關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查*

王 娟，陳 爽，張景明

（中國電子科技網(wǎng)絡(luò)安全有限公司，四川 成都 610041）

0 引 言

隨著新技術(shù)、新應(yīng)用的發(fā)展，在給人們?nèi)粘Ｉ顜肀憷耐瑫r(shí)，公共通信和信息服務(wù)、教育、交通、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域的關(guān)鍵信息基礎(chǔ)設(shè)施面臨的網(wǎng)絡(luò)安全威脅也不斷升級(jí)，一旦遭到破壞或數(shù)據(jù)泄露等，可能嚴(yán)重危害國家安全、國計(jì)民生和公共利益，故網(wǎng)絡(luò)安全法明確對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施實(shí)行重點(diǎn)保護(hù)。因此，關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者要貫徹落實(shí)習(xí)近平總書記關(guān)于“加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系”“全面加強(qiáng)網(wǎng)絡(luò)安全檢查，摸清家底，認(rèn)清風(fēng)險(xiǎn)，找出漏洞，通報(bào)結(jié)果，督促整改”的重要指示精神，認(rèn)真落實(shí)檢查要求、全面摸清關(guān)鍵信息基礎(chǔ)設(shè)施底數(shù)，確保各項(xiàng)要求落實(shí)落細(xì)；通過檢查評(píng)估，準(zhǔn)確了解重點(diǎn)網(wǎng)站、企業(yè)的網(wǎng)絡(luò)和系統(tǒng)安全現(xiàn)狀，確定其信息資產(chǎn)的價(jià)值、敏感性和嚴(yán)重性，分析發(fā)生威脅時(shí)潛在的損失或破壞，明晰被檢查對(duì)象及其管理單位的安全需求，安全檢查不僅指導(dǎo)被檢查單位制定網(wǎng)絡(luò)和系統(tǒng)安全策略以及安全解決方案，建立信息安全保障體系[1]，也推動(dòng)了被檢查單位未來的安全建設(shè)和投入。

1 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查的基本原則

關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查以安全風(fēng)險(xiǎn)為出發(fā)點(diǎn)，對(duì)被檢查對(duì)象的安全性和可能存在的風(fēng)險(xiǎn)進(jìn)行檢測(cè)評(píng)估。關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者[2]開展檢查工作有兩種形式，自行或者委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)。工作基本原則包括標(biāo)準(zhǔn)性原則、可控性原則、完整性原則、最小影響原則和保密原則。開展檢查工作遵循國家、行業(yè)和組織相關(guān)標(biāo)準(zhǔn)開展檢查評(píng)估工作，在檢查實(shí)施過程中，應(yīng)保證參與實(shí)施的人員、使用的技術(shù)、工具和過程都是可控的。檢查評(píng)估方案要充分考慮整個(gè)實(shí)施過程中的所有環(huán)節(jié)，做到統(tǒng)籌兼顧，細(xì)節(jié)清楚。檢查評(píng)估的所有階段，要保證實(shí)施工作對(duì)系統(tǒng)正常運(yùn)行的可能影響降低到最低限度，不會(huì)對(duì)目前的業(yè)務(wù)系統(tǒng)運(yùn)行造成明顯的影響。委托第三方機(jī)構(gòu)的，特別要注意保密的原則，檢查評(píng)估的所有階段，均要求嚴(yán)格遵循保密原則，檢查過程中涉及的任何用戶信息均屬保密信息，不得泄露給其他單位或個(gè)人，不得利用這些信息損害被檢查單位利益。須與被檢單位簽訂保密協(xié)議，承諾未經(jīng)允許不向其他任何方泄露有關(guān)信息系統(tǒng)的信息。

2 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查的方法

檢查方法的選擇主要依據(jù)安全檢查的相關(guān)標(biāo)準(zhǔn)和規(guī)范，主要分為現(xiàn)場(chǎng)檢查和遠(yuǎn)程檢查兩種方式，現(xiàn)場(chǎng)檢查主要是對(duì)網(wǎng)絡(luò)安全管理情況的檢查和網(wǎng)絡(luò)安全技術(shù)防護(hù)情況的檢查，檢查關(guān)鍵信息基礎(chǔ)設(shè)施登記表和網(wǎng)絡(luò)安全自查表，開展文檔審查、人員訪談、核查驗(yàn)證、現(xiàn)場(chǎng)察看、安全檢測(cè)等工作。遠(yuǎn)程檢查主要對(duì)接入互聯(lián)網(wǎng)的被檢關(guān)鍵信息基礎(chǔ)設(shè)施進(jìn)行外部檢測(cè)，重點(diǎn)檢查安全漏洞和安全隱患，檢驗(yàn)安全防護(hù)措施的有效性。

2.1 現(xiàn)場(chǎng)檢查

現(xiàn)場(chǎng)檢查各項(xiàng)工作集中方式同步開展，獲取檢查結(jié)果。文檔審查主要包括自查工作開展、安全問題整改、被檢關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行安全防護(hù)措施及策略信息等相關(guān)資料。人員訪談是通過與運(yùn)維人員和安全管理人員進(jìn)行交談和問詢，了解被檢關(guān)鍵信息基礎(chǔ)設(shè)施技術(shù)和管理方面的基本信息、近一個(gè)月的運(yùn)行狀況，并對(duì)一些抽測(cè)內(nèi)容進(jìn)行確認(rèn)。核查驗(yàn)證主要對(duì)需要上機(jī)確認(rèn)的信息進(jìn)行核實(shí)，對(duì)人員訪談和文檔審核中獲得的信息進(jìn)行驗(yàn)證?，F(xiàn)場(chǎng)察看是對(duì)被檢關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行環(huán)境、運(yùn)維工作環(huán)境等進(jìn)行現(xiàn)場(chǎng)查看。安全檢測(cè)是根據(jù)實(shí)際情況，檢查人員按照相關(guān)要求對(duì)被檢關(guān)鍵信息基礎(chǔ)設(shè)施進(jìn)行檢測(cè)，包括漏洞掃描、配置檢查、日志與記錄分析等。

2.2 遠(yuǎn)程檢查

遠(yuǎn)程檢查的方法包括對(duì)選定的網(wǎng)段和主機(jī)、服務(wù)器進(jìn)行安全掃描、使用協(xié)議分析儀分析網(wǎng)絡(luò)數(shù)據(jù)、使用安全工具檢測(cè)Web應(yīng)用程序漏洞、組織專業(yè)技術(shù)力量進(jìn)行滲透測(cè)試等。

2.3 檢查技術(shù)方法

被檢查對(duì)象一般包含信息系統(tǒng)和工業(yè)控制系統(tǒng)，檢查工作主要涉及的技術(shù)方法如表1所示：

表1 檢查主要技術(shù)方法

3 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查的主要內(nèi)容

關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查需求主要包括兩個(gè)方面：網(wǎng)絡(luò)安全管理情況檢查和安全技術(shù)防護(hù)情況檢查。檢查主要內(nèi)容包括網(wǎng)絡(luò)安全管理情況、技術(shù)防護(hù)情況、應(yīng)急處理情況、宣傳教育培訓(xùn)情況、等級(jí)保護(hù)工作落實(shí)有效性情況、商用密碼使用情況、安全問題整改情況、風(fēng)險(xiǎn)分析量化（定性、定量）和風(fēng)險(xiǎn)管理等，所以檢查范圍涉及關(guān)鍵信息基礎(chǔ)設(shè)施的各個(gè)方面，包括物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫、服務(wù)器及網(wǎng)絡(luò)安全設(shè)備的安全性、安全產(chǎn)品和技術(shù)的應(yīng)用狀況以及管理體系是否完善等，同時(shí)對(duì)管理風(fēng)險(xiǎn)、綜合安全風(fēng)險(xiǎn)以及應(yīng)用系統(tǒng)安全性進(jìn)行評(píng)估。檢查原則上應(yīng)全面覆蓋服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備和安全系統(tǒng)、系統(tǒng)軟件、應(yīng)用系統(tǒng)，實(shí)際也可依據(jù)被檢系統(tǒng)的影響度等級(jí)、數(shù)量和分布情況采取抽樣方式進(jìn)行，抽樣方式及檢查覆蓋面須同被檢單位溝通后共同確認(rèn)。

3.1 網(wǎng)絡(luò)安全管理情況檢查內(nèi)容

重點(diǎn)分析被檢單位網(wǎng)絡(luò)與信息系統(tǒng)網(wǎng)絡(luò)安全管理與組織情況。檢查內(nèi)容可參考如下。

（1）安全組織：檢查網(wǎng)絡(luò)安全組織機(jī)構(gòu)、網(wǎng)絡(luò)安全崗位建立情況和主管領(lǐng)導(dǎo)、工作人員職責(zé)落實(shí)情況。

（2）規(guī)章制度：檢查下發(fā)的網(wǎng)絡(luò)安全相關(guān)制度及本單位自行制定的安全規(guī)章制度的落實(shí)情況。

（3）資產(chǎn)分類與控制：檢查信息資產(chǎn)的登記情況和分類情況。

（4）人員安全：包括工作職責(zé)和人員考察。檢查在工作人員錄用、在職和調(diào)離的全過程中，相關(guān)的網(wǎng)絡(luò)安全和保密規(guī)章制度的建立和落實(shí)情況；檢查工作人員網(wǎng)絡(luò)安全教育與培訓(xùn)開展情況，包括網(wǎng)絡(luò)安全意識(shí)教育、網(wǎng)絡(luò)安全技能培訓(xùn)和網(wǎng)絡(luò)安全管理培訓(xùn)等；第三方訪問安全檢查針對(duì)第三方訪問的風(fēng)險(xiǎn)評(píng)估情況，檢查相關(guān)管理規(guī)定的制定和落實(shí)情況。檢查對(duì)違反網(wǎng)絡(luò)安全規(guī)定的行為和網(wǎng)絡(luò)安全事故的查處情況。

（5）應(yīng)急響應(yīng)與安全事件：檢查應(yīng)急響應(yīng)機(jī)構(gòu)和制度建立情況以及網(wǎng)絡(luò)安全應(yīng)急演練開展情況；檢查重要設(shè)備的木馬、病毒查殺和系統(tǒng)漏洞修復(fù)情況；檢查本單位發(fā)生的網(wǎng)絡(luò)安全事件情況。

（6）網(wǎng)絡(luò)安全經(jīng)費(fèi)保障情況：檢查網(wǎng)絡(luò)安全經(jīng)費(fèi)的預(yù)算與落實(shí)情況以及在信息化建設(shè)預(yù)算中所占的比例。

（7）整改工作落實(shí)情況：回看上次檢查工作發(fā)現(xiàn)的問題整改跟進(jìn)情況，檢查掌握隱患和整改后的核查機(jī)制、檢查通報(bào)機(jī)制。

3.2 安全技術(shù)防護(hù)情況檢查內(nèi)容

重點(diǎn)分析單位網(wǎng)絡(luò)架構(gòu)的合理性、邊界防護(hù)的強(qiáng)健性、安全策略配置的有效性、重要數(shù)據(jù)存儲(chǔ)傳輸?shù)陌踩?、云?jì)算等信息技術(shù)外包服務(wù)的可控性。檢查內(nèi)容可參考如下。

（1）網(wǎng)絡(luò)結(jié)構(gòu)防護(hù)情況：檢測(cè)被檢單位網(wǎng)絡(luò)區(qū)域劃分、網(wǎng)絡(luò)形態(tài)以及網(wǎng)絡(luò)安全防護(hù)策略等情況；被檢單位網(wǎng)絡(luò)拓?fù)洹^(qū)域劃分情況；被檢單位網(wǎng)絡(luò)邊界劃分與防護(hù)情況；被檢單位無線網(wǎng)絡(luò)應(yīng)用與安全情況。

（2）網(wǎng)絡(luò)設(shè)備檢查：被檢對(duì)象網(wǎng)絡(luò)設(shè)備安全策略配置情況及有效性檢驗(yàn)。對(duì)核心交換機(jī)的安全配置、口令策略、開放服務(wù)、VALN劃分、訪問控制列表、端口過濾、日志記錄、冗余備份等內(nèi)容進(jìn)行安全檢查；對(duì)路由器的安全配置、口令策略、設(shè)置管理口令、口令更換、開放的服務(wù)、不明路由、高位端口屏蔽、日志功能、對(duì)安全事件的記錄、熱/冷備份等內(nèi)容進(jìn)行安全檢查。

（3）安全設(shè)備檢查：安全設(shè)備安全策略配置情況及有效性檢驗(yàn)。檢查防火墻和IDS的用戶管理、系統(tǒng)配置、安全策略、日志審計(jì)、規(guī)范和操作流程、變更管理、遠(yuǎn)程控制、操作記錄等；檢查防病毒系統(tǒng)分發(fā)管理、事件響應(yīng)、升級(jí)管理、事件記錄等情況；檢查漏洞掃描工具、執(zhí)行、制度、記錄、范圍、漏洞修復(fù)情況；檢查審計(jì)系統(tǒng)和數(shù)據(jù)庫、主要服務(wù)器、網(wǎng)絡(luò)設(shè)備等日志功能，審查記錄制度的執(zhí)行情況。

（4）設(shè)備安全配置檢查：檢查服務(wù)器及終端安全策略與安全配置有效性情況。檢查各類型服務(wù)器操作系統(tǒng)安全防護(hù)級(jí)別、操作系統(tǒng)安全漏洞、補(bǔ)丁程序安全服務(wù)、系統(tǒng)配置關(guān)閉開啟情況、用戶管理、安全策略、日志審計(jì)、操作記錄、病毒、木馬程序等情況；檢查數(shù)據(jù)庫系統(tǒng)漏洞、補(bǔ)丁程序安裝情況；數(shù)據(jù)庫口令設(shè)置的復(fù)雜度與數(shù)據(jù)的機(jī)密性和完整性情況。

（5）應(yīng)用安全配置情況：檢查系統(tǒng)應(yīng)用軟件安全策略與配置有效性情況、應(yīng)用的安全性、安全配置、補(bǔ)丁程序、日志審計(jì)及輔助安全措施等情況；檢查應(yīng)用身份認(rèn)證、訪問控制、代碼安全等情況。

（6）數(shù)據(jù)傳輸存儲(chǔ)情況：檢測(cè)被檢系統(tǒng)重要數(shù)據(jù)傳輸、存儲(chǔ)保護(hù)情況。重要數(shù)據(jù)類型、傳輸方式與采取的保護(hù)措施情況；重要數(shù)據(jù)容災(zāi)備份措施；重要數(shù)據(jù)存儲(chǔ)介質(zhì)、存儲(chǔ)方式、形式等保護(hù)措施；重要數(shù)據(jù)加密類型、加密內(nèi)容及有效性措施。

（7）云計(jì)算安全管理檢查：檢測(cè)被檢單位云計(jì)算等信息技術(shù)的使用和安全管理情況，信息技術(shù)外包服務(wù)與安全管理情況，分析其可控性。檢查對(duì)云計(jì)算中心物理資源和虛擬資源運(yùn)行狀態(tài)和性能的監(jiān)控能力；從資源可用性角度對(duì)基礎(chǔ)設(shè)施資源、云服務(wù)、虛擬資源進(jìn)行檢查；檢查安全預(yù)警信息發(fā)布能力；檢查依據(jù)準(zhǔn)入策略控制設(shè)備接入的能力，保證接入設(shè)備的合法性和安全性；檢查具備對(duì)虛擬機(jī)的安全狀況進(jìn)行檢查的能力等。

（8）工業(yè)控制終端基本情況和系統(tǒng)網(wǎng)絡(luò)安全保護(hù)情況：檢查工業(yè)控制終端的配置、使用協(xié)議、固件版本等情況；對(duì)工程師站、操作員站、服務(wù)器及數(shù)據(jù)庫等進(jìn)行漏洞掃描及病毒檢查。

（9）商用密碼應(yīng)用情況檢查：檢查系統(tǒng)中密碼算法使用，符合法律法規(guī)規(guī)定和密碼相關(guān)國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)的有關(guān)要求情況；檢查系統(tǒng)中密碼技術(shù)使用，遵循密碼相關(guān)國家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)情況；檢查密碼設(shè)備的用途以及使用、管理符合國家相關(guān)法律法規(guī)的情況，核查密碼設(shè)備是否正常運(yùn)行、密碼設(shè)備是否取得由市場(chǎng)監(jiān)管總局牽頭，會(huì)同國家密碼管理局制定發(fā)布國推商用密碼認(rèn)證的產(chǎn)品目錄。信息系統(tǒng)中使用的密碼服務(wù)是否通過國家密碼管理部門許可。

3.3 安全檢查工作重點(diǎn)

安全檢查工作重點(diǎn)主要包括信息收集、安全檢查要素設(shè)別、安全技術(shù)檢測(cè)及滲透測(cè)試和風(fēng)險(xiǎn)分析[3]四個(gè)方面。

（1）信息收集：通過文檔審核、人員訪談、核查驗(yàn)證、現(xiàn)場(chǎng)查看等方式全面獲取被檢查系統(tǒng)運(yùn)行期間相關(guān)信息，特別是近一個(gè)月內(nèi)信息系統(tǒng)運(yùn)行中出現(xiàn)的各類安全事件信息，為風(fēng)險(xiǎn)識(shí)別與分析做準(zhǔn)備。

（2）安全檢查要素設(shè)別：安全檢查要素識(shí)別主要以檢查依據(jù)為標(biāo)準(zhǔn)，以國家網(wǎng)絡(luò)安全檢查操作指南等為依據(jù)，完成系統(tǒng)的資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別。

（3）安全技術(shù)檢測(cè)及滲透測(cè)試：發(fā)現(xiàn)信息系統(tǒng)存在的脆弱點(diǎn)，進(jìn)一步驗(yàn)證每個(gè)脆弱點(diǎn)風(fēng)險(xiǎn)大小的重要檢測(cè)手段。安全檢查過程中，滲透測(cè)試將作為其中一個(gè)重要檢測(cè)過程。

（4）風(fēng)險(xiǎn)分析：主要根據(jù)所收集到的各種系統(tǒng)信息，對(duì)系統(tǒng)面臨的風(fēng)險(xiǎn)進(jìn)行綜合性定性定量分析，得出系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估結(jié)果。

4 關(guān)鍵信息基礎(chǔ)設(shè)施安全風(fēng)險(xiǎn)分析

關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查的風(fēng)險(xiǎn)分析主要依據(jù)國家風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)，參考風(fēng)險(xiǎn)評(píng)估的過程執(zhí)行，通過風(fēng)險(xiǎn)評(píng)估，掌握被檢設(shè)施及單位的整體安全現(xiàn)狀；通過資產(chǎn)評(píng)估，掌握被檢單位的網(wǎng)絡(luò)信息安全資產(chǎn)狀況，并錄入資產(chǎn)庫，進(jìn)行資產(chǎn)梳理；通過威脅評(píng)估，掌握被檢單位存在的安全威脅情況；通過脆弱性評(píng)估，掌握被檢單位當(dāng)前業(yè)務(wù)系統(tǒng)存在的脆弱性；對(duì)各個(gè)業(yè)務(wù)系統(tǒng)進(jìn)行綜合風(fēng)險(xiǎn)分析，掌握風(fēng)險(xiǎn)情況，提出分系統(tǒng)的安全解決方案；提出各個(gè)系統(tǒng)的風(fēng)險(xiǎn)處置解決方案。

采用專業(yè)的人工和技術(shù)工具評(píng)估，分析關(guān)鍵信息基礎(chǔ)設(shè)施存在哪些威脅，根據(jù)所存在的威脅，來確定需要達(dá)到哪些系統(tǒng)安全目標(biāo)才能保證關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)能夠抵擋預(yù)期的安全威脅。

關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查當(dāng)前重點(diǎn)注意的安全風(fēng)險(xiǎn)是：防護(hù)體系缺乏規(guī)劃，堆疊安全設(shè)備，缺乏一體化、系統(tǒng)化建設(shè)規(guī)劃；網(wǎng)絡(luò)設(shè)備策略配置，未結(jié)合實(shí)際需要細(xì)化策略，導(dǎo)致內(nèi)部服務(wù)設(shè)施遭受攻擊。制度落實(shí)仍需加強(qiáng)，普遍存在弱口令等不執(zhí)行制度的情況；普遍缺乏對(duì)可移動(dòng)存儲(chǔ)介質(zhì)的管控。工控系統(tǒng)防護(hù)薄弱，存在大量使用明文傳輸賬號(hào)口令；國產(chǎn)化情況形勢(shì)嚴(yán)峻，操作系統(tǒng)、CPU、數(shù)據(jù)庫國產(chǎn)化率均不足。

5 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查工作質(zhì)量和風(fēng)險(xiǎn)管控

質(zhì)量為安全檢查的核心，風(fēng)險(xiǎn)管控是檢查管理的重要組成部分，質(zhì)量和風(fēng)險(xiǎn)管控貫穿整個(gè)檢查工作生命周期。

5.1 質(zhì)量管控

在整個(gè)檢查工作的實(shí)施過程中，可采用項(xiàng)目負(fù)責(zé)人質(zhì)量控制和質(zhì)量管理質(zhì)量控制的方法全面保證整個(gè)檢查工作的質(zhì)量。

（1）項(xiàng)目負(fù)責(zé)人質(zhì)量控制：項(xiàng)目負(fù)責(zé)人不但要負(fù)責(zé)技術(shù)方案的制訂、技術(shù)方向的把握和技術(shù)問題的解決，同時(shí)也是質(zhì)量控制的第一層把關(guān)者。要按照驗(yàn)收標(biāo)準(zhǔn)每周對(duì)檢查工作實(shí)施工程師提交的工作日志進(jìn)行批閱，并將之與實(shí)際檢查工作執(zhí)行情況進(jìn)行比對(duì)。如果出現(xiàn)質(zhì)量不符合要求的情況，技術(shù)負(fù)責(zé)人有責(zé)任指出并督促實(shí)施工程師予以修正。

（2）質(zhì)量管理質(zhì)量控制：質(zhì)量管理是獨(dú)立的質(zhì)量控制小組。在檢查工作實(shí)施的過程中，成立質(zhì)量控制小組，到被檢單位實(shí)施現(xiàn)場(chǎng)進(jìn)行質(zhì)量檢驗(yàn)，并將檢驗(yàn)結(jié)果同工程師的工作業(yè)績考評(píng)聯(lián)系起來。

5.2 風(fēng)險(xiǎn)管控

檢查工作的風(fēng)險(xiǎn)主要來自檢查過程的不確定性、安全檢查實(shí)施人員素質(zhì)、客戶工作環(huán)境的特殊要求、檢查工具使用等。在檢查實(shí)施之前，應(yīng)該充分考慮各種風(fēng)險(xiǎn)因素，識(shí)別檢查工作中存在的各種風(fēng)險(xiǎn)，制定風(fēng)險(xiǎn)規(guī)避措施和風(fēng)險(xiǎn)計(jì)劃。典型的風(fēng)險(xiǎn)因素和規(guī)避方法如下。

（1）安全檢查過程的不確定性：由于被檢查單位的操作系統(tǒng)版本和應(yīng)用情況不同，造成不能實(shí)施完全統(tǒng)一的服務(wù)過程，需要考慮具體應(yīng)用?？煽紤]規(guī)避方法為實(shí)施數(shù)據(jù)備份和主機(jī)設(shè)備的熱備份，在發(fā)生意外時(shí)進(jìn)行恢復(fù)；使用自動(dòng)化的商業(yè)測(cè)評(píng)工具，增加服務(wù)過程的自適應(yīng)性；由被檢單位人員進(jìn)行手工配置檢查。

（2）客戶工作環(huán)境的不確定性：由于被檢查單位的設(shè)備處于業(yè)務(wù)運(yùn)行狀態(tài)，服務(wù)實(shí)施時(shí)可能需要避開業(yè)務(wù)高峰時(shí)段?？煽紤]規(guī)避方法為與客戶協(xié)商，避開業(yè)務(wù)高峰時(shí)段實(shí)施服務(wù)，例如在夜間工作；通過實(shí)施備份保證業(yè)務(wù)連續(xù)性。

（3）檢查人員素質(zhì)：實(shí)施檢查評(píng)估的人員經(jīng)驗(yàn)?zāi)芰?，使服?wù)過程效率和質(zhì)量出現(xiàn)差別?？煽紤]規(guī)避方法為嚴(yán)格按照檢查要求內(nèi)容和風(fēng)險(xiǎn)評(píng)估流程進(jìn)行檢查，要完全遵循日常作業(yè)指導(dǎo)書進(jìn)行實(shí)施，盡量減小人為原因?qū)z查工作造成的影響；通過技術(shù)交流和實(shí)施培訓(xùn)，提高服務(wù)人員素質(zhì)，質(zhì)量控制組負(fù)責(zé)對(duì)測(cè)評(píng)結(jié)果進(jìn)行抽查。

（4）檢查工具使用：實(shí)施檢查評(píng)估的人員所攜帶的筆記本電腦、PC機(jī)等電子設(shè)備安全防護(hù)軟件未安裝到位，利用存儲(chǔ)設(shè)備對(duì)評(píng)估數(shù)據(jù)進(jìn)行復(fù)制，造成敏感信息泄露?？煽紤]規(guī)避方法為安全檢查人員使用的筆記本電腦、PC機(jī)需要安裝相應(yīng)的安全防護(hù)軟件，辦理領(lǐng)用登記手續(xù)；在進(jìn)行檢查之前進(jìn)行崗前培訓(xùn)和安全意識(shí)宣貫；明確責(zé)任人，檢查過程所需的數(shù)據(jù)統(tǒng)一由項(xiàng)目負(fù)責(zé)人收集，所有人員必須簽署保密協(xié)議；檢查相關(guān)報(bào)告、文檔等由配置管理員統(tǒng)一歸檔管理并進(jìn)行保密存儲(chǔ)。

6 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查的創(chuàng)新建議

全面的檢查工作可聚焦行業(yè)、區(qū)域總體態(tài)勢(shì)感知新要求，深入細(xì)致開展工作，有效組織管理和技術(shù)風(fēng)險(xiǎn)管控，確保生產(chǎn)業(yè)務(wù)正常進(jìn)行。下面也對(duì)檢查工作做三點(diǎn)建議。

（1）通過強(qiáng)大的威脅情報(bào)支撐安全檢查：建議可與國內(nèi)的安全廠商建立良好的合作關(guān)系，共享第一手威脅情報(bào)，獲取最新的漏洞、攻擊手段，用以支撐安全檢查過程中新型威脅的檢測(cè)能力。

（2）采用態(tài)勢(shì)感知技術(shù)掌握整體安全情況：使用態(tài)勢(shì)感知技術(shù)對(duì)被檢查對(duì)象進(jìn)行全方位的態(tài)勢(shì)呈現(xiàn)，為檢查、測(cè)試提供指導(dǎo)。

（3）多域多維度開展安全檢查：創(chuàng)新檢查工作和檢查手段，從邏輯域延伸檢查范圍至物理域和社會(huì)域，更精準(zhǔn)反映整體安全態(tài)勢(shì)。

7 結(jié) 語

現(xiàn)階段已專門出臺(tái)針對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全的法規(guī)和標(biāo)準(zhǔn)，《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國密碼法》、公安部1960號(hào)《貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度的指導(dǎo)意見》[4]等，《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例（征求意見稿）》也建立健全“關(guān)基”安全檢測(cè)評(píng)估制度，對(duì)工業(yè)控制系統(tǒng)、云計(jì)算環(huán)境、電子商務(wù)等新型業(yè)務(wù)環(huán)境建立相關(guān)安全防護(hù)準(zhǔn)則。我們須從國家、省市、單位統(tǒng)一規(guī)劃網(wǎng)絡(luò)安全、密碼安全防控體系，在體系規(guī)劃、設(shè)計(jì)、研制、部署和實(shí)施階段充分融入安全要素，改變“先上信息系統(tǒng)、后加安全產(chǎn)品”的局面。建立安全責(zé)任制，落實(shí)巡視制度，加大網(wǎng)絡(luò)安全責(zé)任制的監(jiān)督和查處力度，切實(shí)落實(shí)安全責(zé)任制，從根本上保護(hù)好國家關(guān)鍵信息基礎(chǔ)設(shè)施。