讲者1：这个方面的话就是保护对象，它一定是随着数字化的进展，因为把越来越多的人我环境卷进来以后，你的保护对象一定是泛化的。 所以说对我们具体的一个运营人员而言，你要清楚自己到底要保护什么，你要不但要清楚你的现在要保护什么，更要清楚你的未来要保护什么，因为这决定了你将来的网络设计的这个安全是不是能适应未来。 然后你要做好等级，没有一个企业里面它的投资是无限的。 所以说你要把你的资产把你的范围缩到最小，然后哪些真的是核心资产，真的是你的，影响国家的未必代表影响你，所以影响你的你要把它定好级。 然后这样的话你面向未来，因为数字化一定是面向未来的，它如果有效，一定要是跟业务结合在一起。
讲者1：你自己家的数字化转型到底两到三年，三到五年大概是什么样的地步？ 你做一个运安全的运营，连你要了解你未来是什么样子，这样的话你的资产梳理才是有效的。 另一个方面就是影子资产其实很多的攻击都是用影子资产来打，这个是最要命的一件事情，因为你看不见，你也无从去防护。 现在大家像华山也提供了很多的这种资产梳理的工具，可以帮助大家甚至我们现在都有云上的资产工具，然后包括后端的这个云上的资产梳理的专家，可以帮助大家一起去梳理自己的资产，自己的保护对象。 这样的话面向未来去提供更好的一个防护。
讲者2：好，谢谢。 网络安全防护对象是我们各种网络安全措施的落脚点。 我们今天上午的论坛当中，很多演讲嘉宾也提到了落地这两个字，最后要落到哪一定是落到你要保护的对象上边。 五位专家给了我们很好的梳理，为我们明确网络安全保护对象提供了很好的借鉴。 那么接下来想有一个问题跟大家一起探讨，说我们明确了目标，知道了要保护队要保护什么。 那么在今天这样一个环境下，我们的网络安全保护对象所处的风险环境到底是怎么样的呢？ 我想请五位嘉宾，每个人给我们他认为最重要的一个风险，以便我们在今后的网络安全工作当中作为借鉴和参考。
讲者3：我认为人的意识是最重要的，谢谢。
讲者4：其实刚才就上一个话题，其实也熟得这一点。 我也认为首先我跟这个邓总观点一致，我觉得这里面确实这么多案例和这么多事件里头人首先还是对吧。 最大的一个问题点一个风险点先要解决人和技术的结合，才能给我们构建一个安全的体系。
讲者5：这个我跟前面两位嘉宾的观点是比较一致，就是要解决核心的问题是解决人的问题。 而要解决人的问题最核心的就是责任的问题。 所以在我们国家大部分法律法规要求里边都会提到责任，也就是说他会提到谁是归属谁的，比方说你数据这个责任是在谁的，是拥有者、使用者还是一个传递者的范围。 所以每个人肩负着不同的责任，那他就要有义务去保证他肩负责任的安全。 所以人是没有错的。 但更重要的是责任划分要划分清楚，让该担起责任的人担起责任，他自然而然就会去做这件事情。 谢谢。
讲者6：那其实我们还有周英杰总裁的一句话，我觉得比较关键的地方我认为是因为位置大于一致，我们所有的网络安全到现在包括我们现在看到的一些前沿的领域。 其实我觉得根源在于我们真的没有真正触及到这个事物的本身，我觉得这次才有我们所有的问题的来源。 一旦我们对一个事物研究比较透比较清楚的时候，其实安全问题已经已解决了。 我们之所以看到一个问题，我们大家关注一个问题，它还存在安全性，只因为我们对它还有未知。 这个未知来源于我们在信息化推动过程中间有非常多新的场景、新的变话，这些都是未知。 正因为它未知，所以我们不知道怎么去解决。 对于一个我们非常清楚的事物，我们了解透的事物。 当然不光是黑客还是我们对不对，大家都很清楚的时候，实际上这个事情其实是相对安全的。 所以说我认为所有这个安全的本源来自于未知，来自于我们对于未知场景、未知威胁、未知攻击、未知漏洞的根源。 谢谢。
讲者1：安全本质上是一个攻防双方永不停歇的一个过程。 所以说安全本质上它是一个非常非常的短板效应。 只要在这个系统里面，无论是人制度还是你的流程还是你的技术，只要是短板就会有漏洞。 所以说从这个方面来说，每个企业每个产业他的最要解决的问题都是不同的。 你要从人、从制度、从技术、从流程，你要全面地去解释自己到底你的短板是在哪里，不代表别人的短板，就是你的短板是要根据自身去找寻自己的短板。
讲者1：因为我们有 PDCA 的流程，有 0 信任这一些系列的这种解决方法，但是要具体到你的场景具体的分析。 所以说现在对于安全来说，服务的发展是一个很重要的一个方面。 这是在国外服务软件给我们正好是颠倒过来的，我们现在可能还处于合规的一个阶段。 所以说我们现在最重要的是什么？ 最重要的是梳理好这个安全意识、方法论，然后去检视自己的系统，找出自己的短板。
讲者2：好，谢谢。 好，我们最后一个问题回到我们今天峰会的主题上来零信任。 那么接下来我想请五位专家给大家分享一下我们如何利用零信任的这种理念、框架和相关技术及产品来保护我们刚才所识别的网络安全保护对象，抵御刚才大家所认识到的网络安全风险，从而实现我们所确定的网络安全目标。 请。
讲者3：我觉得这个还有一个比较漫长的一个过程。 这个过程并不是一个简简单单的，因为它包括了还是说的体系法律法规，标准，完了以后技术人的认识，完了以后它是一个过程。 这个过程前期实际上刚才一直各位专家也都说了，大概已经经历了 10 年的这个过程。 那么现在有一些落地，但是这些落地还是需要有一些验证，这个刚才网速的这个专家也这么说。 所以这一块能不能这个完全解决数据安全用户的这个需求？ 我个人觉得这个要不断地发展。
讲者3：实际上我们领域这么多年来，尤其是最近几年来不断涌现出新的技术、新的名词、新的说法。 那么其实我认为归根到底实际上还是要怎么说，要从这个技术管理还有这个标准等等方面，它是一个综合体，才能够真正不断地解决用户的需求。 如果说现在这个零信任完完全全就可以，我现在也不好说。 但是感觉听起来我通过这个学习听起来已经比以前的 DRP 进步了一大步一大一大步。 那么我觉得对于安全来说，肯定在数据安全来说，肯定是有一个巨大的促进作用。 那么在这个过程中还会发生这个发展成什么，完了以后提出什么样的新技术，新的方法论，这个是可能需要的，不断地实践完了以后来不断地完善。 我就说这么多，谢谢。 谢谢。
讲者4：然后这个我觉得是这样，就是从今天今天各位嘉宾其实也因为咱们这些正好是林欣任这次峰会。 然后今天上午各位嘉宾其实也分享了各自的一些一些想法或各自的产品上的一些落地的实践。 我觉得整个这个零星认识一上，我们认为是从传统的网络架构，以这个先连接再认证转化为这个以身份为中心，先认证再连接。 那么从本人从这一个点上来讲的话，学习方他确实也是能够把我们以前的一些问题做了一些相应的变。 另外一点就是在整个这个体系里头，包括我们说的目前的这种 SDP 加 IM 加这个 mcg 的这么一种这个思想这么三大的核心基础，它确实是在整个的体积结构上，从东西向南北向做了一个很好的区隔和划分，包括里面应用的一些像这种引申，让这些技术能够减少这个我们的暴露面。
讲者4：其实以前我们无论是现在刚刚其实第一个话题也提到了我们的这么多的环境的，资源的变化网络的变化其实最主要是导致一个原一个一个结果，就是没有边界，边界在哪，就大家有很多的未知，我们也包括我们的信息资产这些的管理上，这个风险的控制上就是很多是我们已知，可是在很多的一些实际的场景和攻防过程中，我们发现还是，防不胜防。 这里面实际上最大的一点就是我们的暴露面，要去做一个收缩，做一个梳理，然后才能是通过减少暴露面来去减少风险。 谢谢。
讲者5：首先我理解灵性人它是一种理念，我们可以用这个理念去指导我们现在的建设。 但是如果谈到零星人技术这部分内容或者具体落地的内容，我认为它应该是一个动态的。 其实我个人理解它应该是个解决方案，它是解决客户问题而应用的理念的指导下产生的不同技术的融合来解决一大部分的综合问题的一个大型解决方案。 所以它涉及的内容就非常广，大家也可以看到今天前面讲的很多内容，它涉及到端。
讲者5：所以其实换句话来说涉及到是主体和客体，也就说你的访问主体和被访问客体，而主体和客体之间的访问形成一种动态化的评估方式来实现的动态访问控制，这是这件事情的核心。 那基于这个理论，我们再往下延伸的话，它其实最终落脚点是一个控制，也就是说我们的访问控制只是它访问控制了级别和方式更智能化、灵活化而产生的一种解决方案。
讲者5：好，这是我对于零信任的一个理念和技术方面的理解。 所以换句话来说，其实安全控制是安全的一部分核心，但控制不是安全的核全部。 所以零信任只能解决我们在控制方面的一些更好的发展和建设。 那他不可能单独地依赖简单的控制来实现，它必须是一个全局信息统计分析，然后以一个智能化的分析结果来指导这个防控制的一个过程。 这个是一个逻辑。 那在这个逻辑基础之上，我们再回过来，刚才回答我们现在的问题，就是零信任应该是在不同场景下解决客户不同问题的一个综合性解决方案。 他们大家不要把它认为是单一技术就能解决很多问题，它不是它一定是一个系统化的一个过程。 我想抛出的观点是这个，谢谢。 谢谢。
讲者6：我个人认为林先生是一个非常非常好的东西就从单纯从技术层面来看，这个点就是之前专家讲很多的优点，我就再说一遍。 其实大家可以就想一个点，就是什么叫安全就落下去，什么叫安全？ 比如说我们对一个东西的保护到什么程度，我们认为它是要安全。  OK 我其实做了很多年，然后我我个人认为我就总结了五个 A 我认为一个东西如果有五个 A 了，我认为它是相对安全的，就基本上是该做的。 都做了。
讲者6：这五个 A 是哪个五个 A 呢？ 第一个 A 是那个 account 就对于他所有的访问都有一个的账号了，就所有的访问我都有 idn idn identify 叫 I 有是有身份认证。 第二个 A 是这个 authentication 认证，所有的 account 进来我有认证它就是比如说我进来别人认证我是我。
讲者6：第三个 A 是 authoration 就授权我进来以后我应该拿到什么样的权限？ 我合适的人认证我了，我拿到我该有的权限。 第四个 A 是 audit 审计，就是我做的这个事情，系统里面有个审计出来是我曾经在某时间点做的这个事情，拿着这个数据。 但最后一个其实很关键，就是 asset protection 就是资产保护。 它可能另一种展现的形式就是加密或者同态或者任何资产保护。 所以我从我个人认为就是如果我们对一个事物、对一个数据、对一个主体，它有五个 A 的防护以后，我认为它基本上它的安全措施都有了，这从内在的保护来讲。
讲者6：而您信任这个点的好处是什么？ 就是他用一句话把非常复杂非常多的这种安全措施他已经包含了四个，至少她把前面的这个第一个 A 第二个 A 第三个 A 第四个 A 全都有。 他当然没有提到加密，当然这加密可能就本身是在另外的范畴对吧？ 比如说我说的这个第五个 A 资产包，所以我认为就是把一个大家都可能非常天天在说安全，但都不知道说安全是什么东西。 用一个词您信任。
讲者6：说白了，已经做了百度八十，你想想这是多好的一个事情对吧？ 当然从那个理念很好，但这个真正的是大家真要做好，我觉得需要整个行业大家都要按这个理念去移动，但实际的落实的话肯定是分阶段对吧？ 可能是分场景。 比如说我们现在企业里面先考核的也是从远程办公场景一个一个场景去做。
讲者6：比如员工办公安全的服务器的这访问更安全，然后可能再上升到这些微服务层面这些应用层面的一些年轻人的访问对吧？ 但我觉得这个趋势的话是非常好的，就是让大家所有人会按照一个 picture 一个思路去推动安全的技术和设备的往前推进所以总的来讲我个人认为是非常好的一个事情。
讲者1：谢谢林希瑞。 这种理念，从目前的这个管控检测响应体系里面，目前的这些理念里面应该是最完备的，它的安全性是我们目前在讨论的这些所有理念里面最安全的。 然后同时它又兼顾，因为是以用户以应用以 API 这种为新的边界的情况下，又非常契合了目前云原生微服务化之间的交流、交互、他的认证、动态授权这一些贴合了目前业界发展的潮流。 所以说微就是这个林心韵。
讲者1：对于企业，对于产业而言，它不是一个选择题，它应该是一个必答题。 现在的问题不是说你要不要去做，而是这个趋势已经形成的时候，你怎么去做？ 那那么怎么去做？ 如果说你很幸运，你现在处于新建的这个阶段，那你就可以用零星的理念去指导你的网络建设，指导你的这个微服务的建设，指导你的云端的这种建设。 这样的话你很容易形成一个统一的认证体系管控体系检测响应体系，这个是非常幸运的。
讲者1：但是对于我们大部分的产业而言，企业而言你肯定不是这样的，你有原来的设备，你有原来的投入，这个时候你需要去明白，你真正我加这部分投入，我到来收益我们都讲究 ROI 的一定是最大化的。 所以说你要看你真正当下能给企业带来什么样的价值，比方林鑫，比方我 SDP 可能就在远程接入，现在这个在疫情的话远程接入肯定是最大的。 所以 SDP 是不是可以成为你的切入点？ 如果说你这边需求不强烈，然后你对云端的强烈微服务化，它带来的风险是很大的。 无论是 K8S 的几个本身的可编程以后，它的本身的服务化，然后 Doc 它本身的这个安全。 然后你看微服务它之间又要共享 OS 那那一只要其中一个被攻破，是不是整个就要被攻破，所以这些风险带来是巨大的。 那么借用零信任这种基于应用的基于 API 的，基于用户的这种新的边界去管控是不是更合适？ 这样的话带来的风险带来的收益是不是更大。
讲者1：所以说对于企业，对于运营者，对于网络安全的运营者而言，你要考虑的就是你 ROI 的最大化从哪个地方开始切。 然后同时你要考虑你未来的这个业务的发展情况，然后整个构架既要符合未来，又在目前的投入最小，然后来达到这个零星人的切入过程。 因为零星人现在已经成为趋势，已经成为一个必答题。 所以说我们研究的是怎么切入的一个问题。
讲者2：感谢零信任只是起点，信任才是我们的终点。 今天我想大家对讨论的这个话题还意犹未尽，但是 30 分钟不能解决 30 年来留下的问题。 如果大家对这些问题感兴趣，我们下面再找时间一起研讨。 我们今天不得不说要结束今天的这个论坛讨论，最后让我们以热烈的掌声。 感谢五位专家在网络安全目标、网络安全保护对象、网络安全风险环境和网络安全防控措施方面的分享。 谢谢。

Answer: 网络保护对象方面要清楚自己要保护的和现在保护的，以及未来要保护的具体内容，通过分析网络安全工作中的风险点，告知网络安全要从技术管理和标准方面提出新的技术和方法论，同时要从技术管理和标准方面提出新的技术和方法论，先连接再认证转化为以身份为中心，先认证再连接，将暴露面进行缩短和梳理减少暴露面和风险，涉及到主体和客体的内容，动态访问控制是核心部分，智能化的分析结果来指导作为防控制系统化的过程，并且要针对当前已形成的趋势，使用零信任的理念指导网络建设，结合当下能够给企业带来的价值，探究ROI的最大化，考虑未来业务的发展情况。