蘭州市高度重視網絡及信息安全工作多措并舉打造網絡安全閉環管理模式

　　自6月1日起，《中華人民共和國網絡安全法》正式施行，近日，蘭州市大數據社會服務管理局通過交流學習和邀請律師輔導解讀等方式，組織局系統全體干部專題學習《中華人民共和國網絡安全法》（以下簡稱《網絡安全法》）。

　　《網絡安全法》是我國第一部全面規范網絡空間安全管理方面問題的基礎性法律，是我國網絡空間法治建設的重要里程碑，是依法治網、化解網絡風險的法律重器，是讓互聯網在法治軌道上健康運行的重要保障?！毒W絡安全法》的頒布確立了網絡安全所遵循的原則、網絡空間治理目標及國家建立網絡安全監測預警和信息通報制度，提高了我國網絡安全政策的透明度，進一步明確了政府各部門的職責權限，完善了網絡安全監管體制，為網絡安全工作提供切實法律保障。

　　當前，我國高度重視網絡和信息安全工作的發展，加快構建關鍵信息基礎設施安全保障體系，全天候、全方位感知網絡安全態勢，增強網絡安全防御能力和威懾能力，因此做好信息安全工作，加強網絡安全態勢感知建設已成為國家以及各級黨委、政府的一項重要工作。

　　蘭州市委市政府始終把網絡和信息安全工作擺在重要位置，自市大數據局成立以來，一直堅持“擴大應用、保障安全、發展產業”的工作原則，認真履行工作職責，有序開展全市信息化建設和蘭州市電子政務網絡及應用系統運維和信息安全工作，為了有針對性的解決電子政務網絡及應用系統中存在的問題，不斷適應網絡和信息安全新形勢、新發展的變化，逐步提高全市電子政務網絡及應用系統的安全基線，從安全管理、安全技術、提高監管門檻三個方面具體工作措施入手，開展網絡安全工作，初步形成了應用系統動態的、全過程的、全生命周期的安全閉環管理模式。

　　在加強安全管理方面，引入國內具有國家級重大活動保障經驗的網絡安全知名廠商，統一協調、調配現有的運維團隊和安全設備供應商，形成現場駐場技術支持、本地高級技術服務響應、遠程技術團隊提供技術支撐的階梯式配置的安全服務格局，及時發現和解決政務網絡及應用系統實時運行過程中的安全問題。

　　組織專業人員駐場進行信息資產調研及安全檢查，通過階段性的安全情報分析與日志分析找出未知威脅，梳理審計及監測，發現和分析全網現有的安全問題，并制定相應的安全運維工作方針和策略。借助先進的信息安全輔助工具，通過常態化的信息安全巡檢工作，對市大數據局負責運維的蘭州市大數據中心，市政府門戶網站群、蘭州市電子政務網絡等重要業務系統網絡，進行信息安全檢查，完成維護和相關加固工作。結合現有的安全管理平臺SOC系統及網管系統，完成全網的信息安全維護及策略調整，并對輸出成果及遺留問題進行梳理和總結，列出整改所需技術及管理的建議措施，完成信息安全加固工作和相關合規的落地工作。

　　在利用安全技術方面，采用目前先進的云防護技術、態勢感知技術進行本地化部署，提升對全市電子政務網絡及應用服務的安全防護和在線監測能力。

　　在市大數據局負責運維的重點系統實現三級等保的基礎上，采用目前國內主流的、先進的云防護成熟技術進行本地化部署和建設，增強重點系統運行狀態下的安全防護能力，實現從靜態安全防護到動態安全防護的系統全生命周期安全閉環運行管理，提升系統安全運行基線水平。運用態勢感知技術對系統的應用進行全面監測，采集動態運行中系統各層面的數據信息，并對數據信息進行比對分析，為安全防護提供數據支撐，建立和形成系統自身的安全數據庫，結合態勢感知提供的及時更新的數據庫信息，為系統安全防護提供預警、安全防護策略及時更新等安全服務，提升整個電子政務外網、重點系統的安全基線標準。運用安全防護、態勢感知獲取的安全數據信息，不斷豐富和更新實戰演練培訓內容，使培訓更具實用性。同時，增加等保自檢能力建設，進行不定期的等保測評自查。最終實現對系統運行狀態下的靜態與動態相結合的云安全防護、安全監測以及安全自查相結合的系統網絡安全技術手段建設。同時，也可為全市重點部門的應用系統提供全面監測、技術支持、等保自評服務。

　　在提高監管門檻方面，通過引入目前較為主流的眾測服務，對系統更深層次的檢測，通過蘭州市信息安全技術保障平臺，實現新建系統的風險評估部分檢測內容，對新建系統進行全方位檢測和滲透，找出漏洞，將安全隱患隔離在上線之前，提高政務網絡對新建系統的準入門檻，有效保障政務網絡內運行系統的安全性和可靠性。

　　下一步，市大數據局將進一步運用“取之于云，用之于云”的理念，建設電子政務網絡及應用系統的云安全管理體系，將管理單位，云計算提供單位、運維單位，安全廠商統一納入云安全管理體系當中，通過云安全資源池的建設，來緩解云計算、大數據架構下的安全防護能力不足的問題。