安全資訊

網(wǎng)絡(luò )安全一直是沒(méi)有硝煙的戰場(chǎng)，這場(chǎng)突如其來(lái)的新冠肺炎疫情期間有更多來(lái)自外部的攻擊和威脅，多部委發(fā)布關(guān)于涉新冠肺炎疫情的網(wǎng)絡(luò )安全風(fēng)險提示。開(kāi)展網(wǎng)絡(luò )安全等級保護工作不能松懈，等級保護測評工作應采取合適手段繼續開(kāi)展。

一直以來(lái)等級保護測評由于涉及的均為生產(chǎn)環(huán)境，采取了更多的現場(chǎng)測評方式，那么新冠肺炎疫情期間，在不見(jiàn)面、遠程辦公條件下，等保工作就進(jìn)行不了么？要如何開(kāi)展呢？

一、網(wǎng)絡(luò )安全等級保護工作主要內容

首先簡(jiǎn)要介紹下網(wǎng)絡(luò )安全等級保護工作的5個(gè)方面的內容：

1、定級

確認定級對象,參考GB/T 22240-2008《信息安全技術(shù) 信息系統安全等級保護定級指南》等初步確認等級,組織專(zhuān)家評審,主管單位審核,公安機關(guān)備案審查。

2.備案

持定級報告和備案表等材料到公安機關(guān)網(wǎng)安部門(mén)進(jìn)行備案。

3.安全建設

以GB/T 22239-2019《信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護基本要求》中對應等級的要求為標準,對定級對象當前不滿(mǎn)足要求的進(jìn)行建設整改。

4.等級測評

委托具備測評資質(zhì)的測評機構對定級對象進(jìn)行等級測評,形成正式的測評報告。

5.監督檢查

向當地公安機關(guān)網(wǎng)安部門(mén)提交測評報告,配合完成對網(wǎng)絡(luò )安全等級保護實(shí)施情況的檢查。

了解了等保工作的主要內容，不難發(fā)現等級測評只是其中的一部分，等保工作還有許多可以遠程開(kāi)展。

二、可遠程開(kāi)展的等保工作

1.開(kāi)展定級備案部分工作

網(wǎng)絡(luò )安全等級保護對象定級工作一般流程為:

定級和備案是一項專(zhuān)業(yè)的工作：

在確定定級對象時(shí)，可能涉及到基礎信息網(wǎng)絡(luò )、工業(yè)控制系統、云計算平臺、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)等多種對象類(lèi)型。

初步確認等級時(shí)，需結合定級對象的具體情況，分析業(yè)務(wù)信息安全受到破壞時(shí)所侵害的客體—>綜合評定對客體的侵害程度—>確定業(yè)務(wù)信息安全等級;分析系統服務(wù)安全受到破壞時(shí)所侵害的客體—>綜合評定對客體的侵害程度—>確定系統服務(wù)安全等級=》定級對象的初步安全保護等級。

專(zhuān)家評審時(shí)，應組織信息安全專(zhuān)家和業(yè)務(wù)專(zhuān)家，對初步定級結果的合理性進(jìn)行評審，出具專(zhuān)家意見(jiàn)。

在公安機關(guān)備案審查時(shí)，需要定級對象的運營(yíng)、使用單位根據相關(guān)管理規定，提交備案材料，包括但不限于備案表、定級報告、專(zhuān)家評審意見(jiàn)等。各地方公安機關(guān)對備案材料的要求有所不同，需要提前準備。

以上工作內容都需要專(zhuān)業(yè)人士和時(shí)間完成，可以在遠程辦公的條件下開(kāi)展工作。

定級對象的運營(yíng)、使用單位普遍實(shí)現了管理文檔電子化、管理流程化，等級測評機構可以通過(guò)訪(fǎng)談、檢查等檢查方法，對網(wǎng)絡(luò )安全管理部分進(jìn)行差距評估。

定級對象的運營(yíng)、使用單位可以根據差距評估的結果，目前缺少的安全管理制度進(jìn)行補充，完成安全管理制度匯編。這個(gè)過(guò)程也可以尋求專(zhuān)業(yè)機構的咨詢(xún)服務(wù)。

2.部分網(wǎng)絡(luò )安全技術(shù)測評

對于互聯(lián)網(wǎng)可訪(fǎng)問(wèn)的信息系統，運營(yíng)、使用單位多通過(guò)互聯(lián)網(wǎng)+加密通道的方式進(jìn)行運維管理和使用。這類(lèi)系統進(jìn)行等級測評，與測評機構充分溝通后，制定合理的、風(fēng)險可控的測評方案和計劃，部分測評對象的安全技術(shù)測評可以遠程進(jìn)行，如滲透測試、漏洞掃描。需要過(guò)程中留好測試記錄，比如視頻錄屏、截屏、檢測配置截圖等。

3.源代碼安全審計

等保工作中對源代碼安全審計也有相應要求，遠程辦公環(huán)境下，工程師可以采用靜態(tài)分析工具對源代碼進(jìn)行安全審計，確認安全審計問(wèn)題報告，及整改情況回歸。

4.網(wǎng)絡(luò )安全意識教育和培訓

等保工作中對安全培訓有相應要求如：應對各類(lèi)人員進(jìn)行安全意識教育和培訓,并告知相關(guān)的安全責任和懲戒措施；應針對不同崗位制定不同的培訓計劃,對安全基礎知識、崗位操作規程等進(jìn)行培訓。遠程辦公環(huán)境下，完全可以開(kāi)展相關(guān)培訓。

三、遠程洽談簽訂合同

目前大部分項目都可以遠程進(jìn)行洽談和合同簽訂。銷(xiāo)售顧問(wèn)、技術(shù)經(jīng)理都在線(xiàn)辦公，工作時(shí)間能夠滿(mǎn)足遠程洽談的需要。