基础电信运营企业互联网网站安全定级方法的探讨

孔令飞 中国联通河北省分公司网络与信息安全部高级工程师

卜哲 中国信息通信研究院安全研究所高级工程师

专家视点

基础电信运营企业互联网网站安全定级方法的探讨

孔令飞 中国联通河北省分公司网络与信息安全部高级工程师

卜哲 中国信息通信研究院安全研究所高级工程师

探讨了基础电信企业在开展互联网网站安全定级工作中可以遵循的一种方法。通过聚类、归并分析等方式，识别出对互联网网站安全属性具有标识意义的要素，进而考察各要素间的关系，结合实践数据找到了一种方法并给出了形式化描述。

网络安全；电信网；互联网；安全等级；定级；方法

1 工作概况

互联网网站承载了大范围的公众通信应用服务，其安全状况对于国家安全、社会秩序、经济建设、公共利益、承载网络自身以及河北联通公司的利益等，具有重要意义。通过对互联网网站进行安全等级划分，按照安全等级保护要求进行规划、建设、运维、管理和监督，可以实现对互联网网站的重点保护和有效保护，增强安全保护的整体性、针对性和实效性。

河北联通根据开展国有企业互联网网站安全专项整治行动的实践需要，确定了本公司互联网网站安全等级的定级方法。

2 工作开展现状

开展互联网网站安全专项整治行动的工作过程中发现对于如何确定互联网网站的安全等级还缺乏明确的标准，已有的类似标准的内容也相对滞后、依据间也存在一些矛盾。

2.1 两个可供参考标准的局限性

一个是《电信网和互联网安全等级保护实施指南》（YD/T 1729-2008），该标准是2008年制定，是面向电信网与互联网的通用性准则，缺乏对互联网网站定级工作的针对性。

另一个是《电信网和互联网信息服务业务系统安全防护要求》（YD/T 2243-2011）。由于互联网网站属于信息服务业务系统类型，若依照该标准，则其中定级部分是参考了YD/T 1729-2008，同样面临缺乏针对性的问题。同时，互联网网站又属于“非核心生产单元”，定级和符合性评测的内容有些滞后。

2.2 以增值电信业务系统的定级作为参考

为了加强对互联网企业的定级备案管理，工业和信息化部在2012年发布了一系列的标准，对互联网网站的业务类型规范较细，每个类型业务的定级方法对本次网站定级的参考性很强。但其中的若干指标过于宽泛，很难应用到基础电信企业的网站。在此基础上，河北联通针对基础电信企业的情况和能力，提出了一种定级方法。

3 一种定级方法

3.1 安全等级的划分原则

（1）适用性声明：考察互联网网站遭到破坏后可能对国家安全、经济运行、社会秩序、公众利益的危害程度，由低到高分别划分为第1、2、3（包含第3.1和3.2）、4和5级。

依据监管部门的有关要求，河北联通将互联网网站的建议安全等级范围限定为：1、2、3.1和

3.2级。

（2）安全等级划分的总体原则：根据互联网网站受到破坏后对国家安全、社会秩序、经济运行、公共利益以及网络和业务运营单位的合法权益的损害程度确定安全等级。

（3）安全等级的划分：

第1级，指互联网网站受到破坏后，会对其网络和业务运营单位的合法权益造成轻微损害，但不损害国家安全、社会秩序、经济运行和公共利益。

第2级，指互联网网站受到破坏后，会对网络和业务运营单位的合法权益产生严重损害，或者对社会秩序、经济运行和公共利益造成轻微损害，但不损害国家安全。

第3级，进一步划分为两个等级：

第3.1级，指互联网网站受到破坏后，会对网络和业务运营单位的合法权益产生很严重损害，或者对社会秩序、经济运行和公共利益造成较大损害，或者对国家安全造成轻微损害。

第3.2级，指互联网网站受到破坏后，会对网络和业务运营单位的合法权益产生特别严重损害，或者对社会秩序、经济运行和公共利益造成严重损害，或者对国家安全造成较大损害。

3.2 划分安全等级的流程

互联网网站的安全等级划分可分为3个步骤：单元划分、赋值计算、确定等级。

（1）单元划分：对本单位的互联网网站系统按照专业类型进行单元划分，划分后的网络单元应边界清晰、管理责任主体分明、属于同一种类型的业务系统。每个定级对象不得包含多个类型的网站系统。对于存在多个功能的大型网站，可按照其主要功能进行分类，可根据互联网网站提供服务的情况分为如下类型：门户综合型网站、信息社区服务型网站、网络交易型网站、即时通信型网站、移动互联网应用商店型网站等。信息社区服务型网站是指：各种网络论坛、BBS、网上社区等类型的网站。网络交易型网站是指：各种以提供在线交易功能为主要服务内容的网站，例如网店等。即时通信型网站是指：微信公众号平台等。

完成单元划分之后，需要对其进行命名。互联网网站的网络单元名称（即定级对象名称）的命名规则可以是：[责任主体简称][业务系统类型][网站名称]系统。例如，“河北联通xx型网站yy系统”、“唐山联通xx型网站yy系统”等。

（2）赋值计算：按照各专业类型网站的定级指标赋值原则确定网络单元定级要素的赋值，并通过安全等级计算公式计算得出网络单元的安全等级。

（3）确定等级：根据计算结果确定等级。

3.3 定级要素的赋值

互联网网站的安全等级由两个客观因素决定：受保护对象遭到破坏时所侵害的客体和对客体造成侵害的程度。受侵害的客体是指：

（1）公民、法人和其他组织的合法权益。

（2）社会秩序、公共利益。

（3）国家安全。

对客体的侵害程度由对客体的侵害程度由客观方面的不同外在表现综合决定。由于对客体的侵害是通过对受保护对象的破坏实现的，因此，对客体的侵害外在表现为对受保护对象的破坏，通过危害方式、危害后果和危害程度加以描述。受保护对象受到破坏后对客体造成侵害的程度归结为以下3种：

（1）造成一般损害。（2）造成严重损害。

（3）造成特别严重损害。

受侵害的客体以及对客体的侵害程度这两个客观因素的相互作用可以被归纳为3个相互独立的要素，分别是：社会影响力、规模和服务范围、所提供服务的重要性。这3个要素被称为互联网网站安全等级的定级要素。各定级要素的取值范围定为：1、2、3、4和5。各专业类型网站系统的定级要素的赋值各不相同，可具体参照下述方法确定。

（1）门户综合型网站系统

门户综合型网站系统的服务对象范围广泛，数量众多，受到破坏后会对社会秩序、经济运行和公共利益造成较为严重的损害，建议社会影响力赋值为3。

门户综合型网站系统的规模和服务范围R可根据日均访问用户数R1、人均页面访问量R2两个指标来确定，将R1和R2中的较大的值赋予R。表1、2给出了R1和R2的赋值。

门户综合型网站系统所提供服务的重要性较大，被破坏后会对河北联通的合法权益（企业形象）造成较大损害，建议所提供服务的重要性赋值为3。

表1 日均访问用户数R1赋值表

表2 人均页面访问量R2赋值表

（2）信息社区服务型网站系统

信息社区服务型网站系统的服务对象范围广泛，数量众多，其上承载了多种业务功能，受到破坏后会对社会秩序、社会舆论、经济运行和公共利益造成较为严重的损害，建议社会影响力赋值为3。

信息社区服务型网站系统的定级对象的规模和服务范围R可根据注册帐户数R1（指信息社区服务系统累计注册的帐户总数）、活跃帐户数R2（指一个时段内，通常是一个月，至少使用一次信息社区服务系统的帐户总数）两个指标来确定，将R1和R2中的较大的值赋予R。表3、4给出了R1和R2的赋值。

表3 注册帐户数R1赋值表

表4 活跃帐户数R2赋值表

信息社区服务型网站系统所提供服务的重要性较高，被破坏后会对社会秩序以及河北联通的合法权益造成较大损害，建议提供服务的重要性赋值为3。

（3）网络交易型网站系统

网络交易型网站系统的服务对象范围广泛，数量众多，且其上承载了交易、支付等金融类业务功能，受到破坏后会对社会秩序、经济运行和用户利益造成较为严重的损害，建议社会影响力赋值为3。

网络交易型网站系统的定级对象的规模和服务范围R可根据规模由注册用户数R1（网络交易平台注册用户数量，包括注册商家及普通用户）和每天交易金额R2（每天完成的网络交易金额）两个指标来确定，将R1和R2中的较大的值赋予R。表5、6给出了R1和R2的赋值。

表5 注册用户数R1赋值表

表6 第天交易金额R2赋值表

网络交易型网站系统所提供服务的重要性较高，被破坏后会对河北联通以及合法用户的合法权益造成严重损害，建议所提供服务的重要性赋值为3。

（4）即时通信型网站系统

即时通信型网站系统的服务对象范围广泛，数量众多，且其上承载了多种业务功能，受到破坏后会对社会秩序、经济运行和公共利益造成较为严重的损害，建议社会影响力赋值为3。

半枫荷在我国中药应用的历史上包括多种植物的材料，半枫荷同名异物的品种有6种之多，均与金缕梅科的半枫荷具有相似的药效[2]。杨武亮等[3]查阅有关文献和标本，统计出以半枫荷同名同用途的植物有5科6属12种。林华[4]认为有5科8属14种。各个研究说法不一，为加以明确，指导中草药生产和加工利用，本研究综合多人的研究[2-7]，将较为公认的半枫荷同名同用途物种(5科7属14种)列表说明(表1)。

即时通信型网站系统的定级对象的规模和服务范围R可根据注册账户数R1（指即时通讯软件累计注册

的账户总数）、活跃账户数R2（指一个时段内，通常是一个月，至少使用一次即时通讯服务的账户总数）两个指标来确定，将R1和R2中较大的值赋予R。表7、8给出了R1和R2的赋值。

表7 注册帐号数R1赋值表

图8活跃帐号数R2赋值表

即时通信型网站系统所提供服务的重要性一般，被破坏后会对河北联通的合法权益造成损害通常不大，建议提供服务的重要性赋值为2。

（5）移动互联网应用商店型网站系统

移动互联网应用商店型网站系统服务于公众用户，建议社会影响力赋值为2。

建议规模和服务范围通过访问用户独立IP数、注册用户数、上线应用数、应用下载量、签约开发者数等多个指标衡量，取各指标赋值最大值。表9给出了赋值。

移动互联网应用商店型网站系统所提供服务的重要性与移动终端的使用范围相关，建议提供服务的重要性赋值为2。

3.4 安全等级的计算

完成定级对象的社会影响力I、规模和服务范围R、所提供服务重要性V3个定级要素的赋值后，采用以下公式来计算定级对象的安全等级值：

其中，k代表安全等级值，I代表社会影响力赋值、R代表规模和服务范围赋值、V代表所提供服务的重要性赋值，Round1{}表示四舍五入处理，保留1位小数，Log2[]表示取以2为底的对数，α、β、γ分别表示定级对象的社会影响力、规模和服务范围、所提供服务的重要性赋值所占的权重，α≥0，β≥0，γ≥0，且α+β+γ=1。建议权重值α、β、γ分别为：0.4、0.4、0.2，或者1/3、1/3、1/3，各企业也可根据实际情况确定权重值α、β、γ。

根据前述定级要素的赋值，代入公式计算后可得到k值。之后，根据映射关系表，最终确定安全等级（见表10）。

表10 安全等级值与安全等级的映射关系

4 应用实践

河北联通已在全省范围内推广本文的方法，现以一个网站的定级过程作为示例。

“虚拟主机业务平台”：网站域名（www.hebidc.

cn），网站备案号（冀ICP备12018714-6）。该平台主要用于对品牌建站子业务域名、虚拟主机、企业邮局的申请和续费使用。

表9 规模和服务范围赋值表

对该网站进行定级如下：

（1）单元划分：此网站属于门户综合型网站。单元命名：河北联通门户综合型网站虚拟主机业务平台。

（2）定级要素的赋值。

社会影响力：因该网站用于业务的开通注册，使用者较少，受到破坏不易造成严重损害，故社会影响力I=1。规模和服务范围：该网站日均访问客户数在100万以下，人均页面访问量在10次以上、20次以下，故日均访问用户数R1=1，人均页面访问量R2=2，所以规模和服务范围R=2。所提供服务的重要性：被破坏后会对河北联通合法权益造成损害，故所提供服务的重要性V=3。

（3）安全等级的计算

根据计算公式有：K=Round1{Log2{[0.4×2+0.4× 2×2+0.2×2×2×2]}}=2，或，

K=Round1{Log2{[1/3×2+1/3×2×2+1/3×2×2×2]}}= 2. 22

查表10，得出结论：该网站安全等级为第2级。

5 结束语

本文针对互联网网站安全定级方法的讨论，主要集中在依据已有的信息系统等级保护的方法论展开，针对若干典型的互联网网站类型确定了定级要素的判断指标，填补了国内相关领域的空白。但是，本项工作在应用实践中还可能面临一定的困难和不确定因素，例如网站用户数的统计、网站访问量的统计、网站类型的变化等还缺少技术手段进行精确统计和判断。下一步工作思路，是报请集团公司和监管部门按照本文成果在部分省份开展试点工作，最佳实践后，形成新的标准。

[1]中国通信标准化协会.电信网和互联网安全等级保护实施指南:YD/T 1729-2008[S].北京:人民邮电出版社,2008.

[2]工业和信息化部.电信网和互联网安全防护体系的互联网网站划分及建议安全等级:工信保函[2010]14号[R].

[3]全国信息安全标准化技术委员会.信息安全技术信息系统安全等级保护定级指南:GB/T 22240-2008[S].中国标准出版社,2008.

[4]中国通信标准化协会.增值电信业务系统安全防护定级和评测实施规范门户综合网站系统:YDB 106-2012[S]. 2012.

[5]中国通信标准化协会.增值电信业务系统安全防护定级和评测实施规范信息社区服务系统:YDB 109-2012[S]. 2012.

[6]中国通信标准化协会.增值电信业务系统安全防护定级和评测实施规范网络交易系统:YDB 108-2012[S].2012.

[7]中国通信标准化协会.增值电信业务系统安全防护定级和评测实施规范-即时通信系统:YDB 107-2012[S]. 2012

Amethod for telecom carriers to define website security level

KONG Lingfei,BU Zhe

In this paper the author discussed such a method that may be followed by telecom carriers in taking classified security protection of websites.Through clustering and merging analysis,we identified some significant security attributes of the websites,marked the significance of those elements,and studied the relationship between them,then we combined with the practical data to find a method and gave the formal description.

network security;telecommunication network;Internet;define the security level;method

2016-10-20）