郭銳GUO Rui;李士寬②LI Shi-kuan;馬曉紅MA Xiao-hong;張建成ZHANG Jian-cheng;吳書(shū)勝WU Shu-sheng;胡欣悅HU Xin-yue
(①山東正中信息技術(shù)股份有限公司,濟(jì)南 250000;②山東省數(shù)字化應(yīng)用科學(xué)研究院有限公司,濟(jì)南 250000)
《國(guó)家網(wǎng)絡(luò)空間安全戰(zhàn)略》等系列文件的發(fā)布,標(biāo)志著網(wǎng)絡(luò)安全正式被納入國(guó)家安全范疇。中華人民共和國(guó)國(guó)民經(jīng)濟(jì)和社會(huì)發(fā)展第十四個(gè)五年規(guī)劃和2035 年遠(yuǎn)景目標(biāo)綱要明確提出要“提高數(shù)字政府建設(shè)水平”,網(wǎng)絡(luò)安全建設(shè)作為數(shù)字政府建設(shè)的重中之重,對(duì)保護(hù)數(shù)據(jù)安全起到了非常重要的作用。
數(shù)字政府下的網(wǎng)絡(luò)安全應(yīng)用中還處于上升期[1],為了推動(dòng)數(shù)字政府網(wǎng)絡(luò)安全工作建設(shè),緩和數(shù)字政府網(wǎng)絡(luò)安全發(fā)展過(guò)程中由于工作標(biāo)準(zhǔn)不統(tǒng)一導(dǎo)致的工作質(zhì)量難考核的問(wèn)題,設(shè)計(jì)了一種更加適用的工作質(zhì)量考核計(jì)算模型。
政務(wù)系統(tǒng)資產(chǎn)界定與摸底的差別比較大,全國(guó)各省市縣發(fā)展水平不一,不同的省與省之間,同一省內(nèi)的市與市之間,統(tǒng)建系統(tǒng)情況、自建政務(wù)系統(tǒng)情況均有較大的差別,如某中部平原全省各類(lèi)政務(wù)系統(tǒng)約有9000 個(gè),另一個(gè)沿海發(fā)達(dá)省約有12000 個(gè),然而某西北省份估算只有不到500 個(gè),由于各省份間資產(chǎn)界定與摸底標(biāo)準(zhǔn)也不相同,這個(gè)數(shù)值可能在意義上和數(shù)量上都有著較大的偏差;同一省內(nèi)的市與市之間也不盡相同,如按照同一個(gè)省內(nèi)的界定標(biāo)準(zhǔn),某市共有資產(chǎn)50 個(gè),另一個(gè)市只有15 個(gè),資產(chǎn)多的發(fā)現(xiàn)的問(wèn)題多一些,資產(chǎn)少的發(fā)現(xiàn)的問(wèn)題少一些,類(lèi)似這樣的差別,給考核工作的公平性帶來(lái)了難題。
安全技術(shù)手段能力與標(biāo)準(zhǔn)不統(tǒng)一,前面說(shuō)到可能出現(xiàn)“資產(chǎn)多的發(fā)現(xiàn)的問(wèn)題多一些,資產(chǎn)少的發(fā)現(xiàn)的問(wèn)題少一些”這樣的問(wèn)題,實(shí)際情況則更為復(fù)雜,由于各地安全支撐運(yùn)營(yíng)商不同、安全技術(shù)能力不同、威脅界定標(biāo)準(zhǔn)不同,反而出現(xiàn)了“某市全年發(fā)現(xiàn)威脅告警及安全事件數(shù)萬(wàn)個(gè),同省另一個(gè)市全年發(fā)現(xiàn)威脅告警及安全事件幾百個(gè),有的市一個(gè)都沒(méi)有”的問(wèn)題[2],不同的運(yùn)營(yíng)商可以防止安全事件“以點(diǎn)破面”,增強(qiáng)容錯(cuò)率,但是也為考核工作的準(zhǔn)確性帶來(lái)了極大的考驗(yàn)。
考核是建設(shè)創(chuàng)新政府、廉潔政府、法治政府的重要推手,對(duì)網(wǎng)絡(luò)安全工作進(jìn)行考核更是對(duì)社會(huì)負(fù)責(zé)、對(duì)人民負(fù)責(zé)的體現(xiàn)。常見(jiàn)的公司企業(yè)考核都是立足于KPI[3]和OKR[4]這兩種管理模式,考核KPI 就是檢驗(yàn)上級(jí)分配給考核對(duì)象的任務(wù)目標(biāo)完成情況,考核OKR 就是檢驗(yàn)考核對(duì)象自身訂立的規(guī)劃完成情況。
現(xiàn)階段我國(guó)各省的電子政務(wù)網(wǎng)絡(luò)安全考核方式也十分類(lèi)似,多以“檢查+打分,檢驗(yàn)KPI(任務(wù)目標(biāo)),審閱OKR(自身規(guī)劃)”為主,又有著工作能力、精神風(fēng)貌和成績(jī)業(yè)績(jī)各類(lèi)指標(biāo),直接規(guī)避了上述問(wèn)題現(xiàn)象所帶來(lái)的困難,就實(shí)用性來(lái)說(shuō)是合理且快捷的,但是這種模式最終導(dǎo)致,整個(gè)過(guò)程看重的是工程建設(shè)結(jié)果,其建設(shè)質(zhì)量會(huì)被一定程度的忽略,就像前面問(wèn)題所說(shuō)的,某市全年處理上萬(wàn)個(gè)威脅隱患也是完成指標(biāo),某市全年一個(gè)問(wèn)題都沒(méi)發(fā)現(xiàn)也是完成指標(biāo),指標(biāo)里要求該建的系統(tǒng)全都建了,該做的工作也完成了,質(zhì)量依然參差不齊,考核內(nèi)容有待進(jìn)一步完善。
通過(guò)對(duì)工作質(zhì)量考核面臨的問(wèn)題及考核現(xiàn)狀的分析,設(shè)計(jì)一種更加合理、有效的數(shù)學(xué)模型,客觀(guān)真實(shí)地反應(yīng)工作質(zhì)量指數(shù)是尤為重要的。
在各省市縣標(biāo)準(zhǔn)不統(tǒng)一的情況下,建立數(shù)學(xué)模型第一個(gè)重難點(diǎn)在于劃定模型里統(tǒng)一的基本數(shù)學(xué)要素,通過(guò)匯總收集,可用于數(shù)學(xué)計(jì)算的安全工作基本要素[5]如圖1 所示。
①財(cái)政預(yù)算。
財(cái)政預(yù)算是工作的必需,客觀(guān)上預(yù)算也許不屬于工作質(zhì)量的一部分,但古語(yǔ)講“一分錢(qián)一分貨”“巧婦難為無(wú)米之炊”,在評(píng)判工作效率時(shí),財(cái)政預(yù)算的要素必不可缺。
②安全防護(hù)系統(tǒng)、組織建設(shè)部署。
安全工作的質(zhì)量核心就是技術(shù)力量部署與防護(hù)平臺(tái)建設(shè),部署人員和系統(tǒng)數(shù)量都是可量化的。
③安全威脅告警信息。
威脅告警、態(tài)勢(shì)感知體現(xiàn)了安全預(yù)防的能力,其信息多以數(shù)量直觀(guān)體現(xiàn)。
④安全事件。
安全事件的發(fā)生具有隨機(jī)性,但是處理安全事件可以有效考驗(yàn)安全工作能力,安全事件的處理可從成功與失敗兩個(gè)角度進(jìn)行評(píng)判。
⑤自身安全檢查、漏洞掃描。
自身的漏洞檢查、檢測(cè)是安全工作的一項(xiàng)直觀(guān)體現(xiàn),同時(shí)可與監(jiān)管單位的檢查形成對(duì)比。
⑥監(jiān)管單位的資產(chǎn)摸底、安全檢查、漏洞掃描、滲透測(cè)試、攻防演練。
來(lái)自監(jiān)管單位的檢查、檢測(cè)數(shù)據(jù),具有統(tǒng)一化的標(biāo)準(zhǔn),具有客觀(guān)公正性。
其中,1-5 稱(chēng)為自身要素,6 稱(chēng)為客觀(guān)(公正)要素。
基本要素如何使用是第二個(gè)重難點(diǎn),具體分析如下:
①財(cái)政預(yù)算。
優(yōu)點(diǎn):可量化、有數(shù)字;缺點(diǎn):規(guī)劃額度具有差別。針對(duì)財(cái)政預(yù)算規(guī)劃額度差別,在對(duì)比時(shí)作為成績(jī)分母進(jìn)行運(yùn)算。
②安全防護(hù)系統(tǒng)、組織建設(shè)部署。
優(yōu)點(diǎn):可量化,有數(shù)字;缺點(diǎn):標(biāo)準(zhǔn)不一,導(dǎo)致差別較大。可以利用系統(tǒng)數(shù)量、技術(shù)人員部署數(shù)量。
③安全威脅告警信息。
優(yōu)點(diǎn):可量化,有數(shù)字;缺點(diǎn):標(biāo)準(zhǔn)不一,導(dǎo)致差別較大。告警信息次數(shù)與告警涉及系統(tǒng)個(gè)數(shù)差異較大,如某市告警信息10000 次,涉及系統(tǒng)9 個(gè),某市告警信息3000次,涉及系統(tǒng)同樣是9 個(gè),告警信息次數(shù)受服務(wù)商技術(shù)標(biāo)準(zhǔn)限制,而涉及系統(tǒng)數(shù)量則較為公正。
④安全事件。
優(yōu)點(diǎn):可量化,有數(shù)字;缺點(diǎn):隨機(jī)性強(qiáng),標(biāo)準(zhǔn)不一,導(dǎo)致差別較大。依據(jù)事件處理的成功與否,設(shè)立正負(fù)反饋。
⑤自身安全檢查、漏洞掃描。
優(yōu)點(diǎn):可量化,有數(shù)字;缺點(diǎn):標(biāo)準(zhǔn)不一,導(dǎo)致差別較大。需要用到自查自檢的漏洞數(shù)量清單。
⑥監(jiān)管單位的資產(chǎn)摸底、安全檢查、漏洞掃描、滲透測(cè)試、攻防演練。
優(yōu)點(diǎn):可量化,有數(shù)字,標(biāo)準(zhǔn)一致;缺點(diǎn):受檢查對(duì)象資產(chǎn)數(shù)量限制。監(jiān)管單位作為客觀(guān)公正的評(píng)價(jià)要素,是工作質(zhì)量考核計(jì)算模型設(shè)計(jì)的核心。
①除了安全事件造成危害外,單獨(dú)的數(shù)字并不能決定質(zhì)量,不能以任何一個(gè)數(shù)字的多寡決定工作質(zhì)量的水準(zhǔn),必須通過(guò)綜合處理研判;②為方便考核計(jì)分,運(yùn)算結(jié)果的區(qū)間不能偏差過(guò)大,可以通過(guò)圈定滿(mǎn)分值,設(shè)置權(quán)重位來(lái)設(shè)計(jì)計(jì)算模型;③計(jì)算模型應(yīng)簡(jiǎn)單易用。
計(jì)算模型中實(shí)際需求的分?jǐn)?shù)權(quán)重為T(mén),不同要素的權(quán)重為T(mén)1、T2、T3……Tn,安全工作預(yù)算為m,安全防護(hù)系統(tǒng)數(shù)量為n1,技術(shù)人員部署數(shù)量為n2,告警累計(jì)涉及系統(tǒng)數(shù)量為w,安全事件處理成功定為S(成功一次的值為+1),處理失敗定為F,自檢自查漏洞數(shù)量定為x,資產(chǎn)數(shù)量定為y,監(jiān)管單位通過(guò)各種方式檢查出的漏洞數(shù)量定為X,抽查的系統(tǒng)數(shù)量定為Y,以上數(shù)值的采集時(shí)間必須保持一致,如同一季度或者同一年度,采集的標(biāo)準(zhǔn)必須一致,如X 和x 都是中高危漏洞個(gè)數(shù)。
系統(tǒng)建設(shè)情況與技術(shù)人員部署情況也是質(zhì)量評(píng)價(jià)中重要一環(huán),考慮到不同地區(qū)有統(tǒng)建與自建的區(qū)別,這個(gè)分值應(yīng)由使用單位自行決定權(quán)重:N=T1*n1+T2*n2,如:統(tǒng)建不加分,每多一個(gè)自建系統(tǒng)加一分,在規(guī)定之外每額外部署3 個(gè)技術(shù)人員加一分。
安全事件的評(píng)判受事件處理成功、失敗的影響,在一般考核工作中,若事件處理成功則計(jì)分,若發(fā)生嚴(yán)重安全事件并造成危害,則考核不通過(guò),記為負(fù),此時(shí)F 的值計(jì)為-T,不受次數(shù)影響,處理為:(S/y)∨F。
安全告警的系統(tǒng)數(shù)量在外部威脅攻擊決定的基礎(chǔ)上,也會(huì)受到安全防護(hù)態(tài)勢(shì)感知平臺(tái)質(zhì)量的影響。在系統(tǒng)建設(shè)中,由于自建系統(tǒng)會(huì)額外加分,所以在安全告警的系統(tǒng)中只考慮統(tǒng)建態(tài)勢(shì)感知系統(tǒng)所發(fā)出的告警數(shù)量。計(jì)算平均每天告警系統(tǒng)數(shù)量所占總體數(shù)量的百分比,為:W=w/365y,這個(gè)數(shù)值越低,表明安全工作質(zhì)量越高。
自檢自查平均每個(gè)資產(chǎn)的漏洞數(shù)值優(yōu)于監(jiān)管單位檢查的平均每個(gè)系統(tǒng)的漏洞數(shù)值則為良,處理為:(x/y)/(X/Y)。
(x/y)/(X/Y)需要?dú)w化到[0,1]的區(qū)間,不同的評(píng)分對(duì)象用x1,x2,x3……xn 表示,歸化為:Xm=(x1/y1)/(X1/Y1)/{(x1/y1)/(X1/Y1)+(x2/y2)/(X2/Y2)+(x3/y3)/(X3/Y3)+…+(xn/yn)/(Xn/Yn)}。
綜上所述,得到質(zhì)量數(shù)學(xué)模型如下:C=N+(S/y)∨FW+Xm。
加上權(quán)重:C=T1*n1+T2*n2+(T3*S/y)∨F-T4*w/365y+T5*Xm。質(zhì)量工作效率則有:V=C/m(C 的計(jì)算不受總權(quán)重T 影響)。通過(guò)設(shè)計(jì)的質(zhì)量工作效率公示作為最終的工作質(zhì)量考核計(jì)算模型,將工作效率表達(dá)轉(zhuǎn)化為工作質(zhì)量對(duì)比表達(dá),工作效率越高,對(duì)比出的工作質(zhì)量越高。
為了直觀(guān)體現(xiàn)模型的效果,列舉一個(gè)例子進(jìn)行計(jì)算。某省有ABCDEFGHIJ 十個(gè)市,統(tǒng)建安全防護(hù)態(tài)勢(shì)感知系統(tǒng)1 個(gè),規(guī)定每市最少部署技術(shù)人員3 人,考核總分100,質(zhì)量分?jǐn)?shù)不超過(guò)10 分,超過(guò)10 分則按10 分處理,每多一個(gè)自建安全防護(hù)系統(tǒng)加一分,在3 人之外每額外部署3 個(gè)技術(shù)人員加一分,不足規(guī)定的3 人扣一分,最多通過(guò)這種方式得到5 分,解決一次政務(wù)系統(tǒng)的平均事件得0.8 分,封頂5 分,漏洞檢測(cè)權(quán)重占5 分,即:T=10,T1=1,T2=1/3,T3=0.8,T4=10,T5=5。各市全年度數(shù)字政府網(wǎng)絡(luò)安全工作數(shù)據(jù)如表1。
表1 各市全年度數(shù)字政府網(wǎng)絡(luò)安全工作數(shù)據(jù)
表1 中的具體數(shù)據(jù)情況如下所述。
A:財(cái)政預(yù)算200 萬(wàn),資產(chǎn)摸底21 個(gè),安全防護(hù)系統(tǒng)1個(gè),專(zhuān)項(xiàng)安全技術(shù)人員6 個(gè),全年安全態(tài)勢(shì)告警累計(jì)系統(tǒng)560 次,全年安全事件100 起,全部有效處理未造成嚴(yán)重危害,自檢自查中高危漏洞數(shù)量100 個(gè),監(jiān)管檢查累計(jì)抽查資產(chǎn)7 個(gè),高危漏洞數(shù)量40 個(gè)。B:財(cái)政預(yù)算200 萬(wàn),資產(chǎn)摸底15 個(gè),安全防護(hù)系統(tǒng)1 個(gè),專(zhuān)項(xiàng)安全技術(shù)人員5個(gè),全年安全態(tài)勢(shì)告警累計(jì)系統(tǒng)480 次,全年安全事件150 起,全部有效處理未造成嚴(yán)重危害,自檢自查中高危漏洞數(shù)量200 個(gè),監(jiān)管檢查累計(jì)抽查資產(chǎn)5 個(gè),高危漏洞數(shù)量20 個(gè)。C:財(cái)政預(yù)算500 萬(wàn),資產(chǎn)摸底65 個(gè),安全防護(hù)系統(tǒng)3 個(gè),專(zhuān)項(xiàng)安全技術(shù)人員12 個(gè),全年安全態(tài)勢(shì)告警累計(jì)系統(tǒng)800 次,全年安全事件180 起,全部有效處理未造成嚴(yán)重危害,自檢自查中高危漏洞數(shù)量300 個(gè),監(jiān)管檢查累計(jì)抽查資產(chǎn)22 個(gè),高危漏洞數(shù)量96 個(gè)。D:財(cái)政預(yù)算50萬(wàn),資產(chǎn)摸底9 個(gè),安全防護(hù)系統(tǒng)1 個(gè),專(zhuān)項(xiàng)安全技術(shù)人員3 個(gè),全年安全態(tài)勢(shì)告警累計(jì)涉及系統(tǒng)100 次,全年安全事件0 起,全部有效處理未造成嚴(yán)重危害,自檢自查中高危漏洞數(shù)量30 個(gè),監(jiān)管檢查累計(jì)抽查資產(chǎn)3 個(gè),高危漏洞數(shù)量10 個(gè)。E:財(cái)政預(yù)算30 萬(wàn),資產(chǎn)摸底5 個(gè),安全防護(hù)系統(tǒng)1 個(gè),專(zhuān)項(xiàng)安全技術(shù)人員3 個(gè),全年安全態(tài)勢(shì)告警累計(jì)涉及系統(tǒng)80 次,全年安全事件21 起,全部有效處理未造成嚴(yán)重危害,自檢自查中高危漏洞數(shù)量15 個(gè),監(jiān)管檢查累計(jì)抽查資產(chǎn)2 個(gè),高危漏洞數(shù)量3 個(gè)。F:財(cái)政預(yù)算3500萬(wàn),資產(chǎn)摸底96 個(gè),安全防護(hù)系統(tǒng)6 個(gè),專(zhuān)項(xiàng)安全技術(shù)人員21 個(gè),全年安全態(tài)勢(shì)告警累計(jì)涉及系統(tǒng)1600 次,全年安全事件760 起,全部有效處理未造成嚴(yán)重危害,自檢自查中高危漏洞數(shù)量480 個(gè),監(jiān)管檢查累計(jì)抽查資產(chǎn)32 個(gè),高危漏洞數(shù)量80 個(gè)。G:財(cái)政預(yù)算20 萬(wàn),資產(chǎn)摸底3 個(gè),安全防護(hù)系統(tǒng)1 個(gè),專(zhuān)項(xiàng)安全技術(shù)人員1 個(gè),全年安全態(tài)勢(shì)告警60 次,全年安全事件1 起,未能及時(shí)發(fā)現(xiàn)并通告處理造成服務(wù)器宕機(jī)長(zhǎng)達(dá)5 天,自檢自查中高危漏洞數(shù)量0個(gè),監(jiān)管檢查累計(jì)抽查資產(chǎn)3 個(gè),高危漏洞數(shù)量12 個(gè)。H:財(cái)政預(yù)算30 萬(wàn),資產(chǎn)摸底3 個(gè),安全防護(hù)系統(tǒng)1 個(gè),專(zhuān)項(xiàng)安全技術(shù)人員3 個(gè),全年安全態(tài)勢(shì)告警56 次,全年安全事件12 起,全部有效處理未造成嚴(yán)重危害,自檢自查中高危漏洞數(shù)量16 個(gè),監(jiān)管檢查累計(jì)抽查資產(chǎn)3 個(gè),高危漏洞數(shù)量11 個(gè)。I:財(cái)政預(yù)算60 萬(wàn),資產(chǎn)摸底4 個(gè),安全防護(hù)系統(tǒng)1 個(gè),專(zhuān)項(xiàng)安全技術(shù)人員3 個(gè),全年安全態(tài)勢(shì)告警累計(jì)涉及系統(tǒng)21 次,全年安全事件15 起,全部有效處理未造成嚴(yán)重危害,自檢自查中高危漏洞數(shù)量60 個(gè),監(jiān)管檢查累計(jì)抽查資產(chǎn)2 個(gè),高危漏洞數(shù)量8 個(gè)。J:財(cái)政預(yù)算180 萬(wàn),資產(chǎn)摸底12 個(gè),安全防護(hù)系統(tǒng)1 個(gè),專(zhuān)項(xiàng)安全技術(shù)人員9個(gè),全年安全態(tài)勢(shì)告警累計(jì)涉及系統(tǒng)78 次,全年安全事件210 起,全部有效處理未造成嚴(yán)重危害,自檢自查中高危漏洞數(shù)量90 個(gè),監(jiān)管檢查累計(jì)抽查資產(chǎn)4 個(gè),高危漏洞數(shù)量13 個(gè)。
通過(guò)設(shè)計(jì)的工作質(zhì)量考核計(jì)算模型,計(jì)算質(zhì)量數(shù)學(xué)模型和質(zhì)量工作效率,其中,質(zhì)量工作效率中m 的單位定為10萬(wàn),得到質(zhì)量數(shù)學(xué)模型、質(zhì)量工作效率數(shù)據(jù)如表2。
表2 質(zhì)量數(shù)學(xué)模型、質(zhì)量工作效率數(shù)據(jù)
對(duì)表中的數(shù)據(jù)分析,可以看出ABCDEFGHIJ 市的質(zhì)量數(shù)學(xué)模型數(shù)值分別為4.3、5.7、7.2、0.0、3.5、10.0、-11.5、2.7、4.0、7.5。其中F市的質(zhì)量數(shù)學(xué)模型得到的數(shù)據(jù)為10,是質(zhì)量數(shù)學(xué)模型中最優(yōu)的,但是由于財(cái)政預(yù)算投入了3500 萬(wàn),得到的計(jì)算工作效率僅為0.029;E 市的質(zhì)量數(shù)學(xué)模型得到的數(shù)據(jù)為3.5,財(cái)政預(yù)算投入僅為30 萬(wàn),最終計(jì)算質(zhì)量工作效率為1.166,是11 個(gè)市中最大的,表明工作質(zhì)量最高;G 市由于未能及時(shí)發(fā)現(xiàn)并通告處理造成服務(wù)器宕機(jī)長(zhǎng)達(dá)5 天,導(dǎo)致工作質(zhì)量出現(xiàn)了負(fù)值。此計(jì)算模型充分考慮了多種網(wǎng)絡(luò)安全因素,對(duì)工作質(zhì)量的考核提供了更合理的計(jì)算方法。
通過(guò)設(shè)計(jì)的工作質(zhì)量考核計(jì)算模型,充分考慮了財(cái)政預(yù)算、安全防護(hù)系統(tǒng)、組織建設(shè)部署、安全威脅告警信息、安全事件處理、自身安全檢查、漏洞掃描及監(jiān)管單位的檢測(cè)檢查等多個(gè)方面,對(duì)于數(shù)字政府網(wǎng)絡(luò)安全發(fā)展中更加公平性的工作質(zhì)量考核具有重要作用,對(duì)推動(dòng)數(shù)字政府網(wǎng)絡(luò)安全的發(fā)展也具有深遠(yuǎn)影響。