隨著《網(wǎng)絡(luò)安全法》和等保2.0的頒布，信息安全被上升到國(guó)家層面，越發(fā)受到重視。同時(shí)，云計(jì)算、大數(shù)據(jù)、移動(dòng)互聯(lián)網(wǎng)等技術(shù)的應(yīng)用，帶來(lái)企業(yè)數(shù)字化程度的提升，使得企業(yè)對(duì)IT系統(tǒng)及信息的保密性、完整性和可用性的保護(hù)的要求也越來(lái)越高。

作為一家傳統(tǒng)的白酒企業(yè)，瀘州老窖在數(shù)字化轉(zhuǎn)型的浪潮中經(jīng)歷了從零起步、從無(wú)到有的信息安全建設(shè)過(guò)程。在企業(yè)網(wǎng)D1Net舉辦的2019CIO大會(huì)上，瀘州老窖股份有限公司數(shù)字發(fā)展中心副總經(jīng)理崔偉分享了自身的經(jīng)驗(yàn)。

瀘州老窖股份有限公司數(shù)字發(fā)展中心副總經(jīng)理崔偉

信息安全面臨新挑戰(zhàn)

“在整個(gè)數(shù)字化轉(zhuǎn)型的過(guò)程中，傳統(tǒng)企業(yè)實(shí)際上是處于后進(jìn)者和跟隨者的位置。為了能夠逐步追趕上來(lái)，我們從2015年開(kāi)始了大規(guī)模的信息化建設(shè)工作。隨著越來(lái)越多的核心業(yè)務(wù)在數(shù)據(jù)中心里運(yùn)行，網(wǎng)絡(luò)與信息安全問(wèn)題日益凸顯。”崔偉表示。

在數(shù)字化建設(shè)的推進(jìn)過(guò)程中，企業(yè)的發(fā)展越來(lái)越離不開(kāi)信息化和數(shù)據(jù)化的支持。這使得信息安全也不再是過(guò)去可有可無(wú)的存在，而是成為保護(hù)企業(yè)敏感數(shù)據(jù)，確保業(yè)務(wù)延續(xù)性的關(guān)鍵?；仡櫈o州老窖的信息安全建設(shè)歷程，可分為四大塊，包括信息安全的咨詢規(guī)劃、移動(dòng)終端安全、信息安全基礎(chǔ)建設(shè)以及電子郵箱信息安全專項(xiàng)治理工作。

信息安全不只是技術(shù)問(wèn)題，更是一個(gè)管理問(wèn)題，需要對(duì)信息系統(tǒng)安全進(jìn)行全面的規(guī)劃，從管理、組織和技術(shù)等多方面進(jìn)行綜合考量。為此，瀘州老窖聘請(qǐng)了外部專家咨詢團(tuán)隊(duì)，通過(guò)梳理信息安全管理制度，結(jié)合瀘州老窖的實(shí)際情況，參照等級(jí)保護(hù)標(biāo)準(zhǔn)，為公司建立了一套完善的信息安全管理體系，并結(jié)合公司信息化現(xiàn)狀，制訂了未來(lái)3到5年信息安全建設(shè)規(guī)劃。

從移動(dòng)終端安全起步

在完成整體規(guī)劃后，瀘州老窖選擇了移動(dòng)終端安全作為信息安全的首個(gè)落地項(xiàng)目。

“當(dāng)時(shí)，經(jīng)過(guò)兩三年的移動(dòng)信息化建設(shè)，手機(jī)上的APP成為領(lǐng)導(dǎo)層每天都要使用的生產(chǎn)工力具。從移動(dòng)端起步，就能比較快地向業(yè)務(wù)部門(mén)和領(lǐng)導(dǎo)層普及信息安全的價(jià)值和作用，自上而下地進(jìn)行項(xiàng)目推動(dòng)，減少實(shí)施的阻力。”

為此，瀘州老窖搭建了專屬的企業(yè)移動(dòng)應(yīng)用商店，對(duì)移動(dòng)應(yīng)用的發(fā)布、更新、監(jiān)控、下架、銷毀全生命周期進(jìn)行管理，為最終用戶提供統(tǒng)一的應(yīng)用下載安裝入口。還成功搭建業(yè)界領(lǐng)先的移動(dòng)應(yīng)用安全服務(wù)(DLP)平臺(tái)，對(duì)企業(yè)數(shù)據(jù)在移動(dòng)終端上的存儲(chǔ)、傳輸、訪問(wèn)、分享、權(quán)限控制、安全策略等提供全方位的安全保障，提供完整的移動(dòng)終端的DLP方案支持。

在信息安全基礎(chǔ)建設(shè)方面，瀘州老窖一方面注重于提升基礎(chǔ)防護(hù)能力，有效防護(hù)內(nèi)外部攻擊，另一方面滿足合規(guī)性，達(dá)到等保二級(jí)要求，部分系統(tǒng)通過(guò)等保三級(jí)。另外，借助配套的管理工具，技術(shù)手段與管理制度相互結(jié)合，更好地進(jìn)行信息安全運(yùn)維。

崔偉介紹，2019年瀘州老窖在信息安全建設(shè)上有四大專項(xiàng)工作：

終端安全加固工作

告別過(guò)去各類PC終端在安全管理上的混亂局面，完成對(duì)所有辦公區(qū)域終端殺毒軟件安裝，共計(jì)2112臺(tái)

終端數(shù)據(jù)安全防護(hù)項(xiàng)目

有調(diào)研顯示，企業(yè)信息系統(tǒng)所面臨的安全威脅有超過(guò)85%的安全威脅是來(lái)自于公司內(nèi)部。因此今年加強(qiáng)了商業(yè)秘密保護(hù)的保護(hù)，包括對(duì)企業(yè)人員的文件使用行為加以規(guī)范，逐步完善數(shù)據(jù)安全體系建設(shè)。

應(yīng)急演練專項(xiàng)工作

通過(guò)開(kāi)展應(yīng)急演練，檢驗(yàn)網(wǎng)絡(luò)安全防護(hù)能力，優(yōu)化應(yīng)急事件處置流程，更迅速響應(yīng)應(yīng)急事件

等保測(cè)評(píng)專項(xiàng)工作

今年12月1日，等保2.0標(biāo)準(zhǔn)將正式實(shí)施。按照有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)安全等級(jí)保護(hù)狀況進(jìn)行檢測(cè)評(píng)估。

在談到未來(lái)規(guī)劃時(shí)，崔偉表示，希望能夠運(yùn)用更多的智能化運(yùn)維工具和平臺(tái)，來(lái)減輕人力勞動(dòng)，提升防范安全威脅的能力。具體包括以下三部分：

安全運(yùn)維平臺(tái)

拓?fù)潢P(guān)系可視化和故障告警智能化，實(shí)時(shí)感知系統(tǒng)健康狀況，簡(jiǎn)化系統(tǒng)故障排查復(fù)雜度，提高系統(tǒng)故障問(wèn)題定位和修復(fù)效率，增強(qiáng)安全運(yùn)維能力

安全可視化

建立合規(guī)、風(fēng)險(xiǎn)管理的安全運(yùn)營(yíng)支撐平臺(tái)，結(jié)合基礎(chǔ)設(shè)施探測(cè)模塊、流量檢測(cè)模塊、攻擊檢測(cè)模塊對(duì)全網(wǎng)的設(shè)備設(shè)施進(jìn)行全網(wǎng)探測(cè)，對(duì)流量和攻擊進(jìn)行檢測(cè)，全方位的繪制信息安全底圖，做到安全態(tài)勢(shì)感知

云安全

未來(lái)企業(yè)將有大量的業(yè)務(wù)上云，解決云計(jì)算環(huán)境中的安全防護(hù)體系的構(gòu)建問(wèn)題，并通過(guò)其專業(yè)的安全管理和部署能力，實(shí)現(xiàn)按需的對(duì)安全資源的管理調(diào)度，以適應(yīng)業(yè)務(wù)資源彈性動(dòng)態(tài)變化的特性