張鷙

（中國移動(dòng)通信集團(tuán)遼寧有限公司，沈陽 110179）

面向移動(dòng)互聯(lián)網(wǎng)的嵌入式業(yè)務(wù)安全管控體系

張鷙

（中國移動(dòng)通信集團(tuán)遼寧有限公司，沈陽 110179）

本文結(jié)合運(yùn)營商移動(dòng)互聯(lián)網(wǎng)業(yè)務(wù)管理經(jīng)驗(yàn)，提出了一套基于風(fēng)險(xiǎn)識別的嵌入式業(yè)務(wù)安全管理體系。覆蓋業(yè)務(wù)運(yùn)營全周期實(shí)現(xiàn)嵌入式業(yè)務(wù)風(fēng)險(xiǎn)管控，全面落實(shí)網(wǎng)絡(luò)與信息安全“三同步”工作要求。本文所述管理體系實(shí)現(xiàn)了業(yè)務(wù)層面和底層程序的雙重信息安全審計(jì)，確保了評估風(fēng)險(xiǎn)的全面性和準(zhǔn)確性。引入自動(dòng)合規(guī)核查機(jī)制結(jié)合人工滲透測試方式，提高了風(fēng)險(xiǎn)排查的效率和精準(zhǔn)性。建立風(fēng)險(xiǎn)的共享機(jī)制大幅降低業(yè)務(wù)安全風(fēng)險(xiǎn)重復(fù)出現(xiàn)的概率。

嵌入式管理體系；互聯(lián)網(wǎng)業(yè)務(wù)安全；風(fēng)險(xiǎn)排查

隨著移動(dòng)互聯(lián)網(wǎng)的高速發(fā)展，網(wǎng)絡(luò)日益增速，越來越多的數(shù)字化服務(wù)使用戶更加依賴數(shù)據(jù)網(wǎng)絡(luò)，數(shù)據(jù)業(yè)務(wù)量也隨之指數(shù)級激增。中國移動(dòng)向用戶提供智能管道的同時(shí)，也為用戶推出了諸如網(wǎng)上營業(yè)廳、手機(jī)地圖、無線城市、乘車助手、手機(jī)辦公等新業(yè)務(wù)。面對當(dāng)前激烈的市場競爭和多樣化的用戶需求，新業(yè)務(wù)的種類不斷增多，業(yè)務(wù)流程愈加復(fù)雜，接口眾多，業(yè)務(wù)之間關(guān)聯(lián)度也顯著增強(qiáng)。與此同時(shí)，復(fù)雜的違規(guī)產(chǎn)業(yè)鏈衍生出眾多新型攻擊，違規(guī)人員經(jīng)常利用業(yè)務(wù)信息系統(tǒng)漏洞服務(wù)拒絕、業(yè)務(wù)網(wǎng)站篡改與掛馬、跨站攻擊、用戶賬號竊取、網(wǎng)站釣魚等，造成客戶信息泄露、不知情訂制等導(dǎo)致客戶利益受到損害。因此，如何提高業(yè)務(wù)安全防護(hù)水平，前置風(fēng)險(xiǎn)評估和加固環(huán)節(jié)成為業(yè)務(wù)健康穩(wěn)定運(yùn)行的重要基礎(chǔ)。本文基于運(yùn)營商移動(dòng)互聯(lián)網(wǎng)業(yè)務(wù)管理現(xiàn)狀，梳理形成一套嵌入式業(yè)務(wù)安全管控體系。有效開展源頭治理，把嚴(yán)入口關(guān)，全面排查業(yè)務(wù)安全風(fēng)險(xiǎn)，確保在線業(yè)務(wù)的合規(guī)運(yùn)營。

1 運(yùn)營商業(yè)務(wù)安全管理現(xiàn)狀分析

近年來，運(yùn)營商業(yè)務(wù)系統(tǒng)被黑客入侵的安全事件屢見不鮮，業(yè)務(wù)安全正面臨前所未有的安全挑戰(zhàn)。移動(dòng)互聯(lián)網(wǎng)的發(fā)展速度已經(jīng)超過學(xué)者對于移動(dòng)互聯(lián)網(wǎng)的安全風(fēng)險(xiǎn)評估研究的進(jìn)展。運(yùn)營商內(nèi)部業(yè)務(wù)安全管理存在以下問題：一是雖然組建了業(yè)務(wù)安全評估團(tuán)隊(duì)，但對于移動(dòng)互聯(lián)網(wǎng)業(yè)務(wù)安全風(fēng)險(xiǎn)評估多依賴于評估人員的經(jīng)驗(yàn)，評估效果存在不確定性。隨著云計(jì)算、智能終端等技術(shù)不斷演進(jìn)，黑客技術(shù)日益進(jìn)步，評估人員專業(yè)技能也難以全面覆蓋各類風(fēng)險(xiǎn)。二是安全評估流程不完善，評估效率較低下，評估環(huán)節(jié)流轉(zhuǎn)不充分，對評估效果，評估結(jié)論沒有顯性的跟蹤環(huán)節(jié)?？赡軐?dǎo)致評估參與度下降，評估效果不理想。三是業(yè)務(wù)部門安全意識薄弱，部分業(yè)務(wù)先上線后評估，引發(fā)在線運(yùn)營風(fēng)險(xiǎn)，導(dǎo)致用戶投訴甚至造成用戶損失。四是安全管理松散，業(yè)務(wù)人員作為業(yè)務(wù)規(guī)劃和設(shè)計(jì)者，往往缺乏必要的安全知識，很多風(fēng)險(xiǎn)在多個(gè)業(yè)務(wù)重復(fù)出現(xiàn)，徒增安全管理和開發(fā)工作量。

2 嵌入式業(yè)務(wù)安全管控體系

2.1 實(shí)現(xiàn)模板化評估，形成業(yè)務(wù)安全指導(dǎo)白皮書

2．1．1 全面的風(fēng)險(xiǎn)列表，確保風(fēng)險(xiǎn)評估完整性

根據(jù)上級部門監(jiān)管要求，結(jié)合業(yè)務(wù)運(yùn)營經(jīng)驗(yàn)和管理現(xiàn)狀，梳理形成業(yè)務(wù)安全評估模板。以工信部《互聯(lián)網(wǎng)新技術(shù)新業(yè)務(wù)安全評估指南》、中國移動(dòng)通信集團(tuán)公司《中國移動(dòng)業(yè)務(wù)安全通用評估規(guī)》等文件為指導(dǎo)，梳理整合業(yè)務(wù)內(nèi)容安全、業(yè)務(wù)流程安全、業(yè)務(wù)應(yīng)用安全、登陸安全、資源及合作安全、資源及合作安全、平臺(tái)及軟件安全、設(shè)備安全、網(wǎng)絡(luò)結(jié)構(gòu)安全、終端安全等9大類，62個(gè)場景，408個(gè)風(fēng)險(xiǎn)控制點(diǎn)。上述控制點(diǎn)完整涵蓋傳統(tǒng)網(wǎng)絡(luò)安全，業(yè)務(wù)安全和管理安全，確保了評估風(fēng)險(xiǎn)的全面性。作為業(yè)務(wù)安全評估指導(dǎo)的白皮書，評估模板在指導(dǎo)信息安全評估的同時(shí)，也是業(yè)務(wù)規(guī)劃、開發(fā)的安全對標(biāo)手冊。業(yè)務(wù)安全評估風(fēng)險(xiǎn)要點(diǎn)如圖1所示。

為便于評估結(jié)果統(tǒng)計(jì)和風(fēng)險(xiǎn)篩查，評估模板將風(fēng)險(xiǎn)評估要點(diǎn)轉(zhuǎn)換為適合自評口徑的選項(xiàng)模式，業(yè)務(wù)部門在安全自評估時(shí)僅需根據(jù)業(yè)務(wù)實(shí)際情況，對風(fēng)險(xiǎn)評估結(jié)果進(jìn)行“是/否/不涉及”選擇。業(yè)務(wù)評估結(jié)果統(tǒng)計(jì)時(shí)，對“否”選項(xiàng)進(jìn)行重點(diǎn)梳理確認(rèn)，減少安全管理人員風(fēng)險(xiǎn)排查及統(tǒng)計(jì)時(shí)長，指導(dǎo)業(yè)務(wù)更快速準(zhǔn)確地把握風(fēng)險(xiǎn)點(diǎn)，及時(shí)開展自查整改。

2．1．2 實(shí)時(shí)更新風(fēng)險(xiǎn)目錄，確保業(yè)務(wù)安全管控同步落實(shí)

隨著業(yè)務(wù)的發(fā)展和技術(shù)的不斷進(jìn)步，基于網(wǎng)絡(luò)、設(shè)備、中間件和業(yè)務(wù)流程的風(fēng)險(xiǎn)愈發(fā)頻繁地出現(xiàn)，并且不斷暴發(fā)新的漏洞。安全評估環(huán)節(jié)的完整性和實(shí)時(shí)性直接對業(yè)務(wù)的風(fēng)險(xiǎn)系數(shù)產(chǎn)生影響。為確保業(yè)務(wù)安全管控措施的同步落實(shí)，更有效更全面地排查業(yè)務(wù)風(fēng)險(xiǎn)，制定了風(fēng)險(xiǎn)目錄更新機(jī)制。實(shí)時(shí)關(guān)注各類最新安全事件，將互聯(lián)網(wǎng)暴光、行業(yè)內(nèi)通報(bào)、上級監(jiān)管部門推送的各類風(fēng)險(xiǎn)及時(shí)納入風(fēng)險(xiǎn)目錄。根據(jù)統(tǒng)計(jì)，2013～2016年風(fēng)險(xiǎn)列表包含風(fēng)險(xiǎn)數(shù)量由205項(xiàng)增加至408項(xiàng)。

圖1 業(yè)務(wù)安全評估風(fēng)險(xiǎn)要點(diǎn)

圖2 嵌入式風(fēng)險(xiǎn)防控節(jié)點(diǎn)

2.2 強(qiáng)化源頭治理，嵌入式把控業(yè)務(wù)入口關(guān)

為避免出現(xiàn)未評估就上線甚至業(yè)務(wù)帶病運(yùn)營的情況，利用管理手段將信息安全評估環(huán)節(jié)納入公司立項(xiàng)管理流程。基于業(yè)務(wù)生命周期，建立信息安全論證和新業(yè)務(wù)評估聯(lián)動(dòng)機(jī)制，全流程參與業(yè)務(wù)風(fēng)險(xiǎn)評估和監(jiān)測。對業(yè)務(wù)采取分類分級的管理策略，根據(jù)不同業(yè)務(wù)服務(wù)范圍、業(yè)務(wù)狀態(tài)、涉及風(fēng)險(xiǎn)設(shè)定相應(yīng)級別的信息安全評估及管控環(huán)節(jié)，從源頭上實(shí)現(xiàn)嵌入式業(yè)務(wù)風(fēng)險(xiǎn)防控。對已有業(yè)務(wù)啟動(dòng)必要的安全監(jiān)測，將業(yè)務(wù)基本信息、業(yè)務(wù)運(yùn)營情況、資產(chǎn)情況梳理、業(yè)務(wù)流程及內(nèi)容安全等內(nèi)容納入日常業(yè)務(wù)撥測，在上述參數(shù)發(fā)生變化時(shí)，對業(yè)務(wù)重新進(jìn)行信息安全評估。

如圖2所示，在公司內(nèi)部項(xiàng)目管理節(jié)點(diǎn)中，共計(jì)嵌入3個(gè)信息安全管理相關(guān)節(jié)點(diǎn)。一是在立項(xiàng)申請?zhí)岢龊蠛蜆I(yè)務(wù)設(shè)計(jì)之前，加入信息安全論證環(huán)節(jié)。此環(huán)節(jié)是基于項(xiàng)目立項(xiàng)意向?qū)?xiàng)目可能涉及的信息安全風(fēng)險(xiǎn)提出初步建議，明確相關(guān)注意事項(xiàng)，指導(dǎo)業(yè)務(wù)流程設(shè)計(jì)，避免在設(shè)計(jì)階段即出現(xiàn)信息安全管理漏洞，導(dǎo)致業(yè)務(wù)開發(fā)完成后出現(xiàn)問題，增加系統(tǒng)改造投資。二是在系統(tǒng)開發(fā)測試完成后，業(yè)務(wù)試運(yùn)行前進(jìn)行新技術(shù)新業(yè)務(wù)信息安全評估。此環(huán)節(jié)對業(yè)務(wù)健康性進(jìn)行全面檢測，逐項(xiàng)對標(biāo)排查業(yè)務(wù)風(fēng)險(xiǎn)并配合滲透測試。對發(fā)現(xiàn)的業(yè)務(wù)風(fēng)險(xiǎn)逐項(xiàng)制定整改計(jì)劃，原則上風(fēng)險(xiǎn)確認(rèn)后應(yīng)在2周之內(nèi)完成整改復(fù)核，確保上線前風(fēng)險(xiǎn)全面排查。三是常態(tài)化開展在線業(yè)務(wù)監(jiān)測，對不評估就上線或風(fēng)險(xiǎn)整改未完成就上線的業(yè)務(wù)部門進(jìn)行經(jīng)營績效扣減，有效避免了不評估就上線或業(yè)務(wù)帶病運(yùn)營的情況。在業(yè)務(wù)試運(yùn)營階段，啟動(dòng)業(yè)務(wù)撥測工作，結(jié)合用戶投訴情況對業(yè)務(wù)運(yùn)營中產(chǎn)生的新增風(fēng)險(xiǎn)進(jìn)行采集。在新業(yè)務(wù)試點(diǎn)/試商用時(shí)、新業(yè)務(wù)合作推廣時(shí)、業(yè)務(wù)基礎(chǔ)資源配置、技術(shù)實(shí)現(xiàn)方式、用戶規(guī)模、業(yè)務(wù)功能等發(fā)生較大變化時(shí)均能及時(shí)啟動(dòng)風(fēng)險(xiǎn)二次核查?；谟脩敉对V的風(fēng)險(xiǎn)排查可有效輔助對業(yè)務(wù)流程缺陷的排查工作，是業(yè)務(wù)安全后評估的重要手段。

2.3 自動(dòng)化核查+人工滲透測試，提高風(fēng)險(xiǎn)評估效率及準(zhǔn)確性

2．3．1 利用合規(guī)平臺(tái)自動(dòng)化輸出風(fēng)險(xiǎn)排查結(jié)果

圖3 安全合規(guī)管理平臺(tái)網(wǎng)絡(luò)拓?fù)?/p>

業(yè)務(wù)風(fēng)險(xiǎn)排查過程中，部分網(wǎng)絡(luò)、主機(jī)配置選項(xiàng)采取人工登錄網(wǎng)元手動(dòng)核查配置文件或選項(xiàng)的方式。人工核查相關(guān)參數(shù)存在效率低、易出錯(cuò)等問題。為提高風(fēng)險(xiǎn)核查的效率和準(zhǔn)確性，依托合規(guī)管控平臺(tái)對網(wǎng)絡(luò)結(jié)構(gòu)安全、設(shè)備安全、平臺(tái)及軟件安全3大類139個(gè)風(fēng)險(xiǎn)控制參數(shù)進(jìn)行監(jiān)測統(tǒng)計(jì)。

如圖3所示，通過部署各類探針，實(shí)現(xiàn)操作系統(tǒng)、數(shù)據(jù)庫、中間件、路由交換、防火墻等設(shè)備的配置采集，設(shè)備信息采集完成后，相關(guān)參數(shù)返回分析服務(wù)器，解析設(shè)備回顯信息，獲取關(guān)鍵字段，根據(jù)安全基線設(shè)置進(jìn)行合規(guī)性判斷。合規(guī)平臺(tái)的配置核查從任務(wù)安排、檢查落實(shí)、分析與報(bào)告生成等各個(gè)環(huán)節(jié)均實(shí)現(xiàn)自動(dòng)化。統(tǒng)一的安全配置基線標(biāo)準(zhǔn)，避免了人為因素造成檢查結(jié)果不一致問題，屏蔽參與設(shè)備安全加固人員的技術(shù)水平因素。安全風(fēng)險(xiǎn)核查準(zhǔn)確率和效率顯著提升。

2．3．2 開展?jié)B透測試，確保業(yè)務(wù)底層安全

前面所述風(fēng)險(xiǎn)多為通過訪談業(yè)務(wù)人員或參與業(yè)務(wù)流程的實(shí)際測試，但對底層代碼層面的漏洞未能有效排查。為了彌補(bǔ)底層業(yè)務(wù)安全排查的缺失，引入人工滲透測試環(huán)節(jié)，充分挖掘和暴露系統(tǒng)的弱點(diǎn)，指導(dǎo)業(yè)務(wù)開發(fā)及維護(hù)單位做好代碼審計(jì)及整改。風(fēng)險(xiǎn)排查人員通過信息收集對被測試目標(biāo)的弱點(diǎn)進(jìn)行深度的挖掘和測試工作。首先對業(yè)務(wù)系統(tǒng)主機(jī)所啟動(dòng)的服務(wù)進(jìn)行掃描和手工提交等工作，根據(jù)其返回信息可以獲取遠(yuǎn)程系統(tǒng)及應(yīng)用的版本號等信息，對于存在弱點(diǎn)的應(yīng)用還可以進(jìn)一步挖掘更多的系統(tǒng)信息，獲得的信息包括Web服務(wù)信息，數(shù)據(jù)庫信息和站點(diǎn)結(jié)構(gòu)。基于上述基本信息和重要參數(shù)，參考業(yè)界常見風(fēng)險(xiǎn)和漏洞，模擬開展下述類型的滲透測試。

（1）溢出攻擊：根據(jù)收集的信息以確認(rèn)應(yīng)用或系統(tǒng)的版本，判斷在當(dāng)前應(yīng)用或系統(tǒng)上是否存在已知溢出漏洞和可利用的攻擊程序，在攻擊程序?qū)ο到y(tǒng)的穩(wěn)定運(yùn)行不產(chǎn)生影響的前提下使用攻擊程序發(fā)起溢出攻擊。

（2）口令猜解：基于賬號/口令的認(rèn)證方式進(jìn)行口令猜測，所覆蓋的服務(wù)和應(yīng)用包括不限于SMB/ CIFS、TELNET、SSH、FTP、POP/SMTP/IMAP、Terminal Service、MySQL、MSSQL、Oracle、HTTP、HTTP Form）。

（3）Web漏洞挖掘：針對Web應(yīng)用可很容易的根據(jù)用戶需求而進(jìn)行編寫的復(fù)雜性，進(jìn)行輸入驗(yàn)證、身份認(rèn)證、授權(quán)管理、會(huì)話管理、異常處理、數(shù)據(jù)保護(hù)等驗(yàn)證測試。

（4）跨站腳本：跨站腳本直接對客戶端瀏覽器產(chǎn)生影響，如竊取敏感信息、下載惡意程序、釣魚等，而由于跨站而形成的XSS Worm可能造成更大的威脅。測試人員在可能出現(xiàn)程序交互的位置插入自己構(gòu)造的測試腳本進(jìn)行提交，觀察返回結(jié)果并判斷插入的測試腳本是否生效，如不生效則結(jié)合返回結(jié)果對測試腳本進(jìn)行進(jìn)一步的修正，如此反復(fù)最終形成可利用的攻擊腳本。

（5）注入漏洞：測試人員根據(jù)收集到的一些信息判斷遠(yuǎn)程目標(biāo)系統(tǒng)類型、編寫程序腳本所使用的語言以及后臺(tái)數(shù)據(jù)庫類型等信息，然后結(jié)合交互查詢過程中產(chǎn)生的信息提交測試腳本，以確認(rèn)系統(tǒng)是否存在注入漏洞。

（6）參數(shù)錯(cuò)誤：基于測試人員對網(wǎng)站的整體結(jié)構(gòu)的了解，通過構(gòu)造錯(cuò)誤的參數(shù)模擬惡意修改站點(diǎn)數(shù)據(jù)，排查確認(rèn)相關(guān)風(fēng)險(xiǎn)。

（7）信息泄露：信息泄露往往來自多個(gè)層面，而其中由于服務(wù)配置錯(cuò)誤引起的信息泄露最為常見。測試人員在測試信息泄露時(shí)，需收集應(yīng)用服務(wù)器的信息，結(jié)合該信息測試人員可確認(rèn)該應(yīng)用上可能出現(xiàn)的錯(cuò)誤配置，并通過各種手段針對每種可能的錯(cuò)誤配置進(jìn)行逐一排查。測試人員還會(huì)結(jié)合個(gè)人經(jīng)驗(yàn)對站點(diǎn)的一些目錄或文件進(jìn)行猜解。

2.4 建立電子化評估流程，規(guī)范風(fēng)險(xiǎn)評估體系

為確保業(yè)務(wù)評估工作有序開展，在評估開展前制定詳細(xì)評估計(jì)劃，內(nèi)容包括評估目的、評估對象、評估內(nèi)容、工作進(jìn)度整體安排、評估項(xiàng)目組人員安排和相關(guān)部門職責(zé)分工等。上述內(nèi)容通過電子化評估流程實(shí)現(xiàn)評估任務(wù)在各單位間的流轉(zhuǎn)，電子化評估流程覆蓋“自評估—專家組評估—風(fēng)險(xiǎn)整改—整改復(fù)核—二次整改—確認(rèn)歸檔”環(huán)節(jié)，形成了業(yè)務(wù)安全風(fēng)險(xiǎn)的閉環(huán)管理，實(shí)現(xiàn)可視化評估流程。

傳統(tǒng)業(yè)務(wù)安全評估依賴于評估人員經(jīng)驗(yàn)，對評估要點(diǎn)的把握存在一定隨機(jī)性，評估風(fēng)險(xiǎn)點(diǎn)可能存在遺漏，直接影響評估效果。為解決上述問題，在自評估流程中，將所有風(fēng)險(xiǎn)點(diǎn)納入評估流程必填項(xiàng)。業(yè)務(wù)部門發(fā)起評估時(shí)須對評估要點(diǎn)逐項(xiàng)確認(rèn)，提交至專家組后，專家也對相關(guān)要點(diǎn)進(jìn)行確認(rèn)，并輸出風(fēng)險(xiǎn)評估結(jié)果。專家的選取方面，充分考慮專家所屬專業(yè)領(lǐng)域進(jìn)行評估任務(wù)分解，提高評估的準(zhǔn)確性和權(quán)威性。對自評估、專家評估結(jié)果建立考核追責(zé)機(jī)制，將評估風(fēng)險(xiǎn)缺失的情況納入相關(guān)單位績效考核。提高評估人員風(fēng)險(xiǎn)評估重視程度，確保評估流程的順利流轉(zhuǎn)和評估風(fēng)險(xiǎn)點(diǎn)的準(zhǔn)確性。

2.5 形成通報(bào)共享機(jī)制，降低風(fēng)險(xiǎn)重復(fù)出現(xiàn)概率

根據(jù)運(yùn)營管理經(jīng)驗(yàn)，由于業(yè)務(wù)部門人員信息安全基礎(chǔ)知識有限，對安全風(fēng)險(xiǎn)的意識程度不同，且各業(yè)務(wù)分屬不同部門和人員管理，很多不同業(yè)務(wù)或同一業(yè)務(wù)的不同版本重復(fù)出現(xiàn)相同的信息安全風(fēng)險(xiǎn)。為降低風(fēng)險(xiǎn)重復(fù)出現(xiàn)的概率，在公司范圍內(nèi)建立風(fēng)險(xiǎn)定期通報(bào)的機(jī)制。每月上、中、下旬分別結(jié)合當(dāng)前出現(xiàn)的最新風(fēng)險(xiǎn)和典型案例，在公司內(nèi)部發(fā)布業(yè)務(wù)安全通報(bào)、預(yù)警等。同時(shí)，將各單位風(fēng)險(xiǎn)整改完成情況納入考核管理，對各個(gè)業(yè)務(wù)的風(fēng)險(xiǎn)點(diǎn)明細(xì)通報(bào)共享，對同類業(yè)務(wù)安全管理具有指導(dǎo)意義。

以“短信炸彈”風(fēng)險(xiǎn)為例，通過建立風(fēng)險(xiǎn)通報(bào)機(jī)制，該風(fēng)險(xiǎn)出現(xiàn)的概率明顯降低。2014～2016年所有具備短信發(fā)送功能的新業(yè)務(wù)出現(xiàn)“短信炸彈”風(fēng)險(xiǎn)的平均概率分別為0.7、0.56和0.21，風(fēng)險(xiǎn)重現(xiàn)概率呈連續(xù)下降趨勢。

3 結(jié)束語

本文結(jié)合運(yùn)營商移動(dòng)互聯(lián)網(wǎng)業(yè)務(wù)管理經(jīng)驗(yàn)，提出了一套基于風(fēng)險(xiǎn)識別的嵌入式業(yè)務(wù)安全管理體系。通過將信息安全評估、滲透測試和業(yè)務(wù)安全撥測等納入運(yùn)營商業(yè)務(wù)安全管理流程，實(shí)現(xiàn)了覆蓋業(yè)務(wù)運(yùn)營全周期的嵌入式風(fēng)險(xiǎn)管控，確保信息安全要求的“同步規(guī)劃”、“同步建設(shè)”和“同步運(yùn)行”，實(shí)現(xiàn)了業(yè)務(wù)層面和底層程序的雙重信息安全審計(jì)工作，進(jìn)一步確保了業(yè)務(wù)的安全合規(guī)。將典型業(yè)務(wù)安全風(fēng)險(xiǎn)形成業(yè)務(wù)安全指導(dǎo)白皮書，以對標(biāo)形式指導(dǎo)非安全專業(yè)的業(yè)務(wù)部門開展業(yè)務(wù)風(fēng)險(xiǎn)評估和隱患整改。不斷完善的風(fēng)險(xiǎn)知識庫和基于評估效果的考核機(jī)制確保了評估風(fēng)險(xiǎn)的全面性和準(zhǔn)確性，線上合規(guī)平臺(tái)的應(yīng)用與人工滲透測試方式的結(jié)合有效提高了業(yè)務(wù)安全評估的效率和精準(zhǔn)性。風(fēng)險(xiǎn)的共享及通報(bào)機(jī)制大幅降低業(yè)務(wù)安全風(fēng)險(xiǎn)重復(fù)出現(xiàn)的概率，節(jié)約了業(yè)務(wù)開發(fā)和信息安全管理成本。

Embedded security management system of mobile internet services

ZHANG Zhi
(China Mobile Group Liaoning Co., Ltd., Shenyang 110179, China)

In this paper, we proposed a set of embedded Internet services security management system based on the experience of mobile Internet service operation. The system covers the whole lifecycle of Internet services and achieves a set of embedded business risk control, which wholy implements "three simultaneous" of the network and information security. The management system described in this paper achieved dual security auditing of the business process and the coding audit, and ensures the comprehensiveness and accuracy of the risk investigation. The use of automatic compliance verifi cation mechanism and manual penetration testing improved the effi ciency and accuracy of risk investigation. Risk sharing mechanism signifi cantly reduces the probability of services security risks recurring.

embedded management system; internet service management; risk investigation

TN918

A

1008-5599（2016）12-0042-05

2016-11-23