第3章
安全规划
金融企业信息安全建设中，有一项最基本的东西—安全规划，准备不够充分，就会导致工作千头万绪但收效甚微，也会导致员工起早摸黑却碌碌无为。所谓“凡事预则立，不预则废”，有规划的信息安全，才能忙而不乱，事半功倍。
3.1 规划前的思考
我们会在日常工作中有非常多的时间浪费现象，或者感觉太辛苦。著名企业文化与战略专家陈春花老师曾说过，要常问自己三个问题：
1）你为什么会辛苦？很多人会发现你想做的事情下属没帮你去做。
2）你为什么很辛苦？你发现每一个小时的效率不够。
3）你为什么那么辛苦？是因为你发现很多人做的事情并不真正产生效益。
据史书记载，诸葛亮54岁去世，诸葛亮为何英年早逝呢？诸葛亮以忠君扶蜀为先，把自身的健康放在一边，既不锻炼，又不习武。为了一统天下，诸葛亮常常要深谋远虑，运筹帷幄。他还习惯于晚睡早起，一生谨慎小心，军中事无巨细，都要事必躬亲，整天弄得精疲力竭。这种身心劳累的负担，年轻时还能应付，一旦过了中年，就会显出快速衰老的征象。据史书载，诸葛亮的使者到了魏营，司马懿不问军中之事，单问诸葛亮的饮食起居和工作忙闲情况。使者告诉他，诸葛公向来喜欢晚睡早起，连罚打士兵二十军棍这样的小事都要亲自处理，可早饭却吃得很少。司马懿听后马上得出结论：“亮将死矣!”果然不出司马懿所料，不久在撤退途中，诸葛亮就忧虑呕血而亡。可见，事必躬亲，对大BOSS来讲，弊大于利。
三个问题，一则典故，反映了很多问题和错误，这些错误显然都不应该发生。但怎么解决呢？这个见仁见智，可以有很多角度的解决方案。但在信息安全领域，首要的解决方案就是做好安全规划。
金融企业战略规划（通常是五年为周期）、IT战略规划（通常三年为周期）、信息安全三年规划、××年工作计划，是自上而下、一脉相承的。负责制订IT战略规划的人，通常会要求企业安全负责人提供信息安全三年规划作为基础材料，统筹而成。能否做一份看起来高大上，实施起来又接地气可执行的信息安全规划，是金融企业安全负责人的必备技能。
信息安全规划，以及在此框架下的年度工作计划，决定了新一年的安全投入，包括人员和资金的预算。而预算的大小，往往和IT战略规划中信息安全相关内容的篇幅形成正比关系。
在信息安全规划编制启动时间点选择方面，建议选择每年10月启动，12月定稿。有的企业喜欢12月启动，春节前后甚至3月底定稿，这样的时间安排存在很大弊端。企业工作中，总结、考核、预算，通常以自然年为单位（大部分金融企业如此，外资企业不同），而企业员工概念中，一年工作结束一般以农历年为单位。因此元旦到春节后，各种年会、总结、庆祝，基本上处于一个工作断档期。规划如果是3月前后定稿，那么和规划相关的重点项目的资源准备，如合作厂商技术交流测试、项目采购等，就会浪费自然年的第一季度。如果每年10月启动，12月定稿，就可以利用元旦到春节前后的时间，进行规划相关项目、资源的准备工作（比如，采购文档编制、采购流程发起、新招人员面试笔试等），春节后就可以开足马力，立刻开干。
安全规划考虑的因素，除了时间外，还应该考虑监管要求、企业风险偏好、IT战略目标、技术发展、资源约束、安全价值体现等，此处就不一一展开了。
3.2 规划框架
安全规划的框架，应包括概述、需求分析和安全目标、各个安全领域的现状和差距分析、解决方案和计划、安全资源规划、当年重点项目和重点任务、上一版安全规划目标差距分析等。以下是安全规划的框架示例，如图3-1所示。
概述部分主要包括信息安全形势分析，安全形势可以是外部安全形势、行业形势、监管和股东要求、对手分析（攻击者、内部异常员工）等。
安全目标是指规划周期结束组织应该达到什么样的信息安全水平。安全目标应该是跳一跳，拼命奔跑才能达到的，甚至是很大概率达不到的，而不应该是躺在床上就能实现的。
对现状和差距的分析相当于自我体检，最重要的是能从过往的安全检查中分析管理差距，以及从白盒检测、黑盒检测失效中获得技术差距。其中黑盒检测有两大利器，即安全众测和红蓝对抗，能够先于对手发现自己的漏洞和弱点，对这类检测失效的原因进行深挖，是差距分析的重点。
解决方案和计划，解决方案提出的一条条解决措施，最终要落到重点项目和任务上去实现。计划分解的频度方面，当年的至少细化到月，未来两年的细化到季度即可。
当年重点项目和重点任务，是解决方案落地的关键，当年的工作目标靠重点项目和重点任务实现。差距、解决方案、重点项目和任务、计划要形成一系列有继承关系的完整链条，才是可落地的整套规划。项目和任务的区别是，项目比任务要大和复杂一些，任务属于优化改进的小措施，项目通常是要立项和花钱的，如图3-2所示。
上一版安全规划目标差距分析，是针对上一阶段的规划执行情况进行回顾和检讨，排查实际完成效果与规划目标的差距，分析造成差距的原因，避免新规划执行过程中重蹈覆辙；分析后认为需要调整或补充执行的内容，放入新的规划中落地。
3.3 制订步骤
制订安全规划的步骤包括 ：
1）调研。
2）确定规划目标、现状和差距。
3）制订解决方案。
4）一稿，二稿……直到定稿。
5）向上层汇报。
6）回顾。
3.3.1 调研
做规划前，大BOSS一般喜欢问我们几个问题：
□未来三年，本团队要做的最牛的三件事是什么？
□未来三年，你认为世界最好的团队会做哪三件最牛的事（我们不做的原因）？
□未来三年想做但没敢写入规划的三件事是什么？本团队领域，很有价值但技术没有可能实现的事情是什么？请列出1～2件。
每年最痛苦的就是怎么填这个大坑了，后来，我们将大BOSS的问题转换了一下，更接地气一点：
□这个领域最好的团队在做什么（最佳实践）。
□我们在同业处于什么水平（自我感知）。
□我们的现状（存在哪些差距）。
回答上述问题的最好渠道是实地调研，多方学习，例如：
一是向大型互联网企业学习，这些大型互联网企业无论是面临的安全威胁、全量的攻击场景、复杂的网络和应用环境，还是海量的服务器、终端、人员数量、遇到过的坑等，都是宝贵的实践经验。稍显遗憾的是，互联网企业（特别是做安全的）不太可能敞开心扉进行传道授业解惑。因此，拥有一定的安全圈人脉资源也是企业安全负责人的必备条件之一，越来越多的企业安全人员招聘也要求这点。同时，注意参加这些互联网企业举行的年度会议，也能收获很多干货，建议多参加此类会议，远离厂商自嗨会。
二是向同业学习。可以抓住一切了解金融同业的机会，向规模比自己大的企业学习实践中遇到过的问题，向规模差不多的企业学习资源配置情况，向规模比自己小的企业学习单点突破能力强的领域。每年开春后，北上广深走一圈，基本上就能大致了解整个行业的概况。
3.3.2 目标、现状和差距
调研结束后，金融企业安全负责人通常对行业的未来趋势和规划方向有了大致了解，接下来就需要明确本企业的目标，分析现状和差距。
1.目标
目标来自于企业战略规划和IT战略规划，分为总体目标和具体目标。
□总体目标，应尽可能清晰、简洁，相对宏观和“务虚”。企业安全目标可以定义为“通过综合应用各类安全解决方案，发现并预防各类安全风险，能够承受除DDoS以外的黑客高手或者黑客集团的攻击；内部系统能有效防止非专业人员有意或者无意的数据泄露；能发现对内部重要服务器的普通内部黑客的攻击；对人员进行安全合规教育，违规、违纪现象持续降低，安全审计发现持续降低” 。
□具体目标，应尽可能明确、数字化，相对微观和“务实”。例如，非本企业组织的互联网系统漏洞发现为0；安全防护100%全覆盖；互联网基础设施风险在2小时内化解；自动化验证平台100%覆盖所有管控措施，管控措施失效能够在24小时内发现……
关于规划的目标，有两点注意事项需要说明。
一是目标绝对不合理。目标是一种预测，没有人敢说预测是合理的；而且，目标是一种决心，你发誓要做什么，目标就会出来。目标其实是你自己战略的一个安排，决定你目标的是三个要素：你对未来的预测，你下的决心，你的战略想法。
二是实现目标的行动必须合理。理解了这点，规划就成功了大半，才能围绕实现目标制订行动计划。如果实现目标的行动是合理的，那么看似不合理的目标反而有实现的可能。
关于目标，陈春花老师有三个建议，笔者很赞同，在此也做些分享：
□目标一定是从上往下，一定不要从下往上。我们最喜欢犯的错误就是团队或者个人将自己要做的工作一报，报完集合起来然后往下一拍就行。目标绝对不能从底往上报，目标一定是上边来定，其他东西都可以授权，但是目标设定是不授权的。
□目标必须是个人的目标。目标一定要给到个人，而不可以给到部门。
□每一个人承接的不是目标，而是一套解决方案。他必须去承诺这个解决方案，怎么让这个目标实现。目标不是要确保实现1亿的销售额，而是要告诉我为了实现这个销售额的行动方案是什么。
此处，科普一下目标设定的SMART原则及在安全规划领域的应用，如图3-3所示。
（1）Specific—明确性
所谓明确的就是要用具体的语言清楚地说明要达成的行为标准。明确的目标几乎是所有成功团队的一致特点。很多团队不成功的重要原因之一就是目标模棱两可，或没有将目标有效地传达给相关成员。
举个例子，安全目标中有一条是“防黑反黑”。这种对目标的描述就很不明确，因为我们不知道要防护哪些目标，防护什么级别的黑暗力量。所以最后可以改成：能够承受除DDoS以外的黑客高手或者黑客集团的攻击；内部系统能有效防止非专业人员有意或者无意的数据泄露；能发现对内部重要服务器的普通内部黑客的攻击。
（2）Measurable—衡量性
可衡量的是指应该有一组明确的数据，作为衡量是否达成目标的依据。如果制订的目标没有办法衡量，就无法判断这个目标是否实现。
举个例子，定安全目标时，常见的用词是“提高××水平”“加强××能力”“完善××措施”，这些目标是无法衡量的，因为不知道要提高到什么水平，加强到什么能力，完善哪些措施。在内部定具体安全目标时尽量使用可量化的目标，例如，非我公司组织的互联网系统漏洞发现为0；管控措施失效能够在24小时内发现，等等。
（3）Attainable—可实现性
目标是能够被执行人所接受的，目标设置要坚持员工参与、上下左右沟通，使拟定的工作目标在组织及个人之间达成一致。目标不能是躺在床上就能完成的，也不能是“摘星星”的工作任务。
举个例子，中小金融企业如果提出所有安全防护系统和工具都自研这一目标，虽然勇气可嘉，然而实现起来却非常困难。当目标完全不可实现，会打击团队士气，造成“死猪不怕开水烫”的后果。
（4）Relevant—相关性
目标的相关性是指实现此目标与其他目标的关联情况。如果实现了这个目标，但对其他目标完全不相关，或者相关度很低，那么即使达到这个目标，意义也不大，还很有可能劳民伤财，得不偿失。
举个例子，所有安全规划的目标和任务都是围绕保障企业安全性，并最终促进企业战略目标来计划的，如果一项工作与企业战略目标完全无关，不管其技术先进性多么强，都应该忽略。
（5）Time-bound—时限性
目标的时限性是指目标是有时间限制的，没有时间约束的目标是没有办法衡量和评价的。
举个例子，安全工作的目标和任务需要时间约束，比如三年后达到什么安全水平，每一年提升哪些安全能力，每个季度完成哪些安全任务，都是时间条件强约束。
2.现状和差距
对于现状和差距主要考虑以下两点：
一是分析维度要全，建议分成安全管理、安全防护、安全运营、安全资源、安全度量五个维度。安全管理考虑组织架构、职责、制度、考核；安全防护考虑覆盖网络层、虚拟层、系统层、应用层、数据层、用户层的纵深防护技术体系；安全运营考虑安全运维、安全验证、安全反制；安全资源考虑人员、流程、资源；安全度量考虑技术维度、安全运营成效、安全满意度和安全价值。现状和差距最好能做到全量摸底，重点突出。
二是敢于自揭老底，自我否定。不要自我感觉良好，没发现异常很可能是发现能力不够，没有事件很可能是运气好。
3.3.3 制订解决方案
目标确定并分析差距后，必须针对性地制订解决方案，才能确保目标落地实现。制订解决方案要注意以下几个原则：
一是要体系化。头痛医头脚痛医脚，可能短时间得到一点效果，但禁不住大BOSS问，怎么又是这个问题，怎么又要这个投入，你们能一次性和我说清楚吗，等等。有些问题，初看是技术问题，仔细想想，其实根源还是管理问题。遇到问题，最好从管理和技术两个方面考虑解决措施，得到综合的结果。
二是要可持续。金融企业有个常见的例子，给分行或分支机构上IPS/IDS，但分行或分支机构根本就没有能看懂IPS/IDS日志的管理员，如果合规要求必须上，那一定要考虑日志如何收集、分析和处理。最好的做法是将日志统一上收到总部，由总部统一管理和运营（注意不是运维，日常开机等还是分支机构管，日志分析和异常告警由总部完成）。每项安全措施、每套安全设备都是有管理成本的，如果仅仅上一个技术手段，而不考虑持续的运营，那么这个解决方案整体看来就是无效的。
三是要可接受。制订解决方案后，要确保安全团队的每位成员都从心里认同它、接受它，这样执行才会有效率和有效果。提高团队成员接受程度的一个好方法是，先让团队成员熟悉目标、现状、差距，然后找晚上时间进行头脑风暴，连续一周，强化训练。当然，头脑风暴过后，要记得去“撸串”，团队建设、凝聚力、肚子饿的问题就都一并解决了。
3.3.4 定稿
一稿，二稿，……，定稿。关键是迈出第一步，完成第一稿，万事开头难，一旦开始就停不下来了。这个过程还有一个很重要的环节—征求意见。首先，在安全团队内部充分讨论、碰撞，形成共识；其次，在IT内部其他团队征求意见，取得共识；再次，要做好上层汇报，完成定稿。
3.3.5 上层汇报
管理领域有个话题—如何管理你的上级，将上级作为你工作的资源之一。这是非常重要而有趣的话题。安全汇报是“管理”上级工作中非常重要的一环，往往也是安全人员最不擅长的一环。
首先，要建立面向高级管理层、IT部门总经理、安全团队内部的安全汇报体系。每年至少要向高级管理层汇报1～2次，内容包括安全规划、安全形势、重大安全决策等。汇报形式可以是IT治理委员会或总裁办公会框架下的正式会议，也可以是定期的签报形式，这取决于企业内部的流程规定和具体需求。
其次，要在IT部门和安全团队内部进行常态化的安全汇报，此类汇报的内容要围绕三个目的展开—介绍取得的成果（邀功），表扬先进和督促后进，索要资源。
具体到安全规划的汇报，建议先向IT部门总经理汇报，就目标、计划、资源达成一致。但大部分总经理没有精力也不应该过多关注解决方案等细节，最多可能关心现状分析中存在的主要问题。达成一致后最好能在高级管理层汇报一次，可以是单独的安全规划议题，也可以合并在IT战略规划中，向高级管理层报告。
3.3.6 执行与回顾
安全规划的执行与回顾，是规划全生命周期中非常重要的一个环节。因为一个看似一般但严格执行的规划，远胜于一个看似很好却无法或未能执行的规划。为了确保安全规划的落实，最好的方法是将安全规划目标分解落实到安全重点项目和工作任务，再将重点项目和工作任务分解落实到安全团队每位员工的年度绩效考核中。至少每季度开展一次重点项目和工作任务的回顾，至少每半年开展一次安全团队员工绩效的回顾，回顾后需要制订针对性的改进措施。
在实践中，经常可以听到关于规划无用论的抱怨，如果做完规划就将之束之高阁，那么规划当然没用。而坚定不移地执行规划并做好定期回顾，将规划作为真正的行动指南，规划才能避免成为空中楼阁。
通常信息安全规划一次做三年，每年滚动更新。 任正非说过，方向可以大致正确，组织必须充满活力。就是说，大家必须充满活力地去执行规划，但在执行中可以随时调整规划。
3.4 注意事项
从某种意义上讲，安全规划其实是一套行动方案。规划不是目标分解，而是行动指南。在做规划的时候，还有以下几点要特别注意，才能取得更好的成效。
一是要有逻辑，切记堆砌。很多企业安全负责人不重视安全规划，为了省时间，简单地把自己想做的工作全部罗列出来，就形成了一个安全规划。但对于为什么要做这些工作，能解决什么问题，提高到什么安全水平，和同业的差距等，没有系统的介绍，那这份安全规划得到高级管理层支持的概率会很低。
二是既要实（可落地），也要虚（远大目标），虚实结合。总体目标、方向上可以务虚，眼光看远一些，目标定高一些；具体措施上、行动上必须务实，脚踏实地，分解成一项一项行动计划，才可以确保规划的最终效果。
3.5 小结
年底是企业安全负责人最忙的时间，但也是做安全规划的最佳时机，必须重视安全规划，因为安全规划是“纲”，而“纲举”方能“目张”。适时做出一份看起来高大上、实际实施又接地气、可执行的信息安全规划，是企业安全负责人的必备技能。