中國石化網絡安全風險管控研究

序論：寫作是一種深度的自我表達。它要求我們深入探索自己的思想和情感，挖掘那些隱藏在內心深處的真相，好投稿為您帶來了一篇中國石化網絡安全風險管控研究范文，愿它們成為您寫作過程中的靈感催化劑，助力您的創作。

１構建“五位一體”網絡安全風險管控機制

１）加強落實網絡安全責任制．分級建立網絡安全責任制、強化責任擔當是各項網絡安全工作落實到位的重要保障手段．中國石化明確了各級黨委對本單位、本部門網絡安全工作負主體責任，明確了信息系統業務主管單位、建設單位、運維單位和使用單位四方責任．只有不斷強化各級員工的網絡安全責任意識，才能確保網絡安全風險防范措施和事件處置效果不打折扣，逐級落地．

２）建立網絡安全“三同步”管控機制．隨著網絡安全責任制的落實，網絡安全合規建設以國家頒布的“三法一條例”為基礎，在信息化建設中，保證安全技術措施同步規劃、同步建設、同步使用．安全驗收后的日常運營維護中，應當保持系統處于持續安全防護水平，建立明確清晰的網絡安全應急處置機制．以“三同步”為指導思想，在系統生命周期各階段明確責任部門及安全職責，在全過程中推行安全同步開展，將網絡安全等級保護、關基保護、密碼保護、數據安全保護和個人信息保護納入方案設計、項目實施和運營過程，確保安全機制和措施在信息系統建設過程中同步規劃、同步執行、同步上線投用，并嚴把項目立項、項目上線和項目驗收３大關口，在滿足國家網絡安全合規要求的基礎上實現風險左移控制，切實提升信息系統全生命周期安全防護水平［１］．

３）建立網絡安全考核評價體系．中國石化為了更好地將網絡安全工作落實情況納入到二級單位網絡安全考核評價體系，考核結果直接與領導班子績效考核結果掛鉤．根據網絡安全整體形勢和年度重點任務，每年動態優化考核內容，優化檢查方法，及時發現風險隱患并及時整改，提升了安全風險控制能力．２０２１年度網絡安全考核評價企業１２５家，其中８６％的單位被評為Ｂ級或以上，并通過信息通報、專項約談、下發警示函和考核扣分等方式，督促落后企業落實網絡安全責任，提升風險防范能力．

４）建立網絡安全通報機制．建立集約型的集團企業２級網絡安全預警與通報機制．將各二級單位網絡安全分管領導、信息管理部門負責人和網絡安全主管納入網絡安全通報聯絡員范圍，實行７×２４ｈ聯絡員管理．同時區分平時和戰時，平時按照常態化工作開展，例如漏洞通報、漏洞預警威脅情報等信息，通過常規的通報渠道下發企業，讓企業根據通報內容進行快速響應；戰時按照特殊情況下工作要求開展，例如重要保障時期、國家網絡攻防演習時期等，通過專門的通報渠道下發企業，縮短中間公文流轉時間，直接通知企業對問題進行整改，提高工作效率．

５）建立網絡安全隱患“清零”機制．以“識別大風險、消除大隱患、杜絕大事故”為工作主線，全面推進網絡安全隱患排查治理工作，通過臺賬化管理，消存量、控增量，持續提升中國石化網絡安全管控水平．在前期互聯網應用安全專項治理行動基礎上，建立以識別資產、識別風險、及時整改和閉環控制的常態化隱患治理工作模式［２］，同時積極發揮企業內部攻防團隊力量，站在攻擊者視角全盤審視，聚焦重要網絡、重要系統和核心數據的突出問題和薄弱環節，開展常態化滲透測試和漏洞挖掘工作，定期開展實戰演練，并同時配套有關技術防護系統的建設及部署工作，形成管理＋技術的綜合整治模式，通過流程建立風險清理賬單，逐步實現網絡安全風險隱患“清零”．

２建立“管理＋科技”突發事件應急處置機制

１）強化管理，建立健全應急響應標準流程．安全事件應急處置流程以快速、高效為核心，將安全事件分為３個階段：一是啟動階段，包括發現威脅、緊急處置、信息流轉、處置建議、事件匯總；二是事件處置階段，開展處置、分析研判、溯源反制、技術交流等工作；三是事件結束階段，進行結果驗證、結果核查、事件歸檔、問題整改，確保事件風險清零．全集團以通報機制為紐帶，實現自上而下的作戰單元防護體系，形成情報共享、事件共享、結果共享的聯動響應機制．

２）科技強安，建立一體化事件處置平臺．“工欲善其事必先利其器”，面對突發事件，建設相對完善的監測防護系統是重中之重．我們通過在９個區域中心部署流量監控系統，使用大數據、威脅情報和ＡＴＴ＆ＣＫ的攻擊規則模型，建立了一體化事件監控處置平臺．在總部和區域中心互聯網邊界、數據中心及主干網部署態勢感知設備并進行數據集成，實現網絡異常流量集中監控，采用ＳＯＡＲ技術集成態勢感知與ＳＥＩＭ，對監控到的攻擊告警進行深度處理，調用預制劇本，實現了互聯網攻擊的精準、自動化封禁及自動化解封．

３目前存在的問題

目前網絡安全工作在保障數字化轉型發展中還存在差距和不足，現有安全體系達不到國家新發布的監管要求，尤其在數據安全、個人信息保護、關基保護、供應鏈安全等方面仍存在較多缺失；在這些新業務、新技術面前應該如何建立聯防聯控機制，也是我們要思考的一個問題．面對新業務、新技術引發的新威脅不能全面有效應對，新型信息基礎設施安全能力“底子薄”，舊的安全能力在技術、新業態環境不能滿足數字化轉型發展需要；網絡人才隊伍不夠健全，高端技術人才匱乏，缺乏網絡安全架構設計、攻防分析、情報管理等方面的高端人才，安全資源投入仍需加大．

４下一步工作建議

１）利用風險管理指標，優化安全運營能力．按照“統一領導、分級負責、綜合協調、各司其職”的應急管理原則，建立總部和二級單位２級應急指揮體系，成立中國石化網絡安全應急響應中心專職隊伍，依托網絡安全態勢感知平臺開展風險監控、事件處置、分析溯源、通報預警、新技術研究、考核評價等一系列平戰雙模式下網絡安全風險管控工作，利用信息安全風險指數進行網絡安全態勢及網絡安全運營能力持續評估，對網絡安全風險進行有效防控．

２）建立安全生態，提升風險主動發現能力．進一步提升網絡安全監測及控制點的覆蓋率、有效率，加強云安全、容器安全技術實踐，夯實網絡安全技術防控基礎；借助安全技防體系建設逐步實現隱蔽通道監控、擬態防護、自動化溯源取證等最新技術內部落地，持續收集安全運營中捕獲的最新攻擊方法與技術，開展針對性技術研究與輸出，結合以監管部門、專業情報廠商、內部自研情報三方共同形成威脅情報集合，持續提高針對組織級、國家級敵對勢力的實戰對抗能力［３］．建設“中國石化網絡安全社區”，提供內部漏洞提報平臺渠道，提高內部漏洞修復、風險消除及時性．并通過線上交流與眾測任務下發，激發內部網絡安全人才的學習熱情，擴充內部“紅藍軍”隊伍．

３）加強數據全生命周期安全防護．針對數據安全新業態方面，我們要全面提升數據安全頂層規劃和設計能力，遵從關基保護、數據安全法、個人信息保護法等法律規范，持續開展數據安全治理工作，全面落實《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》以及相關條例要求，建立完善涵蓋管理辦法、管理流程、標準規范、工作手冊４個層面的數據安全標準規范體系，建設例行化的數據資產盤點機制、數據分級分類機制，打造集團數據安全治理體系；啟動場景化的數據安全防護和監測體系建設，推進零信任架構、數據安全態勢感知等新安全技術應用建設．

４）針對關鍵信息基礎設施，建立有針對性的保護工作．深入貫徹《關鍵信息基礎設施安全保護條例》，以保護關鍵業務和運行安全為重點，構建健全關鍵信息基礎設施安全保護體系；以風險管理為導向，形成動態的安全防護機制，增強保護彈性，有效應對安全風險威脅；建立專項督辦制度，加大監督檢查和責任追究，實現威脅信息共享和協同應對，及時發現隱患，修補漏洞，做到關口前移，防患于未然，確保關鍵信息基礎設施安全穩定運行［４］．

５）建立全面的供應鏈安全管控體系．落實《網絡安全審查辦法》《關鍵信息基礎設施安全保護條例》等國家法律法規標準中供應鏈安全管控要求，建立供應鏈安全管理相關制度，開展供應商管理、安全審查、產品及服務的安全質量管控，提升供應鏈的完整性、可用性、保密性和可控性．

６）加快網絡安全人才培養．建立網絡安全教育培訓計劃，對網絡安全主管領導、網絡安全管理和技術專業人員開展差異化的培訓和考核，促進不同類型人員網絡安全技能和經驗的提升．引進補充攻防實戰能力的專業人才，建立梯隊培育模式［５］，用好攻防演練實訓靶場，開展內部漏洞提交平臺建設，引導內部“紅藍軍”有序開展交流、對抗，培育網絡安全生態，激發干事創業的活力和動力．

５總結

為應對愈發嚴峻的網絡安全形勢，中國石化堅持以攻促防的風險防范和安全運營思路，通過每年的實戰化演習、重點時期保障措施等，結合現有網絡安全管理和技術手段，建立了面向攻防實戰的網絡安全防護體系［６］和風險防范的聯防聯控機制．確保風險隱患及時準確處置，防止威脅蔓延擴散，切實提高了網絡安全防護水平，取得了實際效果．然而，網絡安全本身就是一個動態變化的過程，針對未來的不可預見性，將會出現一些新技術、新架構和新要求，只有積極備戰，及時調整網絡安全防護體系，才能及時處置隨時有可能出現的網絡安全威脅．

參考文獻

［１］曾弘瑞．三同步安全管理新思路［Ｊ］．信息化建設，２０１２，１１（１０）：１２１５

［２］周培培，趙永明．新時代我國網絡意識形態安全治理的實踐理路［Ｊ］．南昌師范學院學報，２０２２，３（５）：２４２６

［３］馬曉亮．網絡安全攻防實戰技術與效果分析［Ｊ］．信息安全研究，２０２１，７（８）：７６３７７２

［４］王超，趙英明，陳勛，等．鐵路關鍵信息基礎設施安全防護框架設計［Ｊ］．鐵路計算機應用，２０２２，５（３）：２５３８

［５］王鵑．網絡空間安全學科人才培養探索與［Ｊ］．信息安全研究，２０１６，２（１１）：１０４９１０５０

［６］李丁夏．面向攻防實戰的網絡安全防護體系［Ｊ］．網絡安全技術與應用，２０２２，３（５）：２５３８

作者:顧磊單位:中國石油化工集團有限公司信息和數字化管理部