淺談新時期遼寧水利網(wǎng)絡(luò)安全建設(shè)規(guī)劃和思路

江麗娟

(遼寧省河庫管理服務(wù)中心(遼寧省水文局)，沈陽 110003)

近年來，黨中央高度重視網(wǎng)絡(luò)安全工作，習(xí)近平總書記先后發(fā)表了一系列重要講話，提出了網(wǎng)絡(luò)強國戰(zhàn)略思想。2016年11月發(fā)布《中華人民共和國網(wǎng)絡(luò)安全法》之后,2017年至今國家推出了140多個信息安全技術(shù)標準(2012年至今發(fā)布標準243個)；2018年和2019年連續(xù)兩年公安部開展了全行業(yè)網(wǎng)絡(luò)安全攻防演練，為全行業(yè)各單位注入了重視網(wǎng)絡(luò)安全、加強安全防護的強心針。

為貫徹落實新時代網(wǎng)絡(luò)強國戰(zhàn)略、落實網(wǎng)絡(luò)安全相關(guān)法律法規(guī)，水利部印發(fā)了《水利網(wǎng)絡(luò)安全頂層設(shè)計》，針對政務(wù)外網(wǎng)提出了水利網(wǎng)絡(luò)安全工作必須基于水利統(tǒng)一的安全策略，以合規(guī)為基礎(chǔ)，以可控為核心，強調(diào)堅持“重點保護、分級管理”、“主動防御、強化監(jiān)管”。在《智慧水利總體方案》，提出全面提升網(wǎng)絡(luò)安全能力的明確任務(wù)。

在這樣的時代背景和新要求下，怎樣開展遼寧水利網(wǎng)絡(luò)安全管理工作，如何開展網(wǎng)絡(luò)安全規(guī)劃和建設(shè)、管理工作，需要我們深入思考和認真謀劃。

在網(wǎng)絡(luò)安全管理工作中涉及到人員、技術(shù)、管理三方面因素。其中技術(shù)是前提、人員是關(guān)鍵、管理是保障。我們必須做到管理和技術(shù)齊抓，充分發(fā)揮人員的作用，在國家法律規(guī)章和制定的安全管理制度的約束下，才能確保網(wǎng)絡(luò)信息的安全。因此網(wǎng)絡(luò)安全建設(shè)要緊緊圍繞這三方面規(guī)劃。

1 網(wǎng)絡(luò)安全技術(shù)體系建設(shè)

網(wǎng)絡(luò)安全目標是確保信息系統(tǒng)的安全性、完整性、機密性、穩(wěn)定性等。網(wǎng)絡(luò)安全建設(shè)規(guī)劃要滿足國家網(wǎng)絡(luò)安全和密碼管理的有關(guān)法律法規(guī)、規(guī)章制度、標準規(guī)范要求，嚴格遵守三同步原則。

1.1 深入、全面的調(diào)研分析總結(jié)

深入學(xué)習(xí)網(wǎng)絡(luò)安全法、密碼法等法律法規(guī)和相關(guān)標準規(guī)范，以及充分調(diào)研國內(nèi)網(wǎng)絡(luò)安全技術(shù)發(fā)展現(xiàn)狀和了解國內(nèi)、外網(wǎng)絡(luò)安全發(fā)展趨勢，根據(jù)遼寧省水利廳網(wǎng)絡(luò)安全現(xiàn)狀，對標等保2.0標準，結(jié)合水利部網(wǎng)絡(luò)安全相關(guān)文件及水利部智慧水利總體方案等相關(guān)規(guī)劃，全面分析遼寧省水利廳網(wǎng)絡(luò)安全方面存在的問題，總結(jié)遼寧省水利廳水利網(wǎng)絡(luò)安全建設(shè)的需求，提出清晰的水利網(wǎng)絡(luò)安全建設(shè)目標和規(guī)劃重點建設(shè)任務(wù)。

1.2 明確建設(shè)目標

根據(jù)網(wǎng)絡(luò)相關(guān)法律法規(guī)和標準規(guī)范，在同時適應(yīng)云計算、工業(yè)互聯(lián)網(wǎng)、大數(shù)據(jù)等新技術(shù)、新應(yīng)用情況下，在現(xiàn)有水利網(wǎng)絡(luò)和信息系統(tǒng)的安全防護基礎(chǔ)上，完善網(wǎng)絡(luò)安全防御能力、統(tǒng)一管理、威脅感知建設(shè)，為水利行業(yè)整體的安全監(jiān)測、威脅預(yù)警、應(yīng)急響應(yīng)、追蹤溯源提供依據(jù)，構(gòu)建全網(wǎng)安全運營體系，快速提升水利行業(yè)網(wǎng)絡(luò)安全縱深防御、監(jiān)測預(yù)警和應(yīng)急響應(yīng)能力。

1.3 規(guī)劃重點建設(shè)內(nèi)容

1)建設(shè)網(wǎng)絡(luò)安全防御體系。增強縱深防御能力，結(jié)合水利業(yè)務(wù)和水利數(shù)據(jù)實際情況，綜合采用身份認證、訪問控制、邊界防護等技術(shù)形成基礎(chǔ)的技術(shù)防護體系。針對《智慧水利總體方案》規(guī)劃的云平臺等構(gòu)建云平臺安全防護體系。建立完善、合規(guī)的安全物理環(huán)境、計算環(huán)境、區(qū)域邊界、通信網(wǎng)絡(luò)防護，從設(shè)備管制、策略分析維護等方面著手，實現(xiàn)網(wǎng)絡(luò)安全的精細化管理。從多方面保證軟件系統(tǒng)上線前的安全性，消除上線前的代碼安全問題，解決高危漏洞修復(fù)，減少后期運營維護成本和出現(xiàn)的安全風(fēng)險。對于基本的安全需求形成統(tǒng)一的安全服務(wù)，包括身份認證服務(wù)、密碼服務(wù)、災(zāi)備服務(wù)等。實現(xiàn)網(wǎng)絡(luò)安全管理工作從被動到主動的突破，提水利網(wǎng)絡(luò)、業(yè)務(wù)以及數(shù)據(jù)安全保障能力[1]。

2)建設(shè)網(wǎng)絡(luò)安全威脅感知預(yù)警體系。

采用多種技術(shù)監(jiān)測和采集網(wǎng)絡(luò)內(nèi)部安全威脅數(shù)據(jù)，建立監(jiān)測流量數(shù)據(jù)、各類設(shè)備日志、各類主機日志、應(yīng)用系統(tǒng)日志的數(shù)據(jù)采集基礎(chǔ)，并利用大數(shù)據(jù)技術(shù)進行深度分析，從而及時發(fā)現(xiàn)網(wǎng)絡(luò)中可能存在的安全威脅或攻擊事件。實現(xiàn)網(wǎng)絡(luò)安全威脅感知預(yù)警，提高網(wǎng)絡(luò)安全事件監(jiān)測和通報預(yù)警能力。

3)建設(shè)網(wǎng)絡(luò)安全應(yīng)急響應(yīng)體系。

建設(shè) “人機共智”網(wǎng)絡(luò)安全決策指揮系統(tǒng)，可管理網(wǎng)內(nèi)網(wǎng)絡(luò)安全資源，對網(wǎng)絡(luò)內(nèi)各類風(fēng)險預(yù)警進行綜合研判和閉環(huán)處置，實現(xiàn)應(yīng)急預(yù)案管理與策略編排。修訂網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，建立應(yīng)急響應(yīng)流程，開展應(yīng)急演練，建立閉環(huán)的流程跟蹤管理。

4)構(gòu)建網(wǎng)絡(luò)安全運營中心。

采用“人機共智”模式的安全運營模式，依靠網(wǎng)絡(luò)安全技術(shù)體系，達到日常威脅預(yù)測、威脅防護、持續(xù)監(jiān)測、響應(yīng)處置等內(nèi)容的閉環(huán)安全運營效果。以資產(chǎn)、漏洞、威脅、事件作為安全運營控制四個核心控制要素，實現(xiàn)安全合規(guī)、安全風(fēng)險可控、安全能力可量化，實現(xiàn)全網(wǎng)安全管理，保障網(wǎng)絡(luò)安全、業(yè)務(wù)安全及數(shù)據(jù)安全，達到主動防御、實時監(jiān)測、及時響應(yīng)的聯(lián)動效果。

2 網(wǎng)絡(luò)安全管理體系建設(shè)

2.1 修訂網(wǎng)絡(luò)安全工作的總體方針和安全策略

根據(jù)等保2.0標準，結(jié)合智慧水利建設(shè)規(guī)劃，修訂總體方針和安全策略，明確總體目標、原則和信息安全策略框架等。

2.2 完善和健全水利網(wǎng)絡(luò)安全工作組織機構(gòu)

完善和健全水利網(wǎng)絡(luò)安全工作組織機構(gòu)，根據(jù)單位人事調(diào)動情況，及時更新安全管理領(lǐng)導(dǎo)組織機構(gòu)成員，嚴格落實《黨委(黨組)網(wǎng)絡(luò)安全責(zé)任制實施辦法》，嚴格落實網(wǎng)絡(luò)安全責(zé)任，明確領(lǐng)導(dǎo)小組及其辦公室主要職責(zé)、各成員單位主要職責(zé)。

2.3 補充和完善網(wǎng)絡(luò)安全管理制度

根據(jù)國家網(wǎng)絡(luò)安全和密碼管理的有關(guān)法律法規(guī)、規(guī)章制度、標準規(guī)范要求，從資產(chǎn)管理、人員安全管理、基礎(chǔ)環(huán)境管理、運行管理、訪問控制管理、密碼管理等方面制定管理要求。

2.4 制定操作規(guī)程、記錄表單

根據(jù)網(wǎng)絡(luò)安全管理制度要求，制定網(wǎng)絡(luò)安全日常管理操作規(guī)程和記錄表單，指導(dǎo)人員日常管理操作，安全策略、管理制度、操作流程、表單的4部分，構(gòu)成了完整的網(wǎng)絡(luò)安全管理體系。

3 網(wǎng)絡(luò)安全運行保障體系建設(shè)

加強對辦公人員安全意識培訓(xùn)和安全管理人員的管理技術(shù)培訓(xùn)，定期開展應(yīng)急演練，提高突發(fā)事件的應(yīng)急處置能力，是網(wǎng)絡(luò)安全運行管理的重要保障。

依據(jù)網(wǎng)絡(luò)安全管理制度相關(guān)內(nèi)容，編制運維制度，梳理資產(chǎn)清單，對資產(chǎn)進行標識管理，規(guī)范數(shù)據(jù)信息傳輸、存儲和使用等。積極排查安全漏洞和隱患，對發(fā)現(xiàn)的安全漏洞和隱患及時進行修補。嚴格控制遠程運維，經(jīng)審批后才可開通遠程運維接口或通道，操作過程中應(yīng)保留不可更改的審計日志，操作結(jié)束后立即關(guān)閉接口或通道。編制應(yīng)急預(yù)案，開展應(yīng)急預(yù)案培訓(xùn)，并定期進行應(yīng)急預(yù)案的演練，提高應(yīng)急反應(yīng)能力和應(yīng)急處理能力。

4 結(jié) 論

新時期水利網(wǎng)絡(luò)安全建設(shè)，要從網(wǎng)絡(luò)安全技術(shù)體系建設(shè)、網(wǎng)絡(luò)安全管理體系建設(shè)、網(wǎng)絡(luò)安全管理體系建設(shè)三方面綜合考慮，將技術(shù)、管理、人員緊密結(jié)合起來，不斷優(yōu)化和改進安全管理的流程和能力，才能做好網(wǎng)絡(luò)安全管理工作，實現(xiàn)網(wǎng)絡(luò)安全目標。