摘要：新標(biāo)準(zhǔn)的《網(wǎng)絡(luò)安全等級保護(hù)》于2019年12月1日正式實(shí)施。與此同時，各地政府紛紛推出政務(wù)云開始啟用公共服務(wù)云服務(wù)，要求各單位將公共服務(wù)系統(tǒng)逐步遷移到政務(wù)云上。面對新的標(biāo)準(zhǔn)、新的環(huán)境，院校等保工作還要不要做、怎么做？本文對此進(jìn)行了探討，提出了建設(shè)方案。

關(guān)鍵詞：等級保護(hù);信息安全;政務(wù)網(wǎng);校園網(wǎng)

一、等級保護(hù)建設(shè)的必要性與等保2.0建設(shè)步驟

（一）網(wǎng)絡(luò)安全法要求必須進(jìn)行等級保護(hù)建設(shè)

2017年6月開始施行的《中華人民共和國網(wǎng)絡(luò)安全法》第21條明確規(guī)定了“國家實(shí)行網(wǎng)絡(luò)安全等級保護(hù)制度，網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護(hù)制度要求，履行安全保護(hù)義務(wù)”。電信、移動、聯(lián)通、廣電這些傳統(tǒng)的網(wǎng)絡(luò)運(yùn)營商肯定是網(wǎng)絡(luò)運(yùn)營者。學(xué)校建設(shè)有校園網(wǎng)，為廣大師生提供互聯(lián)網(wǎng)接入服務(wù)，包括提供無網(wǎng)接入服務(wù)。建有網(wǎng)站、同時有許多應(yīng)用系統(tǒng)，有些應(yīng)用部署在互聯(lián)網(wǎng)上，有些部署在校園網(wǎng)上。學(xué)校算不算網(wǎng)絡(luò)運(yùn)營者？《網(wǎng)絡(luò)安全法》第七十六條明確指出：網(wǎng)絡(luò)運(yùn)營者，是指網(wǎng)絡(luò)的所有者、管理者和網(wǎng)絡(luò)服務(wù)提供者。學(xué)校既是網(wǎng)絡(luò)的所有者、管理者也是網(wǎng)絡(luò)服務(wù)提供者，肯定屬于網(wǎng)絡(luò)運(yùn)營，因此，必須進(jìn)行《網(wǎng)絡(luò)安全等級保護(hù)》建設(shè)。

（二）等級保護(hù)2.0建設(shè)流程

等級保護(hù)建設(shè)流程一般分為5個步驟：定級、備案、整改（建設(shè)）、測評、監(jiān)督檢查。

1.系統(tǒng)定級

信息系統(tǒng)分為涉密與非涉密。涉密系統(tǒng)國家有專門規(guī)定（分保建設(shè)），這里不進(jìn)行討論。以下所指信息系統(tǒng)除特別說明，皆指非涉密信息系統(tǒng)。對非涉密系統(tǒng)，根據(jù)系統(tǒng)的重要性和遭受損壞后所造成的危害性分成5個安全保護(hù)等級。一級防護(hù)水平最低，最高為五級。一級至五級分別是：用戶自主保護(hù)級、系統(tǒng)審計(jì)保護(hù)級、安全標(biāo)記保護(hù)級、結(jié)構(gòu)化保護(hù)級和訪問驗(yàn)證保護(hù)級。需要注意的是，一家單位一般擁有多個信息系統(tǒng)，這些系統(tǒng)的安全等級可能不同，我們一般是按照其中最高等級要求來進(jìn)行等級保護(hù)建設(shè)工作。一級系統(tǒng)遭受損壞后，所造成影響較小，只對公民、法人和其他組織造成損壞，不損害國家安全、社會秩序和公共利益。一般適用于中小學(xué)及小型企業(yè)或個人。二級系統(tǒng)遭受損壞后，所造成影響較大，對公民、法人和其他組織造成嚴(yán)重?fù)p害，或?qū)ι鐣刃蚝凸怖嬖斐蓳p害，但不損害國家安全。一般適用地市級以上國家機(jī)關(guān)、企事業(yè)單位內(nèi)部一般的信息系統(tǒng)。三級及三級以上信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴(yán)重（四級及以上造成特別嚴(yán)重）損害，或者對國家安全造成損害（四級嚴(yán)重?fù)p害、五級特別嚴(yán)重?fù)p害）。

各單位就根據(jù)信息系統(tǒng)定級的原則：“自主定級、專家評審、主管部門審批、公安機(jī)關(guān)審核”，進(jìn)行定級。一般的地市級黨校（院校）應(yīng)該定為二級或三級。

2.備案

定級為二級以上的信息系統(tǒng)，由使用單位信息安全負(fù)責(zé)人填寫《信息系統(tǒng)安全等級保護(hù)備案表》，單位蓋章后到所在地設(shè)區(qū)的市級以上公安網(wǎng)安部門辦理備案手續(xù)。

3.整改（建設(shè)）

根據(jù)網(wǎng)絡(luò)安全法及相關(guān)文件要求，網(wǎng)絡(luò)安全與信息化建設(shè)必須“統(tǒng)一謀劃、統(tǒng)一部署、統(tǒng)一推進(jìn)、統(tǒng)一實(shí)施”。也就是說信息系統(tǒng)（包括系統(tǒng)的安全測評在內(nèi)）的安全建設(shè)必須與信息系統(tǒng)同步設(shè)計(jì)、同步建設(shè)、同步開通。但實(shí)際許多單位前期并沒有嚴(yán)格按照此規(guī)定執(zhí)行。往往是網(wǎng)絡(luò)（系統(tǒng)）建設(shè)在先，安全建設(shè)在后。甚至有許多單位由于對信息安全重視不夠，同時缺少資金，網(wǎng)絡(luò)（系統(tǒng)）開通運(yùn)營幾年后，網(wǎng)絡(luò)（系統(tǒng)）安全建設(shè)還沒有完成，這是極不規(guī)范的，容易出現(xiàn)重大網(wǎng)絡(luò)安全事故。當(dāng)一個單位的安全等級確定后，必須根據(jù)相關(guān)法律法規(guī)及相關(guān)標(biāo)準(zhǔn)對照檢查，開展安全建設(shè)整改。有許多同志認(rèn)識上存在誤區(qū)，一是錯誤地認(rèn)為系統(tǒng)遷移到政務(wù)云上后，系統(tǒng)安全由云端負(fù)責(zé)，而云端一般是已經(jīng)通過等保三級測評的，因此對系統(tǒng)的安全業(yè)主可以不必承擔(dān)責(zé)任。二是錯誤地認(rèn)為學(xué)校因?yàn)橹皇Ｏ聻閿?shù)不多的系統(tǒng)，極端情況下可能只剩下接入網(wǎng)。因此，只要做一些訪問策略防護(hù)即可，沒有必須進(jìn)行等保建設(shè)。

政務(wù)云是通過了等保三級測評，但是測評是對云及其網(wǎng)絡(luò)環(huán)境所進(jìn)行的。云端只負(fù)責(zé)云及相關(guān)網(wǎng)絡(luò)的安全。在云端部署的系統(tǒng)的安全責(zé)任仍由系統(tǒng)所屬單位負(fù)責(zé)。如，學(xué)校將學(xué)校網(wǎng)站遷移到云端后，網(wǎng)站所用虛擬服務(wù)器、操作系統(tǒng)、網(wǎng)絡(luò)的安全由云端負(fù)責(zé)。但網(wǎng)站本身的安全包括內(nèi)容安全、網(wǎng)頁防篡改、后臺訪問等一系列安全問題仍由學(xué)校負(fù)責(zé)。而且這些安全實(shí)施起來和傳統(tǒng)的不同，涉及的技術(shù)將更加復(fù)雜。

學(xué)校將系統(tǒng)遷移到云端后，學(xué)校仍有一部分系統(tǒng)無法遷移，至少存在接入網(wǎng)絡(luò)。等保建設(shè)不但涉及系統(tǒng)，新的2.0標(biāo)準(zhǔn)將網(wǎng)絡(luò)（包括接入網(wǎng)絡(luò)）也納入了測評范圍。同時，等保還涉及大量軟環(huán)境的建設(shè)，包括安全組織、制度等等。

因此，系統(tǒng)遷移到云端后，等保建設(shè)照樣要進(jìn)行。同時，由于涉及多方，建設(shè)的復(fù)雜性可能更高，所投入資金也不一定就會更少。

4.測評

由業(yè)主單位聘請有測評資質(zhì)的單位依據(jù)《信息系統(tǒng)安全等級保護(hù)基本要求》等技術(shù)標(biāo)準(zhǔn)，開展等級保護(hù)測評。實(shí)際操作時，因測評是按測評的系統(tǒng)數(shù)量進(jìn)行收費(fèi)的，一般選取單位2—3個重要或有代表性的系統(tǒng)進(jìn)行測評。三級及以上系統(tǒng)每年必須測評一次。

5.監(jiān)督檢查

公安機(jī)關(guān)會定期開展監(jiān)督、檢查、指導(dǎo)。業(yè)主單位也應(yīng)該按照安全要求加強(qiáng)信息系統(tǒng)的運(yùn)行管理與監(jiān)控。

（三）等保2.0的一些新特點(diǎn)

1.名稱發(fā)生變化。原來等保的全稱叫“信息系統(tǒng)安全等級保護(hù)”，現(xiàn)在稱為“網(wǎng)絡(luò)安全等級保護(hù)”，這樣的叫法和“網(wǎng)絡(luò)安全法”中的相關(guān)條文相一致。

2.新標(biāo)準(zhǔn)在內(nèi)容有增加。特別強(qiáng)調(diào)了云計(jì)算、移動互聯(lián)、物聯(lián)網(wǎng)和工業(yè)控制系統(tǒng)安全擴(kuò)展要求。

3.新標(biāo)準(zhǔn)的控制措施分類調(diào)整為8個（舊標(biāo)準(zhǔn)為10個）。

4.新標(biāo)準(zhǔn)在控制點(diǎn)和要求項(xiàng)上也有所縮減。

5.新標(biāo)準(zhǔn)在技術(shù)部分提出了更具體措施。

二、原環(huán)境下的網(wǎng)絡(luò)結(jié)構(gòu)與等保方案

（一）原校園網(wǎng)絡(luò)結(jié)構(gòu)

原校園網(wǎng)一般是以核心交換機(jī)為中心，向下通過光纖連接匯聚交換機(jī)，再通過接入交換機(jī)連接各終端。向上（外）通過路由器經(jīng)專線連接至Internet。同時，學(xué)校還通過專有線路接入政務(wù)內(nèi)網(wǎng)（與互聯(lián)網(wǎng)物理隔離）。網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)如圖1。

（二）原網(wǎng)絡(luò)結(jié)構(gòu)等級保護(hù)需重點(diǎn)考慮的區(qū)域

在原網(wǎng)絡(luò)結(jié)構(gòu)下，等保建設(shè)時主要考慮以下區(qū)域：

1.有線接入?yún)^(qū)

一般的在有線接入?yún)^(qū)邊界部署1臺下一代防火墻進(jìn)行網(wǎng)絡(luò)邊界的安全防護(hù)。主要實(shí)現(xiàn)：（1）邊界防護(hù)：保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進(jìn)行通信;（2）訪問控制：①在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，默認(rèn)情況下除允許通信外受控接口拒絕所有通信;②刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化;③對源地址、目的地址、源端口、目的端口和協(xié)議等進(jìn)行檢查，以允許/拒絕數(shù)據(jù)包進(jìn)出;④根據(jù)會話狀態(tài)信息為進(jìn)出數(shù)據(jù)流提供明確的允許/拒絕訪問的能力;⑤對進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流實(shí)現(xiàn)基于應(yīng)用協(xié)議和應(yīng)用內(nèi)容的訪問控制。（3）入侵防范：①在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為;②在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為;③當(dāng)檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目標(biāo)、攻擊時間，在發(fā)生嚴(yán)重入侵事件時應(yīng)提供報(bào)警。（4）惡意代碼防范：在網(wǎng)絡(luò)邊界處對惡意代碼進(jìn)行檢測和清除;維護(hù)惡意代碼庫的升級和檢測系統(tǒng)的更新。

2.無線接入?yún)^(qū)

同樣的在無線接入邊界也部署1臺防火墻，實(shí)現(xiàn)無線網(wǎng)絡(luò)的安全，同時需要部署無線認(rèn)證系統(tǒng)，通常通過短信認(rèn)證的方式實(shí)現(xiàn)。

3.內(nèi)網(wǎng)服務(wù)器區(qū)

在內(nèi)網(wǎng)服務(wù)器區(qū)邊界部署1臺數(shù)據(jù)中心防火墻，能夠防御來自內(nèi)外部的Web威脅。防止各類入侵攻擊手段，防止針對Web服務(wù)的例如SQL注入，跨站腳本攻擊，網(wǎng)頁篡改等攻擊。能夠監(jiān)控網(wǎng)絡(luò)內(nèi)的Web業(yè)務(wù)的安全運(yùn)行，全面把握安全狀態(tài)，以便于及時的發(fā)現(xiàn)安全攻擊，防止安全事件的發(fā)生。在內(nèi)網(wǎng)服務(wù)器區(qū)部署終端檢測響應(yīng)系統(tǒng)，并在各個終端、服務(wù)器上安裝輕量級的代理客戶端，能夠?qū)Σ《拒浖M(jìn)行管控，同時實(shí)現(xiàn)對于主機(jī)安全-惡意代碼防范的要求?？梢蕴峁╆P(guān)于病毒威脅和事件的監(jiān)控、審計(jì)日志，為全網(wǎng)的病毒防護(hù)管理提供必要的信息，保障終端、服務(wù)器的安全。

4.運(yùn)維管理區(qū)

在進(jìn)行等保建設(shè)時一般會增加一個專門的安全運(yùn)維管理理區(qū)。通過部署日志審計(jì)系統(tǒng)、運(yùn)維堡壘機(jī)、數(shù)據(jù)庫審計(jì)系統(tǒng)、漏洞掃描系統(tǒng)等滿足等保合規(guī)類要求。其中日志審計(jì)主要實(shí)現(xiàn)：（1）審計(jì)管理：①對審計(jì)管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行安全審計(jì)操作，并對這些操作進(jìn)行審計(jì);②通過審計(jì)管理員對審計(jì)記錄應(yīng)進(jìn)行分析，并根據(jù)分析結(jié)果進(jìn)行處理，包括根據(jù)安全審計(jì)策略對審計(jì)記錄進(jìn)行存儲、管理和查詢等。（2）集中管理：對分散在各個設(shè)備上的審計(jì)數(shù)據(jù)進(jìn)行收集匯總和集中分析，并保證審計(jì)記錄的留存時間符合法律法規(guī)要求。

三、新環(huán)境下的網(wǎng)絡(luò)結(jié)構(gòu)與等保方案

新環(huán)境指的是系統(tǒng)遷移到云后的網(wǎng)絡(luò)環(huán)境。

（一）新環(huán)境下的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)

新環(huán)境下，院校至少應(yīng)有兩張網(wǎng)。一張政務(wù)內(nèi)網(wǎng)（辦公網(wǎng)），其與互聯(lián)網(wǎng)要求物理隔離。另一張為傳統(tǒng)的校園網(wǎng)。

首先根據(jù)相關(guān)文件要求，各單位的辦公電腦（辦公網(wǎng)）必須與互聯(lián)網(wǎng)物理隔離。一般的政務(wù)內(nèi)網(wǎng)（政府辦公網(wǎng)）提供有功能強(qiáng)大的OA。業(yè)主單位可以將辦公網(wǎng)接入政務(wù)內(nèi)網(wǎng)，利用他們的OA組建自己的辦公系統(tǒng)，無需部署單獨(dú)的OA系統(tǒng)。

政務(wù)云與互聯(lián)網(wǎng)邏輯隔離，各單位一般通過政府外網(wǎng)專線接入政務(wù)云。政務(wù)云一般分有三個區(qū)：互聯(lián)網(wǎng)區(qū)、專網(wǎng)區(qū)、公共區(qū)。

互聯(lián)網(wǎng)區(qū)主要部署面向公眾的應(yīng)用系統(tǒng)。普通公眾通過互聯(lián)網(wǎng)進(jìn)行訪問。典型的如網(wǎng)站，網(wǎng)站可以有自己獨(dú)立的域名。

專網(wǎng)區(qū)主要部署本單位的應(yīng)用系統(tǒng)。只有本單位特定用戶才能訪問，普通用戶是無法訪問的?？梢酝ㄟ^VPN或?qū)＞W(wǎng)進(jìn)行連接。典型的應(yīng)用，如校園的錄播系統(tǒng)，只允許校內(nèi)用戶訪問。

公共區(qū)主要部署幾個單位共用的應(yīng)用系統(tǒng)。只有特定單位的特定用戶才能訪問。一般通過政務(wù)專網(wǎng)進(jìn)行連接。典型應(yīng)用如院校的教務(wù)系統(tǒng)，除了校內(nèi)用戶訪問外，組織部的相關(guān)科室也能夠訪問。

有些應(yīng)用較為復(fù)雜，如，培訓(xùn)管理。其中有些功能需要開放給普通用戶，如網(wǎng)上報(bào)名。有些功能只開放給管理者，如，教學(xué)安排等。這樣的應(yīng)用可能要部署在多個區(qū)，多區(qū)之間可以通過防火墻、網(wǎng)閘等安全設(shè)備進(jìn)行邏輯隔離。新的網(wǎng)絡(luò)結(jié)構(gòu)如下：

1.政務(wù)內(nèi)網(wǎng)（辦公網(wǎng)）

其拓?fù)浣Y(jié)構(gòu)見圖2。

2.校園網(wǎng)

其網(wǎng)絡(luò)結(jié)構(gòu)見圖3。

（二）等保建設(shè)需重點(diǎn)考慮的幾個區(qū)域

1.政務(wù)內(nèi)網(wǎng)接入?yún)^(qū)

此區(qū)要求與互聯(lián)網(wǎng)物理隔離。電腦接入此區(qū)后，不得搬移到互聯(lián)網(wǎng)在使用。此區(qū)的安全主要要防止非法接入。

2.校園網(wǎng)互聯(lián)網(wǎng)接入?yún)^(qū)

此區(qū)就是原來校園網(wǎng)的互聯(lián)網(wǎng)接入?yún)^(qū)，應(yīng)按照原來的安全要求進(jìn)行等保建設(shè)，最少必須配備上網(wǎng)認(rèn)證系統(tǒng)、上網(wǎng)行為管理、防病毒系統(tǒng)及防火墻等。

3.校園網(wǎng)服務(wù)器區(qū)

主要為不能遷移的應(yīng)用系統(tǒng)而保留。它的建設(shè)標(biāo)準(zhǔn)和原來校園網(wǎng)的服務(wù)器區(qū)是一致的。

4.管理控制區(qū)

此區(qū)主要用于政務(wù)云上各系統(tǒng)的后臺操作與管理控制。安全主要是解決準(zhǔn)入問題。

5.云端

系統(tǒng)部署上云后，仍然需要進(jìn)行等保建設(shè)。如，數(shù)據(jù)庫審計(jì)、網(wǎng)頁防篡改等。但其配置與部署和傳統(tǒng)安全建設(shè)不同，基本為虛擬機(jī)，由云端提供。

四、幾個需要注意的問題

（一）地址劃分問題

一般政務(wù)云服務(wù)分配給各單位的地址段為10.*.*.*。為避免地址沖突帶來的問題，各單位網(wǎng)址地址最好采用192或172地址段。如果發(fā)生地址沖突，需進(jìn)行地址轉(zhuǎn)換，網(wǎng)絡(luò)維護(hù)量將大大增加。

（二）接入線路與帶寬問題

接入線路一般由各大電信運(yùn)營商提供，但不可能免費(fèi)。因此，需要考慮帶寬問題。一方面要考慮業(yè)務(wù)需要，另一方面要考慮經(jīng)濟(jì)成本。

（三）專用系統(tǒng)是否遷移問題

有些系統(tǒng)的應(yīng)用只限于院校。對于這些系統(tǒng)是否遷移需要綜合考慮。首先要考慮技術(shù)上是否可行，有些系統(tǒng)可能不能運(yùn)行在云的環(huán)境，這類系統(tǒng)就無法遷移。其次，遷移到云端省下了服務(wù)器的費(fèi)用（包括服務(wù)器運(yùn)維費(fèi)用），但管理較為不方便，同時需要支付云端租賃服務(wù)費(fèi)。另一方面，有些應(yīng)用系統(tǒng)特別是視頻服務(wù)類的，需要很大的帶寬，如果遷移到云端，每月的通信傳輸費(fèi)用將會是一筆不小的負(fù)擔(dān)。

五、結(jié)語

計(jì)算機(jī)信息安全責(zé)任重大，單位領(lǐng)導(dǎo)是第一責(zé)任人。國家高度重視信息安全，《網(wǎng)絡(luò)安全法》明確規(guī)定必須實(shí)行網(wǎng)絡(luò)安全等級保護(hù)。網(wǎng)絡(luò)安全等級保護(hù)是一項(xiàng)投入較大、技術(shù)較為復(fù)雜的工程。另外，信息安全是相對的，不存在絕對的信息安全。單位領(lǐng)導(dǎo)、安全負(fù)責(zé)人、技術(shù)人員必須按網(wǎng)絡(luò)安全等級標(biāo)準(zhǔn)，在資金投入、安全要求、使用便捷、信息共享等方面尋求平衡，制定出符合本單位實(shí)際的信息安全方針、策略及具體實(shí)施辦法以確保本單位的信息安全。

參考文獻(xiàn)：

[1] GB-T 22239-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》.

[2] GB/T 28448-2019 《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)測評要求》.

[3]付永鋼，洪玉玲，曹煦暉，陳杰，劉年生.計(jì)算機(jī)信息安全技術(shù)（第2版）[M].北京：清華大學(xué)出版社，2017.

[4]王昌明.如何開展信息系統(tǒng)網(wǎng)絡(luò)安全等級保護(hù)工作[N].中國信息化周報(bào)，2020-07-27.

[5]邢東旭，曹永寧.電子政務(wù)信息系統(tǒng)安全防護(hù)架構(gòu)分析[J.]內(nèi)蒙古科技與經(jīng)濟(jì)，2020（6）.

作者簡介：童長衛(wèi)（1965—），男，漢族，福建永定人，工程師，本科，主要從事計(jì)算機(jī)網(wǎng)絡(luò)與計(jì)算機(jī)安全研究。