大數據背景下政務平臺網絡安全管理策略研究

劉春

一、政務平臺網絡安全的時代背景和安全挑戰

（一）政務平臺安全建設依附的時代背景

電子政務是我國深化行政管理體制改革，推進“互聯網+政務”的重要舉措和國家信息化推進的戰略重點之一。政務平臺是電子政務的重要組成部分，是支撐“互聯網+政務”的載體。高效、穩定的政務平臺安全體系是政府推行“互聯網+政務”的基礎。

近年來，黨中央、國務院高度重視信息安全建設。2016年4月19日，在中央網絡安全和信息化領導小組第一次會議上，習近平總書記以“沒有網絡安全就沒有國家安全，沒有信息化就沒有現代化”的清晰戰略，提出了建設網絡強國的戰略目標。

黨的十九大報告指出，世界多極化、經濟全球化、社會信息化、文化多樣化深入發展，網絡安全等非傳統安全威脅持續蔓延，人類面臨許多共同挑戰。報告同時指出，我們黨要全面增強執政本領，善于運用互聯網技術和信息化手段開展工作。

（二）大數據背景下政務平臺面臨的安全挑戰

當前，政務平臺通過資源集約化建設和數據集中化存儲，形成了省級政務平臺自然人、法人和其它社會組織的各類敏感數據大集中，經過對大數據技術的有效治理和融合應用，能有效地提升人民群眾的辦事效率和政府的決策水平，為強化服務型、高效型政府機關建設奠定了基礎。與此同時，政務平臺也面臨著外部巨大的安全挑戰。

一是網絡攻擊手段多樣化，在網絡安全形勢日趨嚴峻的今天，除了傳統的SQL注入、XSS、DDOS攻擊外，針對政府部門數據平臺的APT攻擊、精準式網絡攻擊也愈演愈烈；二是木馬病毒猖獗，木馬病毒是近現代網絡技術發展的衍生物之一，有的病毒在進入宿主電腦后，竊取各種重要信息，甚至破壞電腦數據；三是網絡戰武器平民化，2016年不法分子竊取了美國NSA的網絡武器，制作的勒索病毒攻擊了150多個國家，被攻擊用戶硬盤中的數據被加密鎖定并被勒索，類似的網絡攻擊有常態化趨勢；四是網絡攻擊組織化，在網絡安全法規寬松的國家里，黑客組織公司化，形成了制造、傳播、盜竊賬戶、第三方平臺銷贓、洗錢等分工明確、結構完整的黑色產業鏈。

二、當前政務部門網絡安全管理現狀及問題

為有效開展重慶市某重點信息化項目二期工程網絡安全建設和運維工作，筆者于近期分別調研了6家擁有大規模敏感數據的代表性市級部門。通過調研發現，相關市級部門在網絡安全建設和運維工作中有共同點和有特色之處，也存在一些問題。

（一）網絡安全現狀

各部門的共同點是，政務平臺的業務系統繁多，從100至300余個不等；政務平臺均部署在政務云上；業務系統數據規模大，均歸集了各類自然人、法人和其它社會組織敏感信息上億條甚至幾十億條，各類結構化和非結構化數據達到30TB至3PB不等；均開展了大數據技術應用。安全建設均采取或準備采取頂層設計，采用多樣化的網絡安全產品。

各部門的特色是，甲單位的安全制度相對完善，其內外網之間數據交換模式，將網絡設計管理、審計與網絡運維分成獨立且相互制約的三個小組，構成管理閉環，以技術加平臺的方式開展日常運維，同時通過合同約定對違規情形進行經濟懲罰；乙單位建成的“政務平臺云運行監管系統”，對網絡環境和安全狀況進行實時監測和報警；丙單位將運維與網絡安全檢測分離，定期召開三方運維工作會；丁單位制定應急預案、開展應急演練，對系統源代碼、標準接口和開發文檔進行綜合集成管理；戊單位信息安全建設由本單位專業人員發揮核心作用，嚴控軟件開發管理流程，軟件上線前通過3道測評關口。己單位在辦公電腦上安裝“預防一機兩用”監控系統，實時監測電腦是否有連接互聯網的情形，對違規訪問的電腦自動強制關機，事后對當事人紀律處罰等等。

（二）網絡安全存在的問題

當前，相關市級部門的政務平臺在建設和運維過程中，除了面臨外部巨大的安全挑戰外，在內部還存在較大的安全隱患和問題，具體表現在兩個方面。

1、網絡安全建設問題

一是平臺建設只注重功能而忽視安全。政務平臺普遍只注重可用性，而忽略了安全性。需求調研局限于功能調研，網絡安全建設僅靠安全產品的簡單堆砌，平臺數據安全主要依賴于開發人員的個人素養，導致平臺代碼混亂，存在許多原生安全問題。

二是注重形式防護而忽視安全本質。部分市級部門簡單地將安全設備的投入與網絡安全建設劃等號，在平臺建設初期對網絡安全非常重視，投入較多的硬件，開展了信息安全等保測評，但在平臺運行的過程中卻忽視信息安全防護，缺乏日常安全運行管理，致使政務平臺的信息安全問題不能及時發現并解決。

三是注重數據大集中而忽視數據泄露風險。大數據技術和設備的集中化管理成為政府政務平臺建設的主流技術和模式，但大數據安全防護技術發展的滯后也增加了平臺的信息安全隱患，集中化管理設備如果缺乏定期的維護升級，反而可能成為攻擊者集中獲取權限擴大戰果的突破點。

2、網絡安全運維問題

一是由非專業團隊負責網絡安全運維。部分政務平臺將安全運維整體承包給軟件開發企業或系統集成商，甚至是安全設備廠商。這類企業重點保障了信息系統的可用性，滿足功能和性能上的需求，但由于缺乏專業化網絡安全團隊的運維支撐，信息系統的安全性、信息系統抗抵賴性無法保障；由于缺少監督和競爭，導致安全服務被承包商“綁架”，運維質量下降；承包商人員全面接觸到核心數據后，主動泄露數據或開“后門”風險加大。

二是安全運維管理不專業不到位。一些政務平臺隔離策略不嚴格，沒有嚴格的訪問控制（ACL）策略，且辦公網和互聯網之間大部分相通，DMZ區和辦公網之間缺少足夠的隔離措施，網絡區域劃分不嚴格致使攻擊者直接獲取平臺數據；通用中間件未修復漏洞較多，大多數政務平臺使用的Weblogic、Websphere、Tomcat、Apache、Nginx、IIS等中間件存在較多漏洞，如果不能及時修補，極易被惡意攻擊者利用，作為內網滲透的突破點，實現非法登錄和遠程控制，造成巨大的風險隱患。

三是管理機制不健全安全意識淡薄。部分部門安全制度不完善、落實不到位，一些管理人員安全意識淡薄、能力不足。內部管理的疏漏，為平臺開發和運維人員有意或無意的破壞系統安全、泄露數據行為提供了天然的土壤，致使政務系統時常出現互聯網出口多、曝露面大、安全策略只開不收、使用非專用設備登入系統、安全管理盲點較多等等問題；平臺出現故障后又互相推諉，責任認定困難，事后總是不了了之。

三、加強政務平臺網絡安全防御策略

政務平臺是支撐“互聯網+政務”的基礎，平臺的網絡和信息安全責任重大，我們應充分借鑒和吸收相關市級政務平臺的經驗教訓，建立面向大數據的網絡與信息安全策略，開展網絡安全建設與運維工作。

（一）聘請專業化公司負責網絡安全建設和運維

1、本地專業化網絡安全公司與設備廠商比較

相比本地專業化網絡安全公司，讓設備廠商直接從事網絡安全建設和運維工作存在四個方面的問題：一是安全廠商以多賣設備為目標，容易造成安全產品的堆砌；二是各安全廠家都有自己優勢領域的產品，由安全廠家做建設，只會推薦自家產品，不會選擇對手更優質的產品，造成花相同的錢，選擇了較弱的設備；三是安全鏈為同一品牌，缺乏安全異構，若某品牌的一個產品被攻陷，極易造成該品牌的系列產品均被攻陷；四是安全廠家總部不在本地，辦事處技術人員以產品安裝調試為主，對網絡安全事件的應急響應能力較弱。

而專業化、有經驗的網絡安全服務公司，在合同和經濟手段的約束下，能夠站在用戶角度，以優化精簡方式進行網絡架構設計和產品選型，選取多家安全廠家的優勢產品，組成高效、異構化的安全防護鏈，監督廠家將產品功能進行最優化配置，督促業務系統開發商強化系統安全，能夠為用戶提供更優質的服務，更多地分擔用戶的安全壓力。

2、專業化安全服務商與系統集成商比較

傳統系統集成商與專業化網絡安全服務商的區別在兩個方面：

一是服務范圍不同。系統集成商提供的運維服務主要包括故障排查，設備狀態、性能巡檢、服務器補丁升級，采用用戶設備進行漏洞掃描；而安全服務商的服務除了以上內容外還包括：安全事件的應急響應與溯源取證，全方位安全巡檢，采用多種自備異構掃描工具定期安全掃描與脆弱性檢查，服務器安全基線加固，定期的漏洞挖掘與滲透測試，應急演練與專業化安全攻防對抗演習，安全規劃與安全咨詢，體系化的安全管理制度的制定，業務系統上線前安全評估等；

二是對安全設備的熟悉程度不同。集成商一般較熟悉網絡設備、服務器，在安全設備方面對產品廠家依賴性強；安全服務商對主流安全設備比較熟悉，既可以在設備選型時提供專業建議，又可以對設備功能進行優化配置。

綜上，建議單獨聘請專業化網絡安全服務商負責政務平臺的網絡安全運維工作。

（二）將安全運維與網絡安全等保測評有機結合

安全運維工作與網絡安全測評，是否統一還是獨立開展各有優劣，比較如下。

1、將安全運維與網絡安全測評事項合并的好處

委托一家專業安全服務商合并開展系統安全運維服務和等級保護測評，主要有以下優勢：

一是可將業務系統建設與等保測評有機結合，在業務系統和網絡安全運維初期，以等保2.0標準，為系統建設提供管理咨詢、安全評估、滲透測試、代碼審計、安全加固、應急響應等多項增值服務，讓業務系統建設少走彎路；二是可在測評過程中得到更專業的配合，等級保護測評涉及幾百個測評項，安全服務商對標準理解更透徹、更有經驗，能迅速協助用戶找到測評項應對措施和問題的解決辦法，避免因對標準的理解差異而造成測評的重復工作；三是可分擔用戶安全壓力，安全測評前后，服務商能站在用戶角度規范業務系統建設，以專業的角色作為測評過程監督人員，規范測評過程，減少測評對業務的影響，保證測評質量；四是可以減少一次招投標的流程，節省時間和經費。

2、將安全運維與網絡安全測評事項分離好處

將安全運維與網絡安全測評事項分離，讓第三方測評團隊開展定期安全檢測，獨立地開展等保測評，一方面有效避免因網絡安全運維團隊的能力不足、思維盲區或工作疏漏所導致的安全漏洞或安全事故；另一方面，能有效形成對網絡安全運維團隊的監督機制，避免在網絡安全運維的事務決策上形成壟斷。

綜上分析，建議對網絡安全隊伍薄弱的政務用戶，在網絡安全外包服務探索階段，將安全運維與等級測評分項外包，減少項目風險。經過一兩年考察并選定優質服務商后，再將上述事項合二為一，以優化項目管理流程，節省管理成本。

（三）強化網絡安全制度建設

針對政務平臺建設，應建立一套完整的網絡安全管理制度，根據網絡安全三同步原則，將網絡安全管理涵蓋政務平臺建設和運維的全生命周期，讓安全管理制度“長出牙齒”。

一是將安全責任落實到人。通過合同約定，強制各服務單位建立駐場人員的管理制度，強化軟件開發、系統集成、安全運維等人員的安全管理。在合同中約定違規情形的經濟懲罰手段；同時，明確用戶方各類管理人員的崗位職責和安全責任。

二是建立系統建設管理制度。制定軟件開發管理制度，定義從系統規劃到測試驗收等各個流程安全管理規范，明確開發過程的控制方法和人員行為準則；對系統源代碼、標準接口、開發文檔進行綜合管理；在程序上線前對安全功能、風險狀況進行評估。

三是建立網絡安全運維管理制度。明確安全保障的常規措施和重保措施，界定邊界安全、網絡安全、云數據中心安全和終端安全范圍，規范網絡安全配置、日志保存時間、安全策略、升級與打補丁、口令更新周期、惡意代碼防范管理、系統變更管理、備份與恢復管理等網絡安全相關行為。

四是做好應急預案。在統一的應急預案框架下制定不同事件的應急預案和處置流程，定期針對各類不同應急預案進行演練，根據不同的應急恢復內容，確定演練的周期，并根據演練結果和實際情況定期更新應急預案。

（四）加強對系統建設單位的管理

政務用戶應從以下三個方面加強對系統建設單位的管理。一是加強外部人員的上崗管理，簽訂三方保密協議，規定保密時效以及相應違約責任；二是加強軟件開發過程管理，按照制定的系統建設和運維管理制度，開展軟件開發全流程管理，嚴控項目進度，提升項目建設質量；三是充分借助第三方力量，分擔業主壓力。選擇一家有豐富經驗的第三方安全管理團隊和項目監理單位，充分借助專業化團隊的力量，輔助用戶對政務平臺建設單位進行全方位監督，分擔用戶的安全與管理壓力。

（五）建立政務平臺態勢感知和運行監管系統

為應對大數據環境下政務平臺面臨的各類網絡安全威脅，需要定制開發建設一套面向全局的態勢感知和綜合監管系統。系統應充分利用大數據安全感知技術，針對在政務平臺上部署的所有軟硬件網絡安全資源，全方位采集并記錄軟硬件設備的運行狀態和運行日志；對各類設備產生的海量日志進行高性能關聯分析和智能化處理；通過分析處理捕獲真實威脅來源，避免假威脅錯報和真威脅漏報發生；通過建立一套標準化、可度量的安全態勢評價指標體系，客觀、全面、準確地刻畫政務平臺安全態勢，對各種異常狀態和網絡威脅進行分類、分級報警。系統應建立可視化平臺和報警機制，快速定位風險源和各類威脅點，厘清各類威脅和故障的責任單位，杜絕責任不清、互相推諉的情形產生，讓網絡安全管理直觀化、責任明確化。

作者單位：重慶市綜合經濟研究院