【清华五道口】金融保险网络安全合规技术白皮书（2022__58页_2mb

报告摘要

《金融保险网络安全合规技术白皮书（2022）》总结

核心内容概述

本白皮书系统阐述了金融保险行业网络安全合规工作的背景、政策法规、等级保护制度及实施路径，旨在为金融保险企业构建符合国家要求的数字安全体系，提升网络安全防护能力，确保数字化转型的顺利推进。

主要观点

网络安全形势严峻，攻击手段多样化，威胁日益复杂，网络安全已成为保障社会稳定、经济运行和人民生活的重要环节。
金融保险行业需在网络安全等级保护制度和关键信息基础设施保护条例的指导下，实施网络安全合规，以满足法律政策要求，避免违法风险。
数字化转型对网络安全提出了新挑战和新需求，推动网络安全产品与解决方案的持续迭代与创新。
智能化、主动防御、安全运营是未来网络安全领域的核心竞争力，需在这些方面加强技术应用。
网络安全等级保护制度是国家网络安全工作的基本制度，涵盖定级、备案、建设整改、等级测评和监督检查五大环节。

关键信息

1. 网络安全等级保护制度

定义：对网络、信息系统和数据进行分等级保护和监管，实现安全防护、响应与处置的标准化。
体系框架：包括国家政策、行业标准、实施流程和监管机制，强调对重点网络系统实施重点保护。
工作流程：
- 定级：由网络运营者拟定，专家评审，主管部门审核，公安机关最终审核。
- 备案：第二级及以上网络需在30日内完成备案，提交材料并获取备案证明。
- 建设整改：依据国家标准，开展差距分析和安全建设，包括技术、管理、产品部署。
- 等级测评：由持证测评机构执行，分为预测评和正式测评。
- 监督检查：公安机关对网络运营者进行执法检查，企业需进行年度自查。

2. 政策与标准体系

国家层面：
- 《网络安全法》、《数据安全法》、《个人信息保护法》等法律法规的出台，为网络安全提供了法律依据。
- 等级保护政策体系包括《计算机信息系统安全保护条例》、《信息安全等级保护管理办法》等。
- 等级保护标准体系包括《信息安全技术网络安全等级保护基本要求》、《等级保护实施指南》等。
行业层面：
- 银保监会发布多项政策文件，如《加强网络保险监管工作方案》、《互联网保险业务监管办法》等。
- 金融行业相关标准包括《金融行业网络安全等级保护实施指引》、《金融行业网络安全等级保护测评指南》等。

3. 等级保护实施方案

实施框架：围绕业务特性、安全需求和应用重点，构建安全、可靠、灵活、可持续改进的等级保护体系。
实施原则：
- 业务主导：以业务为核心，分析业务环境，明确安全需求。
- 业务影响最小化：在合规实施过程中尽量减少对业务的影响。
- 标准与实际结合：不照搬标准，结合实际情况制定实施方案。
- 保守秘密：在项目开始前签署保密协议，确保信息安全。
- 保护重点：关注关键业务、流程、资产和区域，有针对性地实施安全措施。
- 灵活实施：根据具体环境和业务需求，灵活调整等级保护实施方法。

4. 定级环节

定级要素：依据“受侵害客体”和“侵害程度”两个维度进行评估。
定级方法：
- 业务信息安全等级与系统服务安全等级分别评估，最终以较高者为定级结果。
- 定级矩阵表明确不同客体和侵害程度对应的安全等级。
定级流程：包括系统调研、定级报告编写、专家评审、主管部门核准、公安机关审核。
定级成果：《等级保护培训课程资料》、《网络系统基本调研表》、《定级报告》。

5. 备案环节

备案流程：准备材料、提交公安机关、审核、获取备案证明。
备案内容：包括系统信息、安全策略、安全措施等。
备案成果：《备案表》、《备案证明》及其他相关材料。

6. 建设整改环节

建设整改内容：
- 详细调研准备：包括调研计划书、表单和工具的准备。
- 现场调研实施：从技术层面和管理层面分别开展调研。
- 分析与报告编制：形成《网络系统调研差距分析报告》。
- 整改方案确定：由专家评审形成《网络系统等级保护安全建设方案-终稿》。
- 产品/策略/制度实施：采购安全产品、配置安全策略、编写管理制度。
建设整改成果：
- 《网络系统详细调研表》、《等级保护调研现场记录表》、《网络系统调研差距分析报告》、《漏洞扫描报告》、《渗透测试报告》、《网络系统等级保护安全建设方案-终稿》、《等级保护调研现场记录表-新版》。

7. 等级保护测评环节

测评内容：涵盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理十个层面。
测评指标：
- 技术要求：二级（134项）、三级（210项）、四级（227项）。
- 管理要求：二级、三级、四级分别涉及5、6、10个管理单元。
测评流程：
- 测评准备阶段：组建测评项目组，编制项目计划书，准备测评工具和表单。
- 方案编制阶段：确定测评对象、测评指标、测试路径和测评内容。
- 现场测评阶段：对技术与管理层面分别进行测评，记录结果。
- 分析与报告编制阶段：分析测评结果，形成《等级保护测评实施方案》、《等级保护问题清单》和《测评报告》。
测评方法：
- 工具测试：利用漏洞扫描、渗透测试等工具进行安全检查。
- 配置检查：人工核查系统配置是否符合标准。
- 人员访谈：了解系统相关人员的安全意识和操作行为。
- 文档审查：检查安全管理制度、操作规程等文档的完整性与一致性。
- 实地查看：通过现场观察，评估系统运行和管理情况。

8. 测评辅助环节

辅助测评内容：
- 预测评辅助：准备测评材料，记录问题并提出整改建议。
- 小幅度整改：根据预测评结果进行少量整改。
- 正式测评辅助：协助解决测评过程中的专业问题。
- 《测评报告》与《备案证明》进度跟进。
辅助测评成果：
- 《预测评问题及整改建议》、《测评报告》、《备案证明》。

9. 运行与检查环节

检查内容：
- 包括网安部门、行业主管部门和上级单位的检查。
- 企业需进行自查，提交《网络系统等级保护自查报告》。
检查成果：
- 《网络系统等级保护自查报告》、技术与管理核查、其他临时所需材料。

10. 其他安全运维工作

定期漏洞扫描：
- 每季度进行一次，检查服务器、网络设备、安全设备和应用系统的漏洞。
- 结合工具与人工方式，确保全面发现安全风险。
定期渗透测试：
- 每半年进行一次，模拟黑客攻击，验证系统安全性。
- 需要客户书面授权和监督，确保测试可控。
应急响应：
- 提供7×24小时响应服务，包括远程和本地响应。
- 2小时内响应并提交处理简报，确保系统安全。
安全加固：
- 每半年开展一次，提升系统抵御攻击的能力。
- 包括补丁更新、账号口令策略、权限管理、日志审核、配置优化等。
安全培训：
- 信息安全意识培训：面向非技术人员，提升安全认知。
- 信息安全技术培训：面向技术人员，提升系统安全配置与管理能力。
- 信息安全产品培训：介绍安全产品原理、部署与使用方法。