最近企业界信息安全事故频出，从阿里数据泄露到华住集团住宿信息数据泄露，这些核心数据的流出将所涉企业推到风口浪尖，CIO更是焦头烂额。

数据正成为企业资产与核心，而信息安全一直“被重视”了很多年，在这种重视下仍然是各企业谨小慎微式的“小预算”。当信息安全在今天云计算等新技术冲击下变得没有边界时，企业到底该如何防护住自己的核心?

杨宁----新东方信息安全主管，采访到他缘于参加在中关村大街上举办的一次青藤云的媒体活动，笔者被拦在天桥下询问“姐，你是否需要英语培训数据?”教育行业，无疑是数据泄露最多的行业之一。

新东方作为中国最为出名的教育科技集团，其信息安全防护措施是什么?他们如何看待目前的安全趋势?

上图为：新东方集团安全负责人杨宁

信息安全和企业业务共生共存

很多人认为信息安全跟企业的关系是保障，是支撑，也有人认为是引领，但杨宁认为，信息安全和企业业务已处于共生共存状态，企业的每一条业务线都应该融入信息安全，每一个业务应用都应该考虑到信息安全，一款产品的开发应该有安全部分的功能，这个功能需要与业务需求、用户需求同等重要。这是安全对于企业的价值。

信息安全两大重点：人的安全管理与业务安全管理

首先是人的“安全”管理

信息安全所保护的范围广泛，涉及到人员、物理环境、应用、数据等等。信息安全离不开每个员工的参与，人员必须要有参与感，不光是安全团队，IT团队参与，业务团队也需要参与进来才可以保障企业安全。

其次是业务的“安全”管理

新东方是教育行业，教育行业的特点对信息安全提出了一些具体要求：

首先是要保护新东方所有产出的知识成果和敏感信息。这些敏感数据包括客户的个人信息、员工的个人信息等等，保证信息不泄露。

第二是确保业务运营安全、合规，因为一旦网站不合规，将面临关闭的风险，整个业务就会停滞，合规是底限。

第三是保障核心业务应用的安全持续稳定运营

第四是要实现线上和线下业务安全风险的可识别、可管理和可控制。新东方目前核心的业务都在线上，但线下也有大量业务，比如老师的讲课过程、与学员的沟通过程、学生线下报名的过程，这些过程都可能会涉及到学员信息的采集，甚至可能会造成泄露。因此，无论是线上还是线下，都需要对这些风险制定安全策略。

因此，信息安全并不只是信息安全团队的工作，也不只是IT部门的工作，而是全体员工的责任。但这种责任策略需要通过培训、措施的制定予以规避，构建起坚固的安全防护体系。

三重安全防护体系

新东方安全防护体系架构分为四个层面：

首先是治理的层面，新东方以风险管理为核心，以内外部的合规为基线，制定出新东方整体安全目标，并随着集团业务战略做实时调整。在治理层面，新东方非常关注员工的安全意识，安全部门也会定期向全员发出信息安全的提示邮件，提升大家这方面的意识。

第二，管理层面，新东方按国家标准构建了完整的信息安全管理体系，涉及到十四个领域。包括安全规范、标准、如何做?怎么做等等。

第三，技术层面：

针对物理环境，对机房的物理环境管理、报名的前台、外呼座席的视频语音监控等方面都做了规范;

针对基础架构安全，包含网络的安全、主机的安全、终端的安全、账号的安全。

应用安全方面，包括应用开发前，开发过程中和交付、运营过程中的管控，也在技术了做出了控制措施。

数据安全，包括数据权限，数据库审计，动态数据库的屏蔽，数据的加密要求等等，形成了一套技术体系。

业务安全，新东方通过账号建立了完整的业务风控体系。

云安全，新东方以语言培训为核心，其主营业务是教育培训、教育产品和教育服务，围绕主营业务，新东方整体IT大环境以三个云数据中心通过万兆的环网互联，基于数据中心，同时拓展了阿里云，腾讯云平台，并将其非核心业务，放在了公有云上。新东方整体云平台通过自己的多云平台管理所有的系统，包括媒体云、外呼云、即时消息云、存储云、日志云、信息安全私有云平台等。目前，新东方云平台承载着集团400多个业务应用。在公有云安全方面，要求服务商提供安全的服务，但其触角是新东方集团部署的安全体系，

日常安全运营层面，通过审计评估、审计监控等措施，监督日常运营安全。

漏洞管理，新东方定期进行高危安全漏洞通告的发布，同时针对这些实时提出的漏洞，责任到人进行修复。

防护思路：从安全产品系统建设向数据为核心的平台能力建设转变

实际上，网络虚拟化之后，虚拟化的多租户隔离怎么实现?用户自带设备到公司办公的越来越多，这些设备怎么管理?安全防护的边界越来越模糊，传统网关式的防护已经跟不上形势了。而攻击的复杂度在不断提升，攻击的工具越来越简单，在这样的背景下，单一的安全产品已不能解决企业所有的安全问题，因此，新东方的整体防护思路已经从产品系统的建设逐步向以数据为核心的平台能力建设转变。

新东方以数据为核心的平台能力建设从网络边界防控开始，让整个安全架构与网络尽量解耦，不希望因为网络架构的限制，导致了安全策略无法部署。利用网络解耦加主机防护的方式，对全体目标进行防护。

安全无边界将是常态，平台化、自动化、智能化将是趋势

当业务变得越来越开放和复杂，固定的防御边界已经不复存在，而黑客的手段却越来越多样化，优先使用拦截和防御以及基于策略的控制将危险拦截在外，但高级定向攻击总能轻而易举地绕过传统防火墙和基于黑白名单的预防机制，安全威胁已防不胜防的情况下，杨宁说：“新东方的安全团队人并不多，只有五个人。所以我们需要把安全系统做成一个平台化，自动化，智能化的系统，以尽量减少人的经验投入。”为此，新东方近期部署了青藤主机自适应安全平台，迄今已运行了两个月。

据介绍，新东方使用青藤主机自适应安全平台，可通过对主机信息和行为进行持续监控和分析，快速精准地发现安全威胁和入侵事件，并提供灵活高效的问题解决能力，将自适应安全理念真正落地，为用户提供下一代安全检测和响应能力。同时，通过采用模块化的组织形式，实现了各功能的智能集成和协同联动。“风险发现”可主动、精准发现系统中存在的安全风险，提供持续的风险监测和分析能力;“入侵检测”可实时发现入侵事件，提供快速防御和响应能力;“资产清点”可主动识别系统内部资产情况，并与风险和入侵事件自动关联，提供灵活高效的回溯能力。另外，运行在底层的青藤核心平台架构，是下一代主机安全能力引擎。其插件化的构建方式，不仅具备灵活的扩展能力，同时能实现各功能模块之间无缝联动;其分布式的部署方式，能够应对客户大量任务下发和大型攻击来临的海量数据分析处理，并始终保持稳固的性能。

杨宁最后指出：“我认为，无边界安全将是一个长期过程，安全系统的平台化、自动化、智能化必然是未来趋势”。