david liu

信息安全

《广东省数据要素市场化配置改革行动方案》趋势与商业机会分析

2021/7/13 在中国人大6月10日公布9月1日生效的《数据安全法》之后，深圳人大7月10日公布《深圳经济特区数据条例》并计划于2022年1月1日生效后，广东省政府在7月11日发布了《广东省数据要素市场化配置改革行动方案》。广东省政府的规划政策，深圳市的地方立法快速响应《数据安全法》保护与发展两大主题的决心和魄力，预测着未来经济发展的趋势，是从政府的认知和政策引导的角度对未来发展脉搏的把握，令人钦佩。可惜的是，重要的信息却被淹没在网信办依据《国家安全法》《网络安全法》实质关注《数据安全法》的滴滴等系列企业的安全监管舆论风暴中。本文尝试从文本的角度，分析行动方案中蕴含的趋势与机会，以飨读者。 主要目标是在2021年建立公共数据运营管理体系和公共数据与社会数据融合的数据要素流通体系，培育两级数据要素市场。2022年建成数据要素市场化体系和市场化配置改革先行区。这个目标的关键是在公共数据开发的基础上实现社会数据融合并以市场化配置的方式，规范，标准，安全，合规推动数据市场要素的市场化，并希望通过攻坚式试点引领未来数据新能源的经济模式，两年达到目标的雄心令人雀跃，却很可能忽视了实现的难度

信息安全

诸子笔会2022 | 刘志诚：网络空间安全——平衡的艺术

自2022年5月起，“诸子笔会第二季”正式拉开帷幕。经过对首届活动复盘，我们在坚持大原则、大框架、主体规则基础上，优化赛制特别是奖项设置和评奖方式。13位专家作者组成首批“笔友”，自拟每月主题，在诸子云知识星球做主题相关每日打卡，完成每月一篇原创。除了共同赢取10万元高额奖金，我们更要聚焦甲方关注，发掘最佳实践，弘扬分享精神，实现名利双收。本期发文，即诸子笔会月度主题来稿之一。 网络空间安全——平衡的艺术      文 | 刘志诚 刘志诚 乐信集团信息安全中心总监 关注企业数字化过程中网络空间安全风险治理，对技术风险治理拥有丰富的理论和相关经验。 进入10月份，是各项工作收官的季节，也是开始筹划未来一年工作规划，准备相关预算的季节。作为安全负责人，在预算沟通上面对的挑战、回答的问题，都离不开“安全的尽头是什么”这一终极追问。毕竟对财务部门而言，安全属于成本中心，对安全的投入难以实现成本绩效的考核（ROI），不出事属于沉没成本，出事了属于无效成本，安全事故与安全预算难以建立有效的关联关系。 即使对于主

信息安全

诸子笔会2022 | 刘志诚：查缺补漏——安全运营可观测性与有效性能力的目标之旅

自2022年5月起，“诸子笔会第二季”正式拉开帷幕。经过对首届活动复盘，我们在坚持大原则、大框架、主体规则基础上，优化赛制特别是奖项设置和评奖方式。13位专家作者组成首批“笔友”，自拟每月主题，在诸子云知识星球做主题相关每日打卡，完成每月一篇原创。除了共同赢取10万元高额奖金，我们更要聚焦甲方关注，发掘最佳实践，弘扬分享精神，实现名利双收。本期发文，即诸子笔会月度主题来稿之一。 查缺补漏——安全运营可观测性与有效性能力的目标之旅      文 | 刘志诚 刘志诚 乐信集团信息安全中心总监 关注企业数字化过程中网络空间安全风险治理，对技术风险治理拥有丰富的理论和相关经验。 在讨论9月主题的时候，社群里两个大佬精彩地对了一副对联：“开源组件漏洞紧急修，修修修，何日是个头，问君如何做，才能枕无忧；安全策略补丁即刻补，补补补，今朝提重议，看汝怎谏言，方可处安泰。”如此一来，就形成了“查缺补漏”的9月主题。 笔者最近几个月一直在关注有效性验证和观测性两件事，发现本质上也是朝着如何实现安全

信息安全

刘志诚：安全控制有效性验证的发展趋势浅论

注：国内外红队、蓝队的定义不同，本文引用图表以国外为主，与国内红蓝队定义相反。 7月骄阳似火的烘烤下汗流浃背成为常态，即使在冷气充盈的房间内，安全从业者依然难掩攻防演练的燥热。攻防演练作为检验安全控制措施有效性的重要手段，近年来已经屡获奇功，暴露了安全体系建设过程中的一系列问题，安全产品带病上岗，安全能力挂一漏万，安全配置漏洞百出，安全运营形同虚设，也传出某些企业攻防演练中关系统，拔网线的闹剧。我们在叹息安全体系建设薄弱的同时，也提出一个灵魂拷问的问题，企业如何做到安全控制的有效性自主验证，实现真正的风险驱动的安全，而不仅是事件驱动的靠天吃饭，合规驱动的形式主义。 安全有效性验证不是一个新话题，从防守者视角的风险评估，安全检测，第三方认证均是传统的安全有效性验证方式，在持续安全运营中，安全态势感知，SOC、SIEM、XDR等均通过对漏洞，威胁，事件的数据驱动关联分析中发现相关问题，进行整改，防守者视觉基于NIST的IDPRR模型建设安全能力，无论从传统的基础安全进化为安全滑尺的威胁情报和主动防御高级阶段的Gartner可持续监测的主动防御架构，尽管在自动化、智能化安全防御

信息安全

诸子笔会2022 | 刘志诚：红与蓝：安全控制有效性验证的现状与展望

自2022年5月起，“诸子笔会第二季”正式拉开帷幕。经过对首届活动复盘，我们在坚持大原则、大框架、主体规则基础上，优化赛制特别是奖项设置和评奖方式。13位专家作者组成首批“笔友”，自拟每月主题，在诸子云知识星球做主题相关每日打卡，完成每月一篇原创。除了共同赢取10万元高额奖金，我们更要聚焦甲方关注，发掘最佳实践，弘扬分享精神，实现名利双收。本期发文，即诸子笔会月度主题来稿之一。 红与蓝：安全控制有效性验证的现状与展望      文 | 刘志诚 刘志诚 乐信集团信息安全中心总监 关注企业数字化过程中网络空间安全风险治理，对技术风险治理拥有丰富的理论和相关经验。 安全体系的建设是个亘古常新的话题，伴随业务需求、技术进步、组织模式不断推陈出新，往深入，细致领域发展。从NIST的IDPRR的构建框架，到安全滑尺从基础体系建设到主动防御的能力提升框架，再到GARTNER推出的IDPR基础上的持续自适应安全架构，都在安全保障能力如何实现纵深防御的铜墙铁壁上下足了功夫。不过，总会有质疑的声音

信息安全

诸子笔会2022 | 刘志诚：互联网企业网络信息安全十大陷阱

自2022年5月起，“诸子笔会第二季”正式拉开帷幕。经过对首届活动复盘，我们在坚持大原则、大框架、主体规则基础上，优化赛制特别是奖项设置和评奖方式。13位专家作者组成首批“笔友”，自拟每月主题，在诸子云知识星球做主题相关每日打卡，完成每月一篇原创。除了共同赢取10万元高额奖金，我们更要聚焦甲方关注，发掘最佳实践，弘扬分享精神，实现名利双收。本期发文，即诸子笔会月度主题来稿之一。 互联网企业网络信息安全十大陷阱      文 | 刘志诚 刘志诚 乐信集团信息安全中心总监 关注企业数字化过程中网络空间安全风险治理，对技术风险治理拥有丰富的理论和相关经验。 网络信息安全经过几十年的发展，目标、边界、能力建设以及运营领域的认知和实践，伴随着技术发展和社会进步不断得到优化和调整。对组织网络安全从业者而言，需要甄别错误的认知和观点，去伪存真，推动网络信息安全工作的实践落地，保障业务安全有序的发展。之所以把标题限制在互联网的范围内，是因为根据当下的技术发展趋势和企业（组织）业务变

信息安全

诸子笔会2022 | 刘志诚：无边界办公的无边界安全

自2022年5月起，“诸子笔会第二季”正式拉开帷幕。经过对首届活动复盘，我们在坚持大原则、大框架、主体规则基础上，优化赛制特别是奖项设置和评奖方式。13位专家作者组成首批“笔友”，自拟每月主题，在诸子云知识星球做主题相关每日打卡，完成每月一篇原创。除了共同赢取10万元高额奖金，我们更要聚焦甲方关注，发掘最佳实践，弘扬分享精神，实现名利双收。本期发文，即诸子笔会月度主题来稿之一。 无边界办公的无边界安全      文 | 刘志诚 刘志诚 乐信集团信息安全中心总监 关注企业数字化过程中网络空间安全风险治理，对技术风险治理拥有丰富的理论和相关经验。 疫情肆掠，居家办公已经成为美国科技公司的标配。2020-2021年，在经历短暂的居家办公后，中国的疫情管控政策基本恢复原样，但病毒变异导致其传染性直线上升，上海被迫经历长达2个月的封控，这使得我们不得不再一次思考居家办公常态化的解决方案。前不久，马斯克关于回归线下办公的言论引发渲染大波，让我们需要从辩证的角度系统

信息安全

诸子笔会2022 | 刘志诚：动荡时代，安全“变”与“不变”

自2022年5月起，“诸子笔会第二季”正式拉开帷幕。经过对首届活动复盘，我们在坚持大原则、大框架、主体规则基础上，优化赛制特别是奖项设置和评奖方式。13位专家作者组成首批“笔友”，自拟每月主题，在诸子云知识星球做主题相关每日打卡，完成每月一篇原创。除了共同赢取10万元高额奖金，我们更要聚焦甲方关注，发掘最佳实践，弘扬分享精神，实现名利双收。本期发文，即诸子笔会月度主题来稿之一。 动荡时代的安全变与不变      文 | 刘志诚 刘志诚 乐信集团信息安全中心总监 关注企业数字化过程中网络空间安全风险治理，对技术风险治理拥有丰富的理论和相关经验。 习总书记提出的百年不遇之大变局，指出当下世界发展趋势的动荡不安，存在着威胁也意味着机会，对于安全从业者而言同样适用。借用狄更斯双城记的一句话，这是一个最坏的时代，也是一个最好的时代。当然，安全从业者需要一双慧眼，透过层层迷雾看到本质，需要识别出目前世界动荡的根源所在，对安全领域的影响，哪些因素是变化的，哪些是永恒的。不会因为对未知的恐惧而动作变形，不会因为执念抱守残缺不

信息安全

诸子笔会 | 刘志诚：从业务保障到业务驱动的安全规划实践三部曲

自2021年6月起，安在征文全新“改版”——“诸子笔会，打卡征文”。简单来说，我们在诸子云社群招募“志愿者”，组成“笔友群”，自拟每月主题，互相督促彼此激励，完成每月一篇原创，在诸子云知识星球做主题相关每日打卡，同时邀请专业作者群内分享，互通交流。我们的目标，不仅是在持续8个月时间里，赢取累计8.8万的高额奖金，更是要探索一种脑力激荡、知识分享的新思路和新玩法。本期发文，即诸子笔会月度主题来稿之一。 从业务视角看安全团队工作年度总结 文 | 刘志诚 刘志诚          乐信集团信息安全中心总监 中科院心理研究所管理心理学博士，印第安纳大学kelley商学院金融硕士（MF），香港理工大学软件理学与工商管理（MBA）双硕士。前中国移动电子认证中心（CMCA）负责人，OWASP广东区负责人。关注企业数字化过程中网络空间安全风险治理，对大数据、人工智能、区块链等新技术在金融风险治理领域的应用，以及新技术带来的技术风险治理方面拥有丰富的理论和相关经验。 岁末年初，总结与规划是两个绕不开的主题，上篇文章谈了业务视角的

信息安全

云原生安全的陷阱与机遇n --云原生安全的创新、挑战的关键词

作者简介-------------------------------------------------------- 刘志诚，乐信集团信息安全中心总监 中科院心理研究所管理心理学博士，印第安纳大学kelley商学院金融硕士（MF），香港理工大学软件理学与工商管理（MBA）双硕士。前中国移动电子认证中心（CMCA）负责人，OWASP广东区负责人，CSA大中华区数据安全专家，FreeBuff、安全牛、安在、网安家、安全村等安全智库特聘安全专家。关注智慧城市，企业数字化过程中网络空间安全风险治理，对大数据、人工智能、区块链等新技术在金融风险治理领域的应用，以及新技术带来的技术风险治理方面拥有丰富的理论和相关经验。 --------------------------------------------------------------------- 云原生作为CNCF定义的新一代信息基础设施与基础架构的底层逻辑，是整体上适应数字化时代业务数字化转型的技术体系革命性升级。网络信息安全日益面临严峻的挑战，安全的边界逐渐蔓延，安全的场景日益复杂，安全面临的问题日益严

信息安全

诸子笔会 | 刘志诚：从业务视角看安全团队工作年度总结

自2021年6月起，安在征文全新“改版”——“诸子笔会，打卡征文”。简单来说，我们在诸子云社群招募“志愿者”，组成“笔友群”，自拟每月主题，互相督促彼此激励，完成每月一篇原创，在诸子云知识星球做主题相关每日打卡，同时邀请专业作者群内分享，互通交流。我们的目标，不仅是在持续8个月时间里，赢取累计8.8万的高额奖金，更是要探索一种脑力激荡、知识分享的新思路和新玩法。本期发文，即诸子笔会月度主题来稿之一。 从业务视角看安全团队工作年度总结 文 | 刘志诚 刘志诚          乐信集团信息安全中心总监 中科院心理研究所管理心理学博士，印第安纳大学kelley商学院金融硕士（MF），香港理工大学软件理学与工商管理（MBA）双硕士。前中国移动电子认证中心（CMCA）负责人，OWASP广东区负责人。关注企业数字化过程中网络空间安全风险治理，对大数据、人工智能、区块链等新技术在金融风险治理领域的应用，以及新技术带来的技术风险治理方面拥有丰富的理论和相关经验。 步入12月份，各个业务和能力单元都进入了复盘时刻，准备本年度的

信息安全

诸子笔会 | 刘志诚：从供应链到生态——情景化安全的创新与挑战

自2021年6月起，安在征文全新“改版”——“诸子笔会，打卡征文”。简单来说，我们在诸子云社群招募“志愿者”，组成“笔友群”，自拟每月主题，互相督促彼此激励，完成每月一篇原创，在诸子云知识星球做主题相关每日打卡，同时邀请专业作者群内分享，互通交流。我们的目标，不仅是在持续8个月时间里，赢取累计8.8万的高额奖金，更是要探索一种脑力激荡、知识分享的新思路和新玩法。本期发文，即诸子笔会月度主题来稿之一。 从供应链安全到生态安全 ——情景化安全的创新与挑战 文 | 刘志诚 刘志诚          乐信集团信息安全中心总监 中科院心理研究所管理心理学博士，印第安纳大学kelley商学院金融硕士（MF），香港理工大学软件理学与工商管理（MBA）双硕士。前中国移动电子认证中心（CMCA）负责人，OWASP广东区负责人。关注企业数字化过程中网络空间安全风险治理，对大数据、人工智能、区块链等新技术在金融风险治理领域的应用，以及新技术带来的技术风险治理方面拥有丰富的理论和相关经验。 中美贸易战引发的科技封锁，以及全