不清楚保护对象，何谈安全保护？
某知名第三方调研机构在其2017年一项研究中得出结论，未来五年企业价值将取决于各自的信息资产组合。在当今日益数字化的世界中，任何想要正确评估企业价值的个体和组织，必须重视信息资产和对它的分析能力，包括信息资产的数量、种类和质量等。信息资产已逐步成为企业的战略资产，得到了企业高层的广泛重视。
但与此同时，在数字化创新的推动下，IT架构与应用越来越复杂，信息资产的数量与种类越来越多，也让网络安全的复杂度大增。特别是云计算、移动互联网等技术的创新，使得组织的网络环境失去了边界；应用系统和业务数据的开放互联成为组织的常态，组织原有的资产管理方式往往不能跟进系统变化。另外，网络资产需求的突发性，以及人员的主观工作疏忽，都可能导致出现资产数量不明、类型不清晰、安全检查漏洞不全面等问题。信息资产梳理是解决知己知彼的问题，是增强网络安全防御能力和威慑能力的基础。
如今，组织的信息安全要把重点从只重视防护手段，逐步回归到先分析防护对象安全需求上来，要先把保护对象界定清楚，然后再来谈用什么手段来保护，对信息资产的重新识别及强化管理是当前组织的信息安全工作第一件要做好的事情，信息资产识别也随之成为网络安全策略重要的基础性工作。
为了进一步明确信息资产风险与合规管理方法，推动信息资产安全治理，此次盛邦安全联合安全牛共同发布《信息资产风险与合规管理（ITARC）应用指南报告》，从业务和资产的关联角度出发，分析了信息资产的主要类型及风险因素，明确了信息资产的识别与治理方法，融合等级保护管理规范，分享了相关行业实践案例，并给出了信息资产安全治理可落地的方案和建议。
盛邦安全五步法——信息资产安全治理落地的规范动作
报告指出，信息资产风险与合规不能作为一个单纯的安全管理问题来看待，需要意识到信息资产的安全直接关系到业务的运作效率与安全，必须得到高度重视。由于在数字化的过程中，信息资产随时都可能增加、删除以及更新，因此信息资产风险与合规需要贯穿信息资产的全生命周期，包括资产的发现、添加、整理、维护以及废弃，这样才能将安全能力覆盖到尽量多的信息资产，减少风险的暴露面。
从信息资产安全治理的全流程出发，报告建议遵循“摸清家底、备案审核、立体化防御、自动化运营、应急响应”这一安全治理“五步法”原则，来提升资产安全治理水平和整体防御能力：
第一步：摸清家底。结合等级保护规范进行资产梳理是安全治理的第一步：通过主动探测、被动流量分析结合的方式，对内外网资产进行识别和梳理，清点资产，确定资产边界；盛邦安全目前可以识别物联网、路由交换设备、网络安全设备、业务系统等30类近10万种网络空间设备。
第二步：备案审核。建立备案审核管理流程，进行资产认领登记备案和上线前的安全检查，对资产备案进行全生命周期管控；
第三步：基于等级保护的立体化防御。对登记审核的资产有针对性地进行分级防御部署，满足《网络安全等级保护制度2.0》、《网络安全法》等法律、法规以及行业安全管理规范的要求；
第四步：自动化运营。通过流量监控、日志审计、漏洞扫描等方式对所有资产进行审核和评估，建立安全模型；对安全防御体系及核心资产进行实时监测和预警，一旦发现问题，及时反馈给防御体系，形成7*24小时的主动与被动式监测、动态指纹画像与健康巡检相结合的自动化运营机制；
第五步：应急响应。任何安全措施都不能百分之百保证防线不会被突破。对组织而言，当安全事件发生时，快速定位被攻击的资产以及评估潜在会受到影响的资产并采取隔离、阻断等措施是十分重要的。当发现存在篡改、暗链、漏洞利用以及webshell攻击等安全风险时，可及时采取“一键断网”等应急响应措施。
另外，“网络空间资产安全治理”论坛将于中国计算机大会（CNCC2019）的第一天10 月 17 日下午在苏州金鸡湖国际会议中心A217会议室举行，届时，来自清华大学、国家电网、阿里巴巴等单位的专家和领导将带来网络空间资产安全治理的相关话题分享，更有安全牛主编李少鹏对《信息资产风险与合规管理（ITARC）应用指南报告》做现场解读，精彩不容错过，更多信息请关注会议官方网站：https://cncc.ccf.org.cn/。
会议背景资料
由中国计算机学会 (CCF) 主办的中国计算机大会（CNCC）已成功举办了十五届，每年都吸引了大量专业人士到场参与。今年的中国计算机大会将于10月17-19日在苏州金鸡湖国际会议中心举办。本届大会的主题为“智能+引领社会发展”(AI+ Leading the Development ofSociety)，将围绕“互联网 50 年”、“工业互联网”、“深度学习”设有三场主题论坛，以及七十余场前沿技术论坛，包含多个计算领域的热点话题，如信息安全、人工智能、大数据、区块链、量子计算、神经形态计算、工业互联网、健康医疗、教育教学等。