隨著數(shù)字化進(jìn)程的加速和網(wǎng)絡(luò)安全形勢(shì)的日益復(fù)雜,我國(guó)信息安全領(lǐng)域的政策法規(guī)進(jìn)入了密集出臺(tái)與迭代升級(jí)的新階段。從《網(wǎng)絡(luò)安全法》到《數(shù)據(jù)安全法》、《個(gè)人信息保護(hù)法》的相繼實(shí)施,再到各行業(yè)、各領(lǐng)域配套細(xì)則與標(biāo)準(zhǔn)的陸續(xù)發(fā)布,一套日益完善、覆蓋全面的信息安全法律框架與監(jiān)管體系正在加速形成。這些“新規(guī)不斷”的政策動(dòng)態(tài),不僅明確了數(shù)據(jù)處理各方的責(zé)任與義務(wù),也對(duì)企業(yè)、機(jī)構(gòu),尤其是關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者,提出了更高的安全合規(guī)要求。在這一背景下,信息系統(tǒng)運(yùn)行維護(hù)服務(wù)(以下簡(jiǎn)稱“運(yùn)維服務(wù)”)作為保障各類信息系統(tǒng)(尤其是承載大量敏感數(shù)據(jù)的信息系統(tǒng))穩(wěn)定、高效、安全運(yùn)行的關(guān)鍵環(huán)節(jié),其安全性與合規(guī)性受到了前所未有的關(guān)注。
面對(duì)新規(guī)下的嚴(yán)峻挑戰(zhàn)與更高要求,全國(guó)智能建筑及居住區(qū)數(shù)字化標(biāo)準(zhǔn)化技術(shù)委員會(huì)(簡(jiǎn)稱“全國(guó)智標(biāo)委”)積極響應(yīng),近期正式提出了一套具有前瞻性和可操作性的“信息保護(hù)應(yīng)用方案”。該方案并非孤立存在,而是緊密對(duì)接現(xiàn)行法律法規(guī)與國(guó)家標(biāo)準(zhǔn),旨在為建筑、社區(qū)、城市管理等涉及海量人員信息與運(yùn)行數(shù)據(jù)的智能化場(chǎng)景,提供一套貫穿信息系統(tǒng)全生命周期的、標(biāo)準(zhǔn)化的信息安全防護(hù)框架。其核心目標(biāo)是,在確保信息系統(tǒng)功能正常、高效運(yùn)維的構(gòu)建起堅(jiān)實(shí)的數(shù)據(jù)安全與個(gè)人隱私保護(hù)屏障。
全國(guó)智標(biāo)委提出的這套方案,對(duì)信息系統(tǒng)運(yùn)維服務(wù)的安全升級(jí)具有重要的指導(dǎo)意義,主要體現(xiàn)在以下幾個(gè)層面:
推動(dòng)運(yùn)維服務(wù)的標(biāo)準(zhǔn)化與合規(guī)化。方案將數(shù)據(jù)分類分級(jí)、權(quán)限最小化、操作可審計(jì)等法律原則轉(zhuǎn)化為具體的運(yùn)維管理規(guī)程和技術(shù)控制措施。例如,它要求運(yùn)維服務(wù)商必須建立與信息系統(tǒng)數(shù)據(jù)安全級(jí)別相匹配的訪問(wèn)控制策略,對(duì)運(yùn)維人員的操作行為進(jìn)行全程留痕和審計(jì),確保任何對(duì)敏感數(shù)據(jù)的接觸都在授權(quán)、可控、可追溯的范圍內(nèi)進(jìn)行,從而直接滿足《數(shù)據(jù)安全法》中關(guān)于建立全流程數(shù)據(jù)安全管理制度的要求。
強(qiáng)調(diào)技術(shù)防護(hù)與管理的深度融合。方案不僅關(guān)注防火墻、入侵檢測(cè)、加密技術(shù)等傳統(tǒng)安全手段在運(yùn)維環(huán)境中的應(yīng)用,更倡導(dǎo)利用零信任架構(gòu)、軟件定義邊界(SDP)等先進(jìn)理念,重構(gòu)運(yùn)維訪問(wèn)的安全邊界。它提出通過(guò)動(dòng)態(tài)授權(quán)、持續(xù)驗(yàn)證來(lái)替代傳統(tǒng)的靜態(tài)信任模式,確保即使運(yùn)維通道本身,也不會(huì)成為攻擊者滲透內(nèi)網(wǎng)、竊取數(shù)據(jù)的“后門”。方案強(qiáng)化了安全運(yùn)維管理流程,包括漏洞的定期掃描與閉環(huán)管理、安全事件的應(yīng)急響應(yīng)預(yù)案與演練、以及運(yùn)維人員持續(xù)的安全意識(shí)教育與技能培訓(xùn)。
聚焦于特定場(chǎng)景的縱深防護(hù)。針對(duì)智能建筑、智慧社區(qū)等全國(guó)智標(biāo)委重點(diǎn)關(guān)注的領(lǐng)域,方案設(shè)計(jì)了場(chǎng)景化的信息保護(hù)細(xì)則。這些場(chǎng)景通常涉及大量的住戶個(gè)人信息、門禁通行記錄、車輛信息等敏感數(shù)據(jù)。方案要求在這些系統(tǒng)的運(yùn)維服務(wù)中,必須對(duì)數(shù)據(jù)的采集、傳輸、存儲(chǔ)、處理、銷毀等各個(gè)環(huán)節(jié)實(shí)施格外嚴(yán)格的保護(hù),例如采用數(shù)據(jù)脫敏技術(shù)進(jìn)行運(yùn)維數(shù)據(jù)分析,在開(kāi)發(fā)測(cè)試環(huán)境中使用仿真數(shù)據(jù)而非生產(chǎn)數(shù)據(jù)等,切實(shí)保障公民個(gè)人隱私權(quán)益,呼應(yīng)《個(gè)人信息保護(hù)法》的核心精神。
促進(jìn)生態(tài)協(xié)同與供應(yīng)鏈安全。方案鼓勵(lì)信息系統(tǒng)建設(shè)單位、運(yùn)維服務(wù)商、安全產(chǎn)品供應(yīng)商、第三方測(cè)評(píng)機(jī)構(gòu)等各方形成合力。通過(guò)明確各方的安全責(zé)任界面,采用符合標(biāo)準(zhǔn)的安全產(chǎn)品與服務(wù),并引入第三方安全評(píng)估與審計(jì),共同構(gòu)建一個(gè)安全、可信的運(yùn)維服務(wù)生態(tài)體系。這對(duì)于防范因單個(gè)服務(wù)環(huán)節(jié)的脆弱性而導(dǎo)致整個(gè)系統(tǒng)淪陷的供應(yīng)鏈安全風(fēng)險(xiǎn)至關(guān)重要。
在信息安全政策持續(xù)加碼的“新常態(tài)”下,全國(guó)智標(biāo)委提出的信息保護(hù)應(yīng)用方案恰逢其時(shí)。它為當(dāng)前及未來(lái)的信息系統(tǒng)運(yùn)行維護(hù)服務(wù)提供了一份清晰的“安全路線圖”。方案的落地實(shí)施,將有力推動(dòng)運(yùn)維服務(wù)從“保障系統(tǒng)可用性”向“保障系統(tǒng)可用性與數(shù)據(jù)安全性并重”的深刻轉(zhuǎn)變,不僅有助于各運(yùn)營(yíng)單位滿足合規(guī)性要求,更能從實(shí)質(zhì)上提升其主動(dòng)防御和應(yīng)對(duì)安全威脅的能力,為各行各業(yè)的數(shù)字化轉(zhuǎn)型夯實(shí)安全地基,護(hù)航數(shù)字經(jīng)濟(jì)的高質(zhì)量發(fā)展。