摘要：?Wecash閃銀是中國首家互聯網信用評估平臺，依托數據挖掘分析和機器學習技術，實現快速精準的信用評估。基于該評估結果，幫助個人用戶和機構快速完成交易，享受到更便捷的資金借貸、消費分期等金融服務，以及租車、租房、旅游、教育等生活服務。

?

Wecash閃銀是中國首家互聯網信用評估平臺，依托數據挖掘分析和機器學習技術，實現快速精準的信用評估。基于該評估結果，幫助個人用戶和機構快速完成交易，享受到更便捷的資金借貸、消費分期等金融服務，以及租車、租房、旅游、教育等生活服務。

除卻自身發展所面臨的安全風險，隨著國家對互聯網金融行業在網絡安全方面的監管力度逐年增加，如何快速高效的完成等級保護服務成為閃銀奇異安全負責人頭疼的問題。

2017年6月，閃銀選擇了阿里云提供的一站式等級保護評測服務，實現了高效的云上等級保護評測與合規改造。而作為閃銀奇異的安全大管家，裴偉偉見證了業務從規模翻五倍之后，安全的壓力和挑戰；也促成了部門和公司從傳統安全，到云安全的轉型；而他自己，也經歷了從乙方到甲方安全的不同工作模式。

從企業安全管理的角度，閃銀奇異安全負責人分享了他對信息安全崗位，和對云安全的看法和見解。當法律、合規、信任等關鍵詞，在胡金行業掀起新一波浪花時，企業安全部門應該如何在“浪潮中跳舞”呢？

?

1

雖然網絡安全是我的愛好和職業，但自己從一個軟件研發到真正踏足安全行業，其實繞了一圈。與很多聲名鵲起或成績斐然的圈內朋友相比，我直到大學才真正接觸計算機，而第一次對信息安全有體感，是從同學手里接過一張價值400萬的衛星數據光盤。

那一刻我發現，代碼并不如想象中那么有價值；未來有價值的，一定是數據；而數據的安全，是其產生價值的基礎。

畢業后的兩年，我在某省電信總公司做數據庫運維工程師的工作，和PL/SQL打交道，對數據庫特別是數據安全有了深入學習和理解，后來才有機會來到北京投身安全行業。

其后在IDF實驗室的三年，體會了乙方的辛苦與難處，也因此磨練了自己在工程師之外的其他能力，比如溝通、統籌、協調、團隊管理。

?

2

加入Wecash閃銀奇異之后，我親歷了公司規模翻五倍的成長過程，業務不斷擴大，風險窗口自然也就多了。我從一個人的救火隊員，逐步走到一個安全部門的管理崗位，將自己的安全能力與想法在這里落地。

在我看來，與其他崗位不同，企業安全的建設極度依賴于運維工作，而我第一天加入的時候甚至只有一名運維同事，因此在安全工作建設初期既要解決已有的安全問題，同時也要兼顧運維的建設。

在閃銀奇異的安全建設過程中，有一些經驗之談，也希望與各個行業，尤其是互聯網金融的安全同行們分享。

?

3

• 安全與業務是互相影響的另一半

甲方的安全同樣是服務，只不過服務對象主要是業務部門。如何把握好安全和業務的平衡，是每個行業都會遇到的問題。

曾經在落地產品安全開發流程時，我們根據公司產品流程設計的安全開發流程在頒布后，實際并沒有產品經理或項目經理遵守，后來和產品溝通后發現是該流程會嚴重阻礙產品的進度。

因此，在第二版流程設計時和產品經理以及項目經理確認后才得以順利實施。類似的，在安全能力輸出和落地時，一方面取決于業務部門是否接受，一方面取決于輸出是否合理，前者需要對方理解和認可，而后者則屬于"紅線"，是安全部門必須強推的工作，比如VPN和堡壘機。

業務的發展是第一位的，安全需要順應業務發展的步伐。正因為如此，也更加考驗安全能力。互聯網的安全更需要講究靈活和效率，這也是為什么我們比較積極地應用云安全產品和服務的原因。

在業務發展過程中，有少數從安全角度不甚合理的需求，在業務上必須的，這對安全團隊提出了更高的要求，包括對業務發展的支撐能力，安全方案的保障能力，甚至是自動化安全服務和系統開發能力。

• 安全的價值絕不僅僅是“不出事”

安全防范需要未雨綢繆，也需要事件驅動。

很多時候，業務部門猶豫的往往在于安全風險的后果到底有多大，對于這樣的猶豫，一次安全事件的教育意義要遠遠大過苦口婆心的教育。“吃一塹，長一智”依然是至理名言。

然而，安全的價值不僅在于安全，也在于解決公司的問題。例如提升效率，應用新的技術，不斷完善安全管理機制。

在初期的安全建設中，我們花了很多時間在運維相關的工作上，建設和維護了公司除線上系統和應用在內的其他諸如員工統一賬戶的系統，雖然不直接和安全相關，但間接為安全管理提供了更加規范和系統的支持。

依靠技術去鋪的路，會帶來安全管理或流程效率的提升，也會帶來安全事件監控和預警效率的提升。比如SIEM，如果沒有I和E的來源，那么M則無從談起，而來源不僅僅包括業務應用、系統，也包括內部網絡、系統和應用。

• 用“看得懂”的結果去展現安全的ROI

能夠拿錢解決的問題不是問題，能夠拿技術解決的問題也不是問題。但要考量錢和技術的恰當使用，一方面評估公司的投入，一方面評估投入的回報。

無論是第三方服務/產品還是自身安全的投入，如果回報不如投資，那么無論作為安全管理本身還是公司高層，都是不支持的。

所以安全部門的價值需要用反映業務發展回報的數字說話（不是漏洞有幾個，而是幾個漏洞避免的損失有多大），用公司管理層看得懂的語言展現價值。

• 云給企業安全帶來的是“效率革命”

作為云上用戶，使用公有云最直接的好處是能夠將我們自己從物理、網絡建設和維護中解脫出來，僅關注網絡連接和相應的安全策略即可，從成本和業務持續性角度而言，既是節省，也是便利。

對于我們設計的高可用網絡安全架構，實施成本僅僅是系統、應用及網絡安全策略級別。對于同質化的系統部署和遷移，通過鏡像復制即可完成，這本身就是極大的時間成本的節約。

舉個例子，在安全訪問策略層面，我們也歷經了從iptables到安全組策略的路子。云的安全組策略使得即便不懂iptables命令也能夠知曉和合理利用策略限制服務/應用/系統訪問，這種操作的簡化使得安全架構在云上的實施得以得心應手。在應對接口和服務的安全漏洞時，也僅僅需要通過業務需要的考量便可限制不必要的端口放開，避免攻擊面的擴大。

但僅僅是云化的物理和網絡是不夠的，基于此的云安全產品，諸如漏洞檢測、防病毒產品、日志檢索，才是錦上添花之作。我們只用了1-2個人的人工成本便覆蓋了所有主機包括漏洞檢測、防病毒的功能，堡壘機產品能夠完美對接我們的賬戶體系進行系統訪問的二次身份認證和操作預警。

云安全的回報還在于更高效地合規。對互聯網金融來說，等保合規是整個行業的大趨勢，也是獲得用戶信任的根本。

目前，互聯網金融的等級保護工作是金融辦和網監雙重監管的重點，云上的安全產品和服務為我們的等保工作的順利開展鋪平了道路。更為難得的是，由于云產品的特性，產品和服務的反饋能夠快速得到響應，在無論用戶體驗還是安全體系建設方面，云上企業的安全工作如虎添翼。

?

4

從我的角度來說：安全不存在一勞永逸，也不存在能力的快速提升。它與業務本身的發展一樣，都是一步一個腳印走出來的。而云上模式，能讓企業在安全這條路上輕裝上陣，走得更快，更遠些，為最終客戶提供更加值得信任的服務。

來源：阿里云安全

本文為云棲社區原創內容，未經允許不得轉載，如需轉載請發送郵件至yqeditor@list.alibaba-inc.com

總結

以上是生活随笔為你收集整理的闪银奇异安全负责人：互金行业安全建设的四个心得的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。