來源:本站 瀏覽量: 1376次

落實《關鍵信息基礎設施安全保護要求》的20條措施與建議

2023-05-05

作者:管理員

隨著國家層面對于關鍵信息基礎設施安全保護的法律法規政策體系和標準體系的不斷健全和完善,關鍵信息基礎設施安全保護措施的落實工作也將隨著GB/T 39204-2022《信息安全技術 關鍵信息基礎設施安全保護要求》的施行而正式拉開帷幕。 關鍵信息基礎設施保護是一個系統工程,落實工作也需要重點突出,步調明晰,同時其安全理念、本質內涵、建設實施等,均需要不斷深入研究與設計實踐。

六方云公司在多年的網絡安全工作實踐中,不斷總結關鍵信息基礎設施安全保護措施的落地經驗和方法,為此,提煉出了一套關基安全建設思路和20項重點措施,可為關基運營者逐步開展相關工作提供參考。

c5edfec2b31450de3c1b7e21835c1631__url=http%3A%2F%2Fdingyue.ws.126.net%2F2023%2F0504%2Ff227e0f1j00ru4a9u0014d200fe007wg00it009n.jpg&thumbnail=660x2147483647&quality=80&type=jpg.jpg

▲關鍵信息基礎設施安全建設思路

關鍵信息基礎設施安全保護主要從四大方面落實具體的措施,包括頂層設計與規劃、基礎性安全保護措施的落實、加強型和特殊型安全保護措施的落實、網絡安全綜合能力建設與提升。

0 1.

頂層設計與規劃

53fbb1eb2bd8c4fd6e1b3dd15a20a562__url=http%3A%2F%2Fdingyue.ws.126.net%2F2023%2F0504%2F8b5b8da5j00ru4a9v002xd200fe007lg00it0099.jpg&thumbnail=660x2147483647&quality=80&type=jpg.jpg

措施1:建立關基組織體系和工作體系

設立網絡安全工作委員會或領導小組,由組織主要負責人擔任其領導職務,明確一名領導班子成員作為首席網絡安全官,專職管理或分管關鍵信息基礎設施安全保護工作;設置專門的網絡安全管理機構,明確機構負責人及崗位;為每個關鍵信息基礎設施明確一名安全管理責任人;安全管理人員應參與網絡安全和信息化決策;統籌開展網絡安全等級保護、關鍵信息基礎設施保護、數據安全保護、個人信息保護等各項工作,為每個第三級以上網絡系統明確網絡安全責任人。

措施2:制定關基安全規劃和計劃

關基運營者應根據本行業或本領域制定的關鍵信息基礎設施安全規劃和行業標準規范,制定適合本組織的網絡安全保護計劃,明確關鍵信息基礎設施安全保護工作的目標,從管理體系、技術體系、運營體系、保障體系等方面進行規劃,加強機構、人員、經費、裝備等資源保障,支撐關鍵信息基礎設施安全保護工作。

措施3:落實關基網絡安全責任

制定責任制管理辦法,明確網絡安全管理部門、網絡運營者的主體責任;明確專門安全管理機構具體職責任務,承擔安全管理、應急演練、事件處置、教育培訓和評價考核等日常工作,設置具體崗位,將責任落實到人;加強核心崗位人員管理,建立健全人員管理制度;積極配合公安機關開展網絡安全保衛、防范打擊違法犯罪活動和監督檢查,對不配合的,公安機關依法進行處罰。

措施4:關鍵信息基礎設施認定

保護工作部門按照關鍵信息基礎設施認定指南,制定完善認定規則,并組織本行業或本領域關鍵信息基礎設施認定工作,運營者在此基礎上開展摸底調查,梳理排查關鍵信息基礎設施建設、運行、管理情況及安全保護狀況,全面掌握網絡基礎設施、重要業務系統、重要數據等資源底數和網絡資產,建立檔案并動態更新,當關鍵信息基礎設施發生較大變化時,運營者要及時報告保護工作部門,保護工作部門應當在收到報告后3個月內完成重新認定。

0 2.

落實基礎性安全保護措施

935c1a6719a284319e38c8c805a8d898__url=http%3A%2F%2Fdingyue.ws.126.net%2F2023%2F0504%2Fe372cca1j00ru4a9v001hd200fe005mg00it006u.jpg&thumbnail=660x2147483647&quality=80&type=jpg.jpg

措施5:落實網絡安全等級保護制度

運營者應當依法開展網絡定級備案、安全建設整改、等級測評和自查等工作,采取管理和技術措施,保障網絡基礎設施安全、網絡運行安全、數據安全和信息安全,有效應對網絡安全事件,防范網絡違法犯罪活動。

措施6:構建安全可控的物理環境與通信網絡

落實物理機房環境保障措施,保護數據機房、云計算機房、重要通信機房等物理設施安全;通信線路采用“一主雙備”的多電信運營商多路由保護措施,對網絡關鍵節點和重要設施實施“雙節點”冗余備份;科學設計網絡架構規劃,合理劃分安全網絡區域,避免核心業務區域部署在網絡邊界;不同網絡安全等級保護系統之間、不同業務系統之間、不同區域的系統之間、不同運營者運營的系統之間的互操作、數據交換和信息流向進行嚴格控制。

措施7:構建縱深防御的區域邊界

縮減、歸并網絡出口,加強邊界管理,在網絡邊界處部署訪問控制設備,對進出流量數據進行過濾與監測,第三級以上網絡系統限制非法外聯,落實準入控制措施;制定訪問控制策略、優化訪問控制規則,落實邊界隔離、跨界訪問控制,第三級以上網絡系統邊界應采取基于應用協議和內容的訪問控制措施;提升主動防護能力,第三級以上網絡系統通過技術措施準確識別來自系統內外的攻擊行為,查殺惡意代碼,清除垃圾郵件,提升應對新型網絡攻擊能力;全面收集安全審計日志,構建網絡安全分析平臺,溯源網絡攻擊路徑,預警和處置網絡安全風險。

措施8:構建高度可信的計算環境

建立完善賬戶保護機制,結合實際應用范圍對賬戶最小授權,對賬戶口令合理配置,審計用戶的登錄和操作行為,對授予較高權限的賬戶實施嚴格的審計措施。第三級以上網絡系統的用戶采用雙因素方式登錄;最小化安裝系統組件和應用程序,關閉多余端口和服務;重要數據傳輸和存儲需建立完整性和保密性保護措施,對重要數據實施本地和異地備份以及恢復措施,并定期開展恢復測試演練。

措施9:建立一體化的安全管理中心

在網絡中部署運維審計系統、集中管理平臺等措施,實現對各類管理員的集中認證、授權及操作審計;在網絡中規劃特定區域用于集中部署安全管控措施,對分布在網絡中的安全設備或安全組件進行管控;實現集中審計,部署綜合審計系統實現對各類審計信息的集中審計分析,并確保日志存儲周期超過6個月;集中部署各類管控系統,實現對安全策略、惡意代碼、補丁升級等安全相關事項集中管理。

措施10:定期開展網絡安全檢測與風險評估

自行或者委托網絡安全服務機構對關鍵信息基礎設施安全性和可能存在的風險,每年至少進行一次檢測評估,并及時整改發現的問題;針對特定的業務系統或系統資產,經有關部門批準或授權,采取模擬網絡攻擊方式,檢測關鍵信息基礎設施在面對實際網絡攻擊時的防護和響應能力;在安全風險抽查檢測工作中,應配合提供網絡安全管理制度、網絡拓撲圖、重要資產清單、關鍵業務鏈、網絡日志等必要的資料和技術支持,針對抽查檢測工作中發現的安全隱患和風險建立清單,制定整改方案,并及時整改。

0 3.

落實加強型和特殊型安全保護措施

d3d1cf6d9a75f8bbedbe0198d9362bf5__url=http%3A%2F%2Fdingyue.ws.126.net%2F2023%2F0504%2Fe0d9b54dj00ru4a9w0034d200fe00aig00it00ct.jpg&thumbnail=660x2147483647&quality=80&type=jpg.jpg

措施11:建立健全完善的安全管理體系

完善安全管理制度,規范安全管理活動中各項管理制度和操作規程,涉及層面包括但不限于機構人員、物理環境、網絡通信、數據管理、安全建設和安全運維;加強人員安全管理,規范內部人員錄用、離崗和外部人員訪問,認定關鍵崗位,明確安全責任和懲戒措施,并有計劃地開展人員培訓和技能考核;強化安全運維管理,加強對環境、資產、介質、設備維護、配置等方面的管理,嚴格落實變更審批程序,制定應急預案并定期開展應急演練,提高安全防護意識和應急處理能力。

措施12:建立和完善數據安全保護措施

按照《數據安全法》要求,在落實網絡安全等級保護制度基礎上,建立數據安全保護制度,強化重要數據保護;開展數據資產排查,對業務系統所承載和處理的數據進行深入梳理排查,確認數據類型和資產,明確數據權屬關系;對數據采集、存儲、處理、應用、提供和銷毀等各環節,全面進行風險排查和隱患分析,對數據全生命周期進行保護。

措施13:加強供應鏈安全保護措施

加強供應鏈安全管理,從機構人員、資金保障、產品服務、風險管理、安全建設和安全維護等多方面予以規范,并采取相應措施確保制度落實;采購網絡關鍵設備和網絡安全專用產品目錄中的設備產品時,應采購通過國家檢測認證的設備和產品;加強供應鏈提供方安全準入管理,對服務方人員進行安全管理,簽訂安全保密協議,明確安全責任和義務;建立供應方目錄,定期梳理和更新供應鏈企業、產品、人員清單;針對產品或服務采購,要求供應方同時提供相關技術文檔,并明確產品或服務的知識產權。

措施14:采取多種方式檢驗保護措施的有效性

在公安機關指導和支持下,開展網絡安全演練,集中檢驗發現是否存在重大安全問題隱患,檢驗各環節安全保護措施是否有效;開展沙盤推演,科學設計典型業務場景,深入分析網絡安全威脅風險和薄弱環節,在沙盤上演繹技術對抗過程,評價防護策略、技術和措施的有效性,提升應對大規模網絡攻擊能力;聘請專門的安全檢測機構,遠程滲透測試與現場檢測相結合,對第三級以上網絡系統進行全流程、全方位檢測評估,及時排查和消除重大風險隱患。

04 .

建設提升網絡安全綜合能力

8442fa30785016243cb8e941fee71e28__url=http%3A%2F%2Fdingyue.ws.126.net%2F2023%2F0504%2F68f78bebj00ru4a9w0047d200fe009lg00it00bp.jpg&thumbnail=660x2147483647&quality=80&type=jpg.jpg

措施15:落實實時監測措施,提升發現攻擊能力

建設并應用網絡安全監測系統,利用多種手段、多種渠道,采取多種方式,組織內部力量和外部支持力量,開展7X24全方位全鏈條實時監測,及時發現網絡攻擊、病毒木馬傳播、漏洞隱患等風險威脅,為安全防護、應急處置提供支撐;在互聯網出口、內外網連接處、內網重點節點等,設置監測設備,對全網、重要系統、關鍵部位進行實時監測,對跨不同網絡、不同業務、不同區域間的數據流動進行監測,對跨不同網絡、不同業務、不同區域間的數據流動進行監測;分析網絡通信流量或事態模型,建立網絡通信流量或事態模型,實踐檢驗事態模型的準確性和有效性,逐步增強模型的科學性,并以此調整監測設備;利用自動化手段,建立自動化分析機制,對所有監測信息進行匯總整合,關聯分析來自多方渠道的信息和線索,并進行綜合研判,形成有價值的威脅情報,支撐網絡安全保護和事件處置等工作。

措施16:落實信息通報預警措施,提升通報預警能力

依托本單位網絡與信息安全通報預警機制,及時接收來自國家、地方、行業和社會的網絡安全情況信息;在網絡與信息安全通報機構支持下,對各渠道獲得的信息進行匯總、分析、研判,及時通報內部單位;采用自動化報警方式,建立重點發現可能危害關鍵業務的監測機制和手段,并能自動采取應對措施;建設或依托保護工作部門信息通報預警平臺,暢通通報預警和接收信息渠道。

措施17:落實重大事件處置措施,提升應對突發事件能力

建立網絡安全事件管理制度,按照國家有關網絡安全事件分類分級規范和指南,確定不同類別和級別事件處置的指揮流程、處置要求等;按照國家網絡安全事件應急預案要求,制定網絡安全事件應急預案;每年至少組織開展1次應急演練,并根據演練情況對應急預案進行評估和改進;當發生有可能危害關鍵業務的安全事件時,應及時向安全管理機構報告,并組織研判,形成事件報告。

措施18:落實獲取網絡安全威脅信息措施,提升主動防御能力

建立威脅信息搜集分析隊伍,豐富技術手段,發揮技術支撐力量資源優勢,對攻擊者進行畫像,技術發現網絡攻擊、侵入、竊密、破壞等活動;密切跟蹤行業領域網絡安全威脅動向,全面搜集高危漏洞隱患等高價值信息,深入開展威脅信息分析研判,挖掘行動性、預警性、綜合性威脅線索;以威脅信息為引領,及時預警攻擊活動,查找防護薄弱點,組織實施安全整改加固,確保有效防御大規模網絡攻擊活動。

措施19:落實技術應對措施,提升技術對抗能力

識別和減少互聯網和內網資產的互聯網協議地址、端口、應用服務等暴露面,壓縮互聯網出口數量;減少對外暴露組織架構、郵箱賬號、組織通信錄等內部信息,防范社會工程學攻擊;部署探針和蜜罐等設備,模擬真實業務場景,捕獲攻擊,分析攻擊路線、攻擊目標,設置多道防線,采取捕獲、干擾、阻斷、封控、加固等多種技術手段,切斷攻擊路徑,快速處置網絡攻擊。

措施20:落實協調聯動措施,提升聯合應對能力

在機構的業務應用、系統建設、技術實施、運營運維、綜合管理等部門間建立內部機制;與保護工作部門、行業內上下級單位、直屬機構建立縱向機制;與公安機關、橫向合作單位、技術支撐機構建立橫向機制;將內部、縱向、橫向三方面機制有機結合,建立一體化機制,統籌制定機制運轉規范;在國家網絡安全職能部門、保護工作部門的支持和指導下,聯合科研院所、網絡安全企業等多方資源力量,開展集中攻關、技術監測、數據治理和應急演練等活動,提升監測發現、分析研判、應急響應、追蹤溯源等核心能力。

*版權聲明:本文為轉載網易號平臺安全牛官方賬號的作者發布,轉載目的在于傳遞更多信息,不代表本網站立場。如有侵權或其他問題,請及時聯系我們sales@jhexpo.org及時刪除。

*本文原地址:https://www.163.com/dy/article/I3T5A95A0511ALHJ.html

国产在线精品一区二区中文_久色一区三级片中文字幕_又黄又爽吃奶视频在线观看_麻豆精品国产片在线观看