落實(shí)“三化六防”措施 保護(hù)水利關(guān)鍵信息基礎(chǔ)設(shè)施安全

別無所求

編者按：沒有網(wǎng)絡(luò)安全就沒有國家安全，沒有信息化就沒有現(xiàn)代化。黨中央、國務(wù)院高度重視關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作，為進(jìn)一步健全關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度體系，制定出臺了《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》（以下簡稱《條例》）。對此，人民網(wǎng)“良法善治大家談”欄目采訪九位專家學(xué)者推出“關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)”系列解讀，從多領(lǐng)域、多角度全面闡釋關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)的重要性和必要性。

關(guān)鍵信息基礎(chǔ)設(shè)施是經(jīng)濟(jì)社會運(yùn)行的神經(jīng)中樞，是網(wǎng)絡(luò)安全的重中之重?！稐l例》是我國首部專門針對關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作的行政法規(guī)，在關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定、運(yùn)營者責(zé)任義務(wù)、保障和促進(jìn)、法律責(zé)任等方面進(jìn)行了界定和規(guī)范，為加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作提供了重要法治保障。

水利作為關(guān)鍵信息基礎(chǔ)設(shè)施重點(diǎn)行業(yè)領(lǐng)域之一，水利部門應(yīng)如何貫徹落實(shí)《條例》要求？在網(wǎng)絡(luò)安全等級保護(hù)制度的基礎(chǔ)上又應(yīng)該怎樣扎實(shí)做好相關(guān)工作？對此，水利部網(wǎng)絡(luò)安全與信息化領(lǐng)導(dǎo)小組辦公室主任，水利部信息中心黨委書記、主任蔡陽接受了人民網(wǎng)記者的相關(guān)采訪。

人民網(wǎng)記者：水利關(guān)鍵信息基礎(chǔ)設(shè)施是如何認(rèn)定的？

蔡陽：根據(jù)《條例》第八條規(guī)定，水利部是負(fù)責(zé)水利行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作的部門，負(fù)責(zé)結(jié)合水利行業(yè)實(shí)際，制定水利行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定規(guī)則。

水利關(guān)鍵信息基礎(chǔ)設(shè)施的認(rèn)定首先要明確水利關(guān)鍵業(yè)務(wù)。根據(jù)水利業(yè)務(wù)特點(diǎn)，防洪、供水、生態(tài)等水利公共產(chǎn)品和公共服務(wù)供給，關(guān)乎國家安全、經(jīng)濟(jì)社會穩(wěn)定和廣大人民群眾生命財(cái)產(chǎn)安全，相關(guān)業(yè)務(wù)規(guī)模大、覆蓋地域廣、在水利行業(yè)領(lǐng)域不可替代、對其他行業(yè)領(lǐng)域有連鎖性及關(guān)聯(lián)性重大安全風(fēng)險(xiǎn)，這些業(yè)務(wù)可確定為水利關(guān)鍵業(yè)務(wù)。主要包括：水災(zāi)害防御、水資源管理、水工程管理、水生態(tài)與河湖管理等方面。

明確關(guān)鍵業(yè)務(wù)后，需要分析這些業(yè)務(wù)對信息化的依賴程度。其中，對信息化依賴程度高的水利關(guān)鍵業(yè)務(wù)，其網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)才可納入為關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定范圍。然后，各級水利部門初步認(rèn)定關(guān)鍵信息基礎(chǔ)設(shè)施后，經(jīng)逐級審核，報(bào)水利部認(rèn)定。最后，認(rèn)定結(jié)果通知水利關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者，并通報(bào)國務(wù)院公安部門。

人民網(wǎng)記者：在構(gòu)建水利關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)體系方面，您認(rèn)為水利行業(yè)應(yīng)如何貫徹落實(shí)《條例》要求？

蔡陽：一直以來，水利行業(yè)高度重視網(wǎng)絡(luò)安全，特別是水利關(guān)鍵信息基礎(chǔ)設(shè)施安全，網(wǎng)絡(luò)安全防護(hù)體系基本建成，但與《條例》的相關(guān)要求相比還有差距。水利關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者應(yīng)深入貫徹“三化六防”措施，以水利網(wǎng)絡(luò)安全頂層設(shè)計(jì)為指引，以水利關(guān)鍵信息基礎(chǔ)設(shè)施為安全保護(hù)對象，堅(jiān)持“體系化，實(shí)戰(zhàn)化，常態(tài)化”理念，構(gòu)建水利關(guān)鍵信息基礎(chǔ)設(shè)施安全綜合防御體系，不斷提升水利關(guān)鍵信息基礎(chǔ)設(shè)施“動態(tài)防御，主動防御，縱深防御，精準(zhǔn)防護(hù)，整體防護(hù)，聯(lián)防聯(lián)控”能力。

人民網(wǎng)記者：正如您剛才所提到的“三化六防”要求，能否簡要談?wù)勊袠I(yè)的落實(shí)情況？

蔡陽：我認(rèn)為第一方面是加強(qiáng)體系化建設(shè)——構(gòu)建水利關(guān)鍵信息基礎(chǔ)設(shè)施安全綜合防御體系。以水利網(wǎng)絡(luò)安全總體策略為指引，通過組織管理、安全技術(shù)、監(jiān)督檢查三個體系建設(shè)，不斷提升網(wǎng)絡(luò)安全縱深防御能力、監(jiān)測預(yù)警能力、應(yīng)急響應(yīng)能力。

一是組織管理體系。水利部依托現(xiàn)有網(wǎng)絡(luò)安全管理體系，建立水利行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)和監(jiān)督管理組織體系。各級水行政主管部門是所轄水利關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作的主管部門，下屬網(wǎng)信部門具體負(fù)責(zé)監(jiān)督管理工作，下屬相應(yīng)業(yè)務(wù)部門負(fù)責(zé)指導(dǎo)協(xié)調(diào)；各水利關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者承擔(dān)安全保護(hù)的主體責(zé)任，根據(jù)情況可設(shè)業(yè)務(wù)主管單位、建設(shè)單位、運(yùn)行管理單位，分別承擔(dān)監(jiān)督協(xié)調(diào)、網(wǎng)絡(luò)安全建設(shè)、網(wǎng)絡(luò)安全運(yùn)行責(zé)任。

二是安全技術(shù)體系。遵循網(wǎng)絡(luò)安全總體策略，構(gòu)建涵蓋基礎(chǔ)防護(hù)、監(jiān)測分析和響應(yīng)恢復(fù)的網(wǎng)絡(luò)安全技術(shù)體系。在基礎(chǔ)防護(hù)方面，建設(shè)完善統(tǒng)一身份認(rèn)證服務(wù)、統(tǒng)一密碼服務(wù)、統(tǒng)一備份服務(wù)、統(tǒng)一應(yīng)用安全檢測平臺、統(tǒng)一數(shù)據(jù)共享交換平臺等統(tǒng)一基礎(chǔ)安全服務(wù)，構(gòu)成縱深防御底盤，安全資源共享共用，提升整體安全支撐能力；根據(jù)網(wǎng)絡(luò)安全等級保護(hù)相關(guān)要求，在基礎(chǔ)安全服務(wù)的支撐下，構(gòu)建“安全物理環(huán)境”“安全通信網(wǎng)絡(luò)”“安全區(qū)域邊界”“安全計(jì)算環(huán)境”多層次防護(hù)。在監(jiān)測分析方面，結(jié)合自身安全數(shù)據(jù)，構(gòu)建安全情報(bào)中心；建設(shè)安全數(shù)據(jù)采集系統(tǒng)，對各類安全設(shè)備日志、主機(jī)日志、應(yīng)用日志、重要邊界網(wǎng)絡(luò)流量、內(nèi)外部威脅情報(bào)等網(wǎng)絡(luò)安全相關(guān)數(shù)據(jù)進(jìn)行統(tǒng)一收集；采用大數(shù)據(jù)技術(shù)，構(gòu)建網(wǎng)絡(luò)安全大數(shù)據(jù)平臺，匯集、整理、存儲、處理各類安全數(shù)據(jù)，形成安全數(shù)據(jù)倉庫；在各類安全數(shù)據(jù)的基礎(chǔ)上，構(gòu)建網(wǎng)絡(luò)安全威脅感知系統(tǒng)，基于行為分析、特征分析、關(guān)聯(lián)分析、威脅情報(bào)、機(jī)器學(xué)習(xí)等技術(shù)實(shí)現(xiàn)對網(wǎng)絡(luò)安全威脅的全方位感知。在響應(yīng)恢復(fù)方面，建設(shè)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)全過程閉環(huán)管理系統(tǒng)，將安全風(fēng)險(xiǎn)根據(jù)影響程度分為不同類別：安全事件、安全告警、安全威脅，根據(jù)事先確定的流程，對安全事件、安全告警、安全威脅處置進(jìn)行全過程閉環(huán)管理；建設(shè)統(tǒng)一設(shè)備管控系統(tǒng)，把應(yīng)急響應(yīng)與網(wǎng)絡(luò)安全設(shè)備聯(lián)動管理，實(shí)現(xiàn)阻斷、隔離、策略下發(fā)等多種動作編排，將威脅防護(hù)措施轉(zhuǎn)化成安全策略控制任務(wù)，提高全網(wǎng)協(xié)防效率，縮短威脅處置時間，提升應(yīng)急能力。

三是監(jiān)督檢查體系。依據(jù)《水利網(wǎng)絡(luò)安全管理辦法（試行）》，圍繞抓住“及時發(fā)現(xiàn)漏洞、及時有效處置漏洞”兩個關(guān)鍵，通過“查、改、罰”等有效手段，強(qiáng)化水利關(guān)鍵信息基礎(chǔ)設(shè)施安全監(jiān)管，建立水利關(guān)鍵信息基礎(chǔ)設(shè)施安全監(jiān)督檢查體系，各級水利關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作的主管部門定期監(jiān)督檢查，結(jié)合水利關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者自查，配合網(wǎng)信部門、公安部門的網(wǎng)絡(luò)安全檢查監(jiān)測，形成監(jiān)督檢查合力。

第二方面是立足實(shí)戰(zhàn)化——堅(jiān)持以攻促防。攻防實(shí)戰(zhàn)結(jié)果是檢驗(yàn)水利關(guān)鍵信息基礎(chǔ)設(shè)施安全工作最重要的依據(jù)，也是評價網(wǎng)絡(luò)安全保護(hù)能力最重要指標(biāo)。

一是定期開展實(shí)戰(zhàn)攻防。水利關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)工作部門、運(yùn)營者要定期開展實(shí)戰(zhàn)攻防，通過攻防演習(xí)、攻防演練、沙盤推演等方式，發(fā)現(xiàn)漏洞隱患，檢驗(yàn)網(wǎng)絡(luò)安全防護(hù)手段的有效性、聯(lián)防聯(lián)控機(jī)制的完善性，鍛煉網(wǎng)絡(luò)安全隊(duì)伍，提高全員的網(wǎng)絡(luò)安全意識。

二是建設(shè)仿真平臺。水利關(guān)鍵信息基礎(chǔ)設(shè)施，特別是水利工程控制系統(tǒng)類關(guān)鍵信息基礎(chǔ)設(shè)施，應(yīng)加強(qiáng)模擬仿真平臺建設(shè)，依托平臺開展常態(tài)化的攻防培訓(xùn)、應(yīng)急演練、測試驗(yàn)證等。

第三方面是實(shí)施常態(tài)化運(yùn)營——提升防護(hù)能力。加強(qiáng)網(wǎng)絡(luò)安全運(yùn)營管理，將關(guān)鍵信息基礎(chǔ)設(shè)施的日常安全監(jiān)測、安全巡檢、安全事件分析和安全響應(yīng)處置等內(nèi)容，納入到生產(chǎn)運(yùn)營管理中，并在保證業(yè)務(wù)穩(wěn)定運(yùn)行的情況下，定期進(jìn)行漏洞檢測、安全配置檢查、安全風(fēng)險(xiǎn)評估和網(wǎng)絡(luò)安全應(yīng)急演練等工作。通過常態(tài)化運(yùn)營，構(gòu)建分析預(yù)測、威脅防護(hù)、持續(xù)監(jiān)測、響應(yīng)處置的閉環(huán)體系，不斷優(yōu)化完善，提升網(wǎng)絡(luò)安全六大能力。

一是提升動態(tài)防御能力。采用大數(shù)據(jù)、人工智能等技術(shù)，基于水利網(wǎng)絡(luò)安全大數(shù)據(jù)分析平臺，構(gòu)建水利關(guān)鍵信息基礎(chǔ)設(shè)施安全態(tài)勢感知平臺，通過數(shù)據(jù)挖掘、關(guān)聯(lián)分析，結(jié)合自動化、半自動化處置措施，持續(xù)監(jiān)測網(wǎng)絡(luò)安全攻擊、動態(tài)調(diào)整策略，以應(yīng)對動態(tài)、多變、高強(qiáng)度的網(wǎng)絡(luò)攻擊，實(shí)現(xiàn)水利關(guān)鍵信息基礎(chǔ)設(shè)施安全從靜態(tài)防御到動態(tài)防御。

二是提升主動防御能力。充分利用水利網(wǎng)絡(luò)安全威脅情報(bào)中心，配合全流量數(shù)據(jù)采集分析等，及時主動發(fā)現(xiàn)、處置網(wǎng)絡(luò)安全威脅，特別是潛伏威脅、未知威脅，并跟蹤溯源，水利關(guān)鍵信息基礎(chǔ)設(shè)施安全變被動防御為主動防御。

三是提升縱深防御能力。依據(jù)網(wǎng)絡(luò)安全等級保護(hù)2.0“一個中心、三重防護(hù)”理念，采用分區(qū)分域分業(yè)務(wù)隔離機(jī)制，層層設(shè)防、逐級設(shè)防，打造水利關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全縱深防御。

四是提升精準(zhǔn)防護(hù)能力。根據(jù)水利關(guān)鍵信息基礎(chǔ)設(shè)施安全實(shí)際，以水利工控網(wǎng)絡(luò)安全為焦點(diǎn)，以水利基礎(chǔ)數(shù)據(jù)網(wǎng)絡(luò)安全為要點(diǎn)，針對性的采取措施，實(shí)施精準(zhǔn)防護(hù)。

五是提升整體防護(hù)能力。構(gòu)建網(wǎng)絡(luò)安全綜合防御體系，從保護(hù)對象自身安全加固、外部強(qiáng)化防護(hù)、全方位監(jiān)測預(yù)警、應(yīng)急聯(lián)動處置等方面全面加強(qiáng)安全，通過水利關(guān)鍵信息基礎(chǔ)設(shè)施安全態(tài)勢感知平臺統(tǒng)一管理調(diào)度，形成協(xié)同聯(lián)動、高效統(tǒng)一的整體防護(hù)。

六是提升聯(lián)防聯(lián)控能力。在國家聯(lián)防聯(lián)控機(jī)制下，構(gòu)建水利網(wǎng)絡(luò)安全聯(lián)防聯(lián)控體系，實(shí)現(xiàn)“一處報(bào)警，處處設(shè)防；一處威脅，處處處置”，提升整體應(yīng)對網(wǎng)絡(luò)攻擊能力。這是健全水利網(wǎng)絡(luò)安全保障體系、提升行業(yè)網(wǎng)絡(luò)安全整體實(shí)戰(zhàn)對抗能力的重要抓手，是實(shí)現(xiàn)網(wǎng)絡(luò)安全防護(hù)目標(biāo)不受沖擊破壞的有力保障。

來源：人民網(wǎng)