王雷

中國石油天然氣股份有限公司管道長慶輸油氣分公司 寧夏銀川 750006

近些年，安全運營越發(fā)完善，其被社會各界所重視。而隨著安全運營的發(fā)展，網(wǎng)絡安全指導思想也發(fā)生了轉(zhuǎn)變，逐漸轉(zhuǎn)變?yōu)槟芰敵觥Ａ暯娇倳浱岢鼍W(wǎng)絡安全應該是開放動態(tài)的。而早期的安全設備和安全策略都是靜態(tài)防護，其與當前互聯(lián)網(wǎng)的發(fā)展不相符合。尤其是在開放動態(tài)的網(wǎng)絡環(huán)境下，被動防御理念落實不發(fā)生改變，就會無法掌控住安全風險。由此誕生了安全運營，為保障網(wǎng)絡安全服務提供了新思路。

1 安全運營概述

1.1 模式

安全運營新模式是在傳統(tǒng)安全運維基礎上實現(xiàn)的升級拓展，其能夠?qū)⒐芾砗图夹g結合起來。管理上，在設計頂層時，根據(jù)ISO27000 標準制定行業(yè)管理要求，優(yōu)化行業(yè)實踐案例，構建安全管理體系。安全運營實施上，確定網(wǎng)絡安全目標，制定運營標準和業(yè)務系統(tǒng)安全管理操作規(guī)范，進而理清安全管理流程，界定管理范圍，通過細化規(guī)則完善安全運營模式，確保安全運營順利運行。技術上，先要構建網(wǎng)絡鏈路層、物理層和應用層一體化的安全防護系統(tǒng)，并部署網(wǎng)關類設備、流量檢測類和終端防護類等設備，建立安全防御體系。之后，建立一個安全管理中心和通信網(wǎng)絡、區(qū)域邊界以及計算環(huán)境三沖防護架構，通過安全管理中心對網(wǎng)絡安全進行檢測，根據(jù)事前、始終和時候來解決安全事件中的風險[1]。最后，實行安全審計，檢查安全管理制度和技術策略落實情況，促使制度和策略的實行，并及時發(fā)現(xiàn)其中存在的問題，優(yōu)化制度和留存，開展風險評估工作，通過各種方法檢查、評估業(yè)務系統(tǒng)安全威脅，提出解決方案。

隨著網(wǎng)絡與應用的發(fā)展，安全運營需要不但完善，在建立安全運營體系時，需要考慮其緊迫性、科學系、拓展性。

1.2 價值

隨著網(wǎng)絡技術的發(fā)展，網(wǎng)絡攻擊技術越發(fā)多樣，攻擊范圍持續(xù)擴大，靜態(tài)網(wǎng)絡防護攻破率持續(xù)上升，安全事件頻繁發(fā)生。對此，必須要加強網(wǎng)絡安全運營，這就需要網(wǎng)絡安全防護要具備持續(xù)修補漏洞的能力，在攻擊中持續(xù)運行。利用安全運營實現(xiàn)安全評估，安全防護設備部署靈活，調(diào)整設備部署，積極應對新安全威脅。安全運營動態(tài)性為安全威脅積極應對奠定了基礎，而隨著網(wǎng)絡安全防護的持續(xù)改進與優(yōu)化，網(wǎng)絡安全防護也更加實時有效[2]。對于用戶而言，安全運營能夠確保數(shù)據(jù)不易被泄露，系統(tǒng)能夠安全穩(wěn)定運行，技術和管理結合的形式使得系統(tǒng)風險降低，防御和監(jiān)測結合的方式也使得系統(tǒng)性能以及效能提高，為網(wǎng)絡安全環(huán)境的營造奠定了堅實的基礎。

2 安全運營的建設實踐

2.1 完善組織機構

在建設安全運營時，需要完善組織機構，企業(yè)需要成立網(wǎng)絡安全小組，明確安全責任，并成立安全運維機構，管理安全運營，成立網(wǎng)絡安全管理中心，更新技術標準以及安全措施，監(jiān)控安全風險，處置安全實踐，檢查網(wǎng)絡安全，評價反饋安全技術防護體系。

2.2 建立運行機制

安全運維和管理中心作為安全運營管理的重要機構，其負責安全運營管理的各項事務，以PDCA 中的PCA 作為安全運營管理落實標準。其中，P 就是規(guī)劃網(wǎng)絡安全、確定目標系統(tǒng)、編制技術防護系統(tǒng)并發(fā)布相關的管理體系。按照國家主管部門要求，制定安全行動計劃，確定網(wǎng)絡安全規(guī)劃、實施路徑。安全運營目標作為基礎設施和部署的重要系統(tǒng)。在開展基礎設施系統(tǒng)認定時，需要發(fā)布防護能力報告，并對基礎設施的改進進行規(guī)劃，健全網(wǎng)絡安全以及技術防護相關體系。此外，明確商用安全基線，全面管控數(shù)據(jù)，對CA、密碼技術等安全進行規(guī)范，編制安全管理體系，發(fā)布相關制度。C 就是檢查網(wǎng)絡安全?，F(xiàn)場抽查各企業(yè)，落實好相關法律，通過檢查現(xiàn)場，聽取成員意見，統(tǒng)籌行業(yè)，降低成本。A 就是跟蹤處理并確認網(wǎng)絡安全工作，總結網(wǎng)絡安全檢查內(nèi)容，并將其進行標準化推廣。根據(jù)失敗經(jīng)驗優(yōu)化基線，及時解決其中的問題。

2.3 構建安全平臺

（1）分析商用網(wǎng)絡和互聯(lián)網(wǎng)落應用環(huán)境，在保密基礎上對風險進行分析，并實現(xiàn)端對端的安全運維。例如，不同級別、崗位人員的系統(tǒng)需求不同，需要確定網(wǎng)絡使用情況，并增加系統(tǒng)審計，根據(jù)流程及時發(fā)現(xiàn)異常，采取措施。

（2）明確資產(chǎn)，優(yōu)化防護系統(tǒng)。梳理網(wǎng)絡設備、計算機、數(shù)據(jù)庫等資產(chǎn)，重新優(yōu)化安全防護系統(tǒng)，根據(jù)最小化應用部署，建立分級、分域防控，根據(jù)需求劃分安全域，將橫向和縱向數(shù)據(jù)隔離開，關閉防火墻，構建網(wǎng)絡拓撲等。

（3）建設網(wǎng)絡安全管理系統(tǒng)?；谏鲜鰞蓚€動作，利用CA數(shù)據(jù)導入全員數(shù)據(jù)，利用ITSM 系統(tǒng)導入資產(chǎn)數(shù)據(jù)，并導入安全產(chǎn)品日志，使正常行為規(guī)范化，減少監(jiān)測工作。關聯(lián)異常行為以及安全規(guī)則，分析大數(shù)據(jù)平臺，根據(jù)外部威脅進行網(wǎng)絡安全。

在安全運營管理中，企業(yè)需要根據(jù)等級保護備案情況完善管理系統(tǒng)，將其整體匯總到系統(tǒng)中，實現(xiàn)規(guī)范、實時、動態(tài)管理。

2.4 強化運營指導

優(yōu)化國家標準和安全運營流程，根據(jù)實際情況完善信息化管理以及建設工作。安全運營十分靈活、動態(tài)，需要細化業(yè)務場景，通過實戰(zhàn)分析了解其中的不足。對此，需要審核設計模板系統(tǒng)以及業(yè)務場景，根據(jù)行業(yè)特征對網(wǎng)絡安全風險進行分析，構成特殊的網(wǎng)絡運營標準，并為各單位的實施提供指導。企業(yè)在進行安全運營時，需要管理好數(shù)據(jù)的生命周期，通過技術方法使安全運營效率提升，并降低人員配備、人工成本等。

3 結語

安全運營在理論和實踐上需要迅速發(fā)展并持續(xù)完善，各行業(yè)、企業(yè)、部門在安全運營上普遍存在缺乏統(tǒng)一標準和成熟產(chǎn)品的現(xiàn)象，對此，需要進一步完善。此外，安全運營也成為當前網(wǎng)絡安全發(fā)展的重要保障，其已經(jīng)逐漸成為當前網(wǎng)絡安全管控的主要工作。