安全資訊

目前數字經(jīng)濟建設浪潮一浪高過(guò)一浪，與此同時(shí)我國的網(wǎng)絡(luò )安全法也逐漸得到普及，支撐網(wǎng)絡(luò )安全法的網(wǎng)絡(luò )安全等級保護相關(guān)標準規范也不斷更新和完善。

落實(shí)網(wǎng)絡(luò )安全等級保護制度是網(wǎng)絡(luò )運營(yíng)者（指網(wǎng)絡(luò )的所有者、管理者和網(wǎng)絡(luò )服務(wù)提供者）的責任與義務(wù)。通常情況，無(wú)論是在建或已運行的系統，完成一次等級保護測評的全流程需要2-3個(gè)月時(shí)間，有的需要半年甚至超過(guò)1年的也不在少數。

以北京為例，等級保護備案階段：申請與受理4個(gè)工作日、審查與決定8個(gè)工作日、制證與發(fā)證10個(gè)工作日。等級保護測評與整改階段更是需要花費大量時(shí)間，一般需要1-2個(gè)月。

靈狐科技專(zhuān)家在近期的一個(gè)項目中，28天內快速完成了一次等級保護測評全流程。并從項目中總結了快速完成等級保護測評全流程的五大關(guān)鍵要素，即優(yōu)選測評機構、系統合理定級、準備工作充分、及時(shí)跟進(jìn)流程、關(guān)鍵路徑并進(jìn)。在此分享給廣大網(wǎng)絡(luò )運營(yíng)者參考。

優(yōu)選測評機構

選擇測評機構時(shí)應盡量選取企業(yè)所在地的測評機構，綜合考慮其公司資質(zhì)與技術(shù)能力，如測評公司具有的資質(zhì)、各等級測評師人員數量、在市場(chǎng)中的口碑、被測評企業(yè)所屬行業(yè)的測評案例等。同時(shí)明確提出本次測評的工期要求與項目預算，并采取邀請招標或公開(kāi)招標的方式選擇最優(yōu)的測評機構。

系統合理定級

系統定級是等級保護測評的第一步，無(wú)論是在建系統或已建系統，合理定級是關(guān)鍵，應參照“定級過(guò)低不允許、定級過(guò)高不可取”的原則來(lái)定級。如同為等級保護第三級可細分為S2A3、S3A3、S3A2三種類(lèi)型，與之相對應的等級保護測評控制項就相差不少，將直接影響系統設計、建設、運維的方方面面。
定級完成后需由安全專(zhuān)家與業(yè)務(wù)專(zhuān)家共同對定級報告中涉及的系統業(yè)務(wù)描述、業(yè)務(wù)網(wǎng)絡(luò )拓撲、業(yè)務(wù)受影響的風(fēng)險分析進(jìn)行專(zhuān)家評審并形成書(shū)面專(zhuān)家評審意見(jiàn)。最后定級報告與專(zhuān)家評審意見(jiàn)需上傳到公安網(wǎng)警的等級保護備案系統中。

準備工作充分

“磨刀不誤砍柴功”，做好大量的準備工作是快速完成等保測評的先決條件。從業(yè)務(wù)系統的全生命周期角度來(lái)看，需要具備項目立項、需求說(shuō)明、實(shí)施方案、驗收標準、人員組織、管理制度等過(guò)程環(huán)節資料。

特別是網(wǎng)絡(luò )安全方面，需要有網(wǎng)絡(luò )安全的設計方案、建設實(shí)施方案、安全策略及安全檢測規范、安全運營(yíng)管理制度及安全建設運營(yíng)過(guò)程文檔（如漏洞掃描報告、滲透測試報告、代碼審計報告、應急預案與演練記錄、人員培訓記錄等）。

針對規模大或重要性要求高的業(yè)務(wù)系統其建設設計方案、安全保障方案需要聘請外部專(zhuān)家進(jìn)行專(zhuān)家評審并形成書(shū)面專(zhuān)家評審意見(jiàn)。

及時(shí)跟進(jìn)流程

以廣東為例，企業(yè)在公共信息網(wǎng)絡(luò )安全綜合管理系統填報前應授權一位負責人，并由其跟進(jìn)后續備案資料收集與文檔掃描、系統填寫(xiě)與資料上傳，同時(shí)關(guān)注審核反饋信息及時(shí)提交補充資料和修訂資料。及時(shí)關(guān)注審核結果、獲取備案證明及線(xiàn)下提交測評報告。

此過(guò)程中，遇到問(wèn)題應及時(shí)反饋給上級領(lǐng)導，并協(xié)調資源推進(jìn)等級保護備案流程。

關(guān)鍵路徑并進(jìn)

加快項目進(jìn)度一般可采取加班與并行趕工的方式，但前提是需要一名優(yōu)秀的項目經(jīng)理來(lái)分解項目實(shí)施步驟，識別并規劃關(guān)鍵實(shí)施路徑，把控管理項目實(shí)施過(guò)程風(fēng)險。等級保護測評過(guò)程主要可并行的環(huán)節有商務(wù)洽談與技術(shù)實(shí)施、系統建設與安全檢測、系統測評與整改復測。