《信息技術與網絡安全》專訪|以零信任為鑰，開啟新安全時代之門

圖：《信息技術與網絡安全》雜志的2021年第12期“高端訪談”內容，該期刊是由華北計算機系統(tǒng)工程研究所主辦的國家級科技期刊，前身《微型機與應用》創(chuàng)刊于1982年，該刊35年來為信息技術和應用的發(fā)展作出杰出貢獻。

以零信任為鑰，開啟新安全時代之門

編者按：今年是“十四五”的開局之年，在歲末年初之際，《信息技術與網絡安全》邀請安全企業(yè)負責人對網絡安全動態(tài)進行回顧，對網絡安全政策進行解讀，對行業(yè)發(fā)展脈絡進行剖析，并對來年行業(yè)發(fā)展趨勢進行展望。11月1日，派拉軟件宣布完成數億元人民幣的D輪融資。據悉，本輪融資將主要用于零信任安全相關的研發(fā)技術投入、人才引進和市場開拓，同時持續(xù)優(yōu)化產品矩陣，增強一體化零信任安全服務能力和落地能力。本刊對派拉軟件CEO、信息安全專家譚翔進行專訪，圍繞企業(yè)發(fā)展和行業(yè)前瞻為廣大讀者進行解讀。

? 請您對2021年的網絡安全行業(yè)發(fā)展進行簡要回顧和總結。

譚翔：今年，網絡安全法律法規(guī)的出臺和施行非常密集，包括《中華人民共和國數據安全法》、《中華人民共和國個人信息保護法》、《關鍵信息基礎設施安全保護條例》等相繼推出，反映了網絡空間安全戰(zhàn)略環(huán)境和技術趨勢的發(fā)展變化。

首先，從政府或者企業(yè)角度上來看，整個數字化轉型的進程正在加速。數據已經被定義為生產要素之一，對于構建要素驅動型經濟來講，數據的重要程度日益凸顯。數字化轉型過程中，大量業(yè)務系統(tǒng)的上線會沉淀海量的數據，從而形成數據資產并產生迫切的數據安全保護需求。其次，從個人信息安全角度出發(fā)，對于用戶隱私保護的制度剛性在加強，從過去運營者有責任去保護，上升到了現(xiàn)在法律的高度，而且執(zhí)法力度不斷加大，無疑對數字經濟的健康發(fā)展起到非常大的促進作用。最后，從資本創(chuàng)新的角度來看，今年市場的融資活動空前活躍，包括派拉軟件在內的一大批網絡安全公司，單輪融資額過億的實例屢見不鮮，融資量級的持續(xù)突破，說明資本市場青睞并高度看好網絡安全產業(yè)的發(fā)展前景。我們判斷，就2022年網絡安全行業(yè)的發(fā)展前景而言，零信任應該是一個大的方向。

? 請介紹一下2021年您遇到的最大挑戰(zhàn)和收獲，貴企業(yè)主要的經營品種在市場表現(xiàn)有何亮點？

譚翔：通過整個2021年對安全行業(yè)的觀察，我們發(fā)現(xiàn)有兩方面明顯的動向：一是國資型企業(yè)躬身入局、動作頻頻，包括中國電子或者中國電科等中央企業(yè)，建立很多相關的運營實體，對于網絡安全市場無論是重視程度還是投入力度均在加大。二是傳統(tǒng)面向C端的頭部互聯(lián)網企業(yè)也在大幅進軍網絡安全領域，不但成立相應的運行實體，還向To B端的安全體系建設加大投入力度。在大型國資企業(yè)和大型互聯(lián)網企業(yè)紛紛加入大的安全賽道的情況下，我們要思考：自身的優(yōu)勢和價值怎么來體現(xiàn)？我認為機遇和挑戰(zhàn)是并存的。

談到機遇也是2021年最大的收獲。國內網絡安全市場，特別是零信任市場持續(xù)向好，使得我們有機會為客戶創(chuàng)造更多的價值，是最大的收獲。隨著多年的專精研發(fā)和市場開拓，派拉軟件的身份安全技術與服務在業(yè)界處于領先地位。我們在立足身份安全優(yōu)勢領域的同時，也積極推動一體化零信任安全能力的構建。“十四五”規(guī)劃提出要通過體系化、系統(tǒng)化思路去解決問題，意味著需要在實踐中構建成體系的零信任架構并落地，這使得我們有更多機會融入到客戶的整體安全架構體系中去，與客戶安全體系的深度融合也是我們的重要收獲之一。

2021年我們遇到的最大挑戰(zhàn)還是自身如何去準確定位。安全體系能力建設離不開生態(tài)支撐，派拉軟件今年加入了零信任產業(yè)標準工作組、零信任聯(lián)盟、CSA零信任工作組，主導并參與了零信任國標、行標和團標的制定。通過零信任生態(tài)的打造，提高了交付一體化零信任安全解決方案的能力，并且作為首批國家重點培育的“專精特新”小巨人企業(yè)，我們積極去擁抱產業(yè)生態(tài)的變化，將自己納入到零信任全生態(tài)價值鏈中，充分發(fā)揮我們的價值。目前行業(yè)和客戶對此都給予比較大的認可。

? 派拉軟件在零信任技術方向上，有些什么樣的規(guī)劃和推進嗎？

譚翔：在國際上，零信任架構受到高度關注。今年5月，白宮簽署行政命令，要求政府部門全面采用零信任架構，并具體落實到美國《2022財年預算案》中。盡管國內還沒有通過行政手段圈定某一項技術的大規(guī)模應用，但是零信任還是受到了業(yè)界非常廣泛的關注，目前已納入到工信部《網絡安全產業(yè)高質量發(fā)展三年行動計劃（征求意見稿）》中。

在技術方向上，2021年我們結合企業(yè)自身特色，針對身份安全和 API安全兩方面對產品線進行了比較大的調整：

首先，在身份管理與訪問控制方面，通過構建覆蓋人、IoT、API的全身份管理體系，實現(xiàn)了多身份源、可信終端以及不同網絡訪問場景的安全訪問控制，結合實時動態(tài)的風險監(jiān)測和認證升級，確保用戶的訪問安全。

其次，在統(tǒng)一授權和動態(tài)訪問策略方面，基于ABAC授權模型的統(tǒng)一授權與基于屬性的動態(tài)訪問策略，零信任安全平臺可以提供便捷又安全的訪問授權控制，并根據訪問環(huán)境的變化動態(tài)控制可訪問的資源。

第三，在SDP網關構建與應用方面，為企業(yè)構建起一個虛擬邊界，利用基于身份的訪問控制機制，結合敲門和安全隧道技術，為企業(yè)應用和服務提供隱身保護，大大降低應用可攻擊面。

作為安全理念上的一種改變，零信任目前承載了比較大的期望，但我們還是會比較理性的看待這一需求市場，正如派拉軟件的價值觀那樣：Value價值、Innovation創(chuàng)新、Excellence卓越、Win共贏，使得在零信任這條跑道上，不盲目追求快速發(fā)展，更重要的是保持不斷鉆研，勇于創(chuàng)新的企業(yè)責任心，以及不斷沉淀與研磨技術、服務的耐心，最終與客戶和伙伴一起，實現(xiàn)價值共創(chuàng)和卓越共贏。正如派拉軟件多年的長跑精神，零信任是一個持久的戰(zhàn)場，長期相互信任、共同堅持的伙伴，與不斷探索的技術、不斷優(yōu)化的服務，構成了派拉軟件細水長流卻生生不息的生命力。此外，我們還將保持產品向理性的架構方向上去靠攏的戰(zhàn)略思想，和合作伙伴一起向客戶提供整體解決方案，目前受到客戶歡迎，起到良好的效果。

? 在企業(yè)經營方面，咱們的客戶覆蓋哪些領域？在新的一年里，有哪些新的計劃或動向，計劃推出哪些新的產品？

譚翔：我們公司一直以來屬于業(yè)務驅動型的網絡安全公司，更多的是從保障客戶業(yè)務安全的角度去提供服務。作為數字化基礎技術架構的組成部分，我們的客戶類型非常廣泛，覆蓋包括汽車、金融、核電、先進制造、生物制藥、教育、交通等事關國計民生的關鍵領域。我們將身份和訪問控制技術、API的安全網關技術應用到業(yè)務場景中去，根據最小權限原則，結合業(yè)務場景分配業(yè)務數據，帶給客戶最大程度的數據安全保護。

今天數字化不再局限在企業(yè)內部，而要做到數據的全流程管控，包括跟上下游合作伙伴的數據共享和一定范圍內的數據開放。因此，從身份安全角度去延伸業(yè)務場景，能夠為客戶提供比較好的業(yè)務安全保護。圍繞員工接入和客戶接入數字化系統(tǒng)的不同，為企業(yè)設計整體安全保護場景。典型的如車聯(lián)網，很多客戶會有幾百萬甚至上千萬的車主，車聯(lián)網的信息安全十分重要。

隨著移動互聯(lián)網和數字化轉型的日益深入，API因為更容易暴露程序邏輯和個人身份數據，而成為網絡攻擊的重要目標。派拉軟件以身份安全為基礎，實現(xiàn)數據安全和API安全并重，并且在前幾年就開始布局API網關、數據訪問安全等技術，實現(xiàn)了技術能力和產品能力的戰(zhàn)略儲備和預置。同時我們積極布局云安全，圍繞如何保證云端數據安全，如何保證客戶端到云端訪問通道的信息安全，如何實現(xiàn)云端應用之間的安全互訪等問題，將自身產品框架與云安全緊密結合，孕育孵化出一大批新產品，可以更好地解決客戶安全需求。目前，派拉軟件在零信任一體化思路指導下，形成了以身份安全為中心的產品矩陣，并通過生態(tài)聯(lián)盟伙伴的加持，將業(yè)務拓展到聯(lián)動終端管理、SDP、微隔離、動態(tài)授權、用戶行為分析等各個領域，助力企業(yè)構建體系化的安全防護能力。