• 国务院国资委信息中心徐彬

为贯彻落实习近平总书记重要指示和党中央决策部署,加快国资国企改革,国务院国资委大力推进国资国企监管信息化建设。在充分利用信息化手段加强国资国企监管,不断健全完善国资国企在线监管系统的同时,对国资委电子政务安全提出更新更高的要求。国资委领导高度重视国资国企监管电子政务安全,坚决贯彻落实党中央关于加强网信工作的重大决策部署,严格依照《中华人民共和国网络安全法》规定、按照网络安全等级保护相关要求,切实做好国资委网络安全工作,确保国资国企监管电子政务安全。

一、环境安全

环境安全包括物理环境安全和网络环境安全,是电子政务安全的基础。

(一)物理环境安全

网络和电子政务信息系统运行的物理环境主要指的是计算机机房及配套的空调、配电、消防等基础设施。除了做好设备的日常维护,国资委一方面安排定期巡检(包括节假日),及时发现并解决问题;另一方面,每年至少进行一次基础设施的应急演练,检验设备运行情况,锻炼应急响应队伍。

(二)网络环境安全

网络和电子政务信息系统运行的网络环境主要包括区域安全、通信安全、计算安全、数据安全等几个方面。

1.区域安全

合理划分网络安全区域、配置区域边界防护策略是保障电子政务信息系统安全的重要措施。

根据信息系统功能以及面向用户的不同,国资委内部划分了互联网区(部署互联网站、电子邮件系统及面向互联网用户的业务信息系统)、国资监管网区(部署面向中央企业用户的业务信息系统)、局域网业务区(部署面向委内用户业务信息系统及数据中心)、管控区(部署DNS、防病毒等基础应用)。区域之间通过防火墙、UTM设备作为隔离,按权限最小化原则,根据业务需求和数据流向制定网络访问控制策略。业务区域还部署了WEB应用防火墙,加强对基于HTTP和HTTPS系统对跨网站脚本、SQL注入等应用层面攻击的安全防护。

在互联网边界,还部署了防DDOS设备、防病毒网关、IPS等设备以抵御来自互联网的恶意攻击。

与涉密内网区域之间物理隔离,数据导入导出严格按照相关保密规定进行操作。

2.通信安全

采取相应技术手段和措施以保证数据传输过程的安全,防止通信过程中的数据的泄密和被篡改,主要使用“软”和“硬”以及“软硬结合”三类加密手段。

“软”是指业务应用采用超文本传输安全协议(HTTPS)方式、使用数字证书加密通信方法,建立一个信息安全通道,保证数据传输的安全。

“硬”是指使用加密机硬件设备,对数据传输通道进行加密,需要国资委端和用户端都部署相应设备,这也是目前数据链路加密安全性最高的方式。

“软硬结合”分两种,一种是加密机和HTTPS相结合,另外就是使用虚拟专用网络(VPN)设备采用SSL、PPTP、L2TP、IPSec等协议组件虚拟专网,供内部用户远程办公或外部用户访问内部业务系统。

3.计算安全

采用技术措施保证主机和计算机终端的安全。

服务器主机安全除了及时安装补丁、修补安全漏洞外,国资委也尝试利用可信计算技术手段对主机进行安全加固和应用权限控制,保护系统不受病毒和间谍软件危害。

用户计算机采用终端准入系统加强对网络接入的管控,以降低勒索病毒、挖矿木马等恶意程序在内部网络传播的风险。

4.数据安全

数据安全是电子政务安全的核心,包括数据传输、数据加密、数据管控、数据备份与恢复等几个方面。

数据传输安全除了通信安全外,就是如何确保数据的完整性和有效性,目前,主要采用对文件散列值(譬如基于哈希算法的MD5或SHA1)进行校验,判断用户上报数据是否完整(即是否有传输故障或人为篡改)。

数据加密主要是消除信息明码存储带来的安全隐患,对在数据库中信息使用加密算法进行存储。采用的方式有两种,一是利用数据库自身提供的加密功能,另外就是使用专门的数据加密设备。

数据管控主要是加强数据库访问权限的控制,以杜绝未经授权用户非法访问数据。

数据备份和恢复是数据安全的重要保障措施。数据备份采取定期和特定操作前备份、增量和全量备份、本地和异地备份、本机和外部存储备份相结合的方式。数据恢复是不定期在测试环境下选择备份数据进行恢复以验证备份数据的有效性。

二、安全管理

安全管理包括安全技术管理和制度体系建设,是对环境安全的加强和提升。

(一)安全技术管理

主要是利用技术手段加强网络安全的管理,提升网络安全管理水平。

1.建设网络安全监测预警平台,提高网络安全防御的主动性和及时性

为解决面对各种类型的网络安全设备,如何充分用好安全日志和审计信息,全面监测预警网络安全事件、有效抵御外来入侵和攻击问题,国资委探索建设网络安全监测预警平台,对网站、邮件、漏洞、域名、情报信息等系统实施各方面的监控,便于对可能出现的异常数据、行为和信息进行阻拦或防御。目前,基本满足网络和信息系统在安全运行中所需提供的安全监控保障,实现多手段的网络安全信息数据采集和分析,对出现的安全事件实现快速预警和处置。

2.搭建国资监管云平台,提高计算资源利用率和主机运行可靠性

由于历史原因,国资委原有业务信息系统都是由各个业务部门自行建设,相关设备也都是分散采购和管理,造成了设备数量多而系统资源使用率低的情况。同时,之前的建设大都没有考虑系统容灾,存在较大的安全风险隐患。

国资委正在利用云计算技术,初步尝试搭建国资监管云平台,同时,尽可能地整合利用现有主机、存储、网络资源,最终实现对计算资源的统一管理和使用,保障业务信息系统的安全平稳运行。

3.建设运维管理平台,提升IT集中监控管理水平

国资委在运维人员方面面临运维人员水平参差不齐,部分岗位缺少专业人员等问题,所以,非常有必要通过系统的运维平台建设,保障业务系统稳定、安全、高效运行,保障IT基础设施健康、长效、安全运行,以满足建立规范科学的运维管理制度的需要。

根据国资委外网综合运维管理的现状,依循主要适用于IT服务管理的信息技术基础架构库(Information Technology Infrastructure Library,ITIL)理论,建立针对服务器、网络设备、数据库、中间件、应用系统、存储设备等IT的集中监控和展现系统。根据业务需求,在提供事件管理、问题管理、变更管理等标准流程支撑的同时,记录各管理环节产生的信息。同时,扩展IT设备台账的管理范围,将软硬件同时作为管理对象,记录和管理对应设备、系统的相关属性及信息。

4.加强业务信息系安全建设,减少应用安全隐患

近些年,伴随业务信息系统建设数量的增多,应用安全风险也在增加。国资委在加强对现有系统安全监测的同时,新建信息系统安全建设也配套开展。

目前,国资委在业务信息系统建设之初就引进安全咨询服务厂商,按照等级保护要求参与信息系统设计、建设,依据等级保护标准提供定级建议和安全建设方案,配合开展等级保护定级备案和测评及整改工作。

对其他需要部署的系统,在正式运行前都要对其进行安全漏洞扫描,只有确认在发现的安全风险隐患全部整改完成后,才允许上线提供服务。

(二)制度体系建设

在加强安全技术管理的同时,建立完善配套的安全制度体系。

1.网络安全运行管理体系

在建设网络安全监测预警平台同时,建立一套规范的网络安全监控和应急处置机制,指导进行网络安全防御工作,实现网络安全事件的快速发现、快速定位和快速处置,让网络安全事件真正做到“可知、可视、可控”。编制的《国资委网络安全运行保障工作制度》,涵盖网络安全运行管理、安全监测、安全事件分级与通报、安全事件处置、安全专项管理、安全合规管理等方面。通过规范的制度和管理流程,确保安全事件的快速应急响应和处置,推动建立规范的网络安全保障体系和应急处理机制。

2.运维管理体系建设

按照IT服务管理理论、方法和标准,结合国资委信息化实际需要,借鉴和参考其他中央部委建设经验和实践,遵循统筹规划、突出重点、逐渐完善的建设原则,逐步建立一套融合组织、制度、流程、人员、技术的IT服务管理体系。编制的《运维平台暂行管理办法》,对运维平台服务流程和相关人员进行规范管理。实现综合管理和日常技术支持,快速响应和及时解决系统运行过程中出现的各种问题和故障,确保国资委机关基础设施及信息系统正常、稳定、高效运行。

3.理清与中央企业安全责任

为落实国资委领导关于“建好用好国资国企在线监管系统”的要求,监管系统已延伸到被监管对象,在一定范围内与中央企业网络和业务系统产生关联。国资国企监管电子政务安全范围涵盖委机关和中央企业,如何界定安全边界和明确安全责任是国资委下一步会进行梳理的工作任务,根据梳理结果逐步制定相应的安全管理制度,明确落实国资委与中央企业在国资国企监管电子政务安全方面的责任。

三、结语

国资监管电子政务建设是一项渐进深入的长期任务,配套的网络安全建设和运维也会持续跟进完善,确保国资国企监管电子政务在网络、系统、数据等方面安全,为加快国资国企改革,推进国资监管职能转变、增强国资监管科学性有效性提供强有力的信息化安全保障。

(本文刊登于《中国信息安全》杂志2019年第3期)

声明:本文来自中国信息安全,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。