網(wǎng)絡(luò)安全等級保護(hù)制度2.0(簡稱等保2.0)國家標(biāo)準(zhǔn)即將在2019年12月1日起正式實(shí)施,核心標(biāo)準(zhǔn)包括《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)基本要求》、《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評要求》、《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)安全設(shè)計(jì)技術(shù)要求》三大核心標(biāo)準(zhǔn)文件。

自《網(wǎng)絡(luò)安全法》正式施行以來,監(jiān)管部門對政府、金融、教育等各行業(yè)的網(wǎng)絡(luò)安全保衛(wèi)工作日益重視。部分未落實(shí)等保的組織面臨被有關(guān)部門責(zé)令整改、行政處罰、暫停注冊、暫停運(yùn)營等處罰。那么在面對網(wǎng)絡(luò)安全等級保護(hù)制度2.0國家標(biāo)準(zhǔn)正式實(shí)施這樣的“大考”,組織該如何應(yīng)對?

等保2.0下用戶安全建設(shè)挑戰(zhàn)

網(wǎng)絡(luò)安全等級保護(hù)制度2.0國家標(biāo)準(zhǔn)即將正式實(shí)施,使得用戶面臨著更嚴(yán)格的全流程監(jiān)管、更嚴(yán)謹(jǐn)?shù)臏y評標(biāo)準(zhǔn),新標(biāo)準(zhǔn)下的安全建設(shè)更具挑戰(zhàn):

1、缺乏應(yīng)對新形勢、新環(huán)境的頂層設(shè)計(jì)規(guī)劃

不少組織正在加快數(shù)字化轉(zhuǎn)型,然而數(shù)字化轉(zhuǎn)型速度也導(dǎo)致不少組織缺乏中、長期的信息安全規(guī)劃:如重要與非重要系統(tǒng)沒有區(qū)分、內(nèi)外網(wǎng)區(qū)分不夠嚴(yán)格、安全技術(shù)體系不夠完善、安全管理體系跟不上等問題。且整體安全規(guī)劃不足,倉促投入,建設(shè)規(guī)劃沒有前瞻性、缺乏可操作性和持續(xù)性。

此外,《網(wǎng)絡(luò)安全法》的實(shí)施和等保2.0時代的來臨,組織需要建立符合組織實(shí)際的“一中心三防護(hù)”的整體安全架構(gòu)。

2、安全事件頻發(fā) ,現(xiàn)有安全技術(shù)保障能力亟待提高

近年來信息安全事件頻繁爆發(fā),導(dǎo)致不少組織蒙受巨大的榮譽(yù)、經(jīng)濟(jì)利益等損失,零散采購一些安全設(shè)備和“碎片化”的安全防護(hù)已經(jīng)不能滿足要求,需要加大投入,更體系化地建設(shè)安全。

此外網(wǎng)絡(luò)攻擊變得復(fù)雜,變得更加隱蔽,手段更加高明,使得靜態(tài)防御失效,防御體系容易被繞過。因此需提高持續(xù)的安全檢測能力以及及時的響應(yīng)能力。

3、信息化人員不足,安全管理不到位

隨著數(shù)字化轉(zhuǎn)型的發(fā)展,業(yè)務(wù)和資產(chǎn)增多,安全人員普遍不足的情況下,要承擔(dān)大量的日常安全管理工作,工作壓力大。且由于組織信息化管理職能定位不清,崗位角色混淆,信息化人員安全意識的淡薄,管理制度的不完善,出現(xiàn)著來自內(nèi)部的人為失誤或蓄意破壞、信息竊取。以勒索病毒爆發(fā)為例,不少典型安全事件源于簡單漏洞和管理制度落實(shí)不到位,導(dǎo)致數(shù)據(jù)不可用、業(yè)務(wù)中斷。

因此,組織需要完善的措施輔助安全管理制度的落實(shí)執(zhí)行。

基于等保2.0要求的安全建設(shè)思路

1、構(gòu)建主動防御安全體系頂層設(shè)計(jì)規(guī)劃

按照最新的等級保護(hù)2.0和《網(wǎng)絡(luò)安全法》要求、統(tǒng)籌規(guī)劃安全建設(shè),合理規(guī)劃安全域、建立有效的安全技術(shù)保障體系、完善安全管理體系的建設(shè)。構(gòu)建“一個中心、三重防護(hù)”保障的主動防御安全體系(一個中心是指安全管理中心,三重防護(hù)由安全計(jì)算環(huán)境、安全區(qū)域邊界以及安全通信網(wǎng)絡(luò)組成)。

▲主動防御安全體系頂層設(shè)計(jì)規(guī)劃

2、構(gòu)建“智能/防御/檢測/響應(yīng)/運(yùn)營”的安全能力

本著建立真正有效的安全防護(hù)體系的原則,構(gòu)建“智能/防御/檢測/響應(yīng)/運(yùn)營”的安全能力。使安全防護(hù)體系不再是簡單的堆疊防御手段。既能滿足等級保護(hù)2.0要求,又能充分發(fā)揮安全防護(hù)體系的有效性,抵御新威脅,切實(shí)的解決安全問題,減少事故發(fā)生的概率。

▲“智能/防御/檢測/響應(yīng)/運(yùn)營”的安全能力

3、簡單有效安全管理新模式

建立統(tǒng)一的信息安全管理體系,落實(shí)各項(xiàng)管理制度,讓組織的安全管理體系,有宏觀的設(shè)計(jì)、有清晰的責(zé)任權(quán)限、有合理的制度要求。同時應(yīng)用包括安全可視化、統(tǒng)一運(yùn)維管理的創(chuàng)新的技術(shù)手段,簡化安全運(yùn)維管理,減輕安全運(yùn)維管理的負(fù)擔(dān),提升安全運(yùn)維管理的效率,最終做到整體防御、分區(qū)隔離;積極防護(hù)、內(nèi)外兼防;自身防御、主動免疫;縱深防御、技管并重。

▲簡單有效的安全管理新模式

深信服等級保護(hù)2.0解決方案提倡“持續(xù)保護(hù)、不止合規(guī)”的價值主張,在滿足國家法律法規(guī)和標(biāo)準(zhǔn)體系的前提下,通過“一個中心、三重防護(hù)”的安全架構(gòu)設(shè)計(jì),幫助用戶滿足等保2.0和《網(wǎng)絡(luò)安全法》的合規(guī)要求。此外,方案基于深信服APDRO(智能/防御/檢測/響應(yīng)/運(yùn)營)能力模型,結(jié)合人工智能、大數(shù)據(jù)、終端檢測響應(yīng)等前沿安全技術(shù),能夠?qū)崿F(xiàn)對未知攻擊、潛伏威脅的檢測與防御,為用戶構(gòu)建以技術(shù)、管理和運(yùn)營三大安全體系為目標(biāo)的可運(yùn)營的智能化安全體系,讓等級保護(hù)對象具備安全可視、持續(xù)檢測、協(xié)同防御的能力。

▲深信服等級保護(hù)2.0建設(shè)規(guī)劃框架

xiesc