如何建立適應改革需要的，多部門網絡和數據安全體系

文 ｜ 內蒙古自治區大數據中心 于麗麗

2020年10月20日，內蒙古自治區大數據中心組建成立。經過一年多的全力溝通和密切配合，部門間的工作溝通協調和工作機制基本建立。隨著“東數西算”、“數字政府”、“數字經濟”、“數字產業化和產業數字化”工程的快速推進，《中華人民共和國數據安全法》、《中華人民共和國個人信息保護法》《關鍵信息基礎設施安全保護條例》等法律法規的出臺，結合自治區信息服務機構改革對網絡安全工作提出更高的要求。基于此，本文將從自治區信息服務機構改革面臨的問題出發，提出安全防護措施提出個人的一些意見，僅供參考。

按照自治區黨委關于政府系統信息服務機構改革的部署要求，2020年10月20日，內蒙古自治區大數據中心組建成立。經過一年多的全力溝通和密切配合，職能調整和人員轉隸全部到位，部門間的工作機制基本建立，但還面臨著一些深層次矛盾和亟待解決的問題。大數據時代下，面對多部門的網絡安全職責不清、界限不明、不同架構、不同數據結構的系統等錯綜復雜的問題，信息安全問題屢見不鮮，因此，如何理清與服務廳局的安全邊界，有效應對計算機網絡信息安全問題并且加強相應的防護措施，已經成為各行各業發展過程中重點研究的課題之一。

一、中心網絡安全和數據安全體系基本現狀與問題

機構改革前，自治區各廳局負責廳局信息化建設的主要任務，是安全責任的主體。改革后，自治區大數據中心作為原廳局信息系統和網絡安全運行的技術支撐單位，承擔著信息系統和網絡的安全運維。

（一）安全邊界不清晰的問題

各廳局在完成信息系統和資產劃轉后，普遍認為信息系統已經劃轉到大數據中心，安全責任應由大數據中心負責。但實際工作中，大數據中心作為技術支撐單位，主要負責是信息系統和網絡的安全運維與服務。各廳局作為信息系統和網絡的應用主體，應負責廳局用戶的安全管理和規范應用等工作。由于機構改革，將分散在各廳局的信息系統劃轉到大數據中心，應用方和技術服務職責的拆分，造成改革初期的服務廳局與我中心的安全邊界不清晰、各部與運維企業的安全邊界不清晰以及部內安全運維和服務內容有待進一步理清等問題。

（二）安全運維和服務團隊建設欠缺

機構改革前，多數廳局更多注重的是系統的建設和運維，在信息系統和網絡安全運維和保障建設等方面都比較薄弱，多數未建立專業的安全運維團隊，未采購專業的安全服務團隊，專業的安全人才匱乏。經初步統計，中心目前具有安全方面的證書CISP的不足十人，占中心總人數的比例較低。

（三）安全運維和服務水平參差不齊，未形成工作合力

機構改革后，各廳局劃轉的信息系統和網絡安全運維和服務工作由不同程度、不同水平的人員來進行管理和維護，技術力量和水平參差不齊。截至目前，在信息系統劃轉后，基本按照各廳局原來的運維力量來完成安全保障和服務工作，未形成安全的合力，整體的大安全保障基本空白。

（四）安全管理制度需要進一步完善

經初步統計，中心針對改革后出臺了一些網絡安全和數據安全體系的規章制度，主要包括《內蒙古自治區大數據中心政事權限清單》《大數據中心網絡安全責任制實施細則》《內蒙古自治區大數據中心與各委辦廳局網絡與數據安全協同聯動工作要求》《大數據中心與各委辦廳局突發網絡安全事件應急預案》，初步明確了中心與各服務廳局的安全邊界和安全職責，對運維服務的機房、網絡和信息系統安全提供了一些基礎保障。但是這些制度在一定程度上存在普遍性，針對廳局的實際，需要進一步的細化和完善。

二、問題產生的原因

信息系統和網絡應用主體和運維主體的劃分造成安全邊界不清晰。信息系統和網絡應用劃轉后，造成應用主體為各廳局，技術服務支撐主體為大數據中心，管理和應用主體的劃分，在改革初期存在一定程度上的劃分不清晰。安全邊界的劃分需要與各廳局在實際對接中逐步解決。

由于歷史原因，系統建設初期重建設，輕安全，造成安全服務滯后。部分業務系統前期注重系統建設和應用，考慮安全的比重較少，安全的整體規劃缺乏一定的頂層設計，未引入專業的安全服務團隊，安全服務的技術力量比較薄弱。

人員和經費投入有限，在一定程度上制約安全團隊的建設。各廳局的安全經費較建設和運維經費投入均不多，進而專業安全人員的培養和專業安全團隊的引入就存在一定的局限性，一定程度上制約了安全服務團隊的建設。

三、工作建議

（一）結合實際，一廳一策，逐步明確安全服務邊界

按照“誰主管、誰負責，誰建設、誰負責，誰應用、誰負責”的原則，針對不同的服務廳局實際情況，細化分類標準，在對接和合作過程中，逐步明確雙方的安全邊界。

（二）統分結合，應用驅動，不斷加強安全服務團隊建設

由中心統一規劃設計和組織協調，各處部結合工作實際分別組織實施，按照應用驅動原則，進一步加大專業技術人員安全技能培訓力度，激勵大家將所學知識應用于工作實踐。在中心專家委員會下組建安全服務專家組，遴選有能力的技術人員進入專家組，作為中心網絡安全專業團隊，為各處部提供網絡安全咨詢培訓和技術支持。

（三）結合實際，逐步完善，確保安全管理制度落實落細

中心目前運維管理的信息系統數量大、復雜度高、范圍廣，涉及的安全管理要求更高、更全、更細。建議遵循大的安全框架，結合廳局實際，逐步完善細化機房管理、設備安全管理、信息系統運維管理、數據安全管理、終端的安全管理、用戶管理等方面管理制度，堅持實用的原則，確保完善安全管理制度落實落細。

（四）加強管理，細化權限，提升管理能力

安全工作是三分技術，七分管理，建議加強對運維企業人員、權限等方面的管理，清理設備管理權限、信息系統管理和應用權限、數據的分級分類權限和運維人員賬戶。建立清單，摸清家底，科學分配各種管理權限、運維權限和應用權限，客觀上避免開發企業和運維企業對信息系統和數據資源的技術管控權限很大。