阿土不落格

一、背景

又到了一年中总结过往规划未来的季节，差不多5年的基础安全能力建设，网络安全进入深度运营区，如何做好明年的安全规划，是我思考最多的话题。

以往的规划也做过分享，是从分工专业化的角度，对公共能力建设与安全运营进行领域划分，着眼于如何做的角度，以麦肯锡MCME相互独立，完全穷尽的方式进行工作分解，围绕着业务场景的安全风险评估，以企业风险接受程度为限进行规划，指导预算申请，沟通以及项目建设。

以往的规划遵循了网络安全战略与业务战略一致性，并且从业务角度关注业务场景中的安全需求，并从价值驱动的视角，实现网络安全与公司战略和业务发展的一致性。针对数字化业务的典型特征，在传统网络安全的基础上，更加注重数字化作业平台的研发安全管理体系，实现安全左移能力建设。围绕企业安全之外的运营安全，产品安全，提出了跳开网络安全方法论，从数据的可复制性、流动性资产特征出发，建设全流程的数据安全跟踪溯源机制，跳出企业数据安全的局限，严控数据生态合作企业数据安全能力评估与监测，以监控和元数据分析为核心，重构数据安全底层逻辑的理念与实践。围绕着2C场景的用户数据保护，电信欺诈，业务欺诈以及黑灰产对抗，全面建设业务安全网关，实现业务安全的持续升级。

所以，过往的规划虽然在研发安全，数据安全，业务安全领域面对数字化挑战，积极创新，通过合作实现突破。但仍是一种独立于业务的网络安全规划，并没有从业务视角看网络安全规划。

在网络安全建设周期从全面建设的快速发展期进入稳定发展期，不妨从业务视角出发，重新审视网络安全的风险对业务战略的影响，查缺补漏，实现网络安全规划的新定义，指导网络安全工作的持续改进。

二、消费者保护网络安全支持

1、消费者个人信息保护：

作为消费者保护首要的因素是个人信息保护，个人信息保护是在《个人信息保护法》《数据安全法》合规框架下的安全建设能力，从业务个人信息影响分析（PIA）开始，在业务产品和系统设计阶段的基于隐私的设计（PBD）第三方国际组织和国内外标准均有涉及，业界具有最佳实践指南。只不过不同企业的产品周期以及相应能力存在巨大差异，执行的完整性和可靠性需要独立评估。

从合规监管的角度，移动互联网应用（APP）是监管的切入点，隐私政策和技术实现的脱节是检查的重点，为了实现应用跟踪与管理的运营能力而进行的终端数据采集的范围，频率，调用系统权限的需求，是监管的重点。另外，企业APP集成的第三方SDK，满足业务运营需求的同时，容易忽略其通过动态加载对用户隐私数据以及系统权限调用的监管。

以APP为合规监管的切入点是个双刃剑，对系统权限以及用户数据采集的限制，也制约了业务方防止用户在终端被第三方攻击，利用，欺诈的能力。如何通过公共用户基本能力的建设，为业务提供用户状态监控的能力，保障用户免受第三方侵害，是亟须解决的问题。

如果APP是用户个人信息保护的显性入口，是浮现在海面的冰山部分，业务系统的用户个人信息以及信息权益保护是整个冰山海面之下的部分。应用，API，数据库，大数据，转非结构化，第三方处理。场景涉及到数据的复制、流动的特征，经过的人，设备，系统，是否可以完整的追踪，并可以进行溯源，是进行泄漏事件分析的元数据，而元数据跟踪系统的建设依赖于强大的元数据采集能力与分析能力。这不是传统的单点API安全，数据库审计，数据库防火墙，终端、网络DLP，数据加解密，数据资产单独授权的产品和机制可以保障，需要系统化的数据安全全流程运营能力建设。

2、消费者权益保护

消费者权益保护是业务安全与用户安全交叉的核心部分，用户被欺诈，账号被假冒，权益被侵占，由于账号标签被歧视，区别对待，遭受不公正待遇，缺少救济渠道等都是消费者被侵害的典型场景。消费者权益的威胁方包括黑灰产的欺诈、攻击，业务方的规则漏洞以及运营人员错误决策。

用户被欺诈的典型场景包括用户被虚假营销短信，虚假APP，虚假客服，虚假私域营销人员，虚假权益保护方，虚假投诉平台进行欺诈。利用消费者的轻信导致消费者权益受到威胁。假冒业务方及其工作人员对业务方而言是个巨大的治理黑洞，单纯的企业力量难以获取，追踪全量的假冒者信息，而缺乏强制力支持也难以对发现的假冒方进行惩戒。整个治理既需要通过外部情报数据源建立监控跟踪机制，也需要与监管部门建立紧密合作关系，进行阻断，拦截，并及时对用户发布预警。

假冒用户欺诈业务系统的场景包括突破业务系统用户的认证鉴权机制，假冒用户操作更换通信方式，地址，金融账号绑定信息，以用户身份进行交易的行为，造成用户权益受损。因此，对用户终端行为的分析，对用户异常行为的分析，对用户异常行为的身份校验，对用户变更信息的校验，需要考虑多种补偿和监控措施，人脸SDK被Deepfake等CAN破解而造成的风险需要关注，避免因用户信息变更造成的用户权益损失。

错误的业务控制策略场景包括，用户画像，用户赋予业务标签，用户自动化决策等依赖错误数据，错误算法造成的用户权益受损。在人工智能日益强大的今天，错误业务控制策略和算法逐渐受到重视，信息错误的误判，会对用户权益造成重大损害。

同时，需要关注平台策略与决策的公平性和公正性问题，业务的算法规则不能利用业务平台的信息不对称而对消费者造成显失公平的歧视。这涉及到技术规制背景下的平台规制监管的话题，一般会从反垄断和消费者保护的角度进行分析，但目前相关研究和规制仍处于早期阶段，企业需要构建自身的严格管控机制，对技术规制的决策，需要上升到企业社会责任的高度，做到自我约束。

3、消费者救济

有效的消费者救济通道，是消费者与业务方彼此沟通，实现信息共享，从而实现公平公正的对话，纠错，补偿机制的办法。

消费者纠错不是单纯的满足消费者的需求，而是实现消费者和业务方的平等对话。业务方通过对消费者诉求的平等的分析和解读，给出合理的解决方案，有效保障双方合法合理权益。避免用户通过第三方利益的投诉平台造成的消费者权益进一步受损的风险。

从行业现状来看，具有盈利目的的第三方通过恶意的误导，伪造，舆论控制实现消费者控制和对业务方进行敲诈，成为横亘在消费者与业务方之间的顽疾。本因在于消费者缺少业务方提供的公平公正的高效救济渠道以及接受的信息对称的技术服务支持。

消费者保护的网络安全支持是围绕着用户为中心的用户与业务安全的核心能力建设和运营能力支持，通过外部数据源的威胁情报和内部消费者消费行为数据的综合分析，识别，溯源，分析消费者与业务方受损权益的攻击链，以及外部恶意第三方通过平台，攻击，信息的相关威胁，以网络安全风险分析和控制的策略为消费者权益保护提供技术支撑。

以网络安全方法论对消费者权益保护技术支持进行创新和突破，势必为企业和用户带来双赢。

三、海外业务的安全保障

出海是实现经济低迷状态改善的突破口，但海外业务的开展同时也带来网络安全的全剧管控挑战。有别于企业安全涉及到的海外分支机构，互联网性质的海外业务涉及到海外消费者相关的个人信息和业务合规需求，网络安全需要在保障业务安全的同时，符合业务所在地网络安全合规的需求，其能力建设涉及到的产品，运营涉及到的合规需求，均需要遵循本地化的法律法规。

1、网络安全合规

网络安全既是风险控制的实践也是合规管理的底线，遵循业务运营地本地化业务网络安全合规的要求，提供相应的信息，接受监管部门的检查和审查，提供相应的检查和审计报告，获得认可的第三方资质。安全能力建设的产品需要符合法律法规的标准与要求，运营的制度和规则满足风险和事件报告的要求。符合法律法规的要求，满足监管方的监管治理，是网络安全的本地化底线。

2、本地办公终端安全

本地化员工访问本地化运营系统以及集团办公系统，访问集团办公系统遵循集团统一安全政策的基础上考虑本地安全合规要求进行裁剪。使用的安全产品和策略符合本地安全需求的同时满足集团总部的安全要求。

3、本地化公有云业务系统安全

考虑本地消费者个人信息保护和权益保护，在本地个人信息和数据安全法律法规的基础上构建本地化业务运营基础设施。对以公有云为承载平台的业务系统，以IASS、PASS为边界与公有云厂商确定安全服务边界与安全责任标准，由公有云厂商保障底层网络安全。业务建设网络安全需要考虑公有云工作负载安全（CWPP）的相关能力建设，对云安全态势进行全面管理（CSPM），实现云原生应用保护能力（CNAPP）。

4、跨境API调用安全保障

考虑海外业务调用集团公共服务能力的需求，需要保障海外业务访问开放服务API的安全。以API网关实现海外业务与集团业务的隔离，在网络鉴权，应用鉴权，行为审计，内容审计，访问策略方面进行全面管控。具备威胁、攻击检测，预警，拦截，阻断，事件响应和处置能力，实现内容受控与业务隔离审计。

5、海外业务安全运营

针对海外业务用户与欺诈风险，在符合所在地法律的前提下，建立业务安全网关，实现恶意流量的发现，拦截与处置，为业务风险提供业务安全相关的数据支撑。

建立统一的海外业务安全运营平台，对海外业务云基础设施，应用，数据，业务的安全资产，脆弱性，威胁和风险与事件进行统一的管理。由于安全风险，控制措施，解决方案与安全产品的差异化，所需安全运营的技能和模式与集团体系不同，需要在集团统一安全运营体系保持海外业务安全运营的运营和团队独立性，同时也要从集团安全风险管理的角度，考虑风险的统一视图，实现安全建设和运营体系有机统一。

四、委外与供应链安全

数字化安全的生态特征决定了企业在关注传统企业安全的范畴之外，更加重视产品安全和运营安全，以及业务生态的非可控外部安全。

1、传统外包安全

职能和业务环节的外包是首要关注的环节，传统人员外包在纳入员工管理体系的基础上按照内部员工管理，可以控制相关风险。实现能力的项目外包，需要关注的是项目交付成果的产品安全，IT项目可以通过SSDL等研发过程安全管理体系进行约束，以及对产品的安全检测与深透测试保障交付物的安全。业务职能的外包涉及到业务运营环节的委外处理，相对独立的运营环节委外，主要关注数据转移的安全控制，可以纳入供应链安全管理审核环节处置。

2、共享作业系统委外安全

比较复杂的是业务职能的分层外包，即在共享作业系统前提下的职能外包。区别于内部员工受控的人员安全，终端安全，网络安全的受控工作环境，委外单位处于人员，终端，网络非受控的工作环境，带来人员，终端，网络层面的风险，从而影响业务系统安全以及带来业务欺诈相关风险。因此，如何建立共享作业系统委外的人员，终端，网络受控的安全体系，并能保障委外机构作业的独立性，自主性，不增加委外机构的额外成本和降低委外作业的性能，是解决方案的关键。

SLA的服务条款需要具备技术方案的检查，监控和审计，能够及时发现违反SLA条款的行为，并能及时预警和拦截，并为纠纷的处理提供溯源证据，是建立委外安全体系需要考虑的重点环节。

3、供应链安全

供应链安全体系的建设，包括事前的准入审查机制，对供应链的安全进行全面的形式或实质审查，确保供应链的安全体系符合合作的要求。并对供应链系统交互的安全控制包括应用鉴权，行为内容监控，数据安全控制措施，风险与事件预警响应进行方案确认与落实验证，确保事中的安全控制措施的有效性。在事后进行审计，并对风险和事件进行追溯和溯源，为SLA纠纷与奖惩提供依据。

安全网关所提供的在线的行为内容检测与分析，识别业务安全与数据安全的风险与事件，为预警和响应提供技术支持，为审计和事件处置提供依据，是典型的解决方案。但需要关注网关对性能和效率的影响，以及成本和效能的评估。涉及到旧有系统的改造还包含加密内容SSL卸载方案的整改和整合，是攻克供应链安全的重点与难点工程。

五、总结

以安全能力职能为中心的规划，可以明确分工，适合安全团队内部视角。以业务为视角适合进行业务与公司管理层沟通风险分布与成本分摊，更有利于推动达成共识，共同推动公司安全风险治理。安全的规划的维度可以多种多样，找到适合自己企业环境与适宜的阶段，作为管理层战略与业务部门沟通的基础，推动网络安全能力建设和运营体系的持续改进是核心目的。

4、对抗性暴露验证

漏扫工具的漏洞扫描关注资产的脆弱性发现。漏洞管理，漏洞验证作为脆弱性管理的工具提供关于脆弱性的治理能力。静态的漏洞发现，验证，修复在传统企业安全场景中，因系统生命周期的稳定性和场景的简单化以及资源的可以利用性，可以解决企业安全基本风险的脆弱性治理。但在运营安全中，面对敏捷开发的业务适应性需求，系统版本的生命周期短，技术栈和部署结构复杂，安全与研发资源投入不足，静态的漏洞管理思维主导的脆弱性治理模式受到挑战，传统的漏洞公共评级难以适用企业实际安全政策。

漏洞的利用验证，部署环境的安全补偿性控制措施绕过，多漏洞组合利用的业务损害，构成攻击有效性的评估，整合成暴露管理的控制措施。互联网暴露面管理工具关注的是互联网暴露资产的脆弱性发现，评估，但忽略了内部资产漏洞的利用验证和攻击路径的整合。涉及到部署方式和检测能力以及对外部威胁的防御能力，互联网暴露面管理具有市场价值。

对抗性暴露验证，从漏洞的可利用性评估验证以及漏洞组合利用的业务破坏进行攻击评估验证，是对破坏性攻击模拟（BAS），自动化渗透测试/自动化红队等技术和产品的整合，可以实现攻击场景的验证。

这和资产管理，漏洞管理，暴露面管理，破坏性攻击，自动化渗透测试，威胁狩猎等产品存在着交叉和重叠，只不过功能整合的视角与维度不同，这个概念是从攻击者视角验证破坏的可行性，为防守者评估安全控制措施的有效性提供动态依据。

5、暴露评估平台（EAPS）

暴露评估平台（EAPS）与对抗性暴露验证都属于可持续暴露管理（CTEM）的支撑技术和产品，与对抗性暴露验证从攻击者视角关注漏洞的组合可利用性完成攻击路径和攻击场景的验证不同，暴露评估平台关注的是漏洞和错误配置的风险分析与评估，为安全控制策略的制定，控制措施的建设，以及事件的检查与响应提供支持。

暴露评估平台作为资产管理平台，漏洞管理平台的增强功能，关注的是威胁的实际可利用性以及风险发生的概率。但需要注意的事，暴露评估除了关注漏洞之外，需要关注配置暴露的风险，从近年发生的重大公有云可用性事故中，错误配置占了重要的比例。同样，公有云造成的数据泄漏，也普遍存在默认配置，配置不当，错误配置等造成的安全事故。因此，配置管理纳入脆弱性管理，甚至提升至漏洞管理同等重要的程度，也需要相关安全产品关注。

我在资产安全管理方向提过两个个观点，一是数字资产的范畴要足够广泛，不仅要包含物理基础设施，也要包含软件，配置，数据等设施。其实数字化管理的均是数字资产的范畴，而数字化管理的基础设施同样属于数字资产，其脆弱性均需要评估和保护。二是数字资产的安全管理未必统一由安全资产管理平台管控，安全资产管理平台只管理资产的安全属性和脆弱性，数字资产的管理仍由业务功能管理平台管理，只不过需要为安全资产管理平台提供安全属性和脆弱性交互的数据，符合安全资产管理平台的相关规范和要求。

暴露评估包含三个维度，一个是从脆弱性看资产，需要了解脆弱性的种类，脆弱性的影响，覆盖的数字资产的范围，评估数字资产脆弱性整改涉及到的工作量与复杂度。一个是从资产看脆弱性，要了解数字资产目前存在哪些脆弱性，这些脆弱性对资产的影响。还有一个维度，就是从业务角度来看暴露，对于具备多业务的复合性企业而言，从责任和治理的角度，需要关注业务具备哪些数字资产，这些数字资产的风险管理处于什么样的水平。

暴露评估平台是一种技术，也可以是一种产品，但更是一种理念，在安全资产管理，安全风险管理平台中集成相应的功能，也是一种理想的解决方案。

6、遥测管道（telemetry pipeline）/可观测性管道

数据的重要性在安全能力建设和运营中的价值日益凸显，从早期静态的日志数据，到后来的动态的流量数据，内部数据采集是检测，验证，分析，规则应用的基础，围绕着数据的采集，传输，分析，应用是安全产品的能力构建的核心优势。

日志依赖于自上而下的逻辑设计，从语义的层面更加明确，具体，减少数据的不确定性，但问题在于仅记录设计的事后数据，可以用于溯源分析，但却难以记录不确定性和模糊性数据，难以发现未知问题，而且，由于记录事后分析的特性，难以实现实时处置。

流量数据是NDP，NDLP等基于流量探针旁路的数据采集能力，可以实现全量数据的采集，从而发现未知的风险和问题，可以进行检测和预警，流量数据对应用层加密流量可能难以处理，而且受制于探针部署的位置，一般仅做出入口的流量控制，难以实现内部流量的跟踪。

Agent采集是HIDS，终端DLP，NDR等终端产品数据采集的主要方式，是终端安全检测能力的数据源，目前也存在通过eBPF的网络层协议，直接实现终端数据的采集与分析能力的解决方案。

应用层的Agent，例如java 中间件的数据采集Agent采集应用层数据，在应用于APM的同时，也可以应用于IAST、RASP以及DLP等安全功能。

微服务以及容器化的架构中，应用网关以及容器Sidecar技术实现的业务与管理流量分离，都可以作为安全内部数据的采集点。

我把上述数据源以及数据源数据的获取技术统称为数据采集，当然从概念抽象的角度来看，也可以称之为遥测技术，关键是获取安全功能需要的内部数据。

可观测性2022年关注比较多，主要是关注在从单数据流量实例的角度，关注数据流动安全的可观测性，比如，当用户数据泄漏时，回溯用户数据实例流动的全过程分析，关注到数据流经的从终端应用，到API，数据库全过程中触及到的的人，设备，应用，软件，服务器，通过机器学习的方式，找到聚类规律，完成溯源。

这个过程不仅适用于数据安全，同样适用于威胁狩猎，例如对APT攻击路径的回溯，前提是建立不同数据源格式适配，以及相关性关联与分析。至于安全数据的外部数据问题，在威胁情报相关的主题阐述，这里不做赘述。

二、在顶峰的安全产品与技术

1、网络–物理安全（CPS）

前文阐述了IT、CT、OT融合的风险，三者在安全风险的控制能力和措施存在巨大差异，OT物理隔离环境下安全风险评估和控制措施有限，融合了数字化技术之后自身脆弱性风险增加，与CT、IT环境互通后外部威胁增加了暴露面，存在巨大风险。从产品安全的维度来看，新兴数字化产品需要在产品设计阶段整合安全预防能力，但存量产品接入现有网络需要关注网络隔离的补偿性措施设计，以及产品OT协议重构与升级安全需求协议的需求，否则，将会带来重大的CPS风险。

2、网络资产攻击面管理（CAASM）

详见EAPS章节的分析，这也是我2022-2023年关注的资产动态安全管理的范畴，几乎完全重合。

3、渗透测试即服务

相对于人工渗透测试服务，关注的是SAAS部署的自动化测试工具对人工渗透测试服务的补充，以及标准化工具平台，流程和规则，对特定监管和威胁规则的检测。

4、威胁暴露管理

详见EAPS章节的分析，相对于资产维度，关注的是脆弱性维度。

5、安全服务边缘（SSE）

企业安全中，用户使用终端通过网络访问IT资源的的管理，是身份认证，权限管理，访问控制等安全策略预防能力部署的重点。当用户，用户的终端设备，IT资源都在相对固定的物理区域内，网络属于封闭内网，关注的重心在于用身份认证，终端的安全管理，以及资源应用权限的管控。分支机构和移动办公需求逐渐增多的背景下，VPN作为远程加入内网模式的解决方案使用。VPN的问题是仅做网络接入内网的控制，对用户身份，终端，应用权限的控制依赖于已知的安全策略，账号出租，终端非受控，内网默认信任导致的资源权限漏洞，在远程办公普及时风险日益严重。

零信任解决方案（ZTNA）重点解决用户，终端，资源的动态验证和精细化权限控制的动态授权问题，用户的强身份认证，结合受控终端的安全管理与检查，规避风险才可以访问授权应用资源，不再有默认的受控终端，默认的网络信任边界的概念，构成了零信任的核心理念。当然，在部署的时候，从性能和效率出发，会对终端和用户的场景区分以减轻网关的压力，这是零信任解决方案产品差异化竞争优势的体现。

零信任解决了用户和终端访问内网IT资源的问题，但企业存在着访问公有云和第三方IT资源管控的问题，员工通过终端访问企业外部IT资源过程的安全检查和监控同样需要解决，云访问安全代理（CASB）作为访问代理，员工使用终端通过CASB才能访问外部IT资源，外部IT资源仅接受CASB的访问，实现外部资源访问的安全检查与监控。

还有一种场景是企业生态环境中，对用户生命周期和终端缺少管控能力的资源开放带来的数据安全风险和非授权使用的检测与管控，web安全网关（SWG），安全浏览器，或者无端零信任解决方案是针对这种场景的解决方案。

整合SD-WAN方案的SASE架构，通过靠近终端侧的网关接入方案实现全面的用户身份，设备管控，网络边界，应用授权的解决方案，在网络层，应用层提供安全控制策略和数据安全保护策略，逐渐成为共识。

三、滑入低谷的安全产品和技术

1、数字取证和事件相应（DFIR）

这里的事件更多的倾向于我们表达的事故，是安全事故发生后关于避免合规风险以及对企业的影响所做的响应。事故发生的过程回溯和分析，并对安全合规性的操作，流程，记录进行审计和取证，分析事故的发生，处置过程的合规性。遵照合规要求，完成通知流程和损失弥补，恢复业务，降低事故对企业的负面影响。例如，个人信息数据泄漏，需要通过数字取证确认个人信息保护从安全风险评估，到安全控制措施的部署，到安全运营过程配置，管理，检测和监测的有效性，取证是否符合监管部门合规需求。在通知涉及到的用户，监管部门，并采取补偿性保护措施，以及规避资本市场和公众对企业信誉的影响方面建立完善的响应流程。

作为安全服务，对企业的价值和如何整合企业自身的取证和应急响应流程，需要企业自行评价。

2、数字风险保护（DRPS）

数字化让企业整体暴露在网络空间中，假冒和伪造风险让企业声誉遭受损失，早期的假冒网站欺诈，当下假冒APP的用户欺诈，都会让企业的正常业务不胜其扰。假冒网站和APP骗取用户认证信息和用户个人敏感信息，假冒企业客服，业务人员处理业务，造成用户财产损失，需要威胁情报支持的互联网，暗网，社区的监控，及时发现，分析，处置相关的风险。

针对企业业务活动的众包套利，针对企业资源API的非授权工具开发售卖，针对企业敏感数据的伪造，售卖，针对企业不实信息的创作，传播和发表，同样是数字风险的重灾区。另外，需要对企业假冒网站，APP，员工行为提供帮助的域名注册，短链服务，主机托管服务，以及短信服务的相关企业，相关社区需要有一定的沟通，协调，处置能力。

国内也有数字品牌保护的厂商，重点关注域名下线和封堵等相关业务，也有威胁情报厂商提供企业相关的黑灰产情报服务。

但数字风险风险保护，需要关注从企业数字资产风险的监控，外部情报获取，综合分析，响应，处置的能力，以规避外部威胁对企业数字品牌和业务的破坏性风险，具备技术能力，具备法律服务能力，具备监管部门沟通协调处置能力，是提供有效服务的必备条件。当然，这个服务并不容易做，需要持续的积累和丰富的能力支持以及跨界的资源整合。

3、外部攻击面管理（EASM）

参考对抗暴露验证和暴露评估章节。

4、身份威胁检测与响应（ITDR）

身份认证作为预防安全措施的第一道防线，是确认用户，权限管理和访问控制的基础，为了实现身份的管理，建设身份管理平台（IAM），通过统一认证（SSO），多因素认证（2FA）实现身份基础设施的建设，但不幸的是，集中的身份管理，带来凭证盗窃的问题，带来集中管理的风险问题，例如依赖域管理的企业安全身份管理，域控制器往往成为企业安全的薄弱环节。因此构建ITDR成了保护IAM的无奈之举。

多提一句，依赖于生物识别技术的认证方式面临巨大挑战，以人脸识别作为多因素认证关键防线的应用受到来自人工智能生成技术例如deepface和对抗样本攻击的风险，但目前对该风险的普遍认知不足，实属悲哀。

5、扩展检测与响应（XDR）

作为第一代基于日志驱动的运营分析SOC，基于流量，日志整合关联分析的事件响应与管理平台SIEM，结合了终端EDR和网络NDR的XDR被寄予厚望，成为数据驱动内部数据整合与威胁情报外部数据整合，实现关联分析的基础设施。问题在于异构设备，异构产品数据兼容性基础上的关联分析可以实现什么样的效果，能否避免供应商锁定的风险。另外，需要关注在EDR，NDR，SIEM的基础设施之上，可以提供多少的增值服务，能力建设和运营的投入产出比是否匹配，如何回应安全过度投入的质疑。

6、安全自动化编排（SOAR）

自动化作为安全的必备能力之一，是作为产品的必备功能，还是作为公共能力，越来越受到挑战，在产品联动和协作需求较少的前提下，没有SOAR的需求，在产品和协作需求普及的前提下，平台具备自动化子功能，设备具备开放接口（API），独立SOAR产品的空间必然受到挤压，作为一定历史阶段的产物，何去何从，需要慎重考虑。

四、爬坡的产品与技术

1、共同管理的安全监控服务

2、托管检测与响应服务（MDR）

针对公有云基础设施的企业而言，不具备安全基础能力的企业使用托管服务，具备安全能力的企业在基础设施安全基础之上，对应用，业务，数据安全使用共同管理的安全监控服务，都不失为一个良好的解决方案。但相对于美国的公有云业务普及，中国企业的普遍现状是否与美国相同，我缺乏足够的信息判断，但从了解的个案来看，这个领域似乎并没有处在爬坡状态。

3、网络检测与响应（NDR）

4、威胁情报产品和服务（TI）

威胁情报产品和服务在网络安全，软件安全，供应链安全等公共威胁，脆弱性方面的相关情报之外，针对企业数字风险的个性化威胁和脆弱性情报和服务，是企业数据驱动安全的外部数据的关键来源。数字风险威胁情报领域依然有庞大的需求空间可以探索和创新，也是解决网络与电信欺诈等社会问题的可能解决方案之一。

另外，企业如何实现多源外部威胁情报的整合，以提升威胁情报的覆盖率和准确性，并实现与企业内部数据的整合，提升风险和事件的检测与响应能力需要考量。同时，对于威胁情报产品和服务提供商而言，如何实现威胁情报数据质量的提升，如何实现企业情报数据的双向价值交换，以及实现数据的标准化，规范化提升兼容性的同时，保障自身的核心竞争力，是一个重要的考验。

五、进入高原的产品和技术

1、端点检测与响应（EDR）

2、安全信息和事件管理（SIEM）

相对成熟的产品和技术，面临升级换代以及概念整合的挑战，但在未证明新概念和升级换代的投入产出价值，以及新概念和升级换代未受到市场的广泛认可与接受以前，成熟的产品和技术依然是当下问题的最佳解决方案。

一、背景

Gartner的技术炒作曲线是网络安全产业产品与技术发展的关键风向标之一，基于市场数据的调研，从技术产品概念的生命周期指引需求和方案的匹配与发展。网络安全运营作为安全风险的威胁和脆弱性持续发现，分析，控制，以及风险暴露的预警，响应，处置的动态可持续的治理的手段，是安全全生命周期的需求，设计，开发，部署，运行的体系化管理能力，借用应用DevOps的概念，安全运营关注的是SecDevOps的Ops。

VUCA时代是数字化社会在面临地缘政治经济变革，民粹主义崛起，科技脱钩对抗背景下的典型特征，作为数字化社会的安全风险管理（SRM）的关键保障，安全的体系化治理愈加复杂，经济下行压力下，预算资源下滑与安全从业人员短缺进一步恶化安全风险管理的趋势，导致网络信息安全引发的社会问题日益突出。如何洞察趋势，选择合适的产品与技术应对安全风险是从业者需要思考和行动的主题。

Gartner结合市场调研数据以及行业发展洞察，定义了技术炒作曲线，从技术创新，炒作顶峰，泡沫破裂，重整旗鼓，全面应用定义了市场对技术产品的接受程度，从概念到50%的市场占有率，产品和技术需要经过市场和实践的考验与验证，2-10年的成熟期预测与市场的接受度，以及产品和技术对企业安全风险控制的价值评估，决定了产品和技术的未来。当然，技术和产品源自于需求和解决方案的匹配的抽象概念，也是划定了细分的赛道，随着时间的发展，概念之间的边界不断的分裂与组合，构成产品与技术的演进和升级换代。

作为市场购买方的甲方，一是需要洞察企业自身的网络安全风险，这既要关注企业自身的技术体系和数字资产的脆弱性，也要关注内外部攻击者以及攻击手段演进和发展的威胁，建立起网络安全风险态势的洞察，二是要关注网络安全行业技术产品的发展趋势和路径，测试，选择，验证，应用安全风险控制措施相关的解决方案。Gartner的安全运营技术成熟度曲线，无疑是重要的参考资料，可以以自身安全风险和现有安全能力建设和运营为基础，结合炒作周期和技术成熟度的发展，制定相应的安全规划，推进SecDevOps的体系化建设。

二、被合并的产品与技术

1、漏洞评估（VA），合并到暴露评估平台（EAP）

2、漏洞优先级技术（VPA），合并到暴露评估平台。

漏洞的发现，利用，评级，修复的管理涉及到资产以及资产脆弱性的影响管理问题，这个层面的技术和产品针对不同类型的资产，不同的漏洞，具有不同的发现，控制，检测，响应措施，过于琐碎和细节的产品在体系化整合上存在功能重叠以及信息不足，对于具有价值，经过验证的技术整合到更大范畴的概念和产品中，是一种必然趋势。

3、破坏性攻击模拟（BAS），纳入到对抗性暴露验证（AEV）

4、自动渗透测试和红队，纳入到对抗性暴露验证（AEV）

同样，模拟破坏性攻击测试（BAS）和自动渗透测试红队，作为安全控制措施有效性验证的手段，技术上具备可行性，但从整体的安全有效性验证的概念上来讲，覆盖的领域不足，但安全控制措施有效性验证的范围过于宽泛，不同技术的整合幅度过宽是否可以形成具有市场竞争力的产品存在疑问，而Gartner新创的抽象概念对抗性暴露验证，是否可以涵盖针对攻击控制措施的安全有效性验证，能否创设整合过于细分的产品形成新的赛道，拭目以待。

5、托管SIEM服务，纳入共同管理的安全监控服务

公有云场景的中国企业市场我缺少调研数据支撑，从个人狭隘的观察来看，中大型企业公有云市场的接受度和普及率应该低于美国，其中的一个关键因素就是对安全的顾虑。因此，虽然我个人对安全托管服务（MSSP）报以期望，但除非是公有云基础设施为主的企业，托管SIEM服务市场占有率应该较低。从发展趋势的角度来看，混合云的基础架构的趋势势不可挡，如何在完善企业自建SIEM的同时，关注混合云架构中公有云的安全事件管理，必然需要提上日程，共同管理的安全监控服务，是个值得关注的领域。

6、OT安全，纳入网络–物理（CPS）安全。

工控安全（ICS）和IT、CT、OT融合的安全，以及物联网（IOT）安全作为三个赛道存在，但传统企业数字化转型或产品数字化转型的过程中，需要关注的企业安全，产品安全，运营安全，是个刻不容缓的系统性问题。尤其在智能网联汽车，医疗等涉及到网络安全（security）与功能或生命安全（safety），需要统筹考虑整合方案，纳入到网络–物理（CPS）安全似乎是一个必然的结果。

三、不断上升的产品与技术

1、自动化安全控制评估（ASCS）

资产的脆弱性，内外部威胁，以及安全事件的预防，检测，预警，响应是以风险管理为理念的安全控制措施。前提是这些预防，检测，预警，响应的自动化控制措施的部署和配置应该是有效的，这也是我这两年对安全有效性验证最重要的诉求点之一。安全有效性验证不仅是破坏性攻击模拟（BAS）对漏洞利用防护的有效性，对安全控制措施相关产品的配置有效性的检查管理同样重要，实践中安全设备的默认超级管理员账号弱口令的问题，安全设备开启默认最小控制规则的情况并不鲜见，有些现象可以通过BAS验证，但问题的本质并未暴露和处置。

当然，难度也比较大，不同控制措施相关产品的配置和规则存在定制化和复杂度，如何实现识别，分析，决策的自动化无疑是一个难题。号称具备该项能力的产品需要经过实际场景的测试和验证。

2、网络安全网格架构（CSMA）

安全产品的碎片化以及异构安全产品的兼容性是一个老生常谈的话题，一方面是不同产品间的边界模糊导致的功能重叠带来的成本和效率的低下，一方面是厂商安全能力局限于细分产品和技术带来的统一的架构和方案难以解决客户的全面问题，同时客户也需要避免供应商依赖带来的供应链风险。

我在2023年提出重构安全中台的概念，核心思想是实现安全功能与数据基础和公共能力的分离，安全产品专注于预防功能，检测模型，分析功能，响应功能的建设，数据的采集，清洗，存储，传输需求交由安全中台处理，安全的兼容在数据层面上实现统一，规范，标准。同时对人工智能，流程编排，自动化等公共能力由安全中台实现。保护安全企业产品的核心能力，避免数据，人工智能等公共技术能力的投入和重复建设，实现兼容。

看完网络安全网格架构（CSMA）的介绍，感觉有异曲同工的意思，当然，对于萌芽期的技术和产品而言，仍需要更多的验证和市场检验。

3、网络安全人工智能助手

2022年底ChatGPT推动了生成式人工智能的普及，但大语言模型的特性决定了下游的应用需要基础模型基础上的微调和训练，网络安全作为一个领域，涵盖的范围并不狭窄，所以通用的网络安全大模型是否可行仍存在不确定性，现在行业的实践也在不同网络安全领域微调不同的安全大模型，这一方面是为了降低模型参数规模以保障效率，另一方面也需要更具针对性的数据训练降低大模型幻觉对准确性的影响。例如，可以通过敏感内容的训练实现对内容的自动化审查和数据防泄漏的应用准确度的提升，可以通过编码漏洞数据的训练实现更有效的白盒测试降低误报。

网络安全行业的大模型集中在三个领域，一是检测大模型，主要提升基于关键词和正则实现检测规则的准确度，通过更好的语义识别能力降低误报，提升检出率，从而提高效率。一是分析大模型，主要是解决对大量安全日志和数据的自动化分析能力，降低分析师的工作量，提高事件响应效率。这两个领域都是针对安全从业者的人工智能助手。

另外一个，是对企业安全意识教育，安全管理和安全服务的效率提升，通过对安全管理法律规范，安全制度和事件等内外部数据的梳理和整合，与企业员工进行交互，回答安全问题，给出安全建议。这种应用需要注意个人敏感信息和企业商业秘密的保护，一般采用向量数据库或知识图谱结合大模型实现增强查询（RAG）的方式实现。

降本增效带来成本和规模压力，人工智能是不能忽视的生产力工具，这也是不可逆转的趋势。

上篇对《法律3.0》这本书进行了自己的综述与评价，忽略了《法律3.0》自身的论述与案例解析，虽然对我而言这本书带来的震撼依然在延续和思考，但写的文章读者读起来未免显得枯燥无味。周末的间隙，跑步的过程，反思网络安全与法律的关系，不免觉得拿网络安全来阐释法律3.0，更为鲜活，也希望能给大家带来更多的启发和思考。

一、法律3.0回顾

首先还是要回顾下法律3.0的核心思想，法律1.0是规则规制主义，即以立法规则规范人的行为符合权利义务的强制规则，并通过司法对法律事件和法律结果按照规则确定责任和惩治违规行为实现对权利损害的强制力救济。事前的教育、指导、威慑，以及事后的惩治与救济是法律1.0的典型特征。

法律2.0是工具规制主义，规则规制主义的主要问题在于司法过程的教义（doctrine）一致性会造成实质的权利保护和义务强制的不公平。典型就是美国宪法修正案相关的争议判例，在种族歧视，言论自由等领域的一些案例争议就在于是按照宪法立宪的目的去评估还是按照宪法的条目符合性去评估，这是法律在社会变革过程中，社会环境，集体意识形态变动带来的难题。法律2.0的工具规制主义，相对于规则规制主义的教义一致性，提出效果一致性，从风险角度出发，法律的目的是实现法律对风险的有效治理，这个过程中工具作为技术手段，辅助完成对规则的应用，检查。

法律3.0是技术日渐成为人类生活的关键部分，人的基本权利，人的主观能动性日益受到技术的侵入与侵袭，相对于法律1.0和2.0中的规则规制和工具规制属于国家强制力的自上而下的规制，开始受到平台类企业自下而上的私人规制。即使公权力的法律规制，也开始采用技术管理手段进行工具规制，有别于2.0中的工具规制技术仅是辅助规则规制的手段，技术管理的规制是不依赖于规则的规制。而且，在法律3.0场景中的公权力技术管理，由于公权力机关的资源和能力制约，也一般通过委托或联合平台和技术企业进行技术管理的规制，有可能出现寻租与公权力的规制滥用。

社会进入法律3.0阶段，最大的风险在于技术管理的规制自身缺乏法律规制，导致技术管理的滥用对人的基本权利和社会能动性的系统性破坏。

二、法律3.0对网络安全规制的启发

网络安全的社会环境在于信息技术的企业组织应用过程中应用系统和数据保护的企业权利与义务，业务部门权利与义务，员工权利与义务，用户权利与义务，合作伙伴权利与义务，监管机构权利与义务的系统性规制。保护的是应用系统和数据资产，涉及到的是企业，部门，员工，客户，合作伙伴，监管机构的权利与义务，从规制的角度来看，符合法律规制的基本特征。

法律1.0-3.0不是线性替代关系，而是场景适用的复合模式，网络安全产业的实践来看，目前主流观点的是法律2.0的规制问题，即从风险治理的有效性角度来看网络安全的规制，首先进行风险分析和评估，然后制定对应的安全控制措施，通过技术手段实现对风险的处置方案，关注的是风险的有效性问题，技术管理也作为规制手段普遍应用，具有法律3.0的显著特征。

从法律规制的维度出发，网络安全规制的改进可以从以下几个方面思考。

1、安全制度是网络安全的法律1.0

网络安全制度是件有意思的事情，从合规的角度，从管理体系的角度，从传统企业的角度，制度都是必不可少的管理要件，一般谈网络安全和信息安全，也会从政策，组织，技术的维度进行体系化设计。但真正落实到进行规则规制的教义（doctrine）一致性处理，或者按照法律的逻辑立法、司法执行的企业，应该少之又少。虽然大多数企业，如果经历ISO27000体系认证，或者经历过内外部审计，都会有信息安全制度体系建设和管理，并且有相应的记录作为佐证，但是理论与实践两张皮的现状，应该是普遍存在。

这里面的核心问题就在于技术在网络安全的环境中占有绝对优势地位，技术规制主义轻而易举的可以占据上风，并且超越了法律2.0的风险解决方案的有效治理，以技术管理的法律3.0实现了网络安全自下而上的规制。

这其实是为企业网络安全的规制埋下不健康的伏笔，也是业务部门和公司管理层质疑网络安全工作的源头之一。网络安全工作不能单纯的以技术管理替代整体规制过程，需要关注不同场景下规制的复合应用。

网络安全工作同样需要法律1.0的规则规制主义，需要建立教义的一致性，做到师出有名。但也不是说建立一套繁文缛节，甚至是束之高阁的形式化制度体系。从个人实践的角度来看，制度需要考虑3个方面，一是类似于宪法的政策，对网络安全相关的关系人的权利，义务，以及风险，事件的发现，预警，响应的通用性流程，机制制定通用性的标准和规范；二是类似于法律的领域具体制度，包含专门领域风险的权利，义务规定，行为要求，以及事件的具体处理要求；三是相当于规章的具体执行和操作指南。

从网络安全的角度来看，虽然威胁既有外部威胁也有内部威胁，外部威胁自然不受内部制度流程的约束，但内部威胁以及脆弱性的保护和安全事件的处置，均来自于规制的约束机制，风险处置的关键在于降低脆弱性和威胁以及事件的概率，相对于外部威胁，内部规制对网络安全的影响超过80%。按照二八原则，规则规制的范围也应该是网络安全工作的重心。

2、网络安全技术管理的规制

网络安全工作忽视了法律1.0规则规制的制度体系建设是一个方面，另外一个方面就是技术管理缺少规制的风险问题。业务部门对网络安全部门的一大诟病就在于安全措施对业务的干扰和用户体验的影响，安全和业务的关系也是普遍困扰安全部门的关键问题，甚至有些论题讨论的就是安全与系统易用性，可用性对立的处置。这个问题的核心，就是技术方案作为规制手段超越了法律2.0工具规制主义中定义的技术是以规则辅助的方式出现，而以技术管理自下而上的对基本权利和能动性的制约的法律3.0，缺少监管和规制。

法律3.0中提到对技术方案的规制要从三个方面监管，第一是对人类基本利益和能动性权利约束的评估，第二是对身份利益团体的诉求的评估，第三是对不同团体冲突利益的平衡。只有三层审核符合才可以应用。

第一层人类基本利益和能动性的审核，从业务合规监管的角度，越来越受到监管部门的重视，个人信息保护，就是对技术方案应用对个人隐私权利影响的监管回应。

第二层身份利益团体的诉求与评估，网络安全涉及到的利益团体就包括员工，部门，用户，合作伙伴，监管。不少企业的桌面管理系统对员工的工作行为进行监控和管理，从网络安全终端受控，账号受控，网络受控，行为受控的角度的技术方案，对员工的权利和能动性约束。但在法律许可的范围内，如何实现员工能动性保护，同样是需要评估和探讨的。因此，如何建立技术管理的监督审核机制，并进行监督评估是网络安全工作可能缺失的一环。在安全范围日益演进的过程中，例如研发安全管理，技术管理方案同样需要架构、开发和SRE部门的协同和评审。

第三层是不同团体冲突利益的平衡，供应商，业务部门，网络安全部门在实现供应链安全管控技术方案中同样需要考虑利益平衡，供应商事先的安全能力与合规审核，事中系统对接过程中的安全检查与监管，事后安全脆弱性的修复，安全事件的响应与整改，都会对用户，业务，员工，合作伙伴和监管的权利和义务冲突，同样是需要关注的评估审核点。

企业网络安全部门的技术方案受到约束，本质上也对网络安全产业的解决方案和产品的相关厂商提出了要求，相应的产品与解决方案对三层相关审核方的权利和能动性约束，以及三层审核需要关注的评审内容和说明需要做好相应的规范和标准，为企业内部的网络安全技术管理评审提供支持。

三、监管合理性与建议

监管的目的是对不同利益集团合法权利的平衡保护和义务的强制性规定的审查与监督，为权利损害方提供司法救济的有效途径和对加害方进行违反义务规定的惩治。在《法律3.0》中对规制和监管进行了替换性使用，在这里使用监管这个词，代表规制的公权力机关对企业和产业的网络安全的监管。

监管机构对产业和企业的监管符合法律的发展演进路径，中国在网络安全领域的立法包含《网络安全法》《数据安全法》《个人信息保护法》以及授权的主管行政机关，网信办，工信部，公安部出台相关的部门规章，和省、自治区的地方法规，传统的监管方式通过审计方式对企业的制度，制度执行的记录进行审查，并对安全事件进行处置。在法律1.0规则规制主义的基础上，近年来也加大了法律2.0工具规制主义的辅助风险技术方案验证企业网络安全规制的有效性问题，例如通过等级保护制度对系统的安全监测和安全控制措施的约束，通过攻防演练实现企业实际防护能力的验证。

面对数字化浪潮，监管部门同时开始关注网络空间的技术管理规制带来的新问题，《个人信息保护法》从企业尤其是平台企业个人信息应用和保护的角度，提出了全面监管的要求，在APP层面，利用技术管理方案，对APP应用的操作系统权限，用户数据处理，流程的合理性进行全方位的监管，并向公众通报整改。这个方案已经从事实上进入了法律3.0，即以技术管理规制网络安全，而监管机构也确实通过支撑方进行委托或联合的方式实现技术管理应用的监管。

从三个方面建议监管机构关注技术管理的规制问题：

1、企业网络安全的技术管理监管

企业的网络安全应用技术管理进行网络安全风险处置的过程中，员工，业务，用户，合作伙伴，监管机构的权利和能动性影响，具有共性，需要作为公共课题研究，就像监管机构监管用户个人信息，算法以及人工智能一样，需要建立标准规范和评审审核机制，完全依赖于企业的实践和自我发展，网络安全的发展会受到制约和误导。

2、产业网络安全解决方案和产品技术管理的标准化评审与评估

虽然企业的网络安全规制能力逐渐发展，在数字化背景下，越来越依赖于企业的自身能力建设，但不可否认的是，从成本效益的角度，从人才稀缺性的角度，大部分企业依然要依赖于安全产业的解决方案和产品。但目前产业的安全产品和解决方案很少从法律3.0工具规范主义的技术管理的规制角度，去考虑企业和监管机构需要关注的对技术管理对不同利益相关方权利和能动性约束的审核问题。

这使企业网络安全应用技术管理解决安全问题的业务和管理层沟通层面，缺少有力的支持。

因此，产业需要建立法律3.0理念上三层规制审核与评估的规范和标准，有力的支持企业网络安全技术管理的应用决策。

3、监管的技术管理规制方案的监督与公开

网络安全监管从法律1.0的事后监管，向风险防范有效性的法律2.0监管，到技术管理支持的全生命周期实时法律3.0监管，更好的保护核心利益的权利和加强各方义务监督与惩罚。但网络安全监管也需要像《法律3.0》提出的技术管理应用的三重监管一样，在第一层关注人类基本利益和能动性的基础上，关注第二层身份集团的权利和义务的同时，关注第三方不同利益相关方的权利的平衡，避免过度监管带来的产业伤害，以及对不同利益相关方的利益侵害。

举个例子，电信欺诈的核心在于用户信息泄漏以及用户泄漏信息的诈骗方应用，从治理根源的角度是应该对用户信息进行绝对性保护，避免数据泄漏。但可悲的是，用户的基本信息泄漏已经成为既定事实，如果不进行诈骗应用的治理将难以保护用户的基本权利。从业务保护的角度出发，分析用户的通信和短信记录，对诈骗电话和信息进行分析和防范是个可行的技术管理路径，考虑不侵犯用户隐私的前提下，可以在终端进行分析和识别，仅提取诈骗相关的短信和通话记录，完善企业的黑名单规则库，更好的保护用户。但目前这个技术管理显然不具备可行性，因为从监管的角度禁止采集和处理用户的通话和短信记录，目的是保护用户的隐私权。这表面上看避免了隐私泄漏，却因为避免不了诈骗方应用而难以保护这个用户或更多用户受到欺诈。那么这样的技术管理是否经过了三重审核，应该如何经过三重审核，是个值得考虑的问题。

技术管理作为法律3.0的核心手段，突破了公权力的自上而下的规则规制，形成了自下而上的私有规制，即使公权力也在应用技术管理实现对企业和产业的监管。那么如何约束技术管理自下而上这头规制猛兽的负面作用，从目前来看无论意识和手段上都有所欠缺，但规制技术管理又刻不容缓。对安全产业而言，这说不定是个机会。

一、概念

法律是基于规则和规范的行为和法律结果的调整与救济，初始的法律注重法律规则的融贯性（coherent）也就是一致性，在作者看来，这属于法律1.0的范畴，注重规范规则的教义（doctrine）一致性。

在技术逐渐进入和影响社会各个层面，法律教义融贯性难以满足各种细分场景的行为与法律结果的调整，如果遵循教义融贯性可能导致法律目的的背离，这就需要从风险的角度评估规则，考虑技术方案（作者将Technocracy翻译为技术主义，指的是技术上的解决方案解决规制问题）对风险的治理，实现法律目的的有效性，这就提出了法律2.0的概念，就是规制工具主义。

规制工具主义从法律目的和法律的有效性出发在海洋法系国家可以在法院层面实现个案的立法目的和有效性的法官主观能动性的判断，但在大陆法系成文法国家，从立法层面实现存在巨大的困难，如何实现法律对VUCA时代新技术爆炸的规制，存在争议，以技术无关性实现插槽式立法，实现新技术在旧体系中的影射，越来越体现法律的脆弱。

同时，我们这个时代越来越多的规则不再以文本和规范的方式由公权力制定，通过技术方案对人的自由意志和主观能动性进行约束，以技术实现规制成为常态，法律进入3.0阶段，就是技术管理的规制。社会演进到法律3.0时代，我们不能单纯的以法律1.0的视野和思维去立法，司法，而要考虑法律3.0的特征，转变法律思维。

作者用信号和对话两个词，解读了法律从1.0-3.0演变的特征，不是取代关系，而是融合关系，要根据不同的场景，不同的适用，考虑法律1.0-法律3.0的立法，司法过程。规制环境中包括三种信号，道德性信号，审慎性信号，可能性或可行性信号。

法律1.0是在法院审判环节法官关注责任界定，法律2.0是立法考虑风险和风险处理的技术方案，法律3.0关注的是技术管理的应用和约束。

技术管理作为非规则的规制手段相对于规则立法的严谨性缺乏规制（监管）责任的理论和实践，技术管理的措施侧重于限制被监管者的实际（非纸面上的）选择，法律规则侧重于事后惩罚，赔偿和恢复性措施，技术管理用于事前预测和防止不当行为。

二、规制环境

翻译者对regulation的翻译，包含规制和监管的含义，规制是法律用语，监管包含法律和日常用语的含义。

规制环境包括规范性的基于规则的方法，也包括非规范性的技术主义方法，规制环境看作一个发出信号和作出引导的环境，包含一套独特的规制信号。规范性的规制方式针对有可能性的行为，技术管理作用于可能性的范围，通过调整规制空间结构，在产品、流程、场所、人的行为中进行设计实现。

规制环境设计地图包含正在使用的措施或工具类型，指出这些措施和工具是自上而下的公共，还是自下而上的私人，当下普遍忽视了私人机构的规制制定活动。非规则的技术运用其中的规制空间是地图上未标明的区域，非规则技术管理的公共规制能力的缺失，规制机构通过中介机构或合作与私人规制设计机构合作。这种模式带来私人机构对监管机构寻租的风险，监管机构需要重新思考最佳监管。

重新构想规制空间一方面需要对规则依赖和技术依赖实现平衡，另一方面需要关注公共和私人的规制平衡。详细措施的地图中包含两类技术措施，支持现有规则的决策辅助或咨询技术措施，以及消除或改变能动主体实际选择的技术管理措施。非规则的技术也面临着对人类主观能动性软干预和硬干预的区别，以及干预的位置属于外部和内部的区别。

法律1.0和2.0的信息机制都逐渐从道德性转变为审慎性的，法律3.0的信号机制是可行性和可能性的。法律3.0带来的新问题是技术管理阻止被监管者做正当之事的风险，技术管理损失行使负责任的道德公民权利的可行性风险，作者举的一个例子是美国黑人女性“罗莎.帕克斯”拒绝种族隔离规定的公交车特殊区域的案例，对不合理规则的改变是社会进步的一个基础，但由于技术管理，对规则的挑战变得不可能，从社会的维度上来说，这带来未来巨大的缺陷和陷阱。

技术管理颠覆了自由主义法学家关于公民不服从行动成为负责任的道德公民意识的一种表达方式的假设。因此，弥补性的调整需要事先进行，需要在技术管理被授权用于特定目的之前表达反对意见。

法律3.0时代，我们应该警惕监测和讨论技术参与交易和移动过程中以及技术管理用于监管目的对我们实际自由所产生的影响。

三、技术管理监管

监管机构的宗旨和政策合法性需要积极讨论，第一层基础性的监管责任需要管护人类共同体，维护人类存在的先决条件。第二层监管者需要尊重特定人群的基本价值，即该共同体的身份价值，第三层是监管机构在不同合法利益之间寻求可接受的平衡。第一层是世界性不容商议的，第二层第三层以情况而定。

规制工具主义要求使用技术管理需要合法性原则的制约。首先技术管理不得损害人类社会生存的基本条件，其次技术运营应该与其具体构成特征一致，第三，技术对风险管理的整体方案需要透明和包容性的公共辩论，保留人为干预的可能性，技术管理的干预应该是可逆的，第四，通过辩论或公共审议达成特定限制条件的需要尊重限制，第五，技术措施需要具有适当的问责机制，第六，限制性范围或强制范围不应大于人们使用规则来落实特定目标的情形，第七，不得试图欺骗或诱捕被监管者，第八，私人使用技术管理需要采取公开授权和审查的措施。

任何技术管理需要符合三重许可方可运用，全球公共品（Commons，包含人类生物性生存的基本条件，人类能动性和自我发展的一般条件，和道德能动性发展和实践的必要条件）许可，共同体的许可，社会的许可。

革新的融贯主义应该从监管机构的首要职责开始，保护和维持公共品，人类的生存前提条件和能动性蓬勃发展的环境都应该尊重。

四、简评

法律从基于规范的规则作为事后的救济手段过渡到通过技术辅助规则判断与决策，逐步迈入非基于规则的技术管理事前预防手段，从自上而下的公共规制到涵盖自下而上的私人规制，对法律领域提出了新的挑战。

而技术管理的措施从道德信号，审慎信号到可行性可能性信号，对人的主观能动性的干涉涉及到人类自由的基本公共品风险。

如何规制和监管新兴技术纳入技术管理的非规范法律规范体系，是目前面对的重大挑战，从八个要求的三层规制来看，需要对人类共同体，特定身份共同体，以及冲突共同体利益平衡三个层面的监管与审核。

显然，目前新技术的监管体系化思考不多，合法性，完备性，合理性不足，随意性过多，仍存在巨大的空间。

跑步是一个科学过程，但相对于每一个人而言，都是一个应用实践工程，你当然可以先做理论学习，然后再去跑步，但对于大多数人而言，如果想在跑步中考虑科学因素，首先需要行动起来，从实践中不断的克服困难，总结经验，才能更好的理解和应用跑步需要的科学知识。

一、过程与原始数据

为什么要跑步？初始的原因是想减肥。

1、第一个阶段：硬干

大概是2013年，体重在83KG，再一次体脂测试中，36岁显示生理年龄大概在45岁，第一次跑是跑去荔香公园，2KM，气喘嘘嘘，两眼冒金星，即没有智能手表监控心率，也没有关于配速和距离的监测，更遑论说跑前的热身，跑后的拉伸，就是硬干。

坚持还是可以做到的，野蛮的行动持续了好多年，基本每周末跑一次，距离逐渐提升到6KM，每次都是痛不欲生的历程，在我们4楼平台的小操场大概200米周长跑30圈，每次焦虑的数圈几乎是一种求生的本能，当然，跑的久了，确实有多巴胺效应。小腿肚，左腿弯侧神经，左脚踝，左跟腱疼痛是常有的事，大概2016年左跟腱疼的一度行走困难。

虽然买了嘉明的手表，但主要是计时和配速，心率没怎么关注。当时的配速大概是6:30，每次6KM差不多一小时。

起到减肥的效果没？当然是没有，体重在2018年来到了87KG。

2、第二个阶段：调节

2018年从深圳到广州，偶尔看到了Keep的法特兰特10KM训练，也和朋友交流了解到热身和拉伸的重要性，虽然依然通过慢跑来热身，但基本也会在跑完比划两下拉伸的动作。

在广州体重从84KG到87KG的时候，下定决心减肥，通过早餐碳水，午餐肉菜，晚餐不吃再加运动的方式，体重在10月份到了78KG的水平，也在法特兰特10KM的2次训练下，在深圳湾公园突破了10KM。在广州尖岗山公园（应该没记错）每周两次10KM，竟然配速跑进了6：00之内，当然痛不欲生也是每次的必修课，心率也不知道是不是表不准，飙到180是家常便饭，那时候也是猛，晚上喝完酒，继续狂飙，想来后怕，一点也不科学。

2019年底回深圳，2020年创造多次个人PB，跑了两次半马，10KM最好成绩在深圳湾人才公园跑到了50分钟。心率5KM之后依然是170-180，高强度，高负荷，脚踝再次受伤，叠加疫情，脚趾受伤，2023年10月体重飙升到93KG。

2023年初开始用司美格鲁肽，希望控制体重，但根据我用了差不多10支的个人经验，，没什么鸟用，体重从83KG一路飙升到93KG。

3、第三个阶段：重塑

2023年10月因转氨酶指标严重异常，再次启动减肥过程，早餐玉米鸡蛋，午餐牛肉80g，燕麦30g，脱脂奶200ML，晚餐肉，菜，戒酒6个月，体重从93KG下降到78KG。刚开始减的时候，也尝试重新跑步，但2KM之内心率飙升到160之上，很快突破170-180，想着也许以后和跑步无缘了。在24年3月初，体重到78KG，再次尝试跑步，心率控制在160之内，5KM配速竟然到6之内，不免欣喜若狂，我胡汉三又回来了。

这次开始有意识的尝试实验，连续一周每次6.5KM，感觉有些疲劳，然后间歇隔天6.5KM周末10KM，慢慢节奏调整到正常的水平，在跑步前的热身做20分钟的哑铃操，跑步之后简单拉伸，在6月份开始降低运动的频次，周末有一天不做训练。

这次在饮食结构上，在有氧和无氧的训练分配上，在配合肌肉训练，蛋白质补充尝试引入了一些已知的科学知识。目前来看状态良好。

二、分析与建模

跑步的目标不是减肥，而是降低体脂率，提升心肺能力，保持身体机能的状态。跑步的配速，距离与体重，心率，身体状态以及环境的温度，湿度和路况相关。

如果从跑步教材上看到这些信息，基本没什么感觉（如果你看过跑步教材的话）。但是在跑步的过程中，每次跑步的数据汇总在一起，会逐步形成一个模型。而根据自己的感受，去记录和调整参数得到的数据，可以验证模型的准确性。

心肺的状态和肌肉的状态并不同频，有时候会感觉肌肉更容易累，步伐会慢，有时候会觉得肌肉状态感觉不错，但心肺状态不佳，步伐还可以，气喘吁吁，心率上来了。

喝酒影不影响跑步状态，影响不大，但好像肌肉更容易疲劳。熬夜影不影响跑步状态，偶尔也不影响，反而可能因为亢奋，状态更激进。但往往喝酒，熬夜，叠加跑步是个容易出问题的组合，一定要慎重，尝试过几次，虽然状态上影响不大，但出汗更多，过程更容易疲劳，而且从科学指导的角度是禁忌的，就尽量避开。

天气和坡度的影响，温度在25度左右最舒服，28度以上是个考验，如果有太阳，那就有点折磨了，晴天，气压正常的时候跑步最舒服，雨后或者雨前，气压低，心肺更容易感到疲劳，跑步状态一般。我原来硬跑跑坡有压力，小腿腹多次肌肉断裂般的疼痛。这次自三月的路线，有上坡和下坡，6KM两个来回，上升下降180米左右，下坡很爽，配速520心率下到140左右，上坡时老想一句话“下坡一时爽，上坡生死场”，配速600，心率160。

心态，坚持是非常重要的一个指标，如果跑步的目的是比赛，是个人PB突破，那么生理和心理的突破需要付出更多的代价，如果只是健康，相对来说可以根据身体的状态灵活调整。我的每次6.5KM的休息周期大概30个小时，和我实际调整的隔天跑类似。

跑步有科学的方法，但跑步本身是个个人化的事，如何把科学与个人实践经验结合起来，形成自己行之有效的模型，根据自己跑步的目标，对自己相关数据计量，分析，调整，形成自己独一无二的模型，才是对自己负责的科学跑步。

说起来简单，这也是个需要自己无数次的实践控制变量，探索，解决问题的过程，把科学跑步的原则和知识应用于个人，是一个应用知识的工程化问题。

三、谈谈网络安全运营

村上春树有一本书《当我们跑步时我们在想什么》，我跑步的时候，听过歌，廖廖无几；听过课程，有些阶段坚持挺久；心无他想专注跑步，在调整跑步参数的时候偶尔为知；漫无目的的胡思乱想，偶尔的灵光乍现挺多；结构化的思考某个事情，占用较多的精力挺难。

科学跑步与网络安全运营什么关系？是我有次跑步时在思考影响跑步目标，跑步状态，多个参数关系时，偶尔切换到思考网络安全运营分享内容的思考时，突然灵光乍现：

网络安全运营有知识和模型吗？网络安全运营有目标吗？网络安全运营知识应用到企业现状时需要考虑什么样的因素和变量？网络安全运营目标的影响变量和参数在每一个企业是不是一个实例？知识应用到实例需要在实践中调整优化参数与模型吗？网络安全运营本身是不是一个知识体系应用到实践实例的工程化过程？

这些问题的答案都是肯定的，这样看来和科学跑步确实有莫大的关系，最起码在思考路径和方法论上有异曲同工之妙。

跑步的目标每个人可能不同，有些人为了减肥，有些人为了减脂，有些人为了自我挑战，网络安全的目标也是非常多元化，有些公司是为了降低风险（风险驱动），有些是为了规避责任（合规驱动），有些是为了亡羊补牢降低损失（事件驱动）。跑步的目标不同，度量的标准不同，建设的模型不同，网络安全也是如此，没搞清网络安全目标的邯郸学步自然不是个理想的运营体系建设模式。

NIST的安全框架，ISO2K的安全体系，暂且看作是个科学的网络安全运营知识体系（科学这个词是基于原理的理论构建基础上的知识体系，技术是在现象基础上的原理与现象组合工程应用的知识体系，因此这些体系相对于科学更准确的应该叫技术），应用到企业的网络安全运营实践中需要大量的参数的调整，验证和优化，形成实例化的模型，而不是直接的借鉴和适用。

跑步我们关注心肺体系，肌肉体系和大脑体系，每个部分的极限和关联存在个体相关的微妙联系。跑步时你的距离，配速，心率是一个自己波动区间的范围值，企业与身体一样是个系统，如果把网络安全运营看作跑步，那么企业的网络安全水平也是一个限定值。

安全能力的建设就相当于肌肉，不经过长期持续的无氧训练，肌肉水平是难以支撑跑步的配速和距离，也容易受伤。所以，企业的网络安全水平决定因素之一是企业的网络安全能力建设。

心肺体系是企业的业务和资源能力，网络安全运营受制于企业的业务和资源能力，我们的安全运营需要在资源限制的前提下保障业务处于稳定的水平，就像我们跑步时必须关注心率的变化，处于一个合理的水平。

大脑体系是决策和意识，跑步过程中即决定了目标是什么，又评估我们状态怎么样，是该坚持还是放弃。企业的安全运营也需要关注企业的安全态势和安全意识水平，及时作出决定。

从环境因素来看，合规要求像气压一样影响网络安全运营的状态，合规要求越高，处罚越严厉，企业的网络安全运营越需要像阴天跑步时一样，在相同的配速和距离下，心率的表现和肌肉的压力越大。

天气的温度像社会的热点一样，例如，当全体社会关注到隐私保护的时候，个人数据的处理，以及个人权利的保护就在聚光灯下，网络安全运营的数据就像高温下跑步一样，头昏脑胀，欲仙欲死。

每当新技术带来新挑战时，网络安全运营就像跑步在爬坡，虽然知道下坡的时候会带来爽感，但爬的时候确实身心俱疲。

喝酒，晚睡就像你在风险接受程度下的妥协，虽然当时的状态没受到直接影响，但有害健康是肯定的，猝死的风险悬在头上，不得不防。

当然，肯定会有人觉得把科学跑步与网络安全运营这个类比有些牵强，我觉得可以理解，这本来就是我个人跑步时的胡思乱想，在时不时想起来这个主题的前提下，酝酿了一段时间，总结一下，跨界一下，输出些自己思考的产物。因此，本文既不具备论文的严谨性，又不具备技术体系的工程化逻辑和思维。

所以，莫当回事。

近几年经常收到一些邀请，做一些网络安全领域的分享，近一年来也开始规律化的通过公众号写作和分享一些内容。无论是演讲还是写作，尽量避免已有知识体系的直接传播，而是希望在知识提炼和挖掘的同时，包含自己认知体系带来的见解，观点，创新，希望通过分享和表达，影响更多的从业者，形成共识，推动行业的进步和持续改进。

虽然是网络安全从业者，读者也以网络安全行业为主，但我的兴趣爱好相对还是比较宽泛，喜欢通过跨界的学习和思考，引发创新和思考。因此，我想总结下自己所讲、所写的内容究竟与别的分享着有什么样的区别，这些区别背后的内容是什么样的结构和模式。

持续思考这个主题的过程中，有次和朋友探讨数据生产要素，数据资产，以及新质生产力如何在数据领域发生价值，形成商业模式的问题。看讨论完记录者整理的书面材料，发现不仅内容需要理清，在表达和传播上，同样存在着一些问题，很容易用思考的逻辑代替表达表达逻辑，缺少正确的表达形式，表达的对象模糊不清，达不到理想的传播效果。觉得倒不如从内容到思考，表达，传播的链条做一次完整的分享，所以成文。

一、内容

标准的知识框架我们从DIKW（数据，信息，知识，智慧）谈起，数据作为原始资料，在传播的价值上缺乏意义，而只是意义的承载，当然，数据一是直接承载的意义，二是基于承载意义数据本身的规律分析的意义（这是统计学，机器学习等AI发挥价值和作用所在）。

信息是知识的承载，结构化，体系化，模型化的信息，构成知识，单纯的信息在事件，事实，环境的描述方面具有传播价值，典型的是新闻，以及社交媒体和对话。时效性是信息传播价值的关键，也是查证，验证，补充，填补知识空缺，也有增加传播可信度的作用，但从我的角度来看，信息对知识结构的理解，思维逻辑建立的佐证作用未必是唯一的，这也是我分享时PPT中信息了了的原因之一，我需要花时间查找，验证的佐证可信度的资料，对我传播的观点而言，我觉得是得不偿失的。当然这仅是我一家之言，而且相对图文并茂的信息丰富度的分享内容而言，我的PPT可信度，和用来阅读，显然不是个好样本。

知识是信息的结构化，模型化和体系化的整合，是对科学，技术的描述，包含是什么，为什么，怎么做的主客观阐述，我们的传播主要是针对这个领域，以网络安全的内容而言，从网络安全以及该领域的相关概念，也包括分解概念，映射场景，环境，问题，需求。重点是针对特殊环境，场景下问题的解决方案的建设，运营，以解决问题。是什么和为什么都是主观的问题，如何定义概念，辨析差异，问题产生的原因分析，解决方案处理问题的原理和实践与问题的相关性，需要验证和证实，符合科学技术的一般规律。到具体执行环节的如何做，反而是客观的，根据流程，程序，步骤，客观的执行，反馈结果。

智慧是知识之上的关于领域思考的问题，是对是什么，为什么的进一步抽象思考，可能是面对环境变化，技术发展，对现有知识体系的持续改进甚至革命性思考，可能建立新的知识体系，对信息按照新的模型进行体系化的重构，以数据安全为例，数据安全与网络安全在资产属性的本质化区别，可能决定风险的不同以及方法论的差异，如果仍以网络安全的方法指导数据安全，可能南辕北辙。

当然，并不是对传统知识体系的任何变革都是智慧，智慧不是空穴来风，从知识进化论的角度来看，任何知识体系的演进和变革都是逐步发生与突破的，需要经历从量变到质变的过程，智慧源自于对已有知识体系深刻认知基础上的理解，洞察与创新，而不是无中生有，闭门造车。但也肯定不是面对新环境，新场景，新技术依然视而不见，抱守残缺。

从内容的角度，我思考了一个模型，供参考：

 

操作技能是从客观的角度出发，对如何做的阐述，这也是行业新人切入工作的首要环节，当然在这个领域，做好其实也并不是那么容易，动手能力注重的是效率。入门容易精通难，在这个领域呆的时间足够长，专家是必然的。

运营能力从需要一个领域的操作技能，跨界到需要多个领域的操作技能，同时需要团队作战，跨团队的协作能力，横向和纵向的沟通，这是行业新人晋级的第二个路径成为管理者。

知识结构是在实践的基础上实现理论与实践的融会贯通，知其然也知其所以然，这个时候从职场发展的角度就具备了一定影响力，可以算是个领导者，可以引领具体领域的创新与发展。

认知框架是理论实践的跨界发展，已经不在局限于某个领域的知识架构，而是具备了跨领域知识架构的交叉整合能力，这个时候，从业者已经超越了领域领导者的角色，具备了改变商业模式和商业逻辑的能力，按照熊彼得的理论，这是企业家所具备的创新促进经济发展的能力。

思维逻辑是哲学层面的思考，已经是方法论层面革新的动力源泉，做到这个地步，可以算做思想家了。

所以思考，创作，表达，分享的高度和内容分类相关，当然这个划分并不是单纯的层级优劣之分，具体内容创作和重心也和个人的阅历，知识结构，努力方向和性格相关，并不能根据内容划分作者的层次，操作技能并不代表没有思维逻辑，毕竟内容分类本身有所重叠，多元也属于正常。

这个划分只是从内容的角度和职业发展的角度给出一个框架，每个人可以找准自己的定位与努力方向。

二、思考与表达

上面给出的是内容的分类与框架问题，具体到做一次分享和传播的内容，需要从思考和表达两个方面去准备。思考是分享者的逻辑，从分享者自身出发，需要思考要表达的主题和内容，思考的过程是个自圆其说的过程，要在内容的组织上做到闭环，我们常说听到某个人的演讲，看到写的文章，感觉分享者和作者自己并没想清楚，这是分享者和作者欠缺思考的典型表现。如果这出现在客户交流和解决方案的售前环节，结果可能是灾难性的，不专业，不职业是典型的评价。

但切记不要把思考的内容直接作为表达的内容，按照思考的逻辑直接去做表达，毕竟，思考是在自身的知识结构基础上的逻辑闭环，该主题的知识结构，佐证信息，均建立在分享者自身的认知框架和知识结构之上，对于听众和读者而言，提供的信息要么过载，要么欠缺，由于双方在认知框架和知识结构上的差异，势必很难实现要达到的传播效果。

思考只是作者建立了关于主题的完整景象，需要达到传播效果需要设计表达的结构，我们常说表达需要关注听众，需要了解听众的诉求，了解听众和读者的知识结构和认知框架，才能实现良好的传播效果，如果是沟通，这个说法是没有问题的，我们谈的是传播，虽然也有目标用户群，但只是粗略的画像，很难精确的获得或了解每个听众和读者的认知框架和知识结构，这其实只能是个被动选择的过程，需要听众和读者去挑符合自己认知框架和知识结构的内容。

被动并不是说不用设计表达结构，而是说分享者和作者同样需要根据传播的目标，去挑选合适的听众与读者，也就是确定传播目标的认知框架和知识结构需要建立预设，这个认知框架和知识结构的基线与自己存在差异，但满足传播目标的要求，具体而言，有几点建议。

1、给出认知框架和知识架构避免歧义

在传播内容之前直接给出认知框架和知识架构的概念定义，在认知框架和知识架构层面达成一致的基线，然后进行传播，避免大家领域，概念，认知和知识方面的歧义，造成传播的误解。

2、问题驱动直接给出答案

在主题内容的传播的设计上，关键内容预设目标听众和读者的的疑问，直接以答案的方式给出内容，切忌需要转译，思考，映射才能得出答案。经常听到一句话，我也是这个意思，然后解释一通之后说，你看，我也是这个意思吧，这其实过于隐晦，不够直接，而且并不一定听众和读者按照这个逻辑去做思考和映射。

3、形式与内容的平衡

PPT是不是良好的传播架构仁者见仁智者见智，我的观点，分享主要听我讲，PPT只是个关键的框架和关键词提示，内容主要靠阐述，但如果要了分享PPT来看，其实没什么内容，但我个人又很少参加别人的分享但喜欢看分享的PPT，所以如果都像我这样的PPT其实我会大失所望，这很矛盾，幸亏大多数人不像我，很多PPT给出的信息量足够，可以通过看来获取分享内容。

写文章是个比较理想的分享模式，可以包含足够的信息传播观点，理念和知识。图在关键时候起到一图胜千言的作用，但图的设计显然也是个比较困难的事，从信息和内容的组织来看，需要耗费精力不说，还要有设计上的才华。

但形式一定不能喧宾夺主，很多花里胡哨的设计其实内容了了（这是不是为自己PPT写得差做掩饰？）

三、传播

传播是个双向选择的问题，分享者需要挑选听众和读者，听众和读者在信息和知识大爆炸时代也需要挑选分享者。虽然这里面有很多心理学和社会学的诀窍，但套路的传播未必是传播目标的价值最大化。

我随手写的关于网络安全产品的吐槽阅读量几千，我费心费力写的关于大模型安全应用需要科学方法的阅读量几十，这里面当然和读者的认知框架和知识结构密切相关，但我写作传播的目的到底是什么，是需要思考的，如果我希望带给大家更多深刻的思考和启发，那么我必须做自己的坚持，我也跟朋友吐槽说，我写作不是为了传播，而是为了记录自己的思考。但天知道，这是多么装逼的一句话，不为了传播的写作怎么会有动力，没有野心的传播又有什么意义。

所以，一面说要少点套路，多点深刻思考，一面还是言不由衷的把安全内容没多少的标题改成网络安全内容的思考，表达和传播，毕竟不带网络安全这四个字，看的人少呀。