王燕　李德智

摘要：新技術(shù)新業(yè)務(wù)“井噴式”創(chuàng)新發(fā)展、滲透融合引發(fā)信息安全新風(fēng)險(xiǎn)新問(wèn)題，安全評(píng)估工作面臨更多迫切需求、更加廣泛應(yīng)用場(chǎng)景。本論文在對(duì)電信運(yùn)營(yíng)商進(jìn)行評(píng)估實(shí)踐的基礎(chǔ)上，根據(jù)互聯(lián)網(wǎng)新技術(shù)新業(yè)務(wù)安全評(píng)估的模型與實(shí)施要點(diǎn)，對(duì)電信運(yùn)營(yíng)商新技術(shù)新業(yè)務(wù)安全評(píng)估方法及風(fēng)險(xiǎn)進(jìn)行探討。

關(guān)鍵詞：新技術(shù)新業(yè)務(wù);安全評(píng)估;風(fēng)險(xiǎn)

一、背景

隨著我國(guó)互聯(lián)網(wǎng)業(yè)務(wù)的發(fā)展，新技術(shù)新業(yè)務(wù)的應(yīng)用日益廣泛，并以手機(jī)終端為載體滲透到生活的方方面面，信息安全問(wèn)題日益凸顯。從工信部2011年下發(fā)《互聯(lián)網(wǎng)新技術(shù)新業(yè)務(wù)信息安全評(píng)估管理辦法（試行）》以來(lái)，行業(yè)信息安全監(jiān)管逐步從境內(nèi)外違法有害信息封堵處置逐步向全面落實(shí)企業(yè)責(zé)任、主動(dòng)預(yù)警防范拓展，要求行業(yè)完善企業(yè)安全責(zé)任制度。業(yè)務(wù)安全風(fēng)險(xiǎn)評(píng)估是指對(duì)互聯(lián)網(wǎng)業(yè)務(wù)的功能、屬性、特點(diǎn)、技術(shù)實(shí)現(xiàn)方式、市場(chǎng)發(fā)展情況、用戶規(guī)模、業(yè)務(wù)流程和規(guī)則、網(wǎng)絡(luò)數(shù)據(jù)流轉(zhuǎn)、個(gè)人信息采集和共享、處理銷(xiāo)毀及個(gè)人信息主體權(quán)益保護(hù)等關(guān)鍵要素進(jìn)行分析，評(píng)估其對(duì)安全管理工作的危險(xiǎn)和影響。

二、評(píng)估模型及風(fēng)險(xiǎn)

新技術(shù)新業(yè)務(wù)的評(píng)估對(duì)象包括基礎(chǔ)電信企業(yè)及增值電信企業(yè)（含三網(wǎng)融合涉及的廣電企業(yè)）運(yùn)營(yíng)的互聯(lián)網(wǎng)業(yè)務(wù)，業(yè)務(wù)重點(diǎn)關(guān)注5G、人工智能、區(qū)塊鏈、大數(shù)據(jù)、物聯(lián)網(wǎng)等相關(guān)業(yè)務(wù)。業(yè)務(wù)安全風(fēng)險(xiǎn)評(píng)估的實(shí)施需要使用業(yè)務(wù)安全風(fēng)險(xiǎn)評(píng)估模型，見(jiàn)圖1所示。業(yè)務(wù)安全風(fēng)險(xiǎn)

評(píng)估模型從業(yè)務(wù)應(yīng)用安全、業(yè)務(wù)平臺(tái)安全、業(yè)務(wù)運(yùn)行安全和數(shù)據(jù)安全四個(gè)方面提出了17個(gè)評(píng)估模塊。每個(gè)評(píng)估模塊歸納列舉了業(yè)務(wù)關(guān)鍵因素可能存在的信息安全威脅和影響，以此指導(dǎo)評(píng)估人員識(shí)別業(yè)務(wù)的信息安全風(fēng)險(xiǎn)。

（一）業(yè)務(wù)應(yīng)用安全

業(yè)務(wù)應(yīng)用安全以業(yè)務(wù)實(shí)現(xiàn)功能、使用情況為基本出發(fā)點(diǎn)，緊扣業(yè)務(wù)系統(tǒng)中傳輸?shù)墓残畔?，評(píng)估模塊包括用戶、信息主題、信息載體、信息生成、信息傳播、信息接收、信息留存等。1.用戶。用戶主要關(guān)注用戶規(guī)模、用戶類(lèi)型、用戶相關(guān)性、用戶實(shí)名核驗(yàn)、用戶真實(shí)身份鑒別等。若業(yè)務(wù)系統(tǒng)不能對(duì)用戶真實(shí)身份進(jìn)行鑒別，可能導(dǎo)致用戶賬戶信息被泄露、仿冒、盜取等嚴(yán)重安全事件。2.信息主題。信息主題主要關(guān)注發(fā)布的公共信息主題的多樣性和相關(guān)性。若內(nèi)容大多圍繞一個(gè)或幾個(gè)相近主題，且包含違法信息，則違法信息有可能在相關(guān)主題中大范圍變種并快速傳播。3.信息載體。信息載體包括信息呈現(xiàn)方式、語(yǔ)言類(lèi)型。慮到目前小語(yǔ)種語(yǔ)言的內(nèi)容識(shí)別技術(shù)尚不成熟，存在傳播違法信息的安全風(fēng)險(xiǎn)。4.信息生成。信息生成主要關(guān)注信息源和信息產(chǎn)生方式。如果無(wú)法確保業(yè)務(wù)系統(tǒng)中生成的信息是來(lái)自經(jīng)身份真實(shí)認(rèn)證或鑒別的可信用戶，信息是由被冒用或盜取的賬號(hào)或渠道生成、發(fā)送，則大幅增加了違法有害信息處置難度。5.信息傳播。信息傳播主要關(guān)注信息流動(dòng)方向、信息傳播方式、通信媒介、信息傳遞實(shí)時(shí)性等。用戶能否實(shí)時(shí)讀取信息，實(shí)時(shí)通信提高了信息讀取概率，提高了信息傳播速度，存在傳播違法信息的信息安全風(fēng)險(xiǎn)。6.信息接收。信息接收環(huán)節(jié)主要關(guān)注信息收取方式等。信息的主動(dòng)推送提高了信息讀取概率，間接提高了信息傳播速度，擴(kuò)大了信息傳播范圍，存在傳播違法信息的信息安全風(fēng)險(xiǎn)。7. 信息留存。信息留存關(guān)注的是業(yè)務(wù)系統(tǒng)中傳輸?shù)墓残畔?nèi)容和用戶使用業(yè)務(wù)行為的日志記錄，如果企業(yè)未按相關(guān)法律法規(guī)要求保留日志信息，將會(huì)直接影響企業(yè)配合完成事后溯源、取證工作的開(kāi)展。

（二）業(yè)務(wù)平臺(tái)安全

業(yè)務(wù)平臺(tái)安全聚焦承載業(yè)務(wù)的系統(tǒng)平臺(tái)，評(píng)估模塊包括設(shè)備位置分布、資源調(diào)度方式、業(yè)務(wù)合作、開(kāi)放接口等。1.設(shè)備位置分布。如果業(yè)務(wù)的服務(wù)器、機(jī)房或節(jié)點(diǎn)在境內(nèi)外均有分布，且境內(nèi)外有數(shù)據(jù)傳輸，則可能存在因數(shù)據(jù)跨境流動(dòng)引發(fā)的國(guó)家重要數(shù)據(jù)、個(gè)人隱私信息泄露的信息安全風(fēng)險(xiǎn)。2.資源調(diào)度方式。資源調(diào)度方式是指業(yè)務(wù)系統(tǒng)的計(jì)算資源、存儲(chǔ)資源、帶寬資源、IP地址及域名資源的調(diào)度方式。如果計(jì)算、存儲(chǔ)、帶寬資源采用了云化或虛擬化，或者IP地址及域名采取動(dòng)態(tài)分配方式，則可能增加企業(yè)違法信息處置難度。3. 業(yè)務(wù)合作。業(yè)務(wù)合作是指業(yè)務(wù)運(yùn)營(yíng)企業(yè)與其他企業(yè)開(kāi)展任意形式的合作。需要評(píng)估合作企業(yè)的信息安全管理工作及保障措施能否滿足相關(guān)法律法規(guī)要求，能否保障業(yè)務(wù)的信息安全。4.開(kāi)放接口。開(kāi)放接口是指業(yè)務(wù)系統(tǒng)為第三方提供的標(biāo)準(zhǔn)API接口。第三方調(diào)用開(kāi)放API接口的過(guò)程中，如果與業(yè)務(wù)系統(tǒng)之間產(chǎn)生了數(shù)據(jù)交互，可能增加業(yè)務(wù)系統(tǒng)發(fā)布、傳輸、存儲(chǔ)違法信息的信息安全風(fēng)險(xiǎn);如果業(yè)務(wù)系統(tǒng)開(kāi)放的API接口未做好違法有害信息監(jiān)測(cè)處置、權(quán)限管理、安全審計(jì)等，可能帶來(lái)違法有害信息傳播、直接影響業(yè)務(wù)系統(tǒng)自身安全、非法調(diào)用API接口（如實(shí)施通訊信息詐騙）等安全風(fēng)險(xiǎn)。

（三）業(yè)務(wù)運(yùn)行安全

業(yè)務(wù)運(yùn)行安全關(guān)注業(yè)務(wù)運(yùn)行的流程管理和技術(shù)防范存在的安全風(fēng)險(xiǎn)，評(píng)估模塊業(yè)務(wù)邏輯安全、通訊信息管理安全等。1.業(yè)務(wù)邏輯安全。業(yè)務(wù)邏輯安全的關(guān)注點(diǎn)主要集中在業(yè)務(wù)規(guī)則的合規(guī)性、業(yè)務(wù)流程的合理性及配套的技術(shù)保障措施的完善性等。如以一卡多號(hào)、短信營(yíng)業(yè)廳、網(wǎng)上營(yíng)業(yè)廳等為代表的電信業(yè)務(wù)，如果存在未實(shí)施二次確認(rèn)機(jī)制、必要的用戶身份驗(yàn)證環(huán)節(jié)缺失、短信驗(yàn)證碼下發(fā)環(huán)節(jié)用戶安全提醒不完善、業(yè)務(wù)登錄提示不足、身份校驗(yàn)技術(shù)手段不完備等安全漏洞，則有可能被詐騙分子利用設(shè)計(jì)各種詐騙場(chǎng)景，冒充用戶實(shí)施詐騙。2. 通訊信息管理安全。通訊信息管理安全主要關(guān)注電信資源、號(hào)碼傳送、信息傳播等。電信資源主要關(guān)注碼號(hào)資源、電信線路有可能被詐騙分子利用實(shí)施通訊信息詐騙;碼號(hào)傳送主要關(guān)注傳送過(guò)程中相關(guān)漏洞有可能被詐騙分子利用，以修改主叫號(hào)碼、設(shè)置主叫號(hào)碼為空號(hào)或禁顯、違規(guī)外呼、私自改變業(yè)務(wù)使用用途等方式實(shí)施通訊信息詐騙;在信息傳播方面主要關(guān)注相關(guān)業(yè)務(wù)有可能成為不法分子販賣(mài)個(gè)人信息和詐騙實(shí)施軟件及工具（如改號(hào)軟件、非法電話卡、非法銀行卡、身份證識(shí)別設(shè)備破解軟件、虛擬交易軟件、“偽基站”等）的渠道途徑。

（四）業(yè)務(wù)數(shù)據(jù)安全

數(shù)據(jù)安全層以業(yè)務(wù)系統(tǒng)中傳輸、存儲(chǔ)的各類(lèi)數(shù)據(jù)為核心評(píng)估點(diǎn)，從維護(hù)企業(yè)、個(gè)人、國(guó)家利益角度出發(fā)，分析可能對(duì)數(shù)據(jù)安全造成影響的各類(lèi)威脅和隱患。評(píng)估模塊包括數(shù)據(jù)采集、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)傳輸、數(shù)據(jù)加工、數(shù)據(jù)轉(zhuǎn)移、數(shù)據(jù)刪除各階段數(shù)據(jù)安全以及個(gè)人信息安全、數(shù)據(jù)跨境安全。1.數(shù)據(jù)生命周期。數(shù)據(jù)生命周期包括數(shù)據(jù)采集、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)傳輸、數(shù)據(jù)加工、數(shù)據(jù)轉(zhuǎn)移、數(shù)據(jù)刪除等環(huán)節(jié)。主要關(guān)注在各個(gè)環(huán)節(jié)中數(shù)據(jù)是否有被泄露、竊取、篡改或銷(xiāo)毀風(fēng)險(xiǎn)。2.個(gè)人信息安全。個(gè)人信息是指以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人身份或者反映特定自然人活動(dòng)情況的各種信息。企業(yè)由于管理措施、技術(shù)手段等安全保障能力的不足或受到自然災(zāi)害、基礎(chǔ)設(shè)施故障等環(huán)境危害，在個(gè)人信息采集、存儲(chǔ)、管理、傳輸、加工、轉(zhuǎn)移、刪除等處理環(huán)節(jié)，造成個(gè)人信息泄露、損毀、篡改等安全事件，對(duì)個(gè)人隱私以及個(gè)人信息主體權(quán)益造成安全隱患的風(fēng)險(xiǎn)。3. 數(shù)據(jù)跨境安全。數(shù)據(jù)跨境安全風(fēng)險(xiǎn)是指在數(shù)據(jù)跨境及再轉(zhuǎn)移后，人為或自然的威脅利用數(shù)據(jù)安全保障能力中存在的問(wèn)題，導(dǎo)致安全事件的發(fā)生及對(duì)個(gè)人合法利益、國(guó)家安全、社會(huì)公共利益帶來(lái)的影響。

三、評(píng)估的流程及方法

業(yè)務(wù)風(fēng)險(xiǎn)評(píng)估流程分為四個(gè)階段。分別是評(píng)估準(zhǔn)備、風(fēng)險(xiǎn)初判、風(fēng)險(xiǎn)評(píng)估、評(píng)估結(jié)論分析。具體評(píng)估流程見(jiàn)圖2所示，每個(gè)階段的內(nèi)容詳見(jiàn)下文。

（一）評(píng)估準(zhǔn)備

評(píng)估準(zhǔn)備階段包括成立評(píng)估組，確定小組成員。準(zhǔn)備評(píng)估材料，此過(guò)程包括說(shuō)明告知、需求溝通、文檔提交等事務(wù)。說(shuō)明告知是告知評(píng)估業(yè)務(wù)運(yùn)營(yíng)單位開(kāi)展評(píng)估工作的評(píng)估依據(jù)和相關(guān)工作要求，闡釋評(píng)估工作的重要意義，尋求評(píng)估業(yè)務(wù)運(yùn)營(yíng)單位的積極支持配合。此外，還應(yīng)告知評(píng)估業(yè)務(wù)運(yùn)營(yíng)單位評(píng)估實(shí)施過(guò)程中用于測(cè)評(píng)驗(yàn)證的樣本庫(kù)來(lái)源，以及用于核實(shí)比對(duì)的公開(kāi)、權(quán)威性數(shù)據(jù)庫(kù)的來(lái)源;需求溝通是與評(píng)估業(yè)務(wù)運(yùn)營(yíng)單位進(jìn)行評(píng)估前溝通，告知開(kāi)展評(píng)估的流程、使用的評(píng)估方法和評(píng)估工具、評(píng)估開(kāi)展過(guò)程中需要業(yè)務(wù)運(yùn)營(yíng)單位配合協(xié)調(diào)的工作事項(xiàng);文檔提交是針對(duì)評(píng)估業(yè)務(wù)做好事前準(zhǔn)備，要求評(píng)估業(yè)務(wù)運(yùn)營(yíng)單位提交與業(yè)務(wù)相關(guān)的文檔資料，包括與業(yè)務(wù)相關(guān)的技術(shù)文檔和管理文檔。

（二）風(fēng)險(xiǎn)初判

風(fēng)險(xiǎn)初判基于篩選后適用的評(píng)估指標(biāo)，運(yùn)用文檔查閱方法對(duì)業(yè)務(wù)安全風(fēng)險(xiǎn)進(jìn)行初步篩查和識(shí)別判定。確定現(xiàn)階段無(wú)法準(zhǔn)確識(shí)別研判風(fēng)險(xiǎn)程度的指標(biāo)，及下一步研判風(fēng)險(xiǎn)需要使用的評(píng)估方法，為現(xiàn)場(chǎng)評(píng)估做好準(zhǔn)備。

（三）風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)評(píng)估綜合運(yùn)用文件審查、人員訪談、演示查驗(yàn)、測(cè)評(píng)驗(yàn)證四種評(píng)估方法，對(duì)適用的評(píng)估指標(biāo)進(jìn)行風(fēng)險(xiǎn)識(shí)別和研判，進(jìn)行完整記錄，保留訪談內(nèi)容和相關(guān)證明資料。對(duì)業(yè)務(wù)安全風(fēng)險(xiǎn)指標(biāo)進(jìn)行逐項(xiàng)分析，形成整體風(fēng)險(xiǎn)分析矩陣，重點(diǎn)關(guān)注風(fēng)險(xiǎn)值為中、高的風(fēng)險(xiǎn)指標(biāo)，以備對(duì)照考察企業(yè)安全保障能力。對(duì)照業(yè)務(wù)應(yīng)用安全保障基線要求，逐項(xiàng)分析企業(yè)的安全保障能力是否滿足安全保障基線要求，形成整體保障能力分析矩陣。

（四）評(píng)估結(jié)論分析

評(píng)估結(jié)論主要結(jié)合業(yè)務(wù)風(fēng)險(xiǎn)分析矩陣和整體保障能力分析矩陣，分析業(yè)務(wù)的安全風(fēng)險(xiǎn)對(duì)企業(yè)安全保障能力形成的威脅和挑戰(zhàn)，進(jìn)一步把握、研判業(yè)務(wù)的現(xiàn)實(shí)安全風(fēng)險(xiǎn)，提出被評(píng)估業(yè)務(wù)的整改措施建議。并形成評(píng)估報(bào)告，評(píng)估組成員簽字確認(rèn)，整改牽涉的責(zé)任部門(mén)負(fù)責(zé)人簽字確認(rèn)。

四、評(píng)估過(guò)程中的風(fēng)險(xiǎn)應(yīng)對(duì)策略

新技術(shù)新業(yè)務(wù)的評(píng)估是對(duì)業(yè)務(wù)整體的風(fēng)險(xiǎn)評(píng)估及分析，運(yùn)營(yíng)商企業(yè)的業(yè)務(wù)往往涉及多個(gè)部門(mén)協(xié)調(diào)及多廠商改造，在評(píng)估過(guò)程中需要對(duì)多方關(guān)系進(jìn)行協(xié)調(diào)，以保證按時(shí)完成評(píng)估及整改。主要風(fēng)險(xiǎn)點(diǎn)包含以下幾個(gè)方面的內(nèi)容。

（一）跨部門(mén)協(xié)調(diào)溝通困難，應(yīng)建立完整的安全評(píng)估管理體系。新技術(shù)新業(yè)務(wù)一般涉及多個(gè)部門(mén)不同人員之間的配合，部門(mén)之間溝通不暢導(dǎo)致評(píng)估工作難以開(kāi)展。電信運(yùn)營(yíng)商應(yīng)重視安全評(píng)估，建立完整的新技術(shù)新業(yè)務(wù)安全評(píng)估管理體系，不斷完善安全評(píng)估管理辦法和實(shí)施細(xì)則，使安全評(píng)估工作逐步制度化、規(guī)范化。將安全評(píng)估工作納入企業(yè)績(jī)效考核，完善安全評(píng)估工作獎(jiǎng)懲機(jī)制。

（二）人員專(zhuān)業(yè)性不足，應(yīng)加快安全評(píng)估隊(duì)伍建設(shè)。安全評(píng)估是一項(xiàng)專(zhuān)業(yè)評(píng)估活動(dòng)，設(shè)立安全評(píng)估隊(duì)伍及安全評(píng)估專(zhuān)崗統(tǒng)籌負(fù)責(zé)安全評(píng)估工作;注意培養(yǎng)安全評(píng)估儲(chǔ)備人才，定期組織培訓(xùn)，提升安全評(píng)估人員整體能力。

（三）安全措施待進(jìn)一步加強(qiáng)，推進(jìn)安全評(píng)估技術(shù)創(chuàng)新。電信運(yùn)營(yíng)商應(yīng)在安全評(píng)估重點(diǎn)技術(shù)領(lǐng)域開(kāi)展研究和創(chuàng)新實(shí)踐，如用戶真實(shí)身份，鑒別技術(shù)、用戶信息加密技術(shù)、違法信息監(jiān)測(cè)處置技術(shù)、資源實(shí)時(shí)監(jiān)控技術(shù)等。

（四）行業(yè)交流少，應(yīng)加強(qiáng)合作和共享?；ヂ?lián)網(wǎng)新技術(shù)新業(yè)務(wù)在各大運(yùn)營(yíng)商及各省份的具有復(fù)制性和相似性，不同省份電信運(yùn)營(yíng)商之間應(yīng)加強(qiáng)合作共享，分享管理和技術(shù)創(chuàng)新，交流業(yè)務(wù)風(fēng)險(xiǎn)研判經(jīng)驗(yàn)。

（五）業(yè)務(wù)整改進(jìn)展緩慢，需對(duì)整改進(jìn)度進(jìn)行把控。評(píng)估過(guò)程中若發(fā)現(xiàn)業(yè)務(wù)風(fēng)險(xiǎn)，需要告知運(yùn)營(yíng)商進(jìn)行整改。整改過(guò)程中涉及的供應(yīng)商可能由于費(fèi)用或人員問(wèn)題，導(dǎo)致整改進(jìn)度滯后，無(wú)法在規(guī)定時(shí)間內(nèi)完成整改。對(duì)于整改進(jìn)度需進(jìn)行整體把控，及時(shí)推進(jìn)，否則會(huì)因?yàn)檫M(jìn)度影響評(píng)估結(jié)果。

五、結(jié)束語(yǔ)

本文重點(diǎn)關(guān)注電信運(yùn)營(yíng)商互聯(lián)網(wǎng)新技術(shù)新業(yè)務(wù)安全評(píng)估工作，介紹了安全評(píng)估工作方法和評(píng)估過(guò)程中的風(fēng)險(xiǎn)點(diǎn)及應(yīng)對(duì)策略，為電信運(yùn)營(yíng)商新業(yè)務(wù)的評(píng)估提供借鑒。由于評(píng)估指南更新及評(píng)估細(xì)節(jié)進(jìn)一步細(xì)化，在評(píng)估中需要緊緊結(jié)合工信部下發(fā)的相關(guān)規(guī)定，及時(shí)調(diào)整評(píng)估細(xì)節(jié)。此外，隨著互聯(lián)網(wǎng)業(yè)務(wù)及評(píng)估方法的發(fā)展，本文所提出的評(píng)估風(fēng)險(xiǎn)可能會(huì)發(fā)生變化，希望相關(guān)評(píng)估人員能夠結(jié)合最新技術(shù)和最新實(shí)踐，綜合研判業(yè)務(wù)安全風(fēng)險(xiǎn)、及企業(yè)安全保障能力，持續(xù)推動(dòng)互聯(lián)網(wǎng)新業(yè)務(wù)健康有序發(fā)展。

作者單位：王燕? ? 李德智? ? 華信咨詢(xún)?cè)O(shè)計(jì)研究院有限公司

參? 考? 文? 獻(xiàn)

[1]《2020年省級(jí)基礎(chǔ)電信企業(yè)網(wǎng)絡(luò)與信息安全工作考核要點(diǎn)與評(píng)分標(biāo)準(zhǔn)》工網(wǎng)安函〔2020〕149號(hào)

[2]張劍，萬(wàn)里冰，錢(qián)偉中.信息安全技術(shù)[M].電子科技大學(xué)出版社，2017.

[3]張莉.數(shù)據(jù)治理與數(shù)據(jù)安全[M].人民郵電出版社， 2019.

[4]張劍，廖國(guó)平，湯亮.信息安全風(fēng)險(xiǎn)管理[M].電子科技大學(xué)出版社，2016.