本文来自微信公众号“大信创圈”，作者/信小创。
随着信创业务的推进，安全问题不容忽视，而信创并不意味安全，信创更需安全，信创安全旨在通过技术自主性和创新性来确保信息技术系统的安全和可靠。在关键核心技术自主可控的前提下，发现和防护由信创软硬件组成的终端、网络、数据、应用、服务等整个信创环境中的漏洞风险和攻击威胁，同时发展和构建有别于传统安全模式的新兴安全架构、技术体系、方案及实践。
01
信创安全特点
以下是信创安全与非信创安全的对比：
图：信创安全能力建设关键
在信创环境下，网络安全能力建设所表现出的不同之处除了底层基础设施的不同外，还在于未来随着不同底层设施环境所支撑的业务系统的不同，需要配套对应不同的安全产品和服务，加上底层设施的异构特性，使得信创安全将会在IT场景多元化与业务场景多元化并存的状态下持续演进与发展。
企业组织在开展信创安全能力建设时，主要面临兼容稳定、漏洞发现、防御攻击、安全保密、安全运营协同等挑战。尽管行业信创都在积极推进，但信创安全目前还没有得到用户侧的足够关注和重视。同时，企业信创安全能力建设往往未能与信创项目同步规划和实施。信创替代仍然是企业当前信创安全建设的主要原因，但是随着信创建设的推进和用户对信创环境下风险的认识越来越深入，建议：
1.利用本次信创替代的机会重新规划安全和IT建设，实现数字化转型升级；
2.基于业务应用场景的需求，规划安全能力，非安全产品，而是安全能力，以及安全服务。
02
信创安全如何替代
信创替代过程中，采取“三同步”思路，保障安全技术措施同步规划、同步建设、同步使用，根据业务特点结合国产化要求，规划先行编写《信创安全整体规划方案》
信创安全如何替代
1.三同步：同步规划-同步建设-同步使用
●选择业务，明确项目类型，完成立项
●等保密平等合规性定级
2.信创安全产品选型
●明确安全能力需求：根据业务安全需求需明确防护的侧重点如解决终端安全、网络安全、云安全、数据安全的防护。
●明确安全产品形态：硬件盒子、云安全、云原生安全
●信创安全产品目录：在当前取消前期信创目录的情况下，网络安全产品无从下手，而国测和工信部只是针对关键核心部件的测评结果，并不包含安全产品，在此种情况下，特别是央国企的替代任务艰巨目前普遍做法是沿用之前网络安全产品名录的同时，按照核心部件的国产化率作为考核指标去做的产品选型。
3.信创安全能力评估
●系统资产自主可控性评估
●等保密评等合规性定级符合性评估
●信创安全产品能力复合型评估
●安全软件代码供应链安全评估
4.信创安全替代范围
网络安全设备是一个有软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障，针对不同的应用场景有不同的作用，常见的安全设备涉及信创防火墙、入侵检测、入侵防御、堡垒机、日志审计、数据库审计、漏洞扫描、统一威胁管理、VPN、密码机等安全设备；
网络安全软件是防止网络攻击和病毒等恶意软件入侵的关键工具，能够实时地监测网络安全，经过身份验证才能进入已经加密的网络，有效地防止来自不信任的网站和恶意软件的攻击，提高安全性能。包括身份管理和访问控制、安全性与漏洞管理、安全内容与威胁管理等。
03
总结
按照信息化项目规律，在信创改造过程中，虽然安全规划被提至高处，但实际情况往往先主后次，先把主要的核心办公、应用、服务器等部件先替代包括资金的倾斜，才会考虑网络安全的替代甚至利旧，而笔者预计随着行业信创加速推进，特别是今年和明年会是信创安全的重点替代对象。
