數字化時代內網安全合規運營實踐探究

摘要：在數字化時代，各種數字化系統越來越繁雜，外網與內網連接界限也越來越模糊。在此背景下，內網系統的運行安全主要是通過統一的硬件或軟件安全平臺來實現，包括防火墻、IDS和IPS入侵檢測系統、UTM威脅管理系統、上網行為管理系統，等。本文從內網管理者如何做到安全合規的問題切入，探討了運營商如何采取有效的安全合規管控手段來支撐內網系統的正常運作，從而實現內網數字化系統安全、快捷、合規的運營，并提出了通過搭建內網安全合規運營平臺，建立創新的立體防護體系的建議，以期實現規范、可管、可控、可視、高效的內網安全合規運營目標，賦能企業量質構效的高質量發展。

關鍵詞：規范化管理；預警提醒管理；管理可視；智能分析可視；評價考核

一、引言

當前，國內運營商都在推進數字化轉型。隨著數字化轉型的深入推進，系統數量和業務規模持續增長，主要涉及B、D、M域，均與日常生產和管理相關，對系統安全和穩定性運行要求極高。但是，目前大部分系統缺少有效的安全合規管控手段，對系統的管理多以系統主管和安全主管的個人經驗為基礎，存在管控效率低、運行不透明、流程不可視、任務協同差、文檔不健全、操作無臺賬等諸多安全風險隱患。

安全管控過程中的各類痛點問題不斷涌現，主要集中在以下八個方面：①安全檢查耗時耗力。通信通訊公司的年度安全檢查，涉及人員多，時間跨度長，資料龐雜，耗時耗力，成本高。②安全整改流程不規范。一方面，系統安全漏洞整改涉及的系統多、廠家多，另一方面，漏洞檢測結果和復測結果未上傳，導致整改過程無法跟蹤，增加了整改任務檢查工作量。③重保工作難協同。重保工作頻率高、參與人員多、檢查點多；缺乏對重保全流程管理機制，且沒有重保工作臺賬記錄相關工作過程。④關鍵操作無提醒。在系統管理過程中，每年都會有一些固定的關鍵操作，例如證書到期續費、定期擴容等，目前全靠主管自己手動記錄，過程不透明，。一旦關鍵操作過期未執行，會導致系統運行異常。⑤重要任務無臺賬。數據安全合規檢查缺少臺賬，在研發團隊、研發管理制度、代碼審查、外包人員管理、代碼管理和數據防泄漏等方面沒有規范的流程，更沒有明確的臺賬記錄。⑥系統巡檢分散不透明。系統巡檢都在支撐廠家手里，檢查內容和結果不透明，導致相關管理人員無法準確把握系統巡檢相關工作，不能及時了解系統運行情況。⑦工號權限違規無記錄。工號權限每年審計，每年都有違規，而目前無系統支撐常規化工作，沒有進行檢查記錄和整改記錄的能力，無法追溯問題根源。⑧缺乏日常工作推行開展機制。省內自建系統的應急預案、故障管理、隱患排查等工作，缺少日常工作推行開展機制，缺少工作臺賬、缺少流程支撐、工作各環節不透明。內網安全合規運營平臺方案的出臺，旨在解決上述數字化系統安全合規管控過程中遇到的上述痛點問題，提升內網信息安全生產保障能力，推動相關規章制度的落地執行，促進日常生產運營、維護及信息系統安全管理及維護等工作的合規性，理清規范責任，規避管理風險。

二、內網安全合規運營平臺

通過制定合規運營規程、強化數字化支撐手段、嚴格監管運營過程三個步驟，從而建立內網安全合規運營體系，加強對數字化系統的合規運營管控能力，做到系統清、文檔全、合規運營任務流程可視、任務執行過程可回溯、運營風險提前預防、運營任務高效協同。

（一）內網安全合規運營體系

為了切實做好內網運行安全合規工作，進一步提升數字化系統運營維護管理水平，推動相關規章制度的落地執行，促進日常生產運營、維護及信息系統安全管理及維護等工作的規范性，理清規范責任，規避管理風險，更好地推進生產運營工作，全面梳理數字化各項規章制度，從應急預案和故障、IT安全管理、重保管理、風險和合規監控、賬號權限管理、維護操作管理、系統變更管理、計費賬務管理、數據安全、合作方管理、系統巡檢、隱患排查整治、規程培訓等13個方面進行數字化系統安全合規運營管控，并以月為單位執行，從而推動精細化管理，具體如表1所示。

（二）平臺概述

以目前內網安全合規運營過程中出現的各類痛點問題為突破口，基于云平臺，進行內網合規運營能力建設，支撐各應用系統的信息管理、安全管理、規程培訓、合規檢查、應急預案、故障管理、隱患排查等安全合規任務管理，實現系統可管、任務可控、流程可視、人員可評，如圖1所示。

（三）內網安全合規運營規范化管理

通過工作流技術BPM，進行應急演練流程管理、IT安全流程管理、重保流程管理、合規檢查任務管理、常態化檢查任務管理、規程培訓管理等，實現任從務自動或手動生成、派發、處理，到審核、關閉的全生命周期管理。其中，合規檢查任務管理包含對賬號權限、維護操作、計費賬務、數據安全、合作方管理和系統變更進行合規檢查；常態化檢查任務管理包含系統日常巡檢、隱患排查整治等日常工作。全流程任務完成后進行評分評價。包含功能：1.流程設計；2.表單管理；3.表單業務組件配置；4.系統場景配置；5.活動列表；6.任務起草；7.我的申請；8.我的待辦；9.我的已辦。

（四）預警提醒管理

根據預警規則配置，對逾期任務、緊急任務等進行預警和提醒，從而節省人力管理任務進度的時間，保障任務的順利及時完成。針對應用模塊下線、故障配件更換、應用證書延期等關鍵操作設置提醒，確保關鍵操作無遺漏。包含功能：1.任務預警規則配置；2.對逾期任務、緊急任務等進行預警和提醒；3.關鍵操作提醒設置；4.關鍵操作提醒發送及展現；5.關鍵操作登記內容的查詢及管理。

（五）系統全生命周期管理

對應用系統進行統一納管，及時管理各系統的版本變更和運行情況。將各系統對應的負責人與支撐廠家進行匹配，確保各系統安全任務責任到人。將各系統的重要文檔進行統一收集、維護并及時更新，確保知識共享，為各應用系統的安全管理提供系統化保障。

包含功能：1.各系統信息統一管理；2.各系統主管、地市、廠家人員的維護管理；3.文檔組維護、系統文檔共享、通用文檔共享；4.各種業務參數等基礎數據的管理和維護。

（六）安全管理可視

設置系統工作臺，一屏總覽各應用模塊的詳細信息，包含系統基本信息、系統評分信息、巡檢情況、安全運行狀態、共享文檔信息，以及安全任務執行臺賬等。各類安全管理任務均可在系統工作臺全流程可視，從而實現派發任務的可看、可管、可跟蹤。

包含功能：1.系統工作臺展示內容及數據指標計算；2.多維度統計視圖；3.預警可視化視圖；4.工作臺提醒功能；5.系統任務軌跡查詢；6.歷史信息查詢。

（七）智能分析可視

根據安全規則自定義形成分析報告，可視化呈現各系統信息概覽、安全隱患、任務完成、系統訪問、文檔收集、巡檢、排班情況等，并支持以安全管理者視角或系統責任人視角定期推送分析報告。

包含功能：1.任務全流程可視；2.任務全流程節點下鉆、展示；3.整體分析報告；4.專項分析報告；5.安全檢查報告；6.自定義模板設置；7.報告導出和推送功能。

（八）評價考核

根據維護的系統評價規則、責任人評價規則、支撐廠家評價規則，對系統、責任人、支撐廠家給出綜合評分，可以提供按周、按月、按年的評價，按年的評價根據月評價綜合計算。

包含功能：1.系統評價規則維護；2.責任人評價規則維護；3.支撐廠家評價規則維護；4.根據評價規則，對系統、責任人、支撐廠家給出綜合評分。

（九）人員角色管理

根據員工角色和職責為工號設置菜單權限、按鈕權限、數據權限等，精確管控工號的操作權限。包含功能：1.用戶管理；2.角色管理；3.菜單管理。

三、實施效果

（一）主動預防，合規管控。

對日常巡檢、系統變更、故障、隱患、應急預案、安全漏洞、重保等，進行規范化、常態化、全生命周期的管理，保障系統安全、穩定、高效運行。根據各模塊檢查結果及時預防風險，及時規范責任人操作，減少每年因客戶投訴爭端而造成的補償費用支出。

（二）及時定位，高效協同

建立內網安全運行規范管理的立體防護體系，優化風險處理模式，實現風險的準確定位，提供更加靈活、有效的手段，提升安全管控效率，從而組建清晰、高效的內網應用系統防護網。

（三）賦能市場，規避風險

降低業務操作風險。通過賬號權限管理，減少賬號越權辦理業務。對于用戶強感知業務，如攜號轉網、停復話業務進行全流程管控，贏得市場認可，提升公司品牌形象、減少負面輿情。

（四）規范服務，賦能一線

為一線和市場人員提供隨時查詢、調取業務合規文件內容的平臺，規范業務辦理流程管理。定期進行安全規范的宣貫及培訓，確保一線人員對系統安全、數據安全的正確認知，加強一線人員的安全防范意識。

四、結束語

數字化轉型是利用數字化技術改造現有的傳統和非數字化業務流程和服務，以滿足不斷變化的市場和客戶期望，從而徹底改變企業的運營管理模式的過程。建立內網立體防護體系是數字化轉型中的一個服務單元，完善此單元的功能和管理，可以提升所有業務流程的安全性和合規性，從而支持業務發展和線上線下訂單量的拓展，為企業發展保駕護航。

作者單位：王小錦 中國聯通山西省分公司

參考文獻

[1]張潤滋，劉文懋. AISecOps智能安全運營技術體系框架[J].數據與計算發展前沿，2021，3（03）： 32-47.

[2]侯鑫美.企業網絡信息平臺運行安全監控系統的設計與實現[D].哈爾濱工業大學，2017.

[3]鄭暉男.校園內網安全系統的設計與實現[J].通訊世界，2015，（02）：58-59.