“等保2.0”中网络安全的规划与建设要点

赵琳霞，傅东东

（广州市设计院集团有限公司）

1 引言

随着网络信息技术在国民生活、经济领域占比的不断增大，国家越来越重视信息安全，将计算机网络技术的普及和拓展，以及信息、网络安全提升到国家安全的高度，并针对性地制定了相关法律法规。

1994年国务院颁布了《中华人民共和国计算机信息系统安全保护条例》，该条例首次在法律法规层面提出计算机信息系统必须实行等级保护。2008年国家颁布《信息安全技术-信息系统安全等级保护定级指南》《信息安全技术-信息系统安全等级保护基本要求》等一系列行之有效的信息安全管理标准，旨在提高政府内部信息系统的安全防护能力，降低系统被攻击的风险，自此，等级保护工作开始被大众所熟知，当年颁布的一系列标准被称为“等保1.0”。

但伴随着信息网络技术的发展，人工智能、物联网、云计算、大数据等新技术的出现与应用，原有的等保1.0标准已不能满足当代信息网络系统的安全建设要求，因此，为了顺应时代的发展，国家于2019年5月13日相继颁布了新版的《信息安全技术网络安全等级保护基本要求》《信息安全技术网络安全等级保护安全设计技术要求》《信息安全技术网络安全等级保护测评要求》等一系列具有指导意义的信息技术网络安全等级保护标准。自此，我国信息技术网络安全等级保护工作开始进入“等保2.0”时代。

对比“等保1.0”，“等保2.0”在保护对象、保障体系、防御理念方面发生重大变化，定级流程严苛、测评周期变短。其他方面，“等保2.0”积极要求在网络安全中加入“可信计算”技术，要求对通信设备进行“可信验证”的要求；同时，“等保2.0”中还加入通用要求和安全扩展相关内容，更具适应性；标准在安全内容、章节目录、分类结构上等方面均作出明显地调整修改（见表1）。

表1 “等保1.0”与“等保2.0”变化对比表

“等保2.0”标准涉及的保护对象广泛全面，基本覆盖各行各业的信息网络系统。因此，该标准是国家落实重点项目网络安全、信息安全、数据安全的重要手段，是建立健全网络基础设施的重要依据，已成为实现国家网络安全的一项基本制度。

2 “等保2.0”基本框架

“等保2.0”的基本框架包含了安全技术要求和安全管理要求两大部分。分别从安全保护技术措施和安全管理措施上对被保护对象提出了具体的安全防护和管理要求。因网络安全管理部分会根据自身的管理架构及行业特点，形式多样，本文不讨论此部分内容，着重对技术方案的安全管理中心、安全通信网络、安全区域边界、安全计算环境[1]四部分内容解析说明。

2.1 安全管理中心

安全管理中心属于新增重点章节，包括系统管理、安全管理、审计管理和集中管控四个部分，目标是建立统一管理安全技术体系的集中管理平台，是安全体系建立的核心部分，属于顶层设计。在安全管理中心的构建中，对整个系统按照管理人员权限划分，提供对应的管理接口与系统资源；同时，中心汇总各方上传的数据进行集中分析，并建立预警机制，提前告警，对安全进行统一管理与把控；中心对各类日志文件进行审计审查，实现定期扫描，识别修复系统漏洞，排除安全隐患。工作重点集中在数据库安全、日常安全运维、漏洞扫描、补丁升级、等保安全一体机、等保网络安全咨询等一系列服务。

2.2 安全通信网络

安全通信网络主要从系统网络架构、通信传输、可信验证三个方面去构建可靠、受信、安全的通信网络系统。它保障了信息传输的安全，提供良好的受信通信网络，同时，合理选择密码技术可确保通信数据的完整性和保密性。工作重点集中在防火墙、VPN设备、路由器和交换机等设备的安全性上。

2.3 安全区域边界

安全区域边界部分涉及内容多，由六部分组成，分别是边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计、可信验证。安全区域边界用于搭建系统网络层的防护能力，维护内部计算环境与外部通信网络之间的边界安全，对外实行入侵防护与阻断、访问控制、攻击检测，维护内部系统安全[3]，可形成全局安全可视能力，同时实现高级威胁防护。工作重点集中在防火墙技术及配置、入侵检测/防御、登录身份认证、可信验证、动态防御系统、人员上网行为管理等方面。

2.4 安全计算环境

安全计算环境与安全区域边界相比，则是对系统内部组件、接入端口、应用系统等内容的安全鉴别与防护，可分为认证权限管理，如身份鉴别、访问控制、安全审计；入侵防范，如恶意代码防范、可信验证；数据安全，如数据完整性、数据保密、数据备份恢复；信息安全，如剩余信息保护、个人信息保护4部分，是保障系统内部的访问登录控制、数据存储处理、信息保护方面的安全防护要求[2]，项目中合理划分安全域，拆解复杂系统的安全问题，从而保证信息流在交换过程中的安全性。工作重点集中在数据库安全、网页防篡改、漏洞风险评估、数据备份与恢复、信息保护等方面。

上文阐述了“等保2.0”标准中技术要求部分的主要内容及工作重点，其中安全管理中心属于新增的独立章节，在防护结构中又占据中心地位，其重要性不言而喻，下文将对安全管理中心章节进行着重分析说明。

3 安全管理中心规划与建设

安全管理中心章节由系统管理、审计管理、安全管理和集中管控四个部分组成，其中前三个部分又分别对应系统管理员、审计管理员和安全管理员的工作内容和管控要求，管理形成“三权分立”的形式。系统管理员、审计管理员和安全管理员三者之间权责分明，又相互依存，是维护网络系统安全的基础。安全管理中心作为信息网络安全管理的总指挥，担负着调度系统资源，共同抵御针对业务系统、数据的各种威胁和入侵，保证业务不间断正常运行的责任。

3.1 系统管理

因系统管理员是系统资源分配、配置系统运行参数的唯一主体，所以系统应从流程上严格控制和监督系统管理员的身份鉴别、命令操作、界面控制和操作审计等功能。在搭建系统时，应补足漏洞，避免其他用户通过其他途径获得控制权限，埋下安全隐患。

从技术层面和条文说明上来说，系统管理员的权限控制要求有两点，第一点即系统需要设置有专门的登录界面供系统管理员登录，不可随意登录，同时所有的登录和操作命令都应被记录，以备审计。另外一项则要求设置唯一的系统管理员账户，只有系统管理员有权限进行某些特定操作，操作过程同样需要记录。

在开发管理软件时就必须留有相应的登录管理界面，对于系统的身份鉴别，常规可采用密码和身份验证服务器，也可增加验证码，采用移动key等方式，同时在安全计算环境章节中明确有要求采用包括密码技术在内的两种以上身份鉴别方式。

3.2 审计管理

因审计管理员是审计记录分析和管控的唯一主体，对审计策略、审计记录具有独立管控的权限，与系统管理员功能类似，需具备对审计管理员的身份鉴别、特定命令、操作界面控制和操作审计等功能。

“等保2.0”中着重强调审计功能，并设置单独的审计管理员，将审计工作提升至日常重点管理维护的高度，并在安全区域边界、安全计算环境章节部分也提及审计等相关要求，但各部分侧重点不同，要求不同。其中，安全管理中心章节部分的审计重点在审计审查管理员的各种操作日志。

审计管理员的日常工作就是对管理日志进行审计分析，因此，系统应实现自动记录留档管理人员的日常操作命令及操作内容，形成独立的管理日志，以供审计审查。系统应根据建设方要求及项目性质灵活选择记录日志存储时间，但至少不应低于6个月的操作审计记录[4]，记录包括但不限于信息的存储、查询、保护、备份等内容。

3.3 安全管理

安全管理员是唯一能调整修改系统安全策略和进行安全参数配置的人员，其重要性不言而喻，因此，与系统管理员、审计管理员功能类似，系统应具备身份鉴别、操作界面控制等一系列基本功能。同时，安全管理员需具备安全权限，包括系统安全参数设定、可信验证策略制定和各类用户授权等[4]，其日常工作是制定系统安全策略、各种访问登录授权、安全配置巡检、安全日志存储、安全审计、安全标记等。

3.4 集中管控

集中管控是对系统中的安全设备和组件进行集中管控，类似于集中管理平台功能，属于顶层设计，占据独立的网络资源，对传输链路通信安全性要求高。集中管控能有效提高管理效率，加强各方面的联动配合，可实时监控设备的状态，及时定位和处理系统故障；对各部分上传数据进行汇总和分析，建立系统数据库，对安全事件可进行识别和关联分析，建立预警告警机制；整合资源，实现安全策略配置、恶意代码识别、系统升级的集中控制。

集中管控可集中管理用户的权限及审计，运维人员可通过此部分功能，集中管控网络系统、制定安全策略、日志管理、中高危漏洞管理、危险告警、安全事件管理等。

4 结语

国家颁布最新的网络安全保护法案，旨在通过网络安全保护等级建设形成有效的组织管理、健全的机制建设、完善的安全规划以及安全监测。同时建立通报预警机制、应急处置措施等多种措施，建立可靠的安全可控体系。通过对标准的学习解读，在设计及实施阶段将规范落实到项目实处，有效地建立起国家网络安全的防御体系，保证网络安全。