等保2.0正式發布，如何做到標準合規？

2019-05-16 15:48    來源：廠商稿 　作者: 廠商動態　編輯:
0購買

     等級保護制度是我國在網絡安全領域的基本制度、基本國策，是國家網絡安全意志的體現。《網絡安全法》出台後，等級保護制度更是提升到了法律層面，等保2.0在1.0的基礎上，更加註重全方位主動防禦、動態防禦、整體防控和精準防護，除了基本要求外，還增加了對雲計算、移動互聯、物聯網、工業控制和大數據等對象全覆蓋。等保2.0標準的發布，對加強中國網絡安全保障工作，提升網絡安全保護能力具有重要意義。

從等保基本要求的結構來看，從等保1.0到等保2.0試行稿，再到等保2.0最新稿，變化過程如下：

 

等保2.0充分體現了“一个中心三重防禦“的思想，一个中心指“安全管理中心”，三重防禦指“安全計算環境、安全區域邊界、安全網絡通信”，同時等保2.0強化可信計算安全技術要求的使用。

 

從控制項的變化來看，等保2.0更加精簡，但實質上內涵更加豐富完善。

等保2.0第三級安全要求結構：

 

為幫助大家更好地理解等保2.0的變化，以等保三級為例，以下是1.0到2.0各控制點變化情況（紅色字體為新增內容、綠色字體為控制點名稱做了變化、灰色字體為已刪除控制點）。

在各類變化當中，特別值得關注的一個變化是等保二級以上，從1.0的管理制度中把“安全管理中心”獨立出來進行要求，包括“系統管理、審計管理、安全管理、集中管控“等，這是為了滿足等保2.0的核心變化——從被動防禦轉變為主動防禦、動態防禦。完善的網絡安全分析能力、未知威脅的檢測能力將成為等保2.0的關鍵需求。部署安全設備但不知道是否真的安全、不知道發生什麼安全問題、不知道如何處置安全的“安全三不知”將成為歷史。

   銳捷網絡近幾年陸續推出的大數據安全平台RG-BDS、動態防禦系統RG-DDP、沙箱RG-Sandbox、雲端安服中心等產品能極大地加強整網的“主動安全分析能力”，及時掌握網絡安全狀況，對層出不窮的“未知威脅與突發威脅”起到關鍵的檢測和防禦作用.這些產品和其它安全產品、網絡產品等一起結合AI、大數據、雲計算等技術構築了銳捷網絡的“動態安全”體系架構，為用戶提供一個具備動態響應、持續進化的符合等保2.0標準的整網安全保障體系。

 

,
網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

智慧手機時代的來臨，RWD網頁設計已成為網頁設計推薦首選

想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計

帶您來看台北網站建置，台北網頁設計，各種案例分享

廣告預算用在刀口上，網站設計公司幫您達到更多曝光效益

等保2.0正式發布，如何做到標準合規？

華為智能安防，過去三個月做了什麼？

2019-05-30 23:29    來源：廠商稿 　作者: 廠商動態　編輯:
0購買

　　對於經常出差的我來說，總會遇到各種囧事。記得上個月，當我到達重慶江北機場，順着空氣中的火鍋味欣喜地到達酒店時，瞬間我就懵了：我例行開密碼時，發現行李箱打不開!仔細一看，眼前行李箱不是我的，雖然外觀和我的一模一樣。

　　已是半夜，我依然心急火燎地去了機場派出所，隨後按照值班民警給出的流程，先去旅客服務中心調監控。至今還記得在看視頻的一幕幕，當從不同方位和角度看到拿着我行李箱的老兄從容地走出航站樓，我還是深吸一口氣：這位老兄沒有轉機。

　　之後重慶機場派出所的值班民警很給力，依照監控信息開始找線索，並在次日上午10點就聯繫到了拿錯箱子的那位老兄，當時的我百感交集，如果有兩面錦旗，一面送給盡心儘力的值班民警，另一面就要送給重慶機場的智能安防系統。

　　如今，無論是專業人士還是普通的老百姓，都能夠感受到智能安防帶來的便捷，比如智能安防系統能自動對違法行為進行識別(哪怕是初步的篩選)，就可以大大地提高對違法行為的響應時間。

　　對於我們普通老百姓而言，當然就是更安全、更便捷的生活：你會發現你的快遞不會失蹤，到得也更快;生活中的不文明行為會更少;你的家變得更加安心，哪怕是你不在的時候。

　　隨着安防與AI、網絡技術的不斷結合，安防市場由注重密度、廣度、清晰度向智能化升級，我們可以進而再暢想下，在智能化，雲化的時代下，什麼樣的安防系統讓我們的城市和企業更加智慧安全?

　　不妨看華為的戰略的和做法，華為提出的理念是“全棧雲、全智能、全場景”的智能安防，在產品和核心技術上，通過前瞻的設計幫助安防客戶向智能化演進;在市場、渠道建設和生態構建上，從2月到5月，華為在全國各地舉行了主題為“輕雲直上 視界大開”智能安防新品發布暨渠道專場招募會近20場，覆蓋了北京、南京、杭州、福州、四川、廣州等重點省會城市。華為用先進的技術能力，優質健康的政策吸引更多生態夥伴共同推進安防產業向智能演進。

　　用前瞻解耦架構 快速精準出擊

　　從規模來看，安防行業已經成為在全球範圍內超過200億美金，中國市場超過500億人民幣的大市場，同時，這個市場仍以年均12.4%的增速持續增長。

　　作為剛需，安防廣泛應用於平安城市、智能交通、智能樓宇、環保、金融、醫療等行業。據中安協發布的《中國安防行業“十三五”(2016-2020年)發展規劃》指出，“十三五”期間，安防行業將向規模化、自動化、智能化轉型升級，且到2020年，安防企業總收入將達到8000億元左右，年增長率達10%以上。

　　從產業發展來看，傳統安防主要聚焦於硬件，產品的耦合性高，靈活性不足，後期的更新和運維成本高昂，而且當硬件發展到一定階段后，真正決定用戶體驗的是內部軟件。

　　傳統的安防系統，存在“建而不聯、聯而不用、用而不深”等現象，現有業務為煙囪式架構，無法靈活適配軟、硬件需求，大量社會價值圖像信息尚未有效整合共享，深層應用較少。

　　在“看得廣、看得遠、看得清”的基礎上，智能安防要滿足客戶“看得懂”的需求，在海量的視頻數據下，提升有效視頻信息的搜索效率，對視頻數據實施有效的挖掘和分析才是重點。

　　在智能化進程中，華為智能安防產品線成為華為公司戰略的主要方向之一，依託多年在視頻解碼算法、網絡傳輸、雲存儲及大數據智能分析方面的技術積累，華為推出全系列智能安防產品，率先實現了架構的開放解耦，並搭載業界領先的AI芯片，用超大算力支撐架構開放帶來的需求變化，使得產品可演進、可升級。

　　在技術上，視頻安防也成為華為人工智能最先進應用、業務場景最明確的領域，也是同時匯聚雲計算、大數據、AI的技術聖地，使得智能安防不僅會充分釋放原有市場需求，並且也將再度拓寬安防市場空間。

　　向全智能演進 露出高手潛質

　　對於智能安防而言，首先要通過智能攝像機提取出有效數據，華為智能安防攝像機與以往的安防攝像機相比有很大不同，華為稱之為“軟件定義攝像機”。

　　實際上，軟件定義消除了傳統攝像機以硬件為核心而產生的應用痛點和局限性，加載了不同算法的軟件定義攝像機不僅可以實現不同的功能，最重要的是可以自主學習，藉助算法商店能夠在線升級;軟件定義攝像機可以實現靈活組網，具有社會屬性，實現互助式進化，即協同與算力共享。

　　另外，華為軟件定義智能攝像機支持夜間、運動中識別人臉、車輛等目標，可自動識別陰霾、雨霧等複雜天氣，滿足園區、醫院、社區等公共場所監控需要的同時，解決傳統安防系統視頻利用率低、數據不可控等問題。

　　從成都到廣州，在近20場發布會中，華為”五星”系列軟件定義攝像機贏得與會人員追捧，每一款產品都具有其獨特的產品優勢，搭載業界最強算力的AI芯片，具備按需定義、分層智能、持續演進的核心特性，賦予攝像機全新生命力。以華為“星像”為例，其每秒200張人臉/幀的計算量，可實現對人群密集區域的實時特徵充分提取、特徵比對等功能。

　　除了軟件定義攝像機這個先鋒隊之外，華為希望將智能推向全境。

　　為此華為發布視頻雲、智能數據平台和智能指揮平台等方面，為客戶提供更多、更自主的選擇。華為的視頻雲平台CloudIVS系列產品可實現視頻圖像接入、存儲轉發、視頻圖像分析、特徵檢索等功能。可實時特徵提取，實時比對，就近二次解析、特徵檢索，實現本地業務快速閉環，全雲共享，跨域協同。

　　未來，華為智能安防將投入千億級研發力量，集結華為在“聯接、存儲、雲計算、芯片、智能、安全”等各個領域最先進的技術，實現華為的獨特價值。

　　在我看來，依託首創“軟件定義攝像機(SDC)+智能視頻雲平台+智能大數據雲平台+智能指揮平台”新方案作支撐， 將數據貫穿端雲，將安全深入骨髓，打造出“全棧雲、全智能，全場景”智能安防解決方案助力客戶向智能演進。

　　用開放心態 做生態沃土

　　在這個“硬件為王，智能初入”的行業，只有擁有足夠的開放度和包容度才可能與時俱進，通過廣泛而強大的生態形成合力，華為希望構建平安城市，推動安防產業全面走向智能化。

　　第一，華為正構建開放的生態體系，期望1+1>2，把華為已有的優勢快速整合成能夠被最終用戶所需要的解決方案，給客戶更多空間和靈活度去按需定義應用場景。

　　無論是軟件定義攝像機的進化，還是視頻雲平台，華為不遺餘力地打造開放平台，邀請更多的合作夥伴實現方案和業務的互補，進一步推動可視化和智能化的實現。

　　第二，在活動中，“華為只做黑土地”的生態原則給了合作夥伴定心丸，華為智能安防渠道招募計劃及政策，同樣受到合作夥伴的一致認可，在近20場智能安防新品發布暨渠道招募，已有大規模渠道夥伴加入華為智能安防大家庭。

　　對於分銷合作夥伴來講，華為智能安防提供更優質更完善的解決方案，讓合作夥伴更快的匹配客戶需求，更好的服務客戶;對於ISV來說，華為立足於做好基礎的支撐平台，為各類合作夥伴提供充足養分和陽光，讓專業ISV的各類視頻應用在肥沃的黑土地上生根發芽，百花齊放，結出甜美誘人的果實。

　　今年3月初華為發布的“2019年合作夥伴產品銷售拓展激勵計劃”中，智能安防產品的激勵名額和總獎勵金額成為排頭兵。加入到華為智能安防生態體系中的夥伴，當單項目智能安防產品總金額和項目包含的攝像機數量滿足條件時，就有機會獲得頗為豐厚的項目激勵。

　　第三，明確清晰的邊界，是華為建設生態圈的承諾，客戶、夥伴、華為各有各的定位和價值，華為提供可靠、高效、端到端的平台，上面承載合作夥伴的各種應用，華為始終堅持與合作夥伴互為依存，打造“客戶+夥伴+華為”命運共同體。

　　立足開放、明晰邊界、營造生態圈口碑，讓越來越多的企業願意走進華為的生態圈，打造共贏、穩健的生態環境這也是未來華為智能安防後續渠道建設的重點方向。

　　總結來看，未來安防產業的走向可以概括為六個字——“預測、預警、預防”，圍繞這個目標，華為將解耦進行到底，將智能推向全境，將數據貫穿端雲，驅動着整個產業的平台架構、商業模式、用戶體驗、業務形態等各個方面產生顛覆性的變革。

　　與此同時，華為希望扮演好“黑土地”的角色，通過開放的生態以最適合的服務與產品，匹配用戶最迫切的需求，讓合作夥伴、客戶可以在這片精心培育的沃土上播種、耕耘，促進安防行業從“洞見”時代進入智能“預見”的時代。

　　【彩蛋】

　　5月30-31日，“2019華為智能安防生態聯盟同略會”在杭州千島湖召開，匯聚各路安防合作夥伴共同探討智能時代下安防生態戰略建設，領航千億藍海市場。

,
網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

如何讓商品強力曝光呢? 網頁設計公司幫您建置最吸引人的網站，提高曝光率!!

想要讓你的商品在網路上成為最夯、最多人討論的話題?

網頁設計公司推薦更多不同的設計風格，搶佔消費者視覺第一線

不管是台北網頁設計公司、台中網頁設計公司，全省皆有專員為您服務

想知道最厲害的台北網頁設計公司推薦、台中網頁設計公司推薦專業設計師”嚨底家”!!

華為智能安防，過去三個月做了什麼？

一文讀懂 | 等保標準演變史(1.0~2.0)

2019-05-14 16:22    原創 　作者: 山石網科　編輯:
0購買

　摘要：

　　在業界呼聲極高的等保2.0，於2019年5月13日正式發布。山石網科資深專家第一時間為您分析解讀，等保2.0發生了哪些重要變化?

　　進入等保2.0時代，我們應重點對雲計算、移動互聯、物聯網、工業控制以及大數據安全等進行全面安全防護，確保關鍵信息基礎設施安全。

隨着雲計算、移動互聯、大數據、物聯網、人工智能等新技術不斷湧現，計算機信息系統的概念已經不能涵蓋全部，特別是互聯網快速發展帶來大數據價值的凸顯。雲計算、大數據、工業控制系統、物聯網、移動互聯等新技術的不斷拓展已經成為產業結構升級的堅實基礎，而其中網絡和信息系統作為新興產業的承載者，構建起了整個經濟社會的神經中樞，保證其安全性不言而喻。

由於業務目標的不同、使用技術的不同、應用場景的不同等因素，不同的等級保護對象會以不同的形態出現，表現形式有基礎信息網絡、信息系統、雲計算平台、大數據平台、物聯網系統、工業控制系統等。形態不同的保護對象面臨的威脅有所不同，安全保護需求也會有所差異。現有的標準體系需要提升台階，去適應新技術的發展，等級保護的相關標準也需要跟上新技術的變化。“等保1.0”的標準體系在適用性、時效性、易用性、可操作性上需要進一步擴充和完善，因此“等保2.0“應運而生。

等級保護2.0安全框架

　　針對等級保護對象特點建立安全技術體系和安全管理體系，構建具備相應等級安全保護能力的網絡安全綜合防禦體系。應依據國家網絡安全等級保護政策和標準，開展組織管理、機制建設、安全規劃、通報預警、應急處置、態勢感知、能力建設、監督檢查、技術檢測、隊伍建設、教育培訓和經費保障等工作。

　　• 名稱的變化

首先安全的內涵由早期面向數據的信息安全，過度到面向信息系統的信息保障(信息系統安全)，並進一步演進為面向網絡空間的網絡安全。網絡安全(cybersecurity)以其更豐富的內涵逐步取待信息安全成為安全領域共識，《中華人民共和國網絡安全法》明確規定“國家實行網絡安全等級保護制度“，相關法律條文和標準也需保持一致性，“等保2.0“與時俱進的將原標準的”信息系統安全等級保護“改為”網絡安全等級保護“，例如《信息系統安全等級保護基本要求》改為《網絡安全等級保護基本要求》。

等保2.0對定級指南、基本要求、實施指南、測評過程指南、測評要求、設計技術要求等標準進行修訂和完善，以滿足新形勢下等級保護工作的需要，其中《信息安全技術 網絡安全等級保護測評要求》、《信息安全技術 網絡安全安全等級保護基本要求》、《信息安全技術 網絡安全等級保護安全設計要求》已於2019年5月10日發布，並將在2019年12月1日實施。

　　• 等級保護對象的演變

在開展網絡安全等級保護工作中應首先明確等級保護對象。

　等保1.0定義等級保護對象為：信息安全等級保護工作直接作用的具體信息和信息系統。隨着雲計算平台、物聯網、工業控制系統等新形態的等級保護對象不斷湧現，原定義內涵局限性日益顯現。

等保2.0定義等級保護對象為：包括基礎信息網絡、雲計算平台/系統、大數據應用/平台/資源、物聯網、工業控制系統和採用移動互聯技術的系統等。

　　• 內容的變化(以基本要求為例)

　等保1.0：安全要求

　　等保2.0：安全通用要求和安全擴展要求

• 安全通用要求

• 雲計算安全擴展要求

• 移動互聯安全擴展要求

• 物聯網安全擴展要求

• 工業控制系統安全擴展要求

等保2.0安全通用要求是普適性要求，是不管等級保護對象形態如何，必須滿足的要求;針對雲計算、移動互聯、物聯網和工業控制系統，除了滿足安全通用要求外，還需滿足的補充要求稱為安全擴展要求。

雲計算安全擴展要求針對雲計算的特點提出特殊保護要求。雲計算環境主要增加的內容包括“基礎設施的位置”、“虛擬化安全保護”、“鏡像和快照保護”、“雲服務商選擇”和“雲計算環境管理”等方面。

針對移動互聯環境主要增加的內容包括“無線接入點的物理位置”、“移動終端管控”、“移動應用管控”、“移動應用軟件採購”和“移動應用軟件開發”等方面。

物聯網安全擴展要求針對物聯網的特點提出特殊保護要求。對物聯網環境主要增加的內容包括“感知節點的物理防護”、“感知節點設備安全”、“感知網關節點設備安全”、“感知節點的管理”和“數據融合處理”等方面。

工業控制系統安全擴展要求針對工業控制系統的特點提出特殊保護要求。對工業控制系統主要增加的內容包括“室外控制設備防護”、“工業控制系統網絡架構安全”、“撥號使用控制”、“無線使用控制”和“控制設備安全”等方面。

　　• 控制措施分類結構的變化

以基本要求為例，充分體現一个中心，三重防禦的思想(和GB/T 25070保持一致，與設計要求融合)。

　　• 總結一下

1、等級保護的基本要求、測評要求和設計技術要求統一框架，構建“一个中心，三重防護“的體系框架;

2、通用安全要求+新型應用安全擴展要求，將雲計算、移動互聯、物聯網、工業控制系統等列入標準規範;

基於此，進入等保2.0時代，我們應重點對雲計算、移動互聯、物聯網、工業控制以及大數據安全等進行全面安全防護，確保關鍵信息基礎設施安全。

網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

自行創業 缺乏曝光? 下一步”網站設計“幫您第一時間規劃公司的門面形象

網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司，幫您輕鬆架站!

評比前十大台北網頁設計、台北網站設計公司知名案例作品心得分享

台北網頁設計公司這麼多，該如何挑選?? 網頁設計報價省錢懶人包”嚨底家”

一文讀懂 | 等保標準演變史(1.0~2.0)

Windows RDP服務蠕蟲級漏洞預警 堪比WannaCry

2019-05-15 16:30    原創 　作者: 高博　編輯:
0購買

北京時間5月15日，微軟發布了針對遠程桌面(RDP)服務遠程代碼執行漏洞CVE-2019-0708的修復補丁，該漏洞由於屬於預身份驗證且無需用戶交互，因此可以通過網絡蠕蟲方式被利用，與2017年爆發的WannaCry惡意軟件的傳播方式類似。攻擊者可利用該漏洞安裝程序、查看、更改或刪除數據、或者創建擁有完全用戶權限的新帳戶。360CERT(360網絡安全響應中心)第一時間確認漏洞為嚴重級別，建議用戶立即進行補丁更新。

本次微軟官方發布了5月安全更新補丁共修復了82個漏洞，其中Windows操作系統遠程桌面服務漏洞(CVE-2019-0708)威脅程度較高。據悉，該漏洞的危害堪比兩年前轟動全球的漏洞武器“永恆之藍”：攻擊者一旦成功觸發該漏洞，便可以在目標系統上執行任意代碼，受影響的系統包括Win xp，Win7等常用桌面系統和Windows 2003，Windows 2008，Windows 2008 R2等常用的服務器系統，影響廣泛。

此外，該漏洞的觸發無需任何用戶交互操作，這也就意味着，攻擊者可以在用戶不知情的狀態下，利用該漏洞製作類似於2017年席捲全球的WannaCry蠕蟲病毒，進行大規模傳播和破壞。

除了Windows 8和Windows 10之外，幾乎所有系統版本都沒能逃過該漏洞的影響。目前，微軟已經為Windows 7、Windows Server 2008 R2、Windows Server 2008提供了相關的安全更新。同時，也為已經停止支持的Windows 2003和Windows XP提供了修復程序(https://support.microsoft.com/zh-cn/help/4500705/customer-guidance-for-cve-2019-0708)。

對於此次微軟公布的高危漏洞，360安全衛士已經在第一時間為用戶推送補丁，用戶也可手動使用“漏洞修復”功能來安裝補丁。

沒有使用360安全衛士的用戶，win7和Server 2008可通過系統更新安裝補丁，停止支持的Windows 2003和Windows XP可通過https://support.microsoft.com/zh-cn/help/4500705/customer-guidance-for-cve-2019-0708 地址，下載安裝補丁。

如用戶無法及時更新補丁，可以通過禁用遠程桌面服務來進行緩解：在Windows 7, Windows Server 2008, and Windows Server 2008 R2上開啟Network Level Authentication (NLA)。

網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

智慧手機時代的來臨，RWD網頁設計已成為網頁設計推薦首選

想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計

帶您來看台北網站建置，台北網頁設計，各種案例分享

廣告預算用在刀口上，網站設計公司幫您達到更多曝光效益

Windows RDP服務蠕蟲級漏洞預警 堪比WannaCry

天融信與兆芯達成戰略合作 布局國產化網安產品技術創新

2019-05-16 17:51    原創 　作者: 佚名　編輯:
0購買

【IT168資訊】5月16日，天融信科技集團與上海兆芯集成電路有限公司戰略合作簽約儀式在天融信公司舉行，合作雙方將圍繞自主可控深入發展的思路，開展產研合作，主動作為，共同助推天融信兆芯芯片安全產品發展，對國家網絡安全事業的發展亦將起到積極的促進作用。

會上，天融信與兆芯正式簽署戰略合作協議，雙方將基於各自在不同領域所擁有的資源優勢達成品質化戰略合作，在技術創新、產品研發、平台建設、科技交流等方面展開全方位合作。

天融信科技集團高級副總裁楊斌先生表示，作為網絡安全產業的領軍企業，天融信將自主可控作為核心技術發展方向。在戰略層面，率先採用自主可控的信息技術，擺脫對國外信息技術和產品的過分依賴，提升技術產業鏈中關鍵環節的自主性，強化網絡安全整體防護能力，改善網絡安全態勢，積極應對當前網絡安全面臨的嚴峻挑戰與威脅。在技術層面，天融信專註於發展自主核心技術能力，堅定不移地開展技術創新。技術創新是網絡安全企業發展的根本動力和必由之路。從芯片、硬件平台到操作系統，從底層驅動、IPv4/IPv6協議棧到安全引擎，天融信已經掌握全棧國產化核心技術並研製發布一系列自主可控軟、硬件網絡安全產品。

上海兆芯集成電路有限公司副總經理羅勇博士指出，網絡安全概念已經從網絡安全的層面，延伸到了產業安全層面。網絡安全事業的發展，不僅有賴於軟件技術的發展應用，更需要軟件、硬件等各方面因素的深度融合。兆芯與天融信作為產業上下游合作夥伴，共同肩負着振興信息產業、維護網絡安全的重任。兆芯致力於通過堅持自主創新與兼容主流的發展路線，為行業提供安全可靠的國產通用處理器，希望能夠充分利用兆芯CPU國內領先的性能和兼容x86生態的優勢，與天融信緊密協作，持續提升雙方在網絡安全領域的技術積累與行業經驗，塑造共同創新、協同發展、互惠互利的局面。

此次天融信和上海兆芯兩家廠商強強聯合，簽署戰略合作協議，是大勢所趨，具有重要和深遠的意義：雙方將共同打造自主可控安全產品生態鏈，發揮各自在網絡安全領域、芯片領域等方面的優勢，協同上下游產業鏈共建自主可控安全解決方案，推動自主可控技術、產品生態圈的建設，共同為促進自主可控網絡安全產品市場的快速、全面、健康發展貢獻企業力量。

,
網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

如何讓商品強力曝光呢? 網頁設計公司幫您建置最吸引人的網站，提高曝光率!!

想要讓你的商品在網路上成為最夯、最多人討論的話題?

網頁設計公司推薦更多不同的設計風格，搶佔消費者視覺第一線

不管是台北網頁設計公司、台中網頁設計公司，全省皆有專員為您服務

想知道最厲害的台北網頁設計公司推薦、台中網頁設計公司推薦專業設計師”嚨底家”!!

天融信與兆芯達成戰略合作 布局國產化網安產品技術創新

等級保護2.0正式發布 網絡安全再上新台階

2019-05-17 08:46    原創 　作者: 閆志坤　編輯:
0購買

近日，國家市場監督管理總局、國家標準化管理委員會日前批准發布網絡安全等級保護制度2.0國家標準，2019年5月16日，由公安部網絡安全保衛局、公安部第三研究所和公安部一所共同主辦，深信服承辦的網絡安全等級保護制度2.0國家標準宣貫會在京舉行，各部委重要行業部門、企事業單位領導嘉賓、互聯網企業的代表、測評機構和安全建設技術負責人及全國公安網安戰線參加本次宣貫會。

等級保護2.0發布 “一个中心，三重防護”

據介紹，網絡安全等級保護制度2.0國家標準在1.0的基礎上，實現對新技術、新應用安全保護對象和安全保護領域的全覆蓋，更加突出技術思維和立體防範，注重全方位主動防禦、動態防禦、整體防控和精準防護，強化“一个中心，三重防護”的安全保護體系，把雲計算、物聯網、移動互聯、工業控制系統、大數據等相關新技術新應用全部納入保護範疇。

自2007年起，公安部牽頭組織，在國家標準化管理委員會、全國信息安全標準化技術委員會支持協助下，研究制定了一系列等級保護國家標準，為等級保護工作的開展奠定了基礎。隨着網絡安全形勢的變化和技術的發展，為解決重要行業部門在新技術、新應用環境下開展等級保護工作的需要，自2014年起，公安部組織相關單位、專家總結等級保護1.0標準實施情況，研究新技術、新應用的安全問題，歷經5年時間，完成了2.0標準的制修訂工作。

公安部網絡安全保衛局黨委書記王瑛瑋

　　在網絡安全等級保護制度2.0國家標準宣貫會上，公安部網絡安全保衛局黨委書記王瑛瑋提出四點建議：一是要高度重視、深刻領會。要充分認識國家標準在信息化和網絡安全建設過程中的重要意義，發揮標準的指導和引領作用，加快推動國家標準的貫徹和實施。二是要加強宣傳，強化培訓。標準實施的關鍵是用戶要學標準、懂標準、用標準。標準起草單位要加強對標準的解讀和培訓。三是要推動行標，指導實踐。重點行業部門根據2.0國家標準，結合本行業實踐，加快修訂完善本行業等級保護行業標準。四是加強督導，推動落實。各地公安機關和各行業主管部門要加強對本地區、本行業網絡安全等級保護工作的監督、檢查和指導，在做好當前網絡安全等級保護工作的基礎上，逐步向2.0國家標準過渡，提升網絡安全保護能力。

落實等保2.0 踐行“三同步”要求

公安部網絡安全保衛局郭啟全總工程師

　　在本次會議上，來自公安部第一研究所於銳副所長、國家市場監管總局標準技術管理司王莉處長、全國信息安全標準化技術委員會楊建軍秘書長相繼發布致辭，公安部網絡安全保衛局郭啟全總工程師以“網絡安全等保2.0標準發布”分享，對於網絡安全等級保護制度的目標要求，第一，“分等級保護、突出重點、積極防禦、綜合防護”的總體要求;第二，建立“打防管控”一體化的網絡安全綜合防禦體系，提升國家網絡安全整體防禦能力;第三，變被動防護為主動防護，變靜態防護為動態防護，變單點防護為整體防控，變粗放防護為精準防護;第四，重點保護關鍵信息基礎設施、重要信息系統和大數據安全;第五，全力推動網絡安全產業、企業快速健康發展，打造世界一流的企業;第六，堅決落實“同步規劃、同步建設、同步運行”網絡安全保護措施的“三同步”要求。

中國工程院沈昌祥院士

　　來自中國工程院沈昌祥院士，以《重啟可信革命 夯實網絡安全等級保護基礎》的精彩演講，指出，國家等級保護制度2.0標準要求全面使用安全可信的產品和服務。這是因為設計IT系統不能窮盡所有邏輯組合，必定存在邏輯不全的缺陷，利用缺陷挖掘漏洞進行攻擊是網絡安全永遠的命題。當下進入了可信計算3.0新時代，要實現關鍵信息基礎設施可信保障、雲計算可信安全架構、物聯網環境安全架構、可信計算環境、工控安全等多維度安全。

公安部信息安全等級保護評估中心馬力副研究員

　　公安部信息安全等級保護評估中心馬力副研究員以《網絡安全等級保護2.0主要標準介紹》分享，從網絡安全等級保護2.0標準的特點和變化、網絡安全等級保護2.0標準的框架和內容兩個方面進行了分享，在變化特點方面，新標準以“安全通用要求+新型應用安全擴展要求”組合要求，新標準“基本要求、設計要求和測評要求”分類框架統一，形成了“安全通信網絡”、“安全區域邊界”、“安全計算環境”和“安全管理中心”支持下的三重防護體系架構，新標準強化了可信計算技術使用的要求，把可信驗證列入各個級別並逐級提出各個環節的主要可信驗證要求。

全情投入 踐行網絡安全等級保護2.0

“等保制度對我們國家的網絡安全產業有着巨大的指導作用和推動作用，深信服CEO何朝曦在分享中首先強調，為各個行業網絡安全建設最為廣泛的所採用的方法論，很多用戶就能夠依據明確的標準進行系統化的安全建設。而推動的作用指的是等級保護標準以及相關標準的落地工作，有效推動了我們國家的網絡安全產業發展壯大。隨着等保2.0標準的發布，更是促進整個網絡安全產業的發展，同時，等級保護2.0在合規和技術實踐方面具備指導作用。如何落實《網絡安全法》的要求，等級保護2.0給出了較為詳細說明，等保2.0將成為《網絡安全法》最有效的抓手。”

深信服CEO何朝曦

　　所有的網絡安全廠商其實都是等級保護制度推行的受益者，網絡安全廠商也有責任和義務投入到等級保護制度的落地當中去，安全廠商要根據網絡安全等級保護2.0的標準去發展安全技術，開發匹配的安全產品，全力做好網絡安全服務，幫助用戶建設不僅僅是合規，而且真正有效的網絡安全體系，這是所有的網絡安全廠商的責任。深信服認為需要做好三方面工作：

第一，通過宣貫、培訓幫助用戶理解和應用等保方面的知識。

第二，通過產品的創新，場景的適配，向用戶交付真正有效果的等保2.0方案。

第三，廠商要和監管部門、評測機構和其他廠商通力協作，推進等保2.0工作不斷髮展。

伴隨等保2.0的發布，深信服積極響應，全情投入，在四個大方向進行了加強，第一個，在雲計算的場景，專門研發了集成安全平台XSec，滿足了雲安全要求，用雲的方式來交付安全;第二個，等保2.0標準中提出要具備態勢感知能力，要求對新型攻擊分析的能力，要能夠檢測對重點節點及其入侵的行為，對各類安全事件進行識別報警和分析，為此深信服專門開發了應用於用戶內網的態勢感知系統，通過採集網絡流量、安全日誌、終端信息作為原始數據，使用人工智能的分析引擎，安全專家建立的安全模型，再搭配上威脅情報，實現了企業用戶內部網絡的安全狀況的實時分析，為用戶構建了一個全局可視的安全通報預警平台，有效提升了用戶的安全運營交流;第三個，等級保護2.0專門提到對惡意代碼進行防範要求，深信服開發了一整套防範勒索軟件的方案，在終端開發了基於人工智能的終端檢測響應平台EDR，代替傳統殺毒軟件，做到從風險預測、終端保護、攻擊檢測到響應整個安全閉環，同時，通過雲網關的聯動，還實現被勒索軟件橫向攻擊的監測和阻斷，從而實現對安全攻擊的全網快速處置和響應。第四個，等保2.0 技術要求和管理要求落地，對安全產品和安全管理制度持續運營，通過運營將等保2.0當中技術要求和管理要求，才能保證有效的落地，深信服通過安全服務中心，提供人機共智的安全託管服務，7×24小時持續為用戶提供保護和運營。

寫在最後

等級保護制度2.0國家標準的發布，是具有里程碑意義的一件大事，標志著國家網絡安全等級保護工作步入新時代。繼續深化實施《網絡安全法》，以這次標準的發布宣貫為契機，銳意進取，開拓創新，深化推進國家網絡安全等保制度，不斷提升網絡安全保護能力，為維護國家網絡安全，建設網絡強國做出新的貢獻。

,
網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

自行創業 缺乏曝光? 下一步”網站設計“幫您第一時間規劃公司的門面形象

網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司，幫您輕鬆架站!

評比前十大台北網頁設計、台北網站設計公司知名案例作品心得分享

台北網頁設計公司這麼多，該如何挑選?? 網頁設計報價省錢懶人包”嚨底家”

等級保護2.0正式發布 網絡安全再上新台階

自適應安全體系更上一層 青藤雲安全下了一盤很大的棋!

2019-05-17 23:33    原創 　作者: 高博　編輯:
0購買

當網絡安全越來越引起企業的關注，多形態的安全產品也就得以不斷推出。其中以青藤雲安全為代表的安全廠商不斷深耕主機安全領域，青藤雲安全創始人兼CEO張福表示，無論是國內還是國際，基於主機的安全產品的形態，已經越來越多的被大家接受，並發展成為相對主流的形態。

青藤雲安全從2014年成立就確立了自適應安全的技術理念，並採用自適應安全架構創新性的構建了青藤主機自適應安全平台。而經過多年的技術積累，青藤雲安全也在不斷完善拓展自身的產品體系。可以說青藤雲安全始終在下一盤棋——自適應安全。而為了系統性地解決容器的安全問題並加強感知類安全產品線，近日青藤雲安全的棋盤再添新子——青藤蜂巢·容器安全產品和青藤星池·大數據分析平台正式發布!

　　助力容器安全，蜂巢·容器安全產品發布

青藤雲安全表示，容器技術是以操作系統的C-Group以及Namespace的機制，來實現操作系統內核的共享，資源的虛擬化以及隔離。在DevOps和微服務領域都有廣泛的應用。隨着容器技術的不斷向前發展，容器以及容器運行時的安全性問題，已經成為亟待解決的問題。那青藤雲安全本次發布的青藤蜂巢·容器安全產品又能為用戶解決哪些安全問題?

根據張福介紹，青藤蜂巢·容器安全產品覆蓋了容器使用過程中的Build、Ship和Run三個階段，在功能性上有鏡像掃描、合規基線、以及入侵檢測三大核心功能。

該產品在技術實現上採用了Agent-Server的技術架構，Agent運行在容器的宿主機上，和Docker daemon跑在同一層的。Agent主要做了三件事情，第一是基礎信息的獲取，通過Docker Engine本身的API來獲取容器運行的狀態信息，第二是鏡像掃描能力，通過Agent能夠來掃描主機上鏡像的相關信息，第三是對容器的運行狀態進行相應的監控，通過對於容器進程進行相應的hook以及監控發現容器運行的相關信息。根據介紹，該套架構總共有三大優勢：

●優勢一：在安全功能上，除了覆蓋容器的功能以外，同時覆蓋了主機的安全功能;

●優勢二：體現在Agent運行的效率方面，青藤的Agent在四年中已經在超過10萬台主機上進行過驗證，CPU的消耗一直是小於5%，並且運行的穩定性能達到99%以上;

●優勢三：容器和主機安全產品是一套超融合架構，能夠在同一套架構裏面解決兩類問題。

張福認為，目前在中國越來越多的人想要把現有業務從物理的環境上換到雲上，或從雲上換成容器的形態，這個遷移的過程和流程需要一定的時間，所以現在容器安全應該算是早期市場。張福相信，未來容器安全領域有很好的前景。

　　青藤星池·大數據安全平台發布

除了容器安全，青藤雲安全認為，對於數據的分析回溯也異常重要。張福提到，目前大多數攻擊是發生在網絡側、應用側，但黑客的攻擊目標往往是一切資產的核心——服務器。當發生攻擊后，用戶真正應該關心的是攻擊者在服務器上做了哪些事情，並對攻擊進行回溯。

基於此，青藤雲安全一直在思索一個問題：能不能做一個主機安全大數據日誌感知平台，來記錄主機內部發生的所有行為的變化?而青藤星池·大數據安全平台的發布恰恰給了這個問題一個完美的答覆。

根據介紹，青藤星池·大數據安全平台可用來記錄攻擊者在服務器上的行為，以便後續去進行回溯、還原以及取證。目前，青藤星池·大數據安全平台已支持操作審計日誌、網絡連接日誌、系統登陸日誌、賬號變更日誌、進程啟動日誌、DNS解析行為日誌六種日誌的記錄。此外，該平台還對機器學習技術進行了應用，可以做到基於機器學習的智能化自動分析。

通過青藤雲安全的介紹不難理解，通過大數據日誌學習和分析平台，能夠很直接做到清晰地預測和感知，而該平台也將是未來安全分析的必備技能。總的來講，青藤雲安全的青藤星池·大數據安全平台，就是將現有主機安全所有的日誌集中在一起，並進行清晰的預測和感知，甚至做出阻斷。

　　等保2.0正式發布 青藤雲安全的應對之策

關注網絡安全領域的朋友應該了解，5月13日等保2.0正式發布，並將於今年12月1日正式實施。各安全廠商關於等保2.0的解決安全已經鋪天蓋地。青藤雲安全作為國內主機安全的代錶廠商，針對等保2.0也做了充足準備和布局。

在等保2.0被提出來之後，青藤雲安全就進行了充分調研和分析，青藤雲安全COO程度指出在測評過程的幾大難點，他認為對於測評機構來說主要包括三大痛點：

●第一是主機數量大，對測評機構來說測評的難度會增大;

●第二是虛擬機容器等新興的虛擬化場景對測評機構是不可見的;

●第三是因為測評機構需要重複地去做測評，在同一個雲平台下，有多個租戶，會做多租戶重複的測評，這將浪費許多工作量。

而對於監管機構來說，同樣面臨類似問題：

●首先是只能做一次性的監管，無法做持續的監管;

●第二是流量無法可視化。對於雲租戶，雲平台，痛點也是很明確的，就是說無法實時了解合規的狀態，整個流量有些時候也是不可見的。

●第三，缺乏整改的一些手段。

鑒於種種痛點問題，青藤雲安全推出了雲等保2.0解決方案。

根據程度介紹，青藤雲安全雲等保2.0解決方案主要是針對於安全計算環境部分。青藤雲安全提供了CWPP(Cloud Workload Protection Platform)產品，用以解決測評機構、監管機構、以及雲租戶相應的痛點問題。

“CWPP產品為雲安全而生，主要是通過雲工作負載的全面監控，從而解決測評機構和監管機構的難點，以及雲租戶、雲平台合規的訴求。這款產品基本覆蓋了通用要求中身份鑒別、訪問控制、安全審計、入侵防範、惡意代碼防範，以及資源控制六個部分。通用計算會牽扯到虛擬機、虛擬設備、以及業務系統安全，這個產品幾乎解決了所有合規的問題。”青藤雲安全COO程度介紹道。

　　增強產品核心能力，進軍更多市場

作為一家年輕的網絡安全公司，目前青藤雲安全的業務已完美覆蓋金融、互聯網、政府等數十個領域，防護服務器超過百萬台。張福表示，2019年青藤雲安全將有幾個方面的提升：首先是要將現有的外向主機安全產品上升一個大的台階，青藤雲安全希望做出世界級的產品並被廣泛使用。第二，青藤雲安全要做新產品(包括剛剛發布的三款新品和解決方案)，青藤雲安全希望每做一個產品都能具備自身特色，並獲得業界第一;

最後，張福表示將進入更多市場，並極大增強產品核心能力，在入侵的檢測能力，以及實際幫客戶解決問題的效率和便利性方面，進一步提升用戶的使用體驗上!

網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

智慧手機時代的來臨，RWD網頁設計已成為網頁設計推薦首選

想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計

帶您來看台北網站建置，台北網頁設計，各種案例分享

廣告預算用在刀口上，網站設計公司幫您達到更多曝光效益

自適應安全體系更上一層 青藤雲安全下了一盤很大的棋!

天威誠信：5G時代，將迎电子認證新機遇

2019-05-21 08:25    原創 　作者: 高博　編輯:
0購買

隨着互聯網環境的不斷升級，“互聯網+”的概念在各行各業得到了更深入的應用，無論是傳統行業還是政府機關單位，都有越來越多的互聯網行為。國家也在近幾年出台了相應的政策法規，用以提升企業、政府在網絡行為中的可信度與安全性。例如與企業息息相關的網上報稅、工商年檢、報關，與個人相關的社保繳納、公積金管理等政府公共服務，在可信、可追溯、安全性等方面都需要使用特殊的機制來保證，這就是我們所說的电子認證服務。那麼，电子認證服務在政務服務中扮演哪些角色?电子認證如何支撐政務一體化建設?隨着5G時代的到來，电子認證將迎來哪些新的機遇和挑戰?

天威誠信總裁唐志紅髮表演講

　　在今年4.29首都網絡安全日展會上，作為有着近20年电子認證服務經驗的北京天威誠信电子商務服務有限公司(以下簡稱“天威誠信”)，應邀出席此次大會。會議上天威誠信總裁唐志紅以“电子認證支撐政務一體化的思考與實踐”為主題發表了精彩議題演講，精彩地闡述了當下电子認證領域的發展，以及所面臨的問題。唐志紅表示，在國家政策背景下，推進“互聯網+政務服務”已是互聯網時代大勢所趨，而电子認證作為重要的一環有着不容忽視的作用。

5G時代：機遇還是挑戰?

近年來，關於5G的呼聲可以說是越來越高，WiFi6技術也逐步得到應用，那對於电子認證行業來講，5G和WiFi6等技術的普及應用是機遇還是挑戰?

對於5G推出后电子認證行業的發展，唐志紅先生非常有信心。他認為，新技術的應用對於电子認證行業來講機遇大於挑戰。“在3G、4G網絡時，电子認證行業就得到飛速發展。”他提到，2005年《中華人民共和國电子簽名法》頒布並實施之後，初步確立了电子認證行業，电子認證行業伴隨着3G/ 4G網絡的發展與應用，得到了蓬勃發展。

2012年之後，电子認證(特別是电子簽名)的應用發展速度很快，核心是互聯網絡的飛速發展，使得更多的應用實現在線，業務從PC端轉移到移動端，更加需要考慮業務的安全可信保障。因此不難預測，5G推出後會對电子認證的應用在以下幾個方面起到推進作用：

首先5G的推出能夠解決性能方面的問題，此前由於性能問題，一些企業對安全防控手段進行了適當降低，5G的推出完美解決了性能和資源的難題。

其次，5G的推出會帶來新的業務需求。5G推出后，物聯網、車聯網勢必得到大規模應用，但物聯網的應用會帶來更多的安全問題，發生安全問題后的追責成為用戶新的業務需求。而在工控層面，以攝像頭為例，近年來以攝像頭為節點的攻擊事件越來越多，採用怎樣的機制可以對攝像頭進行標記等問題都是5G推出后电子認證未來應用的空間和市場 。

最後，從業務角度來講，國家始終大力提倡政務一體化，很多業務從線下搬到線上，5G則會讓這些業務更加開放、方便的使用。在使用的過程中需要對身份進行防控，並保證流程節點的正常運行。唐志紅先生表示，只有通過电子認證的支撐，建立網絡空間安全可信支撐環境，才能保證身份是可信的，行為是可控的，結果是可追溯的，從而保證業務的流程更有效的運轉。

而除了5G等新技術的推出，电子簽名法以及網絡安全法的發布實施和不斷修訂也進一步促進了电子認證行業的發展。

　天威雲重磅發布

隨着电子認證2.0時代的到來，網絡身份已經成為互聯網的重要戰略資源，电子認證服務模式和認證方式也在發生巨大變化，雲技術的普及無疑會推動电子認證服務的巨大變革。基於這一背景並依據《中華人民共和國电子簽名法》，天威誠信為了滿足更多企業用戶的應用需求，藉助本屆4.29首都網絡安全日，重磅發布了“天威雲电子認證服務平台”。

天威雲平台發布會現場

　　天威雲(iTrusCloud)基於密碼基礎設施，為互聯網應用平台及合作夥伴提供电子認證應用能力支撐，打造“權威可信、共生共贏、開放共享”的电子認證應用生態圈。

平台不僅具備面向各類網絡應用提供以證書服務、密鑰服務、實名認證服務、時間戳服務、簽約服務、存證服務、取證服務、簽章服務、短信服務、生物身份識別、SSL證書為核心的技術服務能力，還提供鑒證服務、發票服務、訂單服務、解鎖服務、計費服務、統計服務、監控服務、在線支付等支撐服務能力，旨在創建安全誠信的網絡環境，促進数字經濟健康有序發展。

　　●標準接口：平台建立統一的平台規範接口標準，通過統一的API對接，企業系統可在統一的框架內按照數據標準對接平台。

　　●靈活架構：平台以微服務架構為基礎，各服務、產品模塊架構分離，採用分佈式部署，多級負載均衡策略，確保用戶靈活動態擴展。

　　●數據監測：平台可實現對數據的實時監測，保證企業核心管理數據的有效收集、傳輸，利用大數據分析技術輔助客戶提高智能化管理水平。

根據天威誠信官方介紹，作為專業的电子認證服務平台，目前天威雲服務範圍已全面覆蓋政務、銀行、證券、保險、互聯網金融、电子支付、电子商務、招投標等行業。

　　未來規劃

不難看出，無論是新技術的推出還是法治的完善，對电子認證行業都起到了十分積極的作用。在如此利好的大背景下，天威誠信又有着怎樣的發展規劃呢?唐志紅先生表示，天威誠信的目標是面向網絡空間，提供網絡信任服務，成為該領域領先的服務商。除了打造現有服務，還將進一步延展業務：

第一，針對網站可信，天威誠信將和國外認證服務商合作，並引入服務產品，結合中國國家密碼政策管理要求，打造自己的業務體系，從而打造既符合國際要求又符合中國密碼政策要求的網站認證服務體系。

第二，电子簽名目前更多的是以技術服務形態提供服務，而未來电子簽名的發展方向是幫助用戶在官司中追回損失。天威誠信將加強和第三方司法機構的合作，保證從證據生成、傳輸、存儲、取證到使用的整個流程，都能夠利用天威誠信基於國家授權的可信电子認證服務，為用戶、依賴方及其他參與者提供不同級別的、符合證據審查規則的在線法律服務，幫助有效規避風險、及時止損、迅速維權。

網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

如何讓商品強力曝光呢? 網頁設計公司幫您建置最吸引人的網站，提高曝光率!!

想要讓你的商品在網路上成為最夯、最多人討論的話題?

網頁設計公司推薦更多不同的設計風格，搶佔消費者視覺第一線

不管是台北網頁設計公司、台中網頁設計公司，全省皆有專員為您服務

想知道最厲害的台北網頁設計公司推薦、台中網頁設計公司推薦專業設計師”嚨底家”!!

天威誠信：5G時代，將迎电子認證新機遇

從 Verizon 數據泄露報告看醫療行業數據安全

2019-05-27 09:45    原創 　作者: 柳遵梁　編輯:
0購買

美國電信巨頭 Verizon 每年都會發布年度數據泄露報告(DBIR)。Verizon 不僅綜合了多個合作夥伴的數據分析，而且還採用了嚴格的數據驅動方法來分析安全漏洞和事件。連續發布10年來，DBIR 報告已經成為安全行業的重量級調查報告，值得安全從業者仔細研讀。

　　一、醫療行業數據泄露排名持續上升，2017年度高居榜首

報告显示，醫療行業數據泄露威脅的行業排名持續上升，從2014年突飛猛進到行業第六，到2016年排名再次大幅提升，僅次於金融行業排名第二，佔比15%。到2017年更是高居榜首，遠遠甩開了第二名，佔比達到24%。這種火箭般的上升速度是極其明顯的，而醫療數據價值的廣泛認知和相對脆弱的防禦措施是造成這一現象的兩大要素

需要特別注意的是，這一結果還是在美國HIPAA(Health Insurance Portability and Accountability)和HITECH(Health Information Technolory for Ecnonmic and Clinical Health)兩大法規約束的情形下產生的。

　　二、醫療行業是唯一一個內部威脅遠大於外部威脅的行業

從這份報告可以看出，醫療行業是所有行業中唯一一個內部威脅大於外部威脅的行業。其中，內部威脅佔比60%，外部威脅佔比43%，這表現出很大的特殊性。作為一個參照，在行業平均攻擊類型中，70%為外部威脅，30%為內部威脅。醫療行業的這種特殊性，可以認為是由以下幾個方面引起的：

1、醫療行業的數據單體價值特別高;

2、醫療行業的數據獲得性比較簡單;

3、醫療行業數據變現特別容易。

我們就數據泄露的幾個主要行業做個比較：醫療、金融、政府、信息服務、製造業、零售、酒店餐飲。如下圖所示：

由於缺乏醫療行業的獨立數據，我們以全行業來看威脅構成。從全行業來看，在外部人員導致的泄漏事件中，62%都來自有組織的犯罪團伙;在內部威脅中，25.9%都跟企業系統管理員有關，終端用戶佔22.3%、醫生或護士佔11.5%、開發人員佔5%。

　　三、醫療行業是勒索病毒威脅的主要目標

勒索病毒是近幾年網絡攻擊的主要手段之一，2017年更是在所有惡意軟件攻擊中佔到39%的比例，高居榜首。而醫療行業則是勒索病毒威脅的“重災區”，入侵醫療行業的惡意軟件高達85%，屬於惡意軟件攻擊。其中，數據庫服務器成為了勒索病毒的主要攻擊目標。下圖為全行業的勒索病毒發展趨勢圖，可以看出勒索病毒攻擊上升速度極為恐怖，已經成為網絡安全的主要威脅。

　　四、醫療行業入侵動機：財富追求是主要目標

財富追求是入侵醫療行業的主要動機，高達75%的入侵是為了獲得財富。動機分佈：75%獲得財富、13%是樂趣和好奇心、5%是為了便利、5%是間諜。有一個現象需要特別注意，有47%的內部數據泄露僅僅是因為好奇心，比如醫生看別人的病案。而這個好奇最終有超過40%會演化為獲得財富。

　　五、病案和藥物成為數據泄露的核心內容

不同於其他行業以PI(個人信息)和PFI(個人財務信息)為主體的信息泄露，醫療行業的數據泄露核心內容在PHI(個人健康信息)，即病案和藥物信息。數據泄露構成佔比：病案和藥物79%、個人信息 37%、支付信息 4%。不同於其他大部分行業只有海量數據才具有價值，醫療行業的單體病案數據價值就非常昂貴。

　　六、社交工程攻擊

社交工程攻擊在所有攻擊中的佔比為17%，其中Email社交工程貢獻96%。同時，78%的人員會重複遭受社交工程攻擊。

政府、醫療、教育、專業服務和金融是社交工程攻擊的主要犧牲品。其中，59%的社交工程攻擊是為了獲得財富，38%是間諜行為，也就是社交工程是政府間諜和商業間諜的主要攻擊形式。

　　七、發現攻擊

執行攻擊只要幾分鐘，而發現有攻擊事件發生卻可能需要幾個月時間。當發現系統被入侵的時候，傷害已經造成。其中，68%的數據泄露需要花費幾個月甚至更長時間才能被人發現。

　　小 結

醫療行業數據泄漏事件、勒索病毒事件，幾乎每月、每周、每天都有發生，數據安全的重要性不言而喻。但是究竟如何體系化、系統化進行數據安全防護建設?這是每個醫療行業信息安全從業者都在思索和探究的問題。本篇作為醫療行業數據安全挑戰和對策系列文章的第一篇，從權威第三方Verizon數據泄露報告看醫療行業數據安全的現狀、威脅來源、攻擊目標、攻擊的手段。下一篇我們將對醫療數據安全的客觀現狀進行分析。

網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

自行創業 缺乏曝光? 下一步”網站設計“幫您第一時間規劃公司的門面形象

網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司，幫您輕鬆架站!

評比前十大台北網頁設計、台北網站設計公司知名案例作品心得分享

台北網頁設計公司這麼多，該如何挑選?? 網頁設計報價省錢懶人包”嚨底家”

http://www.3chy3.com/?p=2371

五大維度透視醫療數據安全

2019-05-27 09:55    原創 　作者: 柳遵梁　編輯:
0購買

在當今日益開放的網絡環境下，醫療行業的數據安全問題日益凸顯。本文將從數據價值、網絡環境、人的安全、數據流動和雲驅動等五個方面進行深入分析。

　　一、醫療數據的特殊價值

　　1.高度敏感的數據泄露帶來巨大的個人、家庭和社會影響

 

健康信息的全方位滲透決定了健康數據的利用範疇非常廣泛，使用不當會嚴重影響人們的生活、工作、家庭甚至社會和政治。其廣泛的社會影響性使得個人健康信息(PHI)成為人們最為核心的隱私內容。PHI泄露具有兩大典型特徵：單體病案對於個人及家庭的巨大影響和海量信息的巨大社會影響，而且極易轉變為巨大的財富。那麼，有哪些高度敏感的數據泄露場景呢?

　　(1)惡性腫瘤、尿毒症、糖尿病等慢性病

這類患者在未來的支付能力往往很可能會急劇惡化，信用水平會快速降低。因此，保險、銀行及所有金融機構都為了提高風控水平而對這類信息趨之若鶩。

而且，由於相關疾病的震懾作用會給相應的保險銷售帶來很大的說服力及便利性。部分醫院、藥店、藥廠、保健機構不斷瞄準這些患者以獲得最大收益，彷彿是“移動的印鈔機”。同時，這類病人也是各種詐騙機構的主要目標，假藥、假保健品不斷地輸送給這類患者。處於絕望中的惡行腫瘤患者，只要前方給予了一絲希望就會毫不猶豫地抓住，結果是賠錢又賠人。即使不需要金融服務，也沒有被詐騙，也會給生活和工作帶來極大不便，社會交往受阻。

　　(2)ED、性冷淡、大小便失禁、吸毒等涉及個人尊嚴的疾病

此類疾病讓人喪失了一些基本能力，無疑讓人自卑。這些隱私信息的泄露會極大地影響個人工作和生活。所以，出於身心的打擊，使得這類人群特別容易受到各路騙子的誘惑。

　　(3)性病、艾滋病等傳染病

此類疾病屬於絕對隱私。除了病急亂投醫造成的巨大財產損失和身體損失之外，家庭和社交關係被破壞等幾乎無一倖免。另外由於這種疾病的絕對隱私性，導致患者極易被勒索。

　　(4)傳染病、中毒、血鉛等社會性疾病

此類區域性疾病或者突發性衛生事件，配合社會謠言很容易引起社會混亂。特別是處於保密期的重大衛生事件的一旦泄露，會讓有關政府機構極為被動。

　　(5)老人、孕產婦、嬰幼兒、兒童等弱勢群體

此類群體由於相對脆弱的心理和防範，非常容易受到誘惑。保險及各種金融機構，以及各種保健機構和詐騙機構也會不斷地誘惑和欺騙他們，並給造成極大傷害。

　　(6)社會重要人士和公眾人物的病案

比如，“希拉里事件”精確地演示了患者疾病如何影響政治生態。國家主要領導的病案屬於國家安全範疇，一旦泄露顯然會影響政治生態，甚至直接終結政治生涯。公眾人物在某種程度也類似，不當的健康隱私泄露可能會直接終止公眾人物的職業生涯。

　　(7)有待推敲的治療方案和居高不下的誤診率

醫學診斷本質上屬於經驗科學，缺乏精確性，存在大量的謬誤。無論是美國還是中國，誤診率始終居高不下。甚至很少有治療方案可以經受得起嚴密的推敲，治療方案只有合理性說法而沒有正確性說法。倘若治療方案泄露且被別有用心的人利用，勢必會造成大量的醫患糾紛，最終導致醫院遭受巨大損失。

　　(8)具有很高精確度的個人信息

醫療機構個人信息擁有極高的精確度和社交關係屬性。例如：姓名、身份證、社保卡、電話號碼、住址、職業以及親屬關係等。出於患者對於醫療機構的期待，個人信息往往比任何其他機構具有更高的精確性。醫療個人信息即使是普通信息在黑市的價格也居高不下，是普通信用卡信息價格的10倍以上。更不用說精確的職業信息了，它可以使個人信息的價值成倍上升。

　　(9)醫囑、處方和檢查結果的巨大價值

醫院持續運營的核心成果除了醫生水平的不斷成長之外，就是醫囑和處方等病例信息的不斷積累。一家大型醫院多年積累的主要病種的病案醫囑和處方內容的價值往往以百萬價值計算。除了巨大的學習和成長價值之外，藥品供應商對這些數據更是趨之若鶩，完成真實案例之上的臨床試驗。

　　(10)處方葯和受管制的藥品

處方葯，特別是受到管制的藥品，比如麻醉葯，市民必須持有處方才可進行購買。任何具有許可的物品和服務都會在市場上具有很大的價值，而入侵者通過盜取這些處方，從市場上“合法”地購買處方藥品，然後出售以獲利，擾亂了藥品管控市場。

　　(11)數據統方

數據統方是醫療回扣腐敗案件的核心環節之一，是實現醫療回扣的關鍵媒介和憑證。醫療腐敗關係到每一位百姓生活，具有廣泛的社會影響力。

　　2.高度精確性要求已上升到生命安全的級別

醫院的醫囑、處方、醫療器械都把人作為處理對象。醫療數據的不當更新可能會危害患者的生命安全，而生命安全則是生活中的最高安全級別。

(1)醫囑和處方數據的變更

醫囑和處方是醫生按照積累的知識和經驗作出的最佳判斷，總是在療效和危害之間進行平衡。由於絕大部分藥品的副作用以及部分藥品的禁忌性，醫囑和處方便成為某些別有用心的人“借刀殺人”的最佳利器。電影作品乃至現實生活中都存在眾多案例提示我們這種危險的存在。而不斷演示的黑客遠程操控醫療器械則更加活生生地提示着生命安全的脆弱性。無論是何種傷害，本質上只需要修改數據而已，在程序上與交通違章消分沒有任何區別。

　　(2)歸檔病案的變更

當一樁醫療糾紛案如果出現了歸檔病案的變更，則意味着醫院無法自證清白，在醫療糾紛中會先天處於不利位置。

　　(3)管製藥品的購買

麻醉品、鴉片、大麻等各種具有高度危險性的藥品只有在醫院可以合法購買，以至於在市場上自由流通具有很高的價值。當然也會對社會造成巨大影響，入侵者可以通過處方修改來獲得其合法購買管製藥品的權利。

　　(4)出生醫學證明

出生醫學證明是黑戶洗白的關鍵憑證。內外勾結或者盜取出生憑證是出生醫學證明地下黑產鏈的關鍵環節。

　(5)勒索威脅

勒索病毒是醫療行業最為嚴重的外部威脅之一，在已知的外部威脅中高達85%是由勒索病毒引起的。開放的網絡環境和相對脆弱的安全措施是勒索病毒持續發作的溫床。

　　二、不夠安全的網絡環境

　　1.開放或半開放的網絡環境

開放或半開放的網絡環境是醫療行業的典型特徵，很少有行業像醫療行業一樣是一個非安全的開放環境。開放的網絡環境使入侵者可以輕易地進入醫院網絡，輕易地進行物理攻擊。

　　(1)開放的醫生工作環境

無論是門診醫生還是住院醫生的工作電腦，幾乎都處於人人可以接觸的開放環境。入侵者較易合法地進入醫生的工作場所、親切地和醫生進行溝通、接近醫生和醫生工作終端，甚至可以很容易假冒醫院IT工作者對醫院電腦進行全權操作。

　　(2)大量不安全的自助服務設備

自助服務設備是醫院服務患者的主要工具之一。大量的自助設備在給患者帶來便利性的同時，也給入侵者有機可乘。他們可以很容易接觸醫院網絡，也可以假借維修名義對自助服務終端進行任何操作。

　　(3)廣泛使用的無線網絡

移動終端的廣泛使用是醫院信息化發展的主要方向。當無線網絡缺乏嚴格的安全管控時，意味着入侵者隨時可以進入醫院網絡。

　　2.相對混亂的互聯網接入服務

除了自助服務終端之外，互聯網接入是當前醫院的主要努力方向。為了趕上互聯網醫療的快車，只有極少部分醫院獨立建設互聯網醫院，更多醫院採用外部服務接入的方式來連接互聯網。事實上，在接入互聯網服務時，大部分醫院就已經把主動權交付至互聯網服務提供商，缺乏統一的業務和安全規劃。

　　(1)互聯網服務授權過大

大部分醫院在互聯網服務建設過程中，由互聯網服務提供商來整理醫療數據，自主獲取服務需要的數據。醫院缺乏統一的互聯網服務網關，讓醫療數據處於極度危險的境地。

　　(2)數據安全考慮相對缺乏

互聯網服務的焦點目標是提供相應的服務，並不會過多考慮數據安全性。由於缺乏有效的驗證和隔離措施，入侵者很容易通過互聯網服務網絡進入醫療網絡。

　三、人的安全無處不在

由於醫院患者單體數據的巨大價值，使人的安全成為醫院安全的最大問題所在。Verizon 報告揭示醫療行業是唯一一個內部威脅遠大於外部威脅的行業，內部威脅高達60%，外部威脅只有40%。

　　1、單體數據的巨大價值使醫生和護士每天都受到誘惑

除了情報之外，很少有數據會像醫院一樣，單體數據具有巨大的價值，形成了醫療數據的黑市，明碼標標價。這使醫務人員並不需要太高深的技術就可獲得巨大的收益機會，必然會受到誘惑。

　　2、好奇、虛榮心和可以任意查詢的醫療數據

由於好奇產生的越權操作問題在醫院是廣泛存在的客觀現實。譬如醫生會因為對某種疾病感興趣，進而查詢和閱讀非授權病歷，DBA會因為礙於情面幫助朋友查詢他人隱私數據。

　　3、外部資源依賴

近幾年醫療業務發展極為迅速，各種新業務形態不斷湧現。為了支持快速業務迭代，醫院對於開發商等外部資源的依賴性非常高。這種高依賴性和高昂的數據價值帶來了巨大的數據安全風險。

　4、相對頻繁的手工操作

由於業務軟件系統無法跟上醫療業務的快速發展，很多時候相關人員需要直接數據庫操作來完成相關業務，存在潛在的誤操作和越權訪問風險。

　　5、部分醫院甚至受到開發商要挾

許多開發商把醫院數據當作自己的私有財富，甚至醫院要使用數據需要獲得開發商的許可。顯然，這種生態下是很難做到患者數據安全。

　　6、DBA和開發商的超級訪問權

DBA(數據庫管理員)和開發商的超級訪問權限普遍存在於各行業中。但是由於醫療數據較高的單體價值，DBA 和開發商會接收到來自各方面的數據獲取訴求，更容易受到更多的誘惑，導致其犯錯概率大幅增加。

　7、患者隱私數據的不當泄露

很多醫院為了降低成本，會重複利用檢查指引、處方單等紙質媒介。這種紙質媒介的重用顯然會泄露患者隱私。檢查報告的隨意處置，讓有心人更容易獲得相關數據。

　8、入侵者的樂園

開放的網絡環境和相對脆弱的安全防禦，使醫療機構成為了入侵者的樂園。入侵者可以輕易進入醫院網絡，盜取訪問憑證，訪問和破壞敏感數據並施加勒索。

　　四、敏感數據的流動剛需

　　1.眾多的數據交換業務和急劇上升的互聯互通需求

醫院作為一個受到嚴格管制的行業，需要和眾多機構進行數據交換和彙報。

　　(1)醫保機構

醫院和醫保機構的數據交換是醫院核心業務之一。由於歷史原因，醫保數據交換可能會出現不必要的敏感數據交換，使敏感數據失控。

　　(2)衛健委和疾控

醫院作為一個受監管機構，需要向衛健委、疾控等相關部門彙報相關數據。由於歷史原因，相關數據上報可能會存在一些失控的敏感信息。

　(3)心衰中心等

醫院還需將特殊病種相關數據上報到心衰中心等機構。由於歷史原因，相關上報數據可能存在着不必要出現的敏感數據。

(4)遠程醫療的興起

‍

遠程醫療作為一種醫療資源下層的主要手段，正受到醫療主管部門和各大醫院的青睞。在遠程醫療過程中如何保證患者隱私數據的安全成為其中的一個關鍵環節。

　　(5)病歷攜帶

病歷攜帶是患者的核心訴求之一。雖然目前基本沒有實現，但是在患者服務不斷加強的今天，病歷攜帶必然會成為醫療機構之間的核心交換科目。

　(6)病案交換

一家醫療機構的醫療水平提高，很大程度上依賴於歷史病案的積累和質量。醫療機構為了豐富自己的病案庫，有足夠的動力和同等水平的醫療機構進行病案交換。而衛生主管機構為了提高所有醫療機構的醫療水平，也有足夠動力讓所有醫療機構共享這些高質量的醫療病案。

　　2.測試、培訓以及臨床數據中心

嚴格來講，醫生只可以查看自己處理的病歷，其他患者隱私數據只有患者授權才可被訪問。但是這種原則性安全在實踐中很難被貫徹。

　　(1)測試和開發環境

IT系統幾乎每天都在日新月異的醫療業務發展中變更。為了軟件順利上線，需要使用生產數據進行測試以提供更好的兼容性。顯然，測試開發系統中的生產數據是完全失控的，這是一個最好的數據泄露源頭。還有更糟糕的情況，部分醫院沒有充足的設備來提供開發和測試，軟件開發商會把數據帶離醫院進行測試。

　　(2)培訓和教育環境

可以認為，醫院的核心產品和服務是高水平的醫生。醫生和護士是一個高技術職業，需要不斷通過學習和培訓以提高技術水平。多數情況下，醫療培訓和教育會建立在犧牲患者隱私的基礎上。另外，培訓和教育環境的安全措施不完善使入侵者更易獲取醫療隱私數據。

　　(3)CDR(臨床數據中心)

向數據索取價值、以數據驅動醫療是所有醫院的努力方向。臨床數據中心需要為臨床提供服務，就需要為所有醫生提供訪問病例的能力。但如果患者數據沒有進行脫敏處理，這種任意訪問病例的權利顯然會為患者的隱私帶來巨大風險。另外由於臨床數據中心的靈活使用特徵，安全措施難以落實到位，自然就會成為入侵者的寶地。

　　3.終端、人的眼睛和拍照

在傳統業務之中，敏感信息會不斷通過運維和業務程序流動到桌面和人的眼睛，給敏感數據的安全帶來巨大挑戰。

　　(1)運維訪問攜帶大量的敏感數據

運維賬戶具有很高的訪問權限，如特權賬戶可進行一系列的越權訪問：訪問不該訪問的數據和訪問過多的數據。

　　(2)運維訪問下載敏感數據

運維訪問獲得海量數據並下載到客戶端，無論是惡意的還是業務需要，都會給敏感數據流動帶來風險。

　　(3)業務訪問返回敏感數據

隱私和敏感數據的價值在這幾年才得以被重視，需要被嚴格保護。但歷史性的業務應用程序往往沒有隱私和敏感的概念，很容易泄露敏感數據，甚至被記錄、截屏或者拍照。

　　(4)業務系統缺陷導致非預期大量數據返回

任何業務系統都存在缺陷，缺陷容易被利用，使敏感數據大批量地從安全數據中心流動到缺乏安全性控制的個人終端。

　(5)業務系統漏洞導致非預期數據獲得

醫療各類業務程序的 SQL 注入漏洞易被利用拖庫。

　五、雲端業務不分內外

當前國家鼓勵“互聯網+醫療健康”發展，一方面推動着醫療業務不斷互聯網化和雲化，另一方面也會給雲端業務帶來特殊的數據安全挑戰。

　　1.雲環境的非受控性和上帝之手

　　(1)用戶沒有設備採購和部署權利

在雲環境中，用戶只能租賃雲服務公司的設備，無法改變雲環境的網絡結構，也無法在雲環境中部署硬件設備。這種方式帶來了幾個困難：

　　(2)雲環境是一個不受信任的非安全環境

不同於線下數據中心較為完整的安全措施，雲環境具有以下非安全特徵：用戶在雲上擁有最為重要的業務和數據，但機房場地、安保不屬於用戶，場地、設備和環境運維都不受控制，基礎平台也不受控制。本質上說，用戶需要把極為重要的數據存儲在不受信任的環境之中。

　(3)上帝之手的挑戰和制約

雖然在線下數據中心也存在着具有無限權力的 DBA。但是在線下，DBA 被醫院管理和教育，無限的技術權力在現實中會受到制約。但是在雲環境中，雲服務商和雲服務商的運維員工則完全遊離在醫院管理之外，是真正意義上的上帝之手。

　2.雲環境的開放性和權力等同性

　　(1)網絡安全措施的不同

線下環境中的網絡安全機制與雲環境不盡相同。譬如部署在線下的防火牆設備可實現惡意入侵檢測功能，並可根據需求啟用白名單配置功能以完成MAC地址綁定等准入機制，即防火牆還可完成部分內控功能。但是在雲環境中，內控機制面臨更多挑戰，網絡安全設備只能完成惡意入侵檢測。

　　(2)網絡開放度的不同

線下環境中，網絡僅向部分人員開放。即使存在互聯網接口，也存在受限制的通道。但在雲環境中，網絡向所有人開放，包括員工、合作夥伴、黑客以及各種不法分子。所有人都可以無限制接觸雲環境的開放服務。例如：在線下環境中，數據庫會放置在網絡核心深處，只有少數人可以接觸。但是在雲環境中，全世界所有人都可以到達你的數據庫。

　　(3)用戶權力的不同

在雲計算環境中，無論是是員工還是入侵者，所有用戶的權力是等同的。也就是說，雲環境中的人已經沒有內外之分。

網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

智慧手機時代的來臨，RWD網頁設計已成為網頁設計推薦首選

想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計

帶您來看台北網站建置，台北網頁設計，各種案例分享

廣告預算用在刀口上，網站設計公司幫您達到更多曝光效益

http://www.3chy3.com/?p=2369