构建港航企业动态网络安全防护体系研究与实践—以企业AUC为例

构建港航企业动态网络安全防护体系研究与实践—以企业 A UC 为例

刘爱华 张勇 万秀青

青岛前湾集装箱码头有限责任公司 青岛 266550

摘 要

随着信息技术和互联网应用的迅速应用和推广，网络安全形势日趋严峻，企业面临多方面网络安全风险和威胁。因此，构建完善的网络安全防护体系、筑牢企业网络安全堡垒成为企业内控的关键组成部分。本文以某港航企业为例（文中称为AUC）对网络安全管理现状分析并提出网络安全智能防护体系解决方案。

关键词：网络安全；网络安全体系；供应链安全

当前，世界百年未有之大变局和新冠肺炎疫情全球大流行交织影响，网络空间安全斗争博弈日趋激烈，网络攻击无处不在，网络安全变得至关重要。当前，港航业已成为网络安全的重灾区，地中海航运、马士基、达飞等船公司均曾遭受网络攻击，并造成业务运营停顿。因此，保障港口网络安全，对港口稳定生产至关重要。AUC积极推进网络安全工作，做到网络安全管理依法合规、落实责任、风险可控、提升能力、增强意识、制度体系全面覆盖，打造了动态智能网络安全防护体系。

1. 原网络安全管理状况分析

AUC主要从事集装箱及其他货物的装卸堆存业务，公司信息化网络辐射到公司所有区域，包含有线网、2.4G、5.8G、5G等网络；主要建设了码头生产指挥控制系统、财务管理系统、项目管理和邮件系统等应用系统。最近几年互联网应用逐渐增多，比如箱区导航系统、网上订餐、企业微信号等逐渐上线，对网络安全管理提出了更高要求

AUC一直非常重视绿色智能化码头建设，公司采购了防火墙、入侵防御设备等网络安全设备，实现了网络的基本安全防护，但是未实现这些网络安全设备信息的集中分析和设备联动；公司信息化管理办法也已经不适应当前严峻的网络安全形势；网络安全管理一直是网络管理人员兼管，存在管理不规范、不专业的问题。

近几年上级主管部门和公司领导高度重视网络安全，要求逐渐完善网络安全管理制度和管理体系，筑牢公司网络安全防线。

2. 创建动态网络安全防护体系措施与实践

在分析以上网络安全管理现状后， AUC建立了网络安全领导小组，制定了网络安全责任制，设立了网络安全专职管理人员，采取如下措施创建了智能动态网络安全防护体系。

（一）建立网络安全管理支撑体系。

AUC依据国家及集团有关网络安全的法律法规，制定了由管理制度、流程和标准规范等组成的4层网络安全支撑体系。第一层为方针政策， 第二层为管理制度，第三层为技术标准和规范，第四层是流程表单（图一）。并以确保网络安全、实现持续改进为网络安全管理方针，制定了《网络安全管理办法》，完善了AUC数据中心管理、软件运维开发、服务器和终端配置、网络设备安装等的技术标准和规范，同时制定并实施了《账户申请表》、《机房出入申请表》等OA审批流程，规范了设备日常检查表、机房每日检查表、日常舆情检查表等表格。做到了网络安全管理有依据、操作有规范。

图一

（二）规划建设网络安全技术防护体系， 提升输出安全服务能力。

1. 设计部署纵深区域性网络架构。AUC将公司的网络根据实际使用情况划分成办公网区、生产网区、非军事管理区（DMZ）、因特网等区域和集团互联区，网络区内又根据功能位置划分多个子网，并设置了区域和子网之间严格的访问规则，实现了各网络区域间安全风险的有效隔离，提高了整体网络安全稳定性，保障了核心生产系统的安全可靠性。

2.加固网络安全防护。AUC通过部署态势感知、风险入侵防御阻断、日志审计等设备，加强了风险识别与响应能力；提升了防火墙、WAF防护性能，加强了纵深防御能力。通过建设统一网络安全数据分析平台，实现各网络设备之间联动，变被动防御为主动防御。

3.加强信息化供应链安全管理。AUC根据《GB∕T36637-2018信息安全技术ICT供应链安全风险管理指南》和《供应商信息安全要求》，明确规定了供应链安全管理的责任分工、管理目标、供应链安全隐患、供应链安全风险控制措施以及供应商的选择和管理等细则。制定了供应链安全应急预案并进行了演练。梳理制定了供应链产品清单、供应链企业清单、供应链产品安全隐患清单、供应链企业安全隐患清单等,补齐了供应链安全管理的短板。

4.坚持实行网络安全持续动态化管理原则。不定期进行网络安全自查，网络安全灰色地带清理，网络边界梳理，黑名单和安全策略动态更新，降低易被网络攻击风险，提高应用系统、增强应用系统抵御风险的能力；定期进行信息化资产摸底清理与安全风险资产整改。

5.不定期组织全要素攻防演练、网络渗透和定期安全测评。

日常做好安全防护、攻击监测预警与应急处置工作，积极配合公安机关和集团组织的攻防演习，检验公司的防护能力和一体化联动监测处置机制，确保参演目标安全，演习中通过主动发现，提前堵塞漏洞威胁；进行关键生产系统三级等保测评和网络安全测评，并对发现的问题进行及时整改，消除风险。

（三）建立网络安全通报机制，加强与上下级有关机关部室的信息上传下达。

与网信办、公安机关、上级管理部门等网络安全监管部门建立联系。根据上级部署，积极进行大活动期间网络安全保障工作、进行网络安全风险整改，每月上报网络安全月报，积极配合公安机关的网络安全行动。在公司内不定期进行网络安全通报传达与学习。

（四）积极组织网络技术培训，培养网络安全技术团队，提升全员网络安全意识。

组织网络安全专题培训、全员大培训，举办网络安全宣传周视频展播和主题演讲，大力推动网络安全宣传教育工作。在公司上下形成网络安全工作的良好氛围，打造“人人是网络安全官”的正确网络安全观。通过参加网络安全大赛和专业技术培训，拓宽信息中心专业人员的知识面，提升技术水平，打造技术过硬的网络安全专业团队。

三、构建动态智能网络安全管理体系后的效果

AUC认真贯彻落实国家、集团网络安全有关规定和部署，打造了AUC动态智能网络安全防护体系以后，形成了规范、动态、智能的网络安全闭环管理模式，做到了网络安全管理有依据、操作有规范，实现了网络安全广覆盖、体系化和全过程控制，提升了网络安全管理总体水平，有力地保障了生产办公系统的安全稳定高效运行。

参考文献

[1] GB∕T36637-2018信息安全技术ICT供应链安全风险管理指南 2018年

[2] 中华人民共和国网络安全管理法，2016年

[3] 中华人民共和国数据安全法，2021年

[4] 网络空间安全管理 谢宗晓， 甄杰，董坤祥，中国质检出版社，2017年

－ 6 －