南方新华小编——Judy编辑

引言：

在国家“高质量发展”的首要任务指引下，中国经济发展将步入一个新阶段，数字化将成为各行各业转型升级的必然手段。同时，数据生产要素的加速流通，也将对企业系统性安全建设提出更高要求。安全业界有一句谚语叫做“未知攻、焉知守”，讲的是做好安全防御的前提是需要研究和了解攻击路径。这句话同样适用于遨游在数字化时代的企业家和决策者。企业经营如大海泛舟，需要前置预判风浪并做出积极准备，才能行稳致远。

一、宏观态势篇

（1）产业安全建设将成为企业数字化实践的“前置条件”

2023年是全面贯彻落实党的二十大精神的开局之年，高质量发展，是全面建设社会主义现代化国家的首要任务。高水平安全，是高质量发展的前提。高质量发展，同样是指导产业数字化转型升级、企业健康可持续经营的重要政策牵引。实现高质量发展，需要统筹发展和安全、坚持发展和安全并重，实现高质量发展和高水平安全的良性互动。

对于参与其中的市场主体而言，需要树立正确的产业发展安全观念、建立企业安全免疫系统、重视安全管理和评估；随着数据生产要素的价值不断被发掘和被释放，需要全面建设防范风险的能力，为数据在安全前提下的融通流动及数字业务的创新发展构建基础，为企业长期可持续发展提供保障。

尤其随着人工智能、大数据、数字孪生等新技术的融合应用，中国数实经济发展正步入一个全新阶段，安全将为产业发展三个“新动能”提供关键支撑作用。

因此，在产业互联网时代，基于企业高质量发展的自身需求，安全建设将成为企业数字化实践的“前置条件”和“基础底座”。企业安全建设思路将更加前置，真正做到以安全为始、以安全为终。

（2）、立法监管趋严，企业安全“巡检”常态化

在过去一个阶段，IT基础设施建设、网络安全以及信息安全的不断发展，催生了大量被动式安全解决方案；尤其在相关监管法规建设相对滞后阶段，企业在安全建设方面往往也是“鸵鸟心态”，认为安全投入是企业运营的成本项，追求“合规”而忽视“实效”。

随着我国网络安全与产业安全相关立法顶层设计和主体框架日趋完善，这种情况已经发生彻底改变。近年，国家密集出台了《中华人民共和国密码法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《网络安全审查办法》等法律法规及《关键信息基础设施安全保护要求》、等级保护 2.0 等系列配套标准，对市场主体的安全边界、安全责任等作出了系统要求。

尤其随着党的二十大进一步明确关于中国数字经济发展以及产业安全的总体框架，对应的产业安全治理制度、处罚条例均基于产业发展的新形势、新阶段不断细化修正。

目前，产业安全相关的监管部门对于违反网络安全、数据安全、个人信息保护等相关法律法规的处罚主要采取后置处罚手段，例如约谈、责令改正、罚款、整顿、下架业务、吊销许可证或营业执照、处理责任人等，导致企业忽视安全建设的风险成本被指数级放大。

例如，去年银保监会以“监管标准化数据”存在数据质量违法违规行为为由，对21家银行进行大规模处罚。

2023年，安全相关的立法、监管与执法，将会聚焦于产业高质量发展、数据合规和隐私保护等层面，对企业数字化实践和创新，给予更多的监管、约束和引导，常态化安全巡检将成为监管及企业自我健康诊断的宏观态势篇要手段。

短期内，合规会挤出产业中存在的一些痼疾与泡沫，通过数字经济的合规治理，尽可能降低数实融合趋势中的风险。从长期来看，合规能够实现“从合规要发展”及“以监管促发展”的目标。

二、产业实践篇

（1）、安全将成为企业治理水平的重要度量

过去，网络安全威胁风险程度较低、攻击相对不太复杂，同时，企业传统IT系统建设周期很长，安全建设通常按固定周期做风险评估、漏洞扫描、补丁管理，安全工作可以按部就班进行滚动周期的管理，网络安全部门长期作为企业IT部门的一个分支存在，并未被纳入企业经营管理的核心部分。

随着产业数字化进程提速，企业越来越多地将数字资产转移到云上，企业发展效率提升同时也导致攻击面加大，7*24小时业务“在线”也带来了7*24小时安全防护的需求。

加之，DevSecOps、容器等云原生方法的引入，打破了传统网络安全边界，传统的安全建设方法和组织架构都亟需更新。

数据泄露、勒索攻击、供应链攻击等安全事件持续高发，安全已经成为制约企业健康发展的生命线。在这一背景下，安全被企业提升到前所未有的重要程度；但受限于传统企业管理理念和组织架构，“担责无权”的安全部门既要当好企业健康发展的“守门人”，又因在企业内部组织架构中处于“小马拉大车”位置，往往无法真正将安全工作贯彻到实处。

面对日益严峻的安全挑战，企业在安全建设上不再寄期望于先发展后治理。“安全左移”成为行业共识，安全活动逐步进入企业生产环节，参与企业发展战略、进入产品研发生命周期全流程。这种生产流程的改变，也需要从组织架构上予以支撑。企业重视安全，除了增加人力和预算、技术投入外，安全管理工作将纳入核心管理团队，成为企业治理水平的重要度量。

（2）、从“奢侈品”到“日用品”，构建安全免疫力成为新共识

现阶段，不同产业领域、不同规模企业的安全建设水平仍有较大差距。

在金融、政务、传媒等数字化进程较快的重点行业，由于安全建设需求旺盛、成本充足、合规导向明确，基本上已经建立起集团级的安全免疫力，包括安全技术和能力的贯通，包括人才储备、生态支持、弹性扩容能力、灾备能力等。

但在更长尾的中部企业及小微企业队列，被划归为“成本中心”的安全投入往往被视为“奢侈品”，难以较低的成本建立起自适应的安全免疫系统。随着云原生及SaaS化发展趋势，以及技术与产品的创新改变现有的安全供给体系的环境中，中等以下规模的企业也能建立起全视角的安全免疫力，安全正在从“奢侈品”变为“日用品”。

此外，企业安全免疫系统之间也非孤立的。企业与企业之间的安全投入、安全建设应保持高度的兼容与同频，在安全产业底层实现技术、产品、服务的充分流动，通过行业协同与行业竞争，促进“安全底座”的自我优化、自我迭代，为数字经济提供动态稳定的底层支持。

（3）、反欺诈风控策略由“体验优先”向“动态治理”转变

猎头公司大数据分析伴随企业数字化转型的深入,安全风险从传统网络安全向各类业务安全快速转移，企业面临更多来自外部的欺诈和未知威胁。

其手段和方式不断翻新，如刷榜刷单、恶意骗贷、欺诈广告、流量作弊、恶意占票、虚假申请等。有机构测算，网络欺诈导致的损失占GDP比例达0.63%,约4000多亿元规模之巨。

加强反欺诈体系建设成为企业大势所趋，但在线业务方便、快捷、高效的特点，让反欺诈策略的制定往往遵循“用户体验优先”，在不影响大部分用户体验的前提下以“无感式”“一刀切”“大颗粒”的反欺诈策略开展。

在高质量发展战略牵引及个人隐私信息保护相关法律条例的施行下，企业经营由跑马圈地进入精耕细作阶段，以极致体验快速抢夺市场的竞争策略已经成为过去。企业需要以动态的视角平衡欺诈损失和客户体验，根据业务峰值和黑灰产攻击态势，灵活在“安全优先”与“合规优先”的两极之间不断精细化反欺诈策略，护航业务健康发展。

（4）、ChatGPT 大模型 AI 计算广泛应用安全领域，攻防进入智能化对抗时代

人工智能技术为各行各业的业务和人们的生活带来了巨大的发展潜力，也为网络安全形势带来前所未有的挑战。

人工智能是一把双刃剑，一方面，人工智能可用于提高网络安全的效率，包括自动检测和响应威胁、智能识别漏洞；另一方面，黑客也可将人工智能技术用于网络犯罪活动，这将是对网络安全的真正威胁。

以ChatGPT为代表的人工智能技术掀起新一轮的人工智能革命，也会引发潜在新型攻击和内容合规等安全风险。

ChatGPT基于强大的基础模型、高质量的样本数据、基于人类反馈的强化学习三大能力，带来了巨大的可能性。

然而随着生成式人工智能技术的进步，网络攻击者可以轻松地进行微调和针对性的攻击，因此ChatGPT将对网络安全构成严重的威胁。

目前，网络攻击者已开始使用ChatGPT创建恶意软件、暗网站点和其他实施网络攻击的工具。此外，使用ChatGPT编写用于网络攻击的恶意软件代码，会大大降低攻击者的编程或技术能力门槛，将导致即使没有技术基础也能成为攻击者。

同时，人工智能赋能网络攻击与传统网络攻击在技术与手法上相比，将使过去劳动密集型、成本高昂的攻击手法开始彻底转型，朝着分布式、智能化、自动化方向发展，从而形成更为精准和快速的自动化攻击手法。

南方新华猎头公司总结：未来，随着大模型AI计算被广泛应用于网络攻击各个领域，网络安全形势将更加严峻，攻防真正进入智能化对抗时代。

如需报告原文PDF可添加下方电话微信联系方式 （来源：南方新华微信公众号）

以上就是「南方新华——24小时极速猎头」带来的南方新华 | 第9期《2023年产业互联网安全趋势报告》发布的全部内容！

南方新华猎头在线客服：137-1876-7011 欢迎咨询