2026-10-06 04:54:48 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 文章分析安全建设规划落地难的三大关卡：零信任需重构访问逻辑而非采购设备、SOAR自动化仅覆盖三到四成告警、预算分配比总额更关键。建议先用3个月完成资产盘点、漏洞修复闭环、EDR覆盖核心服务器三件地基工作，再推进上层建设。 综合评分： 88 文章分类： 安全建设,安全运营,解决方案

安全建设规划书为什么一落地就卡3关

宝十八宝十八

网络安全老宋

2026年10月5日 12:00 山东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

导语： 你好，我是网络安全老宋。安全攻防干货准时送达！

网络安全老宋// 安全运营 · 行业观点

// 安全运营 · 行业观点

安全建设规划书为什么一落地就卡3关

规划书里写的是「应该有多安全」，真正难的是「今天先保住哪一块」。

目录 · Table of Contents

01第一关：零信任不是买套设备

02第二关：SOAR 不是上了就自动

03第三关：钱怎么分，比花多少更关键

04落地清单：先用 3 个月做 3 件事

🔑 一句话精华：规划书里写的是「应该有多安全」，真正难的是「今天先保住哪一块」。

上个月帮一家制造企业过等保，对方甩来一份 60 多页的《信息安全技术建设方案》——纵深防御、零信任、EDR、数据全生命周期、SOC/SOAR、漏洞全流程管控，12 个月工期，KPI 写着「攻击拦截率≥99.9%、高危漏洞 72 小时修复率 100%」。

我看完的第一反应是：写得很专业，但落地时大概率会卡壳。

不是方案不对，是方案把「理想态」写得太满，把「先做什么」写得太轻。甲方真正的敌人从来不是没有规划，而是规划一落地，预算、人手、优先级就缠在一起打架，最后漂亮的 KPI 停在 PPT 上。

▲ 设备堆得再满，账号和权限没理顺，中间永远隔着一条缺口

01第一关：零信任不是买套设备，是重构访问逻辑

很多甲方一听「零信任」就两眼放光，觉得终于能一次性解决内网横移的问题。转头就找厂商要报价，NAC、可信网关、微隔离一套配齐，以为上线就是终点。

说句实话，这思路本身就错了。

Gartner 早几年预测，到 2025 年会有 60% 的组织采用零信任原则，可同一批数据也承认，超过一半的组织没能真正从中获得收益。Forrester 的 TEI 研究更直白：零信任要看到正向投资回报，普遍得熬过 18 到 24 个月。它不是买了就灵的开关，是先把「谁在什么条件下能访问什么」这件事想清楚、理顺、再逐步收紧的长期工程。

为什么这么难？因为身份才是主战场。Verizon 的《2024 数据泄露调查报告》里，74% 的泄露都牵扯到凭据泄露——账号密码、令牌、会话被拿走，攻击者根本不需要「攻破」什么，他直接「登录」进来了。微隔离能把单点失陷的爆炸半径压掉 80% 到 95%，IBM 2024 年的研究也显示，成熟的零信任能把泄露成本降低 43%。这些数字都很诱人，但它们的前提是你先把身份梳理和最小权限做了。

💡 老宋的判断：零信任第一步不是采购，是「资产归谁、账号归谁、权限给到什么程度、出问题怎么兜」。账号体系都没理顺，设备铺得越满，反而越乱。

02第二关：SOAR 不是上了就自动，剧本只覆盖三到四成

第二件甲方容易上头的事，是 SOAR。

「自动化处置」这四个字太香了，听起来等于少雇三个人。规划书里 SOAR 往往写得气吞山河：告警进来，剧本一跑，工单自动派，高危自动隔离，简直无人值守。

现实很骨感。行业里有个被反复验证的数字：纯靠静态剧本，能自动处理掉的告警通常只有 30% 到 40%，剩下六成以上还得人看。把 SOAR 真正养到成熟，自动化率能拉到 60% 到 80%，但这个过程普遍要 12 到 18 个月，不是部署完那天就生效。

更扎心的是行业态度。CISA 和 NSA 在 2025 年的联合指南里明确点名：SOAR 不能「设完就撒手」。Gartner 2024 的成熟度曲线，干脆把 SOAR 放进了「幻灭谷底」——意思是炒作过热、期望落空、正在被重新审视。

问题出在哪？SOAR 是放大器，不是源头。它放大的，是你喂给它的告警质量。告警没先收敛、没先分级、没先由人工定好规则，就急着上 SOAR，等于雇了个不知疲倦的机器人，专门帮你自动发更多误报工单。告警风暴没被压住，反而被自动化放大了。

03第三关：钱怎么分，比花多少更关键

前两关是技术认知的坑，第三关是钱的坑——而且这个坑更隐蔽。

Gartner 的数据摆在那：2025 年安全支出占 IT 预算的比例到了 13.2%，而 2020 年才 8.6%；全球信息安全支出 2025 年大约 2120 亿美元，同比增长 15.1%。钱在往安全这流，这是好事。

但流得猛不代表花得对。老宋见过太多单位，预算一下来，先冲着「听起来最先进」的方向砸——零信任平台、SOAR、态势感知大屏，一样不落。等到要落地，发现最该先做的三件地基活还没动：资产都没盘清、漏洞修了没人验、核心服务器连 EDR 都没装。

| | | | | — | — | — | | 方向 | 占比 | 说明 | | 预防 | 40% | 先把基础的门堵上，排第一的不是最贵的望远镜 | | 检测 | 25% | 看得见，才谈得上处置 | | 响应 | 20% | 出事时有章法，不靠临时发挥 | | 治理 | 15% | 制度与流程兜底，人不在线时也有底线 |

▲ 一个相对稳妥的安全预算分配参考框架

▲ 先打地基再盖楼：上层建筑再先进，地基漏风也是摆设

花错地方的钱，不是投资，是安慰剂。

04落地清单：先用 3 个月做3 件事

上面三关听着吓人，其实解法不复杂——把顺序摆正就行。老宋的建议是，别一上来就铺宏伟蓝图，先用 3 个月把这三件事跑通：

| | | | — | — | | R1 | 资产与暴露面盘点不知道自己有什么，就谈不上防护。先把有哪些服务器、哪些系统、哪些端口对外、哪些账号在用盘清楚，哪怕拿 Excel 记也行。 | | R2 | 漏洞修复闭环发现→定级→修复→验证，先在一个小范围里把这条链路跑顺。别追「72 小时修复率 100%」这种漂亮数字，先让「发现的问题真的被修掉」成为常态。 | | R3 | EDR 覆盖到核心服务器先让核心资产「看得见」，能报警、能回溯，再谈「杀得掉」。 |

这三件地基做扎实了，再上零信任、再上 SOAR，顺序对了，上面那两层才接得住。顺序反了，前面漏风，后面再贵也是摆设。

// 老宋说：这不是某一家的个案，是一类甲方规划的通病——我们总把「写了多全」当成「能做到多好」，把「设备清单」当成「防护能力」。只要预算还在往最上层的花活里灌、最底下的盘点和闭环却没人管，这套规划书就永远停在 PPT 上。对读者一句实在话：下次拿到一份漂亮的安全建设方案，先别急着批预算，翻到「前三个月先做什么」那一页，如果那里是空的，这份方案离落地还差得远。先把资产盘清、漏洞跑通闭环、核心资产装上 EDR，这三件今天就能动手，别等。