大数据背景下政务平台网络安全管理策略研究

刘春

一、政务平台网络安全的时代背景和安全挑战

（一）政务平台安全建设依附的时代背景

电子政务是我国深化行政管理体制改革，推进“互联网+政务”的重要举措和国家信息化推进的战略重点之一。政务平台是电子政务的重要组成部分，是支撑“互联网+政务”的载体。高效、稳定的政务平台安全体系是政府推行“互联网+政务”的基础。

近年来，党中央、国务院高度重视信息安全建设。2016年4月19日，在中央网络安全和信息化领导小组第一次会议上，习近平总书记以“没有网络安全就没有国家安全，没有信息化就没有现代化”的清晰战略，提出了建设网络强国的战略目标。

党的十九大报告指出，世界多极化、经济全球化、社会信息化、文化多样化深入发展，网络安全等非传统安全威胁持续蔓延，人类面临许多共同挑战。报告同时指出，我们党要全面增强执政本领，善于运用互联网技术和信息化手段开展工作。

（二）大数据背景下政务平台面临的安全挑战

当前，政务平台通过资源集约化建设和数据集中化存储，形成了省级政务平台自然人、法人和其它社会组织的各类敏感数据大集中，经过对大數据技术的有效治理和融合应用，能有效地提升人民群众的办事效率和政府的决策水平，为强化服务型、高效型政府机关建设奠定了基础。与此同时，政务平台也面临着外部巨大的安全挑战。

一是网络攻击手段多样化，在网络安全形势日趋严峻的今天，除了传统的SQL注入、XSS、DDOS攻击外，针对政府部门数据平台的APT攻击、精准式网络攻击也愈演愈烈；二是木马病毒猖獗，木马病毒是近现代网络技术发展的衍生物之一，有的病毒在进入宿主电脑后，窃取各种重要信息，甚至破坏电脑数据；三是网络战武器平民化，2016年不法分子窃取了美国NSA的网络武器，制作的勒索病毒攻击了150多个国家，被攻击用户硬盘中的数据被加密锁定并被勒索，类似的网络攻击有常态化趋势；四是网络攻击组织化，在网络安全法规宽松的国家里，黑客组织公司化，形成了制造、传播、盗窃账户、第三方平台销赃、洗钱等分工明确、结构完整的黑色产业链。

二、当前政务部门网络安全管理现状及问题

为有效开展重庆市某重点信息化项目二期工程网络安全建设和运维工作，笔者于近期分别调研了6家拥有大规模敏感数据的代表性市级部门。通过调研发现，相关市级部门在网络安全建设和运维工作中有共同点和有特色之处，也存在一些问题。

（一）网络安全现状

各部门的共同点是，政务平台的业务系统繁多，从100至300余个不等；政务平台均部署在政务云上；业务系统数据规模大，均归集了各类自然人、法人和其它社会组织敏感信息上亿条甚至几十亿条，各类结构化和非结构化数据达到30TB至3PB不等；均开展了大数据技术应用。安全建设均采取或准备采取顶层设计，采用多样化的网络安全产品。

各部门的特色是，甲单位的安全制度相对完善，其内外网之间数据交换模式，将网络设计管理、审计与网络运维分成独立且相互制约的三个小组，构成管理闭环，以技术加平台的方式开展日常运维，同时通过合同约定对违规情形进行经济惩罚；乙单位建成的“政务平台云运行监管系统”，对网络环境和安全状况进行实时监测和报警；丙单位将运维与网络安全检测分离，定期召开三方运维工作会；丁单位制定应急预案、开展应急演练，对系统源代码、标准接口和开发文档进行综合集成管理；戊单位信息安全建设由本单位专业人员发挥核心作用，严控软件开发管理流程，软件上线前通过3道测评关口。己单位在办公电脑上安装“预防一机两用”监控系统，实时监测电脑是否有连接互联网的情形，对违规访问的电脑自动强制关机，事后对当事人纪律处罚等等。

（二）网络安全存在的问题

当前，相关市级部门的政务平台在建设和运维过程中，除了面临外部巨大的安全挑战外，在内部还存在较大的安全隐患和问题，具体表现在两个方面。

1、网络安全建设问题

一是平台建设只注重功能而忽视安全。政务平台普遍只注重可用性，而忽略了安全性。需求调研局限于功能调研，网络安全建设仅靠安全产品的简单堆砌，平台数据安全主要依赖于开发人员的个人素养，导致平台代码混乱，存在许多原生安全问题。

二是注重形式防护而忽视安全本质。部分市级部门简单地将安全设备的投入与网络安全建设划等号，在平台建设初期对网络安全非常重视，投入较多的硬件，开展了信息安全等保测评，但在平台运行的过程中却忽视信息安全防护，缺乏日常安全运行管理，致使政务平台的信息安全问题不能及时发现并解决。

三是注重数据大集中而忽视数据泄露风险。大数据技术和设备的集中化管理成为政府政务平台建设的主流技术和模式，但大数据安全防护技术发展的滞后也增加了平台的信息安全隐患，集中化管理设备如果缺乏定期的维护升级，反而可能成为攻击者集中获取权限扩大战果的突破点。

2、网络安全运维问题

一是由非专业团队负责网络安全运维。部分政务平台将安全运维整体承包给软件开发企业或系统集成商，甚至是安全设备厂商。这类企业重点保障了信息系统的可用性，满足功能和性能上的需求，但由于缺乏专业化网络安全团队的运维支撑，信息系统的安全性、信息系统抗抵赖性无法保障；由于缺少监督和竞争，导致安全服务被承包商“绑架”，运维质量下降；承包商人员全面接触到核心数据后，主动泄露数据或开“后门”风险加大。

二是安全运维管理不专业不到位。一些政务平台隔离策略不严格，没有严格的访问控制（ACL）策略，且办公网和互联网之间大部分相通，DMZ区和办公网之间缺少足够的隔离措施，网络区域划分不严格致使攻击者直接获取平台数据；通用中间件未修复漏洞较多，大多数政务平台使用的Weblogic、Websphere、Tomcat、Apache、Nginx、IIS等中间件存在较多漏洞，如果不能及时修补，极易被恶意攻击者利用，作为内网渗透的突破点，实现非法登录和远程控制，造成巨大的风险隐患。

三是管理机制不健全安全意识淡薄。部分部门安全制度不完善、落实不到位，一些管理人员安全意识淡薄、能力不足。内部管理的疏漏，为平台开发和运维人员有意或无意的破坏系统安全、泄露数据行为提供了天然的土壤，致使政务系统时常出现互联网出口多、曝露面大、安全策略只开不收、使用非专用设备登入系统、安全管理盲点较多等等问题；平台出现故障后又互相推诿，责任认定困难，事后总是不了了之。

三、加强政务平台网络安全防御策略

政务平台是支撑“互联网+政务”的基础，平台的网络和信息安全责任重大，我们应充分借鉴和吸收相关市级政务平台的经验教训，建立面向大数据的网络与信息安全策略，开展网络安全建设与运维工作。

（一）聘请专业化公司负责网络安全建设和运维

1、本地专业化网络安全公司与设备厂商比较

相比本地专业化网络安全公司，让设备厂商直接从事网络安全建设和运维工作存在四个方面的问题：一是安全厂商以多卖设备为目标，容易造成安全产品的堆砌；二是各安全厂家都有自己优势领域的产品，由安全厂家做建设，只会推荐自家产品，不会选择对手更优质的产品，造成花相同的钱，选择了较弱的设备；三是安全链为同一品牌，缺乏安全异构，若某品牌的一个产品被攻陷，极易造成该品牌的系列产品均被攻陷；四是安全厂家总部不在本地，办事处技术人员以产品安装调试为主，对网络安全事件的应急响应能力较弱。

而专业化、有经验的网络安全服务公司，在合同和经济手段的约束下，能够站在用户角度，以优化精简方式进行网络架构设计和产品选型，选取多家安全厂家的优势产品，组成高效、异构化的安全防护链，监督厂家将产品功能进行最优化配置，督促业务系统开发商强化系统安全，能够为用户提供更优质的服务，更多地分担用户的安全压力。

2、专业化安全服务商与系统集成商比较

传统系统集成商与专业化网络安全服务商的区别在两个方面：

一是服务范围不同。系统集成商提供的运维服务主要包括故障排查，设备状态、性能巡检、服务器补丁升级，采用用户设备进行漏洞扫描；而安全服务商的服务除了以上内容外还包括：安全事件的应急响应与溯源取证，全方位安全巡检，采用多种自备异构扫描工具定期安全扫描与脆弱性检查，服务器安全基线加固，定期的漏洞挖掘与渗透测试，应急演练与专业化安全攻防对抗演习，安全规划与安全咨询，体系化的安全管理制度的制定，业务系统上线前安全评估等；

二是对安全设备的熟悉程度不同。集成商一般较熟悉网络设备、服务器，在安全设备方面对产品厂家依赖性强；安全服务商对主流安全设备比较熟悉，既可以在设备选型时提供专业建议，又可以对设备功能进行优化配置。

综上，建议单独聘请专业化网络安全服务商负责政务平台的网络安全运维工作。

（二）将安全运维与网络安全等保测评有机结合

安全运维工作与网络安全测评，是否统一还是独立开展各有优劣，比较如下。

1、将安全运维与网络安全测评事项合并的好处

委托一家专业安全服务商合并开展系统安全运维服务和等级保护测评，主要有以下优势：

一是可将业务系统建设与等保测评有机结合，在业务系统和网络安全运维初期，以等保2.0标准，为系统建设提供管理咨询、安全评估、渗透测试、代码审计、安全加固、应急响应等多项增值服务，让业务系统建设少走弯路；二是可在测评过程中得到更专业的配合，等级保护测评涉及几百个测评项，安全服务商对标准理解更透彻、更有经验，能迅速协助用户找到测评项应对措施和问题的解决办法，避免因对标准的理解差异而造成测评的重复工作；三是可分担用户安全压力，安全测评前后，服务商能站在用户角度规范业务系统建设，以专业的角色作为测评过程监督人员，规范测评过程，减少测评对业务的影响，保证测评质量；四是可以减少一次招投标的流程，节省时间和经费。

2、将安全运维与网络安全测评事项分离好处

将安全运维与网络安全测评事项分离，让第三方测评团队开展定期安全检测，独立地开展等保测评，一方面有效避免因网络安全运维团队的能力不足、思维盲区或工作疏漏所导致的安全漏洞或安全事故；另一方面，能有效形成对网络安全运维团队的监督机制，避免在网络安全运维的事务决策上形成垄断。

综上分析，建议对网络安全队伍薄弱的政务用户，在网络安全外包服务探索阶段，将安全运维与等级测评分项外包，减少项目风险。经过一两年考察并选定优质服务商后，再将上述事项合二为一，以优化项目管理流程，节省管理成本。

（三）强化网络安全制度建设

针对政务平台建设，应建立一套完整的网络安全管理制度，根据网络安全三同步原则，将网络安全管理涵盖政务平台建设和运维的全生命周期，让安全管理制度“长出牙齿”。

一是将安全责任落实到人。通过合同约定，强制各服务单位建立驻场人员的管理制度，强化软件开发、系统集成、安全运维等人员的安全管理。在合同中约定违规情形的经济惩罚手段；同时，明确用户方各类管理人员的岗位职责和安全责任。

二是建立系统建设管理制度。制定软件开发管理制度，定义从系统规划到测试验收等各个流程安全管理规范，明确开发过程的控制方法和人员行为准则；对系统源代码、标准接口、开发文档进行综合管理；在程序上线前对安全功能、风险状况进行评估。

三是建立网络安全运维管理制度。明确安全保障的常规措施和重保措施，界定边界安全、网络安全、云数据中心安全和终端安全范围，规范网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期、恶意代码防范管理、系统变更管理、备份与恢复管理等网络安全相关行为。

四是做好应急预案。在统一的应急预案框架下制定不同事件的应急预案和处置流程，定期针对各类不同应急预案进行演练，根据不同的应急恢复内容，确定演练的周期，并根据演练结果和实际情况定期更新应急预案。

（四）加强对系统建设单位的管理

政务用户应从以下三个方面加强对系统建设单位的管理。一是加强外部人员的上岗管理，签订三方保密协议，规定保密时效以及相应违约责任；二是加强软件开发过程管理，按照制定的系统建设和运维管理制度，开展軟件开发全流程管理，严控项目进度，提升项目建设质量；三是充分借助第三方力量，分担业主压力。选择一家有丰富经验的第三方安全管理团队和项目监理单位，充分借助专业化团队的力量，辅助用户对政务平台建设单位进行全方位监督，分担用户的安全与管理压力。

（五）建立政务平台态势感知和运行监管系统

为应对大数据环境下政务平台面临的各类网络安全威胁，需要定制开发建设一套面向全局的态势感知和综合监管系统。系统应充分利用大数据安全感知技术，针对在政务平台上部署的所有软硬件网络安全资源，全方位采集并记录软硬件设备的运行状态和运行日志；对各类设备产生的海量日志进行高性能关联分析和智能化处理；通过分析处理捕获真实威胁来源，避免假威胁错报和真威胁漏报发生；通过建立一套标准化、可度量的安全态势评价指标体系，客观、全面、准确地刻画政务平台安全态势，对各种异常状态和网络威胁进行分类、分级报警。系统应建立可视化平台和报警机制，快速定位风险源和各类威胁点，厘清各类威胁和故障的责任单位，杜绝责任不清、互相推诿的情形产生，让网络安全管理直观化、责任明确化。

作者单位：重庆市综合经济研究院