移動互聯網信息系統的等級保護測評研究

陳宗明 余福生

摘? ?要：移動智能終端的出現在給廣大移動互聯網受眾帶來方便快捷的使用體驗的同時，也為移動互聯網信息系統的等級保護工作帶來了新的挑戰。當前階段，移動互聯網信息系統的等級保護測評工作還未將移動智能終端所帶來的威脅列入測評范疇。文章從現階段移動互聯網信息系統的等級保護測評實況出發，簡要闡述幾點新的測評方法與建議。

關鍵詞：移動互聯網;信息系統;等級保護

現階段，移動互聯網所采用的信息系統的等級保護測評機制還是沿用常規的信息等級保護測評方式，比如在測評主機安全性的時候僅關注PC操作系統以及數據庫的配置安全問題，測評網絡安全時也只關注使用PC客戶端進行訪問業務過程中出現的訪問控制以及數據傳輸的安全問題等。當前階段，移動互聯網信息系統的等級保護測評應該從網絡安全、應用軟件安全、數據庫安全以及終端安全等多個角度綜合進行。

1? ? 移動互聯網信息系統簡要概述

移動互聯網信息系統實際上指的是一套建立在手機、iPad等便攜化終端設備上，作為信息載體進行信息存儲與傳輸的移動化信息系統，將無線網絡、手機設備以及辦公系統進行有效結合，在一定程度上可以實現任何時間與任何地點的辦公，大大提高了人們的工作效率。在通過移動終端進行互聯網訪問的過程中，可以將移動互聯網信息系統的訪問流程劃分為不同的區域，其中包括移動智能用戶終端區域、互聯網運營商傳輸區域、內外網接入區域以及業務內網服務區域等。除此之外，在進行移動終端內網業務訪問的過程中還需要針對信息系統內的身份鑒別功能、數據保密功能、內網接入控制、網站邊界防護等對用戶可能會產生威脅的拓撲位置進行嚴格的等級保護測評[1]。

2? ? 移動互聯網信息系統與傳統互聯網信息系統的等級保護區別

在移動互聯網的信息系統運行過程中，移動終端最先通過建立無線接入通道實現與網絡運營商的鏈接，然后再通過該通道與企業內部網站的訪問業務系統的服務端進行鏈接，在整個過程中涉及很多信息安全問題，其中包括移動網絡終端的安全認證問題、訪問用戶的身份認證問題、在訪問過程中的數據存儲與數據傳輸安全問題以及進行終端移動的用戶權限問題等。這些問題一般來說不會出現在傳統的互聯網信息系統的等級保護過程中。因此，移動互聯網信息系統與傳統互聯網信息系統的等級保護領域實際上是在不斷擴張的，并且針對不同的信息系統層級也會有不同的等級保護測評體系。

3? ? 提高移動互聯網信息系統等級保護測評質量的策略研究

3.1? 加強對移動互聯網信息系統中軟件安全的等級保護測評

對于移動互聯網信息系統來說，一般系統內部的軟件架構會包含幾個不同的層面：信息接入層、信息展現層、信息應用層、基礎技術支撐層、運行環境層等。首先，針對信息接入層來說，該層面是由移動互聯網用戶和信息系統搭建的介入媒體雙方所共同構成的，具體到該層面的實際業務方面實際上就是一個訪問入口，對于該層面的安全等級保護需要從減少入口的攻擊性入手，即最大限度地降低接入口對整個軟件系統的威脅。一般來說，可以通過在接入口與出入口等比較關鍵的核心層面建立可信機制，對于部分非指定接口應該嚴格控制其訪問權限。其次，是信息展現層，顧名思義就是進行信息內容展示的區域，針對該層面的等級保護，最核心的一點就是確保信息系統所展示信息的準確性與完成性，在處理測評的過程中主要測評信息內容是否存在被隨意篡改的風險。再次，信息應用層是移動互聯網信息信息系統中進行數據信息處理的核心部分，也是移動互聯網信息系統等級保護的主要測評部分。從次，基礎技術支撐層主要指的是利用互聯網技術通用的各類組件、用戶管理與服務以及組建交換等常用的應用服務，針對該層面的安全等級保護可以從系統組建自身的穩定性與安全性入手，加強不同組件鏈接口之間的安全性。最后，針對信息運行環境層來說，所面臨的最主要的安全問題在于惡意代碼、物理攻擊以及軟件或者硬件之間的故障方面，應該采取的主要措施就是增強對移動互聯網信息系統的綜合管理與安全測評[2]。

移動互聯網信息系統軟件中經常出現的“黑客”攻擊，作為一種威脅極大的互聯網信息系統安全隱患，在處理該類問題時，要在建立合理科學的等級保護制度的基礎上，在不同類型的軟件信息中心做好可以24小時監控預測的預警防護機制，包括網站防護、云端防護以及實時預警等安全保護措施，并且針對可能出現的危險事故，盡量提前做好安全措施與應急預案。相關人員也應該增強對移動互聯網信息系統的維護工作，盡量縮短維護、排查工作間隔，從而最大限度地提升移動互聯網信息系統的安全性。另一方面，還可以通過滾動排查和抽樣排查的方式，及時發現軟件信息系統中存在的安全漏洞，最大限度地避免信息篡改、病毒入侵以及暗鏈等問題的出現。除此之外，針對沒有嚴格按照規定貫徹落實集約化與規范化管理的網絡信息系統，也必須堅持做好24小時的監控預測與報警機制，并進行實時保護，在出現系統漏洞的第一時間就通過后臺系統進行修復。相關人員也應該對后臺系統進行升級維護，從而提升后臺系統所能夠應對的漏洞等級。也應該完善專人負責制度，安排專業人員進行日常維護，當后臺系統所出現的漏洞無法憑借系統內部的維修系統處理時，相關人員就應該立即介入，防止出現系統崩潰現象。通過這種方式，一方面有利于提高移動互聯網軟件信息系統的安全防護，另一方面也有利于提高移動互聯網信息系統等級保護測評的效率與質量，從而使相關人員更高效地處理信息，方便人們的工作和生活。

3.2? 加強相關人員對移動互聯網信息系統等級保護測評的重視

移動互聯網信息系統的安全等級保護工作主要包括5個方面，分別為安全等級保護定級、等級保護備案、等級保護安全建設、信息整改與安全測評以及信息安全性檢查。當前階段，在進行移動互聯網信息系統的安全等級保護測評過程中，具有測評機制的應該是由公安部授權過的具有安全資質的第三方信息機構，該機構可以為各大小企業單位與事業單位提供專業化的信息安全等級保護測評以及等級保護咨詢服務。因此，作為測評機構，在單位內部要加強對信息系統安全等級保護與測評工作的重視，通過與運營維護企業之間建立密切配合關系，派遣專人專項負責等措施，貫徹落實各項移動互聯網信息系統等級保護測評機制，并在主管公安部門的監督與指導下，以最優等級的保護措施與測評工作，確保移動互聯網信息系統的安全、順暢運行。與此同時，還要加強對移動互聯網信息系統的日常密碼維護，嚴格按照相關規定去定期修改密碼、進行密碼維護。從一定程度上來講，密碼維護也是一項十分關鍵的信息系統安全管理措施，通過定期的維護與測評可以有效提高移動互聯網信息系統的安全性與穩定性，也可以有效降低系統與服務器被惡意攻擊的可能性。相關人員必須要端正對移動互聯網信息系統等級保護測評的重視態度，才能采取有效措施對移動互聯網信息系統進行分等級保護，從而提升移動互聯網信息系統的安全性與不可攻擊性。只有提升相關工作人員對安全等級保護的重視程度，才能在此基礎上開展等級保護備案、等級保護安全建設、信息整改、安全測評以及信息安全性檢查工作。

為了加強相關工作人員對移動互聯網信息系統等級保護測評的重視，可以從加大對計算機相關安全系統與安全保護條例等相關政策制度的宣傳教育入手，切實做到對相關工作人員意識普及與職業素養的培訓，幫助相關人員認識到互聯網信息系統安全等級保護與保護測評的重要性，從而幫助其端正自己的工作態度，恪盡職守。其中不僅包括對相關信息安全等級保護規章制度的強化學習，還要針對移動互聯網信息系統等級保護測評要求與工作流程的嚴格化與規范化培訓，切實將信息系統安全保護工作貫徹落實到每一個細節。一方面要確保移動互聯網信息系統的正常高效運轉，另一方面還要促進信息系統等級保護測評工作的不斷創新。此外，公安部門也要通過各種類型的宣傳與引導活動，針對信息系統的安全問題及時作出科普，比如可以通過定期開展互聯網信息安全講座、分發移動互聯網宣傳手冊等方式，在潛移默化中加強人們對移動互聯網信息系統安全保護的認識，必要時可以將法律作為武器懲戒各類破壞移動互聯網信息系統安全的違法行為。

4? ? 結語

移動互聯網信息系統等級保護無論是對于廣大用戶來說還是對于整個行業的正常運行來說都至關重要，它既影響著企業于用戶的正常工作與生活，也間接影響著移動互聯網信息技術的長遠發展。因此，針對移動互聯網信息系統的等級保護以及等級保護測評不容小覷，需要相關部門與相關工作人員從強化信息系統安全保護意識與等級測評意意識入手，以維護移動互聯網信息系統軟件安全、網絡安全、數據庫安全以及終端設備安全為著力點，在切實確保移動互聯網信息系統正常運行的同時，加大對移動互聯網信息系統等級保護測評機制的不斷健全與完善。

[參考文獻]

[1]馬帥.等級保護設計要求下的移動業務系統安全防御體系[J].保密科學技術，2012（1）：24-28.

[2]馮志杰，李紅雙.智能終端安全防護體系設計[J].電信工程技術與標準化，2013（2）：18-22.