互联网新技术新业务安全评估方法初探

陈　湉　中国信息通信研究院安全研究所工程师

互联网新技术新业务安全评估方法初探

陈湉中国信息通信研究院安全研究所工程师

当前，互联网技术、业务、应用呈现出纷繁多样的发展态势，迸发出亘古未有的创新活力，引领着新一代信息技术产业变革，创造出绚丽多彩的互联网生态文明。我国互联网得以把握创新浪潮，实现了高速发展，并向着更广应用、更深融合的方向快速迈进。与此同时，互联网的快速发展创新及持续增强的舆论影响能力和社会动员能力也对我国信息安全管理、社会管理和国家安全带来巨大挑战。互联网新技术新业务安全评估就是为了应对上述调整的一次创新尝试。本文首先分析了开展安全评估的积极意义，与现有信息安全风险评估体系的区别和联系，然后重点从评估要素、流程、风险模型方面阐述了安全评估方法，以期对安全评估实践的开展提供初步的理论支撑。

互联网新技术新业务；安全评估；评估方法

1　引言

互联网已成为全球战略性公共基础设施，在我国经济发展、社会管理、公共服务、文化传播和对外开放中发挥着不可替代的作用。当前，互联网技术业务呈现融合化、移动化、社交化、平台化、多媒体化、云端化等爆炸式发展创新态势，向更深交融、更广交互、更宽渗透、更高智能的方向发展，不断开辟着互联网发展的新应用、新模式、新市场和新空间。

机遇与挑战并存。互联网在迸发出创新活力，不断向经济社会方方面面深度渗透的同时，也带来了前所未有的安全挑战。当前，网络与信息安全问题不仅是影响互联网发展的主要因素，更是事关国家安全、政权安全和国家发展，事关广大人民群众工作生活的重大战略问题。“斯诺登”事件后，各国纷纷意识到网络安全对本国利益的重要性，网络空间制网权的争夺愈发激烈。以5G、工业互联网、大数据、云计算、物联网为代表的新一代互联网技术，微博、微信等为代表的新技术新应用改变了传统的信息流动模式，进一步加剧了信息传播的多属性，对我国信息安全管理、社会管理和国家安全带来了全新的挑战。

面对新的形势，传统的“救火队员”式的安全应急处置管理模式已经难以适应互联网新技术新业务新应用创新发展的步伐。为了实现“信息安全风险提前预判，安全防护措施提前部署”的保障目标，建立互联网新技术新业务信息安全评估机制至关重要，开展互联网新技术新业务发展趋势的动态跟踪，及时评估信息安全风险，提前预警，提前防范，对净化网络环境、促进互联网持续健康发展、维护国家安全具有重要意义。

此外，实践互联网新技术新业务安全评估也是顺应国家与党中央关于互联网行业“简政放权”、“宽进严管”的深化改革大背景。

2　安全评估与信息安全风险评估的关系

实际上，信息安全风险评估的概念提出由来已久，已经发展出完整的理论体系和技术标准体系。国际上，ISO27000系列标准是国际公认的构建信息安全管理体系的基础标准。我国也在2007年发布国家标准《GB/T 20984-2007信息安全风险评估规范》。在这些成熟的信息安全风险评估理论体系中，信息安全风险评估被定义为是依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。

可以认为已有的信息安全风险评估是以信息系统为核心开展评估的。但是新一代信息通信技术的应用普及、各类互联网创新应用和服务引发的非传统信息安全问题层出不穷，已经不能依靠传统的信息安全风险评估解决，需要针对这些互联网新技术新业务的功能、属性、应用场景进行分析评估，挖掘潜在的危害用户合法权益、国家安全和社会稳定的非传统安全威胁，这才是互联网新技术新业务安全评估承担的使命。

因此，有别于已有的信息安全风险评估体系，互联网新技术新业务安全评估的核心是围绕互联网新技术新业务的功能实现，向业务系统和数据扩展，开展评估，与基于信息系统的信息安全风险评估互为补充，共同实现对传统和非传统信息安全威胁的积极防范。

3　安全评估的方法

互联网新技术新业务安全评估本身也是一项创新性的工作，为了能够科学、规范地的开展安全评估实践，也需要相关的评估理论进行支撑，首当其冲的就是评估方法。在研究评估方法之前，还需再一次明确安全评估的目标：进一步加强互联网技术、业务、应用的信息安全管理，提早防范潜在信息安全风险，提早部署安全保障措施，促进互联网创新健康发展。在目标明确的基础上，本文给出了互联网新技术新业务安全评估的定义：系统地识别和分析互联网技术、业务、应用可能引发的信息安全风险，评估信息安全事件一旦发生可能造成的危害程度，评估企业配套的信息安全保障能力是否能够将风险控制在可接受的水平，提出有针对性的预防信息安全事件发生的管理对策和安全措施，为最大限度地保障互联网技术、业务、应用的信息安全提供科学依据。本文将从评估要素、评估流程、风险评估模型3个方面阐述如何开展互联网新技术、新业务的安全评估。

（1）安全评估要素

安全评估要素是开展互联网新技术新业务安全评估时的主要考量。通过识别安全评估要素，可以明确安全评估的方向和内容。一般情况下，安全评估要素应当包括业务市场发展情况、业务功能、业务属性、信息流动链条、企业信息安全管理制度以及企业信息安全技术保障措施。细化如下：

●业务市场发展情况

包括（潜在）用户规模、用户构成情况、业务发展阶段、市场占有率、市场发展前景等。

●业务属性

业务属性是指互联网新技术新业务新应用所具备的特征模块，包括通信属性、社交属性、媒体属性等。

——通信属性是指具备限于用户之间进行点对点信息交流与传递的特征。一般情况下，通信属性的信息传播范围小，基本限制在两个用户之间。

——社交属性指具备限于有社交关系的用户之间进行点对多点或群组信息交流与传递的特征，对应的典型功能包括群组聊天、“朋友圈”等。一般情况下，社交属性的信息传播范围大于通信属性，信息由社交关系的用户间扩散传播。

——媒体属性是指具备面向开放范围内大量用户进行广播式信息发布的特征，对应的典型业务或功能包括微博客、“公众平台”等。媒体属性的信息传播范围是3种属性中最大的，具备大众广播功能。

●信息流动链条

信息流动链条关注在信息生成、信息发布、信息传播、信息接收等环节互联网技术、业务、应用是如何传播信息的。

●信息安全管理

信息安全管理是指企业为了运营互联网业务、应用所配套的各类信息安全保障措施，包括机构人员、安全制度、培训演练、日常监测、应急处置、用户投诉举报、用户信息保护等。

●信息安全技术手段

信息安全技术手段是指企业为落实各类信息安全保障措施配套的技术系统，包括IP地址和域名等基础资源管理、违法信息处置、日志留存等技术手段。

（2）安全评估流程

从评估要素中可以看出，互联网新技术新业务安全评估的对象其实包括两个：一个是互联网技术、业务、应用本身；一个是使用或者运营互联网技术、业务、应用的企业。因此，安全评估实际上是由两部分组成：业务安全风险评估和企业安全保障能力评估。两部分相对独立，又彼此关联。安全评估实施过程中，需首先完成业务安全风险评估，识别业务潜在信息安全风险，再基于风险识别的结果完成企业安全保障能力评估。对于两个流程的具体实施方法正在制定相关标准。

业务安全风险评估是评估互联网技术、业务、应用（简称“业务”）的功能、属性、特点、技术实现方式、市场发展情况、（潜在）用户规模等关键要素对信息安全管理、社会管理和国家安全的威胁和挑战，分析、识别信息安全风险。

企业安全保障能力评估是评估企业信息安全管理措施和技术保障手段能否将信息安全风险控制在可接受范围内，可从安全管理机构、安全管理制度、技术保障手段建设情况等多个方面，评估企业的信息安全保障工作水平。

（3）业务安全风险评估模型

从上述分析中不难发现，互联网新技术新业务安全评估的一个核心工作和首要任务就是识别互联网技术、业务、应用的信息安全风险。这些风险都是非传统安全威胁引发的，不能依靠现有的信息安全风险评估理论得出。因此，解决如何识别互联网技术、业务、应用的信息安全风险是研究安全评估方法的最重要的一项工作。为了解决这一难题，本文提出了业务安全风险评估模型，具体参见图1。通过总结多年开展安全评估的实战经验，归纳各类评估要素中可能产生的对安全管理工作的威胁和挑战，形成多个评估模块。评估人员使用业务安全风险评估模型时，通过遍历各个评估模块，根据被评估对象的具体情况，识别对应于每个评估模块是否存在相应的信息安全风险。对于评估模型涉及的具体安全风险点、评估模型具体使用方法正在制定相关标准。

业务安全风险评估模型从信息内容安全、数据安全两个层面提出了17个评估模块，其中信息内容安全又分为业务应用安全、业务平台安全两个子层。

业务应用安全子层以业务实现功能、使用情况为基本出发点，以业务系统中传输的公共信息内容为核心评估点，分析可能对信息内容安全管理造成影响的各类威胁和隐患，评估模块包括用户、信息内容、信息载体、信息生成、信息传播、信息接收、信息留存。

图1　业务安全风险评估模型

业务平台安全子层以承载业务的系统平台为核心评估点，分析可能对信息内容安全管理造成影响的各类威胁和隐患，评估模块包括设备地理位置、资源调度方式、业务合作、开放接口。

数据安全层以业务系统中传输、存储的各类数据为核心评估点，从维护企业、个人、国家利益角度出发，分析可能对数据安全造成影响的各类威胁和隐患，评估模块包括数据采集、数据存储、数据传输、数据加工、数据转移、数据删除。

4　结束语

当前，互联网应用功能不断集成，单一功能的应用不断向融合新闻、搜索、即时通信、社交、电子商务等功能的集成应用演变。互联网产业边界不断扩张，产业主体跨界耦合，互联网应用深度不断深化。在互联网演变和创新的过程中，引发的信息安全风险也在不断升级，复杂程度、影响范围空前。互联网新技术新业务安全评估是为了应对信息安全新形势新需求的一次创新式探索，其本身也是一个全新的事物。本文只是对互联网新技术新业务安全评估方法研究的一次“抛砖引玉”，希望通过本文的阐述带动、启发安全评估相关的理论研究工作，逐步形成一套符合当今互联网发展趋势、满足我国信息安全管理目标的互联网新技术新业务安全评估理论体系。

华为为德国电信带来73GHz毫米波多用户MIMO现场演示

近日，华为与德国最大的移动网络服务提供者德国电信在巴塞罗那移动世界大会中现场演示毫米波多用户M IMO技术。该展示在73GHz毫米波段上达到了70Gbit/s的传输速率，并实现了极高的频谱效率。

德国电信在2015年3月启动了5G：haus项目，目的在于同全球领先的行业伙伴一起探讨潜在的5G关键使能技术。作为华为与德国电信在5G：haus项目合作框架下的一部分，最新的联合演示基于毫米波MIMO技术在多用户的复杂场景下，达到了70Gbit/s的超高速率，并大幅提升了频谱效率。超材料聚焦阵列（MMFA）技术被应用于创造可调点波束，动态波束追踪特性也在移动场景中完成了测试。不同用户可以通过不同的波束在同一时间同一频率上进行数据传输。

“华为正在5G的关键使能技术方面投入巨大的创新力量”，华为无线的首席技术官，5G首席科学家童文博士讲到：“毫米波多用户MIMO技术可以实现与光纤接入速度类似的移动宽带接入，秉承着以客户为中心的创新理念，华为将会与客户一同持续推动世界领先的5G技术。”

The General Research of Security Evaluation of Internet Novel Technologies and Services

ChenTian

At present，Internet technologies，services，applications present diverse development trends，burst out unprecedented innovation and vitality，leadar evolution of the Information Technology Industry，create a colorful Internet ecological civilization.Internet in China grabs this opportunity to achieve a rapid development，and is running forward to the direction of wider application and deeper integration.At the same time，the rapid development of the Internet innovation and the continuous enhancement of the capacities of public influence and social mobilization have brought great challenges to the information security management，the social governance and national security defense.Security Evaluation of Internet Novel Technologies and Services is an innovative attempt to cope with the above situation.This paper analyzed the positive significance of security evaluation，discussed the difference and relevance between the existing information security risk assessment theory and security evaluation.Then described the security evaluation method through evaluation factors，process，risk model.The goal of the paper is to general support further security evaluation practice.

internet novel technologies and services；security evaluation；evaluation method

2015-12-10）