創新構建工作體系保障網絡與信息安全

江蘇省郵電規劃設計院有限責任公司│袁小明

創新構建工作體系保障網絡與信息安全

江蘇省郵電規劃設計院有限責任公司│袁小明

電信運營企業作為國有大型基礎電信設施的建設者、提供者、運營者，所建設和運營的信息通信網絡設施是經濟社會運行的神經中樞，其網絡上承載著國家、企業和用戶的重要信息，也是可能遭到重點攻擊的目標。

隨著信息技術和互聯網的快速發展，網絡與信息的安全威脅和風險也日益突出，我國已將網絡與信息安全上升到國家安全的戰略高度，習近平總書記在2016年4月19日召開的“網絡安全和信息化工作座談會”上進一步強調“網絡安全和信息化是相輔相成的”、“安全和發展要同步推進”、“加快構建關鍵信息基礎設施安全保障體系”。

電信運營商網絡與信息安全的內涵和外延也發生了很大變化，面臨著前所未有的挑戰和威脅，同時由于涉及面廣、變化快、新技術及新業務層出不窮、基礎較薄弱等因素，網絡與信息安全工作尚處于被動的“應急救火”階段，亟需構建適合電信運營商特點的網絡與信息安全體系，從使命、對象、能力、基礎等4個層面出發，解決“為什么、保護誰、怎么做、如何保障”等4類問題，從而有效指導整個企業的網絡與信息安全工作。

使命遠景：肩負三大使命

1.貫徹落實黨和國家戰略

面對復雜嚴峻的網絡安全形勢，數十個國家已頒布網絡空間國家安全戰略，我國也高度重視。2013年11月12日成立“中國共產黨中央國家安全委員會”，明確信息安全是國家安全體系的重要組成部分。2014年2月27日，成立中央網絡安全和信息化領導小組，該領導小組著眼國家安全和長遠發展，統籌協調各個領域的網絡安全和信息化重大問題，研究制定網絡安全和信息化發展戰略、宏觀規劃和重大政策。黨的十八屆五中全會、“十三五”規劃綱要對實施網絡強國戰略作了部署。電信運營企業作為國有大型基礎電信設施的建設者、提供者、運營者，所建設和運營的信息通信網絡設施是經濟社會運行的神經中樞，網絡上承載著國家、企業和用戶的重要信息，也是可能遭到重點攻擊的目標，電信運營企業必須切實貫徹落實好國家有關網絡與信息安全的政策要求，做好網絡與信息的安全防護。

2.保障和促進企業發展

電信運營企業作為信息化主力軍，運營的網絡是企業乃至國家和社會的信息化、互聯網正常發展的重要基礎，隨著運營企業互聯網化、戰略轉型的深入推進，新興業務快速發展，各類用戶規模增長，網絡平臺更加開放，數據量爆炸式增長，面臨的網絡與信息安全風險和挑戰愈加突出，用戶信息泄露、信息數據被截取、內容涉黃涉暴等網絡與信息安全事件層出不窮，造成業務下線、網站關停等嚴重影響企業業務發展的后果，亟需網絡與信息安全為企業保駕護航。

同時，電信運營企業也可利用當前社會對網絡與信息安全空前關注的機會，化壓力為動力，化危機為機遇，將企業的網絡與信息安全的能力轉化為對外的安全服務和產品，形成市場競爭新優勢，促進企業發展。

3.履行企業社會責任

正如很多新型技術都是“雙刃劍”一樣，互聯網也未能幸免。快速發展的互聯網越來越成為人們學習、工作、生活的新空間，在給我們帶來便利的同時，網絡詐騙、虛假廣告、涉黃、涉暴等負面現象也接踵而至。電信運營企業作為國有大型企業，尤其要率先履行社會責任，堅持經濟效益和社會效益并重，在企業經營過程中，要擔起社會責任、道德責任，確保網絡與信息安全，營造一個氣朗風清、健康的網絡空間。

保護對象：保障兩類安全

網絡與信息是企業的資產，具有極其重要的價值，必須保證其安全。網絡安全是指網絡的硬件、軟件及其系統不因網絡攻擊、非法入侵等原因而遭到破壞，網絡連續可靠正常運行，服務不中斷，網絡安全主要有主機安全、操作系統安全、數據庫安全、配置安全、物理環境安全等。信息安全是指網絡承載的業務、數據、內容、用戶信息及其交互的安全，在整個運營過程中不被非法篡改、泄露，具有完整性、保密性、可用性和合法合規性。

網絡安全側重于網絡環境的安全，是對異常、濫用行為的監測和防控，是信息安全的基礎，是保護信息安全的重要手段。信息安全側重于信息產生、存儲、傳輸、處理等過程的安全，是網絡安全的價值體現和工作目標，兩者互相作用，相輔相成。

能力建設：提升四大能力

1.可靠的防護能力

防護能力是指采取手段與措施，使得企業的網絡、信息系統具備防范、抵御各種已知的針對網絡與信息安全威脅的能力。鑒于互聯網的開放性與安全的短板效應，在開放的網絡空間環境下，社會主體需要對自身的網絡與信息進行必要的防護，事先采取各種管理與技術措施，對潛在的威脅進行可靠的預防，確保網絡與信息的保密性、完整性、可用性、不可抵賴性、可靠性。

圖 運營商網絡與信息安全工作體系

2.精確的感知能力

感知能力是指采取手段與措施使得網絡與信息系統具備監測、分析和預測各種已知或未知的、潛在與事實上的針對網絡與信息安全威脅的能力。對網絡與信息進行安全監測，對現有事件進行告警和說明，及時發現，同時對資產數據、配置數據、漏洞數據、內外部威脅數據和事件數據等進行收集和梳理，在此基礎上進行特征歸納，分析這些安全事件背后的意義，并找出有意義的指標和參數，最后再根據這些指標變化來預測未來的趨勢和變化，這些變化對企業有什么影響，同時還要提出應對建議。

3.快速的處置能力

處置能力是指采取手段與措施，使得網絡與信息系統針對所出現的各種突發事件，具備及時響應、處置網絡與信息系統所遭受的攻擊、恢復網絡與信息系統基本服務的能力。處置能力包含建立應急響應體系，企業須按照“平戰”結合的原則，積極做好網絡與信息安全事件的應急預案及演練、報告制度、保障工作，以便在事件出現時能夠及時響應，針對攻擊事件進行有效處置，以防止事態的進一步惡化，面向攻擊所出現的故障確保恢復，從而將損失降到最低限度。

4.準確的溯源能力

溯源能力是指采取手段與措施，確定網絡攻擊者身份或位置信息及其中間介質的能力，身份信息包括攻擊者名字、賬號或與之有關系的類似信息；位置信息包括其地理位置或虛擬地址，如IP地址、MAC地址等。追蹤溯源過程還能夠提供其他輔助信息，比如攻擊路徑和攻擊時序等。管理者可使用追蹤溯源技術定位真正的攻擊源，以采取多種安全策略和手段，從源頭抑制，防止網絡攻擊帶來更大破壞, 并記錄攻擊過程, 為司法取證提供必要的信息支撐。通過溯源，可以確定攻擊源,制定實施針對性的防御策略；采取攔截、隔離等手段,減輕損害,保證網絡平穩健康地運行；記錄攻擊過程, 出現安全問題時提供依據與手段，具有可審查性；同時，準確的溯源能力將對網絡攻擊者或潛在攻擊者產生極大的威懾力。

基礎保障：健全四大體系

1.完善的規范體系

電信運營企業的網絡與信息安全保障工作尚處于起步階段，規章、制度還不夠完善，缺乏可落地執行的結構化、層次化、可擴展的標準規范。結合國內外標準和電信運營企業特點，可從管理和技術兩個維度，構建自上至下的四層安全管理規范體系模型。第一層是總綱，涉及網絡與信息安全工作的范圍、原則、目標和策略，具有總體指導意義；第二層是對總綱的分解，側重于管理制度和技術規范，對安全工作具有實際的指導作用；第三層是根據不同類型的網絡和應用環境，統一制定的具體細則、流程和規范；第四層是操作層面，結合企業各部門的實際及具體的網絡和應用系統，分別制定詳細的操作步驟與配置方法。

2.順暢的實施體系

由于企業的網絡與信息安全工作包括計算機科學、網絡技術、通信技術、密碼技術、信息安全技術等眾多專業，涉及電信運營企業后端網絡的建設、維護與管理支撐，以及前端的市場銷售等各環節，往往某類信息的安全防護、安全事件的處置等均需要多專業配合、多部門協同，因此，網絡與信息安全需要一套包含工作機制和工作流程在內的順暢的實施體系，明確牽頭、歸口、操作部門的分工界面及職責劃分，將網絡與信息安全管理嵌入到企業生產流程的各個環節，確保企業網絡與信息安全工作縱向和橫向協同推進，順暢實施。

3.有效的監督體系

電信運營企業當前的網絡與信息安全工作存在安全意識薄弱、工作執行打折扣、整改落實不到位等現象，為確保網絡與信息安全工作的推進落實不走樣、不打折，需要一套有效的監督體系，監督措施主要包括檢查督促、考核獎懲、管理和技術審計、風險評估等手段。

4.有力的保障體系

管理和技術的有效實施，最終都依賴于各種相關的資源保障，需要有力的保障體系支撐。保障措施主要包括組織機構、人員配備、教育培訓、安全意識宣貫、管理信息化支撐手段、資產管理、信息報備、特殊通信、重要時期網絡與信息安全保障等內容。

通過以上分析，我們基本構建了適合電信運營企業網絡與信息安全的工作體系（見圖），明確了企業所肩負的國家政策、社會責任、企業發展等三大使命，保障網絡與信息兩類安全，提升網絡與信息安全的防護、感知、處置、溯源四大能力，健全規范、實施、監督、保障等四大體系。

編輯｜黃海峰 huanghaifeng@bjxintong.com.cn