞——

　　从5月份的“Wannacry”到6月份的“Petya”，勒索病毒今年的两次爆发给全球企业敲响了安全警钟。信息安全厂商奇虎360公司董事长周鸿祎坦言：“在一定程度上，这是对我国网络安全状况的一次小小压力测试。”中国工程院院士沈昌祥表示：“这也说明传统的封堵查杀被动式防御已经过时，企业的安全形势发生了巨大的变化。”

　　信息安全产业的迅猛发展也从侧面印证了企业网络安全形势严峻。来自市场研究机构前瞻产业研究院的数据显示，2016年全球信息安全行业市场规模约为2392.51亿元，同比增长19.16%。从2006年的452.91亿元发展到2016年的2392.51亿元，11年间，市场规模增长了5倍；在我国，2016年信息安全产业市场规模也达到了477亿元，未来5年预计将保持10%以上的增长。是什么让企业面对的网络安全形势发生了前所未有的变化？新的安全锁又在哪里？

　　“万物互联”新考验

　　“从电脑端向移动端迁徙，包括企业员工开始大量使用包括手机在内的自有设备工作，给企业安全形势带来了巨大的改变。好比过去你只是守一个孤岛，比较容易，现在却打开了很多扇窗。”企业级移动工作平台蓝信商务总监李悦告诉记者。

　　的确，来自市场研究机构IDC一份调查显示，60%的企业员工会将商业机密数据储存在其智能手机中。2016年，中国移动办公人数达4.45亿人，同比增长13%；预计到2018年，移动办公人员数量将超过6亿。互联网安全厂商瑞星安全专家唐威表示，由于员工频繁使用智能手机等个人办公设备连入外网，一方面病毒防御成为严重的安全隐患，另一方面手机也有可能成为信息泄露的出口。

　　在移动互联网普及后，“无处不在”的物联网又让网络安全形势变得更为复杂。中国移动通信集团信息安全与运行中心总经理张滨表示，有数据显示，到2020年全球连入物联网的设备将达500亿个，无论智能家居、智慧城市，还是智慧交通、智能制造，物联网应用将无所不在，这也让病毒攻击的后果更加严重。

　　亚信安全首席技术官张伟钦则在C3安全峰会上表示：“物联网设备的操作系统五花八门，且存在漏洞，有漏洞就会受到攻击。想象一下，如果有人控制了企业的摄像头，并以此窃密呢？这样的攻击会比我们想象中来得更快。”

　　不过，企业对安全形势的变化开始有所准备。市场研究机构Gartner的报告指出，尽管目前仅有16%的企业应用网络安全产品来为其至少一款移动或者物联网关键应用提供防护，但有26%的企业预计会在2019年之前使用应用保护产品。

　　技术创新增强“战斗力”

　　在国家保密局科技司司长刘艳看来，想要“魔高一尺道高一丈”，首先要技术创新，“通过自主创新来为企业安全防护提供更加可靠的技术支持”。

　　技术创新来自对实际情况的清晰把握。李悦表示，移动端泄密有多种情况，需要通过技术创新加以控制。“比如蓝信不仅能实现阅后即焚、转发限制等功能，甚至如果企业员工用手机截屏操作，后台也会有所记录，知道是谁截屏了什么内容，文档阅读器也是内嵌的，可以给分发给每个人的工作文档加水印，同时不再需要调用第三方应用，这样就能有效保障工作文档不流出。”

　　技术创新也需要不断融入前沿技术成果。张滨表示，解决物联网的安全风险，态势感知是关键。“比如对基于物联网终端的业务数据、业务流量、外部情报信息，如果能及时发现异常行为，并及时处理，就能主动预防安全风险。”亚信网络安全产业技术研究院副院长童宁则告诉记者，安全厂商正试图将人工智能中的机器学习应用于态势感知，“机器学习可以将病毒攻击或者异常行为的特征抽取出来，并加以过滤，使判断更加快速准确，同时前端主动拦截的成功率也能大幅提高”。

　　不过，要想全方位应对威胁入侵，需要的不仅仅是技术。唐威表示：“一方面在技术上需要选择专业化更高、覆盖更全面的安全产品；另一方面也要在管理上建立严格和切实可行的机制。”

　　机制带来“长效化”

　　“企业的安全保障要靠技术，也要靠制度和管控。”沈昌祥说。在他看来，企业网络安全制度的建设，需要在分析风险的基础上，实行准确的等级划分。“从保护业务信息和系统服务两维资源出发，根据在国家安全、经济建设、社会生活中的重要程度，以及系统遭受破坏后的危害程度等因素来确定等级。比如，最高等级在顶层设计上，就需要以专门监督检查、实时监控实时处置为原则。”

　　Gartner全球研究总监张毅则认为，企业网络安全制度建设还要从单纯的防御防护，逐渐迁徙到对整个流程的优化，“除了通过技术防护之外，还需要重新梳理业务流程，来减少安全漏洞，比如各个业务部门的工作如何协调与整合”。

　　在思杰大中华区总裁曹衡康看来，企业网络安全制度的建设，还要重视人的因素。“比如企业制定从上到下的安全策略时，需要让尽可能多的部门员工、利益相关方提出意见和建议，同时要为所有员工提供必要的工具、指导和培训，以提升员工保护企业安全的主观能动性。通过提供认证、全面的课程培训以及免费的学习机会，提高员工识别潜在攻击并及时作出响应的能力。”

　　亚信安全董事长何政表示，各企业需要在网络安全防护上相互配合。“随着网络安全形势的变化，靠一家企业的力量很难应对挑战，必须齐抓共管，同时引入更多社会化服务提供安全保障。”（经济日报·中国经济网记者 陈 静）