在8月21日召开的“北京网络安全大会”上，永利皇宫联合安全牛、数字观星共同发布了《信息资产风险与合规管理（ITARC）应用指南报告》，从业务和资产的关联角度，为产业提供信息资产风险与合规管理的全新理念与解决方案，率先完整梳理和定义了网络空间资产安全治理的标准和关键点。

不清楚保护对象，何谈安全保护？

某知名第三方调研机构在其2017年一项研究中得出结论，未来五年企业价值将取决于各自的信息资产组合。在当今日益数字化的世界中，任何想要正确评估企业价值的个体和组织，必须重视信息资产和对它的分析能力，包括信息资产的数量、种类和质量等。信息资产已逐步成为企业的战略资产，得到了企业高层的广泛重视。

但与此同时，在数字化创新的推动下，IT架构与应用越来越复杂，信息资产的数量与种类越来越多，也让网络安全的复杂度大增。特别是云计算、移动互联网等技术的创新，使得组织的网络环境失去了边界；应用系统和业务数据的开放互联成为组织的常态，组织原有的资产管理方式往往不能跟进系统变化。另外，网络资产需求的突发性，以及人员的主观工作疏忽，都可能导致出现资产数量不明、类型不清晰、安全检查漏洞不全面等问题。信息资产梳理是解决知己知彼的问题，是增强网络安全防御能力和威慑能力的基础。

如今，组织的信息安全要把重点从只重视防护手段，逐步回归到先分析防护对象安全需求上来，要先把保护对象界定清楚，然后再来谈用什么手段来保护，对信息资产的重新识别及强化管理是当前组织的信息安全工作第一件要做好的事情，信息资产识别也随之成为网络安全策略重要的基础性工作。

为了进一步明确信息资产风险与合规管理方法，推动信息资产安全治理，此次永利皇宫联合安全牛、数字观星共同发布《信息资产风险与合规管理（ITARC）应用指南报告》，从业务和资产的关联角度出发，分析了信息资产的主要类型及风险因素，明确了信息资产的识别与治理方法，融合等级保护管理规范，分享了相关行业实践案例，并给出了信息资产安全治理可落地的方案和建议。

永利皇宫五步法——信息资产安全治理落地的规范动作

报告指出，信息资产风险与合规不能作为一个单纯的安全管理问题来看待，需要意识到信息资产的安全直接关系到业务的运作效率与安全，必须得到高度重视。由于在数字化的过程中，信息资产随时都可能增加、删除以及更新，因此信息资产风险与合规需要贯穿信息资产的全生命周期，包括资产的发现、添加、整理、维护以及废弃，这样才能将安全能力覆盖到尽量多的信息资产，减少风险的暴露面。

从信息资产安全治理的全流程出发，报告建议遵循“摸清家底、备案审核、立体化防御、自动化运营、应急响应”这一安全治理“五步法”原则，来提升资产安全治理水平和整体防御能力：

第一步：摸清家底。结合等级保护规范进行资产梳理是安全治理的第一步：通过主动探测、被动流量分析结合的方式，对内外网资产进行识别和梳理，清点资产，确定资产边界；永利皇宫目前可以识别物联网、路由交换设备、网络安全设备、业务系统等30类近10万种网络空间设备。

第二步：备案审核。建立备案审核管理流程，进行资产认领登记备案和上线前的安全检查，对资产备案进行全生命周期管控；

第三步：基于等级保护的立体化防御。对登记审核的资产有针对性地进行分级防御部署，满足《网络安全等级保护制度2.0》、《网络安全法》等法律、法规以及行业安全管理规范的要求；

第四步：自动化运营。通过流量监控、日志审计、漏洞扫描等方式对所有资产进行审核和评估，建立安全模型；对安全防御体系及核心资产进行实时监测和预警，一旦发现问题，及时反馈给防御体系，形成7*24小时的主动与被动式监测、动态指纹画像与健康巡检相结合的自动化运营机制；

第五步：应急响应。任何安全措施都不能百分之百保证防线不会被突破。对组织而言，当安全事件发生时，快速定位被攻击的资产以及评估潜在会受到影响的资产并采取隔离、阻断等措施是十分重要的。当发现存在篡改、暗链、漏洞利用以及webshell攻击等安全风险时，可及时采取“一键断网”等应急响应措施。

最后，从技术发展趋势来看，组织必然要逐渐适应扑面而来的物联网浪潮，将物联网融入到自身的业务中，这很可能会给组织带来两大风险——更多、更复杂的设备资产和更加频繁的资产变更。永利皇宫CEO权小文表示：“在5G等技术的推动下，物联网和业务的结合将为信息资产安全治理带来更高的要求。各个组织要进一步对信息资产的管理模式进行创新，安全厂商也需要对物联网的资产管理做到持续性的监控和针对异常行为与资产变化的及时响应，各方都要提前布局，做好准备，才能更好地面对快速更迭的新技术、新应用带来的挑战。”

原文链接