让安全显形，腾讯安全打出“破隐一击”

9月5日-9月6日，以“智启新机、云驱增长”为主题的2024腾讯全球数字生态大会（下称“生态大会”）顺利举办。在此次生态大会上，腾讯以“增长”为核心命题，提出了以智能化、国际化和智能创新来促进增长。

在全球经济下行的当下，追求增长是企业的一致目标，但在增长的同时，如何应对因技术突破和应用创新带来的安全风险以及因经济下行带来的预算缩减、人才短缺等挑战也成为企业需要解决的重要难题。在生态大会的数字安全专场，腾讯安全提出构建可感知、可掌控、可增长的主动安全建设框架。安在新媒体受邀参与主峰会及数字安全专场。

安全随处可见

9月5日，笔者踏入了深圳国际会展中心。进入展会会场后，诸多展台映入眼帘，腾讯在产业互联网布局的众多产品以及行业、场景以及合作伙伴的重要技术成果均有展出。其中，安全成为众多展台重要的宣传要素。

在“腾讯云出海服务”展位上，企业出海合规作为单独一个板块加以呈现。

在宣传屏上显示，企业在各类渠道收集的业务敏感数据，会在集成后共同上传至腾讯云对象存储COS的存储桶，通过存储桶的加密功能，企业可将这些敏感数据进行内容分发、数据备份等下一步处理。业务出海是近几年企业业务增长的主要方向之一，腾讯云出海服务关注到了数据出境合规的各项要求，通过加密等一系列能力提供了数据安全保障。

在“腾讯云应用开发与管理”展位中强调了腾讯云AI代码助手这一功能。该功能不仅将编码效率提升40%，还提供了审查代码质量、工程理解精准问答等能力。

在开发安全中，代码安全是开发安全中的重要一环，来自开源的代码很有可能潜藏着安全隐患，通过腾讯云AI代码助手则可以准确发现其中的风险代码，进一步提高应用开发与管理的效率和成果。

在“数字金融”展台中，笔者看到了护航金融安全这一板块。该板块提到，针对金融安全，腾讯将布控“云防火墙”“Web应用防火墙”“主机安全”和“数据安全”这4道防线，一体化提升公有云/私有云安全运营效果。据了解，4道防线是腾讯云安全“4+N”体系的重要组成部分。

展会现场将安全单独呈现的展台还有很多，笔者不一一举例。这些展台的呈现一方面反映了腾讯数字生态始终关注安全的作用和价值，另一方面也印证了今年生态大会数字安全专场的主题：看得见的安全。

“看得见”是安全下一阶段的标志

9月6日上午，数字安全专场准时召开。来自腾讯、IDC、同程、上汽等安全专家围绕“看得见的安全”展开了分享。在实际的企业环境中，安全往往是最容易被忽视的领域之一。很多企业决定建设安全的起因要么是受到合规处罚，要么是遭遇安全事件，缺乏主动驱动力去建设和关注安全。

导致这样的原因有以下几点。首先是安全意识不足。企业管理层经常会陷入误区，将网络安全归类为技术层面的工作，抑或是认为其会影响业务发展，员工也会因安全意识不足而忽略安全的作用。

其次是安全过于复杂。在数字化转型的过程中，企业无法避免地会接触到网络、云、大数据等要素，随之而来的安全风险五花八门，所需要的安全技术也复杂多样。从市场来看，安全市场领域繁多。据安在新媒体发布的“2024中国网络安全产品用户调查报告”显示，网络安全产品覆盖7个领域，160个子类（不完全统计）。这些复杂的安全产品导致企业在建设安全的过程中，不仅需要考量安全技术的效果，还提升了安全运营的难度。很多时候，企业只能在损失发生后，才能意识到安全的重要性。

最后是成本过高。因安全效果难以量化，企业很难准确把握安全的投资回报比。与此同时，随着企业数字化进程的加深，建设安全的成本与日俱增。此前，拜登政府公布2025财年预算申请，联邦政府将投入130亿美元用于增强网络安全，相对的，攻击者的攻击支出仅需10美元。出于发展的考量，部分企业仅将安全维持在合规红线，忽视安全的价值。

然而，在增长成为企业发展的主旋律，过去对于网络安全的认识和态度也要发生变化。对此，腾讯集团高级执行副总裁、云与智慧产业事业群CEO汤道生表示，当技术突破和应用创新成为企业普遍追求的二次增长曲线、当数据成为贯穿企业业务环节的血液，就不能再以被动思路来建设安全，而是应当建立一套可感知、可掌控、可增长的主动安全建设框架。IDC中国区总裁霍锦洁也表示，越来越多企业通过数字化来引领创新，安全成为企业持续增长的前提和基石。

可感知、可掌控、可增长的安全架构

想要使安全可以被看见，不仅需要从意识上提高对安全的重视，还要从框架上对安全加以改变。对此，腾讯安全围绕可感知、可掌控、可增长提出了一套主动安全建设框架。

可感知指的是建立主动、前瞻的安全情报体系。威胁情报是企业实现主动安全的必要元素，通过威胁情报，企业可发现与业务相关的风险类型，并围绕其建设针对性的安全能力，化被动为主动。

可掌控指的是建立多级立体的防御体系。纵深防御一直是企业对抗网络安全威胁的主要防护策略，然而，随着内部风险的提升以及权限在网络安全对抗中的重要性，仅依靠纵深防御无法全面、有效地提高企业安全性。因此，多级立体的防御体系可以在面对入侵时，逐级降低安全风险，掌握攻防对抗主动权。

可增长即构建基于行业场景的业务安全能力。想要实现价值以及更好地保障企业安全，就需要让安全与业务进一步贴合。传统的、外挂式的安全建设方法无法更好地贴近业务，也就无法平衡安全与增长。在现阶段，安全不应该仅仅成为“防线”，而是要成为生产力。

那么，如何让企业更好地实现主动安全，进一步提高安全的“可见性”呢？霍锦洁表示，据IDC的研究表明，构建云原生安全体系可有效抵御网络攻击。因此，腾讯安全在此次分会上首次公开腾讯云平台自身安全建设框架，并发布了腾讯云安全“4+N”体系。

腾讯云平台自身安全建设框架

腾讯安全副总裁、腾讯云鼎实验室负责人董志强表示，目前，腾讯云在全球维护超过150万台服务器、各类云服务云资产总量超过1.4亿。在积累了多年的云安全治理实践后，腾讯安全已经建立起一套行之有效的云平台高安全等级架构。

据董志强介绍，当前企业所面临的问题和挑战主要来自四个方面。首先是资产与数据。海量的数据正在源源不断地汇入企业，如何处理和保护好这些资产和数据成为企业需要解决的第一个挑战。第二是管理机制与业务关系，安全与业务的关系在近年来屡屡被提及，既要满足业务发展，又要覆盖合规要求是企业的第二个挑战。第三是新技术与业务架构，包括云计算、AI和大数据等技术正在成为企业数字化进程的支柱，而新技术所带来的新安全威胁则成为企业需要应对的挑战之一。此外，受安全左移思想而提出的DevSecOps正在改变企业的业务架构，如何在改变的过程中兼顾安全性也成为企业的安全挑战。最后是网络空间态势，随着AI大模型等技术的普及，网络安全整体态势愈发严峻，持续攻击和对抗成为常态，建立起对应的安全防护是企业安全工作的关键。

董志强表示，网络安全已经进入了下一个阶段。他阐述了过去的理念和误区，包括网络安全是技术层面的事情、安全工作影响业务发展、合规驱动的安全等等，也提出了今天的安全环境变化，例如网络安全是业务成长和组织发展的命脉、安全伴随业务共同成长，创造价值、合规驱动、价值驱动、风险驱动等等。

通过对比上述的挑战和变化，腾讯安全总结了现代云安全的十条基本原则。包括安全与组织战略一致；与业务建立伙伴关系；可量化的安全ROI和KPI；“全员安全责任制”；轻量框架、动态流程，伴随业务发展而迭代；数据驱动，指标驱动；“零信任”原则，最小权限，特权分离；“假设损失”原则；进行实效性验证，持续验证、多层验证；默认安全、自动化、智能化。

董志强表示，“网络安全是一个业务和组织发展的命脉，我们要把安全和组织的命运联系在一起。以往的观念认为安全建设要尽善尽美，既然已经有所投入了就应该有兜底的能力、应该不出事，实际不是这样的，安全是一场无限战争，我们要在有限成本上做假设损失的原则。”

在得出这样的结论后，董志强披露了腾讯云安全治理架构。最上层的CEO等C-Level领导层负责安全与战略对齐。业务负责人和安全负责人负责安全与业务的集成和安全策略、流程和文化的制定。架构师与技术Leader则需要提供安全架构和保护框架以及模块化治理结构。基础的研发与运营团队需要实现技术控制与持续运营流程。

此外，董志强还分享了腾讯云平台防护总体架构以及各项高等级云安全架构实践工作。他表示，通过腾讯云安全治理架构，腾讯云真正实现了让安全“看得见”。目前，腾讯云安全团队每天需要应对超过800起风险事件，每一起的平均检测研判时间在4分钟，45分钟内分析溯源并且完成对攻击行为的阻断遏制，有效地保障了云上百万用户的业务安全。

腾讯云安全“4+N”体系

在此次分会上，腾讯安全还提出了腾讯云安全“4+N”体系。上文提到，腾讯在保障金融领域的安全时，已经实践了“4+N”体系，并得到了实际的反馈和效果。对此，腾讯安全副总裁方斌表示，云是企业数字化的核心载体，各行各业对于云安全有共性需求。“通过4+N体系及后续推出的安全价值评估模型，可以帮助企业定量评估安全建设投入价值，让企业安全‘看得见’、‘可量化’、‘算得清’。”

相对于“看不见”的安全，方斌认为风险是直观可见的。一方面，来自外部的攻击事件越来越多，据腾讯安全统计，2024上半年全网漏洞爆发2万+，真实修复率低于7%。与此同时，腾讯云拦截攻击同比增加71.38%，拦截攻击者同比增加了13.12%。另一方面，腾讯安全提出外部攻击强度正在提升，攻防演练正走向常态化、实战化，被突破风险提升。然而，与外部威胁对比的企业安全现状却岌岌可危。企业安全意识薄弱、安全战略被动、安全人才不足都是引发企业风险的重要因素。

在看得见的风险下，企业应该如何建设安全？对此，方斌表示，安全基础建设和数字化收益就是1和0的关系，安全就是一串数字前面的1，没有1，无论后面有多少个0都是无效的。因此，腾讯提出云上安全建设“4+N”防护体系，旨在开放基于自身多年实践的“腾讯级”安全能力，帮助各行各业企业用户更有效地打造适配自身需求的数字安全体系。

“4+N”防护体系中，4指的是“云防火墙”“Web应用防火墙”“主机安全”和“数据安全”。对此，方斌表示，在企业云安全建设中，几乎所有企业都会面对共性的基础安全问题，如攻防演练、复杂攻击、挖矿勒索、防爬防薅、等保合规、批量攻击等。针对这些共性问题，腾讯提出的4道防线可以解决批量攻击、合规、安全运营、复杂攻击问题。

N则针对不同行业所具备的个性化业务场景，如金融行业的交易信贷反欺诈、电商行业的营销流量风控、出行领域的车联网安全以及零售领域的黄牛防刷及品牌打假等等。用户可根据自身的业务场景和安全需求，选择个性化的解决方案，为业务发展“增”值“提”效。

基于腾讯云安全“4+N”体系，腾讯安全还在4道防线上集成了一些独家优势。例如实现了云安全产品与腾讯云、微信等腾讯系产品联动，以及基于AI能力实现风险自动化处置等等。目前，腾讯的4+N体系已帮助各行业多家企业构建起可助力业务增长的安全能力。

结语

一直以来，腾讯安全始终关注企业的安全需求和安全的价值体现。

此前，腾讯安全倡导安全要“化繁为简”，提出了一键式的安全运营中心和简约集成的安全架构等等。而现在，腾讯安全则强调安全要“化虚为实”，通过增强安全在企业中的“可见度”来进一步提升和优化安全能力，确保企业在数字化进程中能够平衡发展与安全。

在经济下行和恶劣安全环境的共同压迫下，让安全显形成为企业提高安全能力的重要举措。包括腾讯安全在内的安全供应商们，也应该通过各种产品和策略，帮助企业打出“破隐一击”，让安全更具价值，让风险无处遁形。