互联网新技术新业务安全评估在电信运营商的探索实践

寇金锋 张云勇 陶 冶 刘 镝 闫 硕

1 北京邮电大学 北京 100876

2 中国联合网络通信有限公司 北京 100033

3 中国联通研究院 北京 100176

引言

伴随着信息通信产业的快速发展，各种方便快捷的互联网应用正以前所未有的速度改变着当今社会的生产生活方式。与此同时，基于互联网的信息安全风险也随之诞生，数据泄密、电信诈骗、病毒攻击等安全事件频发且愈演愈烈，对用户利益、社会稳定乃至国家安全产生了严峻威胁。

2016年8月，由移动互联网系统与应用安全国家工程实验室组成的专门检测团队，对88个互联网金融类移动APP进行了深入测试，发现了包括信息数据明文发送、通信数据可解密、敏感数据本地可破解、调试信息泄露、敏感信息泄露、密码学误用、功能泄露、可二次打包、可调试、代码可逆向等十大安全隐患。

面对如此严峻的安全形势，为了进一步促进互联网行业健康有序发展，维护国家安全和社会稳定，保障用户合法权益，加强互联网新技术新业务安全管理，工业和信息化部出台了《互联网新技术新业务信息安全评估管理办法》[1]，要求对有可能引发信息安全风险，对国家安全、社全稳定和用户权益产生重要影响的互联网新技术新业务组织开展安全评估[2-5]。其中新技术新业务具体指各电信企业(含互联网企业)提供的具有新功能或新使用价值的技术业务，包括未上线新技术新业务、新上线新技术新业务(一年内)以及已有技术业务的新增功能。

1 安全评估介绍

互联网新技术新业务安全评估(以下简称“安全评估”)是指运用科学的方法和手段，系统地识别和分析互联网技术、业务、应用等可能引发的信息安全风险，评估信息安全事件一旦发生可能造成的危害程度，评估企业配套的信息安全保障能力是否能够将风险控制在可接受的水平，提出有针对性的预防信息安全事件发生的管理对策和安全措施，为最大限度地保障互联网技术、业务、应用的信息安全提供科学依据[1，6]。

安全评估的对象是基础电信企业及增值电信企业运营的互联网技术、业务或应用，当满足以下任一情况时应及时启动安全评估[1，6]。

1)互联网技术、业务或应用上线前(含合作推广、试点、试商用)；

2)互联网技术、业务或应用在运营阶段出现基础资源配置、技术实现方式、业务功能或用户规模等发生较大变化时；

3)应行业主管部门要求，或行业主管部门规定的其他情况。

其中基础资源配置发生较大变化是指IP地址、域名等网络资源的分配方式发生较大变化；技术实现方式发生较大变化是指采用新技术、或技术升级改造、或网络拓扑结构发生较大变化、或网络设备升级改造等情况；业务功能发生较大变化是指互联网技术、业务、应用的信息产生方式、传播渠道、传播方式发生较大变化等情况；用户规模发生较大变化包括互联网技术、业务、应用的用户数量发生较大变化，或接入网站的数量发生较大变化。

2 安全评估实施过程

如图1所示，互联网新技术新业务安全评估过程的实施，主要分为四个阶段：1)成立业务安全评估小组；2)对业务进行安全风险评估；3)对企业进行安全保障能力评估；4)进行安全评估总结。

2.1 成立业务安全评估小组

根据业务具体情况，由业务相关部门共同选派人员组成安全评估小组，负责整个安全评估过程的实施，并出具最后的安全评估结论。一般情况下，安全评估小组成员包括但不限于以下部门：业务开发部门、业务运营维护部门、市场部、客服部、第三方合作单位等。

2.2 业务安全风险评估

图1 互联网新技术新业务安全评估流程图

业务安全风险评估分两步进行：首先，由业务部门准备业务相关材料；然后，召开安全评估会议，由安全评估小组共同讨论，对业务风险进行研判。一般情况下，需要准备的业务材料包括但不限于：1)业务基本情况，包括业务功能、技术实现方式、市场发展情况等；2)企业安全保障情况，包括制度管理文件、日常保障机制、应急保障机制等。

根据业务具体情况，安全评估小组制定与业务相适用的安全评估体系，重点评估业务应用安全、业务平台安全、业务运行安全三方面的信息安全风险。其中业务应用安全主要关注用户、信息内容、信息载体、信息生成、信息传播、信息接收、信息留存等方面。业务平台安全主要关注设备位置分布、资源调度方式、开放接口等方面。业务运行安全主要关注个人信息安全、业务逻辑安全、逻辑信息管理安全等方面。具体见表1～表3中所示。

2.3 企业安全保障能力评估

针对每一项评估指标，安全评估小组通过文档分析、人员访谈、系统测试等方式深入了解业务实际情况，分析研判可能存在的信息安全风险。最后，安全评估小组对所有的信息安全风险进行汇总，形成业务安全风险分析报告。

表1 业务应用安全风险评估指标

表2 业务平台安全风险评估指标

表3 业务运行安全风险评估指标

企业安全保障能力评估重点研判企业配备的安全保障机制是否充分，是否能够满足业务应用安全保障基线、业务平台安全保障基线、业务运行安全保障基线三方面的要求。具体见表4～表6中所示。

针对每一项评估指标，安全评估小组通过文档分析、人员访谈、系统测试等方式深入了解企业安全保障情况，分析研判企业保障措施是否能够有效降低信息安全风险。最后，安全评估小组对企业安全保障能力进行分析汇总，形成报告。

表4 业务应用安全保障基线评估指标

表5 业务平台安全保障基线评估指标

表6 业务运行安全保障基线评估指标

2.4 安全评估总结

安全评估小组基于业务风险评估中识别出的信息安全风险，结合企业安全保障情况，分析判断企业安全保障能力是否能够使业务安全风险可管可控。如果认为企业安全保障能力缺失或不足，应作出分析和建议，为企业防范和整改提供参考。

3 电信运营商应对策略及建议

互联网新技术新业务引发的信息安全风险日益突出，这对于目前正在勇敢尝试互联网化[7-10]的电信运营商来说，是一件非常严峻的挑战。为防范互联网新技术新业务信息安全风险，保障互联网新技术新业务健康有序发展，进一步推进企业互联网化进程，电信运营商应高度重视互联网新技术新业务安全评估工作，具体策略及建议如下。

1)建立健全安全评估管理体系。电信运营商应建立健全新技术新业务安全评估管理体系，完善安全评估管理办法和实施细则，使安全评估工作逐步制度化、规范化；建立新业务“未评估通过不得上线”的保障机制，以及存量业务定期核查机制；将安全评估工作纳入企业绩效考核，完善安全评估工作奖惩机制。

2)加快安全评估队伍建设。电信运营商应加快安全评估队伍建设，设置安全评估专岗，统筹负责安全评估工作；组建安全评估专家库，储备高级人才，支撑重大事件及决策；定期组织培训，加快安全评估人员整体能力提升。

3)推进安全评估技术创新。电信运营商应在安全评估重点技术领域开展研究和创新实践，如用户真实身份鉴别技术、用户信息加密技术、违法信息监测处置技术、资源实时监控技术等。

4)加强行业合作和共享。互联网新技术新业务具有一定程度的相似性，电信运营商应加强与互联网企业的合作共享，在技术创新、管理创新、风险研判、人才交流等方面开展交流合作。

4 结束语

本文重点关注互联网新技术新业务安全评估工作，介绍了安全评估工作的整体情况和实施流程，希望可以为相关工作提供借鉴。

由于互联网技术发展迅速，新技术新业务更新频繁，本文所提安全评估实践将来难免会存在一定的局限性，希望相关工作人员能够结合最新技术和最新实践，综合研判业务安全风险、及企业安全保障能力，持续推动互联网新业务健康有序发展。