王丹華

【摘要】 隨著信息飛速發(fā)展，信息安全等級保護舉足輕重，根據(jù)系統(tǒng)特點和業(yè)務實際，按照安全等保建設要求，廣東廣播電視臺播出系統(tǒng)建設了三級等保。本文通過安全管理和安全技術(shù)兩個方面，簡要介紹了安全等級保護工作的建設過程，通過完善相關(guān)的管理流程和制度，構(gòu)建安全系統(tǒng)的信息安全保護環(huán)境，從而提高重要系統(tǒng)的安全性，提升播出網(wǎng)絡的安全保障水平，達到強化安全播出的目的。

【關(guān)鍵詞】等級保護 安全管理 安全技術(shù)

一.引言

近年來，信息化建設飛速發(fā)展，信息化技術(shù)廣泛應用，網(wǎng)絡信息系統(tǒng)逐漸成為了承載各行各業(yè)各領域業(yè)務的重要載體，隨著信息系統(tǒng)網(wǎng)絡日益龐大和系統(tǒng)結(jié)構(gòu)日益復雜，信息安全方面帶來日益嚴峻的挑戰(zhàn)，信息安全等級保護在未來的發(fā)展中舉足輕重。

廣東廣播電視臺播出系統(tǒng)支撐著節(jié)目編播等核心業(yè)務，負責所有頻道的播出工作，是由計算機及其相關(guān)配套設備、設施構(gòu)成，按照廣播技術(shù)播出標準部署和運維的一個局域網(wǎng)絡。播出系統(tǒng)建成較早，信息安全防護考慮較少，而隨著近年來網(wǎng)絡化建設，業(yè)務增加和邊界不斷拓展，網(wǎng)絡環(huán)境日趨復雜，網(wǎng)絡安全保障難度不斷提高。為了確保系統(tǒng)的安全性，信息安全等保建設迫在眉睫，通過對網(wǎng)絡基礎結(jié)構(gòu)、安全基礎設施、安全防護措施和安全管理制度等方面的建設，有助于我們進行系統(tǒng)性規(guī)劃，防止非法入侵，對數(shù)據(jù)進行篡改和竊取，通過系統(tǒng)安全加固滿足播出網(wǎng)絡的安全防護的需求。

二.安全等級保護概述

1.信息系統(tǒng)安全等級保護等級情況

我國公安部2008年下發(fā)首部信息安全等級保護管理辦法，制定了定級指南，信息系統(tǒng)安全定級工作有了定級的方法和準則。該管理辦法中規(guī)定了信息系統(tǒng)等級劃分，明確了對信息系統(tǒng)的保護的相關(guān)的管理規(guī)定，推動了信息系統(tǒng)安全等級保護的發(fā)展。

2014年2月27日，中央網(wǎng)絡安全和信息化領導小組正式成立，體現(xiàn)了我國家保障網(wǎng)絡信息安全和大力推動信息化發(fā)展的決心。習近平總書記主持召開的小組第一次會議，指出“網(wǎng)絡安全和信息化是事關(guān)國家安全和國家發(fā)展、事關(guān)廣大人民群眾工作生活的重大戰(zhàn)略問題”，提出“網(wǎng)絡安全和信息化是一體之兩翼，驅(qū)動之雙輪”，強調(diào)了網(wǎng)絡安全在國家安全體系中的重要戰(zhàn)略地位以及網(wǎng)絡安全和信息化的重要性和強迫性。

2016年下半年，相關(guān)政策發(fā)布速度顯著加快，多項政策密集出臺，其中《中華人民共和國網(wǎng)絡安全法》第21條明確提出國家實行網(wǎng)絡安全等級保護制度。自此，我國網(wǎng)絡安全建設進入了新時期。

2.系統(tǒng)定級的依據(jù)

信息安全基本制度的信息安全等級保護工作環(huán)節(jié)包括信息系統(tǒng)定級、等級保護實施、等級測評、系統(tǒng)安全運維等，其中首要環(huán)節(jié)是系統(tǒng)定級。按照《信息安全等級保護管理辦法》中的相關(guān)規(guī)定，信息系統(tǒng)的安全保護等級分為五個等級，一級最低，五級最高。

根據(jù)各行業(yè)和部門的信息系統(tǒng)類型和重要程度的不同，通過定級，確定信息安全保護的重點。信息系統(tǒng)的安全保護的等級由兩個定級要素決定，根據(jù)信息系統(tǒng)受到破壞后，等級保護對象受到破壞所侵害的客體類型以及對該客體造成侵害的嚴重程度，強化信息系統(tǒng)安全保護標準要求。根據(jù)《信息系統(tǒng)安全等級保護定級指南》，信息系統(tǒng)安全保護的等級和定級要素的關(guān)系如下表[1-2]所示。

由上表可見，等級保護對象受到破壞時受到侵害的客體包括：

（1）公民、法人和其他組織的合法權(quán)益；

（2）社會秩序、公共利益；

（3）國家安全。

對等級保護對象的破壞表現(xiàn)在通過危害方式、危害后果和危害程度三個方面，造成侵害的程度歸結(jié)為以下三種：

（1）一般損害；

（2）嚴重損害；

（3）特別嚴重損害；

3.等級保護定級的流程

信息系統(tǒng)安全等級保護實施的基本流程如圖[1]，在運行維護階段，如果因需求變化而導致局部調(diào)整，應進入安全設計與實施階段重新設計和調(diào)整安全措施以滿足等級保護的要求；如果重大變更則需要進入信息系統(tǒng)等級階段，重新開始新一輪信息安全等級保護的實施工作。

三.廣東廣播電視臺播出信息系統(tǒng)概況

對廣東廣播電視臺播出信息系統(tǒng)，我們根據(jù)安全等級保護的定級方法和實施相關(guān)流程，通過對系統(tǒng)定級、系統(tǒng)備案、建設整改、等級測評、監(jiān)督檢查五個方面開展安全等級保護工作。

1.系統(tǒng)定級和備案

廣東廣播電視臺播出信息系統(tǒng)屬于廣電行業(yè)生產(chǎn)播出網(wǎng)絡，為封閉的內(nèi)部局域網(wǎng)，該播出信息系統(tǒng)包括從磁帶信息、節(jié)目單信息錄入，節(jié)目素材編排和遷移、節(jié)目播出整個播出流程。該系統(tǒng)遭到破壞后（如信息被修改、增加、刪除等不明侵害），雖然不含涉密信息，不對國家安全構(gòu)成危害；但該系統(tǒng)承載廣東廣播電視播出業(yè)務生產(chǎn)，播出系統(tǒng)發(fā)布節(jié)目內(nèi)容，該信息若被篡改成非法信息或涉密敏感信息，可能造成播出事故，侵害社會公眾收看廣播電視節(jié)目的合法權(quán)益，可能引起社會秩序混亂，可能侵害公共利益。

根據(jù)《信息系統(tǒng)安全等級保護定級指南》（GB/T 22240-2008）和《廣播電視相關(guān)信息系統(tǒng)安全等級保護定級指南》（GD/J 037-2011），廣東廣播電視臺播出信息系統(tǒng)確定為三級等保系統(tǒng)，并按照《信息安全等級保護備案實施細則》的相關(guān)要求辦理信息系統(tǒng)備案工作。

2.等保項目的總體規(guī)劃

根據(jù)《信息系統(tǒng)等級保護安全設計技術(shù)要求》（GBT 25070-2010）中第三級系統(tǒng)安全保護環(huán)境結(jié)構(gòu)與流程（如圖2）[4]，主要分為安全計算環(huán)境、安全區(qū)域邊界、安全通行網(wǎng)絡和安全管理中心四個部分。在此技術(shù)要求的指導下，廣東廣播電視臺信息系統(tǒng)安全等級保護項目中主要對物理安全、主機安全、應用安全、 網(wǎng)絡安全、數(shù)據(jù)安全及備份恢復、安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設管理和系統(tǒng)運維管理方面的入手，確立安全策略、制定安全規(guī)劃、開展安全建設，制定切實可行的項目實施方案，以保證廣東廣播電視臺播出系統(tǒng)信息安全等級保護建設。

3.播出信息系統(tǒng)的計劃與實施

播出信息系統(tǒng)的建設主要分成安全管理子系統(tǒng)建設和安全技術(shù)子系統(tǒng)建設兩個部分。

安全管理子系統(tǒng)建設方面，播出信息系統(tǒng)建設多年，已經(jīng)規(guī)劃和制定了較為完善的系統(tǒng)維護、流程管理、安全檢查、人員培訓等相關(guān)的制度以保障系統(tǒng)的安全，確保安全播出。但是隨著信息技術(shù)的不斷發(fā)展和系統(tǒng)的不斷更新改造，對于信息安全相關(guān)方面的制度和管理相對薄弱，因此，本次等保安全工作的實施中，我們根據(jù)完全信息安全的相關(guān)要求，明確了安全管理機構(gòu)方面，安全管理機構(gòu)職責和崗位分工，完善相關(guān)授權(quán)審批事項規(guī)定和相關(guān)流程規(guī)范，詳細制定了定期進行安全檢查并保存相關(guān)檢查結(jié)果和報告等相關(guān)管理制度，制定人員安全管理制度、人員安全意識教育和信息安全認知和技能的培訓考核等方面的人員安全管理制度，完善了軟件開發(fā)、工程實施和系統(tǒng)交付管理等系統(tǒng)建設管理方面相關(guān)制度和環(huán)境管理、資產(chǎn)管理、設備管理、網(wǎng)絡安全、系統(tǒng)安全、惡意代碼防范、備份與恢復管理等方面系統(tǒng)運維管理制度，建立安全管理制度體系，并確保認真貫徹和實行相關(guān)制度，為播出信息系統(tǒng)的安全穩(wěn)定提供堅實基礎。

安全技術(shù)子系統(tǒng)建設方面，系統(tǒng)部署在電視中心大樓3樓機房，該區(qū)域基礎設施較齊全，安全狀況較為良好。網(wǎng)絡安全層面，為了確保系統(tǒng)的安全性，防止非法入侵，對數(shù)據(jù)進行篡改和竊取，按照信息系統(tǒng)安全等保三級標準規(guī)范安全的要求，完善了包含安全管理子系統(tǒng)、4K超高清電視播出邊界子系統(tǒng)，高標清電視播出邊界子系統(tǒng)等方面的安全系統(tǒng)，對主要網(wǎng)絡設備如邊界防火墻、核心交換機資源，根據(jù)實際情況部署了多種訪問控制策略，根據(jù)業(yè)務情況劃分不同的子網(wǎng)或網(wǎng)段；在主機安全層面，服務器身份鑒別、訪問控制安全審計、剩余信息保護、入侵防范、惡意代碼防范、資源控制等安全配置；應用安全層面，提供訪間控制、安全審計、軟件容錯安全配置，制定了合理的備份策略，保證對服務器、應用系統(tǒng)的位置文件、日志記錄及核心業(yè)務數(shù)據(jù)等重要數(shù)據(jù)安全。

4.播出信息系統(tǒng)構(gòu)架和邊界部署

廣東廣播電視臺播出信息系統(tǒng)根據(jù)廣東廣播電視臺播出的業(yè)務流程進行設計，主要包括三大模塊：標清播出系統(tǒng)、高清播出系統(tǒng)、4K播出系統(tǒng)。從磁帶信息、節(jié)目單信息的錄入，到節(jié)目素材的編排、節(jié)目單素材的遷移、節(jié)目的播出均使用播出信息系統(tǒng)完成，系統(tǒng)中的控制信息、數(shù)據(jù)信息、視音頻數(shù)據(jù)分開獨立進行傳輸，系統(tǒng)與外界的數(shù)據(jù)交換通過軟盤介質(zhì)或移動硬盤完成，介質(zhì)均由部署了殺毒軟件的設備殺毒后才連入系統(tǒng)進行使用。播出信息系統(tǒng)承擔著相對獨立的播出業(yè)務，與其他信息系統(tǒng)無連接，與外網(wǎng)完全隔離，是一個業(yè)務專用局域網(wǎng)，系統(tǒng)拓撲圖如下：

本次技術(shù)安全建設方面，主要建設了安全管理區(qū)域，并完善了網(wǎng)絡邊界安全區(qū)域。其中，安全管理區(qū)域的部署如下：

（1）在安全管理交換機劃分一個安全管理區(qū)域的所屬VLAN用于建設安全管理設備，并作為該VLAN的網(wǎng)關(guān)設備；分別連接4K超高清播出系統(tǒng)和高標清播出系統(tǒng)的核心交換機，通過路由方式連通安全管理設備與各系統(tǒng)對應的設備，實現(xiàn)統(tǒng)一管理的操作。

（2）入侵檢測系統(tǒng)（IDS）通過旁路模式部署在4K超高清播出系統(tǒng)和高標清播出系統(tǒng)的核心交換機，交換機上將外網(wǎng)出口的雙向流量鏡像到連接IDS的端口上，實現(xiàn)實時檢測所經(jīng)外網(wǎng)出口的流量數(shù)據(jù)。

（3）數(shù)據(jù)庫審計系統(tǒng)通過旁路模式部署在4K超高清播出系統(tǒng)和高標清播出系統(tǒng)的數(shù)據(jù)庫服務器所連接的交換機，添加各系統(tǒng)對應的數(shù)據(jù)庫信息，在交換機通過將連接數(shù)據(jù)庫服務器的端口雙向流量鏡像到連接數(shù)據(jù)庫審計系統(tǒng)的端口上，最終實現(xiàn)對數(shù)據(jù)庫的登錄、注銷、插入、刪除、存儲過程的執(zhí)行等操作進行審計并記錄，還原SQL操作語句進行實時審計，對跟蹤數(shù)據(jù)庫訪問過程中的所有細節(jié)。

（4）在IT運維審計系統(tǒng)中，添加4K超高清播出系統(tǒng)和高標清播出系統(tǒng)所需管理服務器、網(wǎng)絡設備、安全設備，并在內(nèi)網(wǎng)防火墻上放通其相關(guān)策略，最終實現(xiàn)設備的統(tǒng)一管理及個人操作審計。

（5）在安全管理系統(tǒng)（SOC）中添加4K超高清播出系統(tǒng)和高標清播出系統(tǒng)所需采集的設備日志，最終實現(xiàn)設備日志的收集、保存、及事件數(shù)據(jù)分析。

（6）IT服務管理系統(tǒng)（網(wǎng)管系統(tǒng)）：部署在安全管理區(qū)，通過SNMP功能對接添加4K超高清播出系統(tǒng)和高標清播出系統(tǒng)所需管理的網(wǎng)絡安全設備及服務器，實現(xiàn)實時檢測設備的硬件狀態(tài)及鏈路狀態(tài)。

（7）在4K超高清播出系統(tǒng)和高標清播出系統(tǒng)的各服務器上安裝終端防護優(yōu)化系統(tǒng)（殺毒軟件）客戶端，并在終端防護優(yōu)化系統(tǒng)上制定相對應的殺毒策略，定期推送殺毒指令及更新病毒庫指令。

（8）在4K超高清播出系統(tǒng)和高標清播出系統(tǒng)的各服務器上安裝終端安全保護系統(tǒng)客戶端，并在終端安全保護系統(tǒng)上制定相對應的系統(tǒng)優(yōu)化策略，執(zhí)行推送策略到已安裝的客戶端上服務器上，實現(xiàn)終端的保護。

如拓撲圖，4K超高清播出系統(tǒng)的安全邊界區(qū)域和高標清系統(tǒng)的安全邊界區(qū)域基本相似，下面通過高標清系統(tǒng)的安全邊界區(qū)域介紹其具體部署情況。

（1）邊界防火墻：部署在高清播出系統(tǒng)的素材導入?yún)^(qū)域、標清播出系統(tǒng)的素材導入?yún)^(qū)域與安全邊界區(qū)域，采用路由模式部署，作為區(qū)域邊界設備及對應高清、標清的素材導入?yún)^(qū)域各系統(tǒng)的網(wǎng)關(guān)，根據(jù)實際情況制定相對應的安全策略為高標清素材導入?yún)^(qū)域與高標清播出系統(tǒng)區(qū)域提供相對應的訪問控制。

（2）入侵防御系統(tǒng)（IPS）：部署在邊界防火墻與防病毒網(wǎng)關(guān)之間，采用透明模式部署，串聯(lián)在安全邊界區(qū)域的鏈路之間，根據(jù)實際情況制定入侵防御策略，實時的監(jiān)控及防護所經(jīng)設備的流量，若檢測到有可疑的入侵流量，則自動攔截。

（3）防病毒網(wǎng)關(guān)：部署在IPS與安全網(wǎng)閘之間，采用透明模式部署，串聯(lián)在安全邊界區(qū)域的鏈路之間，根據(jù)實際情況制定防毒策略，實時檢測及防護所經(jīng)設備的流量，若檢測到有可疑的病毒流量，則自動攔截并清除。

（4）安全網(wǎng)閘：部署在防病毒網(wǎng)關(guān)與內(nèi)網(wǎng)核心交換機之間，采用路由模式部署，通過內(nèi)外網(wǎng)的物理模塊將上載審片區(qū)域與4K超高清播出系統(tǒng)區(qū)域進行隔離，使用內(nèi)外網(wǎng)的地址轉(zhuǎn)換功能實現(xiàn)制定業(yè)務的交互。

（5）內(nèi)網(wǎng)核心交換機：部署在安全網(wǎng)閘與高清內(nèi)網(wǎng)防火墻、標清內(nèi)網(wǎng)防火墻之間，作為邊界安全區(qū)域的數(shù)據(jù)轉(zhuǎn)發(fā)及對應數(shù)據(jù)的端口鏡像。

5.實施效果

通過對照信息系統(tǒng)安全等級保護的基本要求進行自查，對播出網(wǎng)絡等保建設后的播出網(wǎng)絡系統(tǒng)進行技術(shù)控制點測評檢查，大部分已經(jīng)達到了安全等級保護的要求，仍然有部分未達到要求，主要是機房未部署紅外報警系統(tǒng)和電磁屏蔽保護、無異地備份，部分線路未提供冗余、對源代碼的審查、定期的漏洞掃描、系統(tǒng)補丁等方面，由于涉及到系統(tǒng)和機房的大規(guī)模改造，考慮到在線系統(tǒng)的安全播出需求，暫時難以整改以滿足要求。

通過安全等保建設，梳理和完善播出系統(tǒng)的安全管理和安全技術(shù)，通過制度和技術(shù)兩方面提高系統(tǒng)安全，明確安全責任，提升安全管理水平。

四.結(jié)束語

在播出系統(tǒng)等保建設中，我們從傳統(tǒng)的“應急為主”轉(zhuǎn)變?yōu)椤邦A防為主”的安全播出保障模式，提升播出網(wǎng)絡的安全管控能力和運維管理水平。在等保實施過程中，播出系統(tǒng)作為24小時在線播出系統(tǒng)，承載著業(yè)務效率和實時播放的需求，因此在安全建設過程中，我們以確保業(yè)務正常運作為基本前提，遵循最小影響、先驗證后實施等原則，制定了完善的實施計劃，步步推進，逐步實施，并制定了完備的應急預案，確保播出安全。

本次安全等級改造建設中，我們意識到我們存在的不足，對信息安全的意識明顯提高，在即將到來的二期建設工程中，我們將綜合考慮相關(guān)的安全管理要求和安全技術(shù)要求，建設符合信息安全要求的系統(tǒng)。

參考文獻

[1]鄒茁.H省海事信息系統(tǒng)安全等級保護方案設計與優(yōu)選[D]. 吉林：吉林大學， 2018.

[2] GB/T 22240-2008 信息安全技術(shù)信息系統(tǒng)安全等級保護定級指南[S]北京：中國標準出版社，2008

[3] GB/T 25058-2010 信息安全技術(shù)信息系統(tǒng)安全等級保護實施指南[S]北京：中國標準出版社，2010

[4] GB/T 25070-2010 信息安全技術(shù)信息系統(tǒng)等級保護安全設計技術(shù)要求[S]北京：中國標準出版社，2010