對于信息安全領域來講已經(jīng)到達臨界點，經(jīng)過2019年這個分水嶺，已逐步有了新舊之分，在易安聯(lián)創(chuàng)始人楊正權看來，信息安全正由傳統(tǒng)的基礎設施向云技術跨進，開始有了云化的趨勢。

而對于從事云安全服務的易安聯(lián)來說，從早期推出的CASB產(chǎn)品到現(xiàn)在的基于“零信任”架構的解決方案，都是將云安全在“由外向內(nèi)、由內(nèi)向內(nèi)、由內(nèi)向云、由云（基礎）向云（應用）”多個方向上構建全面的防護。

江蘇易安聯(lián)創(chuàng)立于2017年，曾在國內(nèi)首發(fā)推出了基于云訪問安全代理技術的CASB產(chǎn)品，目前的SDP落地方案通過加強訪問身份訪問管理，以設備可信、賬號可信和流量可信等三維一體的強認證方式，對訪問的合規(guī)性進行控制。

本期圓桌對話，億歐邀請到易安聯(lián)創(chuàng)始人楊正權、海匯投資江蘇區(qū)域管理合伙人曹授玉、億歐江蘇總經(jīng)理張樂主持提問，共同針對網(wǎng)絡安全話題進行探討，本文由億歐江蘇高級分析師蘇磊整編。

突破臨界，新信息安全爆發(fā)

網(wǎng)絡安全中的“零信任”架構和機制在國際上發(fā)展整整十年，在國內(nèi)這個概念也有了3年的發(fā)展，但能沖出者寥寥無幾，這是一個漫長的過程，并不是技術的原因，主要是網(wǎng)絡基礎架構未到時機，對安全的思維方式和習慣的轉(zhuǎn)換也未到。

但在海匯投資江蘇區(qū)域管理合伙人曹授玉看來，當初投資易安聯(lián)并不是在賭，而是看到了云安全領域的需求和發(fā)展大勢，主要有幾個原因：一是技術驅(qū)動，IT行業(yè)發(fā)展到今天，技術層面已經(jīng)有了很大的進步，所以會對傳統(tǒng)安全領域及新安全領域帶來市場機會；二是大環(huán)境驅(qū)動，外部國際環(huán)境促使網(wǎng)絡安全必須掌握自主權，這關系到國家及企業(yè)的生存和發(fā)展。

楊正權認為，網(wǎng)絡安全這個行業(yè)發(fā)展實際已經(jīng)到了一個臨界點，需要變革，2019年是一個很重要的分水嶺，網(wǎng)絡安全已經(jīng)有了新舊之分，傳統(tǒng)網(wǎng)絡安全實際上還是解決一個網(wǎng)絡和另一個網(wǎng)絡基礎設施的安全或者可靠性、應用性、安全性等等，這些安全，看中的還是網(wǎng)絡的本身，而隨著云技術的發(fā)展，這部分安全也已經(jīng)開始云化。

如果從產(chǎn)業(yè)和產(chǎn)品本身層面考量，易安聯(lián)看到的是網(wǎng)絡安全信息化以及云化，未來再到5G、Iot的變革，實際上是一個不斷向前發(fā)展變革的過程，網(wǎng)絡安全實際在很長一段時間是滯后的，它的技術架構發(fā)展并沒有跟上行業(yè)發(fā)展的大浪潮。

楊正權告訴億歐，網(wǎng)絡安全云化后，用戶關注的焦點也會開始由此前的基礎設施（交換機、路由器、防火墻）轉(zhuǎn)變到應用安全和應用產(chǎn)生的數(shù)據(jù)的安全，對于現(xiàn)在的企業(yè)來講，數(shù)據(jù)是生產(chǎn)力、是資產(chǎn)、是核心，所以用戶會更加聚焦到數(shù)據(jù)上面，而這些數(shù)據(jù)就是通過應用產(chǎn)生的。

云化安全度：信任指數(shù)的終極皆為零

在楊正權看來，新舊網(wǎng)絡安全變化主要有幾點不同：

第一個是架構的變化，不同的用戶對于數(shù)據(jù)的訴求是不同的，而類似于防火墻、路由器這些隨著技術架構的變化，是可以迅速搭建上來的，已經(jīng)變成基礎設施，用戶更關系的是數(shù)據(jù)，易安聯(lián)從2017年開始從“零信任”的架構落地，他們認為第一步解決訪問控制數(shù)據(jù)的來源，而這些數(shù)據(jù)來自于應用，所以把應用控制住就解決問題了；

第二個是傳統(tǒng)網(wǎng)絡安全解決用戶痛點的方法是有待提升的，需要先看到問題再去做防范，也就是“不知攻 焉知防”的道理，但事實上攻擊和防御是非常不對等的兩條線，有各式各樣的攻擊方式，但是防御只能在發(fā)現(xiàn)攻擊之后開展，這是一個很難解決的問題，因為永遠不知道哪里還有漏洞和風險。而且傳統(tǒng)的網(wǎng)絡安全技術解決方案過于依賴邊界上的防護，而這個邊界又是一個不太可靠的邊界，它的物理架構也有問題，所以易安聯(lián)要把邊界從過去的網(wǎng)關側(cè)或者云側(cè)前移到用戶側(cè)，做更多的前置。

其實這也可以推導出來傳統(tǒng)網(wǎng)絡安全在信任架構方面是有悖論的，IT系統(tǒng)是建立在一個基礎的規(guī)則之上，認為內(nèi)部的就是安全的，但是如果從動機和行為意識上分析，這也存在很大的風險，所以才要實現(xiàn)“零信任”架構，“反破窗”原理至關重要，安全體系前置到訪問端才是核心關鍵。

“零信任”在訪問人進來之后只有極小的操作權限，不斷的試探和判斷一個極致點，然后實現(xiàn)對訪問者的對比，做應用的訪問和數(shù)據(jù)的訪問，而且還可以做到回溯，知道是誰操作的，什么時間操作的，能不能回溯回來。所以在做IT系統(tǒng)的時候就是要把這個信任架構和機制建立起來，但是“零信任”架構和機制建立起來需要很長的時間，不是一朝一夕就能改造過來的。