新技術應用的網絡安全等級保護定級淺析

高亞楠

（國家信息中心 北京市 100045）

隨著信息技術的不斷發展，新技術的應用越來越廣泛，網絡安全問題也日益突出[1]。為了保障網絡安全，各國政府和企業都采取了一系列措施，其中之一就是網絡安全等級保護定級。網絡安全等級保護定級是指根據網絡系統的重要性和安全風險等級，將網絡系統劃分為不同的等級，并對每個等級制定相應的安全保護措施。這種做法可以有效地提高網絡安全保障水平，減少網絡安全事故的發生。

本文將從云計算、大數據、移動互聯、物聯網、工業控制等新技術應用的角度出發，探討網絡安全等級保護定級的要點，并給出定級建議，以保障網絡安全。

1 新技術應用下網絡安全的風險

新技術的應用給網絡安全帶來了新的挑戰。一方面，新技術的應用使得網絡系統更加復雜，安全隱患也更加難以預測和防范。另一方面，新技術的應用也為黑客攻擊提供了更多的機會和手段。

云計算應用下網絡安全風險包括，虛擬化安全風險、資源共享風險和供應鏈風險。首先，云計算技術中的虛擬化技術可以將多個虛擬機運行在同一臺物理服務器上，但這也會帶來虛擬化漏洞的風險。攻擊者可以通過虛擬機之間的漏洞，獲取其他虛擬機中的敏感信息。其次，云計算技術中的資源共享可以提高資源利用率，但也會帶來資源共享風險。如果一個虛擬機被攻擊，可能會影響其他虛擬機的運行。最后，云計算技術中的供應鏈攻擊是指攻擊者通過攻擊云服務提供商的供應鏈，獲取用戶的敏感信息。例如，攻擊者可以通過攻擊云服務提供商的第三方供應商，獲取用戶的登錄憑證。

大數據應用下網絡安全風險包括數據濫用、數據隱私和數據治理等方面，首先，大數據中的數據可能會被不法分子利用，進行詐騙、垃圾郵件、網絡釣魚等活動，給用戶帶來不必要的麻煩和損失。其次，大數據中的數據可能包含個人隱私信息，如姓名、地址、電話號碼等，如果未經妥善保護，可能會被濫用，導致個人隱私泄露。最后，大數據中的數據來源復雜，數據質量難以保證，數據治理成為大數據安全的一個重要方面。數據治理包括數據質量管理、數據安全管理、數據合規管理等。

移動互聯網安全風險包括應用程序安全風險、惡意軟件和病毒風險、無線網絡攻擊風險等。首先，移動應用程序安全風險：移動應用程序可能存在漏洞和安全漏洞，使黑客可以輕松地訪問用戶的個人信息和敏感數據。其次惡意軟件和病毒可以通過移動設備訪問用戶的個人信息和敏感數據。最后，黑客可以通過無線網絡攻擊來竊取用戶的個人信息和敏感數據。

此外，物聯網面臨的網絡安全風險主要包括感知設備風險、感知網絡風險、物理安全風險和供應鏈安全風險等。工業控制系統面臨的網絡安全風險包括網絡攻擊、惡意軟件、人為操作失誤、社會工程學攻擊和物理攻擊等。

因此，新技術的應用對網絡安全提出了更高的要求。為了保障網絡安全，必須采取一系列措施，其中之一就是網絡安全等級保護定級。

2 網絡安全等級保護定級的重要性

網絡安全等級保護定級是一種有效的網絡安全保障措施。通過網絡安全等級保護定級，可以將網絡系統劃分為不同的等級，并對每個等級制定相應的安全保護措施。這種做法可以有效地提高網絡安全保障水平，減少網絡安全事故的發生。

網絡安全等級保護定級的重要性主要體現在提高網絡安全保障水平、保護國家安全、保護企業利益、提高信息安全意識、促進信息安全技術發展等方面。

3 新技術應用定級

新技術應用定級包括云計算系統定級、大數據定級、移動互聯定級、物聯網定級、工業控制系統定級等。具體定級要點如圖1 所示。

圖1：新技術應用定級要點

4 云計算系統定級

4.1 云平臺定級

一般一而言，在開展云計算平臺定級的時候，會將其中的基礎設施、網絡設備、安全設備、服務器、軟件系統、云計算平臺、管理系統等都納入到定級范圍之中，作為統一的云平臺進行定級。但是對于大型的云計算平臺，有可能將基礎網絡或者安全管理中心進行單獨的定級，然后將其他的軟硬件組件進行統一定級。云計算平臺的級別一般情況下都確定為S3A3，這樣其所承載的云租戶系統的級別可以更為多樣化，云平臺的業務范圍也能更寬廣些。然后，通過將不同級別的云租戶進行邏輯或物理隔離，而開展安全保護[2]。

對于需要開展商用密碼應用安全性評估的云平臺，其商用密碼安全性保護等級一般確定為第三級，然后采用第三級的商用密碼應用安全性保護措施來開展保護工作。

4.2 云租戶定級

對于云租戶而言，部署在云平臺上的云租戶系統可以根據自身的安全保護需要進行定級或者是不定級。對于確定等級的系統，可以確定為第三級或第二級，一般而言，極少有云租戶系統確定為第四級、第四級的云租戶系統一定要選擇第四級的云計算平臺來承載其服務。

云租戶系統的具體定級一般為S3A3、S3A2 或S2 A2，然后根據其業務信息和系統服務的保護等級來確定和S 和A 的保護等級。租戶的云計算系統開展定級后，在測評的過程中，需要將云平臺的測評報告關鍵頁索要到，以便于判斷云租戶系統是否能夠確實滿足相應等級的安全要求。

部分云租戶需要開展商用密碼應用安全性評估時，其安全保護等級一般確定為第二級或第三級，與相應的等級保護等級一般保持一致。

5 大數據定級

5.1 大數據平臺定級

對于大數據平臺開展定級工作時，應首先確定其定級范圍，而定級范圍的確定與大數據技術架構及部署實現密切相關，所以需要對相關架構信息進行分析。比如計算資源池和存儲資源池是否屬于大數據平臺，計算模型和模型的實現是否屬于大數據平臺，這些都需要進行明確。目前，較少大數據平臺開展了商用密碼應用安全性評估工作，對大數據的安全評估，還需要不斷積累經驗和探索。

對大數據平臺開展定級工作時，應首先確定其定級范圍，而定級范圍的確定與大數據技術架構及部署實現密切相關，所以需要對相關架構信息進行分析。比如計算資源池和存儲資源池是否屬于大數據平臺，計算模型和模型的實現是否屬于大數據平臺，這些都需要進行明確。

5.2 大數據應用定級

對大數據應用開展定級工作時，應確定其應用部署方式，并確定該系統是以大數據資源定級為主，還是以應用系統定制為主，因為部分大數據應用是以軟件即服務的模式租用的大數據平臺資源。比如使用大數據平臺的數據分析池及數據建模工具，在大數據平臺中進行數據處理，然后進行數據的輸入和輸出及模型管理工作。這就是典型的軟件及服務式的大數據應用，在這種情況下，其定級的主體一般為大數據資源。

5.3 大數據資源定級

對大數據資源開展定級時，應關注其數據的安全保護需求和數據的全生命周期安全管理。不同數據是有不同的安全保護需求的，比如說口令數據具有保密性和完整性的需求。對于個人信息，比如身份證號碼、姓名、電話、住址等，需要根據業務應用場景的不同，確定其安全保護需求，比如在普通的系統中更關注相關數據的保密性，一旦泄露，可能會造成用戶的損失和個人信息的侵犯。對于需要根據這些數據做分析的系統，則會同時關注其保密性、完整性甚至可用性。

在開展數據全生命周期識別的時候，需要進行數據的梳理，梳理其數據類型以及生命周期中的操作和保護措施[3]。

在數據收集方面，需要重點關注大數據資源收集的方式以及收集的安全性，比如說對于人工收集的，可能會關注數據的有效性和數據的可用性。對于機器收集的，可能要關注數據的來源及數據的可用性。在導入階段，重點關注數據資源的訪問控制。此外，還需要對導入的數據進行內容管理，避免數據中混淆有腳本、可執行代碼或者惡意程序。在數據廢棄階段，需要重點關注數據銷毀的不可逆性及數據及相關存儲介質銷毀的可靠性。

在數據備份階段，需要關注數據備份的頻率、方式、有效性以及備份數據的可恢復性。

6 移動互聯定級

6.1 移動應用程序

對于移動應用程序，也就是常說的APP，其定級時通常是將APP 的客戶端、后臺管理中臺及其基礎設施等一并開始展定級。

對于部署在云平臺上或大數據平臺上的移動應用程序，則需要選擇具備高于或等于其等級的平臺或系統進行承載。然后將云平臺和大數據平臺外的相關部分開展定級，如數據庫、中間件、操作系統、管理后臺和APP 等。

除了關注基礎設施、網絡設備、安全設備、服務器、中間件、數據庫等軟硬件外，還需要關注APP 的安裝包、應用市場的部署以及APP 自身安全相關內容。

對于移動APP 的數據而言，需要關注在后臺中處理的數據、后臺數據庫中存儲的數據，以及終端存儲的APP 數據和終端處理的APP 數據。此外，由于移動互聯的特點，還涉及到終端與后臺管理系統之間傳輸的數據。數據所存儲位置、傳輸方式及用途的不同都將導致其安全保護需求有所迥異。

6.2 移動互聯系統

對于移動互聯系統，重點關注移動終端方面、終端接入方面以及后臺管理方面。

在移動終端方面，范圍包括通用的終端以及專用的終端，相關的終端都需要納入到定期的范圍之內，而且要根據終端接入的規模、跨地域的情況、使用用戶情況等進行綜合的判斷。比如物流系統中的數據采集終端，存在著地域覆蓋范圍廣、用戶量龐大等特點。

終端接入方面，包括無線接入網關和無線接入設備等內容，來提供終端的接入管理。以及終端的接入網絡，為終端的接入和管理提供基礎的網絡支撐能力。對于接入專用終端的網絡，比如手持執法設備終端網絡，其手持終端和無線設備接入網關之間，可通過專用無線網或者公共無線網絡進行接入和支撐。在后臺管理方面，與傳統信息系統有著一定的相似之處，均是部署在服務器之上，通過管理員進行后臺管理，運維和操作。此時的定級范圍主要包括操作系統、服務器、中間件、數據庫、移動終端的后臺管理系統以及統一管理系統等。

7 物聯網定級

開展物聯網定級的時候，通常需要將相關設備、相關網絡以及相關系統和管理組件等進行統一定級，主要包括感知設備、感知信息傳輸網絡以及感知信息處理系統。

對于感知設備而言，需要明確感知設備的類型、感知設備的架構以及具體感知設備的數量和范圍。部分感知設備是以組件或者是小型傳感器等多種多樣形式存在的。

對于感知網絡而言，往往采用專用網、互聯網或移動網絡。對于專用網絡，多采用傳感網網關以及傳感網防護設備開展數據交換和安全防范。對于互聯網絡，通常是傳感網、網關與其他網絡設備綜合運用，或者是不使用傳感網網關，直接通過互聯網將傳感器的數據傳輸到或發送到處理系統之中。對于移動網絡，常見的場景是傳感器或者采集設備將數據采集后直接通過移動網絡進行傳輸。

對于感知信息處理系統，與傳統信息系統有一定的相似之處，都是部署在服務器之上，包括操作系統、中間件、數據庫和感知信息處理系統，以及相關統一管理系統及軟硬件組件等。進行感知信息的分析處理和統一調度，以及感知設備的管理。

8 工業控制系統定級

工業控制系統定級范圍主要包括現場設備、監控控制系統、生產系統以及管理系統不同的層面。開展工業控制系統定級的時候，需要根據系統的規模，具體的業務情況，以及跨地域部署等狀況來進行綜合判定。對于大型工業控制系統，根據具體的部署情況可以分為不同的定級對象來開展定級工作。

現場設備方面，包括工業控制的具體相關的設備和機器，部分工業控制設備現場具有現場的管理系統和監控系統，也需要納入到這一層面之中去，此外還包括現場的控制網絡，需要將這部分的網絡設備及防護設備等納入定級范圍。

控制監控系統一般是指對現場設備和機械設備進行控制、發送指令、運行情況監測等的系統。監控控制系統和生產系統的定級跟系統規模有關，對于定級范圍被包含在整個工業控制系統中的情況，需要覆蓋監控控制設備、生產設備、系統軟硬件、監控控制網絡、生產網絡。

對于管理系統的定級范圍確定，和傳統信息系統大致相同，主要包括管理系統相關的數據庫、操作系統、中間件、管理平臺、指揮系統、監控系統、分析系統和決策系統等。

9 保護等級的分析

對于保護等級的分析，主要劃分為兩個方面，一個方面是業務信息安全等級的劃分分析，以及業務服務安全保護等級的劃分分析。

9.1 業務信息安全保護等級

對于業務信息安全保護等級，需要從業務數據的角度來進行安全性的分析，首先需要確定業務數據的范圍，具體包括的類別、級別及安全防護措施等。對于未進行數據分類分級的系統，也需要在梳理完數據類別之后，給出重要性的劃分。做到重要數據重要保護，一般數據一般保護。

根據不同的數據類型和數據級別，還可以進行數據所面臨的威脅、存在的脆弱性和風險的分析，只有在全面的分析之后。才能夠更清晰的了解到一旦數據發生泄露，或者是被篡改，或者不可用之后造成后果的嚴重性[4]。

最后是需要確定業務信息在不同的安全風險和安全威脅之下，可能會發生的安全事件，以及造成這些事件所產生的影響程度，然后根據影響程度所處的情況來判斷級別。判斷時主要依據判斷矩陣，其中影響方包括公民組織、社會公共利益和公共秩序、國家安全。以及所造成的影響是一般、嚴重，還是特別嚴重。在這樣一個矩陣中可以確定出業務信息的具體等級。

9.2 業務服務安全保護等級

業務服務的安全保護等級主要取決于業務服務的連續性運行要求，以及服務遭受威脅后可能產生的惡劣影響和影響程度。

主要內容包括業務的連續運行時間要求、業務中斷最多可承受的時間長度以及業務中斷后產生的影響等方面。不同的業務中斷連續性要求不一樣，需要根據具體的業務要求來開展分析。一般而言，大數據平臺、云計算平臺等基礎性平臺的業務連續性運行要求較高，通常為7×24 小時，而對于大數據應用、云計算租戶則會根據其不同的業務實現、業務內容來確定業務運行的要求。