Day37-11｜18.3.2 信息系统安全体系规划：从现状差距到分阶段建设路线

对应教材：第 18 章 安全架构设计理论与实践——18.3.2 信息系统安全体系规划
学习定位：掌握信息系统安全体系规划的目标、方法、现状评估、差距分析、目标架构、建设优先级、投资与治理方法，能够将零散的安全项目组织成可执行、可度量、可持续演进的安全建设路线。

一、为什么要做安全体系规划

当组织的业务、系统和数据不断增长时，安全建设容易出现“哪里出问题就买什么工具”的被动状态。今天采购终端防护，明天建设日志平台，后天上线数据防泄露，但各系统身份不统一、资产不清楚、日志不能关联、告警无人处置，安全投资没有形成整体能力。

信息系统安全体系规划的任务，是站在组织、业务和系统全局，回答以下问题：

1. 当前安全能力处于什么水平，最危险的短板是什么？
2. 未来业务和技术变化会产生哪些新的攻击面？
3. 组织需要达到什么安全目标和合规目标？
4. 哪些能力必须先建设，哪些可以后续演进？
5. 如何配置人员、流程、平台、预算和责任？
6. 如何通过指标和审计证明规划产生了实际效果？

规划不是罗列产品采购清单，而是将风险和业务目标转换为能力建设路线：

业务与风险 → 现状基线 → 差距分析 → 目标安全体系 → 项目组合 → 分期路线 → 运营度量 → 持续改进

二、安全体系规划的原则

2.1 业务驱动

安全建设应围绕关键业务、重要数据、服务等级和业务连续性展开。支付、生产控制、客户数据和公共服务等业务的安全目标不同，不能用同一套项目和指标覆盖所有系统。

2.2 风险优先

优先治理高影响、高暴露、高利用可能性和低防护能力的风险。不能只因为某项技术热门，或某个团队有采购预算，就把它排在最前面。

2.3 统筹建设

统一身份、资产、日志、配置、密钥和安全运营等共性能力，减少重复建设和数据孤岛；针对行业或系统特殊要求，再建设专用控制。

2.4 分步实施

将长期目标拆成可交付阶段，每个阶段都要有范围、责任、依赖、验收和回滚。安全体系不应因为一次项目失败而整体停滞，也不能把所有复杂能力一次性同时上线。

2.5 适度超前

为云、移动、物联网、微服务、人工智能和远程办公等趋势预留架构能力，但要基于真实业务和风险，不盲目追求概念化平台。

2.6 安全与可用平衡

安全控制可能增加时延、运维复杂度和故障点。规划要同时评价机密性、完整性、可用性、性能、扩展性和成本，明确不同业务的安全降级和故障模式。

三、规划的主要输入

3.1 战略和业务资料

包括组织战略、业务地图、关键业务、客户服务、业务连续性、并购和全球化计划。业务规划会影响数据流、用户类型、服务区域和安全投资重点。

3.2 资产与架构资料

包括业务系统、数据目录、网络拓扑、云资源、终端、服务器、应用、接口、供应商、账号、密钥、备份和灾备。资产资料必须尽量来自现网探测、配置和平台数据，而不是只依赖过期文档。

3.3 威胁与事件资料

包括漏洞、告警、事件、攻击趋势、历史故障、审计发现、供应商风险和行业情报。真实事件能够帮助识别组织最容易失守的环节。

3.4 合规和合同资料

包括适用法律法规、监管要求、等级保护、行业标准、客户合同、隐私承诺、数据跨域和供应商责任。应区分强制要求、推荐要求、合同要求和组织内部基线。

3.5 能力和资源资料

包括安全人员技能、运维团队、已有平台、预算、采购周期、数据中心、云资源、供应商和组织变更能力。目标方案必须考虑组织能否长期运行，而不是只看技术上是否可实现。

四、现状评估

4.1 治理与组织评估

检查是否有安全责任人、策略、风险接受机制、例外管理、供应商管理、事件分级和审计流程。没有责任和流程的技术控制，通常无法持续有效。

4.2 资产与数据评估

评估资产发现覆盖率、业务责任、数据分类、数据流、影子 IT、云资源、未授权接口和备份完整性。重点识别“未知资产”和“无人负责的资产”，因为它们往往是高风险区域。

4.3 身份与权限评估

检查账号来源、共享账号、离职账号、权限超配、管理员分权、多因素认证、服务账号、密钥和权限复核。要区分人员身份、设备身份和服务身份，不能只统计员工登录账号。

4.4 技术控制评估

覆盖网络边界、终端、主机、应用、数据库、云、容器、密码、数据防护、备份和安全设备。评估不只看“是否部署”，还要看覆盖范围、配置质量、告警是否有人处置和故障时是否可用。

4.5 运营能力评估

检查日志接入、时间同步、告警分级、事件响应、取证、漏洞修复、配置变更、恢复演练和指标。安全运营的关键是从发现到处置是否形成闭环。

五、差距分析

5.1 差距分类

差距可以按治理、流程、人员、技术、数据和运营分类，也可以按保密性、完整性、可用性、身份和审计分类。每项差距要说明现状、目标、影响、原因、依赖和改进建议。

5.2 差距优先级

可以根据以下维度评分：资产价值、暴露程度、威胁可能性、影响范围、合规紧迫度、修复成本、依赖关系和业务窗口。高风险但容易治理的短板通常适合作为早期项目；高风险且复杂的能力需要拆分为多个阶段。

5.3 示例差距表

六、目标安全体系设计

6.1 目标能力地图

目标体系应描绘身份、资产、网络、终端、应用、数据、密码、云、运营、恢复和治理等能力之间的关系，明确哪些是共性平台，哪些由业务系统承担，哪些由供应商提供。

6.2 目标安全边界

根据业务和数据流划分互联网、办公、生产、研发、数据、云、边缘、管理和备份域，明确跨域访问、租户隔离、远程运维和第三方接入。边界要兼顾故障域、性能、扩展和运维。

6.3 目标身份体系

建立人员、设备和服务统一身份，接入多因素、单点登录、特权访问、临时授权、权限复核和异常行为分析。身份体系要成为网络、应用、数据和云资源的共同策略基础。

6.4 目标数据保护体系

构建数据发现、分类分级、访问控制、加密、脱敏、导出审批、备份、恢复和生命周期管理能力，特别关注测试、日志、缓存和第三方共享中的数据副本。

6.5 目标运营体系

建立资产、漏洞、配置、日志、威胁、事件、工单和恢复的一体化运营流程，定义监控范围、告警优先级、责任人、服务等级和升级路径。

七、安全项目组合和路线图

7.1 基础能力阶段

优先补齐资产、身份、网络边界、终端基线、日志、备份和责任。没有这些基础，后续威胁分析、自动化和数据安全项目很难发挥价值。

7.2 规范化阶段

统一策略、权限、配置、漏洞、数据分类、供应商、开发流程和应急管理；将分散工具接入平台，建立统一指标和审计证据。

7.3 主动防御阶段

引入威胁情报、行为分析、风险自适应访问、自动化响应、攻击面管理和欺骗防御，提升主动发现和快速处置能力。

7.4 持续优化阶段

根据事件、演练、业务变化和指标结果优化控制，形成安全架构评审、策略复用、自动化测试和架构演进机制。

7.5 依赖关系

例如，安全运营中心依赖资产、身份、日志和责任数据；自动化响应依赖事件分级、接口和回滚；数据防泄露依赖数据分类和数据流；零信任依赖身份、设备状态和应用目录。路线图要先完成前置能力，再建设依赖它的高级能力。

八、投资与资源规划

8.1 人员

安全体系需要架构、治理、运营、应急、应用、云、数据和密码等技能。平台上线后还需要运营人员、规则工程师和业务安全负责人，不能只采购系统不配置人员。

8.2 平台与工具

比较自建、采购、云服务和托管服务的成本、能力、数据边界、供应商锁定、运维要求和退出方案。共性能力应避免多个系统重复建设。

8.3 预算优先级

预算可以按风险降低效果、覆盖资产价值、合规紧迫度、建设难度和长期运营成本排序。不能只按设备价格判断投资价值，还要计算许可、升级、培训、集成、存储、人员和故障成本。

九、安全体系规划的治理机制

9.1 规划委员会

由业务、技术、安全、数据、法务、审计和采购共同参与，负责安全目标、优先级、风险接受和跨部门协调。

9.2 架构评审

新系统、重大变更、云迁移、数据共享和供应商接入应经过安全架构评审，检查资产、边界、身份、数据流、日志、恢复和责任。

9.3 例外管理

无法立即满足要求的系统可以提出例外，但必须说明原因、风险、补偿控制、责任人、到期时间和改进计划，不能把例外变成永久状态。

9.4 度量与复盘

每个建设项目都应有基线、目标、验收、运行指标和复盘。安全规划不是完成项目数量，而是风险降低和业务保障能力提升。

十、规划指标

可以从以下维度建立指标：

指标必须结合业务价值，不应为了提高数字而关闭告警、减少资产范围或降低风险标准。

十一、案例分析：集团安全体系三年规划

某集团有总部、分支、云平台和生产园区，已部署多种安全产品，但存在账号分散、资产不全、日志孤立、备份未演练和高危漏洞长期未修复问题。集团希望三年内建立统一安全体系，并满足监管和核心业务连续性要求。

第一阶段，建立基础底座。统一资产目录和责任人，清理共享账号，建设身份和 MFA，收敛互联网暴露面，补齐关键日志、终端基线和不可变备份；对核心业务完成 RTO/RPO 和故障域盘点。

第二阶段，形成规范运营。统一权限、配置、漏洞、数据分类、供应商和变更流程，建设 SIEM 与安全运营，接入云、生产和办公日志；建立事件分级、响应剧本、审计和定期演练。

第三阶段，推进主动防御。引入零信任访问、特权动态授权、攻击面管理、自动化响应、微隔离和数据导出控制；针对生产和云环境建立专门安全策略，按风险动态调整。

第四，持续优化和复盘。每半年根据威胁、业务、并购、云迁移和重大事件调整目标架构与路线图；将项目结果转化为资产、身份、漏洞、检测、响应和恢复指标，确保安全投入产生可验证收益。

十二、常见失分点

1. 把安全规划写成三年采购清单，没有现状、差距和目标。
2. 所有项目同时建设，不分析前置依赖和优先级。
3. 只写技术，不写人员、制度、预算、责任和运营。
4. 只写合规，不结合关键业务和风险。
5. 缺少度量、验收、复盘和路线调整机制。
6. 忽略备份恢复、云资源、供应商和影子 IT。

十三、今日必背清单

1. 安全体系规划的主线是业务风险、现状基线、差距、目标、项目、路线和度量。
2. 输入包括业务、资产、数据、威胁、合规、人员和资源。
3. 差距分析要说明现状、目标、影响、原因、优先级和项目。
4. 路线图应遵循先基础、后规范、再主动防御和持续优化。
5. 项目之间存在依赖，资产、身份和日志是很多高级能力的基础。
6. 规划要明确治理委员会、架构评审、例外管理和责任。
7. 指标要反映覆盖、有效性、响应和恢复，而不是项目数量。
8. 安全规划应随业务、技术、威胁和法规变化持续更新。

十四、课后练习

练习一：单项选择

安全体系规划最合理的第一步通常是（ ）。

A. 采购最先进的安全平台
B. 评估业务、资产、威胁和现状能力，建立安全基线
C. 直接编写三年采购预算
D. 先确定一个厂商作为长期合作伙伴

练习二：判断题

安全体系规划中，建设项目越多，说明安全能力提升越大。（ ）

练习三：简答题

请说明为什么统一资产、身份和日志能力通常应作为安全体系规划的基础项目。

练习四：案例题

某企业计划一年内同时建设零信任、数据防泄露、自动化响应和安全运营中心，但现有资产清单不完整、账号分散、日志接入率很低。请分析建设顺序并给出分阶段路线。

十五、参考答案

练习一答案

答案：B。

解析：规划必须从业务、资产、威胁和现状能力出发，建立基线和差距，再确定目标、项目和投资。直接采购会使技术反过来牵引需求。

练习二答案

答案：错误。

解析：项目数量不等于风险降低。重复建设、平台无人运营、资产未覆盖或告警无人处置，都可能使项目数量增加但安全效果不变。应使用覆盖率、有效性、响应和恢复等指标评价。

练习三答案

参考答案：资产是风险分析和责任划分的对象，身份是访问控制和事件关联的主体，日志是检测、审计和取证的证据。没有准确资产，漏洞和告警无法判断影响；没有统一身份，无法实现最小权限和责任追踪；没有统一日志，无法关联攻击路径和执行响应。因此三者是零信任、数据安全、自动化响应和运营中心等高级能力的基础。

练习四答案

参考答案：第一阶段先补齐资产发现、责任人、统一身份、MFA、日志接入和关键边界，建立基线和事件分级；第二阶段建设安全运营中心、漏洞和配置管理，将终端、网络、云、应用和数据库纳入监控，形成告警到工单和响应闭环；第三阶段根据资产、身份和设备状态推进零信任访问和特权动态授权；第四阶段在数据分类和数据流清晰后建设数据防泄露、导出审批和敏感行为分析；第五阶段将成熟剧本自动化，建设自动隔离、账号吊销和策略回滚，并持续演练和度量。

零信任若没有身份和资产基础会变成规则堆积，数据防泄露若没有分类会误报或漏报，自动化响应若没有日志质量和回滚会产生误操作。因此应按依赖关系分阶段，而不是同时上线全部能力。

十六、今日复盘

请拿一个真实组织或虚拟企业，写出它的三年安全规划：第一年解决哪些基础短板，第二年形成哪些规范能力，第三年建设哪些主动防御和自动化能力？每一项都写清前置依赖、责任人、验收指标和风险降低效果。

下一篇进入 18.3.3「信息系统安全规划框架」，进一步把安全体系规划组织成可评审的框架结构。