CSO面对面丨中核华辉刘博：应对大型央国企数字化转型道路上必须攻克的安全难题原创

因为中核集团呢，是一个很大的复合体，然后包含了很多产业单位，也包含了整个核电建设的全产业链，所以在产业链当中呢，其实中核集团相应的各种数字化门类的产品是非常多的，主要包含了经营管理类的所有业务系统，然后包含了我们日常生产的一些信息系统，而在每个板块的日常生产的系统又都是有区别的，比如说像在核电板块生产的系统，像这个1POWER就是核心生产的系统，对这个核电建设整个项目综合管理的，而在这个核电领域里呢，包含了生产控制系统，生产管理系统这样的各种各样的系统，包含我们在这个医疗板块呢，也有相关的医疗供管理的这类似的系统，所以整体相应信息化的产品的门类是非常非常多的，其实安全的一直是核工业的底线。随着信。

化的发展呢，网络安全其实一直是核工业的孔线，在以前呢，其实呃，核工业针对网络安全的管理是相对能做到极致的，但是随着这个数字化的发展，中科集团整体的业务规模从这个原有的专有网络侧，现在在逐渐的向互联网侧发展，也逐渐向我们的专用大型专用网络方向发展，在整个过程中呢，其实统筹管理，然后统一进行防护，建立完整的网络安全体制，这个是目前中和集团整个网络安全发展的重点工作。中和集团的能源板呢，其实是一个复合体，可能大家一直认为这个中中核集团的能源板块主要是包含核电，但其实在中核集团的能源板块呢，除了核电以外，还包括风力、光伏，就新能源的发电体系，也包含了水力发电的体系，所以呢，中国集团的能源板块，它是一个相当庞大的。

复合体，在这个复合体呢，其实我们如果依托单一的传统的一套体制来进行整体的安全管理，其实是很难达到我们安全管理的目标的，因为中核集团的整个的呃能源版图啊，跨过全国所有的疆域，这个北至黑龙江，南至海南，西至呃新疆，我们沿海有很多这个核电设施，所以整个的安全管理需要一个非常完整的体系性的管理。而我们在建设过程中呢，也不断的引入新的技术，向国内及国际的呃先进经验进行学习，向这个国际和国外的这个互联网的安全技术厂商进行学习，然后逐渐把技术进行融入，与我们传统的网络安全红线进行结合，最后达到整体安全的统一目标。

针对传统的网络安全建设呢，其实在大型的央国企业里，相对技术方案还是比较传统的，防御的模式呢，主要是以集中化的，而随着互联网产业的逐渐的发展，像这个国内的主流互联网这个厂商，整个它覆盖的用户数总量，包含它自有的员工数总量其实非常庞大的，但随着这个呃大型央国企的业务逐渐向这个广大民众呃开放，然后网络安全的挑战其实是已经发生了变化了，随着国内国际互联网的厂商呃，网络的安全解决方案呢，其实是要更先进，为我们提供更多的选择，然后也为我们提供了很多的最佳实践，随着这个互联网厂商呢，逐渐向金融化转变，一些新的技术呢应运而生，在这个过程中呢，其实很多研发成。

本很多这个实验成本都有，互联网厂商已经帮我们实践过了，所以我们在引用的时候其实有更多的选择空间，也有很多的学习空间。互联网厂商呢，需要保证广大业务的安全，像我们很多企业是有这个十几亿用户的，对跨越全球各个领域，要符合国内及国际法律法规的要求，在这种情况下呢，互联网厂商在网络安全发展上其实是非常重视的，不管是用户的隐私也好，还是相应支付安全也好，还是我们这个业务本身的安全也好，呃，互联网厂商的提供了很多的时间，包含了整体的开发体系的控制，然后包含了整体的应用安全体系的控制，包含了呃整体的员工在全球领域管控的安全的控制，然后也包含了比如说像邮件系统，大型业务系统，在互联网侧如何综合保证业务系统安全。也为我们。

呃，完成了前期的探索工作，云与安全事业部呢，其实分为四块核心能力，第一块呢是解决方案的建设能力，包括集团很多的大型项目，网络安全呢，其实我们都在项目中进行了深度的参与，使中合集团呢整个的技术体系保持领先，是我们核心职能之一。第二块呢是整个系统集成能力，各类大型的业务系统，包括各类大型的技术组网，都是由安运营安全事业部进行参建的。第三块呢，是整体的运维保障能力，运维保障能力呢，我们在SLA的等级，业务联续性保障等级上，我们会逐年的递进，每年会把这个业务联系性保障等级进行提高。最后一块呢，是网络安全对抗能力，在每年的重大节庆活动，包括这个各类演练中的综合发挥的云与安全事业部都是起到核心的保障作用。然后每年都会与国内及国际的。

这个各个安全团队进行对抗，保障集团的这个网络安全能力。在技术应用方面呢，中国华辉呃，自2019年开始启用这个f bone组网，目前已经覆盖全国所有疆域，就是东南西北的所有疆域，各个省市都有我们的组网界面。在零近日整个体系建设上呢，我们经历了三年的时间，目前已经建成国内相应比较先进的零信任网络安全技术体系，未来呢，我们将更多的投入信创体系的建设，然后这个就是我们整体的这个建设目标，未来呢，其实集团有统一的安全管理的策略，就是在中科集团有了这个自己的数据中心之后呢，整体的业务规模会向统一来聚拢，然后呢，在我们有了完整的算力中心之后呢，我们会建立新的覆盖全国的互联网整个的统一安全。

管理体系也包含我们所有终端的统一管理体系，在超过十几万用户的情况下，我们的体系一定是需要整齐划一的，在整个建设上，其实我们更多的去呃讲大一统的概念，在支持这个体系下呢，我们整体的呃，网络安全通报体系，情报管理体系，网络安全的整体指挥体系，联动体系，都是需要我们后期来进行完整建设的。其实在整个的建设过程中呢，我们更多的不是把腾讯当成一个这个安全产品厂商，我们更多的是向腾讯学习一些先进的解决方案，包括完整的网络安全体系，在互联网测完整的网络安全体系。所以在建设过程中呢，其实我们对腾讯产品的引入，包含在我们各个的环节里，所有的这个专业的产品，就是专项的产品都会作为我们。

体系的一部分，同时呢，我们也会学习腾讯整体的网络安全体系，包含腾讯整体的零信任技术体系，其实在中合集团得到了很好的互联网测实践，目前整个呃，腾讯的零信人安全体系呢，在中和集团已经运行了三年多，主要覆盖了我们的能源板块，目前呢，在全国有4600多名用户在享受零信任技术体系的安全服务，在三年中呢，没有发生网络安全事故，所以这个也给我们进行全国的零信任技术体系推广呢，提供了最佳实践及优秀的技术解决方案。其实网络安全呢，已经被国家放在一个非常高的战略位置，网络安全呢，目前在中核集团呢，也是有一个非常高的定位的，所以呢，打造自己的队伍，形成自己的能力，一直是中核集团网络安全的核心发展方向。

目前呢，中央集团其实已经建立了整体的网络安全管理中心，这个中心呢，也已经运行了有将近六年的时间，在整个情报体系管理上，统一指挥管理上，网络安全能力调度上，应急响应上，这个都是需要一整套完整的体系来支持，在我们看呢，建立这个呃，统一的网络安全管理平台，这个是我们第一个情报处理，就是解决情报处理问题的一个根本的技术路径，然后在我们的响应上的，包括大数据的技术响应，人工智能的技术响应，包括我们快速的联动处置，这个都是我们网络安全管理中心一个核心的职能，因为中核集团的整个的业态是相对比较复杂，各个板块的信息化能力及网络安全能力其实是很难实现统一的，然后大型网络安全管理中心，包括技术体系的建设，这。

可以有效的保障中核集团整体的网络安全能力水平能快速的拉齐，然后在主动安全处置能力上，在完整的情报管理能力上，在快速的应急响应能力上，网络安全水平及能力一直处于高位运行。国家呢对网络安全其实是逐步重视的，每年呢其实都有很多的法律法规会进行发布，国家各相关部门呢，其实对整个安全网络安全的这个管理工作也是在逐年加强的，包括我们每年有很多大型的这个演练活动，随着信息化的发展的，网络安全的是我们在这个发展阶段的一个必然的一个条件，所有的这个企业呢，不管是大型企业还是中小型企业，其实在网络安全建设上呢，目前都已经到了一个核心的发展阶段，大家也意识到把网络安全交给别人，其实这个是靠不住的。然后也。

不能让网络安全的成为企业的卡脖子工程，因为自自行建设网络安全管理中心，包括建立网络安全管理平台，这个是每个企业迫切的需求，在所有的可控方面，其实安全的可控呢，是每个企业整体安全的重要组成部分之一，网络安全呢，在最近几年呢，其实跟这个生产安全，食品安全已经提到了相应同等的高度，而在以往呢，我们可能在生产安全或者食品安全当中，我们不会探讨我们是否需要建立新的中心的问题，而在整个网络安全建设过程中呢，就是这也是我们发展到这个阶段的一个必然的结果。首先呢，我们需要解决的第一个问题就是网络安全卡脖子的问题，我们很多这个大型的应用软件，其实目前还是托国外的技术相。

会比较多，在这些方面呢，这个是我们首要要解决的网络安全问题，然后第二块呢，目前呢，应用安全是我们整体的核心痛点，因为很多大型央国企已经有了很多的业务系统，这些业务系统呢，一部分是自建，一部分是外来采购的，业务系统的规模是非常庞大的，但是在整个我们的自身的安全能力上，最近这些年其实还在逐渐的加强，还没法满足把所有的应用安全来统一进行管理，没有达到这样的能力水平。应用安全呢，其实目前是这个大中型企业整体的核心短板，然后这个呢，因为也是需要完整的体系和大量的资源投入才能解决的问题，所以在整个建设过程中呢，其实在整个行业的应用安全整体能力的建设，整体体系的建设，整个代码质量、安全管理这样完整体系建设呢，还需要走很长。

的一对关键基础设施的网络安全管理其实是被国家非常重视，不管是从现在的国际形势来看也好，还是从各个企业实际的呃，自身生产的要求来好，关键基础设施的安全保障工作呢，一直是整个网络安全保障的重中之重，在整个保障过程中呢，其实很多方面是要远超于我们普通的管理类业务系统的，关键基础设施呢，其实是绝对不能中断的。所以在整个技术防御体系上，我们既要有传统的防普通网络层的入侵，也需要针对各类的高级攻击、射攻的攻击，具备一定的防御能力，然后逐渐筑强我们整体的防御能力。关键基础设施的保障呢，其实不光是通过网络安全技术手段和简单的管理手段能解决的网络。

安全问题，所以在整体防御上呢，其实需要人财物整体的联度，在全员形成关键基础设施网络安全保障关意识之后呢，在通过足够强健的技术手段来解决我们整体网络安全保障的问题。关键基础设施的网络安全保障工作呢，其实还包含了很多作防恶意攻击，就是说来自于人的恶意攻击，其实关键基础设施整体的网络安全保障工作呢，是依托人与人之间的对抗技术只是我们在整体对抗过程中的一个手段。