前面我們將安全設(shè)計與實施看了一遍，接下來我們則進入安全運行與維護，如圖所示進入第四層左側(cè)部分安全運行與維護。有關(guān)右側(cè)部分應(yīng)急響應(yīng)與保障另文說明之，應(yīng)急這塊在《網(wǎng)絡(luò)安全法》中有第二十五條單獨進行規(guī)范，所以也是非常重要的一個工作。完成上個階段實施后，就進入運行和維護階段，這是網(wǎng)絡(luò)生命周期的工作常態(tài)。

　　該階段的目標是按照等級保護對象安全運行與維護是等級保護實施過程中確保等級保護對象正常運行的必要環(huán)節(jié)，涉及的內(nèi)容較多，包括安全運行與維護機構(gòu)和安全運行與維護機制的建立，環(huán)境、資產(chǎn)、設(shè)備、介質(zhì)的管理，網(wǎng)絡(luò)、系統(tǒng)的管理，密碼、密鑰的管理，運行、變更的管理，安全狀態(tài)監(jiān)控和安全事件處置，安全審計和安全檢查等內(nèi)容。圖片

　　這些內(nèi)容在《網(wǎng)絡(luò)安全等級保護基本要求》中，涉及從技術(shù)到管理眾多測評項。我一再說，落實等級保護工作從規(guī)劃已經(jīng)開始，而不是測評才開始。從規(guī)劃開始就遵循“三同步”原則叫安全建設(shè)；測評完成后，發(fā)現(xiàn)的安全問題叫安全整改。等級測評后發(fā)現(xiàn)的有很多問題是在安全規(guī)劃之初因?qū)Π踩ぷ髁私獠簧钊氩蝗?，遺留問題。安全建設(shè)過程中未考慮周全的地方，在安全整改過程中也是一個補救過程。安全建設(shè)整改最終目的是提升網(wǎng)絡(luò)安全綜合防護水平和能力。

　　做過網(wǎng)絡(luò)安全等級保護測評的朋友，對安全運行與維護應(yīng)該比較熟悉了。對于扎實開展了規(guī)劃設(shè)計實施的朋友其實對這塊應(yīng)該更熟悉。這涉及到運行管控、變更管控、狀態(tài)監(jiān)控、服務(wù)商管控、等級測評、檢查改進等幾部分內(nèi)容。接下來我們將展開探討：

　　第一階段：運行管理和控制

　　該階段又可以由運行管理職責(zé)確定、運行管理過程控制兩部分內(nèi)容構(gòu)成。

　　運行管理職責(zé)確定是需要輸入安全詳細設(shè)計方案，安全組織機構(gòu)表，根據(jù)劃分運行管理角色、授予管理權(quán)限、定義人員職責(zé)，通過對運行管理活動或任務(wù)的角色劃分，并授予相應(yīng)的管理權(quán)限，來達到確定安全運行管理的具體人員和職責(zé)的目標。應(yīng)至少劃分為系統(tǒng)管理員、安全管理員和安全審計員。最終輸出運行管理人員角色和職責(zé)表。

　　劃分運行管理角色應(yīng)注意：根據(jù)管理制度和實際運行管理需求，劃分運行管理需要的角色及用戶，并由系統(tǒng)管理員創(chuàng)建角色及用戶。越高安全保護等級的運行管理角色劃分越細。

　　授予管理權(quán)限應(yīng)注意：根據(jù)管理制度和實際運行管理需要，由安全管理員授予每一個運行管理角色及用戶不同的管理權(quán)限。安全保護等級越高的系統(tǒng)管理權(quán)限的劃分也越細。

　　定義人員職責(zé)應(yīng)注意：根據(jù)不同的安全保護等級要求的控制粒度，分析所需要運行管理控制內(nèi)容，并以此定義不同運行管理角色的職責(zé)。由安全審計員對系統(tǒng)管理員、安全管理員操作日志進行審計。

　　運行管理過程控制是需要輸入運行管理需求，運行管理人員角色和職責(zé)表。通過制定運行管理操作規(guī)程，確定運行管理人員的操作目的、操作內(nèi)容、操作時間和地點、操作方法和流程等，并進行操作過程記錄，確保對操作過程進行控制。最終輸出各類運行管理操作規(guī)程。

　　建立操作規(guī)程應(yīng)注意：將操作過程或流程規(guī)范化，并形成指導(dǎo)運行管理人員工作的操作規(guī)程，操作規(guī)程作為正式文件處理。操作規(guī)程應(yīng)至少覆蓋運維人員、使用用戶等的各類操作，如：移動介質(zhì)使用規(guī)程、終端使用規(guī)程、數(shù)據(jù)庫操作規(guī)程等。安全保護等級越高的系統(tǒng)，對更多的操作要形成操作規(guī)程文件。

　　操作過程記錄應(yīng)注意：對運行管理人員按照操作規(guī)程執(zhí)行的操作過程形成相關(guān)的記錄文件，可能是日志文件，記錄操作的時間和人員、正常或異常等信息。

　　這個階段的工作是由運營、使用單位完成。

　　第二階段：變更管理和控制

　　該階段又可以由變更需求和影響分析、變更過程控制兩部分內(nèi)容構(gòu)成。

　　變更需求和影響分析是需要輸入變更需求，通過對運行與維護過程中的變更需求和變更影響的分析，來確定變更的類別，計劃后續(xù)的活動內(nèi)容。最終形成變更方案。

　　變更需求分析應(yīng)注意：對運行與維護過程中的變更需求進行分析，確定變更的內(nèi)容、變更資源需求和變更范圍等，判斷變更的必要性和可行性。

　　變更影響分析應(yīng)注意：對運行與維護過程中的變更可能引起的后果進行判斷和分析、確定可能產(chǎn)生的影響大小、確定進行變更的先決條件和后續(xù)活動等。

　　明確變更的類別應(yīng)注意：確定等級保護對象是局部調(diào)整還是重大變更。如果是由等級保護對象類型發(fā)生變化、承載的信息資產(chǎn)類型發(fā)生變化、等級保護對象服務(wù)范圍發(fā)生變化和業(yè)務(wù)處理自動化程度發(fā)生變化等原因引起等級保護對象安全保護等級發(fā)生變化的重大變更，則需要重新確定等級保護對象安全保護等級，返回到等級保護實施過程的等級保護對象定級階段。如果是局部調(diào)整，則確定需要配套進行的其他工作內(nèi)容。

　　制定變更方案則需要依據(jù)上面變更需求分析、變更影響分析、明確變更的類別進行方案開發(fā)。

　　變更過程控制是需要輸入變更方案，通過變更內(nèi)容審核和審批、建立變更過程日志、形成變更結(jié)果報告，確保運行與維護過程中的變更實施過程受到控制，各項變化內(nèi)容進行記錄，保證變更對業(yè)務(wù)的影響最小。最終輸出并更結(jié)果報告。

　　變更內(nèi)容審核和審批應(yīng)注意：對變更目的、內(nèi)容、影響、時間和地點以及人員權(quán)限進行審核，以確保變更合理、科學(xué)的實施。按照機構(gòu)建立的審批流程對變更方案進行審批。

　　建立變更過程日志應(yīng)注意：按照批準的變更方案實施變更，對變更過程各類系統(tǒng)狀態(tài)、各種操作活動等建立操作記錄或日志。

　　形成變更結(jié)果報告應(yīng)注意：收集變更過程的各類相關(guān)文檔，整理、分析和總結(jié)各類數(shù)據(jù)，形成變更結(jié)果報告，并歸檔保存。

　　這個階段的工作是由運營、使用單位完成。

　　第三階段：安全狀態(tài)監(jiān)控

　　該階段又可以由監(jiān)控對象確定、監(jiān)控對象狀態(tài)信息收集、監(jiān)控狀態(tài)分析和報告三部分內(nèi)容構(gòu)成。

　　監(jiān)控對象確定需要輸入安全詳細設(shè)計方案，系統(tǒng)驗收報告等，通過對安全關(guān)鍵點分析、形成監(jiān)控對象列表，確定可能會對等級保護對象安全造成影響的因素，即確定安全狀態(tài)監(jiān)控的對象。最終輸出監(jiān)控列表。

　　安全關(guān)鍵點分析應(yīng)注意：對影響系統(tǒng)、業(yè)務(wù)安全性的關(guān)鍵要素進行分析，確定安全狀態(tài)監(jiān)控的對象，這些對象可能包括防火墻、人侵檢測、防病毒、核心路由器、核心交換機、主要通信線路、關(guān)鍵服務(wù)器或客戶端等系統(tǒng)范圍內(nèi)的對象；也可能包括安全標準和法律法規(guī)等外部對象。

　　形成監(jiān)控對象列表應(yīng)注意：根據(jù)確定的監(jiān)控對象，分析監(jiān)控的必要性和可行性、監(jiān)控的開銷和成本等因素，形成監(jiān)控對象列表。

　　監(jiān)控對象狀態(tài)信息收集需要輸入監(jiān)控對象列表，通過選擇監(jiān)控工具、狀態(tài)信息收集，收集安全狀態(tài)監(jiān)控的信息，識別和記錄入侵行為，對等級保護對象的安全狀態(tài)進行監(jiān)控。最終輸出安全狀態(tài)信息。

　　選擇監(jiān)控工具應(yīng)注意：根據(jù)監(jiān)控對象的特點、監(jiān)控管理的具體要求、監(jiān)控工具的功能、性能特點等，選擇合適的監(jiān)控工具。

　　監(jiān)控工具也可能不是自動化的工具，而只是由各類人員構(gòu)成的，遵循一定規(guī)則進行操作的組織或者是兩者的綜合。

　　狀態(tài)信息收集應(yīng)注意：收集來自監(jiān)控對象的各類狀態(tài)信息，可能包括網(wǎng)絡(luò)流量、日志信息、安全報警和性能狀況等；或者是來自外部環(huán)境的安全標準和法律法規(guī)的變更信息。

　　監(jiān)控狀態(tài)分析和報告需要輸人安全狀態(tài)信息，通過對安全狀態(tài)信息進行分析，及時發(fā)現(xiàn)安全事件或安全變更需求，并對其影響程度和范圍進行分析，形成安全狀態(tài)結(jié)果分析報告。最終輸出安全狀態(tài)分析報告。

　　狀態(tài)分析應(yīng)注意：對安全狀態(tài)信息進行分析，及時發(fā)現(xiàn)險情、隱患或安全事件，并記錄這些安全事件，分析其發(fā)展趨勢。

　　影響分析應(yīng)注意：根據(jù)對安全狀況變化的分析，分析這些變化對安全的影響，通過判斷他們的影響決定是否有必要作出響應(yīng)。

　　形成安全狀態(tài)分析報告應(yīng)注意：根據(jù)安全狀態(tài)分析和影響分析的結(jié)果，形成安全狀態(tài)分析報告，上報安全事件或提出變更需求。

　　這個階段的工作是由運營、使用單位完成。

　　第四階段：安全自查和持續(xù)改進

　　該階段又可以由安全狀態(tài)自查、改進方案制定、安全改進實施三部分內(nèi)容構(gòu)成。

　　安全狀態(tài)自查需要輸入等級保護對象詳細描述文件、變更結(jié)果報告、安全狀態(tài)分析報告，通過對等級保護對象的安全狀態(tài)進行自查，為等級保護對象的持續(xù)改進過程提供依據(jù)和建議，確保等級保護對象的安全保護能力滿足相應(yīng)等級安全要求。安全自查報告。最終輸出安全自查報告。這點需要給大家強調(diào)一下，其實公安機關(guān)每年都有安全監(jiān)督檢查，其前期階段也是需要各單位進行安全自查，在這個過程中可以把工作做在平時，以便更好的應(yīng)對公安機關(guān)要求以及自查后的臨檢工作。

　　確定自查對象和自查方法應(yīng)注意：確定檢查的對象和方法，確定本次安全自查的范圍及安全自查工具、調(diào)研表格等。

　　制定自查計劃和自查方案應(yīng)注意：確定自查工作的角色和職責(zé)，確定自查工作的方法，成立安全自查工作組。制定安全自查工作計劃和安全自查方案，說明安全自查的范圍、對象、工作方法等，準備安全自查需要的各類表單和工具。

　　安全自查實施應(yīng)注意：根據(jù)安全自查計劃，通過詢問、檢查和測試等多種手段，進行安全狀況自查，記錄各種自查活動的結(jié)果數(shù)據(jù)，分析安全措施的有效性、安全事件產(chǎn)生的可能性和定級對象的實際改進需求等。

　　安全自查結(jié)果和報告應(yīng)注意：總結(jié)安全自查的結(jié)果，提出改進的建議，并產(chǎn)生安全自查報告。將安全自查過程的各類文檔、資料歸檔保存。

　　改進方案制定需要輸入安全自查報告，依據(jù)安全檢查的結(jié)果，調(diào)整等級保護對象的安全狀態(tài)，保證等級保護對象安全防護的有效性。最終輸出安全改進方案。

　　在這里，再多說一句。很多單位在等級保護測評結(jié)束后，公安機關(guān)要求限期整改，感覺到疑惑。網(wǎng)絡(luò)安全工作開展的目標和態(tài)度如果正確了，其實這點理論上沒有什么可以感覺疑惑的，網(wǎng)絡(luò)安全最終的目標或目的是達到整體安全。工作目標和目的在，與公安機關(guān)要求理論上沒關(guān)系，而是應(yīng)該主動完成整改工作。不然，你的安全工作做得是什么呢？難道只是別人給你評一個分數(shù)嗎？這只是面子問題，沒有解決里子存在的問題。

　　安全改進的立項應(yīng)注意：根據(jù)安全檢查結(jié)果確定安全改進的策略，如果涉及安全保護等級的變化，則應(yīng)進入安全保護等級保護實施的一個新的循環(huán)過程；如果安全保護等級不變，但是調(diào)整內(nèi)容較多、涉及范圍較大，則應(yīng)對安全改進項目進行立項，重新開始安全實施/實現(xiàn)過程；如果調(diào)整內(nèi)容較小，則可以直接進行安全改進實施。

　　制定安全改進方案應(yīng)注意：確定安全改進的工作方法、工作內(nèi)容、人員分工、時間計劃等，制定安全改進方案。安全改進方案只適用于小范圍內(nèi)的安全改進，如安全加固、配置加強、系統(tǒng)補丁等。

　　安全改進實施需要輸入安全改進方案，通過安全方案實施控制、安全措施測試與驗收、配套技術(shù)文件和管理制度的修訂，保證按照安全改進方案實現(xiàn)各項補充安全措施，并確保原有的技術(shù)措施和管理措施與各項補充的安全措施一致有效地工作。最終輸出測試或驗收報告。按照安全改進方案實施和落實各項補充的安全措施后，要調(diào)整和修訂各類相關(guān)的技術(shù)文件和管理制度，保證原有體系完整性和一致性。

　　這個階段的工作是由運營、使用單位完成。

　　第五階段：服務(wù)商管理和監(jiān)控

　　該階段又可以由服務(wù)商選擇、服務(wù)商管理、服務(wù)商監(jiān)控三部分內(nèi)容構(gòu)成。

　　服務(wù)商選擇需要輸入安全詳細設(shè)計方案，實施方案等，通過對安全服務(wù)商服務(wù)能力分析、網(wǎng)絡(luò)安全風(fēng)險分析、服務(wù)內(nèi)容互斥分析，來確定符合國家規(guī)定或行業(yè)規(guī)定的設(shè)計、測評、建設(shè)資質(zhì)的服務(wù)商，為后續(xù)的管理和監(jiān)控奠定基礎(chǔ)。最終輸出已選擇的服務(wù)商，安全服務(wù)方案。這方面屬于我們常規(guī)中說的供應(yīng)鏈安全，作為網(wǎng)絡(luò)運營、使用單位應(yīng)該慎重選擇安全服務(wù)機構(gòu)，以免為單位引入新風(fēng)險。

　　服務(wù)能力分析應(yīng)注意：從影響系統(tǒng)、業(yè)務(wù)安全性等關(guān)鍵要素層面分析服務(wù)商服務(wù)能力，根據(jù)國家招投標相關(guān)要求，選擇最佳服務(wù)商，這些要素可能包括服務(wù)商的基本情況、企業(yè)資質(zhì)和人員資質(zhì)、信譽、技術(shù)力量和行業(yè)經(jīng)驗、內(nèi)部控制和管理能力、持續(xù)經(jīng)營狀況、服務(wù)水平及人員配備情況等。

　　網(wǎng)絡(luò)安全風(fēng)險分析應(yīng)注意：在選擇服務(wù)商時，需要識別服務(wù)商的網(wǎng)絡(luò)安全風(fēng)險，防止高風(fēng)險、不合格服務(wù)商承擔(dān)安全運行維護項目，網(wǎng)絡(luò)安全風(fēng)險點包括但不限于以下幾點：

　　——服務(wù)商可能的泄密行為；

　　——服務(wù)商服務(wù)能力及行業(yè)經(jīng)驗；

　　——物理訪問、信息資料丟失、系統(tǒng)越權(quán)訪問、誤操作等；

　　——服務(wù)商企業(yè)資質(zhì)、人員資質(zhì)及網(wǎng)絡(luò)安全口碑、業(yè)績；

　　——服務(wù)商以往服務(wù)項目案例。

　　服務(wù)內(nèi)容互斥分析應(yīng)注意：在選擇服務(wù)商時，需要識別服務(wù)商提供的服務(wù)與之前或后續(xù)提供的服務(wù)之間沒有互斥性。承擔(dān)等級保護對象安全建設(shè)服務(wù)的機構(gòu)應(yīng)具備等級保護安全建設(shè)服務(wù)機構(gòu)資質(zhì)。承擔(dān)等級測評服務(wù)的機構(gòu)具備等級測評機構(gòu)資質(zhì)。

　　服務(wù)商管理需要輸入已選擇的服務(wù)商，安全服務(wù)方案，通過人員管理、服務(wù)管理，從而對服務(wù)商從多維度進行切實有效管理，使得服務(wù)商在約定范圍內(nèi)開展服務(wù)工作。

　　人員管理應(yīng)注意：為確保服務(wù)商服務(wù)工作符合約定要求，使用單位對服務(wù)人員的管理措施應(yīng)至少包括但不限于：

　　——使用單位需制定服務(wù)商人員管理規(guī)定，包含但不限于上崗資質(zhì)審核機制、保密協(xié)議、品行管理、服務(wù)技能考核、行為管理、系統(tǒng)權(quán)限管理、口令管理等。

　　——使用單位負責(zé)對服務(wù)商核心人員的確定和變更進行備案。

　　——服務(wù)商人員在為使用單位提供服務(wù)的過程中，嚴格遵守使用單位的各項規(guī)定、管理要求，服從使用單位安排。

　　——如因服務(wù)商人員原因，給使用單位或第三方造成人員人身傷害或財產(chǎn)損失的，服務(wù)商應(yīng)承擔(dān)賠償責(zé)任。

　　——使用單位督促服務(wù)商對服務(wù)人員開展培訓(xùn)及安全教育工作。

　　服務(wù)管理應(yīng)注意：為確保服務(wù)商服務(wù)工作符合約定要求，服務(wù)商應(yīng)滿足但不限于：

　　——服務(wù)商提供齊全進場相關(guān)資料（如企業(yè)資質(zhì)、人員資質(zhì)、人員名單、物資資料等），并接受使用單位的審核。

　　——服務(wù)商基本信息發(fā)生變更，如：法人、單位名稱、銀行賬戶等，應(yīng)提前通知使用單位。

　　——按照約定要求服務(wù)商提供各項服務(wù)，保質(zhì)保量完成服務(wù)目標；如因服務(wù)商未完成服務(wù)目標給使用單位造成損失的，應(yīng)予賠償。

　　——服務(wù)商確保所提供服務(wù)不存在任何侵犯第三方著作權(quán)、商標權(quán)、專利權(quán)等合法權(quán)益的情形；服務(wù)商保護好對服務(wù)過程中產(chǎn)生的研究成果及知識產(chǎn)權(quán)，未經(jīng)使用單位許可，服務(wù)商不得以任何形式向任何第三方轉(zhuǎn)讓權(quán)利義務(wù)。

　　——服務(wù)商提供項目驗收和考核的相關(guān)材料，配合使用單位組織開展項目結(jié)題驗收和考核工作。

　　——使用單位根據(jù)約定的售后服務(wù)內(nèi)容及標準，實時跟蹤服務(wù)商售后服務(wù)考核情況，作為后續(xù)服務(wù)商選擇參考。

　　服務(wù)商監(jiān)控需要輸入服務(wù)商日常服務(wù)記錄，安全服務(wù)方案，通過對服務(wù)商及其人員在服務(wù)過程中的行為進行有效監(jiān)控，若發(fā)現(xiàn)不合規(guī)行為，限時保質(zhì)整改，確保服務(wù)商服務(wù)工作持續(xù)、規(guī)范、高效。最終輸出服務(wù)商分析評價報告。

　　在選擇安全服務(wù)商過程中，需要注意包含但不限于以下注意事項：

　　——使用單位負責(zé)組織制定服務(wù)評審標準及辦法，并依據(jù)辦法對服務(wù)質(zhì)量進行評審；服務(wù)商應(yīng)接受使用單位對其提供服務(wù)情況進行的監(jiān)督和檢查，并應(yīng)及時按照使用單位要求對所提供的服務(wù)進行改進或調(diào)整，使服務(wù)質(zhì)量符合使用單位要求。

　　——使用單位對服務(wù)商日常工作進行指導(dǎo)，當(dāng)發(fā)現(xiàn)服務(wù)商工作中存在問題時，要求服務(wù)商及時糾正，因服務(wù)商原因（故意或過失）給使用單位造成損失的，服務(wù)商應(yīng)承擔(dān)全部賠償責(zé)任。

　　——使用單位監(jiān)管項目進展情況期間，對于重大情況服務(wù)商應(yīng)及時主動報告。

　　——使用單位負責(zé)對服務(wù)商人員定期進行考核評價，考核方式可采用日?？己?、季度考核和年度考核，也可采用適合使用單位的考核方式；如發(fā)生嚴重違反合作原則、傷害使用單位利益、影響服務(wù)質(zhì)量等行為，使用單位有權(quán)隨時向服務(wù)商提出人員撤換要求。

　　——服務(wù)過程中，服務(wù)商如因正當(dāng)理由需要調(diào)整、變更人員的，應(yīng)提前通知使用單位，做好工作交接，并獲得使用單位同意后方可進行。

　　這個階段工作主要由運營、使用單位，網(wǎng)絡(luò)安全服務(wù)機構(gòu)等共同完成。

　　第六個階段：等級測評

　　該階段需要輸入等級保護對象詳細描述文件、等級保護對象安全保護等級定級報告、系統(tǒng)驗收報告等文件，通過網(wǎng)絡(luò)安全等級測評機構(gòu)對已經(jīng)完成等級保護建設(shè)的等級保護對象定期進行等級測評，確保等級保護對象的安全保護措施符合相應(yīng)等級的安全要求。最終輸出安全等級測評報告，整改需求。所以測評結(jié)束之后測評報告必不可少，另外安全整改需求也是必須，整改工作也是本文第五階段持續(xù)改進所強調(diào)的內(nèi)容。

　　在此階段，網(wǎng)絡(luò)安全等級測評機構(gòu)依據(jù)有關(guān)等級保護對象安全保護等級測評的規(guī)范或標準對等級保護對象開展等級測評。運營、使用單位參考等級測評出具的安全等級測評報告，分析確定整改需求。

　　這個階段是現(xiàn)階段所有單位最熟知的一個階段，也就是很多行業(yè)有硬性指標，要求所謂“過等?！薄?/p>

　　這個階段工作主要由主管部門，運營、使用單位，網(wǎng)絡(luò)安全等級測評機構(gòu)等共同完成。