设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [14894] 2019-12-03_等保2.0正式实施，这些重点帮你划好 ...
返回列表 发新帖
查看: 2|回复: 0

[14894] 2019-12-03_等保2.0正式实施，这些重点帮你划好了

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-56

积分

管理员

积分
-56
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-12-03_等保2.0正式实施，这些重点帮你划好了 等 保 2 . 0 正 式 实 施 ， 这 些 重 点 帮 你 划 好 了 F r e e B u f   2 0 1 9 - 1 2 - 0 3 前 言 前 言 1 2   月 月   1   日 ， 等 级 保 护 日 ， 等 级 保 护   2 . 0   标 准 正 式 实 施 ， 不 过 因 为 是 在 年 底 ， 大 多 数 企 业 等 级 测 评 工 作 已 经 完 成 ， 所 以 重 头 戏 标 准 正 式 实 施 ， 不 过 因 为 是 在 年 底 ， 大 多 数 企 业 等 级 测 评 工 作 已 经 完 成 ， 所 以 重 头 戏 应 该 在 明 年 ， 这 也 是 国 家 给 企 业 充 足 的 学 习 和 整 改 时 间 。 那 么 ， 在 这 个 空 档 期 ， 来 和 大 家 聊 聊 等 级 保 护 应 该 在 明 年 ， 这 也 是 国 家 给 企 业 充 足 的 学 习 和 整 改 时 间 。 那 么 ， 在 这 个 空 档 期 ， 来 和 大 家 聊 聊 等 级 保 护   2 . 0   测 测 评 时 有 哪 些 需 要 关 心 的 重 点 吧 。 评 时 有 哪 些 需 要 关 心 的 重 点 吧 。 有 关 新 老 标 准 的 变 化 ， 可 以 参 考 之 前 文 章 或 三 所 的 解 读 ， 不 再 重 复 ， 这 里 说 说 比 较 接 地 气 的 东 西 吧 。 这 里 总 结 了 一 下 ， 针 对 通 用 安 全 部 分 ， 三 级 和 四 级 系 统 共 有   4 5   条 新 增 以 及 容 易 被 忽 略 的 要 求 向 ， 如 下 表 所 示 ： 下 面 将 会 针 对 这 些 要 求 项 逐 条 进 行 说 明 。 技 术 部 分 技 术 部 分 安 全 物 理 环 境 安 全 物 理 环 境 1 . 机 房 出 入 口 应 配 置 电 子 门 禁 系 统 ， 控 制 、 鉴 别 和 记 录 进 入 的 人 员 机 房 出 入 口 应 配 置 电 子 门 禁 系 统 ， 控 制 、 鉴 别 和 记 录 进 入 的 人 员
按 照 以 前 的 标 准 ， 门 禁 系 统 可 以 不 是 电 子 系 统 ， 可 以 通 过 流 程 和 人 来 管 控 ， 但 在 新 的 标 准 中 要 求 必 须 是 电 子 门 禁 系 统 ， 即 使 流 程 管 控 再 严 格 也 是 不 符 合 要 求 的 。 2 . 重 要 区 域 应 配 置 第 二 道 电 子 门 禁 系 统 ， 控 制 、 鉴 别 和 记 录 进 入 的 人 员 （ 四 级 ） 重 要 区 域 应 配 置 第 二 道 电 子 门 禁 系 统 ， 控 制 、 鉴 别 和 记 录 进 入 的 人 员 （ 四 级 ） 针 对 四 级 系 统 的 要 求 ， 通 常 机 房 中 会 按 照 区 域 进 行 划 分 ， 但 是 对 于 重 要 区 域 的 二 道 门 禁 ， 一 般 机 房 目 前 并 无 配 置 ， 因 此 这 点 要 注 意 ， 尽 快 安 装 配 备 相 应 设 施 。 3 . 应 采 取 措 施 防 止 静 电 的 产 生 ， 例 如 采 用 静 电 消 除 器 、 佩 戴 防 静 电 手 环 等 应 采 取 措 施 防 止 静 电 的 产 生 ， 例 如 采 用 静 电 消 除 器 、 佩 戴 防 静 电 手 环 等 本 项 其 实 不 算 大 事 ， 但 是 也 是 容 易 忽 略 的 问 题 。 往 往 进 了 机 房 习 惯 性 的 上 机 就 开 始 操 作 ， 不 做 除 电 。 这 里 可 以 在 每 排 机 柜 上 配 备 一 个 防 静 电 手 环 ， 在 机 房 制 度 中 新 增 一 条 关 于 静 电 消 除 的 操 作 规 范 要 求 ， 基 本 可 以 符 合 。 4 . 应 设 置 冗 余 或 并 行 的 电 力 电 缆 线 路 为 计 算 机 系 统 供 电 应 设 置 冗 余 或 并 行 的 电 力 电 缆 线 路 为 计 算 机 系 统 供 电
要 求 三 级 及 以 上 系 统 所 在 的 机 房 要 具 备 双 路 并 行 电 力 线 路 ， 来 自 不 同 供 电 站 的 电 缆 ， 目 前 大 多 数 自 建 机 房 应 该 是 不 符 合 要 求 ， 大 型   I D C   和 云 机 房 通 常 都 有 相 关 设 计 。 不 过 介 于 整 改 比 较 困 难 ， 应 该 不 会 作 为 否 决 项 ， 只 是 扣 分 而 已 。 5 . 应 提 供 应 急 供 电 设 施 （ 四 级 ） 应 提 供 应 急 供 电 设 施 （ 四 级 ） 1 0 0 0 k w   柴 油 电 （ 柴 油 电 （ g u a i ） 机 （ ） 机 （ w u ） ） 针 对 四 级 系 统 的 电 力 要 求 ， 基 于 三 级 要 求 ， 还 要 额 外 配 备 发 电 机 ， 以 应 对 市 政 停 电 情 况 。 标 准 中 并 未 提 到 双 发 电 机 的 要 求 ， 但 是 介 于 冗 余 性 考 虑 ， 有 条 件 的 可 以 配 备 。 如 果 是 大 型 数 据 中 心 ， 要 配 置 多 少 台 就 要 看 实 际 规 模 了 ， 一 般 是 在 1 0 - 2 0   台 的 机 组 ， 采 用   2 N   或   N + 1   的 配 置 模 式 。 这 不 是 我 们 需 要 关 心 的 ， 所 以 看 看 就 好 。 数 据 中 心 柴 油 发 电 机 室 数 据 中 心 柴 油 发 电 机 室 安 全 通 信 网 络 安 全 通 信 网 络 1 . 应 在 通 信 前 基 于 密 码 技 术 对 通 信 的 双 方 进 行 验 证 或 认 证 （ 四 级 ） 应 在 通 信 前 基 于 密 码 技 术 对 通 信 的 双 方 进 行 验 证 或 认 证 （ 四 级 ） 通 常 默 认 情 况 ， 我 们   S S L / T L S   的 认 证 是 单 向 的 ， 即 只 对 服 务 端 认 证 ， 那 么 对 于 四 级 系 统 ， 新 标 准 要 求 必 须 开 启 双 向 认 证 ， 即 同 时 对 客 户 端 也 要 进 行 认 证 。 这 里 额 外 说 明 一 下 ， 根 据 公 安 三 所 专 家 的 解 读 ， 通 信 加 密 所 采 用 的 算 法 应 该 基 于 国 密 算 法 （ S M 1 、 S M 2 、 S M 4 、 S M 9   等 ） ， 而 非 国 际 通 用 加 密 算 法 ， 不 过 介 于 目 前 大 多 企 业 采 用 的 设 备 不 支 持 国 密 算 法 ， 另 一 方 面 国 密 算 法 的 推 广 和 应 用 也 在 逐 步 完 善 ， 因 此 个 人 认 为 此 项 也 非 否 决 项 ， 只 是 扣 分 项 ， 不 过 未 来 可 能 会 变 为 强 制 要 求 。 （ 有 关 双 向 认 证 的 细 节 ， 可 参 考 本 人 之 前 发 表 的 等 保   2 . 0   个 人 解 读 安 全 通 信 网 络 部 分 ）
安 全 区 域 边 界 安 全 区 域 边 界 1 . 应 能 够 对 非 授 权 设 备 私 自 联 到 内 部 网 络 的 行 为 进 行 检 查 或 限 制 （ 入 侵 检 测 ） 应 能 够 对 非 授 权 设 备 私 自 联 到 内 部 网 络 的 行 为 进 行 检 查 或 限 制 （ 入 侵 检 测 ） 2 . 应 能 够 对 内 部 用 户 非 授 权 联 到 外 部 网 络 的 行 为 进 行 检 查 或 限 制 （ 行 为 管 理 ） 应 能 够 对 内 部 用 户 非 授 权 联 到 外 部 网 络 的 行 为 进 行 检 查 或 限 制 （ 行 为 管 理 ） 此 处 两 条 是 东 西 向 的 访 问 检 测 与 限 制 ， 目 前 通 过   I D P S   以 及 行 为 管 理 设 备 基 本 可 以 满 足 相 应 要 求 ， 测 评 时 可 能 会 查 看 策 略 启 用 效 果 以 及 检 测 和 阻 断 记 录 ， 需 要 注 意 。 3 . 应 限 制 无 线 网 络 的 使 用 ， 保 证 无 线 网 络 通 过 受 控 的 边 界 设 备 接 入 内 部 网 络 应 限 制 无 线 网 络 的 使 用 ， 保 证 无 线 网 络 通 过 受 控 的 边 界 设 备 接 入 内 部 网 络 首 次 在 标 准 中 提 到 有 关 无 线 网 络 安 全 的 要 求 ， 这 里 要 求 比 较 基 础 ， 只 要 各 无 线   A P   或 无 线 路 由 均 通 过   A D   进 行 管 理 和 控 制 即 符 合 。 4 . 应 能 够 在 发 现 非 授 权 设 备 私 自 联 到 内 部 网 络 的 行 为 或 内 部 用 户 非 授 权 联 到 外 部 网 络 的 行 为 时 ， 对 其 进 行 有 效 应 能 够 在 发 现 非 授 权 设 备 私 自 联 到 内 部 网 络 的 行 为 或 内 部 用 户 非 授 权 联 到 外 部 网 络 的 行 为 时 ， 对 其 进 行 有 效 阻 断 阻 断 这 部 分 在 等 保   1 . 0   中 也 有 过 相 关 要 求 描 述 ， 但 没 有 如 此 具 体 ， 该 项 要 求 完 全 从 技 术 上 解 决 目 前 基 本 不 太 可 能 （ 当 然 ， 如 果 企 业 具 备 将 附 近 基 站 的 数 据 和 语 音 分 离 的 权 限 ， 那 么 这 想 倒 是 可 以 从 技 术 上 来 搞 定 ） ， 通 常 是 管 理 为 主 ， 技 术 为 辅 的 方 式 来 控 制 。 毕 竟 个 人 热 点 和 无 线 网 卡 等 应 用 ， 很 难 及 时 发 现 。 建 议 重 点 在 制 度 上 入 手 ， 形 成 意 识 、 管 理 、 流 程 上 的 多 方 面 管 控 ， 以 此 达 到 要 求 。 5 . 应 删 除 多 余 或 无 效 的 访 问 控 制 规 则 ， 优 化 访 问 控 制 列 表 ， 并 保 证 访 问 控 制 规 则 数 量 最 小 化 应 删 除 多 余 或 无 效 的 访 问 控 制 规 则 ， 优 化 访 问 控 制 列 表 ， 并 保 证 访 问 控 制 规 则 数 量 最 小 化 新 要 求 ， 重 点 是 要 定 期 优 化 和 清 理   A C L   以 及 策 略 路 由 等 配 置 ， 测 评 时 会 查 看 当 前 安 全 策 略 配 置 以 及 规 则 优 化 和 清 理 的 记 录 。 6 . 应 在 关 键 网 络 节 点 处 检 测 、 防 止 或 限 制 从 内 部 发 起 的 网 络 攻 击 行 为 应 在 关 键 网 络 节 点 处 检 测 、 防 止 或 限 制 从 内 部 发 起 的 网 络 攻 击 行 为 这 里 是 对 策 略 进 行 双 向 （ i n / o u t ） 应 用 ， 强 调 东 西 双 向 控 制 。 7 . 应 采 取 技 术 措 施 对 网 络 行 为 进 行 分 析 ， 实 现 对 网 络 攻 击 特 别 是 新 型 网 络 攻 击 行 为 的 分 析 应 采 取 技 术 措 施 对 网 络 行 为 进 行 分 析 ， 实 现 对 网 络 攻 击 特 别 是 新 型 网 络 攻 击 行 为 的 分 析 强 调 对 于   A P T   和   0 d a y   一 类 的 攻 击 检 测 和 防 护 能 力 ， 介 于 目 前 态 势 感 知 和 威 胁 平 台 的 水 平 ， 实 现 起 来 很 难 ， 而 且 不 是 每 家 都 有 这 么 强 实 力 的 安 全 团 队 。 所 以 ， 如 果 你 又 某 某 家 的 态 势 感 知 产 品 ， 通 常 测 评 中 心 不 会 为 难 你 。 对 于 新 型 攻 击 ， 可 以 从 人 的 角 度 （ 应 急 团 队 、 安 全 团 队 ） 来 强 化 管 控 和 预 警 能 力 。 8 . 应 能 对 远 程 访 问 的 用 户 行 为 、 访 问 互 联 网 的 用 户 行 为 等 单 独 进 行 行 为 审 计 和 数 据 分 析 应 能 对 远 程 访 问 的 用 户 行 为 、 访 问 互 联 网 的 用 户 行 为 等 单 独 进 行 行 为 审 计 和 数 据 分 析 即 对 外 接 口 的 用 户 行 为 以 及 内 部 访 问 互 联 网 的 用 户 进 行 单 独 审 计 ， 如 果 在 同 一 套 审 计 平 台 中 可 以 建 立 不 同 的 审 计 任 务 ， 那 么 是 可 以 满 足 要 求 的 。 如 果 不 行 ， 可 能 就 要 搭 建 两 套 审 计 平 台 来 实 现 。 不 过 也 不 是 必 须 要 达 到 的 ， 属 于 扣 分 项 。 安 全 计 算 环 境 安 全 计 算 环 境 1 . 应 能 发 现 可 能 存 在 的 已 知 漏 洞 ， 并 在 经 过 充 分 测 试 评 估 后 ， 及 时 修 补 漏 洞 应 能 发 现 可 能 存 在 的 已 知 漏 洞 ， 并 在 经 过 充 分 测 试 评 估 后 ， 及 时 修 补 漏 洞 定 期 漏 洞 扫 描 工 作 ， 这 次 不 是 只 扫 描 就   O K   了 ， 对 于 发 现 的 漏 洞 要 进 行 验 证 ， 确 认 漏 洞 的 真 实 性 ， 然 后 对 于 真 实 漏 洞 进 行 整 改 。 很 刺 激 对 吧 ， 要 验 证 了 哦 。
2 . 应 能 够 检 测 到 对 重 要 节 点 进 行 入 侵 的 行 为 ， 并 在 发 生 严 重 入 侵 事 件 时 提 供 报 警 应 能 够 检 测 到 对 重 要 节 点 进 行 入 侵 的 行 为 ， 并 在 发 生 严 重 入 侵 事 件 时 提 供 报 警 这 明 显 说 的 就 是   I D P S   嘛 ， 同 行   N G F W   也 具 备 同 样 能 力 。 什 么 ？ 你 们 没 有 防 火 墙 ， 抱 歉 ， 我 只 能 帮 你 到 这 里 了 ， 自 求 多 福 吧 。 这 条 可 以 直 接 否 了 你 的 本 次 测 评 。 3 . 应 提 供 异 地 实 时 备 份 功 能 ， 利 用 通 信 网 络 将 重 要 数 据 实 时 备 份 至 备 份 场 地 应 提 供 异 地 实 时 备 份 功 能 ， 利 用 通 信 网 络 将 重 要 数 据 实 时 备 份 至 备 份 场 地 在 老 标 准 的 基 础 上 ， 等 保   2 . 0   标 准 明 确 提 出 实 时 备 份 至 异 地 ， 不 过 好 在 是 对 于 重 要 数 据 ， 这 点 各 家 根 据 实 际 情 况 来 权 衡 吧 。 没 有 的 话 肯 定 是   G G   了 ， 有 的 话 看 情 况 ， 不 能 做 到 实 时 ， 但 是 有 异 地 备 份 ， 这 算 是 基 本 符 合 ， 不 会 被 判 定 否 决 ， 可 以 后 期 列 入 整 改 计 划 ， 逐 渐 完 善 。 中 小 企 业 或 者 云 上 系 统 ， 可 以 把 这 锅 甩 给 云 供 应 商 ； 大 型 企 业 和 自 建 机 房 / 私 有 云 的 公 司 ， 建 议 尽 可 能 完 善 ， 不 求 有 功 ， 但 求 无 过 。 其 实 基 本 上 等 同 于 双 活 ， 只 是 没 提 切 换 延 时 的 要 求 。 4 . 应 仅 采 集 和 保 存 业 务 必 需 的 用 户 个 人 信 息 应 仅 采 集 和 保 存 业 务 必 需 的 用 户 个 人 信 息 5 . 应 禁 止 未 授 权 访 问 和 非 法 使 用 用 户 个 人 信 息 应 禁 止 未 授 权 访 问 和 非 法 使 用 用 户 个 人 信 息
这 两 条 都 是 关 于 个 人 信 息 保 护 的 要 求 ， 基 本 就 如 字 面 意 思 。 稍 微 解 释 一 下 ， 一 方 面 是 采 集 个 人 信 息 时 ， 只 能 采 集 所 需 的 必 要 信 息 ， 对 于 这 类 信 息 你 可 以 收 集 ， 但 是 若 未 授 权 不 得 随 意 访 问 和 修 改 信 息 ， 也 就 是 说 ， 信 息 可 以 放 在 你 们 这 ， 但 是 我 不 同 意 ， 你 就 不 能 看 ， 除 非 协 助 公 安 和 相 关 部 门 处 理 特 殊 事 宜 时 的 强 制 配 合 。 另 一 方 面 ， 信 息 收 集 过 来 后 ， 不 可 以 随 便 向 其 收 集 发 送 各 种 推 销 、 广 告 以 及 恶 意 链 接 ， 这 些 操 作 都 不 可 以 。 也 就 是 说 ， 对 于 一 些 常 规 流 氓 操 作 进 行 了 约 束 和 控 制 ， 虽 然 不 知 道 效 果 如 何 ， 但 起 码 提 出 了 相 应 要 求 。 这 方 面 ， 对 于 那 些 需 要 采 集 个 人 信 息 的 系 统 ， 是 比 较 难 搞 的 一 项 要 求 。 靠 技 术 展 示 基 本 不 大 可 能 ， 所 以 就 要 尽 可 能 的 解 释 ， 从 管 理 制 度 、 操 作 规 范 、 员 工 培 训 、 惩 罚 制 度 、 保 密 协 议 、 流 程 管 控 方 面 来 说 明 ， 你 们 做 得 如 何 好 ， 基 本 这 样 就 差 不 多 了 。 但 是 ， 未 来 几 年 ， 数 据 安 全 是 趋 势 ， 信 息 安 全 和 隐 私 保 护 都 在 立 法 阶 段 ， 后 续 的 监 控 也 会 越 来 越 严 ， 因 此 建 议 还 是 要 从 实 际 出 发 ， 不 要 只 考 虑 眼 前 的 测 评 ， 多 想 想 以 后 怎 么 跟 监 管 解 释 吧 。 安 全 管 理 中 心 安 全 管 理 中 心 1 . 应 对 分 散 在 各 个 设 备 上 的 审 计 数 据 进 行 收 集 汇 总 和 集 中 分 析 ， 并 保 证 审 计 记 录 的 留 存 时 间 符 合 法 律 法 规 要 求 应 对 分 散 在 各 个 设 备 上 的 审 计 数 据 进 行 收 集 汇 总 和 集 中 分 析 ， 并 保 证 审 计 记 录 的 留 存 时 间 符 合 法 律 法 规 要 求 2 . 应 能 对 网 络 中 发 生 的 各 类 安 全 事 件 进 行 识 别 、 报 警 和 分 析 应 能 对 网 络 中 发 生 的 各 类 安 全 事 件 进 行 识 别 、 报 警 和 分 析 这 两 条 要 求 是 对 日 志 留 存 的 要 求 ， 等 保   2 . 0   标 准 不 再 对 日 志 留 存 时 间 进 行 要 求 了 ， 但 是 对 于 全 流 量 以 及 安 全 事 件 日 志 必 须 留 存 。 那 么 是 不 是 可 以 不 用 再 存 放   6   个 月 了 呢 ？ 请 看 这 里 ： 网 络 安 全 法 第 二 十 一 条 ： （ 三 ） 采 取 监 测 、 记 录 网 络 运 行 状 态 、 网 络 安 全 事 件 的 技 术 措 施 ， 并 按 照 规 定 留 存 相 关 的 网 络 日 志 不 少 于 六 个 月 。
大 家 懂 了 吧 ， 所 以 以 前 怎 么 干 的 ， 还 怎 么 干 。 管 理 部 分 管 理 部 分 安 全 管 理 制 度 安 全 管 理 制 度 1 . 应 制 定 网 络 安 全 工 作 的 总 体 方 针 和 安 全 策 略 ， 阐 明 机 构 安 全 工 作 的 总 体 目 标 、 范 围 、 原 则 和 安 全 框 架 等 应 制 定 网 络 安 全 工 作 的 总 体 方 针 和 安 全 策 略 ， 阐 明 机 构 安 全 工 作 的 总 体 目 标 、 范 围 、 原 则 和 安 全 框 架 等 2 . 应 形 成 由 安 全 策 略 、 管 理 制 度 、 操 作 规 程 、 记 录 表 单 等 构 成 的 全 面 的 安 全 管 理 制 度 体 系 应 形 成 由 安 全 策 略 、 管 理 制 度 、 操 作 规 程 、 记 录 表 单 等 构 成 的 全 面 的 安 全 管 理 制 度 体 系 3 . 应 定 期 对 安 全 管 理 制 度 的 合 理 性 和 适 用 性 进 行 论 证 和 审 定 ， 对 存 在 不 足 或 需 要 改 进 的 安 全 管 理 制 度 进 行 修 订 应 定 期 对 安 全 管 理 制 度 的 合 理 性 和 适 用 性 进 行 论 证 和 审 定 ， 对 存 在 不 足 或 需 要 改 进 的 安 全 管 理 制 度 进 行 修 订 这 三 条 要 求 中 ， 等 保   2 . 0   标 准 均 有 所 变 化 ， 尤 其 最 后 一 条 ， 要 对 合 理 性 和 适 用 性 进 行 论 证 ， 那 些 模 板 的 东 西 已 经 没 用 了 。 那 么 怎 么 来 改 呢 ？ 方 针 和 策 略 一 般 公 司 都 会 有 ， 如 果 没 有 的 话 ， 尽 快 制 定   2 0 2 0   的   I T   和 安 全 规 划 ， 目 标 和 策 略 其 实 可 以 很 简 单 ， 好 比 阿 里 的 三 句 话 策 略 。 但 是 要 贴 合 实 际 ， 不 要 胡 扯 。 那 么 策 略 、 制 度 、 规 程 、 表 单 （ I S O   2 7 0 0 1   的 四 级 文 档 ） 就 会 配 套 进 行 修 订 ， 形 成 一 套 体 系 ， 如 果 已 通 过   I S O   2 7 0 0 1 认 证 的 ， 可 以 以 此 来 证 明 自 己 已 有 安 全 管 理 制 度 体 系 。 没 有 的 ， 要 尽 快 建 立 一 套 贴 合 业 务 和   I T   现 状 的 制 度 ， 可 以 简 单 点 ， 只 要 能 落 地 就 好 。 最 后 ， 关 于 合 理 性 和 适 用 性 ， 一 般 是 对 于 制 度 和 流 程 的 落 地 试 点 情 况 。 体 系 比 较 完 善 的 企 业 ， 在 制 度 发 布 或 修 订 时 会 进 行 内 部 评 审 ， 通 过 后 才 可 正 式 发 布 。 没 有 相 关 流 程 的 企 业 ， 可 以 将 此 作 为 缺 失 的 环 节 ， 在 后 续 制 度 体 系 中 增 加 或 完 善 相 应 管 理 。 安 全 管 理 机 构 安 全 管 理 机 构 1 . 应 成 立 指 导 和 管 理 网 络 安 全 工 作 的 委 员 会 或 领 导 小 组 ， 其 最 高 领 导 由 单 位 主 管 领 导 担 任 或 授 权 应 成 立 指 导 和 管 理 网 络 安 全 工 作 的 委 员 会 或 领 导 小 组 ， 其 最 高 领 导 由 单 位 主 管 领 导 担 任 或 授 权 这 点 很 多 公 司 都 没 做 好 ， 主 要 体 现 在 两 个 方 面 。 一 是 ， 领 导 小 组 架 构 和 职 责 很 明 确 ， 但 是 岗 位 责 任 人 是 职 位 （ 如 总 经 理 、 安 全 部 总 监 ） 而 不 是 人 名 ， 这 样 就 无 法 做 到 责 任 落 实 ， 不 符 合 领 导 小 组 的 初 衷 ； 二 是 ， 组 长 的 任 命 是 空 口 说 的 ， 没 有 正 式 的 任 命 函 或 董 事 会 级 别 的 正 式 通 知 。 这 两 点 如 果 都 能 做 好 ， 基 本 就 没 太 大 问 题 了 。 2 . 应 针 对 系 统 变 更 、 重 要 操 作 、 物 理 访 问 和 系 统 接 入 等 事 项 执 行 审 批 过 程 ， 对 重 要 活 动 建 立 逐 级 审 批 制 度 应 针 对 系 统 变 更 、 重 要 操 作 、 物 理 访 问 和 系 统 接 入 等 事 项 执 行 审 批 过 程 ， 对 重 要 活 动 建 立 逐 级 审 批 制 度 老 生 常 谈 的 事 情 ， 凡 是 和 安 全 相 关 的 过 程 记 录 都 要 留 存 （ 纸 质 或 电 子 记 录 均 可 ） ， 这 种 东 西 一 般 不 太 好 凭 空 去 造 ， 所 以 还 是 建 议 踏 踏 实 实 的 去 建 流 程 ， 落 实 制 度 。 流 程 可 以 不 够 全 面 ， 但 是 一 定 要 能 落 地 ， 能 运 行 起 来 。 3 . 应 定 期 进 行 全 面 安 全 检 查 ， 检 查 内 容 包 括 现 有 安 全 技 术 措 施 的 有 效 性 、 安 全 配 置 与 安 全 策 略 的 一 致 性 、 安 全 应 定 期 进 行 全 面 安 全 检 查 ， 检 查 内 容 包 括 现 有 安 全 技 术 措 施 的 有 效 性 、 安 全 配 置 与 安 全 策 略 的 一 致 性 、 安 全 管 理 制 度 的 执 行 情 况 等 管 理 制 度 的 执 行 情 况 等 等 保   2 . 0   标 准 强 制 要 求 ， 定 期 进 行 全 面 安 全 检 查 ， 不 只 是 技 术 层 面 ， 也 包 括 制 度 层 面 。 通 管 局 、 工 信 部 的 安 全 检 查 是 监 管 ， 不 属 于 要 求 中 提 到 的 检 查 ， 要 各 企 业 自 行 组 织 开 展 ， 并 形 成 报 告 、 对 发 现 的 问 题 整 改 、 复 测 整 改 情 况 等 。 今 年 没 做 ， 明 年 要 至 少 进 行 一 次 检 查 工 作 ， 类 似 银 保 监 的 安 全 自 查 评 估 。 4 . 应 制 定 安 全 检 查 表 格 实 施 安 全 检 查 ， 汇 总 安 全 检 查 数 据 ， 形 成 安 全 检 查 报 告 ， 并 对 安 全 检 查 结 果 进 行 通 报 应 制 定 安 全 检 查 表 格 实 施 安 全 检 查 ， 汇 总 安 全 检 查 数 据 ， 形 成 安 全 检 查 报 告 ， 并 对 安 全 检 查 结 果 进 行 通 报 结 合 前 一 项 要 求 ， 除 了 自 评 估 安 全 检 查 ， 还 要 制 定 检 查 表 ， 检 查 过 程 的 现 状 调 研 和 检 查 结 果 记 录 表 单 也 要 汇 总 保 留 。 有 点 类 似 于 风 险 评 估 ， 包 括 资 产 、 威 胁 、 脆 弱 性 。 这 里 提 一 句 ， 某 些 厂 商 坑 爹 的 评 估 也 称 为 风 险 评 估 ， 希 望 各 位 多 去 看 看   G B / T   2 0 9 8 4 ， 好 好 了 解 下 什 么 叫 风 评 ， 不 要 随 便 测 测 出 个 报 告 就 叫 风 评 。 安 全 管 理 人 员 安 全 管 理 人 员
1 . 应 定 期 对 不 同 岗 位 的 人 员 进 行 技 能 考 核 应 定 期 对 不 同 岗 位 的 人 员 进 行 技 能 考 核 首 次 提 出 针 对 技 能 进 行 考 核 ， 也 就 是 针 对 不 同 岗 位 （ 运 维 、 安 全 、 开 发 、 测 试 等 ） ， 进 行 相 关 技 能 培 训 与 考 核 。 可 以 不 用 针 对 每 一 个   I T   相 关 岗 位 ， 但 是 要 有 一 定 的 覆 盖 度 ， 比 如 今 年 我 们 主 要 侧 重 运 维 和 安 全 ， 明 年 主 要 侧 重 开 发 和 测 试 ， 同 时 在 制 度 和 培 训 考 核 计 划 中 也 要 有 体 现 。 安 全 建 设 管 理 安 全 建 设 管 理 1 . 应 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 定 级 结 果 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定 应 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 定 级 结 果 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定 2 . 应 组 织 相 关 部 门 和 有 关 安 全 专 家 对 安 全 整 体 规 划 及 其 配 套 文 件 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定 ， 经 过 批 准 应 组 织 相 关 部 门 和 有 关 安 全 专 家 对 安 全 整 体 规 划 及 其 配 套 文 件 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定 ， 经 过 批 准 后 才 能 正 式 实 施 后 才 能 正 式 实 施 等 保   2 . 0   标 准 开 始 ， 不 再 提 倡 自 主 定 级 ， 改 为 由 专 家 进 行 定 级 。 一 般 就 是 由 测 评 机 构 或 者 知 名 安 全 厂 商 来 进 行 定 级 ， 出 具 定 级 报 告 ， 其 中 包 括 评 审 和 论 证 环 节 。 可 以 是 会 议 记 录 ， 也 可 以 是 最 终 的 评 审 报 告 或 定 级 报 告 。 3 . 应 根 据 保 护 对 象 的 安 全 保 护 等 级 及 与 其 他 级 别 保 护 对 象 的 关 系 进 行 安 全 整 体 规 划 和 安 全 方 案 设 计 ， 设 计 内 容 应 根 据 保 护 对 象 的 安 全 保 护 等 级 及 与 其 他 级 别 保 护 对 象 的 关 系 进 行 安 全 整 体 规 划 和 安 全 方 案 设 计 ， 设 计 内 容 应 包 含 密 码 技 术 相 关 内 容 ， 并 形 成 配 套 文 件 应 包 含 密 码 技 术 相 关 内 容 ， 并 形 成 配 套 文 件 本 项 要 求 其 实 是 对 三 同 步 的 要 求 ， 即 同 步 规 划 、 同 步 建 设 、 同 步 使 用 。 本 项 不 再 多 说 ， 已 经 很 熟 悉 了 。 （ （ 1 ） 同 步 规 划 ） 同 步 规 划 在 业 务 规 划 的 阶 段 ， 应 当 同 步 纳 入 安 全 要 求 ， 引 入 安 全 措 施 。 如 同 步 建 立 信 息 资 产 管 理 情 况 检 查 机 制 ， 指 定 专 人 负 责 信 息 资 产 管 理 ， 对 信 息 资 产 进 行 统 一 编 号 、 统 一 标 识 、   统 一 发 放 ， 并 及 时 记 录 信 息 资 产 状 态 和 使 用 情 况 等 安 全 保 障 措 施 。 （ （ 2 ） 同 步 建 设 ） 同 步 建 设 在 项 目 建 设 阶 段 ， 通 过 合 同 条 款 落 实 设 备 供 应 商 、 厂 商 和 其 他 合 作 方 的 责 任 ， 保 证 相 关 安 全 技 术 措 施 的 顺 利 准 时 建 设 。 保 证 项 目 上 线 时 ， 安 全 措 施 的 验 收 和 工 程 验 收 同 步 ， 外 包 开 发 的 系 统 需 要 进 行 上 线 前 安 全 检 测 ， 确 保 只 有 符 合 安 全 要 求 的 系 统 才 能 上 线 。 （ （ 3 ） 同 步 使 用 ） 同 步 使 用 安 全 验 收 后 的 日 常 运 营 维 护 中 ， 应 当 保 持 系 统 处 于 持 续 安 全 防 护 水 平 ， 且 运 营 者 每 年 对 关 键 信 息 基 础 设 施 需 要 进 行 一 次 安 全 检 测 评 估 。 4 . 应 制 定 代 码 编 写 安 全 规 范 ， 要 求 开 发 人 员 参 照 规 范 编 写 代 码 应 制 定 代 码 编 写 安 全 规 范 ， 要 求 开 发 人 员 参 照 规 范 编 写 代 码 5 . 应 在 软 件 开 发 过 程 中 对 安 全 性 进 行 测 试 ， 在 软 件 安 装 前 对 可 能 存 在 的 恶 意 代 码 进 行 检 测 应 在 软 件 开 发 过 程 中 对 安 全 性 进 行 测 试 ， 在 软 件 安 装 前 对 可 能 存 在 的 恶 意 代 码 进 行 检 测 等 保   2 . 0   标 准 首 次 提 出 安 全 开 发 流 程 的 要 求 ， 可 以 理 解 为   S D L   体 系 。 这 里 明 确 指 出 在 编 码 阶 段 和 测 试 阶 段 的 安 全 性 要 求 ， 均 为 上 线 前 安 全 管 控 。 以 上 两 条 是 针 对 自 研 软 件 。 如 果 没 有 建 立   S D L   流 程 的 企 业 ， 可 以 先 解 决 安 全 编 码 部 分 的 问 题 ， 编 码 规 范 应 该 都 会 有 的 。 上 线 前 的 安 全 测 试 ， 这 块 内 容 目 前 大 多 都 会 去 做 ， 如 果 没 做 ， 那 我 敬 你 是 个 好 汉 。
6 . 应 在 软 件 交 付 前 检 测 其 中 可 能 存 在 的 恶 意 代 码 应 在 软 件 交 付 前 检 测 其 中 可 能 存 在 的 恶 意 代 码 7 . 应 保 证 开 发 单 位 提 供 软 件 源 代 码 ， 并 审 查 软 件 中 可 能 存 在 的 后 门 和 隐 蔽 信 道 应 保 证 开 发 单 位 提 供 软 件 源 代 码 ， 并 审 查 软 件 中 可 能 存 在 的 后 门 和 隐 蔽 信 道 这 两 条 是 对 外 包 软 件 安 全 的 要 求 ， 也 是 首 次 提 出 要 外 包 开 发 商 提 供 上 线 前 安 全 测 试 报 告 、 代 码 审 计 报 告 以 及 源 代 码 。 这 下 甲 方 开 心 坏 了 吧 ， 可 以 更 理 直 气 壮 的 怼 乙 方 了 ， 虽 然 以 前 一 直 都 是 。 但 是 介 于 刚 刚 实 施 这 么 靠 谱 的 要 求 ， 很 多 乙 方 是 不 接 受 的 ， 一 开 始 可 以 双 方 一 起 来 进 行 安 全 测 试 ； 代 码 审 计 一 般 不 会 要 求 严 格 意 义 的 代 码 审 计 报 告 ， 可 以 用 扫 描 加 人 工 验 证 的 方 式 来 进 行 ； 而 对 于 源 代 码 ， 很 对 乙 方 是 说 死 不 给 的 ， 可 以 先 提 交 一 部 分 源 码 。 但 这 些 都 是 应 对 本 次 测 评 的 准 备 ， 从 长 远 来 看 ， 以 后 对 于 外 包 开 发 要 求 会 规 范 化 ， 标 准 化 ， 强 制 化 。 S D L   体 系 建 立 会 成 为 趋 势 。 8 . 应 通 过 第 三 方 工 程 监 理 控 制 项 目 的 实 施 过 程 应 通 过 第 三 方 工 程 监 理 控 制 项 目 的 实 施 过 程 那 么 ， 除 了 以 上 这 些 ， 乙 方 觉 得 没 事 了 么 ， 呵 呵 。 明 年 开 始 ， 外 包 项 目 需 要 聘 请 第 三 方 监 理 ， 对 整 个 项 目 过 程 质 量 进 行 把 控 和 监 督 ， 并 实 时 汇 报 和 协 调 。 也 就 是 说 ， 除 了 甲 方 怼 你 ， 以 后 还 有 一 个 第 三 方 监 理 也 要 怼 你 ， 爽 不 爽 ？ 9 . 应 进 行 上 线 前 的 安 全 性 测 试 ， 并 出 具 安 全 测 试 报 告 应 进 行 上 线 前 的 安 全 性 测 试 ， 并 出 具 安 全 测 试 报 告 ,   安 全 测 试 报 告 应 包 含 密 码 应 用 安 全 性 测 试 相 关 内 容 安 全 测 试 报 告 应 包 含 密 码 应 用 安 全 性 测 试 相 关 内 容 乙 方 的 兄 弟 ， 你 先 别 吐 血 ， 还 没 说 完 呢 ， 这 回 不 是 你 自 己 ， 甲 方 也 要 一 样 受 苦 ， 是 不 是 好 受 一 些 了 ？ 这 条 要 求 也 是 首 次 提 出 ， 要 求 系 统 上 线 前 的 安 全 测 试 中 应 包 含 密 码 应 用 安 全 性 测 试 。 那 么 ， 这 个 密 码 应 用 安 全 性 测 试 又 是 个 什 么 玩 意 呢 。 这 是 我 在 查 阅 了 相 关 制 度 和 材 料 得 出 的 结 果 ： 商 用 密 码 应 用 安 全 性 评 估 商 用 密 码 应 用 安 全 性 评 估 指 对 采 用 商 用 密 码 技 术 、 产 品 和 服 务 集 成 建 设 的 网 络 和 信 息 系 统 密 码 应 用 的 合 规 性 、 正 确 性 、 有 效 性 进 行 评
估 。 按 照 商 用 密 码 应 用 安 全 性 评 估 管 理 的 要 求 ， 在 系 统 规 划 阶 段 ， 可 组 织 专 家 或 委 托 测 评 机 构 进 行 评 估 ； 在 系 统 建 设 完 成 后 以 及 运 行 阶 段 ， 由 测 评 机 构 进 行 评 估 。 哪 些 系 统 要 做 密 评 哪 些 系 统 要 做 密 评 《 密 码 法 》 （ 《 密 码 法 草 案 》 已 于   2 0 1 9   年   6   月   1 0   日 经 国 务 院 常 务 会 议 讨 论 通 过 ） 要 求 「 国 家 对 关 键 信 息 基 础 设 施 的 密 码 应 用 安 全 性 进 行 分 类 分 级 评 估 ， 按 照 国 家 安 全 审 查 的 要 求 对 影 响 或 者 可 能 影 响 国 家 安 全 的 密 码 产 品 、 密 码 相 关 服 务 和 密 码 保 障 系 统 进 行 安 全 审 查 」 。 《 信 息 安 全 等 级 保 护 商 用 密 码 管 理 办 法 》 规 定 ： 「 国 家 密 码 管 理 局 和 省 、 自 治 区 、 直 辖 市 密 码 管 理 机 构 对 第 三 级 及 以 上 信 息 系 统 使 用 商 用 密 码 的 情 况 进 行 检 查 」 。 在 国 家 密 码 管 理 局 印 发 的 《 信 息 安 全 等 级 保 护 商 用 密 码 管 理 办 法 实 施 意 见 》 中 规 定 「 第 三 级 及 以 上 信 息 系 统 的 商 用 密 码 应 用 系 统 ， 应 当 通 过 国 家 密 码 管 理 部 门 指 定 测 评 机 构 的 密 码 测 评 后 方 可 投 入 运 行 」 。 这 些 制 度 明 确 了 信 息 安 全 等 级 保 护 第 三 级 及 以 上 信 息 系 统 的 商 用 密 码 应 用 和 测 评 要 求 。 此 外 ， 在 新 版 《 网 络 安 全 等 级 保 护 条 例 》 （ 征 求 意 见 稿 ） 明 确 要 求 在 规 划 、 建 设 、 运 行 阶 段 开 展 密 码 应 用 安 全 性 评 估 。 密 评 关 注 哪 些 方 面 密 评 关 注 哪 些 方 面 为 规 范 商 用 密 码 应 用 安 全 性 评 估 工 作 ， 国 家 密 码 管 理 局 制 定 了 《 商 用 密 码 应 用 安 全 性 评 估 管 理 办 法 》 、 《 商 用 密 码 应 用 安 全 性 测 评 机 构 管 理 办 法 》 等 有 关 规 定 ， 对 测 评 机 构 、 网 络 运 营 者 、 管 理 部 分 三 类 对 象 提 出 了 要 求 ， 对 评 估 程 序 、 评 估 方 法 、 监 督 管 理 等 进 行 了 明 确 。 同 时 ， 组 织 编 制 了 《 信 息 系 统 密 码 应 用 基 本 要 求 》 《 信 息 系 统 密 码 测 评 要 求 》 等 标 准 ， 及 《 商 用 密 码 应 用 安 全 性 评 估 测 评 过 程 指 南 （ 试 行 ） 》 《 商 用 密 码 应 用 安 全 性 评 估 测 评 作 业 指 导 书 （ 试 行 ） 》 等 指 导 性 文 件 ， 指 导 测 评 机 构 规 范 有 序 开 展 评 估 工 作 。 其 中 ， 《 信 息 系 统 密 码 应 用 基 本 要 求 》 从 物 理 和 环 境 安 全 、 网 络 和 通 信 安 全 、 设 备 和 计 算 安 全 、 应 用 和 数 据 安 全 、 密 钥 管 理 以 及 安 全 管 理 六 个 方 面 提 出 密 码 应 用 安 全 性 评 估 指 标 。 密 评 工 作 当 前 的 进 展 密 评 工 作 当 前 的 进 展 现 阶 段 ， 商 用 密 码 应 用 安 全 性 评 估 试 点 工 作 正 在 有 序 开 展 。 经 过 层 层 评 审 ， 截 止   2 0 1 8   年   6   月 第 一 批 共 有   1 0 家 测 评 机 构 符 合 测 评 机 构 能 力 要 求 ， 具 备 独 立 承 担 并 规 范 开 展 试 点 测 评 任 务 的 能 力 。 中 科 院   D C S   中 心 作 为 首 批 通 过 的 优 秀 测 评 机 构 ， 正 在 积 极 参 与 密 码 应 用 安 全 性 评 估 的 各 项 试 点 工 作 ， 为 我 国 密 码 事 业 的 发 展 贡 献 自 己 的 力 量 。 个 人 感 觉 ， 这 项 要 求 类 似 可 信 计 算 ， 在 标 准 实 施 初 期 不 做 强 制 要 求 ， 以 鼓 励 方 式 建 议 企 业 开 展 ， 但 在 后 期 随 着 技 术 和 要 求 的 成 熟 ， 会 逐 渐 成 为 强 制 要 求 项 。 所 以 ， 明 年 各 位 可 以 不 用 太 担 心 ， 先 了 解 一 下 就 好 。 安 全 运 维 管 理 安 全 运 维 管 理 1 . 应 编 制 并 保 存 与 保 护 对 象 相 关 的 资 产 清 单 ， 包 括 资 产 责 任 部 门 、 重 要 程 度 和 所 处 位 置 等 内 容 应 编 制 并 保 存 与 保 护 对 象 相 关 的 资 产 清 单 ， 包 括 资 产 责 任 部 门 、 重 要 程 度 和 所 处 位 置 等 内 容 2 . 应 根 据 资 产 的 重 要 程 度 对 资 产 进 行 标 识 管 理 ， 根 据 资 产 的 价 值 选 择 相 应 的 管 理 措 施 应 根 据 资 产 的 重 要 程 度 对 资 产 进 行 标 识 管 理 ， 根 据 资 产 的 价 值 选 择 相 应 的 管 理 措 施 对 于 资 产 的 管 理 要 求 ， 当 前 大 多 数 企 业 拥 有 自 己 的 管 控 平 台 ， 对 于   I T   资 产 进 行 统 一 管 理 。 主 要 就 是 资 产 梳 理 和 分 级 分 类 。 如 果 没 有 这 类 平 台 ， 可 以 用 堡 垒 机 临 时 替 代 一 下 ， 起 码 这 里 不 会 被 扣 成 零 分 。 3 . 应 对 信 息 分 类 与 标 识 方 法 做 出 规 定 ， 并 对 信 息 的 使 用 、 传 输 和 存 储 等 进 行 规 范 化 管 理 应 对 信 息 分 类 与 标 识 方 法 做 出 规 定 ， 并 对 信 息 的 使 用 、 传 输 和 存 储 等 进 行 规 范 化 管 理 这 里 是 对 数 据 治 理 提 出 要 求 ， 在 管 理 制 度 中 明 确 对 于 信 息 资 产 的 分 类 和 标 识 依 据 和 规 范 。 目 前 大 多 企 业 属 于 空 白 领 域 ， 明 年 有 关 数 据 安 全 和 数 据 治 理 会 很 热 门 ， 因 为 明 年   3   月   D S M M   会 正 式 发 布 。 本 项 要 求 其 实 不 用 很 在 意 ， 明 年 测 评 时 除 了 一 些 大 厂 ， 大 家 基 本 同 一 起 跑 线 ， 你 没 做 我 也 没 做 ， 没 关 系 ， 列 入 后 续 的 工 作 计 划 中 。 4 . 应 采 取 必 要 的 措 施 识 别 安 全 漏 洞 和 隐 患 ， 对 发 现 的 安 全 漏 洞 和 隐 患 及 时 进 行 修 补 或 评 估 可 能 的 影 响 后 进 行 修 应 采 取 必 要 的 措 施 识 别 安 全 漏 洞 和 隐 患 ， 对 发 现 的 安 全 漏 洞 和 隐 患 及 时 进 行 修 补 或 评 估 可 能 的 影 响 后 进 行 修 补 补 这 里 的 要 求 同 前 边 安 全 管 理 中 心 的 全 面 安 全 检 查 可 以 结 合 到 一 起 来 看 ， 因 为 最 终 目 的 相 一 致 ， 过 程 也 相 似 。 5 . 应 严 格 控 制 远 程 运 维 的 开 通 ， 经 过 审 批 后 才 可 开 通 远 程 运 维 接 口 或 通 道 ， 操 作 过 程 中 应 保 留 不 可 更 改 的 审 计 应 严 格 控 制 远 程 运 维 的 开 通 ， 经 过 审 批 后 才 可 开 通 远 程 运 维 接 口 或 通 道 ， 操 作 过 程 中 应 保 留 不 可 更 改 的 审 计
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 23:21 , Processed in 0.625211 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表