把握攻防博弈之道 筑牢信息安全防線無錫市財政局信息安全體系建設探索與實踐

● 燕 霞 /文

從2000年到2017年，無錫財政的信息化建設腳步從未停歇，逐步實現了基礎設施全貫通、業務軟件全覆蓋、IT管理全方位，信息化管理水平有了質的飛躍。但在我們享受信息化發展所帶來的便利的同時，也面臨著巨大的風險。特別是隨著無錫市政務內網改造為政務外網，財政信息系統也隨之遷移到政務外網，增加了網絡安全風險，系統隨時可能遭受攻擊和入侵，數據隨時都有可能被竊取，這些都將帶來巨大損失。

習近平總書記指出：“網絡安全和信息化相輔相成，安全是發展的前提，發展是安全的保障，安全和發展要同步推進。網絡安全和信息化是一體之兩翼、驅動之雙輪”。缺少了網絡安全的保障，信息系統就是無本之木，隨時可能會坍塌。面對越來越復雜多變的網絡安全威脅和攻擊，保證財政信息系統的穩定運行以及數字資產的安全，已經成為財政信息化發展必須要妥善處理的第一要務。為此，無錫市財政局未雨綢繆，從加強信息安全整體規劃入手，頂層設計了“三位一體”的無錫財政信息安全保障體系，提升財政信息安全防護能力。

正視問題

隨著無錫市財政信息化發展的不斷推進，信息系統和網絡建設、信息化管理中的安全問題也逐步顯現。如果對客觀存在的問題不敢正視，或抱著視而不見的態度，只會使問題越積越多，小問題變成大問題。因此，我們從制度、技術和管理層面剝繭抽絲，仔細排查，存在的問題主要有以下幾方面：

一是安全制度亟需完善。沒有健全的制度，信息安全如同紙上談兵。缺少制度界定，就無法實現權責明晰化、行為規范化、獎懲有據化，信息安全難以落到實處。前幾年，雖然也建立了一些信息化管理制度，但面對當前信息安全的嚴峻形勢，特別是對照信息安全等級保護測評對信息安全制度方面的相關要求，仍存在著制度不健全、不完善的問題，一些信息化建設和信息安全管理方面的制度與規范還不夠全面、細致，信息安全制度建設尚未形成體系化。

二是安全技術有待提升。沒有過硬的技術，信息安全如同空中樓閣。由于之前財政專網是依托政務內網而建，與互聯網物理隔離的，所以信息安全防護措施比較單一，安全設備往往僅依靠防火墻、漏洞掃描等設備。對全系統缺乏必要的技術監控手段，存在“管理黑洞”，導致系統管理人員很難細致全面地掌握網絡中用戶的行為，也難以對外來入侵風險進行有效識別。

三是安全管理仍要加強。沒有到位的管理，信息安全如同無米之炊。各級財政部門對信息化重視程度不一，信息安全工作相對滯后，缺乏統一規劃，各自為政；信息化專業隊伍技術水平參差不齊，缺少既懂業務又懂信息化的復合型人才；業務操作人員、預算單位用戶、縣區財政部門的信息安全意識還比較薄弱，對安全管理的重視程度也不夠，帳號轉借他人、U盤在內外網間隨意插拔、未經授權訪問和違規操作等現象時有發生。

明確要求

要在信息安全博弈中掌握主動，單純依靠安全技術或者局部的安全防護產品是遠遠不夠的。必須從整體和全局的角度考慮，搭建信息安全保障體系，以信息安全整體策略為指導，緊緊圍繞“人”、“管理”和“技術”三種基本要素，針對每一種安全威脅、安全風險進行統籌謀劃。

建設原則

財政信息安全保障體系遵循以下建設原則：

一是重點保護原則。根據信息系統的重要程度、業務特點，通過劃分不同安全保護等級的信息系統，實現不同強度的安全保護，集中資源優先保護涉及核心業務或關鍵信息資產的信息系統。

二是適度安全原則。任何信息系統都不能做到絕對的安全，過多的安全要求必將造成易用性降低和運行的復雜性，因此我們在安全需求、安全風險和易用性之間進行平衡和折中。

三是分步實施原則。根據信息安全需求緊迫性的順序，規劃信息安全建設的順序，以實施信息安全建設的分步實施。

建設目標

“無錫市財政局信息安全體系”的建設目標是：以信息系統“三級”安全等保要求為標準，構建“三位一體”的財政信息安全體系，從技術上對網絡和信息系統進行及時監測及分析，讓信息系統的使用有規可循、有據可查，保證整個操作流程清晰可控；保障各種網絡資源穩定可靠、受控合法；保障數據在存儲、傳輸、應用過程中的安全；從管理上建立和完善信息安全管理規范和機制。

具體來說，就是從安全管理制度、安全管理機構、人員安全管理等方面進行管理體系建設；從物理安全、網絡安全、主機安全、應用安全、數據安全等方面進行技術體系建設；從系統建設管理、系統運維管理等方面進行運行體系建設，使全局信息系統安全體系既能提供全方位、立體縱深的安全防御，又可滿足信息安全等級保護的相關要求。

總體框架

信息安全是信息化建設與管理的基礎性工作，也是一個牽涉面極廣的系統工程，應從信息安全管理體系、信息安全技術體系和信息安全運維體系三個方面著力構建“三位一體”的財政信息安全體系。

漸進實施

安全域設計

當前財政網絡系統是一個龐大復雜的系統，對系統進行區域劃分，進行層次化、有重點的保護，是保證財政網絡和信息安全的有效手段。

根據目前已有信息系統部署現狀、業務需求以及安全保護要求，我們從信息系統業務相似性、資產相似性、安全需求相似性、所面臨威脅相似性這4個維度，將信息系統劃分為計算服務、網絡互連、管理支撐三類安全域。

構建信息安全模型

為了精確、形象地描述信息系統的安全屬性，準確地描述安全與系統行為的關系，我們參考WPDRRC信息安全模型，從實際出發，綜合考慮安全成本和風險級別，采用PDRR模型進行安全體系方案設計，即從P（保護能力）、D（檢測能力）、R（響應能力）、R（恢復能力）四個環節明確應對措施。

明確安全域安全要求

現階段，單純的依靠挖掘漏洞，填補漏洞的這種“封堵查殺”的被動式防范已經無法滿足安全需求，只有采取主動式預防的措施，以先進的網絡攻防技術作為信息安全的矛和盾，才能在信息安全防護上做到攻守兼備、游刃有余。所以，我們按照PDRR 安全模型，針對不同的安全域，明確了網絡和邊界安全、計算環境安全、管理支撐安全三方面的具體要求。

安全風險分析

對照“三級”安全等保要求，從網絡安全、主機安全、應用安全、數據安全、管理安全等方面，對財政信息系統進行了全方位、多角度的問題排查，以便于信息安全體系建設中真正做到有的放矢，而非隨意為之。

安全解決方案設計

細化管理，筑牢信息安全外圍防線

俗話說：“三分技術，七分管理”。光靠信息安全技術（產品）很難實現信息安全的目標，加強信息安全管理才是信息安全的解決之道。信息安全管理體系主要包括三個方面：組織機構、人員安全、制度標準。

組織機構：借助于“財政信息化管理工作機制”平臺，成立“無錫市財政局信息化工作和網絡安全領導小組”，下設辦公室，由各處室的一名信息化聯絡員組成。通過完善組織架構，明確不同角色的定位、職責以及相互關系。

人員安全：工作中大部分的信息安全控制需要依靠人的自我約束、自我控制和主觀能動性。一方面積極開展信息安全宣傳、教育，不斷加強工作人員的信息安全意識和安全防范意識；另一方面，通過組織各種技術培訓，學習安全技能，提升信息安全工作的主動性。

制度標準：分為管理層制度和操作層制度二個層面。結合相關信息系統安全等級保護要求，從組織機構、人員安全、系統建設、系統運維等方面，對涉及信息系統的各類活動、各個細節均做了明確規范，制定了《信息化工程（項目）施工管理管理制度》、《外部人員訪問重要區域管理制度》、《網絡安全管理制度》、《系統安全管理制度》、《安全監控和日志審計管理制度》等18個相關操作層制度。通過不斷完善相關制度建設，織密信息安全防線，堵塞管理機制漏洞。

強化技術，練好信息安全內在功夫

必要的安全設施、監控技術、防范策略、溯源手段是支持和保證財政信息安全體系順利構建的鋼筋鐵骨。2016年開始無錫市財政局從網絡、系統、應用和數據四個層面開展了財政信息安全技術體系建設。在充分利用現有資源的基礎上，合理部署安全設備，對本局網絡及核心系統進行統一管理和監控，以滿足事前可預防、事中可控制、事后可審計的安全防護要求。

網絡安全方面：幾年前，無錫市財政局已建成縱向廣域財政專網（實現省、市、縣區、鄉鎮四級財政網絡的上下貫通），以及橫向城域財政專網（實現國地稅、銀行、預算單位、非稅單位的安全連通）。從過去以系統劃分為導向的條線式構建模式，改變為以功能劃分為導向的區域式構建模式。按照服務器區、外聯區、內聯區和安全管理區四個功能區域對現有的網絡結構和層次進行調整優化，功能清晰，層次明了。

系統和應用安全方面：無錫市財政局將所有非核心應用部署在虛擬化平臺上，既避免了服務器單點故障時引起業務中斷，又實現了硬件設備的高可用。同時，將入侵檢測系統、數據庫審計、網絡日志審計、堡壘機等安全產品有針對地部署在財政內網的各個功能區域，并根據管理要求配置了安全策略。可以嚴控用戶操作、抵御惡意攻擊、發生問題快速精確定位和溯源，全面保障財政業務安全。

數據安全方面：十年前，無錫市財政局已建成了應用級、網絡級和數據級的同城異地容災備份系統。近幾年，為解決現有存儲資源無法互補共享、難以統一管理的問題，我們對財政災備體系重新進行全局性的整體規劃，率先探索采用存儲虛擬化鏡像技術組建同城異地雙活數據中心；并將所有磁盤陣列納入統一存儲資源池，構建財政信息系統云存儲平臺，將核心系統及虛擬化平臺均納入雙活數據中心。這樣，無論在存儲、網絡或服務器任意故障情形下，核心系統及虛擬化平臺上的應用服務都可做到業務不中斷、數據零丟失，確保財政業務運轉連續、穩定安全。

優化運維，確保信息安全落地生根

無錫市財政局信息安全運維體系主要從三方面進行建設：

一是運維管理制度化。通過明確信息系統建設者、使用者、運維者等各方的安全責任，從信息化項目設計規劃、建設、交付到運行維護的全流程，都按照制度進行管理，做到“責任到人、有章可循”，確保風險隱患能得到控制和及時整改。

二是運維內容明細化。我們根據技術關聯性劃分崗位職責，如網絡管理崗、應用管理崗、資產管理崗、審計崗等，全面細致地定義每個崗位的運維內容，并針對每個崗位實行AB角制度。運維內容主要包括設備監控、安全策略管理、安全事件預警和通知、安全事件分析和響應、安全事件審計等。

三是運維服務流程化。無錫市財政局在行政辦公系統中集成開發了信息化管理平臺，創新性地設計實現了信息化管理工作的全程網上管理，實現了信息流、工作流、業務流的集成統一。我們建立了分類細致、規范高效的信息系統運維流程，通過流程化、自動化的運維服務加強制度化和標準化的落地，減少人為的矛盾，提高運維效率和質量。

信息安全的攻防博弈本就是一場沒有硝煙的戰爭。因此，科學構筑全方位、立體化的財政信息安全體系是財政信息化可持續發展、財政業務穩中求進的重要保障。只有將信息安全和信息化建設緊密結合起來，發揮“1+1＞2”的效應，才能把控信息化發展的未來，為財政信息化建設提供強有力的支撐。