交通行業(yè)落實網(wǎng)絡安全三同步原則的實踐與思考

◆王家川 張偉

交通行業(yè)落實網(wǎng)絡安全三同步原則的實踐與思考

◆王家川1，2張偉3

（1.北京市交通信息中心 北京 100073；2.綜合交通運行監(jiān)測與服務北京市重點實驗室 北京 100073；3.北京市交通委員會 北京 100073）

網(wǎng)絡安全三同步原則體現(xiàn)了信息系統(tǒng)全流程安全防護和全生命周期管理理念。本文闡述了三同步原則的含義，分析了交通行業(yè)網(wǎng)絡安全的難點，并總結(jié)歸納了三同步原則在行業(yè)內(nèi)的實踐和存在問題，提出了改進措施。以期為交通行業(yè)信息化從業(yè)者開展網(wǎng)絡安全工作提供借鑒。

網(wǎng)絡安全法；智能交通；三同步；等級保護

信息化的規(guī)劃、建設、運維、優(yōu)化是一個持續(xù)不斷，周而復始的過程，而網(wǎng)絡安全則貫穿信息系統(tǒng)的全生命周期。但目前依然有較多主管部門將網(wǎng)絡安全工作作為整體IT運維支撐的一部分實施，即在項目驗收之后才開始考慮評估系統(tǒng)安全風險并實施相關(guān)改進措施，難以解決規(guī)劃建設階段的遺留問題?！吨腥A人民共和國網(wǎng)絡安全法》第三十三條指出，“建設關(guān)鍵信息基礎(chǔ)設施應當確保其具有支持業(yè)務穩(wěn)定、持續(xù)運行的性能，并保證安全技術(shù)措施同步規(guī)劃、同步建設、同步使用”。自網(wǎng)絡安全法頒布實施以來，“三同步”原則已不僅僅局限在關(guān)鍵信息基礎(chǔ)設施建設過程中，成為各領(lǐng)域開展網(wǎng)絡安全工作的基本原則[1]，也是提升信息系統(tǒng)網(wǎng)絡安全防護能力的基礎(chǔ)保障。

交通行業(yè)是網(wǎng)絡安全法所述重點行業(yè)之一，具有行業(yè)覆蓋范圍廣，影響大，與公眾關(guān)系密切等特點。同樣的，智能交通系統(tǒng)也相對復雜，不僅涉及電子政務、企業(yè)運營、“互聯(lián)網(wǎng)+”新業(yè)態(tài)，還包括海量的多源數(shù)據(jù)共享，部省系統(tǒng)聯(lián)網(wǎng)等等。如何落實網(wǎng)絡安全“三同步”原則，是交通行業(yè)提升網(wǎng)絡安全水平亟待解決的問題[2]。

1 網(wǎng)絡安全“三同步”原則和含義

隨著網(wǎng)絡安全法的深入貫徹，相關(guān)領(lǐng)域的法律法規(guī)都逐步將“三同步”原則作為推進網(wǎng)絡安全工作的基礎(chǔ)性要求?！毒W(wǎng)絡安全等級保護條例》（征求意見稿）、《交通運輸部網(wǎng)絡安全管理辦法》均將“三同步”原則作為開展網(wǎng)絡安全工作的依據(jù)。

“三同步”原則體現(xiàn)了全流程風險控制和監(jiān)管的理念。不僅是在網(wǎng)絡安全工作中，諸多涉及全生命周期風險管理的重要領(lǐng)域的法律法規(guī)都闡述了該原則。例如，在《安全生產(chǎn)法》、《環(huán)境影響評價法》、《藥品管理法》等法律中，都以不同的方式描述了本行業(yè)“三同步”原則的具體要求。

網(wǎng)絡安全的“同步規(guī)劃、同步建設、同步使用”原則，其目的是在信息系統(tǒng)生命周期各階段明確責任部門及安全職責，在全過程中推行網(wǎng)絡安全工作同步開展，做到管理關(guān)口前移，降低系統(tǒng)上線運行后運維階段的整改難度。同步規(guī)劃是指在系統(tǒng)規(guī)劃階段將網(wǎng)絡安全要求與業(yè)務需求統(tǒng)籌考慮，引入安全措施，開展安全方案設計，保障網(wǎng)絡安全預算。同步建設是指在項目建設階段，通過網(wǎng)絡安全管理制度和合同條款等落實主管單位、建設單位、開發(fā)單位及供應鏈廠商等的安全責任，保證安全措施得以有效實施；系統(tǒng)驗收時對網(wǎng)絡安全同步開展測評和驗收，確保只有達到設計的安全要求的系統(tǒng)能夠上線運行。同步使用是指在系統(tǒng)在日常使用和運行維護過程中，各相關(guān)責任單位執(zhí)行管理和技術(shù)措施，使系統(tǒng)具備設計的持續(xù)穩(wěn)定的安全防護水平，直至系統(tǒng)下線或者改造。

2 交通行業(yè)網(wǎng)絡安全“三同步”原則的實踐和問題

2.1 交通行業(yè)網(wǎng)絡安全工作難點

交通行業(yè)開展網(wǎng)絡安全工作，除了傳統(tǒng)交通行業(yè)管理的特點，還具有區(qū)別于其他領(lǐng)域網(wǎng)絡安全工作所獨有的特點。

首先，新技術(shù)及新模式在交通行業(yè)催生的新業(yè)態(tài)眾多，智能交通飛速發(fā)展，帶來的網(wǎng)絡安全影響和挑戰(zhàn)前所未有。各行各業(yè)都因新技術(shù)的發(fā)展產(chǎn)生了巨大的變革，然而像網(wǎng)約車、共享單車、自動駕駛、車聯(lián)網(wǎng)、MaaS平臺等融合了移動互聯(lián)網(wǎng)，北斗衛(wèi)星定位，人工智能，5G，大數(shù)據(jù)、高精度地圖等多種技術(shù)，與公眾出行緊密關(guān)聯(lián)，對傳統(tǒng)行業(yè)形成沖擊，仍然是全社會的關(guān)注熱點。同時，其也帶來了網(wǎng)絡安全全新的問題，風險隱患和結(jié)果評估不夠充分，引導行業(yè)有序發(fā)展的技術(shù)規(guī)范和安全保障措施仍有不足。

第二，智能交通系統(tǒng)生產(chǎn)、采集了海量數(shù)據(jù)，是數(shù)據(jù)所有部門珍貴的資產(chǎn)，但其也產(chǎn)生了難以估量的數(shù)據(jù)安全風險。交通行業(yè)已有的信息系統(tǒng)，生產(chǎn)或采集了海量的公眾出行、車輛軌跡、監(jiān)控視頻、交通票務、電子政務等數(shù)據(jù)，更有大量的從業(yè)人員及公民個人信息等敏感數(shù)據(jù)也往往成為網(wǎng)絡黑客攻擊、入侵、竊取以及破壞等的重點領(lǐng)域。由于交通大數(shù)據(jù)的分析和應用還處于較為初級的階段，因此對于網(wǎng)絡安全人員而言，如何開展數(shù)據(jù)分級分類防護，進行數(shù)據(jù)安全風險評估，處理云計算環(huán)境下殘留數(shù)據(jù)等都是巨大的挑戰(zhàn)。

第三，智能交通面向公眾提供的服務形式和渠道多樣，安全防護的對象范圍廣泛。每個人都是交通出行的參與者，網(wǎng)絡運營者為滿足公眾出行需求提供的智能交通服務方式也類別繁多。除了通常的信息系統(tǒng)，移動互聯(lián)網(wǎng)應用程序，還有大量的電子顯示屏，道路及車載智能攝像頭，智能卡，道釘?shù)任锫?lián)網(wǎng)設備等等，網(wǎng)絡安全等保2.0中的擴展要求內(nèi)容都有涉及。在開展網(wǎng)絡安全工作時，需要統(tǒng)籌考慮安全防護對象范圍和防護要求，避免對公共秩序造成損害。

2.2 交通行業(yè)“三同步”原則工作實踐

加強網(wǎng)絡安全管理的有效方式是在重要環(huán)節(jié)開展審查[3]，也是落實三同步原則的有益實踐。交通運輸管理部門陸續(xù)發(fā)布了相關(guān)文件，對于信息化建設項目的實施流程進行了規(guī)定。

信息化項目須經(jīng)過規(guī)劃方案評審、項目前置評審、項目投入使用評審、項目績效評估等流程。在前置評審和項目投入使用評審階段，均涉及了網(wǎng)絡安全內(nèi)容的審查。前置評審對項目申報材料進行形式審查和技術(shù)審查。技術(shù)審查重點審查共享開放、網(wǎng)絡信息安全、正版軟件使用、網(wǎng)絡資源使用等方面內(nèi)容。在項目投入使用審查階段，審核驗收文檔是否齊全，系統(tǒng)安全定級情況，安全測評情況等內(nèi)容。通過審查的項目才能進入下一環(huán)節(jié)。從項目立項和投入使用首末兩端的規(guī)定與審查，強化網(wǎng)絡安全約束，減少信息系統(tǒng)建設過程中的不合規(guī)性。

前置評審和投入使用評審從項目預算申請和運維預算申報兩個與經(jīng)費緊密關(guān)聯(lián)的環(huán)節(jié)實施信息化項目過程控制，有效保障了信息系統(tǒng)的網(wǎng)絡安全防護能力得到提升。

2.3 存在的問題

雖然交通行業(yè)基于三同步原則開展了一些實踐，但仍處于較為初級的階段，與國家和交通運輸部的要求仍有較大差距。

首先，信息化項目立項階段網(wǎng)絡安全整體規(guī)劃和方案設計沒有費用支持，申報書編制對于網(wǎng)絡安全、密碼應用安全考慮不足。

信息化項目立項須提交項目申報書，說明項目背景，業(yè)務，功能、數(shù)據(jù)、性能、安全需求，項目目標、建設方案等，申報書起到了項目可行性研究報告作用，是項目開展后續(xù)工作的基礎(chǔ)。但并非所有的信息化項目都能在立項前申請前期研究預算。編制單位也并非專門的咨詢設計單位，內(nèi)容也主要關(guān)注業(yè)務需求，存在業(yè)務需求明確但安全需求不清晰情況。系統(tǒng)安全建設方案通常沒有專業(yè)人員和費用支持開展。

第二，系統(tǒng)建設階段缺乏對開發(fā)單位的安全管理手段

項目通過招標或委托確定了建設單位后，進入開發(fā)實施階段。主管單位作為業(yè)主，與乙方的權(quán)利義務通過合同進行約定，往往缺乏對于網(wǎng)絡安全的責任界定，技術(shù)手段更加不足。對于外包軟件開發(fā)可能存在的惡意代碼、隱蔽通道，難以采取有效的審查措施，通常只是在驗收時開展安全測評，對于開發(fā)人員使用的第三方組件也沒有風險評估手段和要求。

第三，審查環(huán)節(jié)缺少網(wǎng)絡安全專家委員會及相關(guān)單位的參與

已有的與網(wǎng)絡安全相關(guān)的審查環(huán)節(jié)，還偏重于資料查驗，資料以滿足項目申報、備案為目的，網(wǎng)絡安全要求體現(xiàn)不足。審查人員也是網(wǎng)絡安全工作人員，沒有專門的網(wǎng)絡安全專家委員會充分審核論證，網(wǎng)信部門，主管單位，運行單位參與不足，項目試運行期間和質(zhì)保期內(nèi)防護措施較為粗疏。

3 改進措施

3.1 落實等保制度，在項目規(guī)劃立項階段明確安全要求

同步規(guī)劃的依據(jù)即為等級保護制度，建設單位應在項目立項階段編制項目申報書（可研報告）的同時，確定系統(tǒng)級別，開展系統(tǒng)安全方案設計，組織專家評審，進行備案。交通行業(yè)特別要聚焦本行業(yè)網(wǎng)絡安全特性，考慮定級對象的范圍和數(shù)據(jù)分級分類的要求，部省聯(lián)網(wǎng)系統(tǒng)要求等。以完備的系統(tǒng)安全方案，為后續(xù)系統(tǒng)實施提供依據(jù)。

3.2 在項目建設過程中，建立明確各方安全責任的網(wǎng)絡安全管理制度

在招標時明確網(wǎng)絡安全需求。建立項目網(wǎng)絡安全制度，明確系統(tǒng)主管單位，開發(fā)單位，供應鏈廠商，云服務商，監(jiān)理單位，運行單位等的安全責任。合同中明確對外包軟件開發(fā)的要求，要求開發(fā)單位建立代碼開發(fā)規(guī)范，對二級以上系統(tǒng)組織代碼審計和相關(guān)測評測試。

3.3 在系統(tǒng)使用階段，各方采取措施落實網(wǎng)絡安全責任

自系統(tǒng)上線試運行起，系統(tǒng)進入使用階段，直至系統(tǒng)下線，相關(guān)各方應履行網(wǎng)絡安全責任，保障系統(tǒng)穩(wěn)定運行。定期開展系統(tǒng)等級測評，及時對發(fā)現(xiàn)的漏洞和隱患進行整改。發(fā)生重大變更的，需要進行重新定級備案和安全整改，存在重大隱患無法整改的應提出升級改造需求。

3.4 對信息系統(tǒng)軟硬件資產(chǎn)進行普查，按需開展信息安全風險評估

對于歷史形成的信息系統(tǒng)，須組織全面的軟硬件資產(chǎn)普查，梳理系統(tǒng)基礎(chǔ)環(huán)境，技術(shù)要素，管理措施等。并對重要信息系統(tǒng)開展發(fā)信息安全風險評估，清理并下線長期無人使用的系統(tǒng)、測試系統(tǒng)等，提出系統(tǒng)安全防護提升措施建議。

4 結(jié)束語

“同步規(guī)劃，同步建設，同步使用”原則是強化網(wǎng)絡安全源頭治理的重要依據(jù)，也是避免系統(tǒng)“先天缺陷”的有效手段。交通行業(yè)的網(wǎng)絡安全工作應進一步深化對三同步原則的細化和落地應用，以保證各項工作有序開展，提升全行業(yè)的網(wǎng)絡安全防護能力。

[1]宋楊. 如何做好網(wǎng)絡安全三同步工作[J]. 中國高新區(qū)，2018，000（008）：230.

[2]梁健. 《網(wǎng)絡安全法》下的交通信息安全責任[J]. 中國公路，2017，10（494）：18-20.

[3]張孟媛，袁鐘怡. 美國網(wǎng)絡安全審查制度發(fā)展，特點及啟示[J]. 網(wǎng)絡與信息安全學報，2019，43（06）：5-13.