“2017中国网络安全国际峰会”于2017年3月2日至3日于北京海航大厦万豪酒店举行，本次论坛针对即将施行的中国网络安全法的重要意义，网络安全法对企业的挑战，以及其他诸多信息安全热点话题进行了热烈且深入的探讨。

在互联网+的国家战略驱动下，社会和企业都面临着前所未有的机遇，数字化转型、大数据、云计算、移动互联、物联网已经成为所有人关注的热点。然而机遇往往与挑战并存，社会的信息安全意识和企业的信息安全建设都还比较薄弱，随着信息技术的飞速发展，社会和企业将面临巨大的信息安全风险。中国政府于2016年11月发布，并将于2017年6月施行的网络安全法，将信息安全上升到国家法律层面，以关键数据保护和个人隐私保护为抓手，促使社会和企业提升信息安全意识、建立信息安全规范，从而为互联网+战略保驾护航。

网络安全法从战略、战术、运营等多个角度对企业提出了合规要求。

•   从战略层面，网络安全法通过明确企业违规处罚和安全事件的通报制度，确立了信息安全防护的战略地位。因为一旦发生信息安全事故，就要求企业通报并接受相关处罚，这将危及企业的品牌形象和消费者的信心，对企业的发展乃至存亡产生重大影响。这要求企业管理层把信息安全提升到企业治理的高度，将企业的信息安全战略和信息化、数字化战略以及业务战略进行匹配。否则，企业就有可能成为下一个受害者及法律制裁的警示典型。

•   从战术层面，网络安全法应用了风险驱动的安全防控原则，明确了网络运营者和关键信息基础设施的合规要求。网络安全法鼓励企业执行等级保护机制，根据安全风险等级遵循对应的安全防御基线要求。网络安全法要求企业从系统设计到运维，进行全生命周期的信息安全防护，从信息系统的需求阶段就对信息安全进行规划和部署。网络安全法明确定义了直接责任人的法律责任，信息安全事故将对相关人员的职业生涯产生直接影响。

•   从运营层面，网络安全法给出了具体的合规要求。从脆弱性角度，明确了企业对员工的安全意识培训义务，并规定了管理层对下级违规行为的辅导和纠正义务。网络安全法给出了安全防护设备的准入制度，及安全运维的义务约定，企业必须对网站提供全生命周期的安全运维保护服务。网络安全法明确要求企业对网络服务进行安全测评，并进行各种应急响应和灾难恢复的计划与演练。

•   网络安全法同时关注用户个人隐私信息的保护，企业应当建立相应的管理及技术体系，提供有效的隐私保护。

综上所述，企业应当意识到信息安全是一项系统工程，信息化、数字化的发展，导致信息系统的可被攻击界面不断增加，外部或内部的恶意力量会从安全的最薄弱防线突破，信息安全综合防御体系前所未有的重要和迫切。

针对目前网络安全法对企业的要求，凯捷的信息安全服务体系为保障企业的信息安全战略提供了全方位支撑。

在数字化转型的背景下，传统的基于边界防护，试图将企业与危险的外部世界隔离的方式已经无法适应数字化的要求，信息安全管理应从城堡模式转变为机场模式。网络安全法强制要求主动申报安全事故，这对目前大多数基于被动响应的信息安全管理机制提出了挑战，安全事故曝光后对企业的名誉和消费者信心的影响是难以估量的，企业需要建立主动防御体系防患于未然。企业需要了解自己的信息安全管理水平是否能够满足要求，并通过确实的信息安全管理转型来提高整体信息安全水平。

凯捷的信息安全服务可以全面评估企业目前的信息安全成熟度，并根据评估结果制订相应的短期和中长期安全战略，帮助企业提高信息安全水平或实现信息安全管理转型计划。同时，从信息安全经济学的角度，对安全风险及安全收益进行定量和定性的分析，为管理层决策提供支撑，选择最适合企业的安全管理组合，使信息安全的投入和企业业务战略的发展需要保持一致。

为了符合网络安全法中的各项要求，应对日趋严峻的信息安全形势，企业需要在整个组织架构层面，贯彻从上到下的信息安全管理。新的安全形势对组织的信息安全专业化和组织架构的信息安全转型提出了新的挑战，传统组织的信息安全人才结构往往侧重于网络安全专家，而数字化环境下的信息安全，要求企业建立更完备的信息安全人才体系。网络安全法对于数据及用户个人隐私保护有明确的规定和惩罚条款，这要求组织建立相应的信息安全架构，并配备具有相应技能的专业人才。

凯捷拥有大量的信息安全专业人员，能够帮助企业提升各方面的信息安全能力，协助企业完成信息安全管理模式的转型。凯捷的信息安全服务帮助企业识别包括隐私信息在内的重要信息资产，并加以重点保护，实现信息资产的全生命周期安全管理。

信息安全的实现需要落地到具体的管理和技术控制手段，为了落实网络安全法的各项要求，企业应当采用多种信息安全管理手段，兼顾事前事后管理，实现信息安全纵深防御。随着云技术的发展，越来越多的企业开始将服务部署到云端，如何使部署在云上的服务满足网络安全法的要求，已经成为了一个迫在眉睫的课题。在利用云带来的各项便利的同时，企业需要有效保护重要数据及用户隐私数据的安全，大多数企业都没有意识到云在外包技术服务的同时，对应的法律合规责任还是需要企业自身承担的，所以需要增加云安全的尽职活动投入。

凯捷的信息安全服务从5大关键支柱及12项重要活动的角度，帮助企业分析如何在有限的成本下构建信息安全体系，实现纵深防御。凯捷的信息安全服务提供专业的云安全咨询，帮助企业选择符合法律和企业要求的云服务。

在数字化的环境下，人是信息安全管理中最薄弱的环节，如果忽视人的因素，即使拥有再完善的信息安全策略、流程、技术、工具，也将形同虚设。再强大的信息安全防护，也抵不住员工薄弱的安全意识，信息安全的意识培训是投入产出比很高的安全管控措施。网络安全法有两个相关要点需要关注：员工意识培训，员工对用户隐私数据违规行为监管和纠正。企业应当对人员进行多种方式的安全宣传、教育、培训，并制订违规处罚制度。

在安全事故强制通报制度的背景下，企业应当具备有效的信息安全危机处理机制。如何在信息安全事故发生的情况下，应对媒体并与执法部门相互配合，这需要完备的规划和应对措施。

凯捷的信息安全服务帮助企业处理信息安全中人的因素，实现隐私信息的保护，帮助企业的高层管理者了解如何应对紧急信息安全事件。