互聯網新技術新業務安全評估在電信運營商的探索實踐

寇金鋒 張云勇 陶 冶 劉 鏑 閆 碩

1 北京郵電大學 北京 100876

2 中國聯合網絡通信有限公司 北京 100033

3 中國聯通研究院 北京 100176

引言

伴隨著信息通信產業的快速發展，各種方便快捷的互聯網應用正以前所未有的速度改變著當今社會的生產生活方式。與此同時，基于互聯網的信息安全風險也隨之誕生，數據泄密、電信詐騙、病毒攻擊等安全事件頻發且愈演愈烈，對用戶利益、社會穩定乃至國家安全產生了嚴峻威脅。

2016年8月，由移動互聯網系統與應用安全國家工程實驗室組成的專門檢測團隊，對88個互聯網金融類移動APP進行了深入測試，發現了包括信息數據明文發送、通信數據可解密、敏感數據本地可破解、調試信息泄露、敏感信息泄露、密碼學誤用、功能泄露、可二次打包、可調試、代碼可逆向等十大安全隱患。

面對如此嚴峻的安全形勢，為了進一步促進互聯網行業健康有序發展，維護國家安全和社會穩定，保障用戶合法權益，加強互聯網新技術新業務安全管理，工業和信息化部出臺了《互聯網新技術新業務信息安全評估管理辦法》[1]，要求對有可能引發信息安全風險，對國家安全、社全穩定和用戶權益產生重要影響的互聯網新技術新業務組織開展安全評估[2-5]。其中新技術新業務具體指各電信企業(含互聯網企業)提供的具有新功能或新使用價值的技術業務，包括未上線新技術新業務、新上線新技術新業務(一年內)以及已有技術業務的新增功能。

1 安全評估介紹

互聯網新技術新業務安全評估(以下簡稱“安全評估”)是指運用科學的方法和手段，系統地識別和分析互聯網技術、業務、應用等可能引發的信息安全風險，評估信息安全事件一旦發生可能造成的危害程度，評估企業配套的信息安全保障能力是否能夠將風險控制在可接受的水平，提出有針對性的預防信息安全事件發生的管理對策和安全措施，為最大限度地保障互聯網技術、業務、應用的信息安全提供科學依據[1，6]。

安全評估的對象是基礎電信企業及增值電信企業運營的互聯網技術、業務或應用，當滿足以下任一情況時應及時啟動安全評估[1，6]。

1)互聯網技術、業務或應用上線前(含合作推廣、試點、試商用)；

2)互聯網技術、業務或應用在運營階段出現基礎資源配置、技術實現方式、業務功能或用戶規模等發生較大變化時；

3)應行業主管部門要求，或行業主管部門規定的其他情況。

其中基礎資源配置發生較大變化是指IP地址、域名等網絡資源的分配方式發生較大變化；技術實現方式發生較大變化是指采用新技術、或技術升級改造、或網絡拓撲結構發生較大變化、或網絡設備升級改造等情況；業務功能發生較大變化是指互聯網技術、業務、應用的信息產生方式、傳播渠道、傳播方式發生較大變化等情況；用戶規模發生較大變化包括互聯網技術、業務、應用的用戶數量發生較大變化，或接入網站的數量發生較大變化。

2 安全評估實施過程

如圖1所示，互聯網新技術新業務安全評估過程的實施，主要分為四個階段：1)成立業務安全評估小組；2)對業務進行安全風險評估；3)對企業進行安全保障能力評估；4)進行安全評估總結。

2.1 成立業務安全評估小組

根據業務具體情況，由業務相關部門共同選派人員組成安全評估小組，負責整個安全評估過程的實施，并出具最后的安全評估結論。一般情況下，安全評估小組成員包括但不限于以下部門：業務開發部門、業務運營維護部門、市場部、客服部、第三方合作單位等。

2.2 業務安全風險評估

圖1 互聯網新技術新業務安全評估流程圖

業務安全風險評估分兩步進行：首先，由業務部門準備業務相關材料；然后，召開安全評估會議，由安全評估小組共同討論，對業務風險進行研判。一般情況下，需要準備的業務材料包括但不限于：1)業務基本情況，包括業務功能、技術實現方式、市場發展情況等；2)企業安全保障情況，包括制度管理文件、日常保障機制、應急保障機制等。

根據業務具體情況，安全評估小組制定與業務相適用的安全評估體系，重點評估業務應用安全、業務平臺安全、業務運行安全三方面的信息安全風險。其中業務應用安全主要關注用戶、信息內容、信息載體、信息生成、信息傳播、信息接收、信息留存等方面。業務平臺安全主要關注設備位置分布、資源調度方式、開放接口等方面。業務運行安全主要關注個人信息安全、業務邏輯安全、邏輯信息管理安全等方面。具體見表1～表3中所示。

2.3 企業安全保障能力評估

針對每一項評估指標，安全評估小組通過文檔分析、人員訪談、系統測試等方式深入了解業務實際情況，分析研判可能存在的信息安全風險。最后，安全評估小組對所有的信息安全風險進行匯總，形成業務安全風險分析報告。

表1 業務應用安全風險評估指標

表2 業務平臺安全風險評估指標

表3 業務運行安全風險評估指標

企業安全保障能力評估重點研判企業配備的安全保障機制是否充分，是否能夠滿足業務應用安全保障基線、業務平臺安全保障基線、業務運行安全保障基線三方面的要求。具體見表4～表6中所示。

針對每一項評估指標，安全評估小組通過文檔分析、人員訪談、系統測試等方式深入了解企業安全保障情況，分析研判企業保障措施是否能夠有效降低信息安全風險。最后，安全評估小組對企業安全保障能力進行分析匯總，形成報告。

表4 業務應用安全保障基線評估指標

表5 業務平臺安全保障基線評估指標

表6 業務運行安全保障基線評估指標

2.4 安全評估總結

安全評估小組基于業務風險評估中識別出的信息安全風險，結合企業安全保障情況，分析判斷企業安全保障能力是否能夠使業務安全風險可管可控。如果認為企業安全保障能力缺失或不足，應作出分析和建議，為企業防范和整改提供參考。

3 電信運營商應對策略及建議

互聯網新技術新業務引發的信息安全風險日益突出，這對于目前正在勇敢嘗試互聯網化[7-10]的電信運營商來說，是一件非常嚴峻的挑戰。為防范互聯網新技術新業務信息安全風險，保障互聯網新技術新業務健康有序發展，進一步推進企業互聯網化進程，電信運營商應高度重視互聯網新技術新業務安全評估工作，具體策略及建議如下。

1)建立健全安全評估管理體系。電信運營商應建立健全新技術新業務安全評估管理體系，完善安全評估管理辦法和實施細則，使安全評估工作逐步制度化、規范化；建立新業務“未評估通過不得上線”的保障機制，以及存量業務定期核查機制；將安全評估工作納入企業績效考核，完善安全評估工作獎懲機制。

2)加快安全評估隊伍建設。電信運營商應加快安全評估隊伍建設，設置安全評估專崗，統籌負責安全評估工作；組建安全評估專家庫，儲備高級人才，支撐重大事件及決策；定期組織培訓，加快安全評估人員整體能力提升。

3)推進安全評估技術創新。電信運營商應在安全評估重點技術領域開展研究和創新實踐，如用戶真實身份鑒別技術、用戶信息加密技術、違法信息監測處置技術、資源實時監控技術等。

4)加強行業合作和共享。互聯網新技術新業務具有一定程度的相似性，電信運營商應加強與互聯網企業的合作共享，在技術創新、管理創新、風險研判、人才交流等方面開展交流合作。

4 結束語

本文重點關注互聯網新技術新業務安全評估工作，介紹了安全評估工作的整體情況和實施流程，希望可以為相關工作提供借鑒。

由于互聯網技術發展迅速，新技術新業務更新頻繁，本文所提安全評估實踐將來難免會存在一定的局限性，希望相關工作人員能夠結合最新技術和最新實踐，綜合研判業務安全風險、及企業安全保障能力，持續推動互聯網新業務健康有序發展。