笔者在《浅谈如何拟订关键信息基础设施安全保护计划》一文中提到了专门安全管理机构、安全管理制度以及安全保护实施细则，因为篇幅有限，未能展开详细阐述如何组建专门安全管理机构，制修订安全管理制度以及安全保护实施细则应覆盖哪些网络安全活动。笔者计划在接下来的文章中就以上三方面的内容分别进行说明。
并购（M&A）对买方和被收购方都有好处，能够产生新的协同效应，为双方注入活力，同时创造一个更新、更大、更强的实体。但新成员的加入也可能会带来一系列网络安全风险。 并购团队通常规模有限，专注于财务和业务运营，将IT和网络安全置于次要地位。更有甚者，有关网络连接、“合理化”IT和网络安全平台以及员工的假设，通常都是在对每个组织的实际职能和工作知之甚少的情况下做出的。 Gartner在《并购和尽职调查过程中的网络安全》报告中指出，正在合并、被收购或进行任何其他并购活动的公司，必须能够评估可能影响未来实体业务战略和
2020年10月，美国国土安全部（DHS）的网络安全与基础设施安全局（CISA）发布了一份《CISA 2019财年风险脆弱性评估信息图》。本文旨在对这张信息图，进行分析说明。
2022年7月21日国家互联网信息办公室对滴滴全球股份有限公司依法作出行政处罚，滴滴被罚80.26亿元（根据滴滴公司在华业务营收总额计算，属于顶格处罚），同时对滴滴公司董事长兼CEO程维、总裁柳青各处人民币100万元罚款。通过这个事件我们可以看到国家安全监管体系趋于完善，同时也意味着国家网络安全强监管得时代到来，尤其是涉及数据出境得企业（在华外资企业等），必须在国家法律法规的监管下合法合规的出境。 数据出境法律法规要求 《中华人民共和国网络安全法》2017年6月1日：第三十七条 关键信息基础设施的运营者在中
前言 我国关键信息基础设施保护的基本原则之一便是“以风险管理为导向的动态防护”，即根据关键信息基础设施所面临的安全威胁态势进行持续监测和安全控制措施的动态调整，形成动态的安全防护机制，及时有效的防范应对安全风险。 今天笔者来谈一谈某运营者建立以风险管理为导向的网络安全保障体系的实践。 一、项目背景 某运营者属于关键信息基础设施运营者，向某市公众提供与生活密切相关的公共服务。 该运营者自组建之初便高度重视网络安全工作。截止到目前，做了大量的网络安全工作，包括： 1.根据网络安全等级保护制度、ISO27001等
近日，举行的十三届全国人大常委会第二十二次会议审议了《个人信息保护法》（草案），该草案确立了“告知——同意”为核心的个人信息处理一系列规则，明确了国家机关对个人信息的保护义务，标志着我国开启了全面加强个人信息的法律保护的进程。 作为一部保护个人信息权益的法律，《个人信息保护法》（以下简称“个保法”）在规范个人信息处理活动的同时，也需要关注个人信息安全和保护的问题。在个保法征求意见稿的说明中提出，要处理好与有关法律的关系。与网络安全法，和已提请全国人大常委会审议的数据安全法草案相衔接，对于网络安全法、数据安全
网络安全领域的独特对抗属性给人工智能应用落地带来了重重困难，但我们并不认为这最终会阻碍人工智能成为网络安全利器。我们尝试分析了人工智能在网络安全应用里的潜在困难，并试着解决它们。
NIST网络安全框架，是美国国家标准与技术研究所发布的一份指南，旨在指导各种企业和组织重视信息安全。该框架最早在2014年2月颁布，在今年的1.1新版本中也新增了内容。该框架最早应用在美国国家基础安全设施机构，如电力机构等等。由于它提供了一个通用性的指导，因此能够适应并应用在不同需求的企业中，现在已得到在美国国内及世界各地的广泛应用。 该框架使企业和组织有可能应用风险管理的原则和最佳实践案例，来提升关键基础设施的安全性和弹性。它为各种组织和机构提供已实施在行业中的最佳案例。尽管这个框架是自愿性的，许多组织和
如今，不可否认的是网络犯罪已逐渐进入人们的生活，为人们所重视。无论何时，随意浏览新闻都能看到新漏洞的发现，或者是敏感信息的泄露、窃取等。因此，任何企业董事会都应该尽早加强网络安全防御。
经过一天”激烈厮杀“， 4 月 25 日，RSAC 2023 创新沙盒大赛”冠军“角逐落下帷幕，致力于人工智能技术网络安全研究的 HiddenLayer 最终斩获大赛冠军，成为2023年全球网络安全最牛的那匹黑马。 从创新沙盒大赛十强厂商的演讲视频来看，各参赛选手的演讲内容基本围绕人工智能技术本身的安全性以及如何使用人工智能技术解决网络安全问题， 经过角逐，Hidden Layer 凭借其创新性，获得了评委以及现场观众的认可，笑到最后。 值得一提的是，虽然 HiddenLayer 获得了”冠军“，但部分分
GPA算法（Generalized Processor Sharing）是一种公平分配带宽的调度算法，用于管理网络流量和资源。它的实现难度取决于网络系统的复杂性和要求的精确程度。要实现GPA算法，需要对网络设备进行编程和配置，确保带宽按照一定的公平原则进行分配，同时实时监控和调整网络流量。
多年来，NIST（美国国家标准与技术研究院）的研究报告、标准、指南以及所推荐的最佳实践都聚焦于提高网络安全策略和措施的有效性，并且该研究院还发布了一系列不断扩展的、最新的网络安全相关工具包。从历史数据看，NIST的大部分输出物主要是为联邦政府机构开发，这些机构根据法规和政策来使用该研究院所出版的网络安全标准和指南。虽然说是为政府机构开发，但是，在美国，许多私营部门的网络安全从业人员、产品供应商和集成商、州和地方机构、以及其他看到NIST信息和服务价值的人也都在广泛地使用并依赖于NIST的研究成果。实际上，这
网络安全行业合规之风已起。 6月10日，中华人民共和国第十三届全国人民代表大会常务委员会第二十九次会议通过《中华人民共和国数据安全法》，并将于2021年9月1日起施行。 7月10日，国家互联网信息办公室同有关部门修订了《网络安全审查办法》，并向社会公开征求意见。 最新消息，工业和信息化部、国家互联网信息办公室、公安部三部门联合印发《网络产品安全漏洞管理规定》，并将于自2021年9月1日起施行。 本文主要对《网络产品安全漏洞管理规定》进行要点解读，帮助读者更快理解相关法规条款。 制定目的 规范网络产品安全漏洞
文：苏苏 编：大白haha 2010年，Forrester Research分析师John Kindervag提出了著名的零信任理念，随即这种创新性安全理念火遍全球，被认为是行业颠覆性创新理念，必将引领下一代网络信息安全行业。 但命运有时候就是这么不如人意。零信任技术火了十几年，也被吹了十几年，但直到今天，在国内依旧还是处于“叫好不叫座”的尴尬地位。真正掏出真金白银，大规模落地零信任技术的企业，还真没有多少。 那么，问题究竟出在哪里，导致火热的零信任处于类似“人买我推荐，真买我不买”的境遇？对于甲方企业来说
航空网络安全是航空公司的第一要务，之所以这么说，主要是因为航空业正进行数字化转型，若在设计到运营阶段未对此进行妥善保护，则互联互通水平的提高和各种优化可能会导致前所未知的、实实在在的网络漏洞。攻击者持续利用系统中的漏洞获取金钱、损坏对手声誉或破坏对手的运营，这在今天屡见不鲜。
文 | 流苏 编 | zhuo 自2010年以色列制造“震网”病毒袭击伊朗核设施，直接造成伊朗20%离心机损毁以来，关键信息基础设施一直笼罩在网络攻击的阴影之下。尤其是近年来，在全球网络攻击威胁呈现出分布化、规模化、复杂化的趋势下，如何保障关键信息基础设施安全已经成为牵动国计民生的大事件。 “没有网络安全就没有国家安全”，我国对于关键信息基础设施安全保护一直非常重视。2021年8月，国务院公布《关键信息基础设施安全保护条例》（以下简称《关保条例》）。 作为我国《网络安全法》的重要配套法规，《关保条例》于2
安全事件频发，为我们国网络安全保护工作敲响了警钟；随着网络安全形势日益严峻，“等保2.0”体系应运而生；等级保护是防御风险的一项必要手段；开展等级保护工作是网络安全工作中必须履行的安全保护义务，是信息化发展的根本保障；关键信息基础设施是网络安全等级保护的重点；国内关键信息基础设施的保护仍存在亟需解决的问题；强化关键信息基础设施保护能力，加大保护力度是当务之急。 作者：刘志磊 来源：网络空间安全之路 01 安全事件频发，为网络防护敲响警钟 近期，美国最大的成品油管道运营商Colonial Pipeline
近年来，部分大型企业尤其是关键信息基础设施行业领域，随着网络安全形势日益严峻复杂，国家对网络安全的重视也提高到前所未有的程度，网络安全监管政策趋严，最近滴滴接受网络安全审查就是最直接的明证。那么对于大型企业来说，要做好网络安全建设、运行、保障工作，首先要知道面临的具体风险和安全问题，才能在网络安全工作中“有所为有所不为”，那么安全需求分析是企业明确自身所面临的具体风险和安全问题的主要途径。接下来笔者就结合自己在安全咨询领域多年的工作经历，谈一谈如何规范有序的开展网络安全需求分析。
2 一、计划简介 “CNNVD漏洞奖励计划”面向对象是为CNNVD报送漏洞的企业、团队以及个人，奖励其报送的高质量漏洞。本计划以精神表彰与物质奖励相结合的方式，鼓励引导安全研究人员积极有序提交漏洞，共同提升我国网络安全漏洞预警及风险消控能力水平。 二、奖励范围 CNNVD对接报的通用型漏洞，按相关标准和程序进行验证研判和危害评估，经专家审议后筛选出符合条件的漏洞，对报送者发放相应奖励。 三、奖项设置及奖励条件 1. 一级贡献奖漏洞的危害程度高，并且在我国网络安全漏洞预警及风险消控工作中
“没有网络安全就没有国家安全，没有信息化就没有现代化，网络安全和信息化是一体之两翼、驱动之双轮”。随着5G、大数据、云计算、人工智能、工业互联网、物联网等新一代信息技术的发展，网络空间与物理空间被彻底打通，网络空间成为继“陆海空天”之后的第五大战略空间，愈演愈烈的网络攻击已经成为国家安全的新挑战。为保障网络空间安全，我国网络安全法治建设持续推进，《网络安全法》、《密码法》等多部法律已颁布实施，《个人信息保护法》《数据安全法》加速制定中，网络空间不再是“法外之地”。
在当今的数字化世界中，网络安全是企业成功的关键组成部分。如何帮助企业从零开始构建一个全面的网络安全架构，包括风险评估、策略制定、技术选型、实施步骤以及持续监控。随着企业信息化程度的加深，网络安全威胁也日益增多。构建一个有效的网络安全架构对于保护企业资产、数据和业务连续性至关重要。本文将指导读者了解并实施一个全面的网络安全架构。
自2017年《网络安全法》正式生效以来，网络安全相关工作已属于法律的强制性规范要求。近一段时间以来，随着《数据安全法》《个人信息保护法》等相关法律，《关键信息基础设施安全保护条例》《网络安全审查办法》等一系列的法规的出台，企业用户，特别是大型集团企业在建设和规划自己的网络安全体系的时候就更需要有一个全局性的视角来看待网络安全合规问题，既要避免疏漏引发违规风险，也要合理设计制度体系，避免由于当前网络安全法律法规之间要求表述的不同造成重复建设，给自身管理上和运营上带来不便。本文试着从政府监管、第三方检验检测和企业用户管理这三个维度进行简要分析，并给出一些在建设网络安全规划时可以参考的建议。先上图。
本文约13400字，建议阅读10+分钟作为一个阐明欧洲网络安全人才主要任务、应掌握技能与知识的实用工具。 捍卫网络安全的劳动力短缺与劳动力能力不足（掌握的网络安全技能的人才不多）是发达国家维护网络安全所面临的主要问题之一。ENISA认为欧洲需要建立一套框架来明确网络安全职业和所需技能，以此明确网络人才培养方向，缩减网络安全保障需要与现实人才数量、质量之间的差距。该框架旨在丰富欧洲网络安全文化内涵，是推动欧洲数字化走向未来的关键一步。作为一个阐明欧洲网络安全人才主要任务、应掌握技能与知识的实用工具，该框架的主
工业和信息化部、国家互联网信息办公室、公安部三部门联合印发《网络产品安全漏洞管理规定》。该规定旨在维护国家网络安全，保护网络产品和重要网络系统的安全稳定运行，并且规范漏洞发现、报告、修补和发布等行为，明确网络产品提供者、网络运营者，以及从事漏洞发现、收集、发布等活动的组织或个人等各类主体的责任和义务。 通知如下： 各省、自治区、直辖市及新疆生产建设兵团工业和信息化主管部门、网信办、公安厅（局），各省、自治区、直辖市通信管理局： 现将《网络产品安全漏洞管理规定》予以发布，自2021年9月1日起施行。 工业和信
2014年2月，NIST发布了《提升关键基础设施网络安全的框架》（以下简称“框架”）V1.0正式版本。本安全框架的起源是美国前总统奥巴马发布的《关于提高关键基础设施网络安全的行政命令》，要求NIST制定安全框架，应包括一系列与标准、方法、程序和过程相匹配的解决网络风险的政策、业务和技术方法。2017年1月，NIST发布了框架V1.1的草稿，预计今年10月份会出正式版本。评估中心技术部基于框架更新的内容进行了研究分析和部分内容的翻译，该框架对于等级保护测评也具有一定的研究和参考价值，现将研究总结的内容提供给大家研究学习。
关键信息基础设施安全一直是我国重点关注对象，也是网络安全市场的重要组成部分。近年来，我国陆续出台多部关基保护的法律法规，进一步细化、落实了关基保护各项政策和要求。
美国国家宇航局（NASA）负有特殊使命，与公众、教育机构和外部研究机构有着广泛联系，因而令人瞩目。与大多数其他政府机构相比，更可能被网络不法分子盯上。NASA拥有约3000个网站和42,000多个可公开访问的数据集，在线业务庞大，极易受到入侵。近年来，NASA的首席信息官办公室（OCIO）牵头相关工作，着力提升该局的网络安全准备度。尽管如此，仅在过去4年间，NASA就遭受了6000多起网络攻击，包括网络钓鱼欺诈和在NASA系统植入恶意软件。因此，NASA应制定强有力的网络安全措施，防护当前和未来的威胁，这一点至关重要。
自SolarWinds供应链攻击事件以来，人们越来越关注各种规模的组织如何确保其供应商的安全。事实证明，无论规模大小，各类组织都沦为了供应链攻击的受害者。即便是坐拥政府资源和资金的美国财政部和国土安全部同样难逃魔爪——它们也在SolarWinds攻击事件中受到了影响。
本文标题和正文中的“网络安全框架（CSF）”特指NIST发布的“改善关键基础设施网络安全框架”（最新版是v1.1版）。CSF由NIST与私营和公共部门密切合作开发，是美国各组织自愿采用的基于风险的方法。这个自愿性框架最初是为了应对国家关键基础设施（CI）领域的网络安全挑战而开发的，但随后世界各地各类组织对该框架的广泛使用证明了它的普遍适用性。
2022年，是我国数字化转型深入发展的一年，也是数据安全快速发展的一年，更是我国网络安全法规日益完善的一年，为网安产业的发展注入源源不断的驱动力。
NASA在防止、检测和缓解网络攻击方面的能力因企业架构方法的混乱无序而受限。企业架构（EA）和企业安全架构（ESA）作为组织分析和运营其IT和网络安全的详细规划，是有效进行IT管理的关键组件。NASA的企业架构开发工作已进行了十多年，但仍未完成，同时，该机构管理IT投资和运营的方式也未统一，多是临时起意。支离破碎的IT方法以及繁杂的各种权限，长期以来一直是该机构网络安全决策环境的一个显著特征。因而，整体看来，NASA面临着较高的网络威胁风险，而有些风险本可以避免。
描述：从2019年七月初起公司接收到增值电信定级备案以及“增值电信业务许可证”年检的企业通知,经过几天的梳理总结了这一篇文章，给正在进行增值电信定级备案的小伙伴们一个参考;
早在2008年，发改委、公安部和保密局曾下发文件《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》（发改高技〔2008〕2071号），对电子政务工程项目做出了明确规定：国家的电子政务网络、重点业务信息系统、基础信息库以及相关支撑体系等国家电子政务工程建设项目（以下简称电子政务项目），应开展信息安全风险评估工作。
等保2.0刚刚实施不久，接踵而来的是《关键信息基础设施网络安全保护基本要求》。当前网络安全无论是技术还是国家战略，都需要我们持续关注并加强管理力度（请大家挺住，后边的标准还多呢）。打算开一个有关关保的系列，也不能算解读吧，毕竟还没有实施和实践，因此系列就暂定为《关保笔记》。目的就是给运维、管理人员一点思路，初步去理解关保，知道如何满足关保要求，如果配合企业和监管做好关键信息基础设施的网络安全保护工作。本篇作为开篇概述，后续更新将会以《关保笔记》（二）、（三）...为标题。
拥有有效的企业网络安全不仅仅是让你的员工创建一个不是他们宠物名字的密码--除非他们的猫的名字至少有12个字符长，由大小写字母和符号组成。无论是经过充分研究的鱼叉式钓鱼尝试，还是绕过MFA，威胁者都变得更加大胆。随着全球各行业数据泄露事件的数量和速度不断增长，2022年71%的组织成为勒索软件的受害者，创历史新高，制定可靠且强大的网络安全战略不仅可以保护您的组织的财务，还可以保护其声誉。
本文为安全知识图谱技术白皮书《践行安全知识图谱，携手迈进认知智能》精华解读系列第六篇——威胁建模技术，重点介绍基于知识图谱的威胁建模应用。
网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然或恶意原因而遭受破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。
近日，《网络产品安全漏洞管理规定》的出台引起了业界的热议，《规定》对网络产品安全漏洞发现、报告、修补和发布等行为进行规范，以防范网络安全风险。
1.威胁格局 为了解飞行器及其互联系统的威胁状况，应在运营各阶段（包括维护、配置和静态）根据功能、接口和数据流确定最重要的资产及相应的攻击面。资产包括物理和虚拟资产，如硬件、软件、通信、信息、数据、空中（空中OTA）和地面部署的系统和设备以及互联和通信资产。 威胁可定义为利用漏洞、暴露或入侵对机密性、完整性和可用性（称为CIA）产生不同程度影响的潜在有害行为或事件，其中： • 机密性确保信息获取和披露仅限于授权用户； • 完整性确保信息、资产和处理方法的准确性、完整性、抗抵赖性和真实性； • 可用性确保授权
近日，国际知名调研机构Gartner正式发布了《Hype Cycle for Security in China 2022》报告，报告结合中国安全市场自身特点，最新安全技术的创新落地，给予中国企业建设安全提供选型参考。作为国内首家、也是目前唯一以外部攻击面管理（EASM）技术作为核心方向的代表厂商，北京零零信安科技有限公司入选报道，被列为攻击面管理（ASM）推荐厂商。
随着云应用的持续加速，首席信息安全官必须帮助企业的IT团队和网络安全团队跟上云计算市场的发展，特别是在云安全态势方面。
NIST的网络安全框架2.0（CSF2.0）草案的目的为行业、政府机构和其他组织提供指导，以降低网络安全风险。它提供了一种高阶（概要）的网络安全结果的分类，它可被任何组织使用，无论其规模、部门或成熟度如何。该框架并没有规定应该如何实现这些结果，而是为实现这些结果提供指导。
（CSMS）及车辆网络安全型式认证（VTA）两部分，前者主要审查 OEM 是否在汽车完整生命周期
当你驾车在路上行驶，突然被远程控制变道、转向、刹车，甚至打开车门；当你用蓝牙钥匙准备打开车门时，却发现车门已被远程锁死；当你安装了一个车载应用，却不知应用里暗含木马，导致数据被盗，是不是特别惊悚、特别无助？
8月29日，国家卫生健康委、国家中医药局、国家疾控局印发《医疗卫生机构网络安全管理办法》（以下简称《办法》），自印发之日起开始实施。 《办法》共五章三十四条，分为总则、网络安全管理、数据安全管理、监督管理、管理保障五个大章节，适用于医疗卫生机构运营网络的安全管理，未纳入区域基层卫生信息系统的基层医疗卫生机构参照执行。 《办法》指出，国家卫生健康委、国家中医药局、国家疾控局负责统筹规划、指导、评估、监督医疗卫生机构网络安全工作。县级以上地方卫生健康行政部门（含中医药和疾控部门，下同）负责本行政区域内医疗卫生机
在跟很多客户交流的过程中，不少客户都会提出一个问题：网络安全怎样建设才是安全的？这个问题其实很难回答，网络安全是动态的，攻击的手段日新月异、层出不穷，防护的措施也随之升级，网络安全需要系统性的建设，需要持续投入、长期投入。那么问题来了，既然网络安全的建设没有尽头，那起点是什么呢？答案呼之欲出。
12月14日，据路透社和《华盛顿邮报》报道，知名IT公司SolarWinds旗下的Orion网络监控软件更新服务器遭黑客入侵并植入恶意代码，导致美国财政部、商务部等多个政府机构用户受到长期入侵和监视，甚至可能与上周曝出的FireEye网络武器库被盗事件有关。美国国家安全委员会甚至因此在上周六召开紧急会议。 SolarWinds是全球流行的网络管理软件，客户群体覆盖了大量重要机构和超过9成的世界500强企业，在全球的机构用户超过30万家。根据该公司网站的介绍，其中包括美国军方的五大军种（海军、陆军、空军、美国
本书将带领读者循序渐进地了解金融网络安全，并学习如何保护企业免受这些威胁。本书将通过一些真实场景的案例，讲解如何应对和解决金融网络安全威胁。读者在阅读的过程中，将了解到不同类型的安全漏洞和缺陷（包括人为风险因素)，并可以从安全专家的角度剖析攻击者。在本书的最后，读者将获得洞察网络安全未来的能力，以及在保护金融服务和相关基础设施方面的实践经验。
依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律法规，我办会同有关部门修订了《网络安全审查办法》，现向社会公开征求意见。公众可通过以下途径和方式提出反馈意见： 1.登录中华人民共和国司法部 中国政府法制信息网（www.moj.gov.cn、www.chinalaw.gov.cn），进入首页主菜单的“立法意见征集”栏目提出意见。 2.通过电子邮件方式发送至：shencha@cac.gov.cn。 3.通过信函方式将意见寄至：北京市西城区车公庄大街11号国家互联网信
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
