数字化转型网信息安全研习社关注网络攻击与防御、网络协议安全、数据存储安全、数据加密、数据传输安全、数据备份与恢复策略、数据完整性保护、软件漏洞与补丁管理、身份认证与授权、设备物理访问控制、环境安全与灾难恢复、安全策略框架、安全审计与合规性、安全事件管理与应急响应、设备安全、数据隐私和管理、数据存储和隔离、加密算法安全、云计算安全等多个方面。
参考《信息安全技术网络安全等级保护测评要求GB/T28448-2019》相关内容，信息安全主要涉及物理环境、通信网络、区域边界、计算环境、管理中心、管理制度、管理机构、管理人员、运维管理10个方面，信息安全测评根据具体应用领域，围绕这10个方面，按安全测评通用要求、云计算安全测评扩展要求、移动互联安全测评扩展要求、物联网安全测评扩展要求和工业控制系统安全测评扩展要求5个应用领域分别定义测评指标、测评对象等相关内容(如图2所示)，测评对象包括机房、业务应用软件、主机操作系统、数据库管理系统、网络互联设备、安全设备、访谈人员及安全管理文档等，本文结合信息安全等级三级相关测评指标，对水务公司信息网络安全管理策略进行整理。数字化转型网www.szhzxw.cn
一、安全物理环境
包括物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护等内容。
1、物理位置选择
机房场地应选择在具有防震、防风和防雨等能力的建筑内。如果水司选择使用云服务器，应保证云计算基础设施位于中国境内。
2、物理访问控制
机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。
3、电力供应
应在机房供电线路上配置稳压器和过电压防护设备，并提供短期的备用电力供应,至少满足设备在断电情况下的正常运行要求。数字化转型网www.szhzxw.cn
二、安全通信网络
包括网络架构、通信传输和可信验证等内容。
1、网络架构
应保证网络各个部分的带宽满足业务高峰期需要。应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段，如将水厂自控系统与水司其他系统划分为两个区域，区域间采用单向的技术隔离手段，确保水厂自控系统的安全。
2、通信传输
应采用校验技术或密码技术保证通信过程中数据的完整性和保密性。如果水厂自控系统使用广域网进行控制指令或相关数据交换，应采用加密认证技术手段实现身份认证、访问控制和数据加密传输。
3、可信验证
应基于可信根对设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。数字化转型网www.szhzxw.cn
三、安全区域边界
包括边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计、可信验证等内容。工业控制系统还涉及到拨号使用控制、无线使用控制相关内容。
1、边界防护
应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信，既要能够对非授权设备私自联到内部网络的行为进行检查或限制，也要能够对内部用户非授权联到外部网络的行为进行检查或限制。
2、访问控制和接入控制
应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信。
在诸如远传集抄、管网实时监测等物联网应用中，应保证只有授权的感知节点可以接入，无线接入设备应开启接入认证功能，并支持采用认证服务器认证或国家密码管理机构批准的密码模块进行认证。
3、入侵防范
应在关键网络节点处检测、防止或限制从外部或从内部发起的网络攻击行为(如网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等)；当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标、攻击时间，在发生严重入侵事件时应提供报警。数字化转型网www.szhzxw.cn
在诸如微信网厅、外业工单等移动互联网应用中，应能够检测到非授权无线接入设备和非授权移动终端的接入行为并进行阻断；应能检测到和禁用无线接入设备和无线接入网关存在风险的功能，如SSID广播、WEP认证等。数字化转型网www.szhzxw.cn
在物联网应用中，应能够限制与物联网感知节点或网关节点通信的目标地址，以避免对陌生地址的攻击行为。
4、恶意代码和垃圾邮件防范
应在关键网络节点处对恶意代码进行检测和清除，对垃圾邮件进行检测和防护，并维护恶意代码和垃圾邮件防护机制的升级和更新。数字化转型网www.szhzxw.cn
5、安全审计
应在网络边界、重要网络节点对重要的用户行为和重要安全事件进行审计，审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。
四、安全计算环境
包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护等内容。云计算环境还涉及到镜像和快照保护、数据完整性和保密性等相关内容。数字化转型网www.szhzxw.cn
1、身份鉴别
应对登录的用户进行身份标识和鉴别，应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施，避免外界尝试登录和暴力破解的安全风险。
多重身份验证(Multi-FactorAuthentication，MFA)可以用来增强对用户账户的保护，使其免受网络钓鱼攻击、凭证填充和账户接管等常见威胁，所以水司应对重要的应用系统使用两个或多个因素来进行身份验证，采用口令(如手机验证码)、密码技术、生物技术(如面部识别)等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
2、访问控制
应重命名或删除默认账户，修改默认账户的默认口令。应及时删除或停用多余的、过期的账户，避免共享账户的存在，确保服务器中所有的操作系统账号能够唯一标识操作人员。
各系统应根据“最小授权”的原则设定账户访问权限，控制用户仅能够访问到工作需要的信息。如授予管理用户所需的最小权限，实现管理用户的权限分离，原则上禁止使用最高权限账号。
应由授权主体配置访问控制策略，规定主体对客体的访问规则，比如各系统的账号能标识系统访问的不同角色，并通过角色拥有相应权限。数字化转型网www.szhzxw.cn
如水司选择使用云服务器，应保证当云计算虚拟机迁移时，访问控制策略随其迁移。
3、安全审计
为了能够发现和跟踪系统中发生的各种可疑事件，需要启用安全审计功能，并对审计记录进行保护和定期备份。
4、入侵防范
应遵循“最小化安装”的原则，仅安装需要的组件和应用程序。如操作系统仅安装并运行必须的系统服务和应用程序，关闭不需要的系统服务、默认共享和高危端口。应用系统则关闭和卸载与办公和业务无关的功能和服务，比如开放给设备厂家进行入网测试的物联网平台，仅开放与测试有关功能模块即可。
应通过设定终端接入方式或网络地址范围对通过网络进行管理的终端进行限制，尤其是要对通过互联网接入的终端进行限制。数字化转型网www.szhzxw.cn
应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求，避免发生诸如SQL注入式攻击等入侵行为。
应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。
5、恶意代码防范
应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。数字化转型网www.szhzxw.cn
水司应统一规划、统一部署防病毒软件,每周进行病毒库升级，并对防病毒软件进行监控，记录病毒查杀情况。
6、数据备份恢复
应提供重要数据处理系统的热冗余，保证系统的高可用性。
提供重要数据的本地备份与恢复功能。应建立作业，保证每日进行增量备份，每月进行完整备份，自动建立异地备份。
应对备份结果进行检查，确认备份有效性。应定期进行本地数据备份数据恢复测试，且不得影响生产环境的正常运行。数字化转型网www.szhzxw.cn
7、镜像和快照保护
应针对重要业务系统提供加固的操作系统镜像或操作系统安全加固服务。应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改。应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。数字化转型网www.szhzxw.cn
8、数据完整性和保密性
应采用校验技术或密码技术保证重要数据在传输及存储过程中的完整性和保密性。
应确保云服务客户数据、用户个人信息等存储于中国境内，如需出境应遵循国家相关规定。
五、安全管理中心
包括系统管理、审计管理、安全管理、集中管控等内容。
1、系统管理、审计管理、安全管理
应对系统管理员、安全管理员、审计管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行相关操作,并对这些操作进行审计。数字化转型网www.szhzxw.cn
2、集中管控
应对分布在网络中的安全设备或安全组件进行管控，如对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测，监测内容包括网络流量、重要用户行为、系统资源的异常使用等。
应对数据库和应用系统的运行状况进行监测，监测内容包括服务的关闭与重启、用户访问行为、异常出错提示等。
应对分散在各个设备上的审计数据进行收集汇总和集中分析，及时发现错误或可疑的日志信息、异常行为信息和可能的安全事件。
应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理，应对网络中发生的各类安全事件进行识别、报警和分析。
六、安全管理制度
包括安全策略、管理制度、制定和发布、评审和修订等内容。数字化转型网www.szhzxw.cn
应形成由安全策略、管理制度、操作规程、记录表单等构成的全面的安全管理制度体系。
七、安全管理机构
包括岗位设置、人员配备、授权和审批、沟通和合作、审核和检查等内容。
1、人员配备
应配备一定数量的系统管理员、审计管理员和安全管理员等。数字化转型网www.szhzxw.cn
2、审核和检查
应定期进行常规安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等情况；应定期进行全面安全检查,检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等。
八、安全管理人员
包括人员录用、人员离岗、安全意识教育和培训、外部人员访问管理等内容。
1、人员离岗
应及时终止离岗人员的所有访问权限。
2、外部人员访问管理
应限制外部人员的访问权限，对外部访问进行定期检查和审计，外部人员离场后应及时清除其所有的访问权限。
九、安全建设管理
包括定级和备案、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评、服务供应商管理等内容。
1、自行/外包软件开发
应对软件的更新、发布进行授权和审批,并严格进行版本控制。应将生产环境和测试环境分开,测试数据和测试结果受到控制。应提供软件设计文档和使用指南。数字化转型网www.szhzxw.cn
2、测试验收
应制订测试验收方案，根据实施结果，形成测试验收报告。
应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用、SQL注入式攻击、软件后门等安全性测试相关内容。数字化转型网www.szhzxw.cn
十、安全运维管理
包括环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理、外包运维管理等内容。物联网还包括感知节点管理。数字化转型网www.szhzxw.cn
1、漏洞和风险管理
应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补。
应及时跟进产品厂商发布的安全补丁信息并进行下载。补丁加载之前必须经过严格的测试，补丁测试内容包括安装测试、功能性测试、兼容性测试和回退测试等。
2、网络和系统安全管理
应指定专门的部门或人员对日志、监测和报警数据等进行分析、统计，及时发现可疑行为。
应严格控制远程运维的开通，远程操作过程中应保留不可更改的审计日志，操作结束后立即关闭远程通道。数字化转型网www.szhzxw.cn
应保证所有与外部的连接均得到授权和批准，应定期检查违反规定无线上网及其他违反网络安全策略的行为。数字化转型网www.szhzxw.cn
3、恶意代码防范管理
应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等。
4、变更管理
应建立变更的申报和审批控制程序，依据程序控制所有的变更，记录变更实施过程。应建立中止变更并从失败变更中恢复的程序。数字化转型网www.szhzxw.cn
5、安全事件处置
应制定安全事件报告和处置管理制度。应在安全事件报告和响应处理过程中，分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训。数字化转型网www.szhzxw.cn
6、应急预案管理
应规定统一的应急预案框架，包括启动预案的条件、应急组织构成、应急资源保障、事后教育和培训等内容。应制定重要事件的应急预案，包括应急处理流程、系统恢复流程等内容。
声明：本文来自网络，版权归作者所有。文章内容仅代表作者独立观点，不代表数字化转型网立场，转载目的在于传递更多信息。如有侵权，请联系我们。数字化转型网www.szhzxw.cn
数字化转型网数据专题包含哪些内容
数字化转型网信息安全研习社关注网络攻击与防御、网络协议安全、数据存储安全、数据加密、数据传输安全、数据备份与恢复策略、数据完整性保护、软件漏洞与补丁管理、身份认证与授权、设备物理访问控制、环境安全与灾难恢复、安全策略框架、安全审计与合规性、安全事件管理与应急响应、设备安全、数据隐私和管理、数据存储和隔离、加密算法安全、云计算安全等多个方面。
本文由数字化转型网（www.szhzxw.cn）转载而成，来源于水悟空；编辑/翻译：数字化转型网Jerry。
