2021年9月1日,《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》正式施行,這標(biāo)志著我國(guó)網(wǎng)絡(luò)安全法律法規(guī)建設(shè)和安全保障工作進(jìn)入到了一個(gè)新階段。《條例》頒布一年以來(lái),各相關(guān)部門和有關(guān)機(jī)構(gòu)積極推進(jìn)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作,并取得顯著成效。但值得注意的是,當(dāng)前我國(guó)關(guān)鍵信息基礎(chǔ)設(shè)施面臨的安全形勢(shì)依然嚴(yán)峻,網(wǎng)絡(luò)攻擊威脅事件頻發(fā)。持續(xù)做好關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)、不斷推動(dòng)條例落地實(shí)施意義重大。
關(guān)鍵信息基礎(chǔ)設(shè)施關(guān)乎國(guó)計(jì)民生
關(guān)鍵信息基礎(chǔ)設(shè)施是經(jīng)濟(jì)社會(huì)運(yùn)行的核心樞紐,承載核心系統(tǒng),提供核心服務(wù)。當(dāng)前,關(guān)鍵信息基礎(chǔ)設(shè)施正是網(wǎng)絡(luò)黑客、APT組織、勒索病毒的重點(diǎn)攻擊目標(biāo)。所以保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施,就是保衛(wèi)國(guó)計(jì)民生,就是捍衛(wèi)網(wǎng)絡(luò)國(guó)防。
(資料圖片)
關(guān)基挑戰(zhàn):場(chǎng)景復(fù)雜性與網(wǎng)絡(luò)威脅持續(xù)存在
站在需求的角度,關(guān)基運(yùn)營(yíng)者從技術(shù)方面,主要面臨三方面挑戰(zhàn):
一、場(chǎng)景更加復(fù)雜。在全面數(shù)字化轉(zhuǎn)型的背景下,新技術(shù)領(lǐng)域和關(guān)鍵信息基礎(chǔ)設(shè)施正在融合耦合,網(wǎng)絡(luò)資產(chǎn)、工作場(chǎng)景大量增加,安全風(fēng)險(xiǎn)與日俱增。
二、威脅持續(xù)演進(jìn)。網(wǎng)絡(luò)攻擊愈演愈烈,造成的影響越來(lái)越大。2015年烏克蘭斷電事件和2019年委內(nèi)瑞拉斷電事件攻擊者仍未溯源。2021年5月,美國(guó)東海岸科洛尼爾管道運(yùn)輸公司遭受勒索軟件攻擊,嚴(yán)重影響17個(gè)州和首都華盛頓特區(qū)的燃油供應(yīng)。
三、安全需求日益提高。在保證數(shù)據(jù)安全的同時(shí),還需要增加業(yè)務(wù)系統(tǒng)的彈性韌性,實(shí)現(xiàn)關(guān)鍵信息基礎(chǔ)設(shè)施高可用、抗毀傷,在受到攻擊時(shí)依然能夠提供基本的服務(wù)。
另外,關(guān)基運(yùn)營(yíng)者也面臨更嚴(yán)格的法規(guī)遵從。從2017年的《網(wǎng)絡(luò)安全法》,到2021年的《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》都是必須遵從的法律法規(guī)要求。這是安全防護(hù)的基線,也是底線。
應(yīng)對(duì)方式:一大核心、四大支撐和六大能力
為應(yīng)對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的各種挑戰(zhàn),中國(guó)信息安全領(lǐng)軍企業(yè)北信源(300352)將“三化六防”實(shí)戰(zhàn)理念融入關(guān)保建設(shè)當(dāng)中來(lái),以風(fēng)險(xiǎn)為核心構(gòu)建“關(guān)保”風(fēng)險(xiǎn)治理體系。通過(guò)平臺(tái)大數(shù)據(jù)技術(shù)服務(wù)及四大體系來(lái)全面賦能業(yè)務(wù)安全,從而支撐各行業(yè)部門關(guān)鍵信息基礎(chǔ)設(shè)施的分析識(shí)別、安全防護(hù)、檢測(cè)評(píng)估、監(jiān)測(cè)預(yù)警、技術(shù)對(duì)抗及事件處置的全環(huán)節(jié)建設(shè),最終形成六大完全能力。
一大核心:以“風(fēng)險(xiǎn)”為核心
北信源認(rèn)為,關(guān)鍵信息基礎(chǔ)設(shè)施的防護(hù)要以“風(fēng)險(xiǎn)”為核心,這是指所有的安全舉措(風(fēng)險(xiǎn)評(píng)估和治理等)都要圍繞“風(fēng)險(xiǎn)”這個(gè)核心定量指標(biāo)進(jìn)行。“風(fēng)險(xiǎn)”通過(guò)分解成為“責(zé)任-資產(chǎn)-脆弱性-威脅”四個(gè)步驟,將相關(guān)的人、物和事串聯(lián)在一起,將安全措施貫徹在完整的體系中,再通過(guò)風(fēng)險(xiǎn)值的改變反映出來(lái)。風(fēng)險(xiǎn)的評(píng)估和治理以“風(fēng)險(xiǎn)治理平臺(tái)”為依托。
四大支撐:人員服務(wù)體系、技術(shù)產(chǎn)品體系、安全運(yùn)維體系、應(yīng)急響應(yīng)體系
人員服務(wù)體系,指關(guān)保涉及的所有的“人”的集合。人員服務(wù)體系不僅包括所有的安全技術(shù)人員和業(yè)務(wù)的責(zé)任人的信息,還包括人員組織形式、規(guī)章制度,所有人員的培訓(xùn)、演練和工作記錄等。
技術(shù)產(chǎn)品體系,指關(guān)保涉及的所有“物”的集合。技術(shù)產(chǎn)品體系不僅包括等保2.0要求的“一個(gè)中心,三重防護(hù)”所涉及的安全產(chǎn)品,還涉及所有業(yè)務(wù)相關(guān)“信息資產(chǎn)”的供應(yīng)鏈安全評(píng)估和管理工具等。
安全運(yùn)維體系,指關(guān)保脆弱性驅(qū)動(dòng)的所有“事”的集合。安全運(yùn)維體系包括安全體系建設(shè)、運(yùn)行維護(hù)相關(guān)的支撐手段。
應(yīng)急響應(yīng)體系,指關(guān)保威脅驅(qū)動(dòng)的所有的“事”的集合。應(yīng)急響應(yīng)體系包括應(yīng)急響應(yīng)指揮、處置、對(duì)抗、溝通協(xié)調(diào)和演練相關(guān)的支撐手段。
六大能力:圍繞風(fēng)險(xiǎn)治理形成的六大安全能力
六大能力,是由以風(fēng)險(xiǎn)治理為目標(biāo),在長(zhǎng)期的安全建設(shè)、運(yùn)維和應(yīng)急響應(yīng)過(guò)程中,由人和物形成的綜合針對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的安全能力。包括:分析識(shí)別能力、檢測(cè)評(píng)估能力、技術(shù)防護(hù)能力、監(jiān)測(cè)預(yù)警能力、應(yīng)急處置能力和技術(shù)對(duì)抗能力。
北信源“關(guān)保”風(fēng)險(xiǎn)治理體系滿足新時(shí)代需求
北信源風(fēng)險(xiǎn)治理體系能夠全面覆蓋網(wǎng)絡(luò)空間安全的各個(gè)層面,以定量數(shù)值方式評(píng)估風(fēng)險(xiǎn)和改進(jìn)程度,并通過(guò)有效性評(píng)估形成閉環(huán)管理,承擔(dān)網(wǎng)絡(luò)空間安全全面持續(xù)性改進(jìn)。該體系也充分滿足了新時(shí)代、新形勢(shì)下風(fēng)險(xiǎn)治理的需求,由以下幾點(diǎn)特性就可窺見(jiàn)一斑:
【規(guī)范性】體系建設(shè)依據(jù)是經(jīng)過(guò)科學(xué)論證和實(shí)踐檢驗(yàn)的國(guó)家的信息安全標(biāo)準(zhǔn)和規(guī)范,具有科學(xué)性和權(quán)威性。
【目的性】體系建設(shè)有明確的目標(biāo)導(dǎo)向。在當(dāng)前發(fā)展階段,以數(shù)據(jù)安全作為重要的網(wǎng)絡(luò)空間安全目標(biāo)。隨著安全技術(shù)和形式的發(fā)展,能夠調(diào)整目標(biāo)以適應(yīng)環(huán)境。
【開(kāi)放性】體系建設(shè)具有開(kāi)放性特點(diǎn),不僅不限定指定的技術(shù)、設(shè)備和廠商,而且鼓勵(lì)兼容多種技術(shù)、設(shè)備和廠商形成良性競(jìng)爭(zhēng),促進(jìn)體系進(jìn)步。
【客觀性】體系的量化評(píng)分依據(jù)以技術(shù)指標(biāo)為主,具有客觀性,減低了主觀打分的影響,這樣才具備不同主體和同一主體改進(jìn)前后的數(shù)量對(duì)比的基礎(chǔ)。
【實(shí)時(shí)性】體系的量化評(píng)分能實(shí)時(shí)反映當(dāng)前安全狀態(tài)。當(dāng)前網(wǎng)絡(luò)安全事件突發(fā)性很強(qiáng),體系必須具備實(shí)時(shí)性,即發(fā)現(xiàn)問(wèn)題后立即改進(jìn)問(wèn)題的能力。
【主動(dòng)性】體系的量化評(píng)分能夠驅(qū)動(dòng)責(zé)任主體單位主動(dòng)、持續(xù)進(jìn)行安全防護(hù)能力的提升并且對(duì)責(zé)任主體的改進(jìn)進(jìn)行定量評(píng)估
北信源“關(guān)保”風(fēng)險(xiǎn)治理體系相較于態(tài)勢(shì)感知平臺(tái)的區(qū)別(優(yōu)勢(shì)):
一、將關(guān)鍵業(yè)務(wù)責(zé)任作為“根”
北信源以具體問(wèn)題具體分析的方式,運(yùn)用關(guān)基思維分析,抓住關(guān)鍵信息基礎(chǔ)設(shè)施的特點(diǎn),認(rèn)清關(guān)基安全本質(zhì),把業(yè)務(wù)作為安全風(fēng)險(xiǎn)的“根”,以保護(hù)關(guān)鍵業(yè)務(wù)為目的,對(duì)業(yè)務(wù)涉及的一個(gè)或多個(gè)網(wǎng)絡(luò)和信息系統(tǒng)進(jìn)行體系化安全設(shè)計(jì),從而解決了關(guān)基安全的根本問(wèn)題,在此基礎(chǔ)上構(gòu)建整體安全保障體系。
二、“被動(dòng)”轉(zhuǎn)“主動(dòng)”,化解“常態(tài)化”問(wèn)題
在北信源“關(guān)保”風(fēng)險(xiǎn)治理體系下,首先樹(shù)立核心業(yè)務(wù)和業(yè)務(wù)負(fù)責(zé)人,再將相關(guān)資產(chǎn)歸攏在核心業(yè)務(wù)下面。這樣責(zé)任跟隨資產(chǎn),自然的歸屬在業(yè)務(wù)負(fù)責(zé)人和團(tuán)隊(duì),也能夠解決業(yè)務(wù)和安全的沖突問(wèn)題;而所有的改進(jìn)都把降低風(fēng)險(xiǎn)量為改進(jìn)的方向和尺度,這樣也解決了非安全技術(shù)人員無(wú)法對(duì)安全改進(jìn)定量掌控的問(wèn)題。
三、以風(fēng)險(xiǎn)管理為導(dǎo)向的動(dòng)態(tài)防護(hù)
根據(jù)關(guān)基面臨的威脅態(tài)勢(shì)進(jìn)行持續(xù)監(jiān)測(cè)和安全控制措施的動(dòng)態(tài)調(diào)整,形成動(dòng)態(tài)的安全防護(hù)機(jī)制,及時(shí)有效的防范應(yīng)對(duì)安全風(fēng)險(xiǎn)。
關(guān)鍵信息基礎(chǔ)設(shè)施是國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略的核心,作為國(guó)家規(guī)劃布局內(nèi)的重點(diǎn)軟件企業(yè)、國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)核心承擔(dān)單位之一,北信源受邀入駐國(guó)家等級(jí)保護(hù)2.0與可信計(jì)算3.0攻關(guān)示范基地。未來(lái),北信源將持續(xù)面向重要信息系統(tǒng)運(yùn)營(yíng)者提供更加優(yōu)質(zhì)的安全服務(wù),全面落實(shí)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作,實(shí)現(xiàn)網(wǎng)絡(luò)安全各類事件和風(fēng)險(xiǎn)的多層級(jí)、多維度處理,不斷探索、持續(xù)創(chuàng)新,為加強(qiáng)國(guó)家網(wǎng)絡(luò)安全保障體系和能力建設(shè)作出更大貢獻(xiàn)。
【廣告】
（免責(zé)聲明：此文內(nèi)容為廣告，相關(guān)素材由廣告主提供，廣告主對(duì)本廣告內(nèi)容的真實(shí)性負(fù)責(zé)。本網(wǎng)發(fā)布目的在于傳遞更多信息，并不代表本網(wǎng)贊同其觀點(diǎn)和對(duì)其真實(shí)性負(fù)責(zé)，請(qǐng)自行核實(shí)相關(guān)內(nèi)容。廣告內(nèi)容僅供讀者參考。）
關(guān)鍵詞：
