基于電信運營商的新技術新業務信息安全評估方法及風險探討

王燕　李德智

摘要：新技術新業務“井噴式”創新發展、滲透融合引發信息安全新風險新問題，安全評估工作面臨更多迫切需求、更加廣泛應用場景。本論文在對電信運營商進行評估實踐的基礎上，根據互聯網新技術新業務安全評估的模型與實施要點，對電信運營商新技術新業務安全評估方法及風險進行探討。

關鍵詞：新技術新業務;安全評估;風險

一、背景

隨著我國互聯網業務的發展，新技術新業務的應用日益廣泛，并以手機終端為載體滲透到生活的方方面面，信息安全問題日益凸顯。從工信部2011年下發《互聯網新技術新業務信息安全評估管理辦法（試行）》以來，行業信息安全監管逐步從境內外違法有害信息封堵處置逐步向全面落實企業責任、主動預警防范拓展，要求行業完善企業安全責任制度。業務安全風險評估是指對互聯網業務的功能、屬性、特點、技術實現方式、市場發展情況、用戶規模、業務流程和規則、網絡數據流轉、個人信息采集和共享、處理銷毀及個人信息主體權益保護等關鍵要素進行分析，評估其對安全管理工作的危險和影響。

二、評估模型及風險

新技術新業務的評估對象包括基礎電信企業及增值電信企業（含三網融合涉及的廣電企業）運營的互聯網業務，業務重點關注5G、人工智能、區塊鏈、大數據、物聯網等相關業務。業務安全風險評估的實施需要使用業務安全風險評估模型，見圖1所示。業務安全風險

評估模型從業務應用安全、業務平臺安全、業務運行安全和數據安全四個方面提出了17個評估模塊。每個評估模塊歸納列舉了業務關鍵因素可能存在的信息安全威脅和影響，以此指導評估人員識別業務的信息安全風險。

（一）業務應用安全

業務應用安全以業務實現功能、使用情況為基本出發點，緊扣業務系統中傳輸的公共信息，評估模塊包括用戶、信息主題、信息載體、信息生成、信息傳播、信息接收、信息留存等。1.用戶。用戶主要關注用戶規模、用戶類型、用戶相關性、用戶實名核驗、用戶真實身份鑒別等。若業務系統不能對用戶真實身份進行鑒別，可能導致用戶賬戶信息被泄露、仿冒、盜取等嚴重安全事件。2.信息主題。信息主題主要關注發布的公共信息主題的多樣性和相關性。若內容大多圍繞一個或幾個相近主題，且包含違法信息，則違法信息有可能在相關主題中大范圍變種并快速傳播。3.信息載體。信息載體包括信息呈現方式、語言類型。慮到目前小語種語言的內容識別技術尚不成熟，存在傳播違法信息的安全風險。4.信息生成。信息生成主要關注信息源和信息產生方式。如果無法確保業務系統中生成的信息是來自經身份真實認證或鑒別的可信用戶，信息是由被冒用或盜取的賬號或渠道生成、發送，則大幅增加了違法有害信息處置難度。5.信息傳播。信息傳播主要關注信息流動方向、信息傳播方式、通信媒介、信息傳遞實時性等。用戶能否實時讀取信息，實時通信提高了信息讀取概率，提高了信息傳播速度，存在傳播違法信息的信息安全風險。6.信息接收。信息接收環節主要關注信息收取方式等。信息的主動推送提高了信息讀取概率，間接提高了信息傳播速度，擴大了信息傳播范圍，存在傳播違法信息的信息安全風險。7. 信息留存。信息留存關注的是業務系統中傳輸的公共信息內容和用戶使用業務行為的日志記錄，如果企業未按相關法律法規要求保留日志信息，將會直接影響企業配合完成事后溯源、取證工作的開展。

（二）業務平臺安全

業務平臺安全聚焦承載業務的系統平臺，評估模塊包括設備位置分布、資源調度方式、業務合作、開放接口等。1.設備位置分布。如果業務的服務器、機房或節點在境內外均有分布，且境內外有數據傳輸，則可能存在因數據跨境流動引發的國家重要數據、個人隱私信息泄露的信息安全風險。2.資源調度方式。資源調度方式是指業務系統的計算資源、存儲資源、帶寬資源、IP地址及域名資源的調度方式。如果計算、存儲、帶寬資源采用了云化或虛擬化，或者IP地址及域名采取動態分配方式，則可能增加企業違法信息處置難度。3. 業務合作。業務合作是指業務運營企業與其他企業開展任意形式的合作。需要評估合作企業的信息安全管理工作及保障措施能否滿足相關法律法規要求，能否保障業務的信息安全。4.開放接口。開放接口是指業務系統為第三方提供的標準API接口。第三方調用開放API接口的過程中，如果與業務系統之間產生了數據交互，可能增加業務系統發布、傳輸、存儲違法信息的信息安全風險;如果業務系統開放的API接口未做好違法有害信息監測處置、權限管理、安全審計等，可能帶來違法有害信息傳播、直接影響業務系統自身安全、非法調用API接口（如實施通訊信息詐騙）等安全風險。

（三）業務運行安全

業務運行安全關注業務運行的流程管理和技術防范存在的安全風險，評估模塊業務邏輯安全、通訊信息管理安全等。1.業務邏輯安全。業務邏輯安全的關注點主要集中在業務規則的合規性、業務流程的合理性及配套的技術保障措施的完善性等。如以一卡多號、短信營業廳、網上營業廳等為代表的電信業務，如果存在未實施二次確認機制、必要的用戶身份驗證環節缺失、短信驗證碼下發環節用戶安全提醒不完善、業務登錄提示不足、身份校驗技術手段不完備等安全漏洞，則有可能被詐騙分子利用設計各種詐騙場景，冒充用戶實施詐騙。2. 通訊信息管理安全。通訊信息管理安全主要關注電信資源、號碼傳送、信息傳播等。電信資源主要關注碼號資源、電信線路有可能被詐騙分子利用實施通訊信息詐騙;碼號傳送主要關注傳送過程中相關漏洞有可能被詐騙分子利用，以修改主叫號碼、設置主叫號碼為空號或禁顯、違規外呼、私自改變業務使用用途等方式實施通訊信息詐騙;在信息傳播方面主要關注相關業務有可能成為不法分子販賣個人信息和詐騙實施軟件及工具（如改號軟件、非法電話卡、非法銀行卡、身份證識別設備破解軟件、虛擬交易軟件、“偽基站”等）的渠道途徑。

（四）業務數據安全

數據安全層以業務系統中傳輸、存儲的各類數據為核心評估點，從維護企業、個人、國家利益角度出發，分析可能對數據安全造成影響的各類威脅和隱患。評估模塊包括數據采集、數據存儲、數據傳輸、數據加工、數據轉移、數據刪除各階段數據安全以及個人信息安全、數據跨境安全。1.數據生命周期。數據生命周期包括數據采集、數據存儲、數據傳輸、數據加工、數據轉移、數據刪除等環節。主要關注在各個環節中數據是否有被泄露、竊取、篡改或銷毀風險。2.個人信息安全。個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息。企業由于管理措施、技術手段等安全保障能力的不足或受到自然災害、基礎設施故障等環境危害，在個人信息采集、存儲、管理、傳輸、加工、轉移、刪除等處理環節，造成個人信息泄露、損毀、篡改等安全事件，對個人隱私以及個人信息主體權益造成安全隱患的風險。3. 數據跨境安全。數據跨境安全風險是指在數據跨境及再轉移后，人為或自然的威脅利用數據安全保障能力中存在的問題，導致安全事件的發生及對個人合法利益、國家安全、社會公共利益帶來的影響。

三、評估的流程及方法

業務風險評估流程分為四個階段。分別是評估準備、風險初判、風險評估、評估結論分析。具體評估流程見圖2所示，每個階段的內容詳見下文。

（一）評估準備

評估準備階段包括成立評估組，確定小組成員。準備評估材料，此過程包括說明告知、需求溝通、文檔提交等事務。說明告知是告知評估業務運營單位開展評估工作的評估依據和相關工作要求，闡釋評估工作的重要意義，尋求評估業務運營單位的積極支持配合。此外，還應告知評估業務運營單位評估實施過程中用于測評驗證的樣本庫來源，以及用于核實比對的公開、權威性數據庫的來源;需求溝通是與評估業務運營單位進行評估前溝通，告知開展評估的流程、使用的評估方法和評估工具、評估開展過程中需要業務運營單位配合協調的工作事項;文檔提交是針對評估業務做好事前準備，要求評估業務運營單位提交與業務相關的文檔資料，包括與業務相關的技術文檔和管理文檔。

（二）風險初判

風險初判基于篩選后適用的評估指標，運用文檔查閱方法對業務安全風險進行初步篩查和識別判定。確定現階段無法準確識別研判風險程度的指標，及下一步研判風險需要使用的評估方法，為現場評估做好準備。

（三）風險評估

風險評估綜合運用文件審查、人員訪談、演示查驗、測評驗證四種評估方法，對適用的評估指標進行風險識別和研判，進行完整記錄，保留訪談內容和相關證明資料。對業務安全風險指標進行逐項分析，形成整體風險分析矩陣，重點關注風險值為中、高的風險指標，以備對照考察企業安全保障能力。對照業務應用安全保障基線要求，逐項分析企業的安全保障能力是否滿足安全保障基線要求，形成整體保障能力分析矩陣。

（四）評估結論分析

評估結論主要結合業務風險分析矩陣和整體保障能力分析矩陣，分析業務的安全風險對企業安全保障能力形成的威脅和挑戰，進一步把握、研判業務的現實安全風險，提出被評估業務的整改措施建議。并形成評估報告，評估組成員簽字確認，整改牽涉的責任部門負責人簽字確認。

四、評估過程中的風險應對策略

新技術新業務的評估是對業務整體的風險評估及分析，運營商企業的業務往往涉及多個部門協調及多廠商改造，在評估過程中需要對多方關系進行協調，以保證按時完成評估及整改。主要風險點包含以下幾個方面的內容。

（一）跨部門協調溝通困難，應建立完整的安全評估管理體系。新技術新業務一般涉及多個部門不同人員之間的配合，部門之間溝通不暢導致評估工作難以開展。電信運營商應重視安全評估，建立完整的新技術新業務安全評估管理體系，不斷完善安全評估管理辦法和實施細則，使安全評估工作逐步制度化、規范化。將安全評估工作納入企業績效考核，完善安全評估工作獎懲機制。

（二）人員專業性不足，應加快安全評估隊伍建設。安全評估是一項專業評估活動，設立安全評估隊伍及安全評估專崗統籌負責安全評估工作;注意培養安全評估儲備人才，定期組織培訓，提升安全評估人員整體能力。

（三）安全措施待進一步加強，推進安全評估技術創新。電信運營商應在安全評估重點技術領域開展研究和創新實踐，如用戶真實身份，鑒別技術、用戶信息加密技術、違法信息監測處置技術、資源實時監控技術等。

（四）行業交流少，應加強合作和共享。互聯網新技術新業務在各大運營商及各省份的具有復制性和相似性，不同省份電信運營商之間應加強合作共享，分享管理和技術創新，交流業務風險研判經驗。

（五）業務整改進展緩慢，需對整改進度進行把控。評估過程中若發現業務風險，需要告知運營商進行整改。整改過程中涉及的供應商可能由于費用或人員問題，導致整改進度滯后，無法在規定時間內完成整改。對于整改進度需進行整體把控，及時推進，否則會因為進度影響評估結果。

五、結束語

本文重點關注電信運營商互聯網新技術新業務安全評估工作，介紹了安全評估工作方法和評估過程中的風險點及應對策略，為電信運營商新業務的評估提供借鑒。由于評估指南更新及評估細節進一步細化，在評估中需要緊緊結合工信部下發的相關規定，及時調整評估細節。此外，隨著互聯網業務及評估方法的發展，本文所提出的評估風險可能會發生變化，希望相關評估人員能夠結合最新技術和最新實踐，綜合研判業務安全風險、及企業安全保障能力，持續推動互聯網新業務健康有序發展。

作者單位：王燕? ? 李德智? ? 華信咨詢設計研究院有限公司

參? 考? 文? 獻

[1]《2020年省級基礎電信企業網絡與信息安全工作考核要點與評分標準》工網安函〔2020〕149號

[2]張劍，萬里冰，錢偉中.信息安全技術[M].電子科技大學出版社，2017.

[3]張莉.數據治理與數據安全[M].人民郵電出版社， 2019.

[4]張劍，廖國平，湯亮.信息安全風險管理[M].電子科技大學出版社，2016.