工业和信息化部近日启动网络安全技术应用试点示范项目推荐工作，示范项目重点引导方向包括并不限于：网络安全防护，网络安全监测预警，网络安全应急处置，网络安全检测评估，新技术新应用安全，以及其他应用效果突出、创新性显著、示范价值较高的网络安全项目。

国家能源局举行例行新闻发布会，发布2018年前三季度能源形势、可再生能源并网运行情况、第三季度12398能源监管热线投诉举报受理情况，从五个方面解读《关于加强电力行业网络安全工作的指导意见》：一是全面贯彻落实习近平总书记关于网络强国战略的重要论述，从行业全局统筹指导网络安全工作；二是强化网络安全综合治理格局，健全网络安全管理体系；三是明确网络安全工作重点，多措并举加强电力行业网络安全工作；四是明确安全可控的技术路线，构建更加独立自主的电力行业网络安全环境；五是加强机制创新，推动电力行业网络安全实现新发展。

11月9日，以“主动安全　护航数字未来”为主题的2018合肥网络安全大会成功召开。

公安部十一局郭启全总工在技术论坛上谈等保最新情况：一是等保2.0标准已在国家安标委最终审批，不日出台。二是关于等保可信计算要求，都是可，不是应。最后强调5个重要工作内容：1、等级保护制度；2、通报预警机制；3、关键基础设施保护；4、态势感知大平台；5、人才培养。目标是应对网络战。

习近平总书记一直关注互联网的发展。

在今年4月20日召开的全国网络安全和信息化工作会议上，习近平总书记强调，网信事业代表着新的生产力和新的发展方向，应该在践行新发展理念上先行一步，围绕建设现代化经济体系、实现高质量发展，加快信息化发展，整体带动和提升新型工业化、城镇化、农业现代化发展。要发展数字经济，加快推动数字产业化，依靠信息技术创新驱动，不断催生新产业新业态新模式，用新动能推动新发展。要推动产业数字化，利用互联网新技术新应用对传统产业进行全方位、全角度、全链条的改造，提高全要素生产率，释放数字对经济发展的放大、叠加、倍增作用。要推动互联网、大数据、人工智能和实体经济深度融合，加快制造业、农业、服务业数字化、网络化、智能化。

11月1日起，《公安机关互联网安全监督检查规定》（以下简称《规定》）开始施行。该《规定》主要根据《中华人民共和国人民警察法》、《中华人民共和国网络安全法》两部法律制定，明确规定了互联网安全监督检查的对象、内容、方法、过程和执行人，明确表述了各方的权利、义务以及应当承担的法律责任。

据报道，法国公司Ingerop受到了黑客攻击。黑客对法国公司Ingerop发起网络攻击，窃取与法国核电站计划相关的机密文件。早在六月，该黑客就已窃取逾65G文件，这些文件包括核电站计划，和监狱及有轨电车网络的蓝图等内容。此外，在德国某租用服务器中发现部分失窃数据。

最近几年里，各大公司发生的数据泄漏事件造成的影响和结果不可谓不惨烈，严守数据安全是企业的底线，此外云端系统安全、机器学习、AI和日益增长的网络威胁也是Gartner认为在2019年要着重关注的安全发展趋势。

2018年11月8日，全国信息安全标准化技术委员会（以下简称“信安标委”）秘书处在北京召开了国家标准《信息安全技术 关键信息基础设施安全检查评估指南》（报批稿）（以下简称《检查评估指南》）试点工作启动会。本次试点工作旨在验证《检查评估指南》标准内容的合理性和可操作性，为关键信息基础设施安全检查评估工作摸索经验。

调查中指出，网络安全技术平台必须具备的8个特性分别是：1. 覆盖电子邮件和Web安全等主流威胁(38%)；2. 集中管理所有产品和服务(33%)；3. 威胁预防、检测与响应能力(31%)；4. 覆盖终端、网络、服务器和云工作负载(27%)；5. 基于云的后端服务，比如分析、威胁情报、特征码/规则分发等等(26%)；6. 开放性，比如开放API、开发人员支持、生态系统合作伙伴等等(22%)；7. 紧耦合产品与服务的组合，比如提供中心命令与控制的产品与托管服务选项(20%)；8. 提供多种部署选项，比如现场部署、云交付、混合部署等(18%)。

在检测到的威胁中（其中55%为木马病毒）存在很多备受瞩目且众所周知的问题，例如TRITON和Mirai，以及Stuxnet的变种，其中Stuxnet（震网）蠕虫就是一种民族国家用来破坏工业运营的攻击类型。

在发现的恶意软件中，9%被设计为直接利用USB协议或接口漏洞，使USB传输更加有效——特别是在较易受USB攻击影响的较旧或配置较差的计算机上。

而有些恶意软件更为先进，会直接攻击USB接口本身：2%与常见的人机接口设备（HID）攻击有关，这会使USB主机控制器误认为存在键盘连接，从而允许恶意软件键入命令并操纵应用程序。

11月13日，全国首个省级安全运营中心—青海省网络安全监测管理中心揭牌仪式在西宁隆重举行。启明星辰信息集团总裁严立介绍到，启明星辰率先提出了“第三方独立安全运营”新模式，并将其确立为了公司的一项重要的战略布局，立足于云计算、大数据、物联网、工业互联网、关键信息基础设施保护、移动互联网等新技术，可为用户提供具有安全监测、安全应急、态势感知、安全防护、安全事件处置能力的平台。“启明星辰集团有幸为青海省网络安全建设工作提供专业的技术保障服务，并能借此为国家网络强国战略做出自己的贡献，感到非常的荣幸。我们也将尽心尽力，发挥自身多年在信息安全领域的积累和实力，助力青海省壮大网络安全实力、培养网络安全人才，为青海省网络安全工作添砖加瓦。”严立表示。

近日，北京圣博润高新技术股份有限公司顺利通过中国网络安全审查技术与认证中心（即原中国信息安全认证中心）的审核，获得三项最高等级的信息安全服务资质（信息系统安全集成、信息安全风险评估、信息安全应急处理）认证证书。

近日，在第五届世界互联网大会举办期间，中国电子科技网络信息安全有限公司（简称中国网安）与俄罗斯卡巴斯基实验室（简称卡巴斯基）在乌镇共同签署战略合作备忘录。根据合作备忘录约定，双方一致同意，在此前开展战略合作的基础上，深化工控安全、威胁情报、安全培训等方面合作，并轮值举办中俄网络空间安全“T3”国际论坛。这是中国网安与卡巴斯基继2015年在第二届世界互联网大会期间首次签订战略合作协议后的全新升级，更是中俄网络安全企业间持续深化交流与互信的合作样板。

近日，北京安控科技股份有限公司中标重点行业工控安全态势感知能力提升工程项目--石油石化行业工控安全态势感知节点应用试点。工控安全态势感知能力是工控安全的基础工作，也是主动防御的重要手段。本项目主要围绕石油石化行业重要工业企业的态势感知需求，支持政治可靠、技术先进、有影响力的相关安全企业或行业系统集成企业，在不少于30个重要石油石化企业部署工业企业侧态势感知节点设备，有效掌握工业企业安全态势和防护现状，并将监测数据汇聚至国家工控安全态势感知平台。国家工业信息安全发展研究中心将组织协同本次中标单位共同建立全国工控安全在线监测网络，开展工控安全态势感知节点应用试点工作，提升工业企业工控安全风险预警和应急处置效率。

近日，360企业安全集团与卓因达科技签署战略合作协议，联合打造更安全、更智能的新一代智慧园区与公共交通自动售检票方案。 卓因达科技与360企业安全集团强强联合，将360企业安全成熟的企业级安全产品和最新的物联网安全技术应用到自动售检票与智慧园区系统中，有效规避来自互联网的各种攻击和威胁，防患于未然，为客户提供更加安全的自动售检票解决方案。

本文提出一种适用于烟草行业的工控系统安全监测与管控方案， 通过将安全监测系统和安全防护网关进行有机联动，识别并预测工控系 统攻击异常事件，并自动生成针对该攻击异常事件的处理规则。同时， 防护网关运用该规则实现异常攻击行为的阻断，大大增强了工控系统安 全防护的可操作性，使异常攻击事件得到及时的响应与处理，提升烟草 行业工控系统安全防护与预警能力，保障安全稳定运行。

随着信息化和工业化的深度融合，工业控制系统在工业生产过程中得到了越来越广泛的应用，很多研究者开始针对工控系统，特别针对工控网络协议的安全性展开研究，模糊测试则是其中较为活跃的领域之一。当前工业控制系统模糊测试方法，模糊数据过于简单随机、对于异常定位精度不高、测试效率低下等缺点，本文结合工业控制系统高实时性和高可靠性的特点，制定基于字段分类的测试用例生成方法和精确的异常定位方法，提出一种针对工业控制系统的模糊测试方法。最后通过工业控制系统常用协议Modbus对该方法进行了仿真实验，实验结果表明本文提出的方法相对于传统模糊测试方法，效率更高，覆盖率更高。

根据卡巴斯基最近发布的一项研究指出，77％的工业环境安全专业人士认为，他们的组织很可能成为网络安全事件的攻击目标；与此同时，48％的受访者表示，他们没有特定的OT / ICS事件响应计划，而31％的受访者表示，他们的组织在2017年经历过一次或多次安全事件。

事实上，任何系统面临的安全性问题，归根结底都由系统所具有的价值而决定。国家基础工业领域中分布着大量工业控制系统，涵盖了电力，石油，交通，水利等诸多方面，在国计民生中占据着重要的地位，其中的数据价值，持续运行价值都不可估量。出现任何安全问题，影响都不容小觑。国内外各行业工业控制系统正受到越来越多的安全关注，也越来越多地成为攻击者的目标。

信息安全风险评估服务是我国信息安全保障工作的重要环节之一，信息安全风险评估技术手段一直为行业内所推崇。目前，因多方面因素影响，信息安全风险评估服务能力的水平在地区、行业间等呈现参差不齐的现象。结合SSE-CMM理论及信息安全风险评估服务的最优实践，提出风险评估服务能力成熟度模型概念，即RAS-CMM。RAS-CMM围绕资源配置、技术过程、项目管理等能力因素对风险评估服务能力等级提出理论评价框架。

6 荐读 | 人工智能时代的国家安全：风险与治理

人工智能正在成为影响未来社会最重要的技术领域，世界各国纷纷出台指导战略，助力人工智能的创新与发展。然而，人工智能作为一项具有颠覆性的技术，其发展过程本身也蕴含着很大的风险与威胁。人工智能技术发展不仅会导致法律、伦理等方面的问题，也会引发国家安全领域的风险与威胁。本文根据人工智能技术和应用的发展趋势，分析国家在不同领域所面对的安全风险，不仅有助于做好安全防范准备，也有助于处理好安全与发展之间的关系。加强对风险的有效应对，可以更好地保障人工智能技术的发展。在此基础上，国家可以从提升风险意识、完善治理体系、加强监管能力和探求国际合作等多方面来构建风险分析和应对框架，提升国家安全的韧性。

7 重磅丨一文看懂网络安全等级保护工业控制系统安全防护技术体系设计

在GB/T 25070中增加的工业控制系统安全设计要求的内容，是在国家标准GB/T25070-2010基础上为适应工业控制新技术、新应用情况下而进行的修订，制定统一的工业控制系统等级保护标准，建立整体安全防护体系及框架，给出了详细、可实施的安全设计要求，可用于指导工业控制系统运营使用单位、信息安全服务机构开展等级保护安全技术方案设计，能够有效应对针对工业控制系统环境的信息安全威胁，保护国家工业控制系统不被非法攻击，保障重要工业控制系统的正常运行，从而确保国家工业基础设施免遭破坏。

8 围观 | 如何治理关键信息基础设施的重要信息资产漏洞？

在网络安全领域，漏洞常被攻击方视为“杀手锏”武器，又被防守方当作“万恶之源”。漏洞本身虽然不产生危害，但一旦被利用，则极有可能带来严重的威胁。关键信息基础设施在数字化、网络化、智能化转型的过程中配置了大量信息资产，其网络体系越来越复杂，漏洞作为“伴生体”所带来的威胁问题日益凸显。习近平总书记曾指出：要全面加强网络安全检查，摸清家底，认清风险，找出漏洞，通报结果，督促整改。如何快速应对漏洞产生的威胁，降低关键信息基础设施网络安全风险，无疑是摆在新时代的一个迫切命题。本文针对某些关键信息基础设施在接报漏洞后面临的处置周期长、资产定位难等问题，进行针对性的调研，探索对其重要信息资产开展漏洞治理的工作，并总结了一些实践经验与同行同业分享和探讨，以期抛砖引玉。

工业和信息化部近日启动网络安全技术应用试点示范项目推荐工作，示范项目重点引导方向包括并不限于：网络安全防护，网络安全监测预警，网络安全应急处置，网络安全检测评估，新技术新应用安全，以及其他应用效果突出、创新性显著、示范价值较高的网络安全项目。

国家能源局举行例行新闻发布会，发布2018年前三季度能源形势、可再生能源并网运行情况、第三季度12398能源监管热线投诉举报受理情况，从五个方面解读《关于加强电力行业网络安全工作的指导意见》：一是全面贯彻落实习近平总书记关于网络强国战略的重要论述，从行业全局统筹指导网络安全工作；二是强化网络安全综合治理格局，健全网络安全管理体系；三是明确网络安全工作重点，多措并举加强电力行业网络安全工作；四是明确安全可控的技术路线，构建更加独立自主的电力行业网络安全环境；五是加强机制创新，推动电力行业网络安全实现新发展。

11月9日，以“主动安全　护航数字未来”为主题的2018合肥网络安全大会成功召开。

公安部十一局郭启全总工在技术论坛上谈等保最新情况：一是等保2.0标准已在国家安标委最终审批，不日出台。二是关于等保可信计算要求，都是可，不是应。最后强调5个重要工作内容：1、等级保护制度；2、通报预警机制；3、关键基础设施保护；4、态势感知大平台；5、人才培养。目标是应对网络战。

习近平总书记一直关注互联网的发展。

在今年4月20日召开的全国网络安全和信息化工作会议上，习近平总书记强调，网信事业代表着新的生产力和新的发展方向，应该在践行新发展理念上先行一步，围绕建设现代化经济体系、实现高质量发展，加快信息化发展，整体带动和提升新型工业化、城镇化、农业现代化发展。要发展数字经济，加快推动数字产业化，依靠信息技术创新驱动，不断催生新产业新业态新模式，用新动能推动新发展。要推动产业数字化，利用互联网新技术新应用对传统产业进行全方位、全角度、全链条的改造，提高全要素生产率，释放数字对经济发展的放大、叠加、倍增作用。要推动互联网、大数据、人工智能和实体经济深度融合，加快制造业、农业、服务业数字化、网络化、智能化。

11月1日起，《公安机关互联网安全监督检查规定》（以下简称《规定》）开始施行。该《规定》主要根据《中华人民共和国人民警察法》、《中华人民共和国网络安全法》两部法律制定，明确规定了互联网安全监督检查的对象、内容、方法、过程和执行人，明确表述了各方的权利、义务以及应当承担的法律责任。

据报道，法国公司Ingerop受到了黑客攻击。黑客对法国公司Ingerop发起网络攻击，窃取与法国核电站计划相关的机密文件。早在六月，该黑客就已窃取逾65G文件，这些文件包括核电站计划，和监狱及有轨电车网络的蓝图等内容。此外，在德国某租用服务器中发现部分失窃数据。

最近几年里，各大公司发生的数据泄漏事件造成的影响和结果不可谓不惨烈，严守数据安全是企业的底线，此外云端系统安全、机器学习、AI和日益增长的网络威胁也是Gartner认为在2019年要着重关注的安全发展趋势。

2018年11月8日，全国信息安全标准化技术委员会（以下简称“信安标委”）秘书处在北京召开了国家标准《信息安全技术 关键信息基础设施安全检查评估指南》（报批稿）（以下简称《检查评估指南》）试点工作启动会。本次试点工作旨在验证《检查评估指南》标准内容的合理性和可操作性，为关键信息基础设施安全检查评估工作摸索经验。

调查中指出，网络安全技术平台必须具备的8个特性分别是：1. 覆盖电子邮件和Web安全等主流威胁(38%)；2. 集中管理所有产品和服务(33%)；3. 威胁预防、检测与响应能力(31%)；4. 覆盖终端、网络、服务器和云工作负载(27%)；5. 基于云的后端服务，比如分析、威胁情报、特征码/规则分发等等(26%)；6. 开放性，比如开放API、开发人员支持、生态系统合作伙伴等等(22%)；7. 紧耦合产品与服务的组合，比如提供中心命令与控制的产品与托管服务选项(20%)；8. 提供多种部署选项，比如现场部署、云交付、混合部署等(18%)。

在检测到的威胁中（其中55%为木马病毒）存在很多备受瞩目且众所周知的问题，例如TRITON和Mirai，以及Stuxnet的变种，其中Stuxnet（震网）蠕虫就是一种民族国家用来破坏工业运营的攻击类型。

在发现的恶意软件中，9%被设计为直接利用USB协议或接口漏洞，使USB传输更加有效——特别是在较易受USB攻击影响的较旧或配置较差的计算机上。

而有些恶意软件更为先进，会直接攻击USB接口本身：2%与常见的人机接口设备（HID）攻击有关，这会使USB主机控制器误认为存在键盘连接，从而允许恶意软件键入命令并操纵应用程序。

11月13日，全国首个省级安全运营中心—青海省网络安全监测管理中心揭牌仪式在西宁隆重举行。启明星辰信息集团总裁严立介绍到，启明星辰率先提出了“第三方独立安全运营”新模式，并将其确立为了公司的一项重要的战略布局，立足于云计算、大数据、物联网、工业互联网、关键信息基础设施保护、移动互联网等新技术，可为用户提供具有安全监测、安全应急、态势感知、安全防护、安全事件处置能力的平台。“启明星辰集团有幸为青海省网络安全建设工作提供专业的技术保障服务，并能借此为国家网络强国战略做出自己的贡献，感到非常的荣幸。我们也将尽心尽力，发挥自身多年在信息安全领域的积累和实力，助力青海省壮大网络安全实力、培养网络安全人才，为青海省网络安全工作添砖加瓦。”严立表示。

近日，北京圣博润高新技术股份有限公司顺利通过中国网络安全审查技术与认证中心（即原中国信息安全认证中心）的审核，获得三项最高等级的信息安全服务资质（信息系统安全集成、信息安全风险评估、信息安全应急处理）认证证书。

近日，在第五届世界互联网大会举办期间，中国电子科技网络信息安全有限公司（简称中国网安）与俄罗斯卡巴斯基实验室（简称卡巴斯基）在乌镇共同签署战略合作备忘录。根据合作备忘录约定，双方一致同意，在此前开展战略合作的基础上，深化工控安全、威胁情报、安全培训等方面合作，并轮值举办中俄网络空间安全“T3”国际论坛。这是中国网安与卡巴斯基继2015年在第二届世界互联网大会期间首次签订战略合作协议后的全新升级，更是中俄网络安全企业间持续深化交流与互信的合作样板。

近日，北京安控科技股份有限公司中标重点行业工控安全态势感知能力提升工程项目--石油石化行业工控安全态势感知节点应用试点。工控安全态势感知能力是工控安全的基础工作，也是主动防御的重要手段。本项目主要围绕石油石化行业重要工业企业的态势感知需求，支持政治可靠、技术先进、有影响力的相关安全企业或行业系统集成企业，在不少于30个重要石油石化企业部署工业企业侧态势感知节点设备，有效掌握工业企业安全态势和防护现状，并将监测数据汇聚至国家工控安全态势感知平台。国家工业信息安全发展研究中心将组织协同本次中标单位共同建立全国工控安全在线监测网络，开展工控安全态势感知节点应用试点工作，提升工业企业工控安全风险预警和应急处置效率。

近日，360企业安全集团与卓因达科技签署战略合作协议，联合打造更安全、更智能的新一代智慧园区与公共交通自动售检票方案。 卓因达科技与360企业安全集团强强联合，将360企业安全成熟的企业级安全产品和最新的物联网安全技术应用到自动售检票与智慧园区系统中，有效规避来自互联网的各种攻击和威胁，防患于未然，为客户提供更加安全的自动售检票解决方案。

本文提出一种适用于烟草行业的工控系统安全监测与管控方案， 通过将安全监测系统和安全防护网关进行有机联动，识别并预测工控系 统攻击异常事件，并自动生成针对该攻击异常事件的处理规则。同时， 防护网关运用该规则实现异常攻击行为的阻断，大大增强了工控系统安 全防护的可操作性，使异常攻击事件得到及时的响应与处理，提升烟草 行业工控系统安全防护与预警能力，保障安全稳定运行。

随着信息化和工业化的深度融合，工业控制系统在工业生产过程中得到了越来越广泛的应用，很多研究者开始针对工控系统，特别针对工控网络协议的安全性展开研究，模糊测试则是其中较为活跃的领域之一。当前工业控制系统模糊测试方法，模糊数据过于简单随机、对于异常定位精度不高、测试效率低下等缺点，本文结合工业控制系统高实时性和高可靠性的特点，制定基于字段分类的测试用例生成方法和精确的异常定位方法，提出一种针对工业控制系统的模糊测试方法。最后通过工业控制系统常用协议Modbus对该方法进行了仿真实验，实验结果表明本文提出的方法相对于传统模糊测试方法，效率更高，覆盖率更高。

根据卡巴斯基最近发布的一项研究指出，77％的工业环境安全专业人士认为，他们的组织很可能成为网络安全事件的攻击目标；与此同时，48％的受访者表示，他们没有特定的OT / ICS事件响应计划，而31％的受访者表示，他们的组织在2017年经历过一次或多次安全事件。

事实上，任何系统面临的安全性问题，归根结底都由系统所具有的价值而决定。国家基础工业领域中分布着大量工业控制系统，涵盖了电力，石油，交通，水利等诸多方面，在国计民生中占据着重要的地位，其中的数据价值，持续运行价值都不可估量。出现任何安全问题，影响都不容小觑。国内外各行业工业控制系统正受到越来越多的安全关注，也越来越多地成为攻击者的目标。

信息安全风险评估服务是我国信息安全保障工作的重要环节之一，信息安全风险评估技术手段一直为行业内所推崇。目前，因多方面因素影响，信息安全风险评估服务能力的水平在地区、行业间等呈现参差不齐的现象。结合SSE-CMM理论及信息安全风险评估服务的最优实践，提出风险评估服务能力成熟度模型概念，即RAS-CMM。RAS-CMM围绕资源配置、技术过程、项目管理等能力因素对风险评估服务能力等级提出理论评价框架。

6 荐读 | 人工智能时代的国家安全：风险与治理

人工智能正在成为影响未来社会最重要的技术领域，世界各国纷纷出台指导战略，助力人工智能的创新与发展。然而，人工智能作为一项具有颠覆性的技术，其发展过程本身也蕴含着很大的风险与威胁。人工智能技术发展不仅会导致法律、伦理等方面的问题，也会引发国家安全领域的风险与威胁。本文根据人工智能技术和应用的发展趋势，分析国家在不同领域所面对的安全风险，不仅有助于做好安全防范准备，也有助于处理好安全与发展之间的关系。加强对风险的有效应对，可以更好地保障人工智能技术的发展。在此基础上，国家可以从提升风险意识、完善治理体系、加强监管能力和探求国际合作等多方面来构建风险分析和应对框架，提升国家安全的韧性。

7 重磅丨一文看懂网络安全等级保护工业控制系统安全防护技术体系设计

在GB/T 25070中增加的工业控制系统安全设计要求的内容，是在国家标准GB/T25070-2010基础上为适应工业控制新技术、新应用情况下而进行的修订，制定统一的工业控制系统等级保护标准，建立整体安全防护体系及框架，给出了详细、可实施的安全设计要求，可用于指导工业控制系统运营使用单位、信息安全服务机构开展等级保护安全技术方案设计，能够有效应对针对工业控制系统环境的信息安全威胁，保护国家工业控制系统不被非法攻击，保障重要工业控制系统的正常运行，从而确保国家工业基础设施免遭破坏。

8 围观 | 如何治理关键信息基础设施的重要信息资产漏洞？

在网络安全领域，漏洞常被攻击方视为“杀手锏”武器，又被防守方当作“万恶之源”。漏洞本身虽然不产生危害，但一旦被利用，则极有可能带来严重的威胁。关键信息基础设施在数字化、网络化、智能化转型的过程中配置了大量信息资产，其网络体系越来越复杂，漏洞作为“伴生体”所带来的威胁问题日益凸显。习近平总书记曾指出：要全面加强网络安全检查，摸清家底，认清风险，找出漏洞，通报结果，督促整改。如何快速应对漏洞产生的威胁，降低关键信息基础设施网络安全风险，无疑是摆在新时代的一个迫切命题。本文针对某些关键信息基础设施在接报漏洞后面临的处置周期长、资产定位难等问题，进行针对性的调研，探索对其重要信息资产开展漏洞治理的工作，并总结了一些实践经验与同行同业分享和探讨，以期抛砖引玉。