“五位一体”筑牢绍兴政务信息安全体系

文｜励范洪

绍兴通过建设政务信息系统网络一体化安全监管体系，实现对发现的网络信息安全问题进行及时预警，以整体安全视角对政务网络信息系统的安全情况进行审查，形成了“面向成效、事件闭环、循环提升”的一体化安全监管服务体系

绍兴市大数据发展管理局紧紧围绕数字化改革总体目标，按照全省“四横四纵”框架体系，建立健全政务网络应急指挥体系、制度规范体系、技术防御体系、节点防控体系、监督管理体系等“五位一体”的安全监管工作体系。从“制度规范、技术防范、运营管理”等多方面构筑云、网、边界、终端到应用、数据的全方位安全防护体系。

一体化监管为数字化改革提供安全保障

作为推进绍兴市政务网络空间安全治理的有效工作抓手和重要支撑手段，政务信息系统网络一体化安全监管体系建设，注重网络安全联合防控，提升网络安全投入效能，有力地加强了政务信息系统网络空间安全防护能力、监管能力、运营能力。

借助政务网络监管平台的数据采集、数据分析、实时监测、资产普查、信息通报、应急指挥、考核评估、安全态势等核心功能模块，丰富云、网、端、数据和应用的安全态势展示内容，拓宽平台监测覆盖范围，监测整合对接现有各类监测资源，完成安全事件的闭环处理，提高政务网络安全监管水平；逐步形成覆盖全网、整体联动、协调规范的政务信息系统网络安全监测运行服务体系，通过标准数据接口和上级平台进行级联对接，最终全面提高对电子政务网络安全监测能力，建立高效应急响应机制，建立政务信息系统网络安全协同机制。

在安全运营中心的运作下，落实政务信息系统安全监管工作；在安全基础层、基础资源层、数据层、应用层的每一个阶段，将安全设备用起来、管起来，将安全能力价值发挥到最大化；最后使安全做到流程化、标准化、常态化，支撑全市政务网络安全运营体系。

确立零信任为主线的访问认证安全架构

绍兴的政务网络安全运营体系通过“零信任”架构的身份认证，拒绝未通过认证的任何人员或实体设备接入“公共数据平台”业务体系，实现统一、精细化的身份认证与管理。同时，新平台可根据数据的敏感度和重要度，结合访问行为分析以及访问设备环境状态，在不影响业务效率的前提下，确保数据访问权限最小化原则。

图1 绍兴市政务网络安全运营体系

在云平台外，零信任访问控制平台会对接入区的人员、设备身份进行验证，确保每一个接入都是安全可信。在云平台内，零信任访问控制平台将业务行为作为持续监控的对象，通过细粒度以及动态化的授权方式，对异常流量及操作实现阻断，层层保障数据中心内主机访问的安全性，从而达到云内云外环境下人、设备、数据的全面安全。

通过零信任动态业务安全体系，建设以大数据分析为驱动的智能化安全运营机制，被动防御与主动防御体系有机运转结合，形成跨终端、跨网络、跨平台的检测、预警、防护、响应一体的云、网、端纵深安全防护体系。

对接入“公共数据平台公共数据平台”的人员、设备等进行了全面梳理，对所有访问实体，无论是用户还是所用的终端设备、系统都赋予数字身份，并进行统一管理。运用统一身份管理并使用单点登录系统后，“公共数据平台”用户只要通过了零信任的可信身份访问认证与安全检查，仅需经过一次登录认证，就能访问所有已授权的应用，工作效率得到了提高，使用体验也有了很大的改善。

建设一体化政务网络与信息安全监管体系

摸清政务网络信息系统软硬件资源和拓扑结构。面对目前现有的政务信息网络系统复杂情况，需摸清楚庞杂的软硬件资源，画出其网络拓扑结构。但这是一项巨大的系统工程，不但要借助先进的网络检测工具和先进技术，有时还需动用人力进行查缺补漏。同时，现有政务网络信息系统拥有众多的网络安全和数据防护工具，这些安全监测资源各自为政，需要通过整合现有各个安全监测系统形成统一的安全监管中心，建立科学的安全运营体系，构建威胁预测、威胁防护、持续检测、响应处置的全闭环安全运营能力；通过网络对各类数据进行多维度采集，包括市级部门（单位）信创终端数据采集、市级节点设备资产、日志、漏洞数据、政务云互联网出口流量、云网出入口流量、网站及重要信息系统数据、外部威胁情报、市级监管平台数据和部门（单位）基础数据采集，一体化监管云、网、端、边界、数据、应用等网络资产。

图 2 零

图3 一体化安全监管驾驶舱

整合各类安全监测系统形成统一的安全监管中心。针对横向与纵向安全信息共享、协同联动能力不足，需要建立横向与纵向安全信息共享、协同联动机制，提高政务网络安全事件的诊断精度，加强政务网络安全联合处置能力。针对安全技术未能实时对电子政务网络安全态势做出判断，需要不断提升安全技术防护体系，把安全技术防护措施发挥最大效能。将安全技术、安全管理、安全运维贯穿整体政务信息系统网络安全运行保障全生命周期，融合可以满足安全合规监管的要求，最终实现政务信息系统网络合规安全运行。针对安全运营工作存在业务边界不清晰、安全运营流程不完整、安全告警无法及时有效处理等问题，需要结合政务信息系统网络安全现状，提炼安全运营服务内容，规范运营服务流程，明确运营组织相关职责。通过建设政务网络安全运营中心搭建安全运营体系，实现可持续安全运营的目标。

借助安全数据中台，对数据的产生、采集、管理、开发利用和服务等环节，进行全过程的安全监察。分析引擎实时流式分析和在需要时间窗口离线告警分析，及对原始数据分解计算，找出异常告警的数据，进行分析监控。应用实时监测、资产普查、信息通报预警、检查监督、事件案例、应急指挥、考核评估和安全态势等功能，确保系统安全运营。标准化在平台对接过程中的数据采集、告警上报、通报下发、下级平台数据上报等信息，保障数据和流程的安全。同时，在监管的基础上实现快速响应。当发现威胁后，安全运营团队对相关单位和责任人进行快速的通知，并跟踪相关责任人的处置进度，同时跟踪通报处置状态，实现对市级各部门（单位）和各县（市、区）政务网络信息安全责任人的工作监督、指导、跟踪，把网络安全责任落实到位；依托集中管理、授权交换、协同共治的理念，统一信息网络资产的上报和上下级系统安全监测、处置模式，完善多级网络与信息安全协同工作机制。

图4 绍兴市电子政务网络安全监管平台

图5 绍兴市城市大脑安全体系

健全完善政务网络与信息安全制度规范体系。一是梳理完善制度规范。根据国家相关法律法规、行业规范，绍兴结合现有的制度管理体系，进一步梳理完善全市网络与信息安全制度规范体系，将制度规范梳理为安全管理类、安全技术类和安全建设运营类三大类，结合电子政务考核体系里面的指标项，明确安全组织架构和职责分工、考核制度，制定云、网、端、数据、应用等领域的安全技术规范，建设监管、运营、应急指挥等安全运营制度规范。二是优化安全组织规范保障，明确网络安全职责。绍兴进一步按行业职能部门和属地单位等细化安全责任网格，设立首席网络安全官和联络员，明确部门职责分工，压实网络安全工作主体责任，深化网格化管理服务，形成政务安全运营团队，多跨协同运作，开展常态化的网络安全技能和安全意识培训，进一步提高全员安全意识，提升全员安全技能。三是推进网络安全考核管理体系，完善市县两级统一安全评价机制，围绕安全管理、安全防护、安全监测、安全成效、附加项等指标，将考核评价结果纳入年度网络安全工作责任制考核，把全市网络与信息安全工作细化落实。四是以安全策略为指导，结合平台功能，对派驻原厂安全运营团队专业保障人员，运用成熟的服务管理体系和构建完善的安全运营管理体系，梳理安全问题、规范运维流程、健全人员安全管理制度。

绍兴通过建设政务信息系统网络一体化安全监管体系，建立起了一套全天候、全方位、全时段的网络安全态势感知、结合动态和静态的网络安全告警发现和用于监督、跟踪、反馈电子政务信息系统安全状态的机制；实现对各方面的网络安全问题进行全面监控，对发现的网络信息安全问题进行及时预警，以整体安全视角对政务网络信息系统的安全情况进行审查，来统筹协调各县（市、区）和市级各部门（单位）与第三方安全支撑服务队伍对问题进行及时处理，形成了“面向成效、事件闭环、循环提升”的一体化安全监管服务体系。目前，该体系已覆盖全市公共数据共享平台、公共数据交换平台、公共数据资源门户、一体化智能化公共数据平台等四大业务平台；安全运行近2 年来，实现了对全市222 个应用接口的调用，日均处理接口调用量约70 万次，业务高峰期日均处理接口调用量约400 万—500 万次，提供了接口调用全过程流量加密、内容验证、流控、熔断、安全防护等接口安全能力，有效保障了相关信息系统网络和数据安全。