在物聯網等新技術快速發展的環境下，數字化工具給物流活動開展提供了支持，物流信息網絡系統也促進現代物流行業發展。然而，數字化如同一把“雙刃劍”，在給物流企業創造效益的同時，也會引發一些潛在的安全問題。
在騰訊安全策劃的《CSO面對面》訪談欄目，邀請到順豐科技網絡安全負責人譚林，以物流行業的安全防護為例，分享物流企業面臨的網絡信息安全建設問題及解決對策。
譚林，順豐科技網絡安全負責人，負責基礎設施安全、SDL應用安全、安全運營和安全産品等工作。擁有豐富的企業安全規劃、建設和運營實踐經驗，熟悉國内外主流安全架構、産品和技術，是實戰檢驗安全能力的踐行者。
譚林先生在公司内部倡導先進的安全技術與理念，建設了物流行業特色的安全防護體系，同時與包括騰訊在内的業内公司共同探索前沿的安全解決方案。作為行業内的專家，也為引領行業趨勢、融通行業信息、推動行業變革與發展做出了貢獻。
以下為本期《CSO面對面》文字實錄。
關于順豐的安全建設經驗談
Q1：當前物流企業已經成為國民經濟重要的基礎設施，幾家頭部物流集團均擁有複雜的數字化版圖，應用數字化産品的主要場景有哪些?
譚林：數字化已經覆蓋物流業務的方方面面，包括用戶訂單管理，包裹攬收，倉儲管理，自動化貨物分揀，以及車輛運輸的規劃和調度等等。數字化幫助物流業務實現了業務流程的實時、在線、自動化和智能化，打通了各個系統和平台之間的融合與互通。數字化極大的促進了物流企業的運營效率和用戶體驗的提升，也帶來了模式創新。
實際上，效率是物流企業最重要的關注點。數字化創新能力的建設，正在成為物流企業提升企業運營效率、打通運營阻塞點的必備工具。更長遠看，是否能夠依靠數字化建設核心競争力，是否能夠堅持通過數字化提升全流程的效率和效能，将會是物流企業能否更好支撐國民經濟提速的關鍵抓手之一。
Q2：就您的經驗來看，物流企業、電商等新興行業的安全風險暴露面主要有哪些?
譚林：物流和電商等新興行業是聯接人與物之間的紐帶和平台，在業務開展中會接觸和處理大量的個人數據，這些數據是黑客的重要目标。個人隐私數據保護，是企業必須做好的，也是國家在法律法規、行業規定等多方面重點關注的方向。一方面，要基于《網絡安全法》和《個人信息保護法》等法律法規加強監管與威懾，加大對違法企業與個人的懲治力度;另一方面更加關鍵的是，要在企業數字化流程本身去想辦法，用數字化工具和安全工具去消除漏洞，通過機制和策略降低人為洩露風險。
此外，物流和電商行業在業務開展中流程複雜工序多，既有線上也有線下環境，因此，物流行業的風險暴露面比傳統線下行業更廣，包括在線的訂單運單管理系統，收派作業系統，以及分布在全國的各個中轉場、倉儲和集散點，也包括支撐業務運轉的自動化分揀設備和衆多IoT設備。在這個過程中，物聯網安全相關的技術也可以在物流場景中得到很好的運用。
Q3：以順豐為例，在複雜的信息化需求和安全需求下，如何建立一整套能夠統籌兼顧盡可能多業務闆塊、有效處置所有潛在安全風險的防禦設施?最核心點在哪裡?
譚林：順豐是綜合物流領域安全技術引領者，作為獨立第三方物流公司，捍衛産業生态和用戶數據是我們的職責。在确保内外部安全合規的基礎上，實現安全與效率的平衡，兼顧安全與用戶體驗是我們安全體系建設中的重要考量因素。
在安全風險防禦和處置中我們重點關注三個方面：
一是精準，對安全風險分析判斷的準确率是核心要求。物流行業與上下遊業務的交互非常複雜，這要求安全在處置風險的時候不能誤傷，我們需要考慮應用系統是否使用CDN，來自哪些合作夥伴，以及應用對時延的敏感度等因素。
二是快速，速度是安全攻防對抗的核心能力，我們對安全事件的檢測和處置時效(MTTD和MTTR)是分鐘級的。如何快速檢測和預判威脅，在威脅沒有産生影響的時候提前處置，如何在處置海量惡意IP的時候沒有遺漏，對産品和方案成熟度要求極高。
三是智能協同，能夠靈活與網絡、DNS、終端、賬号和郵件等周邊基礎設施聯動，實現情報互通和共享，才能在安全防禦中應對各種潛在的風險場景，這是對安全防禦體系的開放性和智能化的考驗。
Q4：您覺得市面上互聯網公司的技術發展對大型企業的安全建設有怎樣的影響或者幫助?能否舉幾個例子?
譚林：互聯網公司基于自身業務發展的需要積累了大量的安全建設經驗和能力，互聯網公司具有較高的産品化和工程化能力，這些産品和技能來自于真實業務場景，且得到實戰驗證，對企業會有很好的幫助。比如：
互聯網公司在實戰中儲備了豐富的攻防知識庫，他們有強大的安全團隊從事漏洞利用分析、技戰術研究方面的工作，并且在業務開展中與黑産黑客的對抗中，得到持續優化和提升。這些知識庫是檢測分析類産品的核心能力，一般企業很難有這麼多資源投入和這麼豐富的場景。
同時，互聯網公司關注用戶體驗，如何在海量的攻擊中精準防禦，減少業務影響是互聯網公司天生就需要解決的問題。在大型企業數字化轉型的安全建設中，這一點将會越來越重要。
順豐科技具備物流和科技屬性，網絡安全借助公司的大數據AI能力進行攻擊者畫像方面的探索，同時也與包括騰訊在内的互聯網公司進行攻防情報和産品方面的合作。
Q5：您覺得您個人在企業中推進安全建設，發揮了哪些“先行者”的作用，具體涉及哪些安全技術/理念的應用?
譚林：順豐在數智化物流方面的地位和經驗基礎，決定了在安全上的部署和戰略前瞻性。公司的安全建設離不開過往一步一步的積累，我們是最早開展個人隐私數據保護的物流公司。在近幾年的安全建設中我們更多從解決安全風險的實際需求出發，堅持做了幾件事情：
一是實戰檢驗，堅持紅藍演練以攻促防，我們有個slogan：實戰是檢驗防護能力的标準。安全建設是為了解決具體的業務痛點，安全建設的能力、工具和流程需要通過紅藍演練來進行實戰驗證，并堅持複盤和跟蹤整改。
二是自動化，安全暴露面的梳理，安全風險的檢測分析以及事件響應都需要投入大量的人力和時間，尤其是安全工具覆蓋率提升以後，如何提升效率是我們持續追求的。通過自動化建設我們的自動化檢測能力處于行業水平，如我們安全事件工單96%以上實現了自動化檢測和響應，SDL安全檢測通過自動化提升CI/CD效率，漏洞檢測98%以上達到自動化。
三是數據驅動：通過數據驅動安全運營，安全工作要見成效必須重視安全運營。首先，通過安全運營來度量安全能力和水位。在安全運營中，資産定位率、安全工具和能力覆蓋率、檢測率和誤報率和時效都需要通過數據來衡量。同時，數據是安全檢測和分析的基礎，有了數據才能提升看見的能力，盡可能獲取豐富和高質量的網絡流量、進程調用和訪問行為數據才能為安全檢測和分析提供決策依據。
Q6：貴公司對于安全在全場景下的應用效率是非常關注的，我們知道騰訊和您這邊有一些安全界面的合作，想了解下您是出于具體什麼背景做相關場景的部署考慮，在此環節上您最為關注的是什麼?
譚林：騰訊非常重視安全研究、安全工程化和安全服務方面的投入，騰訊安全在攻防兩端都擁有非常強的實力。這與我們倡導的實戰攻防能力建設是非常匹配的，實戰能力提升關鍵在安全運營的智能化。
我們每天面臨上千萬的攻擊流量，如何提升威脅檢測和處置的工作效率，保障檢測和處置的準确性，減少漏報避免誤報，需要我們有一套智能的檢測處置流程及工具。基于這個背景，我們和騰訊安全開展了安全運營方面的合作，探索預測、防禦、檢測和響應的自動化閉環，構建攻擊面管理(事前)、情報賦能檢測(事中)、情報支撐響應(事後)的智能化安全運營體系，解決安全運營流程中人人、人機協同的問題，降低安全運營中投入的人力成本。
關于行業安全理念與建設
Q7：大型物流企業數字化過程中，有哪些比較普遍的安全痛點和安全風險?
譚林：物流是人員密集型行業，人員多流動性大，人是最薄弱環節，與之相關的賬号安全，社工釣魚風險比較普遍;
其次，暴露面廣，物流業務的流程複雜，IT系統對接和關聯的上下遊衆多，除了有集中在雲端的互聯網系統還有分布在全國各地的物聯網和終端設備;
另外，物流已經是老百姓生活的一部分，需要我們在安全建設中盡可能的降低或避免因為安全問題帶來的系統穩定性風險。
Q8：物流企業是涉及到很多相關産業的中樞，自身也有很多想象空間，您認為物流企業應當如何做好面向未來的安全建設部署與準備?
譚林：物流在我們的日常生活中越來越重要，物流企業的安全建設需要腳踏實地更需要與時俱進。
1、不斷提升攻防技戰術的研究能力，特别是數據安全保護能力，從自身業務開展情況結合國家和行業對數據安全保護的要求，聯合行業的解決方案和産品，保護用戶和業務數據安全;
2、建立物流行業内和行業上下遊的聯防聯控機制，物流企業安全工作不應該局限于行業内更不能閉門造車。物流和電商、互聯網、交通以及金融、高科技等行業都有很多交互和關聯，物流企業可以和這些行業聯動，包括情報互通，事件處置協同等，通過行業聯合對抗黑灰産;
3、面向實戰，做好應對APT威脅的準備。随着行業發展，物流成為基礎設施，我們要積極建設主動防禦能力，擴大未知威脅檢測防禦的邊界，利用威脅情報，安全AI技術，結合攻防演練持續提升實戰對抗能力。
欄目簡介
當前，作為數字經濟發展的“生命線”，網絡安全已滲透到國民經濟的全領域、各層級，為産業數字化發展提供了堅實的基礎。在數字安全建設的洪流中，有一批敢為人先、勇于突破的探索者，他們的安全建設之路，對于各行業有着極高的參考價值和借鑒意義。因此，騰訊安全聯動雷鋒網、數世咨詢等媒體策劃「CSO面對面」 欄目，旨在通過深度采訪數字化實踐中标杆企業CSO、CTO、安全負責人、數字化負責人等安全先行者， 了解在其工作場景如何中部署建設安全體系，解決企業安全痛點，消除安全風險，為産業數字化的安全實踐提供參考和指引。
免責聲明：本文僅代表作者個人觀點，與每日科技網無關。其原創性以及文中陳述文字和内容未經本站證實，對本文以及其中全部或者部分内容、文字的真實性、完整性、及時性本站不作任何保證或承諾，請讀者僅作參考，并請自行核實相關内容。
本網站有部分内容均轉載自其它媒體，轉載目的在于傳遞更多信息，并不代表本網贊同其觀點和對其真實性負責，若因作品内容、知識産權、版權和其他問題，請及時提供相關證明等材料并與我們聯系，本網站将在規定時間内給予删除等相關處理.
