如何保障關鍵信息基礎設施安全？聽聽業內大咖們怎么說

　　經濟日報-中國經濟網天津9月18日訊 關鍵信息基礎設施是經濟社會運行的神經中樞，是網絡安全的重中之重。然而，基礎設施中系統的大規模集成、互聯使得基礎設施的脆弱性和安全威脅不再是簡單的線性疊加，在有組織的、高強度攻擊面前，關鍵信息基礎設施面臨著巨大挑戰，因此，目前亟待建立可知可信、可管可控、智能防護的網絡安全體系。隨著《網絡安全法》等相關法律政策的出臺，針對關鍵信息基礎設施的安全風險進行檢測評估也勢在必行。

圖為國家網絡安全宣傳周“關鍵信息基礎設施安全保護論壇”現場。

　　9月17日，2019國家網絡安全宣傳周“關鍵信息基礎設施安全保護論壇”在天津舉行。本次論壇以“關鍵信息基礎設施安全保護與檢查評估”為主題，由天津市網信辦主辦、國家計算機網絡應急技術處理協調中心承辦，國家計算機網絡應急技術處理協調中心天津分中心和奇安信集團協辦。與會專家從政策、防護技術和行業實踐等多方面展開，全面介紹我國當前關鍵信息基礎設施保護和檢查工作政策、標準、實踐等內容，探討在金融、能源、電力、通信、交通等領域關鍵信息基礎設施面臨的最新變化。

　　“通過技術與管理手段相結合，構建關鍵信息基礎設施安全管理秩序，維護網絡空間有序運行。”國家互聯網應急中心關鍵信息基礎設施安全保護專家楊鵬表示，一方面，需綜合運用管理、技術、法律、宣傳等手段，加強內部自身能力建設，如圍繞識別、保護、監測、預警、檢測、響應、處置等環節，建立與管理思路配套的技術平臺；另一方面，建設分層次防御體系，依托全社會力量，構建關鍵信息基礎設施外部保護屏障。

　　根據銀行業關鍵信息基礎設施安全保護的實踐經驗，中國人民銀行網絡安全專家袁慧萍認為，關鍵信息基礎設施保護應從五個方向入手，如堅持自主可控，持續改進風險管理模式，健全跨部門互聯網協同安全體系，持續完善配置基線檔案管理制度體系形成等保測評問題整改長效機制，關注終端安全管理等。

　　“超過85%的網絡安全事件威脅來自終端，對于終端安全的管理需要更加關注，建立一體化終端安全管理系統，統一策略管控、統一資產管理、統一數據展示。實現國產化、一體化、策略化、強準化、可視化。”袁慧萍表示。

　　奇安信安全專家韓永剛則認為，網絡空間面臨的安全問題與過去不同，對手組織化、環境“云”化、目標數據化、戰法實戰化。當前新一代信息化建設以數據共享為基礎數據與業務應用成為攻擊者的新目標。

　　“網絡安全不再是創口貼、檢查者，而是幫助業務進行準備、做好業務支持的角色，”韓永剛表示，網絡安全需進化到內生安全時代，將安全能力構建在關鍵基礎設施單位內部的信息化環境與業務系統上，從而保證信息化環境生長出安全能力，實現自適應、自主、自成長。“通過‘關口前移’，實現安全與信息化的深度結合和全面覆蓋，構建信息化系統的“內生安全”能力，為信息化投資和業務運營提供保障。”

　　國家互聯網應急中心網絡安全檢查測評專家陳亮表示，在落實關鍵信息基礎設施網絡安全檢查中，應避免可能出現的檢查對象不清、監管職責模糊、檢查交叉重復、走形式走過場、只檢查不負責等問題，各行業主管部門應依據《網絡安全法》認真梳理自有(含下屬單位)及主管監管范圍內的網絡運營者，組織開展抽查檢，確定檢查對象、明確檢查事項、實施檢查人員，可視工作需要委托專業檢查服務機構開展網絡安全檢查。

　　論壇同期還發布了關鍵信息基礎設施安全檢查評估技術支撐平臺。這一平臺由國家互聯網應急中心組織研發，通過資產管理、脆弱性評估、威脅檢測等手段完成關鍵信息基礎設施的安全檢查、風險評估、可視化呈現。同時，通過與國家監測平臺的威脅情報、知識庫對接，動態實時的完成應急協同、威脅情報接入、信息流轉、防護規則更新等信息交換，做到關鍵信息基礎設施網絡安全風險的快速發現和處置協同閉環，幫助關鍵信息基礎設施及時發現網絡威脅，提升關鍵信息基礎設施網絡安全檢查評估能力。