新形勢下氣象網(wǎng)絡(luò)安全體系設(shè)計研究

◆曹玉靜 唐紅昇 郭轉(zhuǎn)轉(zhuǎn)通訊作者 付碩 李萍

（1.中國氣象局氣象發(fā)展與規(guī)劃院 北京 100081；2.江蘇省氣象局 江蘇 210008）

近年來，云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能及移動互聯(lián)網(wǎng)等技術(shù)全面快速融入氣象業(yè)務(wù)技術(shù)，促進(jìn)了氣象事業(yè)的快速發(fā)展，綜合氣象觀測網(wǎng)絡(luò)系統(tǒng)、智能網(wǎng)格預(yù)報業(yè)務(wù)系統(tǒng)及國省級氣象大數(shù)據(jù)云平臺等不斷建設(shè)成熟，氣象現(xiàn)代化水平不斷提高，氣象網(wǎng)絡(luò)安全基本滿足氣象事業(yè)的發(fā)展需求。但是，隨著網(wǎng)絡(luò)安全形勢日益嚴(yán)峻，來自境內(nèi)外黑客組織、非法機構(gòu)的活動日益增多，勒索病毒、密碼破解、網(wǎng)頁篡改等網(wǎng)絡(luò)安全事件在氣象部門頻發(fā)。因此，在新形勢下，如何處理好氣象事業(yè)高質(zhì)量發(fā)展與氣象網(wǎng)絡(luò)安全的關(guān)系，亟須研究設(shè)計完善的氣象網(wǎng)絡(luò)安全體系，指導(dǎo)氣象網(wǎng)絡(luò)安全建設(shè)與發(fā)展。

1 氣象網(wǎng)絡(luò)安全與基本氣象業(yè)務(wù)的關(guān)系

現(xiàn)代氣象業(yè)務(wù)體系包含綜合氣象觀測、氣象預(yù)報、公共氣象服務(wù)等主要氣象業(yè)務(wù)，各業(yè)務(wù)構(gòu)成一個有機鏈條，相互支撐、相互促進(jìn)，氣象預(yù)報業(yè)務(wù)是核心，在協(xié)同推進(jìn)監(jiān)測精密、預(yù)報精準(zhǔn)、服務(wù)精細(xì)中起到“龍頭作用”。綜合氣象觀測業(yè)務(wù)是基礎(chǔ)，為氣象預(yù)報和公共氣象服務(wù)業(yè)務(wù)提供基礎(chǔ)觀測資料，公共氣象服務(wù)業(yè)務(wù)是引領(lǐng)，通過公共服務(wù)發(fā)展需要引領(lǐng)氣象預(yù)報和綜合氣象觀測業(yè)務(wù)發(fā)展，氣象信息網(wǎng)絡(luò)、科技、人才和裝備保障為主要氣象業(yè)務(wù)提供支撐。

氣象網(wǎng)絡(luò)安全作為氣象信息網(wǎng)絡(luò)業(yè)務(wù)的一部分，貫穿整個氣象業(yè)務(wù)，為主要氣象業(yè)務(wù)提供網(wǎng)絡(luò)安全保障支撐，在現(xiàn)行網(wǎng)絡(luò)安全等級保護制度要求下，按照網(wǎng)絡(luò)安全等級保護2.0標(biāo)準(zhǔn)要求，綜合考慮氣象業(yè)務(wù)特點，按照信息系統(tǒng)、通信網(wǎng)絡(luò)設(shè)施、數(shù)據(jù)資源三類，以綜合氣象觀測及保障系統(tǒng)、天氣預(yù)報預(yù)警系統(tǒng)、氣候預(yù)測系統(tǒng)、公共氣象服務(wù)系統(tǒng)、云計算平臺（客戶側(cè)）、全國氣象寬帶網(wǎng)、氣象數(shù)據(jù)及氣象大數(shù)據(jù)云平臺等8項具體氣象業(yè)務(wù)系統(tǒng)作為氣象網(wǎng)絡(luò)安全保護對象，具體如表1所示。

表1 氣象網(wǎng)絡(luò)安全保護對象

氣象網(wǎng)絡(luò)安全體系設(shè)計、建設(shè)及運行等均圍繞具體保護對象開展，建立較為完善的氣象網(wǎng)絡(luò)安全保障能力，安全穩(wěn)定支撐氣象業(yè)務(wù)發(fā)展。

2 氣象網(wǎng)絡(luò)安全建設(shè)現(xiàn)狀

氣象業(yè)務(wù)的建設(shè)發(fā)展，主要通過氣象工程建設(shè)項目來具體落實和推動，因此，立足前文提出的氣象網(wǎng)絡(luò)安全保護對象，收集近10年來氣象工程建設(shè)項目材料，從工程項目具體建設(shè)任務(wù)和資金投入角度，分析氣象網(wǎng)絡(luò)安全建設(shè)現(xiàn)狀。

本文所統(tǒng)計的氣象工程建設(shè)項目400余個，包含氣象網(wǎng)絡(luò)安全建設(shè)任務(wù)的項目共24個，占總項目個數(shù)的6%；統(tǒng)計的項目總資金約100億元，網(wǎng)絡(luò)安全資金投入約2.6億元，占總資金比例不足3%，結(jié)果表明，氣象工程建設(shè)項目網(wǎng)絡(luò)安全建設(shè)任務(wù)少，網(wǎng)絡(luò)安全資金占比低。

氣象信息化工程是近10年來氣象網(wǎng)絡(luò)安全建設(shè)任務(wù)設(shè)計最全面，資金投入最多的項目，因此，將統(tǒng)計的項目按照氣象信息化工程和其他工程分類，圖1給出氣象信息化工程和其他工程網(wǎng)絡(luò)安全建設(shè)任務(wù)和資金投入情況。

圖1 氣象信息化工程和其他工程網(wǎng)絡(luò)安全建設(shè)任務(wù)和資金投入情況

氣象信息化工程，考慮了未來五年國省兩級氣象網(wǎng)絡(luò)安全防護和統(tǒng)一安全服務(wù)等建設(shè)任務(wù)，該工程為國省兩級未來五年氣象網(wǎng)絡(luò)安全建設(shè)提供主要支撐。氣象信息化工程總資金投入約24億元，網(wǎng)絡(luò)安全建設(shè)任務(wù)投資約1.3億元，占總資金比例約5.4%，從圖1可以看出，該工程網(wǎng)絡(luò)安全具體建設(shè)任務(wù)主要包含網(wǎng)絡(luò)安全軟硬件產(chǎn)品購置和安全軟件功能開發(fā)。其他工程，網(wǎng)絡(luò)安全建設(shè)任務(wù)主要包括網(wǎng)絡(luò)安全區(qū)域邊界劃分、通信網(wǎng)絡(luò)安全設(shè)備布設(shè)、安全計算環(huán)境及安全管理中心建設(shè)等。其他工程總投資約76億元，網(wǎng)絡(luò)安全建設(shè)任務(wù)資金約1.25億元，占總投資比例約1.6%，從圖1可以看出，其他工程網(wǎng)絡(luò)安全具體建設(shè)任務(wù)主要以網(wǎng)絡(luò)安全軟硬件產(chǎn)品購置為主。

基于以上分析，從氣象工程建設(shè)項目角度出發(fā)，氣象工程建設(shè)項目建設(shè)和投資重點均以主要氣象業(yè)務(wù)系統(tǒng)為主，極少數(shù)項目包含了氣象網(wǎng)絡(luò)安全建設(shè)任務(wù)。即便氣象信息化工程，完全以信息化為主的建設(shè)項目，相比其他工程氣象網(wǎng)絡(luò)安全考慮得比較全面，但在工程總體中網(wǎng)絡(luò)安全所占體量也非常小。因此，總體上，氣象網(wǎng)絡(luò)安全建設(shè)相比其他氣象業(yè)務(wù)系統(tǒng)建設(shè)體量非常小，并且主要以保障氣象信息網(wǎng)絡(luò)自身安全為主，與氣象業(yè)務(wù)系統(tǒng)等安全保護對象需求不匹配。

3 氣象網(wǎng)絡(luò)安全存在問題

立足前文的分析，結(jié)合現(xiàn)有氣象網(wǎng)絡(luò)安全建設(shè)和管理具體情況，得出氣象網(wǎng)絡(luò)安全存在以下幾個方面問題。

3.1 氣象網(wǎng)絡(luò)安全缺少頂層設(shè)計

做好氣象網(wǎng)絡(luò)安全頂層設(shè)計，能夠指導(dǎo)氣象網(wǎng)絡(luò)安全全面工作，確保國家網(wǎng)絡(luò)安全法律、政策、文件等及氣象部門網(wǎng)絡(luò)安全要求落地實施，同步落實網(wǎng)絡(luò)安全等級保護制度，明確網(wǎng)絡(luò)安全責(zé)任等。

但一直以來，氣象網(wǎng)絡(luò)安全缺少頂層設(shè)計，氣象網(wǎng)絡(luò)安全建設(shè)和管理缺少規(guī)范指導(dǎo)，與最新的國家法律政策要求不相適應(yīng)，部門內(nèi)網(wǎng)絡(luò)安全管理規(guī)章制度等不健全，氣象數(shù)據(jù)安全管理措施不夠。未來隨著新信息技術(shù)的應(yīng)用、氣象業(yè)務(wù)技術(shù)體制改革、氣象高質(zhì)量發(fā)展對氣象網(wǎng)絡(luò)安全保障要求日趨迫切，亟須加強氣象網(wǎng)絡(luò)安全頂層設(shè)計，明確氣象網(wǎng)絡(luò)安全戰(zhàn)略目標(biāo)、規(guī)范氣象網(wǎng)絡(luò)安全建設(shè)管理、推進(jìn)氣象網(wǎng)絡(luò)安全工作、強化氣象網(wǎng)絡(luò)安全全面防護能力、整體提升氣象網(wǎng)絡(luò)安全保障能力。

3.2 氣象網(wǎng)絡(luò)安全尚未納入氣象核心業(yè)務(wù)體系

氣象業(yè)務(wù)以綜合氣象觀測、氣象預(yù)報、公共氣象服務(wù)等為核心，氣象信息網(wǎng)絡(luò)系統(tǒng)通常僅作為業(yè)務(wù)的基礎(chǔ)支撐，但即便如此也是以通信網(wǎng)絡(luò)、計算、存儲等基礎(chǔ)設(shè)施資源等為主，氣象網(wǎng)絡(luò)安全并未納入正式業(yè)務(wù)，缺少常規(guī)業(yè)務(wù)運行維持經(jīng)費支持，相關(guān)氣象網(wǎng)絡(luò)安全工作難以全面開展。按照國家和氣象部門內(nèi)部網(wǎng)絡(luò)安全相關(guān)要求，氣象網(wǎng)絡(luò)安全應(yīng)貫穿氣象業(yè)務(wù)全流程全方位，但一直以來，僅停留在網(wǎng)絡(luò)安全軟硬件設(shè)備層面，并且更多是保障氣象信息系統(tǒng)本身網(wǎng)絡(luò)、設(shè)備及配套信息系統(tǒng)的安全，并未考慮綜合氣象觀測、氣象預(yù)報預(yù)測、公共氣象服務(wù)等業(yè)務(wù)信息系統(tǒng)的安全。

3.3 氣象網(wǎng)絡(luò)安全建設(shè)“重硬輕軟”

從前文分析來看，氣象工程建設(shè)項目網(wǎng)絡(luò)安全建設(shè)普遍存在“重硬輕軟”的現(xiàn)象，相比氣象信息化工程，其他工程建設(shè)項目幾乎全部為安全硬件建設(shè)。在沒有科學(xué)合理確定網(wǎng)絡(luò)區(qū)域、評定網(wǎng)絡(luò)安全等級的情況下，資金集中在網(wǎng)絡(luò)安全硬件，很難切實發(fā)揮效益。而實際上，在設(shè)計好安全策略和規(guī)則的前提下，適量配置網(wǎng)絡(luò)安全硬件設(shè)備，網(wǎng)絡(luò)安全建設(shè)才能發(fā)揮更好的效益。另外，“十三五”以來，氣象工程建設(shè)項目信息系統(tǒng)軟件開發(fā)體量越來越多，每個項目涉及多達(dá)數(shù)十個甚至上百個氣象業(yè)務(wù)應(yīng)用軟件功能開發(fā)，但在業(yè)務(wù)應(yīng)用軟件立項設(shè)計、開發(fā)建設(shè)及運行全過程，軟件安全考慮不足。

3.4 氣象網(wǎng)絡(luò)安全制度建設(shè)不足

為貫徹《中華人民共和國網(wǎng)絡(luò)安全法》，落實網(wǎng)絡(luò)安全工作責(zé)任制，加強網(wǎng)絡(luò)安全管理，提高網(wǎng)絡(luò)安全保護能力，2020年中國氣象局組織制定了《中國氣象局網(wǎng)絡(luò)安全管理辦法（試行）》，相關(guān)省級氣象部門也制定了關(guān)于落實網(wǎng)絡(luò)安全管理工作責(zé)任等相關(guān)的制度文件。但是，由于網(wǎng)絡(luò)安全意識不足、專業(yè)人員缺乏及宣傳培訓(xùn)不到位等各方面原因，導(dǎo)致網(wǎng)絡(luò)安全相關(guān)制度落實不到位，并且缺少有針對性、可操作性及更具體細(xì)化的制度規(guī)范。

4 新形勢下氣象網(wǎng)絡(luò)安全體系建立

以新時期氣象高質(zhì)量發(fā)展對氣象網(wǎng)絡(luò)安全保障需求為引領(lǐng)，做好氣象網(wǎng)絡(luò)安全頂層設(shè)計，亟須研究構(gòu)建氣象網(wǎng)絡(luò)安全體系，加強氣象網(wǎng)絡(luò)安全建設(shè)管理，制定一系列氣象網(wǎng)絡(luò)安全制度規(guī)范約束指導(dǎo)各級氣象部門開展落實網(wǎng)絡(luò)安全各項工作。

4.1 建立氣象網(wǎng)絡(luò)安全總體體系架構(gòu)

在前文分析基礎(chǔ)上，結(jié)合部門具體實際，本文提出建立 “一核心、一基礎(chǔ)、一保障”的氣象網(wǎng)絡(luò)安全保障體系，具體指，在總體國家安全觀的指導(dǎo)下，以創(chuàng)新為動力，以需求為導(dǎo)向，以落實網(wǎng)絡(luò)安全等級保護制度為抓手，以氣象觀測、預(yù)報預(yù)警、預(yù)測、服務(wù)業(yè)務(wù)應(yīng)用安全為核心，以通信網(wǎng)絡(luò)、計算存儲、氣象數(shù)據(jù)及軟件應(yīng)用支撐環(huán)境安全為基礎(chǔ)，以一系列氣象網(wǎng)絡(luò)安全標(biāo)準(zhǔn)和一套完善的氣象網(wǎng)絡(luò)安全制度為保障，堅持網(wǎng)絡(luò)安全和信息化發(fā)展并重、管理機制和技術(shù)手段并舉。

本文提出的氣象網(wǎng)絡(luò)安全體系更加聚焦核心氣象業(yè)務(wù)安全需求，將氣象網(wǎng)絡(luò)安全全面融入核心氣象業(yè)務(wù)。技術(shù)方面以網(wǎng)絡(luò)安全等級保護2.0標(biāo)準(zhǔn)體系為抓手，在具體工作中落實相關(guān)標(biāo)準(zhǔn)要求，軟硬件并重，全面提高氣象網(wǎng)絡(luò)安全業(yè)務(wù)技術(shù)水平和能力。氣象網(wǎng)絡(luò)安全更多不是技術(shù)問題，而是制度管理問題，因此在制度方面，亟須制定更加細(xì)化、可操作的一系列氣象網(wǎng)絡(luò)安全相關(guān)管理制度規(guī)范等，并配套建立實施監(jiān)督考核機制，促使相關(guān)制度規(guī)范落地實施。

氣象網(wǎng)絡(luò)安全體系總體架構(gòu)如圖2所示。

圖2 氣象網(wǎng)絡(luò)安全體系架構(gòu)圖

4.2 建立較為完善的氣象網(wǎng)絡(luò)安全管理體系

在現(xiàn)有國省級氣象網(wǎng)絡(luò)安全管理制度基礎(chǔ)上，針對氣象業(yè)務(wù)特點，結(jié)合攻防演習(xí)中出現(xiàn)的問題，并進(jìn)一步分析氣象高質(zhì)量發(fā)展進(jìn)程中可能存在的網(wǎng)絡(luò)安全風(fēng)險點，建立較為完善的氣象網(wǎng)絡(luò)安全管理體系，包含指南、規(guī)范等基本業(yè)務(wù)工作規(guī)范文件和管理監(jiān)督等政策文件，具體如氣象部門網(wǎng)絡(luò)安全定級工作指南、氣象網(wǎng)絡(luò)安全定級細(xì)則、氣象關(guān)鍵信息基礎(chǔ)設(shè)施定級指南、氣象部門商用密碼應(yīng)用指南、氣象業(yè)務(wù)應(yīng)用軟件代碼編制安全規(guī)范及氣象網(wǎng)絡(luò)安全軟硬件設(shè)備配置規(guī)范、氣象數(shù)據(jù)安全管理辦法、基于移動互聯(lián)技術(shù)的氣象業(yè)務(wù)管理辦法、氣象業(yè)務(wù)應(yīng)用軟件安全開發(fā)管理辦法、氣象網(wǎng)絡(luò)安全工作監(jiān)督考核管理辦法及氣象網(wǎng)絡(luò)安全教育培訓(xùn)管理辦法等。在政策文件制定下發(fā)的同時，加強政策宣傳培訓(xùn)，強化制度落實和監(jiān)督管理，并將單位網(wǎng)絡(luò)安全管理工作納入考核目標(biāo)。

4.3 重視氣象數(shù)據(jù)安全

氣象數(shù)據(jù)是氣象部門最重要的資產(chǎn)之一，氣象數(shù)據(jù)不僅關(guān)乎氣象部門安全，也關(guān)乎國家安全。氣象數(shù)據(jù)具有典型的大數(shù)據(jù)特點，每天氣象觀測、預(yù)報及服務(wù)業(yè)務(wù)都產(chǎn)生海量數(shù)據(jù)，加強數(shù)據(jù)安全是非常重要且必要。按照《數(shù)據(jù)安全法》，應(yīng)首先對氣象數(shù)據(jù)進(jìn)行數(shù)據(jù)安全分級分類，建立氣象數(shù)據(jù)安全分級和數(shù)據(jù)產(chǎn)權(quán)分類的管理制度，針對不同安全類別的氣象數(shù)據(jù)建立相應(yīng)的訪問控制、數(shù)據(jù)加解密、數(shù)據(jù)脫敏等安全管理和控制措施，實施氣象大數(shù)據(jù)的“采集、傳輸、處理、存儲、服務(wù)、歸檔、銷毀”全生命周期安全監(jiān)管，識別安全風(fēng)險，完善管控舉措，針對不同產(chǎn)權(quán)分類加強用戶權(quán)限和流向監(jiān)管。開展數(shù)據(jù)全流程安全管理，實施用戶統(tǒng)一認(rèn)證和數(shù)據(jù)安全使用的權(quán)限管理，強化終端數(shù)據(jù)安全；敏感氣象數(shù)據(jù)內(nèi)外部傳輸采用適當(dāng)?shù)募用鼙Ｗo措施，保證傳輸數(shù)據(jù)安全，防止傳輸過程中的數(shù)據(jù)泄漏；嚴(yán)格數(shù)據(jù)存儲系統(tǒng)的賬號權(quán)限管理、訪問控制、日志管理、加密管理、版本升級、數(shù)據(jù)遷移等管理制度；完善氣象數(shù)據(jù)開放清單管理制度，健全數(shù)據(jù)出境安全管理制度，確保數(shù)據(jù)出境安全；建立發(fā)生數(shù)據(jù)安全事件后的應(yīng)急處置制度。

5 結(jié)論

“沒有網(wǎng)絡(luò)安全就沒有國家安全，沒有信息化就沒有現(xiàn)代化”，氣象事業(yè)高質(zhì)量發(fā)展離不開信息化支撐，也離不開氣象網(wǎng)絡(luò)安全保障，因此，面向更高質(zhì)量氣象現(xiàn)代化發(fā)展需求，亟須研究建立較為完善的氣象網(wǎng)絡(luò)安全體系，保障氣象事業(yè)持續(xù)穩(wěn)定安全發(fā)展。