基于电信运营商的新技术新业务信息安全评估方法及风险探讨

王燕　李德智

摘要：新技术新业务“井喷式”创新发展、渗透融合引发信息安全新风险新问题，安全评估工作面临更多迫切需求、更加广泛应用场景。本论文在对电信运营商进行评估实践的基础上，根据互联网新技术新业务安全评估的模型与实施要点，对电信运营商新技术新业务安全评估方法及风险进行探讨。

关键词：新技术新业务;安全评估;风险

一、背景

随着我国互联网业务的发展，新技术新业务的应用日益广泛，并以手机终端为载体渗透到生活的方方面面，信息安全问题日益凸显。从工信部2011年下发《互联网新技术新业务信息安全评估管理办法（试行）》以来，行业信息安全监管逐步从境内外违法有害信息封堵处置逐步向全面落实企业责任、主动预警防范拓展，要求行业完善企业安全责任制度。业务安全风险评估是指对互联网业务的功能、属性、特点、技术实现方式、市场发展情况、用户规模、业务流程和规则、网络数据流转、个人信息采集和共享、处理销毁及个人信息主体权益保护等关键要素进行分析，评估其对安全管理工作的危险和影响。

二、评估模型及风险

新技术新业务的评估对象包括基础电信企业及增值电信企业（含三网融合涉及的广电企业）运营的互联网业务，业务重点关注5G、人工智能、区块链、大数据、物联网等相关业务。业务安全风险评估的实施需要使用业务安全风险评估模型，见图1所示。业务安全风险

评估模型从业务应用安全、业务平台安全、业务运行安全和数据安全四个方面提出了17个评估模块。每个评估模块归纳列举了业务关键因素可能存在的信息安全威胁和影响，以此指导评估人员识别业务的信息安全风险。

（一）业务应用安全

业务应用安全以业务实现功能、使用情况为基本出发点，紧扣业务系统中传输的公共信息，评估模块包括用户、信息主题、信息载体、信息生成、信息传播、信息接收、信息留存等。1.用户。用户主要关注用户规模、用户类型、用户相关性、用户实名核验、用户真实身份鉴别等。若业务系统不能对用户真实身份进行鉴别，可能导致用户账户信息被泄露、仿冒、盗取等严重安全事件。2.信息主题。信息主题主要关注发布的公共信息主题的多样性和相关性。若内容大多围绕一个或几个相近主题，且包含违法信息，则违法信息有可能在相关主题中大范围变种并快速传播。3.信息载体。信息载体包括信息呈现方式、语言类型。虑到目前小语种语言的内容识别技术尚不成熟，存在传播违法信息的安全风险。4.信息生成。信息生成主要关注信息源和信息产生方式。如果无法确保业务系统中生成的信息是来自经身份真实认证或鉴别的可信用户，信息是由被冒用或盗取的账号或渠道生成、发送，则大幅增加了违法有害信息处置难度。5.信息传播。信息传播主要关注信息流动方向、信息传播方式、通信媒介、信息傳递实时性等。用户能否实时读取信息，实时通信提高了信息读取概率，提高了信息传播速度，存在传播违法信息的信息安全风险。6.信息接收。信息接收环节主要关注信息收取方式等。信息的主动推送提高了信息读取概率，间接提高了信息传播速度，扩大了信息传播范围，存在传播违法信息的信息安全风险。7. 信息留存。信息留存关注的是业务系统中传输的公共信息内容和用户使用业务行为的日志记录，如果企业未按相关法律法规要求保留日志信息，将会直接影响企业配合完成事后溯源、取证工作的开展。

（二）业务平台安全

业务平台安全聚焦承载业务的系统平台，评估模块包括设备位置分布、资源调度方式、业务合作、开放接口等。1.设备位置分布。如果业务的服务器、机房或节点在境内外均有分布，且境内外有数据传输，则可能存在因数据跨境流动引发的国家重要数据、个人隐私信息泄露的信息安全风险。2.资源调度方式。资源调度方式是指业务系统的计算资源、存储资源、带宽资源、IP地址及域名资源的调度方式。如果计算、存储、带宽资源采用了云化或虚拟化，或者IP地址及域名采取动态分配方式，则可能增加企业违法信息处置难度。3. 业务合作。业务合作是指业务运营企业与其他企业开展任意形式的合作。需要评估合作企业的信息安全管理工作及保障措施能否满足相关法律法规要求，能否保障业务的信息安全。4.开放接口。开放接口是指业务系统为第三方提供的标准API接口。第三方调用开放API接口的过程中，如果与业务系统之间产生了数据交互，可能增加业务系统发布、传输、存储违法信息的信息安全风险;如果业务系统开放的API接口未做好违法有害信息监测处置、权限管理、安全审计等，可能带来违法有害信息传播、直接影响业务系统自身安全、非法调用API接口（如实施通讯信息诈骗）等安全风险。

（三）业务运行安全

业务运行安全关注业务运行的流程管理和技术防范存在的安全风险，评估模块业务逻辑安全、通讯信息管理安全等。1.业务逻辑安全。业务逻辑安全的关注点主要集中在业务规则的合规性、业务流程的合理性及配套的技术保障措施的完善性等。如以一卡多号、短信营业厅、网上营业厅等为代表的电信业务，如果存在未实施二次确认机制、必要的用户身份验证环节缺失、短信验证码下发环节用户安全提醒不完善、业务登录提示不足、身份校验技术手段不完备等安全漏洞，则有可能被诈骗分子利用设计各种诈骗场景，冒充用户实施诈骗。2. 通讯信息管理安全。通讯信息管理安全主要关注电信资源、号码传送、信息传播等。电信资源主要关注码号资源、电信线路有可能被诈骗分子利用实施通讯信息诈骗;码号传送主要关注传送过程中相关漏洞有可能被诈骗分子利用，以修改主叫号码、设置主叫号码为空号或禁显、违规外呼、私自改变业务使用用途等方式实施通讯信息诈骗;在信息传播方面主要关注相关业务有可能成为不法分子贩卖个人信息和诈骗实施软件及工具（如改号软件、非法电话卡、非法银行卡、身份证识别设备破解软件、虚拟交易软件、“伪基站”等）的渠道途径。

（四）业务数据安全

数据安全层以业务系统中传输、存储的各类数据为核心评估点，从维护企业、个人、国家利益角度出发，分析可能对数据安全造成影响的各类威胁和隐患。评估模块包括数据采集、数据存储、数据传输、数据加工、数据转移、数据删除各阶段数据安全以及个人信息安全、数据跨境安全。1.数据生命周期。数据生命周期包括数据采集、数据存储、数据传输、数据加工、数据转移、数据删除等环节。主要关注在各个环节中数据是否有被泄露、窃取、篡改或销毁风险。2.个人信息安全。个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。企业由于管理措施、技术手段等安全保障能力的不足或受到自然灾害、基础设施故障等环境危害，在个人信息采集、存储、管理、传输、加工、转移、删除等处理环节，造成个人信息泄露、损毁、篡改等安全事件，对个人隐私以及个人信息主体权益造成安全隐患的风险。3. 数据跨境安全。数据跨境安全风险是指在数据跨境及再转移后，人为或自然的威胁利用数据安全保障能力中存在的问题，导致安全事件的发生及对个人合法利益、国家安全、社会公共利益带来的影响。

三、评估的流程及方法

业务风险评估流程分为四个阶段。分别是评估准备、风险初判、风险评估、评估结论分析。具体评估流程见图2所示，每个阶段的内容详见下文。

（一）评估准备

评估准备阶段包括成立评估组，确定小组成员。准备评估材料，此过程包括说明告知、需求沟通、文档提交等事务。说明告知是告知评估业务运营单位开展评估工作的评估依据和相关工作要求，阐释评估工作的重要意义，寻求评估业务运营单位的积极支持配合。此外，还应告知评估业务运营单位评估实施过程中用于测评验证的样本库来源，以及用于核实比对的公开、权威性数据库的来源;需求沟通是与评估业务运营单位进行评估前沟通，告知开展评估的流程、使用的评估方法和评估工具、评估开展过程中需要业务运营单位配合协调的工作事项;文档提交是针对评估业务做好事前准备，要求评估业务运营单位提交与业务相关的文档资料，包括与业务相关的技术文档和管理文档。

（二）风险初判

风险初判基于筛选后适用的评估指标，运用文档查阅方法对业务安全风险进行初步筛查和识别判定。确定现阶段无法准确识别研判风险程度的指标，及下一步研判风险需要使用的评估方法，为现场评估做好准备。

（三）风险评估

风险评估综合运用文件审查、人员访谈、演示查验、测评验证四种评估方法，对适用的评估指标进行风险识别和研判，进行完整记录，保留访谈内容和相关证明资料。对业务安全风险指标进行逐项分析，形成整体风险分析矩阵，重点关注风险值为中、高的风险指标，以备对照考察企业安全保障能力。对照业务应用安全保障基线要求，逐项分析企业的安全保障能力是否满足安全保障基线要求，形成整体保障能力分析矩阵。

（四）评估结论分析

评估结论主要结合业务风险分析矩阵和整体保障能力分析矩阵，分析业务的安全风险对企业安全保障能力形成的威胁和挑战，进一步把握、研判业务的现实安全风险，提出被评估业务的整改措施建议。并形成评估報告，评估组成员签字确认，整改牵涉的责任部门负责人签字确认。

四、评估过程中的风险应对策略

新技术新业务的评估是对业务整体的风险评估及分析，运营商企业的业务往往涉及多个部门协调及多厂商改造，在评估过程中需要对多方关系进行协调，以保证按时完成评估及整改。主要风险点包含以下几个方面的内容。

（一）跨部门协调沟通困难，应建立完整的安全评估管理体系。新技术新业务一般涉及多个部门不同人员之间的配合，部门之间沟通不畅导致评估工作难以开展。电信运营商应重视安全评估，建立完整的新技术新业务安全评估管理体系，不断完善安全评估管理办法和实施细则，使安全评估工作逐步制度化、规范化。将安全评估工作纳入企业绩效考核，完善安全评估工作奖惩机制。

（二）人员专业性不足，应加快安全评估队伍建设。安全评估是一项专业评估活动，设立安全评估队伍及安全评估专岗统筹负责安全评估工作;注意培养安全评估储备人才，定期组织培训，提升安全评估人员整体能力。

（三）安全措施待进一步加强，推进安全评估技术创新。电信运营商应在安全评估重点技术领域开展研究和创新实践，如用户真实身份，鉴别技术、用户信息加密技术、违法信息监测处置技术、资源实时监控技术等。

（四）行业交流少，应加强合作和共享。互联网新技术新业务在各大运营商及各省份的具有复制性和相似性，不同省份电信运营商之间应加强合作共享，分享管理和技术创新，交流业务风险研判经验。

（五）业务整改进展缓慢，需对整改进度进行把控。评估过程中若发现业务风险，需要告知运营商进行整改。整改过程中涉及的供应商可能由于费用或人员问题，导致整改进度滞后，无法在规定时间内完成整改。对于整改进度需进行整体把控，及时推进，否则会因为进度影响评估结果。

五、结束语

本文重点关注电信运营商互联网新技术新业务安全评估工作，介绍了安全评估工作方法和评估过程中的风险点及应对策略，为电信运营商新业务的评估提供借鉴。由于评估指南更新及评估细节进一步细化，在评估中需要紧紧结合工信部下发的相关规定，及时调整评估细节。此外，随着互联网业务及评估方法的发展，本文所提出的评估风险可能会发生变化，希望相关评估人员能够结合最新技术和最新实践，综合研判业务安全风险、及企业安全保障能力，持续推动互联网新业务健康有序发展。

作者单位：王燕    李德智    华信咨询设计研究院有限公司

参  考  文  献

[1]《2020年省级基础电信企业网络与信息安全工作考核要点与评分标准》工网安函〔2020〕149号

[2]张剑，万里冰，钱伟中.信息安全技术[M].电子科技大学出版社，2017.

[3]张莉.数据治理与数据安全[M].人民邮电出版社， 2019.

[4]张剑，廖国平，汤亮.信息安全风险管理[M].电子科技大学出版社，2016.