基于電信運營商的新技術(shù)新業(yè)務信息安全評估方法及風險探討

王燕　李德智

摘要：新技術(shù)新業(yè)務“井噴式”創(chuàng)新發(fā)展、滲透融合引發(fā)信息安全新風險新問題，安全評估工作面臨更多迫切需求、更加廣泛應用場景。本論文在對電信運營商進行評估實踐的基礎上，根據(jù)互聯(lián)網(wǎng)新技術(shù)新業(yè)務安全評估的模型與實施要點，對電信運營商新技術(shù)新業(yè)務安全評估方法及風險進行探討。

關(guān)鍵詞：新技術(shù)新業(yè)務;安全評估;風險

一、背景

隨著我國互聯(lián)網(wǎng)業(yè)務的發(fā)展，新技術(shù)新業(yè)務的應用日益廣泛，并以手機終端為載體滲透到生活的方方面面，信息安全問題日益凸顯。從工信部2011年下發(fā)《互聯(lián)網(wǎng)新技術(shù)新業(yè)務信息安全評估管理辦法（試行）》以來，行業(yè)信息安全監(jiān)管逐步從境內(nèi)外違法有害信息封堵處置逐步向全面落實企業(yè)責任、主動預警防范拓展，要求行業(yè)完善企業(yè)安全責任制度。業(yè)務安全風險評估是指對互聯(lián)網(wǎng)業(yè)務的功能、屬性、特點、技術(shù)實現(xiàn)方式、市場發(fā)展情況、用戶規(guī)模、業(yè)務流程和規(guī)則、網(wǎng)絡數(shù)據(jù)流轉(zhuǎn)、個人信息采集和共享、處理銷毀及個人信息主體權(quán)益保護等關(guān)鍵要素進行分析，評估其對安全管理工作的危險和影響。

二、評估模型及風險

新技術(shù)新業(yè)務的評估對象包括基礎電信企業(yè)及增值電信企業(yè)（含三網(wǎng)融合涉及的廣電企業(yè)）運營的互聯(lián)網(wǎng)業(yè)務，業(yè)務重點關(guān)注5G、人工智能、區(qū)塊鏈、大數(shù)據(jù)、物聯(lián)網(wǎng)等相關(guān)業(yè)務。業(yè)務安全風險評估的實施需要使用業(yè)務安全風險評估模型，見圖1所示。業(yè)務安全風險

評估模型從業(yè)務應用安全、業(yè)務平臺安全、業(yè)務運行安全和數(shù)據(jù)安全四個方面提出了17個評估模塊。每個評估模塊歸納列舉了業(yè)務關(guān)鍵因素可能存在的信息安全威脅和影響，以此指導評估人員識別業(yè)務的信息安全風險。

（一）業(yè)務應用安全

業(yè)務應用安全以業(yè)務實現(xiàn)功能、使用情況為基本出發(fā)點，緊扣業(yè)務系統(tǒng)中傳輸?shù)墓残畔?，評估模塊包括用戶、信息主題、信息載體、信息生成、信息傳播、信息接收、信息留存等。1.用戶。用戶主要關(guān)注用戶規(guī)模、用戶類型、用戶相關(guān)性、用戶實名核驗、用戶真實身份鑒別等。若業(yè)務系統(tǒng)不能對用戶真實身份進行鑒別，可能導致用戶賬戶信息被泄露、仿冒、盜取等嚴重安全事件。2.信息主題。信息主題主要關(guān)注發(fā)布的公共信息主題的多樣性和相關(guān)性。若內(nèi)容大多圍繞一個或幾個相近主題，且包含違法信息，則違法信息有可能在相關(guān)主題中大范圍變種并快速傳播。3.信息載體。信息載體包括信息呈現(xiàn)方式、語言類型。慮到目前小語種語言的內(nèi)容識別技術(shù)尚不成熟，存在傳播違法信息的安全風險。4.信息生成。信息生成主要關(guān)注信息源和信息產(chǎn)生方式。如果無法確保業(yè)務系統(tǒng)中生成的信息是來自經(jīng)身份真實認證或鑒別的可信用戶，信息是由被冒用或盜取的賬號或渠道生成、發(fā)送，則大幅增加了違法有害信息處置難度。5.信息傳播。信息傳播主要關(guān)注信息流動方向、信息傳播方式、通信媒介、信息傳遞實時性等。用戶能否實時讀取信息，實時通信提高了信息讀取概率，提高了信息傳播速度，存在傳播違法信息的信息安全風險。6.信息接收。信息接收環(huán)節(jié)主要關(guān)注信息收取方式等。信息的主動推送提高了信息讀取概率，間接提高了信息傳播速度，擴大了信息傳播范圍，存在傳播違法信息的信息安全風險。7. 信息留存。信息留存關(guān)注的是業(yè)務系統(tǒng)中傳輸?shù)墓残畔?nèi)容和用戶使用業(yè)務行為的日志記錄，如果企業(yè)未按相關(guān)法律法規(guī)要求保留日志信息，將會直接影響企業(yè)配合完成事后溯源、取證工作的開展。

（二）業(yè)務平臺安全

業(yè)務平臺安全聚焦承載業(yè)務的系統(tǒng)平臺，評估模塊包括設備位置分布、資源調(diào)度方式、業(yè)務合作、開放接口等。1.設備位置分布。如果業(yè)務的服務器、機房或節(jié)點在境內(nèi)外均有分布，且境內(nèi)外有數(shù)據(jù)傳輸，則可能存在因數(shù)據(jù)跨境流動引發(fā)的國家重要數(shù)據(jù)、個人隱私信息泄露的信息安全風險。2.資源調(diào)度方式。資源調(diào)度方式是指業(yè)務系統(tǒng)的計算資源、存儲資源、帶寬資源、IP地址及域名資源的調(diào)度方式。如果計算、存儲、帶寬資源采用了云化或虛擬化，或者IP地址及域名采取動態(tài)分配方式，則可能增加企業(yè)違法信息處置難度。3. 業(yè)務合作。業(yè)務合作是指業(yè)務運營企業(yè)與其他企業(yè)開展任意形式的合作。需要評估合作企業(yè)的信息安全管理工作及保障措施能否滿足相關(guān)法律法規(guī)要求，能否保障業(yè)務的信息安全。4.開放接口。開放接口是指業(yè)務系統(tǒng)為第三方提供的標準API接口。第三方調(diào)用開放API接口的過程中，如果與業(yè)務系統(tǒng)之間產(chǎn)生了數(shù)據(jù)交互，可能增加業(yè)務系統(tǒng)發(fā)布、傳輸、存儲違法信息的信息安全風險;如果業(yè)務系統(tǒng)開放的API接口未做好違法有害信息監(jiān)測處置、權(quán)限管理、安全審計等，可能帶來違法有害信息傳播、直接影響業(yè)務系統(tǒng)自身安全、非法調(diào)用API接口（如實施通訊信息詐騙）等安全風險。

（三）業(yè)務運行安全

業(yè)務運行安全關(guān)注業(yè)務運行的流程管理和技術(shù)防范存在的安全風險，評估模塊業(yè)務邏輯安全、通訊信息管理安全等。1.業(yè)務邏輯安全。業(yè)務邏輯安全的關(guān)注點主要集中在業(yè)務規(guī)則的合規(guī)性、業(yè)務流程的合理性及配套的技術(shù)保障措施的完善性等。如以一卡多號、短信營業(yè)廳、網(wǎng)上營業(yè)廳等為代表的電信業(yè)務，如果存在未實施二次確認機制、必要的用戶身份驗證環(huán)節(jié)缺失、短信驗證碼下發(fā)環(huán)節(jié)用戶安全提醒不完善、業(yè)務登錄提示不足、身份校驗技術(shù)手段不完備等安全漏洞，則有可能被詐騙分子利用設計各種詐騙場景，冒充用戶實施詐騙。2. 通訊信息管理安全。通訊信息管理安全主要關(guān)注電信資源、號碼傳送、信息傳播等。電信資源主要關(guān)注碼號資源、電信線路有可能被詐騙分子利用實施通訊信息詐騙;碼號傳送主要關(guān)注傳送過程中相關(guān)漏洞有可能被詐騙分子利用，以修改主叫號碼、設置主叫號碼為空號或禁顯、違規(guī)外呼、私自改變業(yè)務使用用途等方式實施通訊信息詐騙;在信息傳播方面主要關(guān)注相關(guān)業(yè)務有可能成為不法分子販賣個人信息和詐騙實施軟件及工具（如改號軟件、非法電話卡、非法銀行卡、身份證識別設備破解軟件、虛擬交易軟件、“偽基站”等）的渠道途徑。

（四）業(yè)務數(shù)據(jù)安全

數(shù)據(jù)安全層以業(yè)務系統(tǒng)中傳輸、存儲的各類數(shù)據(jù)為核心評估點，從維護企業(yè)、個人、國家利益角度出發(fā)，分析可能對數(shù)據(jù)安全造成影響的各類威脅和隱患。評估模塊包括數(shù)據(jù)采集、數(shù)據(jù)存儲、數(shù)據(jù)傳輸、數(shù)據(jù)加工、數(shù)據(jù)轉(zhuǎn)移、數(shù)據(jù)刪除各階段數(shù)據(jù)安全以及個人信息安全、數(shù)據(jù)跨境安全。1.數(shù)據(jù)生命周期。數(shù)據(jù)生命周期包括數(shù)據(jù)采集、數(shù)據(jù)存儲、數(shù)據(jù)傳輸、數(shù)據(jù)加工、數(shù)據(jù)轉(zhuǎn)移、數(shù)據(jù)刪除等環(huán)節(jié)。主要關(guān)注在各個環(huán)節(jié)中數(shù)據(jù)是否有被泄露、竊取、篡改或銷毀風險。2.個人信息安全。個人信息是指以電子或者其他方式記錄的能夠單獨或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然人活動情況的各種信息。企業(yè)由于管理措施、技術(shù)手段等安全保障能力的不足或受到自然災害、基礎設施故障等環(huán)境危害，在個人信息采集、存儲、管理、傳輸、加工、轉(zhuǎn)移、刪除等處理環(huán)節(jié)，造成個人信息泄露、損毀、篡改等安全事件，對個人隱私以及個人信息主體權(quán)益造成安全隱患的風險。3. 數(shù)據(jù)跨境安全。數(shù)據(jù)跨境安全風險是指在數(shù)據(jù)跨境及再轉(zhuǎn)移后，人為或自然的威脅利用數(shù)據(jù)安全保障能力中存在的問題，導致安全事件的發(fā)生及對個人合法利益、國家安全、社會公共利益帶來的影響。

三、評估的流程及方法

業(yè)務風險評估流程分為四個階段。分別是評估準備、風險初判、風險評估、評估結(jié)論分析。具體評估流程見圖2所示，每個階段的內(nèi)容詳見下文。

（一）評估準備

評估準備階段包括成立評估組，確定小組成員。準備評估材料，此過程包括說明告知、需求溝通、文檔提交等事務。說明告知是告知評估業(yè)務運營單位開展評估工作的評估依據(jù)和相關(guān)工作要求，闡釋評估工作的重要意義，尋求評估業(yè)務運營單位的積極支持配合。此外，還應告知評估業(yè)務運營單位評估實施過程中用于測評驗證的樣本庫來源，以及用于核實比對的公開、權(quán)威性數(shù)據(jù)庫的來源;需求溝通是與評估業(yè)務運營單位進行評估前溝通，告知開展評估的流程、使用的評估方法和評估工具、評估開展過程中需要業(yè)務運營單位配合協(xié)調(diào)的工作事項;文檔提交是針對評估業(yè)務做好事前準備，要求評估業(yè)務運營單位提交與業(yè)務相關(guān)的文檔資料，包括與業(yè)務相關(guān)的技術(shù)文檔和管理文檔。

（二）風險初判

風險初判基于篩選后適用的評估指標，運用文檔查閱方法對業(yè)務安全風險進行初步篩查和識別判定。確定現(xiàn)階段無法準確識別研判風險程度的指標，及下一步研判風險需要使用的評估方法，為現(xiàn)場評估做好準備。

（三）風險評估

風險評估綜合運用文件審查、人員訪談、演示查驗、測評驗證四種評估方法，對適用的評估指標進行風險識別和研判，進行完整記錄，保留訪談內(nèi)容和相關(guān)證明資料。對業(yè)務安全風險指標進行逐項分析，形成整體風險分析矩陣，重點關(guān)注風險值為中、高的風險指標，以備對照考察企業(yè)安全保障能力。對照業(yè)務應用安全保障基線要求，逐項分析企業(yè)的安全保障能力是否滿足安全保障基線要求，形成整體保障能力分析矩陣。

（四）評估結(jié)論分析

評估結(jié)論主要結(jié)合業(yè)務風險分析矩陣和整體保障能力分析矩陣，分析業(yè)務的安全風險對企業(yè)安全保障能力形成的威脅和挑戰(zhàn)，進一步把握、研判業(yè)務的現(xiàn)實安全風險，提出被評估業(yè)務的整改措施建議。并形成評估報告，評估組成員簽字確認，整改牽涉的責任部門負責人簽字確認。

四、評估過程中的風險應對策略

新技術(shù)新業(yè)務的評估是對業(yè)務整體的風險評估及分析，運營商企業(yè)的業(yè)務往往涉及多個部門協(xié)調(diào)及多廠商改造，在評估過程中需要對多方關(guān)系進行協(xié)調(diào)，以保證按時完成評估及整改。主要風險點包含以下幾個方面的內(nèi)容。

（一）跨部門協(xié)調(diào)溝通困難，應建立完整的安全評估管理體系。新技術(shù)新業(yè)務一般涉及多個部門不同人員之間的配合，部門之間溝通不暢導致評估工作難以開展。電信運營商應重視安全評估，建立完整的新技術(shù)新業(yè)務安全評估管理體系，不斷完善安全評估管理辦法和實施細則，使安全評估工作逐步制度化、規(guī)范化。將安全評估工作納入企業(yè)績效考核，完善安全評估工作獎懲機制。

（二）人員專業(yè)性不足，應加快安全評估隊伍建設。安全評估是一項專業(yè)評估活動，設立安全評估隊伍及安全評估專崗統(tǒng)籌負責安全評估工作;注意培養(yǎng)安全評估儲備人才，定期組織培訓，提升安全評估人員整體能力。

（三）安全措施待進一步加強，推進安全評估技術(shù)創(chuàng)新。電信運營商應在安全評估重點技術(shù)領(lǐng)域開展研究和創(chuàng)新實踐，如用戶真實身份，鑒別技術(shù)、用戶信息加密技術(shù)、違法信息監(jiān)測處置技術(shù)、資源實時監(jiān)控技術(shù)等。

（四）行業(yè)交流少，應加強合作和共享?；ヂ?lián)網(wǎng)新技術(shù)新業(yè)務在各大運營商及各省份的具有復制性和相似性，不同省份電信運營商之間應加強合作共享，分享管理和技術(shù)創(chuàng)新，交流業(yè)務風險研判經(jīng)驗。

（五）業(yè)務整改進展緩慢，需對整改進度進行把控。評估過程中若發(fā)現(xiàn)業(yè)務風險，需要告知運營商進行整改。整改過程中涉及的供應商可能由于費用或人員問題，導致整改進度滯后，無法在規(guī)定時間內(nèi)完成整改。對于整改進度需進行整體把控，及時推進，否則會因為進度影響評估結(jié)果。

五、結(jié)束語

本文重點關(guān)注電信運營商互聯(lián)網(wǎng)新技術(shù)新業(yè)務安全評估工作，介紹了安全評估工作方法和評估過程中的風險點及應對策略，為電信運營商新業(yè)務的評估提供借鑒。由于評估指南更新及評估細節(jié)進一步細化，在評估中需要緊緊結(jié)合工信部下發(fā)的相關(guān)規(guī)定，及時調(diào)整評估細節(jié)。此外，隨著互聯(lián)網(wǎng)業(yè)務及評估方法的發(fā)展，本文所提出的評估風險可能會發(fā)生變化，希望相關(guān)評估人員能夠結(jié)合最新技術(shù)和最新實踐，綜合研判業(yè)務安全風險、及企業(yè)安全保障能力，持續(xù)推動互聯(lián)網(wǎng)新業(yè)務健康有序發(fā)展。

作者單位：王燕? ? 李德智? ? 華信咨詢設計研究院有限公司

參? 考? 文? 獻

[1]《2020年省級基礎電信企業(yè)網(wǎng)絡與信息安全工作考核要點與評分標準》工網(wǎng)安函〔2020〕149號

[2]張劍，萬里冰，錢偉中.信息安全技術(shù)[M].電子科技大學出版社，2017.

[3]張莉.數(shù)據(jù)治理與數(shù)據(jù)安全[M].人民郵電出版社， 2019.

[4]張劍，廖國平，湯亮.信息安全風險管理[M].電子科技大學出版社，2016.