浅谈新时期辽宁水利网络安全建设规划和思路

江丽娟

(辽宁省河库管理服务中心(辽宁省水文局)，沈阳 110003)

近年来，党中央高度重视网络安全工作，习近平总书记先后发表了一系列重要讲话，提出了网络强国战略思想。2016年11月发布《中华人民共和国网络安全法》之后,2017年至今国家推出了140多个信息安全技术标准(2012年至今发布标准243个)；2018年和2019年连续两年公安部开展了全行业网络安全攻防演练，为全行业各单位注入了重视网络安全、加强安全防护的强心针。

为贯彻落实新时代网络强国战略、落实网络安全相关法律法规，水利部印发了《水利网络安全顶层设计》，针对政务外网提出了水利网络安全工作必须基于水利统一的安全策略，以合规为基础，以可控为核心，强调坚持“重点保护、分级管理”、“主动防御、强化监管”。在《智慧水利总体方案》，提出全面提升网络安全能力的明确任务。

在这样的时代背景和新要求下，怎样开展辽宁水利网络安全管理工作，如何开展网络安全规划和建设、管理工作，需要我们深入思考和认真谋划。

在网络安全管理工作中涉及到人员、技术、管理三方面因素。其中技术是前提、人员是关键、管理是保障。我们必须做到管理和技术齐抓，充分发挥人员的作用，在国家法律规章和制定的安全管理制度的约束下，才能确保网络信息的安全。因此网络安全建设要紧紧围绕这三方面规划。

1 网络安全技术体系建设

网络安全目标是确保信息系统的安全性、完整性、机密性、稳定性等。网络安全建设规划要满足国家网络安全和密码管理的有关法律法规、规章制度、标准规范要求，严格遵守三同步原则。

1.1 深入、全面的调研分析总结

深入学习网络安全法、密码法等法律法规和相关标准规范，以及充分调研国内网络安全技术发展现状和了解国内、外网络安全发展趋势，根据辽宁省水利厅网络安全现状，对标等保2.0标准，结合水利部网络安全相关文件及水利部智慧水利总体方案等相关规划，全面分析辽宁省水利厅网络安全方面存在的问题，总结辽宁省水利厅水利网络安全建设的需求，提出清晰的水利网络安全建设目标和规划重点建设任务。

1.2 明确建设目标

根据网络相关法律法规和标准规范，在同时适应云计算、工业互联网、大数据等新技术、新应用情况下，在现有水利网络和信息系统的安全防护基础上，完善网络安全防御能力、统一管理、威胁感知建设，为水利行业整体的安全监测、威胁预警、应急响应、追踪溯源提供依据，构建全网安全运营体系，快速提升水利行业网络安全纵深防御、监测预警和应急响应能力。

1.3 规划重点建设内容

1)建设网络安全防御体系。增强纵深防御能力，结合水利业务和水利数据实际情况，综合采用身份认证、访问控制、边界防护等技术形成基础的技术防护体系。针对《智慧水利总体方案》规划的云平台等构建云平台安全防护体系。建立完善、合规的安全物理环境、计算环境、区域边界、通信网络防护，从设备管制、策略分析维护等方面着手，实现网络安全的精细化管理。从多方面保证软件系统上线前的安全性，消除上线前的代码安全问题，解决高危漏洞修复，减少后期运营维护成本和出现的安全风险。对于基本的安全需求形成统一的安全服务，包括身份认证服务、密码服务、灾备服务等。实现网络安全管理工作从被动到主动的突破，提水利网络、业务以及数据安全保障能力[1]。

2)建设网络安全威胁感知预警体系。

采用多种技术监测和采集网络内部安全威胁数据，建立监测流量数据、各类设备日志、各类主机日志、应用系统日志的数据采集基础，并利用大数据技术进行深度分析，从而及时发现网络中可能存在的安全威胁或攻击事件。实现网络安全威胁感知预警，提高网络安全事件监测和通报预警能力。

3)建设网络安全应急响应体系。

建设 “人机共智”网络安全决策指挥系统，可管理网内网络安全资源，对网络内各类风险预警进行综合研判和闭环处置，实现应急预案管理与策略编排。修订网络安全事件应急预案，建立应急响应流程，开展应急演练，建立闭环的流程跟踪管理。

4)构建网络安全运营中心。

采用“人机共智”模式的安全运营模式，依靠网络安全技术体系，达到日常威胁预测、威胁防护、持续监测、响应处置等内容的闭环安全运营效果。以资产、漏洞、威胁、事件作为安全运营控制四个核心控制要素，实现安全合规、安全风险可控、安全能力可量化，实现全网安全管理，保障网络安全、业务安全及数据安全，达到主动防御、实时监测、及时响应的联动效果。

2 网络安全管理体系建设

2.1 修订网络安全工作的总体方针和安全策略

根据等保2.0标准，结合智慧水利建设规划，修订总体方针和安全策略，明确总体目标、原则和信息安全策略框架等。

2.2 完善和健全水利网络安全工作组织机构

完善和健全水利网络安全工作组织机构，根据单位人事调动情况，及时更新安全管理领导组织机构成员，严格落实《党委(党组)网络安全责任制实施办法》，严格落实网络安全责任，明确领导小组及其办公室主要职责、各成员单位主要职责。

2.3 补充和完善网络安全管理制度

根据国家网络安全和密码管理的有关法律法规、规章制度、标准规范要求，从资产管理、人员安全管理、基础环境管理、运行管理、访问控制管理、密码管理等方面制定管理要求。

2.4 制定操作规程、记录表单

根据网络安全管理制度要求，制定网络安全日常管理操作规程和记录表单，指导人员日常管理操作，安全策略、管理制度、操作流程、表单的4部分，构成了完整的网络安全管理体系。

3 网络安全运行保障体系建设

加强对办公人员安全意识培训和安全管理人员的管理技术培训，定期开展应急演练，提高突发事件的应急处置能力，是网络安全运行管理的重要保障。

依据网络安全管理制度相关内容，编制运维制度，梳理资产清单，对资产进行标识管理，规范数据信息传输、存储和使用等。积极排查安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补。严格控制远程运维，经审批后才可开通远程运维接口或通道，操作过程中应保留不可更改的审计日志，操作结束后立即关闭接口或通道。编制应急预案，开展应急预案培训，并定期进行应急预案的演练，提高应急反应能力和应急处理能力。

4 结 论

新时期水利网络安全建设，要从网络安全技术体系建设、网络安全管理体系建设、网络安全管理体系建设三方面综合考虑，将技术、管理、人员紧密结合起来，不断优化和改进安全管理的流程和能力，才能做好网络安全管理工作，实现网络安全目标。