區域網絡安全管理體系建設的實踐研究

【摘 要】網絡安全在今天的重要性不言而喻。本文全面闡述了區域教育系統網絡安全管理體系的建設要點，包括制定并動態調整安全管理制度、采用先進安全防護技術，以及強化網絡運營者與使用者的保障措施，旨在構建一個適應復雜網絡安全環境的穩固體系，確保教育應用平臺與系統的長期安全穩定。

【關鍵詞】區域網絡安全；管理體系；建設實踐

【中圖分類號】G434 【文獻標志碼】B

【論文編號】1671-7384（2024）011-036-02

當前，網絡安全面臨的挑戰越來越大，因此，制定好網絡安全制度并嚴格執行是必須重視的工作。我國從2017年正式發布《網絡安全法》以來，七年里，《數據安全法》《個人信息保護法》等各項相關法律法規相繼出臺，各項規章制度逐步完善，國家網絡安全管理框架已經基本形成。雖然各項法律法規逐漸落實到區域教育領域，但建立區域教育系統網絡管理體系，仍然需要從具體的管理工作出發，其中涉及區域網絡安全管理制度建設、網絡安全防護技術建設、網絡安全管理保障措施等。本文將區域網絡安全實踐作為研究對象，闡述區域網絡安全管理體系建設的要點。

區域網絡安全制度建設的基本要求

在等級保護2.0制度框架下，安全管理制度建設是安全管理要求中的一項重要內容[1]。在第三級安全要求中明確指出，管理制度應對安全管理活動中的各類管理內容建立安全管理制度；應對管理人員或操作人員執行的日常管理操作建立操作規程；應形成由安全策略、管理制度、操作規程、記錄表單等構成的全面的安全管理制度體系。由此看來，制度建設不僅應作為安全管理要求中的一項內容，還應作為整個管理體系的基礎。我們認為，區域安全制度建設應滿足以下幾項基本要求。

1.區域網絡安全制度是對國家法律、制度的具化

從網絡運營者視角出發，制度建設應滿足國家網絡安全法、數據安全法、個人信息保護法等各項法律法規的基本要求[2]，并匹配市、區、校聯動機制。制度建設應保持與國家法律、制度的一致性，不能與國家法律制度產生矛盾。在滿足各項法律法規的基礎上，區域安全制度建設還應重點考慮網絡安全等級保護制度。

2.區域網絡安全制度建設應適合實際情況

區域網絡安全管理者需考慮本區域網絡結構、網絡設備、網絡應用的特點進行制度建設。每個特定區域的城域網接入學校數量各不相同，網絡設備性能有所差別，網絡應用所涉及的業務不盡相同，敏感數據量級、數據交換量、終端用戶數量也有很大區別。同時，等級保護制度要求定期對安全管理制度的合理性和適用性進行論證和審定，對存在不足或需要改進的安全管理制度進行修訂，因此，制度建設應與本區域的實際情況相匹配。

3.區域網絡安全制度建設是動態而非靜態建設

根據等級保護第三級系統的管理制度制定和發布要求，區域網絡安全制度的建設應指定或授權專門的部門或人員負責，安全管理制度應通過正式、有效的方式發布，并進行版本控制。這意味著管理制度需定期進行動態更新。從控制過程看，具體的版本應具備至少兩種控制方式：第一，在發現制度的不合理性和不適應性時，及時進行小范圍制度修訂。第二，定期進行制度梳理，進行較大范圍的制度版本修訂。

區域網絡安全防護的技術建設

1.以滿足等級保護基本要求為目標

最新國家標準《信息安全技術網絡安全等級保護基本要求》對各等級系統安全技術的要求有明確描述，涉及安全物理環境、安全通信網絡、安全區域邊界、安全計算環境和安全管理中心五大分類。滿足這些技術要求，需要配備相應的安全環境、管理設備和軟件技術，如安全區域邊界的訪問控制，就需配備硬件防火墻進行不同安全域之間的隔離阻斷。以第三級安全為例，涉及技術方面的第四層指標多達96項，安全防護技術要求體系完整，在等級保護測評中，要以滿足等級保護基本要求為目標，同時應注意不同級別的安全要求，不能一刀切，以免給學校工作帶來不利影響。

2.態勢感知、云監測的有效運用

態勢感知能夠實時對網絡中的流量進行監控與分析，區分正常流量和可疑流量，結合威脅情報、規則引擎、文件虛擬執行、機器學習等技術，對事件進行研判和回溯，采用可視化技術清晰展示網絡中的威脅，展示每日的告警詳情。運維人員可以根據告警詳情，判斷是否為攻擊事件，及時處理相關安全隱患。云監測服務周期性地提供安全漏洞檢測，自動更新檢測規則，全面、快捷識別網站存在的最新漏洞，針對資產進行全面掃描，將掃描出的信息，通過分析模型及海量樣本庫加權判斷，可檢測出網站是否被仿冒、網頁是否被掛木馬、網頁是否被篡改等安全威脅，加上能及時告警，問題可得到快速處理。通過部署以上服務，區域網絡整體環境可得到凈化，安全性顯著提升。

3.網絡應用登記和漏洞掃描

“網絡應用登記”是區域網絡應用資產管理平臺，各學校按照要求在線登記應用、網站、IP、端口等詳細情況，不斷更新“網絡應用登記”電子信息臺賬。管理者根據臺賬中的信息開通相關策略，清理“雙非網站”和“僵尸網站”等網絡應用。安全漏洞是導致網絡安全問題存在的主要因素[3]，根據電子信息臺賬，管理者每月對系統主機進行漏洞掃描，及時發現漏洞。漏洞掃描系統在完成評估過程后，會生成詳細報告，報告內容包括漏洞名稱、漏洞的嚴重程度、建議的修復措施等。這份報告作為進行安全修復和加固的依據，安全運維人員結合教育行業SRC平臺進行分析，可綜合判斷漏洞來源信息。相關系統負責人員需按時根據建議及時修復高危漏洞，從而采取有效措施，降低安全風險，提高系統的防御能力，降低被網絡攻擊的概率。

區域網絡安全管理保障措施建設

區域網絡安全管理者應充分認識到制度落實和技術防護任務的艱巨性，從運營者角度和使用者角度，均需采取行之有效的保障措施。

1．網絡運營者角度的保障措施

區級網絡運營者需提升網絡安全整體規劃能力，做好中長期網絡安全頂層設計，設置年、季、月度目標，加強執行力，制定每周安全工作指標；加強技術能力研究，提升技術保障水平，采用領先的技術服務，保障網絡安全基礎設施、軟件、服務、人力、應急響應與恢復等資金預算投入；采用市、區、校三級聯絡員聯動機制，定期進行應急演練。網絡運營者要加強數據安全管理，不斷深化對數據法治治理體系建設的認識，完善數據治理體制機制，自上而下全面推進數據治理實際工作[4]。重要保護時期應加強應急值守，嚴格落實零報告制度。

2．使用者角度的保障措施

從個人視角出發，我們可依托宣傳周、培訓、講座等宣傳途徑，提升廣大師生網絡安全意識和網絡安全技術能力；可開展網絡安全意識培訓，培訓內容納入教師信息素養提升培訓計劃中，作為每位教師必須參加的培訓課程；可定期發布安全案例，讓更多教師、學生懂得保護自己；可經常性提供網絡安全技術提示，推行密碼管理、辦公防病毒等技術防御措施，下發安全提示材料至各學校，確保文件發送到每位教師和學生手中，提升師生網絡安全技能，以實踐促師生信息素養的提升[5]。

注：本文系北京市昌平區教育網絡安全管理實踐研究課題（課題立項號：BENIC2021140002）研究成果

參考文獻

李帥. 基于等級保護2.0標準的企業網絡安全管理體系建設[J]. 中國新通信，2023，25（4）： 99-101.

李經，趙亞哲，董玥秀. 基于法治維度探討網絡運營者網絡安全管理制度[J]. 網絡安全技術與應用，2024（2）： 132-134.

朱斌勇. 數字化轉型背景下高校網絡安全保障措施研究[J]. 網絡安全技術與應用，2024（2）： 70-72.

左曉棟. 我國數據安全法治治理體系建設的回顧與展望[J]. 國家治理，2023（23）： 32-37.

程欣. 區域一體化網絡安全防護體系建設實踐[J]. 實驗教學與儀器，2023，40（2）： 118-120.