落实国家等级保护制度 助力行业网络安全保障

杨晓东

近年来，随着国际局势不断升温，网络战烈度持续攀升，全球网络安全形势每况愈下。从行业角度看，境内外广电媒体系统遭黑客攻击，导致节目被篡改插播等重大网络安全事件频发。这种新形势直接表明，在互联网和媒体融合加速发展的背景下，广播电视和网络视听相关系统面临着愈发严峻的网络安全风险，广电行业网络安全保障工作任重道远。

习近平总书记多次强调，没有网络安全就没有国家安全，网络安全和信息化必须统一谋划、统一部署、统一推进、统一实施。在党的二十大报告中，习近平总书记也强调要推进国家安全体系和能力的现代化，坚决维护国家安全和社会稳定。网络安全作为网络强国、数字中国的重要基础，是建设现代化产业体系不可或缺的部分，将在中国式现代化的实现过程中承担托底的重任。

一、实施网络安全等级保护制度意义重大

《中华人民共和国网络安全法》于2017年6月1日起执行。这是我国第一部全面规范网络空间安全管理的基础性法律，采用了防御、控制与惩治三位一体的立法架构。《网络安全法》共七章79条，其中第21条、第31条分别提出了针对等保和关保的工作要求，明确了不开展等级保护工作就是违法行为。对于行业安全运行保障单位来讲，开展等级保护工作具有重要意义。第一是满足合法合规的要求，使安全建设更加规范；第二是强调体系化的安全建设思维，改变以往单点的防御防护思想；第三是提高整体人员安全意识，在具备等级化防护思维后，按重要程度合理分配网络安全的资源和投资。这些都是一定要实施等级保护建设的重要原因。2021年4月27日，关键信息基础设施安全保护保护条例发布，2021年9月1日起执行。有两个方面内容需要重点强调，第一是广播电视行业已经被列入国家关键信息基础设施范畴，行业关键信息基础设施需要在开展等保工作的基础上进行重点保护；第二是针对关键信息基础设施的工作重点，包括识别认定、安全防护、检测评估、监测预警、应急处置等五个环节。

二、行业网络安全等级保护工作稳步推进

在本次网络视听大会网络安全论坛上，中国工程院方滨兴院士指出，网络空间安全防御要经历三个应对阶段，即敌在外部的护卫阶段，博弈间隙的迭代阶段，以及敌已进入的自卫阶段。围绕这三个阶段，国家广播电视总局监管中心内设机构信息安全处/广播电视信息安全测评中心作为国家广播电视总局广播电视网络安全的先锋团队，作为行业内唯一一家国家级等级保护测评的机构，拥有一支高素质的网络安全等级保护测评队伍和国家首批网络安全应用检测专业人员，同时具备ISO 27001信息安全管理体系、信息安全风险评估二级服务资质，全面承担着广播电视网络安全管理支撑，并提供行业级、全流程的网络安全技术服务。通过各项工作开展，针对发现的问题，结合广播电视技术系统特点，逐一给出专业的解决方案和建议，为行业网络安全保驾护航。在总局主管司局的直接领导下，监管中心始终聚焦广电行业业务安全、系统安全和监测监管工作：一是积极参与编制修订了《广播电视网络安全管理办法》《广播电视关键信息基础设施认定规则及实施清单》《广播电视网络安全等级保护定级指南》《广播电视网络安全等级保护基本要求》等行业政策和标准文件，为行业开展等级保护和关基保护工作提供了依据。二是承担了广播电视网络安全监管系统、网络安全综合管理系统、网络安全攻防演习平台等项目的建设任务，通过智慧监管为总局网络安全决策提供了技术支撑。三是构建了行业网络安全隐患闭环管理机制，定期对行业重要网络信息系统开展远程检测，建设网络安全预警通报平台，实现了信息通达、反应快速的网络电视网络安全信息通报机制，畅通了国家广播电视总局与中央有关部门以及与各省广电部门的信息通报渠道。

监管中心牵头编制的《广播电视网络安全等级保护基本要求》于2021年7月14日发布实施，包含以下主要特点：一是针对播出直接相关系统，提出了重点保护的要求。如应部署在网络纵深的内部、不应通过无线方式进行组网、加强访问控制、加强审计等。二是针对重要安全播出保障期，结合《广播电视安全播出管理办法》的要求，在网络安全层面加入了一些强相关的要求。三是针对云计算安全扩展。结合安全播出业务连续性的要求，在身份鉴别、数据备份等方面提出了适用于安全播出业务的要求。四是结合安全播出管理办法的要求，对国标中的一些通用条款进行了细化，使标准要求更加明确，便于我们各单位实施，例如对机房温度的要求、电力线路冗余的安全要求等。

监管中心于2021年建设完成的广播电视网络安全攻防演习系统，支撑总局开展行业攻防实战演习，在迎接建党一百周年、北京冬奥会冬残奥会、党的二十大等国家重大活动开展的专项攻防演习中发挥了重要作用，直接检验了行业重点保障单位的网络安全抗攻击的能力。在历次演习中，共发现19个中央级和省级关键信息基础设施或重要信息系统存在重大安全隐患，能够使用网络攻击手段获取核心业务的系统权限，严重的可造成停播、篡改、公民大数据丢失等严重的后果。必须强调的是：每年至少开展一次网络安全攻防演习是网络安全法、网络安全事件应急预案要求的规定动作。另外，根据公安部有关文件要求，必须通过专用系统才能开展攻防演习，实现对攻防演习全程审计、全程监控、全程录像、全程录屏等安全的保障技术措施，确保演习活动安全可控。

三、行业网络安全等级保护数据分析

通过对2022年行业内系统等级保护测评样本数据的统计，广电行业内三级以上系统平均得分为79.56分，二级系统平均得分为80.89分，可以一定程度反映出广电系统在网络安全等级保护合规性要求方面的符合性水平。从二级系统的缺陷角度来看，不符合项占比最高的是安全计算环境层面，占总扣分的36.94%。产生扣分的主要原因有对操作的审计记录措施不到位，防范黑客、木马病毒入侵的能力、措施不足，数据的加密传输和存储保护措施不充分等问题。不符合项占比第二的是安全建设管理层面，占总扣分的20.33%。产生扣分的主要原因集中在系统建设过程管理的方面，比如验收不规范，缺少安全测试、开发和使用类文档不全等。不符合项占比第三的是安全运维管理层面，占总扣分的11.41%。产生的扣分的主要原因集中在日常使用和维护的制度描述不清，管理人员存在多重身份、管理权限过高，未规范管理员的权利和责任等。从行业三级以上网络系统的缺陷来看，不符合项占比最高的仍然是安全计算环境层面，占总扣分的33.04%，三级要求比二级要高，问题主要集中在针对外部攻击、恶意代码等异常事件进行监测报警，对网络攻击进行有效阻断，系统的热冗余或者备份等方面的措施还不到位。由此来看，无论是行业二级系统还是三级系统，存在的问题还是比较多的，在今后工作中我们应该继续加强网络安全方面的建设。

此外，为了进一步落实国家等级保护制度，近年来，监管中心在总局主管司局的指导之下，建设了IPTV网络安全监管系统。IPTV网络安全监管系统深度匹配行业业务特性，构建了流量监测、等级保护、安全播出等多维度动态分析的模型，建立了网络安全事件主动预警、通报、响应、处置结果跟踪等行业网络安全运行管理机制。并持续对全国31个IPTV播控总、分平台进行全流量网络安全监测，通过两年的运行，共产生原始告警4700余万条，有效告警7000余条，发现真实攻击IP地址800余个，已成为行业网络安全管理的有力抓手。2022年，IPTV网络安全监管系统获评工信部等12个部委联合评选的网络安全技术应用试点示范项目。

监管中心经过多年的工作的实践和分析，发现行业系统在与其他系统、特别是与互联网的边界，对入侵的检测、阻断和报警能力，对中高危漏洞的及时发现和修复，对系统运行和人员行为操作的审计记录和分析，对系统建设和运维过程中的规范管理等方面还有很大的提升的空间，应该说网络安全等级保护工作依然在路上。

四、下一阶段的重点工作

下一阶段，在国家广播电视总局主管司局的领导下，监管中心将继续做好以下工作：一是全力做好第19届亚运会等国家重大活动网络安全保障；二是开展广播电视关键信息基础设施安全保护体系研究；三是进一步提升广播电视行业网络安全监测预警、态势感知能力；四是推进网络安全审查，落实供应链安全管控措施；五是继续支撑行业关键信息基础设施和重要信息系统网络安全保护工作，提升专业人员能力。

网络安全始于心，安全网络鉴于行。让我们一起践行维护网络安全的使命，增强网络安全防范意识，提升识别和应对网络安全风险的能力，凝聚力量，确保广播电视和网络视听安全播出和网络安全工作万无一失。W