构建企业纵深网络安全管理体系浅析

2023-12-19王宏亮

管理学家 2023年23期

王宏亮

[摘要]企业纵深网络安全管理体系是一种系统性、多层次、综合性的安全管理模式。在企业纵深网络安全管理模式下，企业将从多个维度保障网络安全，建立全面、系统、高效的网络安全保护体系，以保障企业各种网络资产的安全，包括硬件、软件、数据、业务等，从而达到保护企业的信息安全、提升企业的安全防范能力、推动企业长期稳定发展的目的。

[关键词]纵深网络安全；安全培训；多级认证；安全管理；端到端安全；数字资产

中图分类号：F275 文献标识码：A 文章编号：1674-1722（2023）23-0004-03

网络的飞速发展改变了人们的生活方式和企业的运营方式，企业越来越多的资产实现了数字化（如项目信息、产品信息、资金信息、人力资源信息及客户信息等），在促进企业工作更加便利及高效的同时，这些数字资产也面临着被篡改、被窃取，甚至被破坏的风险。例如，2022年12月，国内某新能源汽车新势力企业遭受勒索病毒攻击，部分数据被勒索软件加密，被要求支付225万美元的赎金；如果不支付赎金，被加密的数据将很难恢复，将会对企业的正常运营造成极大威胁。

在这种日益复杂的网络安全形势下，加强对企业核心数据资产保护的重要性可见一斑。因此，如何建立有效的安全防护机制，保护好企业的核心数字资产，成为企业面临的巨大挑战。

一、企业网络安全现状

企业一般较为重视信息化系统建设，但网络安全意识有待提升。只有等出现网络安全事件时，企业才意识到网络安全的重要性。大多数企业对网络安全设备缺乏维护，普遍存在“重建设、轻运维”“重设备、轻管理”的现象，认为设备部署好以后就不再需要调整了，而且网络设备的部署没有形成体系化和协同效应，纵深防护能力不足。

网络攻击形势日益复杂，新技术、新产品层出不穷，现有的网络安全设施及管理手段难以及时发现并阻止攻击。在这种形势下，需要建立行之有效的主动防御机制，构建纵深网络安全管理体系，即网络的安全不能依赖于某“一扇门”或某一种方案，而是要叠加多重防护策略，相互支撑，确保其中某个环节被攻破的情况下，还能保障数字资产的安全。

二、纵深网络安全管理体系的内涵

企业纵深网络安全管理体系一般包含以下几个要素。

一是多层级安全架构，包括网络边界、内网、DMZ、专网等多个层级，实现从内网到外网的全面安全保护。

二是多种安全技术手段的应用，如可信计算、防火墙、VPN、入侵检测、漏洞扫描、数据加密、身份认证等，全面保障企业的网络安全。

三是安全策略和流程的制定和实施。通过制定安全策略和流程，规范企业员工的操作行为，确保企业拥有安全防护能力。

四是安全培训和意识教育，增强员工的安全意识，提升员工的安全素养，使员工成为企业网络安全保护的重要力量。

五是网络安全监控和管理。通过安全监控和管理机制，监控网络运行状况，发现和处理网络安全事件。

三、构建企业纵深网络安全管理体系的步骤

（一）端到端安全管理

企业构建纵深网络安全管理体系的第一步是实现端到端的安全管理。这需要在企业内部的每一个节点、每个连接点甚至每一台终端设备上实现安全管理，以保证网络系统的安全性。

第一，确保网络边界安全。通过合理的网络边界设置，防范无意或有意的入侵，建立网络物理边界和逻辑边界的安全隔离，使网络边缘设备如防火墙、NAT设备等更好地发挥保护网络边界的作用。

第二，强化网络拓扑结構安全。对网络拓扑结构进行合理设计，在保证网络性能的基础上，实现网络在结构上的安全保障，比如采用虚拟局域网技术和网络隔离技术，使攻击者无法轻易跳转攻击目标。

第三，增强网络设备及其应用的安全性。对设备的普通口、远程接入口、管理口及应用服务口等端口进行精细化管理和安全防护，比如加强远程访问、防御DDoS攻击等。

第四，建立安全管理中心。建立安全管理中心，全方位监控企业的信息系统安全风险，及时发现和响应网络安全事件，提升企业的安全防护能力。

第五，完善安全评估和安全测试。通过安全评估和安全测试，发现网络及其应用中存在的安全漏洞，及时修补漏洞或升级安全软件，减少攻击风险，提升企业的安全防护能力。

（二）合理制定应对策略

企业应通过系统规划和流程设计，针对不同的安全风险及其他异常情况制定应对策略，建立有效的安全保护措施。

第一，制定安全策略。企业需要制定完善的安全策略，包括安全目标的制定、安全标准的制定、安全意识培训、网络安全评估、安全事件响应流程等，从制度层面对网络安全进行管理和规范，确保全员参与、全面覆盖。

第二，合理控制访问权限。企业需要合理控制所有用户的访问权限，只授权特定用户访问特定系统和文件，确保信息不被错误地访问和修改，减少数据泄露和错误操作的风险。

第三，加强网络监控和日志管理。通过网络监控和日志管理技术，企业能够发现安全威胁，记录和追踪攻击者的行为，对于网络安全事件及时作出反应，在第一时间采取应对措施，及时修复漏洞，防止事态恶化。

第四，建立灾备方案和备份机制。建立灾备方案和备份机制，能在网络安全事件发生后及时恢复数据和业务，减少损失，能够在安全事件发生时检验网络安全策略的实际效果，优化企业的安全防范机制。

第五，不断升级安全技术手段。企业需要不断升级安全技术手段，引入新的安全设备和技术，比如防病毒软件、入侵检测系统、桌面防火墙、加密技术等，加强对网络安全的保护。

（三）多级认证与授权管理

多级认证与授权管理是加强企业安全保护的基石。企业在应用纵深网络安全管理系统时，需要使用多种身份认证技术和权限管理技术，通过多级认证和授权机制，确保用户只能访问自己被授权的资源，从而保证系统的安全性。

第一，用户名和密码认证。利用用户名和密码认证，可以有效防止未经授权的访问，确保网络资源使用者的身份真实可靠。

第二，二次认证。使用二次认证方式，可以为用户提供更高级别的访问管理服务，通过第二道安全验证可以确保访问者的安全性，同时降低系统安全风险。

第三，访问控制列表（ACL）。使用ACL可以控制用户的访问行为，限制用户能够访问的资源和数据，保护网络资源的安全性和机密性。

第四，角色管理。可以对不同职能或权限的用户在网络资源安全访问中进行不同级别的控制与管理。

第五，策略管理。可以为访问网络资源的用户制定不同的安全策略，以满足不同用户在网络资源安全访问中特殊的安全要求。

（四）全面备份与突发事件应对系统

为应对突发事件，企业应建立全面备份与恢复机制，利用数据备份和数据恢复等技术手段，实现设备备份和软件备份，减轻突发事件造成的损失。

第一，制订灾备计划与业务连续性计划。企业需要制订完整的灾备计划与业务连续性计划，备份和恢复关键信息系统的硬件、软件、数据，确保关键业务的持续运行。

第二，备份和归档。企业需要定期备份关键业务数据，确保业务数据的可靠性和完整性，将备份数据归档到安全的存储设备中，以备不时之需。

第三，演练和测试。企业需要定期进行演练和测试，模拟网络安全事件和数据灾难场景，验证灾备计划与业务连续性计划的可行性和有效性，及时调整计划。

第四，引入安全技术和设备。企业需要引入各种安全技术和设备，如入侵检测系统、防病毒软件、流量分析软件、备份和恢复设备等，帮助企业快速识别攻击行为并化解攻击，提升企业的安全防护能力。

（五）安全管理与监控

建立完善的安全管理与监控体系是保障企业信息安全的重要手段。企业应建立内部安全监控与管理机制，全面监控企业的内部网络流量、安全事件，以及时发现、处理异常情况。

第一，制定网络安全策略和标准。企业需要制定网络安全策略和标准，包括安全目标、安全标准和规范的制定等，以有效预防和应对网络安全威胁。

第二，加强网络监控和日志管理。企业需要根据网络安全策略和标准，使用流量分析、入侵检测等技术手段对网络进行实时监控，对异常情况进行实时报警，完善日志管理系统，收集、存储有价值的安全日志数据，进行分析处理和使用。

第三，强化信息安全审计。企业需要审计网络安全事件，按照企业安全策略和标准的要求，实施定期和临时的安全评估，发现安全漏洞、风险和威胁时，及时作出反应，采取措施加以改进和升级。

第四，加强访问控制管理。企业需要加强访问控制管理，限制用户访问资源的权限和内容，防止未经授权的访问和不恰当的操作。

（六）安全培训

企业员工是企业信息安全的第一道防线，安全培训是增强员工的安全意识及信息安全技术素质的有效途径。因此，企业应加强员工信息安全意识教育，采用多种方式培训员工的安全责任、安全策略及安全技术。

第一，制定培训计划和目标。企业需要制定网络安全培训的计划、目标和内容，确定培训的对象和时间，使员工了解安全知识，增强安全意识。

第二，强化安全意识和知识普及。企业应采用实际案例、故事、演示等方式对员工进行安全意识和知识的普及，增强员工的安全意识，让员工了解网络安全标准和规范、数据保护和应急处理等知识，增强员工的网络安全防范意识。

第三，定期组织模拟演练。定期組织模拟演练，为员工创造真实的网络安全事件场景，让员工在模拟演练中学会如何应对网络安全事件，增强员工的实践能力，确保安全事件的快速、有效处理。

第四，引入安全技术和工具。除安全培训之外，企业也可以引入安全技术和工具，比如电子邮件内容过滤、数据加密、反病毒升级、应急组织等，加强网络安全防护，让员工在工作中更加熟练和自如地应用安全技术和工具。

四、企业纵深网络安全管理体系发展趋势

随着技术的飞速发展和互联网的普及应用，未来的纵深网络安全管理体系趋势主要体现在以下几个方面。

一是网络安全的自动化和智能化。未来的纵深网络安全管理体系将更加自动化和智能化，企业将借助AI等技术，通过实时监控和数据化分析，加快对异常事件的识别及响应速度。

二是网络安全的综合应对。未来的纵深网络安全管理体系将更注重综合应对和全方位保护，针对数据传输、端点安全、云安全等多个方面细致分析，采取合理的安全预防措施。

三是安全防护的全方位覆盖。未来的纵深网络安全管理体系将更注重全方位覆盖，除了传统的网络安全保护，还将重点深耕IoT设备和移动设备等其他入口，以保护企业的核心数据。

四是安全意识教育和企业文化。未来的纵深网络安全管理体系将更加注重安全意识教育和企业文化，企业可通过安全文化建设，将安全意识融入团队文化，让普通员工认识其安全责任，形成企业安全文化氛围，降低人为失误的概率。

五、结语

网络安全的建设不是一蹴而就的，也不存在一项万能的技术能抵挡所有攻击，只有建立纵深网络安全管理体系，叠加采取多种防御措施，比如可视化技术，体现互联网、业务系统和用户之间的访问关系，识别How、Where等各种访问关系，以不同的颜色区分不同危险等级的业务系统和用户[1]，建立态势感知系统等预测网络未来可能出现的态势[2]，同时加强相应的组织建设、专业人才培养与合理的制度保障，增强全员的安全意识，有效抵御网络攻击及降低网络安全事件的影响。