信息來源：企業(yè)網(wǎng)
網(wǎng)絡安全一直是沒有硝煙的戰(zhàn)場，這場突如其來的新冠肺炎疫情期間有更多來自外部的攻擊和威脅，多部委發(fā)布關(guān)于涉新冠肺炎疫情的網(wǎng)絡安全風險提示。開展網(wǎng)絡安全等級保護工作不能松懈，等級保護測評工作應采取合適手段繼續(xù)開展。
一直以來等級保護測評由于涉及的均為生產(chǎn)環(huán)境，采取了更多的現(xiàn)場測評方式，那么新冠肺炎疫情期間，在不見面、遠程辦公條件下，等保工作就進行不了么?要如何開展呢?中國軟件評測中心網(wǎng)安中心給出了以下建議。
一、網(wǎng)絡安全等級保護工作主要內(nèi)容
首先簡要介紹下網(wǎng)絡安全等級保護工作的5個方面的內(nèi)容：
-
定級確認定級對象,參考GB/T 22240-2008《信息安全技術(shù) 信息系統(tǒng)安全等級保護定級指南》等初步確認等級,組織專家評審,主管單位審核,公安機關(guān)備案審查。
-
備案持定級報告和備案表等材料到公安機關(guān)網(wǎng)安部門進行備案。
-
安全建設以GB/T 22239-2019《信息安全技術(shù)網(wǎng)絡安全等級保護基本要求》中對應等級的要求為標準,對定級對象當前不滿足要求的進行建設整改。
-
等級測評委托具備測評資質(zhì)的測評機構(gòu)對定級對象進行等級測評,形成正式的測評報告。
-
監(jiān)督檢查向當?shù)毓矙C關(guān)網(wǎng)安部門提交測評報告,配合完成對網(wǎng)絡安全等級保護實施情況的檢查。
了解了等保工作的主要內(nèi)容，不難發(fā)現(xiàn)等級測評只是其中的一部分，等保工作還有許多可以遠程開展。
二、可遠程開展的等保工作
1. 開展定級備案部分工作
網(wǎng)絡安全等級保護對象定級工作一般流程為:
定級和備案是一項專業(yè)的工作：
-
在確定定級對象時，可能涉及到基礎(chǔ)信息網(wǎng)絡、工業(yè)控制系統(tǒng)、云計算平臺、物聯(lián)網(wǎng)、移動互聯(lián)網(wǎng)等多種對象類型。
-
初步確認等級時，需結(jié)合定級對象的具體情況，分析業(yè)務信息安全受到破壞時所侵害的客體—>綜合評定對客體的侵害程度—>確定業(yè)務信息安全等級;分析系統(tǒng)服務安全受到破壞時所侵害的客體—>綜合評定對客體的侵害程度—>確定系統(tǒng)服務安全等級=》定級對象的初步安全保護等級。
-
專家評審時，應組織信息安全專家和業(yè)務專家，對初步定級結(jié)果的合理性進行評審，出具專家意見。
-
在公安機關(guān)備案審查時，需要定級對象的運營、使用單位根據(jù)相關(guān)管理規(guī)定，提交備案材料，包括但不限于備案表、定級報告、專家評審意見等。各地方公安機關(guān)對備案材料的要求有所不同，需要提前準備。
以上工作內(nèi)容都需要專業(yè)人士和時間完成，可以在遠程辦公的條件下開展工作。
定級對象的運營、使用單位普遍實現(xiàn)了管理文檔電子化、管理流程化，等級測評機構(gòu)可以通過訪談、檢查等檢查方法，對網(wǎng)絡安全管理部分進行差距評估。
定級對象的運營、使用單位可以根據(jù)差距評估的結(jié)果，目前缺少的安全管理制度進行補充，完成安全管理制度匯編。這個過程也可以尋求專業(yè)機構(gòu)的咨詢服務。
2. 部分網(wǎng)絡安全技術(shù)測評
對于互聯(lián)網(wǎng)可訪問的信息系統(tǒng)，運營、使用單位多通過互聯(lián)網(wǎng)+加密通道的方式進行運維管理和使用。這類系統(tǒng)進行等級測評，與測評機構(gòu)充分溝通后，制定合理的、風險可控的測評方案和計劃，部分測評對象的安全技術(shù)測評可以遠程進行，如滲透測試、漏洞掃描。需要過程中留好測試記錄，比如視頻錄屏、截屏、檢測配置截圖等。
3. 源代碼安全審計
等保工作中對源代碼安全審計也有相應要求，遠程辦公環(huán)境下，工程師可以采用靜態(tài)分析工具對源代碼進行安全審計，確認安全審計問題報告，及整改情況回歸。
4.網(wǎng)絡安全意識教育和培訓
等保工作中對安全培訓有相應要求如：應對各類人員進行安全意識教育和培訓,并告知相關(guān)的安全責任和懲戒措施;應針對不同崗位制定不同的培訓計劃,對安全基礎(chǔ)知識、崗位操作規(guī)程等進行培訓。遠程辦公環(huán)境下，完全可以開展相關(guān)培訓。
三、可以遠程洽談簽訂合同
目前大部分項目都可以遠程進行洽談和合同簽訂。銷售顧問、技術(shù)經(jīng)理都在線辦公，工作時間能夠滿足遠程洽談的需要。
