信息安全专业硕士，10年以上网络攻防经历；曾多次规划组织部级前沿网络攻防项目；现带领团队围绕服务、应用和IoT，建设软件安全能力和网络防护能力所需的产品、技术和平台。

在《网络安全法》中明确规定国家实行网络安全等级保护制度，落实网络安全责任制，依据相关规定开展等级保护工作，通过等级测评来检验网络系统的安全防护能力，识别系统可能存在的安全风险。等级保护工作是一套系统方法论和网络安全建设手段，是适用所有信息系统的安全基线和安全差距改进计划，当前已经满足的等保基线完全可以融入到日常安全工作中，并形成常态的安全防护能力。

另外也需要强调，所有的信息系统都需要围绕业务信息安全和系统服务安全进行定级，不表示所有的信息系统都需要开展等级测评。遇到过部分企业盲目开展等保测评工作的情况，而忽略了等保建设价值导致流于形式。不以测评为目的建设是一种最低的安全标准，这种理解对于另外两项安全评估工作也是同样如此的。

《网络安全法》中规定关键信息基础设施运营者通过安全检测评估的方式识别可能存在的风险；在《密码法》中规定使用商用密码进行保护的关键基础设施，其运营者应履行开展商用密码应用安全评估的工作，同时指出商用密码应用安全评估、关键信息基础设施安全检测评估与网络安全等级测评进行衔接，避免重复评估、测评。

是否开展商用密码应用，以及是否对技术防护情况、云服务安全评估情况、风险评估情况、应急演练情况、攻防演练情况等范畴存在的风险进行检测评估。除去自身信息系统被规定要去执行的情况，一般系统不妨作为网络安全能力成熟度建设方向，持续提高安全团队面对关基防护强度的综合应对能力；也就是将等级保护建设作为安全能力的下限，关基安全建设作为安全能力的上限，自身网络产品服务的安全构成应该在此平行线内演化提升。

《网络关键设备安全通用要求》是网络安全领域少数强制性标准之一，虽然是以网络关键设备作为对象，但难度不大，几乎就是互联网企业已开展SDL实践的低配版。因此，对于一般信息系统而言，相关的安全通用要求同样值得关注和实施。

在安全通用要求中，主要分为“安全功能要求”与“安全保障要求”两个大类。对所有应用系统标识资产等级，根据业务差异化落地响应流程也就是企业SRC的最佳实践。让每一个应用系统集成统一身份访问管理，开展开发安全、网络主机应用防护、运维安全以及安全运营分析，其要求又与纵深防护实践理念统一，也与互联网的安全实践一致。

联网应用和联网设备容易受到冒用、篡改、劫持和恶意使用等威胁。无论是消费类应用还是物联网行业，网络安全风险都客观存在，消费者或最终用户也更易遭受黑客攻击与隐私侵犯。面对联网程度越来越高的生活环境，必须采取适当的网络安全保障措施。

在终端应用的研发过程中依旧需要重视开发安全。实现必要的漏洞管理和补丁更新功能，在网络通信时使用正确的TLS加密，并对默认密码和本地数据实施必要的软件加密和数据加密措施。持续可用的OTA能力和加密能力是基础安全中较难建设的部分，不仅有技术本身的复杂性，也有与端侧业务结合的困难性，但对于提高终端应用的安全防护和隐私保护是有极大裨益的。

最后是对于三方软件系统的安全管理。由于缺少主动维护和厂商延迟响应等客观情况，三方软件系统的安全管理存在显著的不确定性和不可控性。三方软件在内部环境部署交付后，极少被更新或改进系统漏洞，时间稍久的系统更有可能不再作为厂商售卖和维护的版本。

一套在用的三方软件系统比开源软件供应链安全问题更为复杂，前者缺少源码和技术文档，业务流程在初始化后便不再改动，并被重复使用。在不更换系统和维持现有数据可用的前提下，安全防护工作明显困难很多。如果能够取得业务部门的支持，迁移软件或下线系统肯定是一劳永逸的对策；但如果要保持安全运营，类似防火墙、WAF的安全防护能力嵌套必不可少。而在不具备修复代码功能条件又需要及时防范业务接口过多暴露敏感数据的情形时，安全团队急需实现一种数据安全访问代理，通过代理具有的动态脱敏敏感数据的安全能力，既可以避免重构代码过程，又可以维持的业务流程的不变。基于安全访问代理的安全运营将是安全团队补充已交付软件安全性的重要手段。

不过以上这些都是事后的动作，安全团队需要尽早联合采购部门对三方软件系统建立安全交付要求。建立一套包括提供源代码、第三方代码审计和渗透测试报告、持续5年的软件更新支持等在内的安全措施，能够为未来的安全团队工作减轻包袱。

借用本次主题中的话，没有绝对的安全，也没有绝对管用的安全措施。安全团队想要把每一项活干明白（怎么干、干到什么程度）是需要持续探索和对比改进的。但无论如何去做，更要看到业务的长期安全需要是什么，并建立最经济的防护方案。