落實國家等級保護制度 助力行業網絡安全保障

楊曉東

近年來，隨著國際局勢不斷升溫，網絡戰烈度持續攀升，全球網絡安全形勢每況愈下。從行業角度看，境內外廣電媒體系統遭黑客攻擊，導致節目被篡改插播等重大網絡安全事件頻發。這種新形勢直接表明，在互聯網和媒體融合加速發展的背景下，廣播電視和網絡視聽相關系統面臨著愈發嚴峻的網絡安全風險，廣電行業網絡安全保障工作任重道遠。

習近平總書記多次強調，沒有網絡安全就沒有國家安全，網絡安全和信息化必須統一謀劃、統一部署、統一推進、統一實施。在黨的二十大報告中，習近平總書記也強調要推進國家安全體系和能力的現代化，堅決維護國家安全和社會穩定。網絡安全作為網絡強國、數字中國的重要基礎，是建設現代化產業體系不可或缺的部分，將在中國式現代化的實現過程中承擔托底的重任。

一、實施網絡安全等級保護制度意義重大

《中華人民共和國網絡安全法》于2017年6月1日起執行。這是我國第一部全面規范網絡空間安全管理的基礎性法律，采用了防御、控制與懲治三位一體的立法架構。《網絡安全法》共七章79條，其中第21條、第31條分別提出了針對等保和關保的工作要求，明確了不開展等級保護工作就是違法行為。對于行業安全運行保障單位來講，開展等級保護工作具有重要意義。第一是滿足合法合規的要求，使安全建設更加規范；第二是強調體系化的安全建設思維，改變以往單點的防御防護思想；第三是提高整體人員安全意識，在具備等級化防護思維后，按重要程度合理分配網絡安全的資源和投資。這些都是一定要實施等級保護建設的重要原因。2021年4月27日，關鍵信息基礎設施安全保護保護條例發布，2021年9月1日起執行。有兩個方面內容需要重點強調，第一是廣播電視行業已經被列入國家關鍵信息基礎設施范疇，行業關鍵信息基礎設施需要在開展等保工作的基礎上進行重點保護；第二是針對關鍵信息基礎設施的工作重點，包括識別認定、安全防護、檢測評估、監測預警、應急處置等五個環節。

二、行業網絡安全等級保護工作穩步推進

在本次網絡視聽大會網絡安全論壇上，中國工程院方濱興院士指出，網絡空間安全防御要經歷三個應對階段，即敵在外部的護衛階段，博弈間隙的迭代階段，以及敵已進入的自衛階段。圍繞這三個階段，國家廣播電視總局監管中心內設機構信息安全處/廣播電視信息安全測評中心作為國家廣播電視總局廣播電視網絡安全的先鋒團隊，作為行業內唯一一家國家級等級保護測評的機構，擁有一支高素質的網絡安全等級保護測評隊伍和國家首批網絡安全應用檢測專業人員，同時具備ISO 27001信息安全管理體系、信息安全風險評估二級服務資質，全面承擔著廣播電視網絡安全管理支撐，并提供行業級、全流程的網絡安全技術服務。通過各項工作開展，針對發現的問題，結合廣播電視技術系統特點，逐一給出專業的解決方案和建議，為行業網絡安全保駕護航。在總局主管司局的直接領導下，監管中心始終聚焦廣電行業業務安全、系統安全和監測監管工作：一是積極參與編制修訂了《廣播電視網絡安全管理辦法》《廣播電視關鍵信息基礎設施認定規則及實施清單》《廣播電視網絡安全等級保護定級指南》《廣播電視網絡安全等級保護基本要求》等行業政策和標準文件，為行業開展等級保護和關基保護工作提供了依據。二是承擔了廣播電視網絡安全監管系統、網絡安全綜合管理系統、網絡安全攻防演習平臺等項目的建設任務，通過智慧監管為總局網絡安全決策提供了技術支撐。三是構建了行業網絡安全隱患閉環管理機制，定期對行業重要網絡信息系統開展遠程檢測，建設網絡安全預警通報平臺，實現了信息通達、反應快速的網絡電視網絡安全信息通報機制，暢通了國家廣播電視總局與中央有關部門以及與各省廣電部門的信息通報渠道。

監管中心牽頭編制的《廣播電視網絡安全等級保護基本要求》于2021年7月14日發布實施，包含以下主要特點：一是針對播出直接相關系統，提出了重點保護的要求。如應部署在網絡縱深的內部、不應通過無線方式進行組網、加強訪問控制、加強審計等。二是針對重要安全播出保障期，結合《廣播電視安全播出管理辦法》的要求，在網絡安全層面加入了一些強相關的要求。三是針對云計算安全擴展。結合安全播出業務連續性的要求，在身份鑒別、數據備份等方面提出了適用于安全播出業務的要求。四是結合安全播出管理辦法的要求，對國標中的一些通用條款進行了細化，使標準要求更加明確，便于我們各單位實施，例如對機房溫度的要求、電力線路冗余的安全要求等。

監管中心于2021年建設完成的廣播電視網絡安全攻防演習系統，支撐總局開展行業攻防實戰演習，在迎接建黨一百周年、北京冬奧會冬殘奧會、黨的二十大等國家重大活動開展的專項攻防演習中發揮了重要作用，直接檢驗了行業重點保障單位的網絡安全抗攻擊的能力。在歷次演習中，共發現19個中央級和省級關鍵信息基礎設施或重要信息系統存在重大安全隱患，能夠使用網絡攻擊手段獲取核心業務的系統權限，嚴重的可造成停播、篡改、公民大數據丟失等嚴重的后果。必須強調的是：每年至少開展一次網絡安全攻防演習是網絡安全法、網絡安全事件應急預案要求的規定動作。另外，根據公安部有關文件要求，必須通過專用系統才能開展攻防演習，實現對攻防演習全程審計、全程監控、全程錄像、全程錄屏等安全的保障技術措施，確保演習活動安全可控。

三、行業網絡安全等級保護數據分析

通過對2022年行業內系統等級保護測評樣本數據的統計，廣電行業內三級以上系統平均得分為79.56分，二級系統平均得分為80.89分，可以一定程度反映出廣電系統在網絡安全等級保護合規性要求方面的符合性水平。從二級系統的缺陷角度來看，不符合項占比最高的是安全計算環境層面，占總扣分的36.94%。產生扣分的主要原因有對操作的審計記錄措施不到位，防范黑客、木馬病毒入侵的能力、措施不足，數據的加密傳輸和存儲保護措施不充分等問題。不符合項占比第二的是安全建設管理層面，占總扣分的20.33%。產生扣分的主要原因集中在系統建設過程管理的方面，比如驗收不規范，缺少安全測試、開發和使用類文檔不全等。不符合項占比第三的是安全運維管理層面，占總扣分的11.41%。產生的扣分的主要原因集中在日常使用和維護的制度描述不清，管理人員存在多重身份、管理權限過高，未規范管理員的權利和責任等。從行業三級以上網絡系統的缺陷來看，不符合項占比最高的仍然是安全計算環境層面，占總扣分的33.04%，三級要求比二級要高，問題主要集中在針對外部攻擊、惡意代碼等異常事件進行監測報警，對網絡攻擊進行有效阻斷，系統的熱冗余或者備份等方面的措施還不到位。由此來看，無論是行業二級系統還是三級系統，存在的問題還是比較多的，在今后工作中我們應該繼續加強網絡安全方面的建設。

此外，為了進一步落實國家等級保護制度，近年來，監管中心在總局主管司局的指導之下，建設了IPTV網絡安全監管系統。IPTV網絡安全監管系統深度匹配行業業務特性，構建了流量監測、等級保護、安全播出等多維度動態分析的模型，建立了網絡安全事件主動預警、通報、響應、處置結果跟蹤等行業網絡安全運行管理機制。并持續對全國31個IPTV播控總、分平臺進行全流量網絡安全監測，通過兩年的運行，共產生原始告警4700余萬條，有效告警7000余條，發現真實攻擊IP地址800余個，已成為行業網絡安全管理的有力抓手。2022年，IPTV網絡安全監管系統獲評工信部等12個部委聯合評選的網絡安全技術應用試點示范項目。

監管中心經過多年的工作的實踐和分析，發現行業系統在與其他系統、特別是與互聯網的邊界，對入侵的檢測、阻斷和報警能力，對中高危漏洞的及時發現和修復，對系統運行和人員行為操作的審計記錄和分析，對系統建設和運維過程中的規范管理等方面還有很大的提升的空間，應該說網絡安全等級保護工作依然在路上。

四、下一階段的重點工作

下一階段，在國家廣播電視總局主管司局的領導下，監管中心將繼續做好以下工作：一是全力做好第19屆亞運會等國家重大活動網絡安全保障；二是開展廣播電視關鍵信息基礎設施安全保護體系研究；三是進一步提升廣播電視行業網絡安全監測預警、態勢感知能力；四是推進網絡安全審查，落實供應鏈安全管控措施；五是繼續支撐行業關鍵信息基礎設施和重要信息系統網絡安全保護工作，提升專業人員能力。

網絡安全始于心，安全網絡鑒于行。讓我們一起踐行維護網絡安全的使命，增強網絡安全防范意識，提升識別和應對網絡安全風險的能力，凝聚力量，確保廣播電視和網絡視聽安全播出和網絡安全工作萬無一失。W