網(wǎng)絡安全等級保護制度2.0(簡稱等保2.0)國家標準即將在2019年12月1日起正式實施,核心標準包括《信息安全技術 網(wǎng)絡安全等級保護基本要求》、《信息安全技術 網(wǎng)絡安全等級保護測評要求》、《信息安全技術 網(wǎng)絡安全等級保護安全設計技術要求》三大核心標準文件。

自《網(wǎng)絡安全法》正式施行以來,監(jiān)管部門對政府、金融、教育等各行業(yè)的網(wǎng)絡安全保衛(wèi)工作日益重視。部分未落實等保的組織面臨被有關部門責令整改、行政處罰、暫停注冊、暫停運營等處罰。那么在面對網(wǎng)絡安全等級保護制度2.0國家標準正式實施這樣的“大考”,組織該如何應對?

等保2.0下用戶安全建設挑戰(zhàn)

網(wǎng)絡安全等級保護制度2.0國家標準即將正式實施,使得用戶面臨著更嚴格的全流程監(jiān)管、更嚴謹?shù)臏y評標準,新標準下的安全建設更具挑戰(zhàn):

1、缺乏應對新形勢、新環(huán)境的頂層設計規(guī)劃

不少組織正在加快數(shù)字化轉型,然而數(shù)字化轉型速度也導致不少組織缺乏中、長期的信息安全規(guī)劃:如重要與非重要系統(tǒng)沒有區(qū)分、內(nèi)外網(wǎng)區(qū)分不夠嚴格、安全技術體系不夠完善、安全管理體系跟不上等問題。且整體安全規(guī)劃不足,倉促投入,建設規(guī)劃沒有前瞻性、缺乏可操作性和持續(xù)性。

此外,《網(wǎng)絡安全法》的實施和等保2.0時代的來臨,組織需要建立符合組織實際的“一中心三防護”的整體安全架構。

2、安全事件頻發(fā) ,現(xiàn)有安全技術保障能力亟待提高

近年來信息安全事件頻繁爆發(fā),導致不少組織蒙受巨大的榮譽、經(jīng)濟利益等損失,零散采購一些安全設備和“碎片化”的安全防護已經(jīng)不能滿足要求,需要加大投入,更體系化地建設安全。

此外網(wǎng)絡攻擊變得復雜,變得更加隱蔽,手段更加高明,使得靜態(tài)防御失效,防御體系容易被繞過。因此需提高持續(xù)的安全檢測能力以及及時的響應能力。

3、信息化人員不足,安全管理不到位

隨著數(shù)字化轉型的發(fā)展,業(yè)務和資產(chǎn)增多,安全人員普遍不足的情況下,要承擔大量的日常安全管理工作,工作壓力大。且由于組織信息化管理職能定位不清,崗位角色混淆,信息化人員安全意識的淡薄,管理制度的不完善,出現(xiàn)著來自內(nèi)部的人為失誤或蓄意破壞、信息竊取。以勒索病毒爆發(fā)為例,不少典型安全事件源于簡單漏洞和管理制度落實不到位,導致數(shù)據(jù)不可用、業(yè)務中斷。

因此,組織需要完善的措施輔助安全管理制度的落實執(zhí)行。

基于等保2.0要求的安全建設思路

1、構建主動防御安全體系頂層設計規(guī)劃

按照最新的等級保護2.0和《網(wǎng)絡安全法》要求、統(tǒng)籌規(guī)劃安全建設,合理規(guī)劃安全域、建立有效的安全技術保障體系、完善安全管理體系的建設。構建“一個中心、三重防護”保障的主動防御安全體系(一個中心是指安全管理中心,三重防護由安全計算環(huán)境、安全區(qū)域邊界以及安全通信網(wǎng)絡組成)。

▲主動防御安全體系頂層設計規(guī)劃

2、構建“智能/防御/檢測/響應/運營”的安全能力

本著建立真正有效的安全防護體系的原則,構建“智能/防御/檢測/響應/運營”的安全能力。使安全防護體系不再是簡單的堆疊防御手段。既能滿足等級保護2.0要求,又能充分發(fā)揮安全防護體系的有效性,抵御新威脅,切實的解決安全問題,減少事故發(fā)生的概率。

▲“智能/防御/檢測/響應/運營”的安全能力

3、簡單有效安全管理新模式

建立統(tǒng)一的信息安全管理體系,落實各項管理制度,讓組織的安全管理體系,有宏觀的設計、有清晰的責任權限、有合理的制度要求。同時應用包括安全可視化、統(tǒng)一運維管理的創(chuàng)新的技術手段,簡化安全運維管理,減輕安全運維管理的負擔,提升安全運維管理的效率,最終做到整體防御、分區(qū)隔離;積極防護、內(nèi)外兼防;自身防御、主動免疫;縱深防御、技管并重。

▲簡單有效的安全管理新模式

深信服等級保護2.0解決方案提倡“持續(xù)保護、不止合規(guī)”的價值主張,在滿足國家法律法規(guī)和標準體系的前提下,通過“一個中心、三重防護”的安全架構設計,幫助用戶滿足等保2.0和《網(wǎng)絡安全法》的合規(guī)要求。此外,方案基于深信服APDRO(智能/防御/檢測/響應/運營)能力模型,結合人工智能、大數(shù)據(jù)、終端檢測響應等前沿安全技術,能夠?qū)崿F(xiàn)對未知攻擊、潛伏威脅的檢測與防御,為用戶構建以技術、管理和運營三大安全體系為目標的可運營的智能化安全體系,讓等級保護對象具備安全可視、持續(xù)檢測、協(xié)同防御的能力。

▲深信服等級保護2.0建設規(guī)劃框架

xiesc