设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15930] 2020-10-05_等保测评师角度浅谈等保2.0 ...
返回列表 发新帖
查看: 8|回复: 0

[15930] 2020-10-05_等保测评师角度浅谈等保2.0

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 17:50:24 | 显示全部楼层 |阅读模式
2020-10-05_等保测评师角度浅谈等保2.0 等 保 测 评 师 角 度 浅 谈 等 保 2 . 0 原 创   t c 0 1 6 8 0   F r e e B u f   2 0 2 0 - 1 0 - 0 5 前 言 前 言 目 前 网 络 安 全 话 题 越 来 越 火 ， 网 上 关 于 网 络 安 全 的 话 题 比 比 皆 是 ， 但 大 都 是 从 甲 方 或 乙 方 的 角 度 写 的 ， 鲜 有 从 测 评 机 构 的 角 度 分 析 和 总 结 ， 因 此 ， 本 文 将 从 一 个 4 年 的 测 评 工 作 角 度 进 行 探 讨 和 分 析 当 前 网 络 安 全 行 业 的 问 题 ， 并 窃 以 展 望 未 来 网 络 安 全 行 业 的 发 展 趋 势 。 以 下 仅 为 笔 者 个 人 意 见 ， 不 代 表 任 何 机 构 ， 如 果 异 议 ， 欢 迎 讨 论 。 甲 方 存 在 的 主 要 问 题 甲 方 存 在 的 主 要 问 题 这 几 年 做 过 的 甲 方 的 测 评 项 目 中 ， 其 中 主 要 分 布 在 政 府 、 事 业 单 位 ， 人 社 、 国 土 、 财 政 、 卫 生 和 交 通 类 ， 私 企 也 有 ， 但 不 多 ， 一 般 是 金 融 类 私 企 。 1 、 等 保 初 衷 ： 从 各 行 各 业 的 开 展 等 保 来 看 ， 基 于 网 络 安 全 的 初 心 开 展 等 保 的 单 位 企 业 少 之 又 少 ， 而 绝 大 都 是 单 位 企 业 都 是 政 策 要 求 ， 其 中 具 体 又 可 以 细 分 为 1 ） 行 业 主 管 部 门 要 求 开 展 等 保 ， 比 如 电 力 行 业 和 金 融 行 业 ， 这 两 个 行 业 都 有 文 件 要 求 开 展 等 保 ， 所 以 在 众 多 民 营 企 业 中 不 愿 意 做 但 是 必 须 需 要 做 等 保 。 2 ） 寻 找 背 锅 侠 ， 部 分 政 府 单 位 对 等 保 不 感 冒 ， 但 是 被 等 保 机 构 销 售 忽 悠 后 以 为 做 的 等 保 就 可 以 给 自 己 上 一 道 “ 保 险 ” ， 纯 粹 为 了 事 后 找 等 保 机 构 给 自 己 背 锅 。 3 ） 利 益 关 系 ， 部 分 单 位 的 信 息 化 负 责 人 也 想 通 过 项 目 采 购 实 现 利 益 共 同 体 ， 这 里 就 不 多 说 了 。 2 、 技 术 能 力 不 强 ， 重 设 备 轻 管 理 ， 众 多 甲 方 单 位 没 有 网 络 安 全 管 理 专 职 岗 位 ， 基 本 都 是 由 负 责 网 络 的 或 者 负 责 服 务 器 的 人 员 兼 任 ， 且 除 了 银 行 、 证 券 等 少 数 单 位 外 ， 大 部 分 单 位 的 技 术 人 员 技 术 水 平 其 实 并 不 高 ， 很 多 都 是 通 过 外 包 或 者 集 成 商 代 为 运 维 ， 这 就 造 成 测 评 过 程 中 ， 甚 至 不 知 道 某 某 设 备 的 所 有 管 理 账 户 和 口 令 ， 因 为 外 包 人 员 和 集 成 商 一 般 只 给 一 个 管 理 账 户 或 者 一 般 不 给 审 计 管 理 员 账 户 ， 网 而 络 安 全 意 识 培 训 几 乎 没 有 。 3 、 对 网 络 安 全 理 解 片 面 ， 有 些 单 位 技 术 人 员 认 为 网 络 安 全 就 是 渗 透 ， 过 度 吹 捧 渗 透 能 力 ， 轻 视 测 评 ， 认 为 测 评 是 走 过 场 ， 这 也 有 部 分 是 测 评 机 构 的 原 因 ， 下 面 会 单 独 说 。 测 评 机 构 的 主 要 问 题 测 评 机 构 的 主 要 问 题 目 前 国 内 的 测 评 机 构 有 1 9 9 家 ， 测 评 机 构 主 要 分 为 以 下 几 类 : 1 ) 北 京 地 区 国 字 头 的 测 评 机 构 ： 全 国 1 9 9 家 测 评 机 构 中 北 京 就 占 了 3 0 多 家 ， 几 乎 都 是 国 字 头 的 背 景 ， 很 多 挂 着 都 是 行 业 或 者 部 委 的 名 头 ， 这 些 测 评 机 构 基 本 不 愁 业 务 ， 也 有 能 力 吸 引 优 秀 的 毕 业 生 ， 技 术 能 力 也 较 强 ， 能 够 专 心 的 从 事 技 术 ， 同 时 由 于 面 对 的 客 户 大 都 是 行 业 内 或 部 委 的 单 位 ， 测 评 过 程 中 比 较 顺 利 ， 因 此 在 硬 件 整 改 方 面 ， 被 测 单 位 几 乎 都 很 全 ， 比 较 典 型 的 例 子 就 是 ， 2 0 1 8 年 培 训 时 ， 北 京 的 某 某 老 师 说 ， 身 份 鉴 别 的 双 因 素 认 证 应 该 时 高 危 ， 设 备 没 有 就 不 符 合 ， 但 是 从 地 方 测 评 机 构 来 看 ， 至 少 江 西 和 湖 北 是 无 法 做 到 ， 因 为 双 因 素 认 证 要 求 除 了 一 次 性 采 购 身 份 认 证 平 台 硬 件 设 备 外 ， 还 需 要 U K E Y 硬 件 费 用 ， 还 不 算 每 年 的 证 书 续 期 费 用 和 人 工 管 理 成 本 费 用 ， 这 费 用 足 够 每 年 做 一 次 等 保 测 评 了 ， 毕 竟 北 京 和 很 多 二 三 线 地 方 相 比 ， 无 论 经 济 实 力 和 思 想 认 识 上 ， 差 距 还 是 挺 大 的 。 2 ） 二 三 线 城 市 的 测 评 机 构 ， 这 类 测 评 机 构 大 部 分 是 当 地 的 领 头 羊 ， 除 了 测 评 外 ， 基 本 还 有 其 他 风 险 评 估 、 软 件 测 试 业 务 ， 所 以 ， 在 当 地 省 份 和 邻 近 省 份 还 是 比 较 有 名 的 ， 有 的 甚 至 还 将 业 务 做 到 了 邻 近 省 份 。
3 ） 二 三 线 城 市 和 新 加 入 的 测 评 机 构 ， 这 类 测 评 机 构 基 本 都 是 处 于 随 时 会 被 淘 汰 边 缘 ， 之 前 有 个 江 苏 某 家 测 评 机 构 居 然 每 年 连 能 力 验 证 都 不 知 道 也 不 参 加 ， 测 评 报 告 全 是 基 本 符 合 ， 没 有 不 符 合 ， 这 类 很 多 前 身 都 是 集 成 公 司 ， 技 术 实 力 较 低 ， 把 等 保 测 评 当 作 驾 校 培 训 ， 每 年 被 停 止 营 业 的 大 部 分 就 是 这 类 。 目 前 个 人 认 为 ， 由 于 上 述 测 评 机 构 性 质 的 原 因 ， 测 评 机 构 存 在 的 主 要 问 题 有 如 下 几 个 方 面 ， 1 ） 恶 意 竞 争 。 大 部 分 非 国 字 头 或 国 企 背 景 的 测 评 机 构 在 面 对 越 来 越 激 烈 市 场 竞 争 时 ， 压 力 越 来 越 大 ， 尤 其 今 年 疫 情 的 原 因 ， 很 多 机 构 一 二 季 度 都 无 法 开 展 测 评 ， 笔 者 所 在 的 机 构 在 中 部 某 省 也 算 是 排 名 前 3   的 机 构 ， 但 是 一 直 到 6 月 才 逐 渐 慢 慢 恢 复 业 务 ， 非 国 字 头 的 测 评 机 构 如 果 没 有 业 务 就 意 味 着 倒 闭 ， 毕 竟 每 天 的 税 费 、 人 工 成 本 压 力 很 大 ， 加 上 近 两 年 ， 准 入 门 槛 降 低 ， 新 增 了 一 批 测 评 机 构 ， 又 放 宽 了 异 地 测 评 条 件 ， 竞 争 压 力 更 大 ， 因 此 ， 恶 意 低 价 抢 标 的 事 件 层 出 不 穷 ， 有 些 机 构 甚 至 3 W 一 个 系 统 ， 测 评 费 用 降 低 最 终 导 致 测 评 时 间 短 、 测 评 人 员 技 术 水 平 低 ， 测 评 机 构 之 间 相 互 压 价 ， 毕 竟 ， 生 存 下 来 才 是 首 位 的 。 2 ） 人 员 流 动 性 大 。 目 前 在 一 线 城 市 测 评 师 税 前 工 资 基 本 是 7 0 0 0 - 9 0 0 0 左 右 ， 二 三 线 城 市 就 5 0 0 0 - 6 0 0 0 左 右 ， 说 实 话 ， 这 对 于 一 个 网 络 安 全 行 业 的 从 业 人 员 来 说 ， 确 实 较 低 ， 这 还 是 有 相 关 工 作 经 验 的 ， 要 知 道 笔 者 所 在 的 中 部 某 省 ， 系 统 集 成 、 厂 家 技 术 支 持 、 软 件 测 试 等 岗 位 的 工 资 都 至 少 6 0 0 0 以 上 ， 开 发 的 工 作 普 遍 1 W ， 而 测 评 人 员 项 目 压 力 大 ， 经 常 出 差 ， 文 档 要 求 高 、 技 术 能 力 要 求 高 ， 这 点 工 资 很 难 吸 引 优 秀 的 人 员 ， 笔 者 所 在 测 评 机 构 年 前 开 始 一 直 在 招 聘 ， 至 今 入 职 的 才 4 个 人 ， 很 多 邀 请 面 试 的 人 员 压 根 对 测 评 不 感 冒 ， 再 加 上 一 听 工 资 待 遇 并 不 高 ， 根 本 不 来 面 试 ， 或 者 约 了 面 试 也 不 打 招 呼 也 不 来 ， 或 者 面 试 通 过 后 要 求 回 去 考 虑 ， 结 果 考 虑 考 虑 就 不 来 ， 笔 者 感 觉 今 年 招 聘 特 别 难 ， 且 在 职 的 很 多 人 员 因 为 疫 情 期 间 工 资 未 发 放 都 开 始 人 心 浮 动 ， 一 方 面 ， 测 评 项 目 费 用 低 逐 渐 降 低 ， 另 一 方 面 ， 测 评 机 构 的 成 本 逐 渐 增 加 ， 要 减 少 成 本 就 必 须 多 做 项 目 ， 减 低 边 际 成 本 ， 导 致 形 成 冲 突 无 可 避 免 ， 3 ） 测 评 机 构 缺 少 长 远 发 展 规 划 目 前 测 评 机 构 大 部 分 为 非 国 企 ， 部 分 国 企 背 景 的 也 是 盈 亏 自 负 ， 可 能 少 部 分 属 于 事 业 单 位 ， 但 是 笔 者 所 在 的 中 部 省 份 区 域 中 ， 测 评 机 构 均 为 私 营 企 业 ， 股 东 和 管 理 层 缺 少 长 远 硅 规 划 ， 这 几 年 测 评 吃 香 那 就 搞 测 评 ， 未 来 几 年 商 密 吃 香 就 搞 商 密 ， 感 觉 就 像 割 韭 菜 ， 尤 其 是 盲 目 扩 张 业 务 ， 但 是 人 员 技 术 能 力 和 管 理 曾 水 平 却 没 有 得 到 提 升 ， 企 业 往 往 更 看 重 做 大 ， 却 很 难 做 强 ， 缺 少 明 确 的 发 展 规 划 ， 个 人 也 看 不 到 发 展 前 景 。 4 ） 测 评 机 构 独 立 性 不 足 测 评 机 构 为 营 利 性 决 定 了 测 评 机 构 不 可 能 完 全 中 立 ， 所 以 很 多 地 方 暴 露 出 花 钱 买 报 告 的 情 况 就 习 以 为 常 了 ， 而 且 测 评 管 理 办 法 对 测 评 机 构 处 罚 力 度 比 较 小 ， 即 便 吊 销 推 荐 证 书 ， 原 班 人 马 换 个 公 司 又 可 以 从 头 开 始 。 加 上 客 户 要 求 越 来 越 高 ， 测 评 机 构 必 然 的 倾 向 于 客 户 ， 毕 竟 ， 对 于 绝 大 部 分 机 构 来 说 ， 客 户 就 是 上 帝 。 标 准 体 系 方 面 标 准 体 系 方 面 等 吧 2 . 0 标 准 发 布 以 来 ， 笔 者 认 为 ， 等 保 2 . 0 系 列 标 准 既 有 进 步 的 一 方 面 ， 同 时 又 存 在 一 些 问 题 。 1 ） 标 准 制 定 过 程 中 ， 受 安 全 产 品 厂 家 影 响 较 大 ， 笔 者 粗 略 看 了 下 ， 国 内 大 部 分 行 业 前 1 0   的 厂 家 基 本 都 参 加 制 定 标 准 ， 具 体 厂 家 名 称 就 不 提 了 ， 笔 者 认 为 ， 标 准 的 制 定 应 该 主 要 由 标 准 委 制 定 ， 至 少 明 面 上 标 准 委 是 没 有 利 益 倾 向 的 ， 如 果 厂 家 参 与 ， 难 免 或 多 或 少 会 倾 向 自 己 的 产 品 。 这 也 就 是 为 什 么 等 保 2 . 0 出 台 后 ， 很 多 厂 家 均 发 布 了 一 些 基 础 版 套 餐 、 标 准 版 套 餐 和 豪 华 版 套 餐 等 等 文 章 ， 让 很 多 客 户 单 位 慢 慢 被 认 为 等 保 测 评 就 是 花 钱 买 设 备 ， 而 国 家 推 行 等 保 测 评 的 初 衷 却 不 甚 了 解 。 2 ） 标 准 制 定 水 平 较 1 . 0 差 ， 基 本 要 求 中 ， 比 如 光 日 志 审 计 居 然 存 在 3 处 ， 安 全 区 域 边 界 、 安 全 计 算 环 境 和 安 全 管 理 中 心 中 均 为 日 志 审 计 做 了 要 求 ， 其 中 区 域 边 界 和 安 全 计 算 环 境 几 乎 一 模 一 样 ， 笔 者 作 为 测 评 行 业 “ 老 人 ” ， 也 没 看 懂 到 底 有 何 重 复 测 评 意 义 ， 更 何 况 客 户 如 何 看 懂 。 除 此 之 外 ， 数 据 的 完 整 性 、 数 据 的 保 密 性 等 也 是 如 此 。 测 评 要 求 中 ， 很 多 测 评 指 标 的 对 应 的 测 评 对 象 明 显 无 法 测 评 ， 比 如 剩 余 信 息 保 护 测 评 对 象 是 终 端 和 服 务 器 等 设 备 中 的 操 作 系 统 、 业 务 应 用 系 统 、 数 据 库 管 理 系 统 、 中 间 件 和 系 统 管 理 软 件 ， 操 作 系 统 在 W i n d o w s 上 都 比 较 清 晰 可 操 作 ， 但 在 L i n u x 上 异 议 很 多 ， 但 数 据 库 管 理 系 统 、 中 间 件 、 业 务 应 用 系 统 上 如 何 测 评 ， 却 没 有 详 细 说 明 ， 测 评 要 求 的 测 评 实 施 很 多 都 是 文 义 描 述 ， 缺 少 可 操 作 性 和 实 践 性 ， 导 致 测 评 过 程 中 ， 测 评 实 施 方 法 各 不 相 同 。 目 前 很 多 客 户 单 位 也 在 学 习 等 保 2 . 0 系 列 标 准 ， 但
是 很 多 标 准 测 评 机 构 都 无 法 解 释 ， 如 何 给 客 户 解 释 。 笔 者 认 为 ， 基 本 要 求 可 以 是 概 括 性 、 方 向 性 的 要 求 ， 但 是 测 评 要 求 一 定 要 能 可 操 作 可 理 解 ， 否 则 ， 一 个 专 业 人 员 都 无 法 理 解 的 国 家 标 准 存 在 有 何 意 义 。 未 来 未 来 吐 槽 了 许 多 ， 笔 者 认 为 ， 等 级 测 评 未 来 发 展 仍 然 是 比 较 有 市 场 前 景 和 政 策 前 景 ， 毕 竟 我 国 在 网 络 安 全 保 护 方 面 距 离 美 国 等 网 络 安 全 强 国 差 距 太 大 ， 尤 其 在 理 论 研 究 上 。 在 一 味 追 求 低 成 本 测 评 和 客 户 越 来 越 高 的 要 求 下 ， 等 级 测 评 行 业 未 来 3 年 内 可 能 会 迎 来 一 轮 洗 牌 ， 希 望 真 正 将 等 级 测 评 工 作 做 扎 实 ， 这 需 要 众 多 测 评 机 构 、 网 安 、 科 研 机 构 等 参 与 ， 能 够 将 等 级 测 评 体 系 像 I S O 2 7 0 0 0 一 样 输 出 国 外 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-2-3 04:00 , Processed in 0.315798 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表