下载掌阅APP，畅读海量书库
立即打开
每次制定规划，都不会给后面留下后路，所以要进行第二次的市场洞察和战略规划时候，自身陷入了江郎才尽的错觉。现在还很清楚地记得那个时候，每次晚上都绕着莲花山公园散步，边散步就在边思考，今年的规划应该的结构应该怎么样，逻辑应该怎么办，不知不觉的，6 公里就走完了，但还没有理顺思路。直到有一天，走到红色的有着广泛传说的那两栋住宅楼的地方，突然思路清晰了，整体的框架得到了，后面就是数据填充和细节问题了，所以，每次的市场洞察与战略规划都是一次非常透彻的思考以及某一次灵感的过程。
肯定很难还原当时的真实情况，本文只能试图从第二次的规划实际中，窥探出当时思绪的一缕变化而引起的规划的变数。
图 38
为什么说这次不一样呢，因为这次是先洞察一部分，然后得出结论；再洞察新的东西，再得出结论；再洞察新的东西，又得出结论；最后再得出结论的结论。
必须回顾过去的原因：
●让领导层对现状有了解，清楚过去一年的投入都做了什么；
●战略规划可以起到承前启后；
●让领导层清楚还有多少东西没有做，距离成熟还有多远，还要不要持续投入。
在第一次战略规划之后，有了产品网络风险的战略项目，其中包括 4 个子项目。
图 39
经过近一年的开发，已经初具规模，有些已在产品和业务中落地了，这些项目的详细情况，在第 8 章有详细描写。
这就导致在第二次规划中，对第一次规划回顾的结论有所不同。
回顾以产品网络风险的战略项目为主。
图 40
简单说明：
●密钥系统平台（密钥管理平台）支撑着产品研发流程中的开发阶段；
●安全响应中心支撑着运营阶段；
●安全检测中心支撑着验证阶段；
●隐私评估平台需要贯穿整个研发过程；
注：内容还需要包括项目回顾，根因分析，阶段性成果展示等，略。
制定本次规划，就按照“五看”“三定”来，根据实际情况可以有所裁剪，环境主要还是列举有关部门的新政策。
图 41
网络产品安全漏洞管理规定就给开发安全响应中心和安全检测中心带来了指导，提出新的需求。虽然漏洞收集平台的对象是从事网络产品安全漏洞发现和收集的组织，但对于研发生产网络产品、智能产品的公司，也是需要考虑的，因为生产网络产品、智能产品，最好就是有一个门户和外界沟通，提升用户的信任度，而安全检测中心检测出来的东西就是安全漏洞了，肯定也是需要关注的。
现在看来，看环境支撑了现在在做的工作，但对于寻找下一步工作的作用不大。
战略制定过程，看对手是非常重要的，特别是那些领先自身的对手都是怎么做的。
图 42
图上列举的安全检测中心、密钥系统平台、隐私评估平台的所属公司，在国内属于领先企业，特别大多是互联网领头企业，他们在安全数字化建设上位于前沿，所以需要时刻研究他，学习他，指导后面的路应该怎么走。
以下信息通过各种渠道收集分析得到。
●安全检测中心的趋势：全链路、开发、智能化、模糊测试等。
●密钥系统平台的趋势：覆盖到产品全链路、功能上具有CA、RA、公有和私有证书等。
●隐私评估平台的趋势：威胁情报库、威胁检测、态势感知、安全评估、隐私评估等。
这就能寻找出下一步要开发的功能，要干的工作。而找到下一步还可以在行业中寻找。
和物联网安全相关的行业可以是：信息安全行业、专业安全行业、车联网安全行业等。
通过经常参加各种展览和论坛，进行信息收集并分析，得到：
图 43
在上海的网络安全博览会上，就收集到了各个专业的网络安全专业公司的各种数据大屏，可以看到该行业后续的发展方向。
做安全其实不希望看到结果，因为一旦出现了结果，那往往意味着事故，会带来很大的损失，但希望可以看到全过程，看到细节，过程和细节能够看得越多，就越能增强各个层级的信心。采集数据，然后对数据化进行智能化分析和归纳，然后在大屏上展示出来，是呈现安全实力与信心的重要方式，所以安全数字化、可视化分析、态势感知是安全平台（产品网络风险项目）建设的重要方向（第 8 章），进而可以总结出下一步要干什么。
对上一次规划进行回顾，可以看到取得什么成绩，还有哪些没做到位，而“五看”是需要寻找到下一步需要怎么做。
图 44
●找出下一步是巩固现有项目成就的必要工作，作为领导者需要不断找到新方向，找到新事情，要不团队就会被解散。
●根据看环境、看对手、看行业，可以找出下一步应该做些什么。
■密钥系统平台的下一步是CA系统、签名验签、落地到产品中解决防薅羊毛、防盗链等。
■安全响应中心的下一步是多业务响应、资产管理、微信对接等。
■隐私评估平台的下一步是体验优化、风险分析等。
■安全检测中心的下一步是开源检测、DeSecOps的建设等。
作为从属研发线的战略洞察，可以继续对安全技术进行洞察，特别是对技术的洞察还可能找到产品的卖点，可能可以获得产业的支持，来年的预算也许就得到解决。
首先，需要看看自己都有哪些安全措施和技术。
图 45
对上图做了模糊处理，不影响，可忽略。
上次规划的分类是系统安全、隐私保护、云端安全、应用安全、IoT安全。
●先分类：对现有的产品业务进行细分，比如分为应用安全、系统安全、通信安全、云端安全、数据安全、隐私安全等。隐私安全和数据安全的技术有类似的地方，但侧重点是不一样的。
●评差距：事先请各自单位的安全专家罗列出自身的安全措施和技术，然后按照数量得到雷达图，可以看出各单位的安全水平也是参差不齐的。假如考虑技术所能达到的安全程度、技术的落地程度、覆盖程度等，那就很难衡量了。为了简化分析工作，所以只关注数量，忽略掉其他因素。
既然存在不同单位的安全团队，那么水平肯定是不一样的，各自有各自擅长和关注的东西。看自己，可以在各单位间取长补短，进而增强总体竞争力。
除对已有的领域进行洞察外，更重要的就是对新产品领域进行洞察。
图 46
实际报告里面会更详细地列出雷达图所对应的安全技术都有哪些。
系统技术、合规技术、云端安全等，在第一次战略规划里面就已经有了，所以第二次基本就照搬，毕竟资料的收集，信息的处理都要花费大量的时间，而且也不是此次战略规划的主要关键点。
本次洞察的关键点在于计划大力开拓的新业务，比如摄像头和智能门锁，而从中可看出，自身摄像头的安全基础基本没有，业界领先企业的摄像头安全水平较高，那么所面临的安全竞争力就会非常高；但智能门锁方面，业界的安全水平都不太高，特别是传统门锁企业，连距离国标规定都还有一段距离，所以能更容易就找到新卖点、新机会。
为了进一步挖掘新技术、新卖点，形成安全技术竞争力，需要先要对每个细分领域进行总结，重点关注的是产品业务形态。
图 47
此次洞察可以得出以下两点结论。
●在摄像头领域：安全技术水平距离业界的差距很大，假如想做，需要有较长时间且比较大的在安全方面的投入才可能追上业界水平。这就有了摄像头的安全研究，第 2 章。
●在智能门锁领域：业界的智能门锁网络安全的水平处于起步发展阶段，假如想做，不需要很大的投入就可能成为领导者。这就有在第 2 章的多次打造智能门锁安全卖点的汇报。
由于有该洞察的结论，在当年所发布的智能门锁上就新添了几个安全卖点、宣传点。
比卖点更重要的是如何找到战略的新方向，找到研发的发力点。
结论虽是这样，但业务首先要考虑生存下来，很难开始就有想成为领导者的意愿，往往导致好不容易建立起来的基础就没了后续，好不容易搞出来的几个安全卖点也成为绝唱。
竞争力需要持续地打造，虽然找到了，但最终并没有形成。
虽对现有项目进行回顾，找到下一步工作内容——对新技术的洞察找到了竞争力，但当时还是觉得以上内容不足以支撑起年度战略规划报告，特别是需要在高层会议上宣讲一下综合安全能力，算是培训领导层的一个方式，特别是寻找技术之外的方向。
当时在找新方向上其实遇到了困境，并不知道方向在哪，不知道还能写些什么，所以不断思考，不断推演，让自己跳出技术的思维圈，最终想到从能力入手，想到以下内容并整理出来。
看宏观，先从两个非常有名的标准看起：
图 48
从这里开始，逐渐从安全技术与措施转为整体安全能力的探索与思考；在这一年信息部门启动ISO27001 的建设，对本次战略规划也起到了一些启发作用。
从能力模型可以看到，第一次规划其实只关注了一个安全维度，比如上面数据安全模型中的数据采集安全、传输安全、存储安全、处理安全、交换安全、销毁安全。那么本次对于安全模型的洞察，就看到有组织建设、制度流程、技术工具、人员能力的新维度，还看到衡量维度，如非正执行、计划跟踪、充分定义、量化控制、持续优化等。
增加的两个维度，对于个人能力、组织能力、资源投入、顶层意识等提出了更高的要求。特别是对自身能力提出更高的要求。
通过本次看宏观得到了两个结论：安全能力需要模型化并且需要持续做好分类分级的策略。
所以需要寻找适用于产品物联网安全的模型，应该可以从行业中找。
在行业上有一个大名鼎鼎的安全能力衡量模型，叫BSIMM（软件安全构建成熟度模型）。
图 49
注：本图片来自BSIMM相关资料，有不合适的请联系删除。
BSIMM从属行业每年都会升级，更加符合物联网行业的软件安全能力评估要求。软件安全构建实际就是软件安全开发，衡量的是开发能力。随着对安全技术的开发与完善，安全保障的动作必须进入工作范畴。随着对网络安全领域认知的深入，使用模型衡量安全能力早晚会实施。
不同目标的衡量需要不同的模型：数据安全能力使用国家标准，信息安全能力使用国际标准，软件安全构建能力使用行业标准。
BSIMM成熟度模型的详细介绍和实践见第 7 章。
那么接下来可以评估自身在能力模型中的水平。
通过对研发流程、评价标准、工具链、攻防响应、权威认证五个方面进行评估，进一步得出各个单位之间的雷达图，一下子就看出哪个单位在哪里有缺陷，也可以一下子看出和成熟的安全模型对比，差距有多大。
图 50
注：看自身无法把图画得太清楚，写得太明白。
通过看自身，可以得出结论：
●各单位的流程不是很统一；
●工具可能会重复建设；
●衡量标准也会不一致；
●最终结论就是水平相差不齐。
这些结论已经不是用技术可以解决的了，而是需要进行组织变革。
根据看自身，再结合其他因素，拍脑袋评估出当时的能力。
图 51
说明：
每一项的满分为 3 分（更详细的分析可查阅第 7 章，时间点的不同，故分数不同）；当时的最高分是安全性功能和设计，符合第一次战略规划后在安全功能和设计上的着力；配置与漏洞管理为第二高分，符合安全响应相关流程已经发布，安全响应中心已经基本开发完成上线运营；合规政策、标准要求是第三高，也符合一直在制定的标准等动作。整体来看，能力还是较弱，但可以看出哪个地方弱，也许机会就在那。
假如按照安全成熟度模型去建设并达到业界水平，肯定需要持续多年，持续投入，并且多个单位一起配合才可能达成，对于智能家电行业来说，暂时没有这个必要。
通过更加全面的洞察以及对比自身的情况，进行了推导。
图 52
可以看出：
●不是每项能力都需要提升，单纯提升整体的成熟度级别，其实没有必要；
●要根据实际业务情况，建立适合公司的实际衡量标准；
●根据衡量标准进行风险评估可视化、安全能力数字化，这就是新方向。
很多公司估计只进行到这一步，但对于安全能力要怎么可视化、可衡量化，并没有实际的数据支撑。
推测：
●根据现阶段的国家政策情况，产品或业务检测到的漏洞情况，以及业务涉及的数据量，远程控制量等，也许可以基于产品的风险评价进行量化；
●基于现有的密钥系统平台、安全响应中心、隐私评估平台、安全检测中心四个平台的技术和数据，进行安全能力数字化应该是可行的。
额外作用：
当时和业务有个讨论：如果出现安全问题，甚至安全事件，是业务的责任还是安全的责任？依据安全能力数字化和风险评估可量化的结果，应该可以做出精确的责任共担模型，精确的责任共担和安全的数字化与可量化，反过来又能给业务工作提供支撑和背书。
这就有了第 8 章合规数字化的建设工作，只是还没做完。
当时洞察出来的新方向工作明显不是一个好机会，很难得到产业的理解和认可，只能自己不断寻找零散的资源，点滴进行。
这里使用了安全成熟度模型，成为指导安全能力建设的模板。
仿照成熟度模型，根据第一次战略规划和本次的战略规划的积累，可以罗列出各种安全功能或技术，形成一个模型。
图 53
位于底层的是难度比较低的安全性一般的措施或技术，位于顶层的是难度比较高或者实现需要较大代价的，安全性一般比较高或者解决某项特定安全的措施或技术，而安全竞争力一般要从底层建设起，逐渐往高层建设。
这样就形成了安全竞争力模型，也叫安全技术模型。
安全竞争力要建多高，需要安全能力就越深，要不地基就会不稳，竞争力无从说起。
图 54
随着理解的深入，也才清楚：
●安全竞争力模型其实就是安全功能要求；
●安全成熟度模型其实就是安全保障要求。
本模型的大图可查阅附录。
当时热衷于搞双轮战略，在各种场合的上都能听到，比如一个轮子是产品，一个轮子是技术，所以本次战略规划的结论也搞了个双轮战略。
图 55
一个轮子是安全竞争力、一个轮子是安全成熟度，这两个轮子必须同时转动，能力的提升才能促进竞争力的提升，反之亦然。
这两个模型有什么用呢？
建立安全成熟度模型和安全竞争力模型，就相当于养了一只公鸡和一只母鸡，将其结合起来是可以孵化出具体物联网安全架构的。
图 56
而不同的安全架构，只是侧重点不同而已，比如：
●智能电视网络安全架构侧重点可能在于系统安全和隐私保护；
●摄像头网络安全架构侧重点可能在于网路安全、数据安全、云端安全；
●智能门锁网络安全架构侧重点可能在于网路安全、密钥安全、云端安全。
双轮战略这个鸡，所生出来的具体产品安全架构，对具体的安全要求肯定不同。
图 57
龙生九子，各有不同。不同的安全架构对于安全技术的要求会不太一致，比如AIoT安全架构相对会低些，而摄像头的安全架构对于安全技术的要求就高了很多。
根据技术要求和固有的能力模型，就可以制定出安全路标，结合上次战略规划进行更新。
新的战略规划所推导出的路标和上次路标的差异有点大，主要因为第一版战略规划后面有了战略项目，所以修订了很多次。本次战略规划对新领域新卖点进行了洞察和规划，路标肯定不一样的。在新的路标中，补短板、强基础、战略控制点就没有明确的对应地方了。
和第一次规划同理，根据每个阶段所要达到的目标以及每个细分领域，以及上面的推导，比较容易得出每个阶段，甚至每一年都要做什么。
图 58
注：这里不好把每个通道的每年的详细目标都写出来。
但安全平台搭建、安全能力建设、安全技术研发以及产品自身的安全与合规，AIoT安全的通道非常明确。
按照一般的组织架构，安全平台搭建、安全能力建设、安全技术研发是一个平台部门负责，而AIoT安全应该是产品或业务研发部门负责。
更新了长期的安全路标，接下来就需要更新明年的计划，这里省略。
和前面的一样，规划制定出来后，最好能孵化出项目，申请预算，然后进入项目执行和监控。
本次规划没有解码出新的战略项目。
说明一下本次规划的执行结果。
●寻找下一步：根据本战略规划制定的安全数字化计划持续地执行。（第 8 章）
●寻找竞争力：从本规划开始就开发了一些基于一机一密的安全技术，这些技术在产品中落地了，也得到了市场宣传，效果还是不错的。（见第 2 章的门锁技术）
安全本来就是看不到摸不着的，此次规划后衍生的项目，打造出的安全卖点居然能够宣传，也算获得了显性化的价值，但有更多的安全技术并没有得到开发与落地。
●寻找新方向：安全保障能力建设就执行得相对不到位，依据成熟度模型来判断，大概水平和前一年差别没那么大，有进步的就是成立了 1 ～ 3 人的云端渗透团队，BSIMM分数得到了一些提升。（见第 7 章）
下图是实际的第二次战略规划报告：
图 59
本节是对实际报告的精简脱敏，只要能讲明第二次战略规划的制定逻辑就可以。