一、背景分析
當前，在數字中國發(fā)展戰(zhàn)略下，作為推進數字中國建設的重要內容，十九屆四中全會提出了數字政府建設，推進數字政府建設，加強數據有序共享，成為我國政府治理現代化的趨勢所在。
以浙江省為例，自2003年起，浙江省政府推進“數字浙江”建設已有十多年，2016年，浙江又在國內首創(chuàng)提出“最多跑一次”改革，開放更多的公共數據資源，讓群眾更充分享受到“數字紅利”。截至2020年6月，浙江全省統(tǒng)一的公共數據平臺已累計歸集322億條數據。
匯聚了大量的公共信息資源和民生應用的政務系統(tǒng)上，在使數據資源整合更加有效、公共服務更加便捷同時，龐大的數據共享也帶來了新的網絡安全風險和隱患。數據盜取、越權訪問、內網設備違規(guī)外聯(lián)等造成政府敏感數據信息泄露、侵犯公民隱私的現象時有發(fā)生。
二、當前政務網安全管控存在的困難和問題
政務網內部存在海量網絡節(jié)點，各類信息系統(tǒng)眾多，呈現出網絡節(jié)點多、業(yè)務系統(tǒng)多、數據資源多的特點。由于網絡攻防技術不斷發(fā)展、應用系統(tǒng)和安全建設分期投入、網絡安全技術人員能力和編制不足、網格規(guī)模不斷擴大、網絡結構日趨復雜等現實情況，安全責任落實和日常安全管理存在的困難和問題不容忽視。
01、管控什么?
在“管控什么”方面，主要存在管控對象不清晰的問題：
資產不明——許多單位對包括網絡終端、應用系統(tǒng)、數據在內的入網資產并不完全掌握；
風險不清——特別是對違規(guī)外聯(lián)、越權訪問等內部違規(guī)行為的監(jiān)控能力不足；
資產和風險因系統(tǒng)不同、部門不同、層級不同而分散在各處，未集中量化，不利于各級監(jiān)管。
02、誰來管控？
職責不清——長期以來，政府部門在網絡和信息系統(tǒng)規(guī)劃、建設、運行和維護過程中，對網絡安全責任的落實存在認識不足、主體不明、職責不清、人員不定、缺乏抓手等問題，導致網絡安全責任難以有效落實，網絡安全保障能力難以有效提升。
網絡安全管控未責任到人，易造成有事情找不到人、出問題追不到責的局面，最終導致網絡安全責任制度只是“掛在墻上，說在嘴上”，而不能落到實處，考核到位。
03、怎么管控?
在“怎么管控”方面，安全管控體系化建設程度不高，組織、管理、運行、應急等方面的“碎片化”傾向較嚴重，未形成資產、風險與管理制度、人員和流程的映射，導致全網安全管理工作協(xié)同體制機制有盲區(qū)、斷點和短板，未有效形成安全管控的合力。以上問題，使層層壓實管理責任、及時處置存在問題成為費時費力的難題，有的區(qū)域和系統(tǒng)長期在“亞健康”安全狀態(tài)下運行。
三、解決方案
針對 “管控什么”、“誰來管控”和“怎么管控”等方面存在的問題，我們提出要堅持技術與管理相結合，以高度集成的信息化管控平臺作為管理工作技術支撐，將 “資產、風險、事件、人員、流程”等管理要素有機融合，形成齊抓共管的合力。具體解決方案如下：
01、以完善制度機制，明確安全管控要求和責任
建立涵蓋安全管理標準要求、責任劃分、情況通報、責任追究等多環(huán)節(jié)、多層次、全方位的制度體系。
《網絡安全法》明確了網絡運營者、關鍵信息基礎設施運營者等的法律責任。中央有關黨委網絡安全工作責任制文件中，明確了各級黨委主要承擔的網絡安全責任。按照誰主管誰負責、屬地管理的原則，各級黨委對本地區(qū)本部門網絡安全工作負主體責任。這些法律法規(guī)和相關文件的發(fā)布，為網絡安全責任體系的建立指明了方向，確定了原則。網絡安全責任體系的構建和落實，可以從明確主體、分清職責、落實人員、建設抓手等幾個方面來入手。
（1）明確主體。在網絡安全保護對象的安全規(guī)劃、建設、運行、維護和監(jiān)督管理的全生命周期過程中都應落實網絡安全責任制，按照“誰主管誰負責、誰建設誰負責、誰運行誰負責、誰使用誰負責”的原則進行責任分工。
（2）分清職責。網絡安全保護對象應當明確主管單位、建設單位、運行管理單位、使用單位等責任單位,多個責任單位可以是同單位。
主管單位——指網絡安全保護對象的管理單位，承擔網絡安全保護對象的網絡安全監(jiān)督、協(xié)調責任；
建設單位——指承擔網絡安全保護對象建設任務的項目單位，具體承擔網絡安全保護對象網絡安全建設責任；
運行管理單位——指承擔網絡安全保護對象運行管理的單位，具體承擔網絡安全保護對象網絡安全運行責任，負責運行階段網絡安全等級保護測評，建立完善運行安全的相關制度，網絡安全威脅監(jiān)測、預警和事件處置；
使用單位——指使用網絡安全保護對象的單位，應當遵守網絡安全有關規(guī)定，確保網絡安全保護對象在使用過程中的安全。
（3）落實人員。各單位應當加強網絡安全責任落實,領導班子主要負責人是網絡安全工作第一責任人,主管網絡安全的領導班子成員是直接責任人，各單位主要負責人應當加強本單位網絡安全工作的統(tǒng)籌管理，各單位須明確本單位的網絡安全管理機構，并落實專人負責網絡安全管理。有條件的單位應將網絡安全責任制考核納入績效考核評價指標體系。
（4）建設抓手。為了將網絡安全責任制有效落實，建設信息化工作抓手尤為重要。對網絡中各類軟硬件資產，應通過信息化手段排查并注冊管理，落實安全責任人；對網絡中各類安全風險事件，應建設信息化手段監(jiān)測預警，定位責任；對需處置的安全風險事件，應建立信息化的通報、處置、反饋、考核機制，做到“處置及時、考核到位”。
02、以明晰資產為基礎，切實“摸清家底”
網絡資產管理工作既繁且雜，除了人工管理，更需依靠有力的技術支撐，雙管齊下才能事半功倍。針對目前政務網資產管理現狀，應從管理與技術兩方面入手，進行綜合治理。
管理制度建設：制度規(guī)范是資產管理技術手段建設與落地的根本保障，網絡資產的管理不僅僅是信息化管理部門的職責，需要全員根據資產管理制度落實執(zhí)行，建議建立的制度包括《IP地址申請和使用管理制度》、《聯(lián)網資產注冊管理辦法》、《聯(lián)網終端資產核查制度》、《全網資產信息采集字段標準化》等等。
技術手段建設：技術手段是實現全網資產明晰化的基礎，為此，需要綜合運用網絡掃描、流量分析、場景建模、機器學習、準入控制等資產測繪技術，對網絡中各類軟硬件資產、業(yè)務系統(tǒng)等進行了資產智能識別和注冊管理，厘清資產底數和屬性，為安全管理奠定基礎，主要手段包括：
全網資產發(fā)現識別：采用多種技術手段，實現網絡內指定IP范圍內軟硬件資產設備的快速發(fā)現、自動識別與歸類。
網絡資產注冊管理：對發(fā)現的資產進行注冊管理，完善資產的責任單位、責任人、聯(lián)系電話、用途等信息，形成明細的資產清單。
網絡資產接入控制：對網絡資產的入網進行控制，并根據管理制度的要求，對各部門IP范圍、設備入網注冊內容、設備入網/出網審批流程等進行管理。
IP資源管理：以圖表的方式展現網絡內IP資源的實際使用情況，便于管理員對網內IP資源使用進行整體規(guī)劃、資源分配、回收登記管理。
應用特征關聯(lián)分析：通過對網絡資產的流量、用途、應用行為等特征關聯(lián)分析，進一步明確資產的類型和屬性，并建立相應的行為基線模型。
03、加強邊界安全管控，有效“認清風險”
信息泄露、病毒、攻擊等安全事件大多透過網絡邊界來進行，因此《信息安全技術 網絡安全等級保護基本要求》對三級以上“邊界防護”作出明確要求。在國內網絡安全主管部門對政企內網實施的滲透測試中，許多內網違規(guī)外聯(lián)設備被滲透成為攻擊跳板。從成因分析，國內政務網常見的非授權內外聯(lián)行為可分為終端多網卡違規(guī)使用、無線AP違規(guī)接入、安全設備不規(guī)范配置、安全邊界設備存在漏洞等類型。這類行為有時極為隱蔽，且已成為多種網絡安全威脅之源。需要行之有效的監(jiān)控技術和方法來實時感知網絡邊界變化，并對破壞網絡邊界的隱患點實現快速定位、取證、告警及阻斷，為維護網絡邊界完整性提供支撐。
我們可以從非授權內外聯(lián)監(jiān)測、告警取證、安全加固幾方面建立綜合防護模型。
內外網互聯(lián)監(jiān)測：對內外網互聯(lián)行為進行監(jiān)測，對內網設備使用雙網卡、代理、路由、邊界產品不規(guī)范配置等方式架設“內外網互聯(lián)”通道行為進行發(fā)現、識別。
設備內外網混用監(jiān)測：對設備內外網混用行為監(jiān)測，對網絡內曾經脫離網絡并且連接過互聯(lián)網的設備監(jiān)測、識別，在外聯(lián)服務器上取證、告警。
隱患外聯(lián)線路監(jiān)測：對隱患外聯(lián)線路通道監(jiān)測，對管理域內網絡設備與互聯(lián)網或其他網絡互聯(lián)通道進行發(fā)現、識別，該通道存在造成大量網內設備外聯(lián)的風險。
移動設備接入：對移動設備接入網絡內行為發(fā)現、識別。
NAT接入：對網絡內的NAT設備和通過該設備私自搭建的局域網進行發(fā)現識別。
04、強化數據管控，加強新型安全監(jiān)測技術手段建設
在整合原有的防病毒、入侵檢測系統(tǒng)的基礎上，增加或增強基于行為模式的風險發(fā)現等新技術手段建設，針對重要業(yè)務數據，建立全天候、全方位、全生命周期的監(jiān)控和審計手段。在違規(guī)行為、安全風險處置上，要堅持“零容忍”，形成安全管控工作閉環(huán)。在重要數據安全管控上，要堅持“零信任”，實現全生命周期的嚴密監(jiān)管。
建立設備入網準入機制
規(guī)范網絡設備接入流程，對非合規(guī)終端實現自動化隔離及修復，提升對終端的合規(guī)性信任，實現終端認證、權限及訪問控制的一體化管理。
對網絡內終端主機、服務器、安全設備等多樣化資產類型進行分類精確準入控制手段，只有通過認證的設備才允許接入，只有合法的應用才允許在網絡中傳輸，從而防范非法私接、設備仿冒、非法掃描等問題，達到“信任接入、接入可知、接入可管”的管理規(guī)范。
加強終端主機安全管控
政務網內終端主機上存儲著多樣和復雜的數據，通過這些數據往往能夠更深入窺探到政企單位的敏感信息。數據顯示，政務網80%以上的安全事件來自于終端主機。
因此，終端主機安全管控應建立起安全管控為核心、以實時監(jiān)測為支撐的全方位終端主機安全解決方案，構建能夠有效監(jiān)控非授權外聯(lián)、違規(guī)軟硬件安裝、殺毒軟件安裝、外部設備使用的終端主機安全監(jiān)測與管控體系，并提供進程/服務運行管理、操作系統(tǒng)配置管理、主機連接管理、信息傳輸行為管理等諸多功能，有效加強對終端數據安全防護。
加強數據安全應用管控
對于信息泄密，傳統(tǒng)的安全管理手段多為事后處置，只能在安全事故發(fā)生后取證溯源，這時社會危害可能已經造成。為保障政府網絡數據安全，應對海量用戶行為日志進行規(guī)律總結、分析挖掘、趨勢研判，并集成多維度風險預警模型，真正做到事前預警、事中管控、事后追溯。
加強數據合規(guī)應用管控應以用戶終端行為日志為核心，運用大數據技術手段，通過對用戶終端行為、證書使用行為、應用系統(tǒng)訪問行為、數據庫訪問行為、打印行為、刻錄行為、移動介質使用行為、屏幕截屏行為等操作行為進行完整記錄，實現對用戶行為實時監(jiān)控審計，具備操作前安全警示、違規(guī)操作事中預警、違法事件事后追溯；為用戶提供了防范敏感信息泄露、保護數據安全的有效途徑，真正實現可跟蹤、可倒查、可預警、可管控。
05、落實應急處置，提升網絡運行的安全水平
2017年1月，中央網信辦印發(fā)《國家網絡安全事件應急預案》，從國家總體層面上指導國家各級網絡安全主管單位建立建全網絡安全事件的應急工作機制和管理體系。
建立應急協(xié)調聯(lián)動系統(tǒng)，根據制度要求和管理流程，打通線上技術自動發(fā)現、預警、阻止、通報與線下人工管理處置反饋各工作流程，形成監(jiān)督、管理和技術防護合力，使得管控工作形成閉環(huán)。
統(tǒng)籌完善網絡安全應急體系
實現跨行業(yè)、部門的溝通協(xié)調機制，監(jiān)管部門（垂直）與網絡安全主管單位（橫向）之間實現統(tǒng)籌協(xié)調。
網絡安全風險/事件匯聚共享
通過多種報送方式對網絡安全信息進行匯聚，將安全風險/事件信息統(tǒng)一納入系統(tǒng)，進行風險研判處理，并通過信息推送、快報等業(yè)務流程實現情報共享。
網絡安全風險/事件及時應急處置
通過流程對系統(tǒng)匯聚的重/特大事件、威脅風險等級進行研判、發(fā)布、應急處置等；實現網絡安全信息情報的及時、有效溝通，在遇到重、特大突發(fā)事件時，能夠有效協(xié)同應對，實現快速應急。
網絡安全風險/事件移動端高效處理
系統(tǒng)提供移動終端應急管理APP、釘釘對接等方式，為用戶提供嚴重突發(fā)事件、高等級預警的快速高效響應處置。
06、網絡安全管理核心平臺支撐體系化安全管控
具體來說，網絡安全管理核心平臺須滿足政府部門在網絡安全管理工作中的計劃、實施、檢查、處置四個階段的關鍵技術需求，以支持政府部門建立、實施、運行、保持和持續(xù)改進適合自身安全需求的專網安全管控體系。
計劃階段
計劃階段的核心工作目的是梳理網絡安全管理的目標和策略，做到安全管理工作的目標明確、決策科學。安全目標應依據相關政策法規(guī)、標準規(guī)范、管理制度、自身生產經營活動的需求來確定。平臺提供相關政策法規(guī)和管理制度等信息維護功能來滿足此類需求。安全策略包括實施、檢查、響應處置等方面的策略，這些策略可體現實現安全目標的過程中細化和分解的各類管理、監(jiān)測、防護、檢查的需求。平臺提供各類策略信息維護、策略聯(lián)動功能來滿足此類的需求。
實施階段
實施階段的核心工作首先應該明確安全管理的對象和資產，同時采用合理的安全防護、審計、運維、服務類產品來保障政府部門的信息網絡安全。平臺應提供包括對象管理、防護管理、安全審計、運維管理、安全服務等相關功能來支持該階段核心需求。
檢查階段
檢查階段的主要工作是開展各類安全風險和事件的有效監(jiān)測、系統(tǒng)建設運行情況監(jiān)測，以及合規(guī)性的安全檢查和評估等關鍵事務。風險和事件安全監(jiān)測是這個階段的重點，主要是對政務網內的各類信息安全威脅、風險和事件進行常態(tài)化監(jiān)測。平臺提供有效的安全技術手段，依據計劃階段的監(jiān)測策略，對這些風險和事件進行有效監(jiān)測，并為其它安全管理活動輸出監(jiān)測結果信息。
處置階段
處置階段的核心業(yè)務就是針對檢查階段的各類風險和事件開展應急響應，包括管理和技術兩類，同時采取必要措施對政府部門當前的網絡安全管理體系的進行持續(xù)改進。平臺提供包括主機、安全設備和網絡設備三類技術響應手段，以滿足終端響應控制、網關設備相應控制、服務器相應控制等需求。
四、預期收效
政務網安全監(jiān)管體系通過融合多種安全監(jiān)管技術來實現政務網安全管理信息化，可構建起“資產清晰、邊界完整、數據可控、風險量化、處置高效”的政務網安全管控體系，實現網絡安全管理的信息化、網格化，形成多級聯(lián)動的安全監(jiān)管機制。
01、實現安全管理工作的信息化
改變目前安全管理制度難以有效落實，管理難度大的現狀，建成統(tǒng)一的政務網安全管理信息化工作平臺，實現設備資產統(tǒng)一管理、資產屬性清晰梳理、安全風險集中監(jiān)測、工作流程結合實際、事件處置落實到人、績效考核有據可依。
02、實現安全技術建設的合規(guī)化
重新進行安全域劃分，梳理網絡架構和安全拓撲，滿足網絡安全等級保護標準三級的基本要求，從網絡和通信安全、設備和計算安全、應用和數據安全等層面補足短板，實現對關鍵信息基礎設施的合規(guī)化保護，做到“設備可知、入網可信、邊界可控、行為可查”。
03、實現敏感數據安全的可管控
從應用系統(tǒng)、數據庫、服務器、業(yè)務終端、運維終端等多個層面加強數據安全管控。對業(yè)務終端、運維終端進行重點監(jiān)控，對各類終端行為進行全面審計。
04、實現安全應急響應的協(xié)同化
建立起統(tǒng)一指揮和反應靈敏的應急響應協(xié)調聯(lián)動系統(tǒng)，并通過協(xié)調聯(lián)動系統(tǒng)建立應急工作協(xié)調機制，有效應對各類重大網絡事件的應急響應工作?！ ?/p>
周征宇現任浙江遠望信息股份有限公司副總裁，高級工程師，浙江省信息安全標準化技術委員會委員，杭州市網絡安全專家?guī)斐蓡T。在信息安全管理體系上有多年的研究，參與過國家標準《信息安全管理技術支撐平臺技術要求》和浙江公安標準《浙江省公安視頻專網安全管理技術規(guī)范》的編制工作。
附1：國脈“一網通辦”核心支撐系統(tǒng)（GDBOS），助力數字政府建設
數字政府2.0操作系統(tǒng)、政務數據體系2.0基礎標配、政務服務一體化升級方案。又名“政府數據業(yè)務操作系統(tǒng)”（GDBOS）, 是基于國家有關政策要求、各地實踐經驗、數據體系理論、微服務技術架構，圍繞“大數據、大系統(tǒng)、大平臺”融合一體思路，為各地數字政府升級而量身打造的一套作業(yè)平臺。運用數據體系、標準治理、業(yè)務再造、組織進化等工具和方式，可從結構、標準、模塊架構上對當前政務服務平臺體系進行優(yōu)化、重組和升級。有效適配部委、省、市、縣（區(qū)）不同層次需求，支撐數據整合共享、政務流程再造和服務模式升級，全面提升政務服務能力，夯實數字政府基礎，為國家治理能力現代化提供重要支撐。
依托"產品+數據+標準"框架，構建"標準支撐、數據體系、業(yè)務再造、數據治理、管理賦能"五大體系，無縫銜接既有業(yè)務系統(tǒng)，有效驅動政務服務整體運作：①落腳在“辦成”，把政務數據歸集到一個功能性平臺，企業(yè)和群眾只進一扇門就能辦成不同領域事項；②綜合提升政府政務服務、數據整合與治理能力，并最終實現數字化轉型升級與智慧組織進化。
附2：國脈政策通（又名“國脈一體化惠企政策服務平臺”），是對標中央關于“各項惠企政策落實到位、易于知曉、一站辦理”要求，打通政策服務、優(yōu)化營商環(huán)境的幫手級產品。以“惠企政策精準送、補貼申報一次辦”為核心，提供政策“發(fā)布、匯聚、查看、送達、辦理、督查、評價”全套解決方案。基于市場主體、民生服務和營商環(huán)境優(yōu)化，從最小顆?；翟礃藴驶?、數據共享化、組織協(xié)同化、業(yè)務融合化五個方面著手打造，實現群眾與企業(yè)真正“知政策、懂政策、享政策”，依托政策紅利更好發(fā)展。截至目前，該系統(tǒng)已于深圳市、杭州市、佛山市、浦東新區(qū)、南山區(qū)等地應用，獲企業(yè)群眾普遍好評。
