搜索

[15671] 2020-07-31_回首两年信安路

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-07-31_回首两年信安路 回 首 两 年 信 安 路 x x x 幸 x x x   F r e e B u f   2 0 2 0 - 0 7 - 3 1 还 记 得 在 这 里 写 的 第 一 篇 文 章 《 小 师 妹 聊 安 全 标 准 》 ， 记 得 当 时 对 自 己 立 的 F l a g 是 要 定 时 定 期 写 一 篇 关 于 标 准 的 文 章 ， 但 是 现 在 回 首 ， 早 就 被 啪 啪 打 脸 。 但 所 幸 的 是 ， 在 这 两 年 间 ， 从 头 到 尾 的 参 与 跟 进 过 两 项 国 家 标 准 的 编 制 （ 目 前 一 项 到 了 报 批 稿 阶 段 ， 另 一 项 还 在 征 求 意 见 稿 阶 段 ） ， 对 于 我 来 说 ， 是 挺 有 收 获 的 ， 至 少 熟 悉 了 标 准 每 个 阶 段 的 流 程 ， 并 且 学 到 了 严 谨 的 做 事 态 度 ， 辩 证 的 学 习 思 维 。 今 天 的 这 篇 文 章 其 实 主 要 是 想 回 顾 一 下 我 从 业 以 来 全 程 参 与 过 的 两 个 实 施 项 目 的 一 些 感 受 ， 做 一 个 小 总 结 。 （ 小 备 注 ： 请 不 要 嘲 笑 我 两 年 只 做 过 两 个 实 施 类 项 目 ， 有 的 是 安 全 规 划 、 课 题 什 么 的 不 算 ） 。 第 一 个 做 的 项 目 是 第 一 个 做 的 项 目 是 “ 信 息 安 全 检 查 项 目 信 息 安 全 检 查 项 目 ” 如 果 以 标 准 的 分 类 来 看 这 个 项 目 ， 其 实 并 不 属 于 实 施 类 ， 而 是 归 类 于 测 试 评 估 类 ， 哈 哈 ， 反 正 到 了 项 目 现 场 ， 我 就 把 它 叫 实 施 项 目 了 。 先 简 单 说 一 下 背 景 ： 检 查 对 象 是 某 集 团 型 企 业 的 十 余 家 下 属 单 位 ， 单 位 性 质 有 的 是 传 统 制 造 厂 、 有 的 是 开 发 公 司 、 有 的 是 互 联 网 公 司 。 这 类 项 目 主 要 是 以 发 现 网 络 安 全 问 题 为 目 的 ， 按 照 检 查 准 备 、 检 查 实 施 、 检 查 结 果 分 析 、 检 查 报 告 编 制 、 检 查 结 果 反 馈 等 工 作 流 程 规 范 开 展 检 查 工 作 ， 检 查 的 方 法 是 通 过 调 研 访 谈 、 问 卷 调 查 、 文 件 调 阅 、 技 术 检 测 等 多 种 形 式 ， 从 管 理 上 、 技 术 上 、 人 员 安 全 上 开 展 综 合 的 网 络 安 全 检 查 。 在 做 这 项 检 查 工 作 的 时 候 ， 我 们 是 分 为 了 三 个 阶 段 ： 启 动 准 备 阶 段 启 动 准 备 阶 段 核 心 内 容 ： 核 心 内 容 ： （ 1 ） 沟 通 检 查 需 求 ； （ 2 ） 成 立 项 目 组 ； （ 3 ） 制 定 检 查 方 案 。 检 查 实 施 阶 段 检 查 实 施 阶 段 核 心 内 容 ： 核 心 内 容 ： （ 1 ） 开 展 各 单 位 现 场 检 查 ， 包 括 业 务 、 信 息 系 统 调 研 、 网 络 架 构 分 析 、 主 机 扫 描 、 安 全 配 置 检 查 ； （ 2 ） 开 展 W e b 渗 透 测 试 工 作 。 总 结 汇 报 阶 段 总 结 汇 报 阶 段 核 心 内 容 ： 核 心 内 容 ： （ 1 ） 分 析 检 查 结 果 ， 总 结 问 题 并 给 出 处 置 建 议 ， 编 制 各 单 位 检 查 报 告 和 总 体 报 告 。 在 这 个 项 目 中 ， 我 是 从 安 全 访 谈 和 文 件 调 阅 的 角 度 出 发 ， 主 要 关 心 的 是 所 检 查 单 位 的 网 络 安 全 工 作 责 任 落 实 情 况 、 网 络 安 全 管 理 工 作 落 实 情 况 、 网 络 安 全 事 件 应 急 处 置 管 理 情 况 、 信 息 技 术 产 品 应 用 情 况 、 周 期 性 技 术 检 测 及 网 络 安 全 事 件 情 况 。 我 印 象 最 深 刻 的 是 去 制 造 业 厂 检 查 的 时 候 ， 这 个 项 目 有 四 家 单 位 都 是 十 足 的 传 统 制 造 业 ， 他 们 的 网 络 拓 扑 结
构 都 比 较 简 单 ， 生 产 网 络 与 办 公 网 络 之 间 一 般 通 过 防 火 墙 进 行 隔 离 ， 运 维 是 通 过 V P N 远 程 接 入 进 行 生 产 系 统 的 运 维 管 理 操 作 。 我 之 所 以 说 对 制 造 业 厂 检 查 印 象 深 刻 ， 是 因 为 每 次 现 场 工 作 完 成 后 ， 都 会 带 我 们 参 观 一 下 他 们 的 生 产 线 （ 这 个 是 我 感 兴 趣 的 ） 、 头 牌 产 品 、 还 有 带 我 们 吃 丰 盛 厂 餐 （ 哈 哈 ） ， 另 外 ， 通 过 这 次 项 目 ， 不 仅 让 我 接 触 到 了 不 同 的 业 务 类 型 ， 丰 富 了 我 的 认 知 ， 更 真 实 的 了 解 到 部 分 行 业 的 网 络 安 全 现 状 ， 下 面 我 总 结 几 个 存 在 最 多 的 问 题 ： 1 、 网 络 安 全 管 理 问 题 。 （ 1 ） 文 件 化 的 管 理 制 度 存 在 不 齐 全 、 不 规 范 的 情 况 ， 有 的 制 度 像 “ 大 杂 烩 ” ， 落 实 的 最 好 的 制 度 可 能 是 《 机 房 管 理 规 定 》 ； （ 2 ） 一 人 分 饰 多 角 ， 导 致 没 有 三 权 分 立 的 说 法 ， 有 时 可 能 这 一 人 并 不 是 网 络 安 全 专 业 人 员 ； （ 3 ） 未 定 期 更 新 资 产 台 账 ； （ 4 ） 企 业 网 络 安 全 预 算 有 限 ， 或 者 没 有 将 网 络 安 全 预 算 纳 入 企 业 年 度 预 算 中 ； （ 5 ） 网 络 安 全 意 识 培 训 少 ， 员 工 缺 乏 安 全 入 网 意 识 ； （ 6 ） 缺 少 网 络 安 全 应 急 预 案 。 2 、 网 络 架 构 问 题 。 （ 1 ） 部 分 节 点 未 冗 余 ， 存 在 单 点 故 障 。 3 、 账 号 权 限 问 题 。 （ 1 ） 某 些 普 通 账 号 权 限 过 大 ； （ 2 ） 特 权 账 号 共 享 。 4 、 系 统 安 全 问 题 。 （ 1 ） 存 在 已 知 漏 洞 ， 没 有 及 时 更 新 系 统 补 丁 ； （ 2 ） 未 进 行 端 口 控 制 ， 某 些 非 必 要 的 端 口 未 关 闭 。 5 、 安 全 基 线 问 题 。 （ 1 ） A d m i n i s t r a t o r 帐 户 名 称 未 更 名 或 禁 用 ； （ 2 ） 密 码 策 略 、 账 户 锁 定 策 略 未 配 置 ； （ 3 ） 审 核 策 略 未 配 置 ； （ 4 ） 屏 幕 保 护 程 序 及 锁 定 未 配 置 ； （ 5 ） 未 定 时 更 新 补 丁 ； （ 6 ） 网 络 设 备 日 志 本 地 存 储 。 我 甚 至 觉 得 除 了 我 参 与 安 全 检 查 的 这 些 企 业 ， 以 上 问 题 可 能 是 大 多 数 企 业 都 存 在 的 问 题 ， （ 站 在 对 方 的 角 度 也 可 以 理 解 ， 因 为 网 络 安 全 是 需 要 投 入 的 ， 企 业 要 生 存 ， 重 心 肯 定 放 在 业 务 上 ， 业 务 做 大 了 ， 自 然 考 虑 的 就 多 了 ， 所 以 才 会 有 很 多 大 企 业 做 风 险 管 理 ， 网 络 安 全 风 险 管 理 也 属 于 企 业 风 险 管 理 考 虑 的 一 部 分 。 ） 最 后 提 一 下 做 好 安 全 有 六 个 因 素 很 重 要 ， 分 别 是 战 略 、 资 金 、 技 术 、 组 织 、 人 员 、 过 程 。 对 于 网 络 安 全 预 算 不 充 分 的 企 业 ， 我 的 建 议 是 做 好 网 络 安 全 架 构 ， 至 少 具 备 被 动 防 御 的 能 力 。 然 后 重 点 加 强 网 络 安 全 管 理 ， 提 高 员 工 的 安 全 防 范 意 识 ， 重 视 流 程 规 范 ， 要 求 员 工 养 成 文 件 化 留 档 的 习 惯 。 第 二 个 做 的 项 目 是 第 二 个 做 的 项 目 是 “ 数 据 安 全 风 险 评 估 项 目 数 据 安 全 风 险 评 估 项 目 ”
这 个 项 目 的 对 象 更 加 具 体 ， 是 某 个 信 息 系 统 ， 目 的 是 评 估 该 系 统 的 数 据 安 全 风 险 ， 与 传 统 的 信 息 系 统 风 险 评 估 最 大 的 区 别 是 ， 在 该 项 目 中 ， 我 们 主 要 的 关 注 点 放 在 了 “ 数 据 ” 上 ， 围 绕 数 据 从 采 集 到 销 毁 的 整 个 生 命 周 期 ， 并 且 结 合 “ 数 据 ” 的 生 存 环 境 （ 物 理 环 境 、 网 络 、 主 机 、 应 用 、 数 据 库 ） 来 识 别 关 键 资 产 、 威 胁 以 及 脆 弱 性 ， 在 风 险 的 计 算 公 式 上 ， 用 的 是 风 险 值 * * = R （ A , T , V ） = R ( L ( T , V ) , F ( I A , V A ) ) * * 。 然 后 ， 提 几 个 数 据 安 全 方 面 存 在 最 多 的 问 题 ： （ 1 ） 账 户 安 全 策 略 不 完 善 。 主 要 是 权 限 问 题 ， 还 有 账 号 清 理 方 面 ， 存 在 僵 尸 账 号 和 无 法 定 位 到 人 的 账 号 问 题 ； （ 2 ） 日 志 审 计 能 力 不 足 ； （ 3 ） 缺 乏 数 据 安 全 管 理 机 制 ； （ 4 ） 数 据 安 全 资 产 管 理 不 清 晰 ， 没 有 数 据 资 产 清 单 ； （ 4 ） 系 统 漏 洞 问 题 ， 未 及 时 修 复 已 知 漏 洞 ； （ 5 ） 数 据 备 份 与 恢 复 问 题 ； （ 6 ） 安 全 设 备 的 配 置 不 当 问 题 。 另 外 ， 分 享 几 个 信 息 。 一 、 我 国 目 前 涉 及 数 据 安 全 的 法 律 法 规 有 ： 1 、 《 中 华 人 民 共 和 国 网 络 安 全 法 》 2 、 《 中 华 人 民 共 和 国 数 据 安 全 法 （ 征 求 意 见 稿 ） 》 3 、 《 个 人 信 息 保 护 法 》 4 、 《 网 络 安 全 审 查 办 法 》 5 、 《 数 据 安 全 管 理 办 法 （ 征 求 意 见 稿 ） 》 6 、 《 网 络 安 全 等 级 保 护 条 例 （ 征 求 意 见 稿 ） 》 二 、 目 前 围 绕 数 据 安 全 和 个 人 信 息 保 护 两 个 方 向 已 发 布 6 项 国 家 标 准 ， 在 研 标 准 1 0 项 ， 研 究 项 目 1 8 项 。 其 中 已 发 布 的 标 准 如 下 ： 序 号 序 号 标 准 号 标 准 号 标 准 名 称 标 准 名 称 1 G B / T   3 5 2 7 3 - 2 0 2 0 《 信 息 安 全 技 术   个 人 信 息 安 全 规 范 》 2 G B / T   3 5 2 7 4 - 2 0 1 7 《 信 息 安 全 技 术   大 数 据 服 务 安 全 能 力 要 求 》 3 G B / T   3 7 9 7 3 - 2 0 1 9 《 信 息 安 全 技 术   大 数 据 安 全 管 理 指 南 》 4 G B / T   3 7 9 8 8 - 2 0 1 9 《 信 息 安 全 技 术   数 据 安 全 能 力 成 熟 度 模 型 》 5 G B / T   3 7 9 3 2 - 2 0 1 9 《 信 息 安 全 技 术   数 据 交 易 服 务 安 全 要 求 》 6 G B / T   3 7 9 6 4 - 2 0 1 9 《 信 息 安 全 技 术   个 人 信 息 去 标 识 化 指 南 》 三 、 2 0 2 0 上 半 年 我 国 的 网 络 安 全 相 关 法 律 法 规 及 政 策

最 后 ， 我 抛 出 一 个 自 己 画 的 数 据 安 全 框 架 图 ， 希 望 “ 在 看 的 大 家 ” 可 以 帮 忙 指 点 、 讨 论 。 （ 其 实 还 有 很 多 感 受 没 有 总 结 到 ， 先 说 这 么 多 吧 ） 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理