Question

制订安全规划的步骤包括：

1）调研。

2）确定规划目标、现状和差距。

3）制订解决方案。

4）一稿，二稿……直到定稿。

5）向上层汇报。

6）回顾。

3.3.1　调研

做规划前，大 BOSS 一般喜欢问我们几个问题：

·未来三年，本团队要做的最牛的三件事是什么？

·未来三年，你认为世界最好的团队会做哪三件最牛的事（我们不做的原因）？

·未来三年想做但没敢写入规划的三件事是什么？本团队领域，很有价值但技术没有可能实现的事情是什么？请列出 1~2 件。

每年最痛苦的就是怎么填这个大坑了，后来，我们将大 BOSS 的问题转换了一下，更接地气一点：

·这个领域最好的团队在做什么（最佳实践）。

·我们在同业处于什么水平（自我感知）。

·我们的现状（存在哪些差距）。

回答上述问题的最好渠道是实地调研，多方学习，例如：

一是向大型互联网企业学习，这些大型互联网企业无论是面临的安全威胁、全量的攻击场景、复杂的网络和应用环境，还是海量的服务器、终端、人员数量、遇到过的坑等，都是宝贵的实践经验。稍显遗憾的是，互联网企业（特别是做安全的）不太可能敞开心扉进行传道授业解惑。因此，拥有一定的安全圈人脉资源也是企业安全负责人的必备条件之一，越来越多的企业安全人员招聘也要求这点。同时，注意参加这些互联网企业举行的年度会议，也能收获很多干货，建议多参加此类会议，远离厂商自嗨会。

二是向同业学习。可以抓住一切了解金融同业的机会，向规模比自己大的企业学习实践中遇到过的问题，向规模差不多的企业学习资源配置情况，向规模比自己小的企业学习单点突破能力强的领域。每年开春后，北上广深走一圈，基本上就能大致了解整个行业的概况。

3.3.2　目标、现状和差距

调研结束后，金融企业安全负责人通常对行业的未来趋势和规划方向有了大致了解，接下来就需要明确本企业的目标，分析现状和差距。

1.目标

目标来自于企业战略规划和 IT 战略规划，分为总体目标和具体目标。

·总体目标，应尽可能清晰、简洁，相对宏观和“务虚”。企业安全目标可以定义为“通过综合应用各类安全解决方案，发现并预防各类安全风险，能够承受除 DDoS 以外的黑客高手或者黑客集团的攻击；内部系统能有效防止非专业人员有意或者无意的数据泄露；能发现对内部重要服务器的普通内部黑客的攻击；对人员进行安全合规教育，违规、违纪现象持续降低，安全审计发现持续降低”。

·具体目标，应尽可能明确、数字化，相对微观和“务实”。例如，非本企业组织的互联网系统漏洞发现为 0；安全防护 100%全覆盖；互联网基础设施风险在 2 小时内化解；自动化验证平台 100%覆盖所有管控措施，管控措施失效能够在 24 小时内发现……

关于规划的目标，有两点注意事项需要说明。

一是目标绝对不合理。目标是一种预测，没有人敢说预测是合理的；而且，目标是一种决心，你发誓要做什么，目标就会出来。目标其实是你自己战略的一个安排，决定你目标的是三个要素：你对未来的预测，你下的决心，你的战略想法。

二是实现目标的行动必须合理。理解了这点，规划就成功了大半，才能围绕实现目标制订行动计划。如果实现目标的行动是合理的，那么看似不合理的目标反而有实现的可能。

关于目标，陈春花老师有三个建议，笔者很赞同，在此也做些分享：

·目标一定是从上往下，一定不要从下往上。我们最喜欢犯的错误就是团队或者个人将自己要做的工作一报，报完集合起来然后往下一拍就行。目标绝对不能从底往上报，目标一定是上边来定，其他东西都可以授权，但是目标设定是不授权的。

·目标必须是个人的目标。目标一定要给到个人，而不可以给到部门。

·每一个人承接的不是目标，而是一套解决方案。他必须去承诺这个解决方案，怎么让这个目标实现。目标不是要确保实现 1 亿的销售额，而是要告诉我为了实现这个销售额的行动方案是什么。

此处，科普一下目标设定的 SMART 原则及在安全规划领域的应用，如图 3-3 所示。

图 3-3　SMART 原则

（1）Specific—明确性

所谓明确的就是要用具体的语言清楚地说明要达成的行为标准。明确的目标几乎是所有成功团队的一致特点。很多团队不成功的重要原因之一就是目标模棱两可，或没有将目标有效地传达给相关成员。

举个例子，安全目标中有一条是“防黑反黑”。这种对目标的描述就很不明确，因为我们不知道要防护哪些目标，防护什么级别的黑暗力量。所以最后可以改成：能够承受除 DDoS 以外的黑客高手或者黑客集团的攻击；内部系统能有效防止非专业人员有意或者无意的数据泄露；能发现对内部重要服务器的普通内部黑客的攻击。

（2）Measurable—衡量性

可衡量的是指应该有一组明确的数据，作为衡量是否达成目标的依据。如果制订的目标没有办法衡量，就无法判断这个目标是否实现。

举个例子，定安全目标时，常见的用词是“提高××水平”“加强××能力”“完善××措施”，这些目标是无法衡量的，因为不知道要提高到什么水平，加强到什么能力，完善哪些措施。在内部定具体安全目标时尽量使用可量化的目标，例如，非我公司组织的互联网系统漏洞发现为 0；管控措施失效能够在 24 小时内发现，等等。

（3）Attainable—可实现性

目标是能够被执行人所接受的，目标设置要坚持员工参与、上下左右沟通，使拟定的工作目标在组织及个人之间达成一致。目标不能是躺在床上就能完成的，也不能是“摘星星”的工作任务。

举个例子，中小金融企业如果提出所有安全防护系统和工具都自研这一目标，虽然勇气可嘉，然而实现起来却非常困难。当目标完全不可实现，会打击团队士气，造成“死猪不怕开水烫”的后果。

（4）Relevant—相关性

目标的相关性是指实现此目标与其他目标的关联情况。如果实现了这个目标，但对其他目标完全不相关，或者相关度很低，那么即使达到这个目标，意义也不大，还很有可能劳民伤财，得不偿失。

举个例子，所有安全规划的目标和任务都是围绕保障企业安全性，并最终促进企业战略目标来计划的，如果一项工作与企业战略目标完全无关，不管其技术先进性多么强，都应该忽略。

（5）Time-bound—时限性

目标的时限性是指目标是有时间限制的，没有时间约束的目标是没有办法衡量和评价的。

举个例子，安全工作的目标和任务需要时间约束，比如三年后达到什么安全水平，每一年提升哪些安全能力，每个季度完成哪些安全任务，都是时间条件强约束。

2.现状和差距

对于现状和差距主要考虑以下两点：

一是分析维度要全，建议分成安全管理、安全防护、安全运营、安全资源、安全度量五个维度。安全管理考虑组织架构、职责、制度、考核；安全防护考虑覆盖网络层、虚拟层、系统层、应用层、数据层、用户层的纵深防护技术体系；安全运营考虑安全运维、安全验证、安全反制；安全资源考虑人员、流程、资源；安全度量考虑技术维度、安全运营成效、安全满意度和安全价值。现状和差距最好能做到全量摸底，重点突出。

二是敢于自揭老底，自我否定。不要自我感觉良好，没发现异常很可能是发现能力不够，没有事件很可能是运气好。

3.3.3　制订解决方案

目标确定并分析差距后，必须针对性地制订解决方案，才能确保目标落地实现。制订解决方案要注意以下几个原则：

一是要体系化。头痛医头脚痛医脚，可能短时间得到一点效果，但禁不住大 BOSS 问，怎么又是这个问题，怎么又要这个投入，你们能一次性和我说清楚吗，等等。有些问题，初看是技术问题，仔细想想，其实根源还是管理问题。遇到问题，最好从管理和技术两个方面考虑解决措施，得到综合的结果。

二是要可持续。金融企业有个常见的例子，给分行或分支机构上 IPS/IDS，但分行或分支机构根本就没有能看懂 IPS/IDS 日志的管理员，如果合规要求必须上，那一定要考虑日志如何收集、分析和处理。最好的做法是将日志统一上收到总部，由总部统一管理和运营（注意不是运维，日常开机等还是分支机构管，日志分析和异常告警由总部完成）。每项安全措施、每套安全设备都是有管理成本的，如果仅仅上一个技术手段，而不考虑持续的运营，那么这个解决方案整体看来就是无效的。

三是要可接受。制订解决方案后，要确保安全团队的每位成员都从心里认同它、接受它，这样执行才会有效率和有效果。提高团队成员接受程度的一个好方法是，先让团队成员熟悉目标、现状、差距，然后找晚上时间进行头脑风暴，连续一周，强化训练。当然，头脑风暴过后，要记得去“撸串”，团队建设、凝聚力、肚子饿的问题就都一并解决了。

3.3.4　定稿

一稿，二稿，……，定稿。关键是迈出第一步，完成第一稿，万事开头难，一旦开始就停不下来了。这个过程还有一个很重要的环节—征求意见。首先，在安全团队内部充分讨论、碰撞，形成共识；其次，在 IT 内部其他团队征求意见，取得共识；再次，要做好上层汇报，完成定稿。

3.3.5　上层汇报

管理领域有个话题—如何管理你的上级，将上级作为你工作的资源之一。这是非常重要而有趣的话题。安全汇报是“管理”上级工作中非常重要的一环，往往也是安全人员最不擅长的一环。

首先，要建立面向高级管理层、IT 部门总经理、安全团队内部的安全汇报体系。每年至少要向高级管理层汇报 1~2 次，内容包括安全规划、安全形势、重大安全决策等。汇报形式可以是 IT 治理委员会或总裁办公会框架下的正式会议，也可以是定期的签报形式，这取决于企业内部的流程规定和具体需求。

其次，要在 IT 部门和安全团队内部进行常态化的安全汇报，此类汇报的内容要围绕三个目的展开—介绍取得的成果（邀功），表扬先进和督促后进，索要资源。

具体到安全规划的汇报，建议先向 IT 部门总经理汇报，就目标、计划、资源达成一致。但大部分总经理没有精力也不应该过多关注解决方案等细节，最多可能关心现状分析中存在的主要问题。达成一致后最好能在高级管理层汇报一次，可以是单独的安全规划议题，也可以合并在 IT 战略规划中，向高级管理层报告。

3.3.6　执行与回顾

安全规划的执行与回顾，是规划全生命周期中非常重要的一个环节。因为一个看似一般但严格执行的规划，远胜于一个看似很好却无法或未能执行的规划。为了确保安全规划的落实，最好的方法是将安全规划目标分解落实到安全重点项目和工作任务，再将重点项目和工作任务分解落实到安全团队每位员工的年度绩效考核中。至少每季度开展一次重点项目和工作任务的回顾，至少每半年开展一次安全团队员工绩效的回顾，回顾后需要制订针对性的改进措施。

在实践中，经常可以听到关于规划无用论的抱怨，如果做完规划就将之束之高阁，那么规划当然没用。而坚定不移地执行规划并做好定期回顾，将规划作为真正的行动指南，规划才能避免成为空中楼阁。

通常信息安全规划一次做三年，每年滚动更新。任正非说过，方向可以大致正确，组织必须充满活力。就是说，大家必须充满活力地去执行规划，但在执行中可以随时调整规划。