聚焦政务云网络安全审查（下）

　　近期，中央网络安全与信息化领导小组办公室网站对外公布了《关于加强党政部门云计算服务网络安全管理的意见》（中网办发文[2014]14号）（以下简称《意见》），重点从充分认识加强党政部门云计算服务网络安全管理的必要性、明确党政部门云计算服务网络安全管理的基本要求、合理确定采用云计算服务的数据和业务范围、统一组织党政部门云计算服务网络安全审查、加强云计算服务过程的持续指导和监督以及强化保密审查和安全意识培养六个方面梳理对党政部门采购使用云计算服务提出了管理要求。

　　突出风险管控

　　明确“四不”基本原则

　　《意见》指出，党政部门采购云计算服务有利于提高资源利用率和为民服务效率与水平，但同时，安全风险也很突出：用户对数据、系统的控制管理能力减弱；安全责任不明确，一些单位可能由于数据和业务的外包而放松安全管理；云计算平台更加复杂，风险和隐患增多，控制和监管手段不足；云计算平台间的操作和移植比较困难，用户数据和业务迁移到云计算平台后容易形成对云服务商的过度依赖。

　　因此，各级党政部门务必高度重视，增强风险意识、责任意识，切实加强采购和使用云计算服务过程中的网络安全管理。

　　《意见》要求，在采购云计算服务过程中，党政部门应通过合同等手段要求为其提供云计算服务的服务商遵守“四不”原则，即安全管理责任不变、数据归属关系不变、安全管理标准不变、敏感信息不出境。

　　厘清应用范围

　　明确要求“先审后用”

　　《意见》要求合理确定采用云计算服务的数据和业务范围。党政部门要参照《信息安全技术 云计算服务安全指南》等国家标准，对数据的敏感程度、业务的重要性进行分类，全面分析、综合平衡采用云计算服务后的安全风险和效益，科学规划和确定采用云计算服务的数据、业务范围和进度安排。

　　对于包含大量敏感信息和公民隐私信息、直接影响党政机关运转和公众生活工作的关键业务，应在确保安全的前提下再考虑向云计算平台迁移。

　　对于安全保护等级四级以上的信息系统，以及一旦出现问题可能造成重大经济损失，甚至危害国家安全的业务不宜采用社会化云计算服务。

　　值得关注的是，《意见》指出，中央网信办将会同有关部门建立云计算服务安全审查机制，统一组织党政部门云计算服务网络安全审查，并要求党政部门采购云计算服务时，应逐步通过采购文件或合同等手段，明确要求服务商应通过安全审查。同时，鼓励重点行业优先采购和使用通过安全审查的服务商提供的云计算服务。

　　此外，《意见》还就加强云计算服务过程的持续指导和监督以及强化保密审查和安全意识培养等问题作出要求。

　　电子政务网络安全六大新挑战

　　一是网络结构体系日益复杂给安全带来的挑战，“百密一疏”问题难以解决。网络通信、服务器、安全防护等软硬件产品的配置管理就是一个不小的问题，配置不合理就可能导致安全漏洞，攻击威胁便可乘虚而入。

　　二是消除服务器、网络设备自身存在的安全漏洞和潜伏的木马程序给集中化安全管理带来新的挑战。信息中心小规模管理模式查找漏洞、修补漏洞、查杀木马病毒相对容易，而云计算环境下的病毒木马查杀方式可能会发生变化，云平台下的网络安全防护体系需要进一步探索优化。

　　三是云平台和应用繁多致使APP应用在网络安全审查把关方面面临新挑战。目前，APP应用安全检测与审核工作尚未广泛开展，就像新建系统要做安全测评一样，新上线APP应用也应该做安全测评和审查备案，因为App应用软件很容易被恶意代码绑架，成为木马病毒传播和泄密、窃密的途径，云平台等新系统中的应用安全和数据内容安全成为关注重点。

　　四是持续不断的侦察窃密等各种网络攻击以及对集中化、高带宽、多应用环境下的入侵行为给现有监测和防御（IDS、IPS）手段带来巨大挑战。目前，市场销售的IDS（入侵检测系统）产品大都处理能力不高，攻击威胁发现的误报率、漏报率问题十分严重，采购部署这类产品前有必要请专业安全机构进行验证性测试，否则达不到网络“摄像头”的效果。

　　五是云环境下的分布式数据库管理能力给大数据威胁分析和有效安全管理带来新的挑战。网络“摄像头”发现威胁是基础，大数据分析威胁是关键。传统意义上的结构化数据库，在云计算环境下显得有些力不从心了，亟待云平台下的非结构化、半结构化的数据库管理系统或相应中间件数据管理软件来支撑大数据威胁分析。

　　六是发挥虚拟机在云平台环境下特殊安全作用的同时，研究解决虚拟机自身安全保护问题。

（李京春）

　　解决办法

　　多部门联合 主动应对威胁

　　在电子政务项目中，相关政府集中采购主管部门需要与安全测评专业机构进一步加强深度合作、联动。

　　如何发现新威胁？防范新威胁？应对新威胁？这不是一部门能解决的事情，也不是靠市场化机制能化解的，而是需要多种机制、手段配合，需要多个部门联合协同处理。

　　“头痛医头，脚痛治脚”，只靠打补丁式的防护理念，却不从病根上做手术是解决不了问题的。为此，我们呼吁要纵深防御，动态防御！要自主创新，安全可控，安全可信！

　　（李京春）

　　强调自主创新 保证安全可控

　　自主创新非常关键，困难再多也要坚定不移地走下去，这样才能解决“根子”上的问题。但是，需要注意三点：首先，自主不等于安全。自主便于控制安全，出现问题便于改正。“自主”体现民族志气，更能体现一个国家对人类的贡献和价值；其次，不是全自主就可控。在产品供应链上不可能做到全自主。有的所谓“国产”品牌看似自主，但核心、关键技术却并不掌握在自己手里；第三，“安全可控”中的“安全”和“可控”是并列关系，是两种不同要求。安全性要求易于理解，产品/系统有漏洞则不安全。而“可控性”要求相对难于表达清楚，许多层面都需要“可控性”来保证。

　　（李京春）

　　转变观念 建立动态防护体系

　　自主创新需要转变观念，拓展思路。一是学习国外先进技术和经验做法。特别是在产业基础层面、关键核心技术层面加大研发和投入，加强顶层设计、培养生态环境；二是在网络安全保障思想和方式、方法等方面转变理念。网络对抗、网络攻防、技术博弈仅靠“标准符合性”、“过程导向”理念去防护问题、解决安全问题是不够的，太机械、太教条，缺乏灵活机动的战略战术。应活学活用“麻雀战”、“游击战”等战术，用毛泽东思想和灵活多变的战术战法武装我们的网络，构建“动态防护”、“纵深防护”体系；三是吸引人才，培养人才、惠及人才，为他们创造良好的工作氛围和工作条件，建立多国技术专家合作的联合实验室，共同分析各种攻击威胁和侦查窃密，形成合作攻研、技术共享、保密可控的工作机制。通过技术学习、项目合作，达到加快自主创新的目的。

　　（李京春）