◆王家川 張偉

交通行業(yè)落實(shí)網(wǎng)絡(luò)安全三同步原則的實(shí)踐與思考

◆王家川1，2張偉3

（1.北京市交通信息中心 北京 100073；2.綜合交通運(yùn)行監(jiān)測(cè)與服務(wù)北京市重點(diǎn)實(shí)驗(yàn)室 北京 100073；3.北京市交通委員會(huì) 北京 100073）

網(wǎng)絡(luò)安全三同步原則體現(xiàn)了信息系統(tǒng)全流程安全防護(hù)和全生命周期管理理念。本文闡述了三同步原則的含義，分析了交通行業(yè)網(wǎng)絡(luò)安全的難點(diǎn)，并總結(jié)歸納了三同步原則在行業(yè)內(nèi)的實(shí)踐和存在問(wèn)題，提出了改進(jìn)措施。以期為交通行業(yè)信息化從業(yè)者開展網(wǎng)絡(luò)安全工作提供借鑒。

網(wǎng)絡(luò)安全法；智能交通；三同步；等級(jí)保護(hù)

信息化的規(guī)劃、建設(shè)、運(yùn)維、優(yōu)化是一個(gè)持續(xù)不斷，周而復(fù)始的過(guò)程，而網(wǎng)絡(luò)安全則貫穿信息系統(tǒng)的全生命周期。但目前依然有較多主管部門將網(wǎng)絡(luò)安全工作作為整體IT運(yùn)維支撐的一部分實(shí)施，即在項(xiàng)目驗(yàn)收之后才開始考慮評(píng)估系統(tǒng)安全風(fēng)險(xiǎn)并實(shí)施相關(guān)改進(jìn)措施，難以解決規(guī)劃建設(shè)階段的遺留問(wèn)題。《中華人民共和國(guó)網(wǎng)絡(luò)安全法》第三十三條指出，“建設(shè)關(guān)鍵信息基礎(chǔ)設(shè)施應(yīng)當(dāng)確保其具有支持業(yè)務(wù)穩(wěn)定、持續(xù)運(yùn)行的性能，并保證安全技術(shù)措施同步規(guī)劃、同步建設(shè)、同步使用”。自網(wǎng)絡(luò)安全法頒布實(shí)施以來(lái)，“三同步”原則已不僅僅局限在關(guān)鍵信息基礎(chǔ)設(shè)施建設(shè)過(guò)程中，成為各領(lǐng)域開展網(wǎng)絡(luò)安全工作的基本原則[1]，也是提升信息系統(tǒng)網(wǎng)絡(luò)安全防護(hù)能力的基礎(chǔ)保障。

交通行業(yè)是網(wǎng)絡(luò)安全法所述重點(diǎn)行業(yè)之一，具有行業(yè)覆蓋范圍廣，影響大，與公眾關(guān)系密切等特點(diǎn)。同樣的，智能交通系統(tǒng)也相對(duì)復(fù)雜，不僅涉及電子政務(wù)、企業(yè)運(yùn)營(yíng)、“互聯(lián)網(wǎng)+”新業(yè)態(tài)，還包括海量的多源數(shù)據(jù)共享，部省系統(tǒng)聯(lián)網(wǎng)等等。如何落實(shí)網(wǎng)絡(luò)安全“三同步”原則，是交通行業(yè)提升網(wǎng)絡(luò)安全水平亟待解決的問(wèn)題[2]。

1 網(wǎng)絡(luò)安全“三同步”原則和含義

隨著網(wǎng)絡(luò)安全法的深入貫徹，相關(guān)領(lǐng)域的法律法規(guī)都逐步將“三同步”原則作為推進(jìn)網(wǎng)絡(luò)安全工作的基礎(chǔ)性要求。《網(wǎng)絡(luò)安全等級(jí)保護(hù)條例》（征求意見(jiàn)稿）、《交通運(yùn)輸部網(wǎng)絡(luò)安全管理辦法》均將“三同步”原則作為開展網(wǎng)絡(luò)安全工作的依據(jù)。

“三同步”原則體現(xiàn)了全流程風(fēng)險(xiǎn)控制和監(jiān)管的理念。不僅是在網(wǎng)絡(luò)安全工作中，諸多涉及全生命周期風(fēng)險(xiǎn)管理的重要領(lǐng)域的法律法規(guī)都闡述了該原則。例如，在《安全生產(chǎn)法》、《環(huán)境影響評(píng)價(jià)法》、《藥品管理法》等法律中，都以不同的方式描述了本行業(yè)“三同步”原則的具體要求。

網(wǎng)絡(luò)安全的“同步規(guī)劃、同步建設(shè)、同步使用”原則，其目的是在信息系統(tǒng)生命周期各階段明確責(zé)任部門及安全職責(zé)，在全過(guò)程中推行網(wǎng)絡(luò)安全工作同步開展，做到管理關(guān)口前移，降低系統(tǒng)上線運(yùn)行后運(yùn)維階段的整改難度。同步規(guī)劃是指在系統(tǒng)規(guī)劃階段將網(wǎng)絡(luò)安全要求與業(yè)務(wù)需求統(tǒng)籌考慮，引入安全措施，開展安全方案設(shè)計(jì)，保障網(wǎng)絡(luò)安全預(yù)算。同步建設(shè)是指在項(xiàng)目建設(shè)階段，通過(guò)網(wǎng)絡(luò)安全管理制度和合同條款等落實(shí)主管單位、建設(shè)單位、開發(fā)單位及供應(yīng)鏈廠商等的安全責(zé)任，保證安全措施得以有效實(shí)施；系統(tǒng)驗(yàn)收時(shí)對(duì)網(wǎng)絡(luò)安全同步開展測(cè)評(píng)和驗(yàn)收，確保只有達(dá)到設(shè)計(jì)的安全要求的系統(tǒng)能夠上線運(yùn)行。同步使用是指在系統(tǒng)在日常使用和運(yùn)行維護(hù)過(guò)程中，各相關(guān)責(zé)任單位執(zhí)行管理和技術(shù)措施，使系統(tǒng)具備設(shè)計(jì)的持續(xù)穩(wěn)定的安全防護(hù)水平，直至系統(tǒng)下線或者改造。

2 交通行業(yè)網(wǎng)絡(luò)安全“三同步”原則的實(shí)踐和問(wèn)題

2.1 交通行業(yè)網(wǎng)絡(luò)安全工作難點(diǎn)

交通行業(yè)開展網(wǎng)絡(luò)安全工作，除了傳統(tǒng)交通行業(yè)管理的特點(diǎn)，還具有區(qū)別于其他領(lǐng)域網(wǎng)絡(luò)安全工作所獨(dú)有的特點(diǎn)。

首先，新技術(shù)及新模式在交通行業(yè)催生的新業(yè)態(tài)眾多，智能交通飛速發(fā)展，帶來(lái)的網(wǎng)絡(luò)安全影響和挑戰(zhàn)前所未有。各行各業(yè)都因新技術(shù)的發(fā)展產(chǎn)生了巨大的變革，然而像網(wǎng)約車、共享單車、自動(dòng)駕駛、車聯(lián)網(wǎng)、MaaS平臺(tái)等融合了移動(dòng)互聯(lián)網(wǎng)，北斗衛(wèi)星定位，人工智能，5G，大數(shù)據(jù)、高精度地圖等多種技術(shù)，與公眾出行緊密關(guān)聯(lián)，對(duì)傳統(tǒng)行業(yè)形成沖擊，仍然是全社會(huì)的關(guān)注熱點(diǎn)。同時(shí)，其也帶來(lái)了網(wǎng)絡(luò)安全全新的問(wèn)題，風(fēng)險(xiǎn)隱患和結(jié)果評(píng)估不夠充分，引導(dǎo)行業(yè)有序發(fā)展的技術(shù)規(guī)范和安全保障措施仍有不足。

第二，智能交通系統(tǒng)生產(chǎn)、采集了海量數(shù)據(jù)，是數(shù)據(jù)所有部門珍貴的資產(chǎn)，但其也產(chǎn)生了難以估量的數(shù)據(jù)安全風(fēng)險(xiǎn)。交通行業(yè)已有的信息系統(tǒng)，生產(chǎn)或采集了海量的公眾出行、車輛軌跡、監(jiān)控視頻、交通票務(wù)、電子政務(wù)等數(shù)據(jù)，更有大量的從業(yè)人員及公民個(gè)人信息等敏感數(shù)據(jù)也往往成為網(wǎng)絡(luò)黑客攻擊、入侵、竊取以及破壞等的重點(diǎn)領(lǐng)域。由于交通大數(shù)據(jù)的分析和應(yīng)用還處于較為初級(jí)的階段，因此對(duì)于網(wǎng)絡(luò)安全人員而言，如何開展數(shù)據(jù)分級(jí)分類防護(hù)，進(jìn)行數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估，處理云計(jì)算環(huán)境下殘留數(shù)據(jù)等都是巨大的挑戰(zhàn)。

第三，智能交通面向公眾提供的服務(wù)形式和渠道多樣，安全防護(hù)的對(duì)象范圍廣泛。每個(gè)人都是交通出行的參與者，網(wǎng)絡(luò)運(yùn)營(yíng)者為滿足公眾出行需求提供的智能交通服務(wù)方式也類別繁多。除了通常的信息系統(tǒng)，移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序，還有大量的電子顯示屏，道路及車載智能攝像頭，智能卡，道釘?shù)任锫?lián)網(wǎng)設(shè)備等等，網(wǎng)絡(luò)安全等保2.0中的擴(kuò)展要求內(nèi)容都有涉及。在開展網(wǎng)絡(luò)安全工作時(shí)，需要統(tǒng)籌考慮安全防護(hù)對(duì)象范圍和防護(hù)要求，避免對(duì)公共秩序造成損害。

2.2 交通行業(yè)“三同步”原則工作實(shí)踐

加強(qiáng)網(wǎng)絡(luò)安全管理的有效方式是在重要環(huán)節(jié)開展審查[3]，也是落實(shí)三同步原則的有益實(shí)踐。交通運(yùn)輸管理部門陸續(xù)發(fā)布了相關(guān)文件，對(duì)于信息化建設(shè)項(xiàng)目的實(shí)施流程進(jìn)行了規(guī)定。

信息化項(xiàng)目須經(jīng)過(guò)規(guī)劃方案評(píng)審、項(xiàng)目前置評(píng)審、項(xiàng)目投入使用評(píng)審、項(xiàng)目績(jī)效評(píng)估等流程。在前置評(píng)審和項(xiàng)目投入使用評(píng)審階段，均涉及了網(wǎng)絡(luò)安全內(nèi)容的審查。前置評(píng)審對(duì)項(xiàng)目申報(bào)材料進(jìn)行形式審查和技術(shù)審查。技術(shù)審查重點(diǎn)審查共享開放、網(wǎng)絡(luò)信息安全、正版軟件使用、網(wǎng)絡(luò)資源使用等方面內(nèi)容。在項(xiàng)目投入使用審查階段，審核驗(yàn)收文檔是否齊全，系統(tǒng)安全定級(jí)情況，安全測(cè)評(píng)情況等內(nèi)容。通過(guò)審查的項(xiàng)目才能進(jìn)入下一環(huán)節(jié)。從項(xiàng)目立項(xiàng)和投入使用首末兩端的規(guī)定與審查，強(qiáng)化網(wǎng)絡(luò)安全約束，減少信息系統(tǒng)建設(shè)過(guò)程中的不合規(guī)性。

前置評(píng)審和投入使用評(píng)審從項(xiàng)目預(yù)算申請(qǐng)和運(yùn)維預(yù)算申報(bào)兩個(gè)與經(jīng)費(fèi)緊密關(guān)聯(lián)的環(huán)節(jié)實(shí)施信息化項(xiàng)目過(guò)程控制，有效保障了信息系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)能力得到提升。

2.3 存在的問(wèn)題

雖然交通行業(yè)基于三同步原則開展了一些實(shí)踐，但仍處于較為初級(jí)的階段，與國(guó)家和交通運(yùn)輸部的要求仍有較大差距。

首先，信息化項(xiàng)目立項(xiàng)階段網(wǎng)絡(luò)安全整體規(guī)劃和方案設(shè)計(jì)沒(méi)有費(fèi)用支持，申報(bào)書編制對(duì)于網(wǎng)絡(luò)安全、密碼應(yīng)用安全考慮不足。

信息化項(xiàng)目立項(xiàng)須提交項(xiàng)目申報(bào)書，說(shuō)明項(xiàng)目背景，業(yè)務(wù)，功能、數(shù)據(jù)、性能、安全需求，項(xiàng)目目標(biāo)、建設(shè)方案等，申報(bào)書起到了項(xiàng)目可行性研究報(bào)告作用，是項(xiàng)目開展后續(xù)工作的基礎(chǔ)。但并非所有的信息化項(xiàng)目都能在立項(xiàng)前申請(qǐng)前期研究預(yù)算。編制單位也并非專門的咨詢?cè)O(shè)計(jì)單位，內(nèi)容也主要關(guān)注業(yè)務(wù)需求，存在業(yè)務(wù)需求明確但安全需求不清晰情況。系統(tǒng)安全建設(shè)方案通常沒(méi)有專業(yè)人員和費(fèi)用支持開展。

第二，系統(tǒng)建設(shè)階段缺乏對(duì)開發(fā)單位的安全管理手段

項(xiàng)目通過(guò)招標(biāo)或委托確定了建設(shè)單位后，進(jìn)入開發(fā)實(shí)施階段。主管單位作為業(yè)主，與乙方的權(quán)利義務(wù)通過(guò)合同進(jìn)行約定，往往缺乏對(duì)于網(wǎng)絡(luò)安全的責(zé)任界定，技術(shù)手段更加不足。對(duì)于外包軟件開發(fā)可能存在的惡意代碼、隱蔽通道，難以采取有效的審查措施，通常只是在驗(yàn)收時(shí)開展安全測(cè)評(píng)，對(duì)于開發(fā)人員使用的第三方組件也沒(méi)有風(fēng)險(xiǎn)評(píng)估手段和要求。

第三，審查環(huán)節(jié)缺少網(wǎng)絡(luò)安全專家委員會(huì)及相關(guān)單位的參與

已有的與網(wǎng)絡(luò)安全相關(guān)的審查環(huán)節(jié)，還偏重于資料查驗(yàn)，資料以滿足項(xiàng)目申報(bào)、備案為目的，網(wǎng)絡(luò)安全要求體現(xiàn)不足。審查人員也是網(wǎng)絡(luò)安全工作人員，沒(méi)有專門的網(wǎng)絡(luò)安全專家委員會(huì)充分審核論證，網(wǎng)信部門，主管單位，運(yùn)行單位參與不足，項(xiàng)目試運(yùn)行期間和質(zhì)保期內(nèi)防護(hù)措施較為粗疏。

3 改進(jìn)措施

3.1 落實(shí)等保制度，在項(xiàng)目規(guī)劃立項(xiàng)階段明確安全要求

同步規(guī)劃的依據(jù)即為等級(jí)保護(hù)制度，建設(shè)單位應(yīng)在項(xiàng)目立項(xiàng)階段編制項(xiàng)目申報(bào)書（可研報(bào)告）的同時(shí)，確定系統(tǒng)級(jí)別，開展系統(tǒng)安全方案設(shè)計(jì)，組織專家評(píng)審，進(jìn)行備案。交通行業(yè)特別要聚焦本行業(yè)網(wǎng)絡(luò)安全特性，考慮定級(jí)對(duì)象的范圍和數(shù)據(jù)分級(jí)分類的要求，部省聯(lián)網(wǎng)系統(tǒng)要求等。以完備的系統(tǒng)安全方案，為后續(xù)系統(tǒng)實(shí)施提供依據(jù)。

3.2 在項(xiàng)目建設(shè)過(guò)程中，建立明確各方安全責(zé)任的網(wǎng)絡(luò)安全管理制度

在招標(biāo)時(shí)明確網(wǎng)絡(luò)安全需求。建立項(xiàng)目網(wǎng)絡(luò)安全制度，明確系統(tǒng)主管單位，開發(fā)單位，供應(yīng)鏈廠商，云服務(wù)商，監(jiān)理單位，運(yùn)行單位等的安全責(zé)任。合同中明確對(duì)外包軟件開發(fā)的要求，要求開發(fā)單位建立代碼開發(fā)規(guī)范，對(duì)二級(jí)以上系統(tǒng)組織代碼審計(jì)和相關(guān)測(cè)評(píng)測(cè)試。

3.3 在系統(tǒng)使用階段，各方采取措施落實(shí)網(wǎng)絡(luò)安全責(zé)任

自系統(tǒng)上線試運(yùn)行起，系統(tǒng)進(jìn)入使用階段，直至系統(tǒng)下線，相關(guān)各方應(yīng)履行網(wǎng)絡(luò)安全責(zé)任，保障系統(tǒng)穩(wěn)定運(yùn)行。定期開展系統(tǒng)等級(jí)測(cè)評(píng)，及時(shí)對(duì)發(fā)現(xiàn)的漏洞和隱患進(jìn)行整改。發(fā)生重大變更的，需要進(jìn)行重新定級(jí)備案和安全整改，存在重大隱患無(wú)法整改的應(yīng)提出升級(jí)改造需求。

3.4 對(duì)信息系統(tǒng)軟硬件資產(chǎn)進(jìn)行普查，按需開展信息安全風(fēng)險(xiǎn)評(píng)估

對(duì)于歷史形成的信息系統(tǒng)，須組織全面的軟硬件資產(chǎn)普查，梳理系統(tǒng)基礎(chǔ)環(huán)境，技術(shù)要素，管理措施等。并對(duì)重要信息系統(tǒng)開展發(fā)信息安全風(fēng)險(xiǎn)評(píng)估，清理并下線長(zhǎng)期無(wú)人使用的系統(tǒng)、測(cè)試系統(tǒng)等，提出系統(tǒng)安全防護(hù)提升措施建議。

4 結(jié)束語(yǔ)

“同步規(guī)劃，同步建設(shè)，同步使用”原則是強(qiáng)化網(wǎng)絡(luò)安全源頭治理的重要依據(jù)，也是避免系統(tǒng)“先天缺陷”的有效手段。交通行業(yè)的網(wǎng)絡(luò)安全工作應(yīng)進(jìn)一步深化對(duì)三同步原則的細(xì)化和落地應(yīng)用，以保證各項(xiàng)工作有序開展，提升全行業(yè)的網(wǎng)絡(luò)安全防護(hù)能力。

[1]宋楊. 如何做好網(wǎng)絡(luò)安全三同步工作[J]. 中國(guó)高新區(qū)，2018，000（008）：230.

[2]梁健. 《網(wǎng)絡(luò)安全法》下的交通信息安全責(zé)任[J]. 中國(guó)公路，2017，10（494）：18-20.

[3]張孟媛，袁鐘怡. 美國(guó)網(wǎng)絡(luò)安全審查制度發(fā)展，特點(diǎn)及啟示[J]. 網(wǎng)絡(luò)與信息安全學(xué)報(bào)，2019，43（06）：5-13.