★ FEATURED ARTICLE 1. 安全运维管理在等保测评里是什么位置1.1 等保2.0管理要求的整体框架做过等保测评的人应该都有同感技术是短板管理是洼地。等保2.0GB/T 22239-2019里管理类控制项的数量比技术类还要多测评机构逐项给出符合、部分符合、不符合、不适用结论时管理类控制项一旦大面积失分整体符合率会非常难看报告结论也跟着被拖下来。很多单位备战等保测评时把精力几乎全砸在安全计算环境、安全区域边界上——防火墙策略、入侵防护规则、日志审计服务器、主机加固脚本这些有界面、有告警、有报表的东西确实容易验收也容易在测评现场秀肌肉。可到了管理类要求准备度立刻就露馅了制度文件还是好几年前的旧版本组织架构早就变了但文件里的部门名称没改台账要么没有、要么是测评前突击补的。测评师现场访谈一开口被访谈的运维人员答非所问气氛直接冷场。我在多个测评项目里观察到的规律是管理类的平均得分率普遍低于技术类尤其第三级系统这个差距更明显。原因也不难理解——技术整改可以靠一次采购、一次割接到位管理要求却需要制度、流程、记录三件事日复一日地运转临时抱佛脚很难装得像。这恰恰是安全运维管理这一章被单独拿出来讲的价值所在。1.2 安全运维管理的控制项清单与测评分值分布等保2.0通用要求的安全管理部分一共五章安全管理制度、安全管理机构、安全人员管理、安全建设管理、安全运维管理。其中安全运维管理是控制项最多的一章按常规测评顺序我先把清单完整列出来环境管理资产管理介质管理设备维护管理漏洞和风险管理网络和系统安全管理恶意代码防范管理配置管理密码管理变更管理备份与恢复管理安全事件处置应急预案管理外包运维管理这14个控制项就是安全运维管理部分的全部检查点。前四项——环境管理、资产管理、介质管理、设备维护管理——是典型的台账型控制项证据主要是制度文本和日常记录不依赖复杂技术平台准备门槛相对低但正因为看起来简单反而容易被轻视失分率一点也不低。从漏洞和风险管理开始的十个控制项涉及漏洞扫描、恶意代码防护、备份恢复等技术支撑证据形态更复杂我计划放在安全运维管理的下一篇里展开。这里提醒一点安全运维管理在整个等保测评中的分值占比通常在全部分值的8%到12%之间具体数字会因测评机构采用的作业指导书和评分细则而略有浮动。单个控制项的分值看着不高但架不住数量多、累计失分可观。更关键的是管理类控制项的判定往往没有模糊地带——环境管理没有制度这一项就是不符合资产管理没有台账这一项也是不符合。不存在其他方面做得不错这项勉强给个部分符合的余地。1.3 测评的三种证据形式文档、访谈、现场核查测评师现场核查一个管理类控制项遵循的是文档→访谈→核查三步走。第一步翻制度文件看要求有没有写进管理体系第二步找相关岗位的人访谈看要求有没有人知道、知不知道具体怎么执行第三步去机房和办公现场看实际做没做、记录留没留。这三步对应三类证据文档证据制度、办法、操作规程、应急预案、各类台账记录访谈证据对相关岗位人员现场提问和回答内容的记录现场证据机房物理环境、设备标识、监控系统、巡检记录等实物状态一个控制项要判符合三类证据必须能互相印证。制度写了、人也知道、但现场拿不出记录只能判部分符合现场记录很完整但制度里根本没写这项要求同样是部分符合。理解了这套逻辑很多失分点其实在测评前就能自己预判出来。下面就把环境管理、资产管理、介质管理、设备维护管理这四项逐一拆开讲。2. 环境管理机房现场的每一项记录都要经得起追问2.1 环境管理的测评要点拆解环境管理这个控制项很容易被误认为是安全物理环境的翻版但两者视角完全不同。安全物理环境是技术类要求检查的是机房有没有门禁、有没有监控、消防设施齐不齐环境管理属于管理类要求检查的是你管没管——有没有人负责、有没有制度、有没有记录。以第三级系统为例环境管理的检查点我归纳为四个第一指定专门的部门或人员负责机房安全管理明确职责。这块要能拿出书面职责分工文件比如单位的信息安全管理办法里写明运维部负责机房日常管理某某担任机房管理员而不是口头说机房是运维老张在管。第二建立机房安全管理制度对物理访问、人员进出作出规定。制度里应明确机房出入的审批流程、允许进入的人员范围、进入机房的注意事项、禁止行为。测评师看的是制度有没有覆盖这些内容缺一项就是一个扣分点。第三对进出机房的人员进行管理并保留记录。这里对应的是机房出入登记表来访人员姓名、单位、事由、进出时间、陪同人员、审批人都是必填项缺一不可。第四对机房的温湿度、清洁、消防设施等状态定期巡检并保存记录。对应的是日常巡检表通常在运维值班制度里一并体现。第二级的检查点会少一些主要看重岗有人、制度落实第四级、第五级会增加环境监控、异地容灾机房管理之类的更细要求。我下面按目前测评需求量最大的第三级来展开。2.2 机房出入与巡检记录的实操模板直接给一份在实际项目里验证过比较顺手的机房出入登记表结构字段说明日期精确到日来访人姓名与身份证件一致来访单位外部人员必填事由如设备巡检、系统调试、卫生清洁进入时间精确到分钟离开时间精确到分钟携带设备手机、笔记本、U盘等陪同人员本单位机房管理员审批人部门负责人或授权人员来访人签字确认记录属实为什么进出时间要精确到分钟因为测评师核查时会随机挑一条记录追问这个人为什么晚上十一点进机房当时的审批人是谁进去做了什么如果记录时间模糊、事由一栏写着有事两个字访谈环节基本就露馅了。这个细节不需要多解释管理痕迹是否真实往往就藏在这种细节里。巡检记录表建议做成固定周期、固定检查项的表格。比如每天早晚各巡检一次检查项包括机柜温湿度、UPS运行状态、精密空调状态、漏水检测、烟雾报警、消防设备压力表等每项打钩并填写实测值巡检人签字。温湿度这一栏尤其建议填具体数值写机房温度25.3℃、湿度48%和笼统打钩温度正常在测评师眼里的可信度完全不同。另外如果单位机房已经部署了动环监控系统强烈建议把传感器数据和手写巡检记录联动保存。测评时直接导出监控平台的温湿度曲线、告警记录、设备离线记录比纯手写记录扎实得多。毕竟手写记录可以补传感器数据是实时产生的可信度天然高出一截。2.3 现场核查中常见的环境管理不符合项这几年在现场核查环节见到的典型问题我列几个有代表性的第一个出入登记表是一本流水账但没有任何审批痕迹。来访人员自己签名进出审批人一栏长期空着或者说本没有这一栏。这说明进出机房没有实施有效的审批控制测评师会直接记录为缺陷。第二个制度文件用的还是几年前的旧版本里面提到的机房地址、部门名称、负责人和现状完全对不上。单位搬过机房、调整过组织架构制度却一直没有修订这种情况在测评中很常见判定基本是部分符合起步。第三个巡检记录补签痕迹明显。最常见的是连续一个月的巡检记录由同一支笔、同一颜色、同一种笔迹签完连周末和节假日的日期也一天不落。测评师对着日历前后一比对就能看出问题。这种记录不仅拿不到分还会让测评师对整个单位管理文件的可信度打折扣连锁影响其他控制项的判定。第四个机房物理管控和监控留存明显不足。机房门常开、重要区域无监控、监控录像只保留一天这些信息测评师会同时记入技术类和安全运维管理类的观察记录两边都受影响。我的建议很直接测评前至少一个月就开始认真执行出入登记和巡检流程让记录真实地长出来而不是测评前三天突击补。因为测评师一旦追问细节补出来的记录很容易穿帮——巡检时间、人员姓名、天气情况都可能对不上。3. 资产管理一份好台账的颗粒度标准3.1 资产清单到底要细到什么程度资产管理的核心证据就是一份资产清单也就是资产台账。等保2.0对资产管理的要求是编制并保存与等级保护对象相关的资产清单明确资产责任人。难点恰恰在与等级保护对象相关这七个字。很多单位把全公司的IT资产一股脑塞进一张Excel几百台电脑、几百个账号堆在一起测评师在上面根本划不出测评对象的边界——哪些资产属于被测评的这个系统根本无法判断。正确的做法是先划定等级保护对象边界再列边界内的资产。比如某单位的综合业务管理系统定级为第三级资产清单就应该围绕这个系统的组成资产来建服务器、数据库、中间件、网络设备、安全设备、操作系统、业务软件、数据文件、管理终端、外设等每类资产单独成表或用筛选字段分类。一份合格台账的颗粒度我建议至少达到这个水平硬件设备设备名称、型号、序列号、IP地址、所在位置、启用日期、责任人、关联系统软件软件名称、版本、授权信息、部署位置、运维责任人数据数据库实例、数据量级、备份策略、存放位置、责任人线路与链路专线编号、带宽、两端设备、运营商联系人文档制度文档、设计文档、操作手册、应急预案的版本清单责任人字段是访谈环节的重点。测评师会追问这台数据库服务器的配置变更由谁审批日常巡检谁在做如果台账上只写了一个人名而这个人在访谈时对设备情况一问三不知资产管理的分数就很难保住。3.2 资产标识与责任人的落地方法台账是纸面上的资产标识是物理上的两者必须对应。现场核查时测评师会随机抽查机柜里的几台设备核对序列号或IP地址是否在台账中登记、是否贴有资产标签。标签建议包含资产编号、责任人部门、维护日期三项。IP地址不要印在标签上——IP属于配置信息贴在机柜外侧反而增加暴露面资产编号和责任人信息足够现场核对了。资产变更登记流程是我特别想提醒的部分。单位里最常见的流程漏洞是新设备上线了台账还没更新。运维部门上架一台新服务器跑业务三个月后设备报废了台账上从来没有出现过它的名字。测评现场一旦发现台账与实物不符资产管理和配置管理两个控制项都会被记缺陷。建议在运维流程里加一条硬性规则设备上线前必须先完成资产登记拿到资产编号否则不分配IP、不接入业务。这条规则可以写进网络运维制度并和工单系统挂钩——没有资产编号的工单直接驳回。从流程上保证台账不会滞后这是实践中证明最有效的手段。3.3 我在评审中看到的资产台账典型问题第一个典型问题是只有硬件没有软件。一台数据库服务器上跑着十几套业务软件和中间件台账上只登记了PC服务器这一行。软件资产是漏洞和风险管理、配置管理控制项的数据基础硬件台账再漂亮软件资产空缺后续很多控制项都会缺少关联证据整改时还得返工补软件清单。第二个典型问题是责任人写成运维部而不是具体岗位或个人。测评师看到责任人运维部基本会判部分符合因为职责无法落实到人。资产管理要求明确到责任人至少要明确到具体岗位并且有具体的人在承担这个岗位。第三个典型问题是跨系统资产归属不清。中大型单位普遍有虚拟化平台一台物理宿主机上跑着三套不同等级系统的虚拟机物理机算哪个系统的虚拟机又怎么登记我的建议是按等级保护对象边界分别登记。物理机属于哪个定级对象就归入哪个对象虚拟机按承载的业务归属登记同时在物理机与虚拟机的对应关系表中注明宿主关系避免现场核查时说不清。顺便提一个容易被忽略的点资产台账要有最后更新时间。大部分台账是Excel建议在表头标注最近盘点日期并保留每年至少一次的资产盘点记录。盘点记录不需要多正式但要有范围、有结果、有参加人员、有盘点日期。这些内容对测评师来说就是你确实在持续管理资产的直接证据。4. 介质管理失分率最高、补救最麻烦的控制项4.1 介质管理的检查逻辑介质管理里的介质主要指移动存储介质——U盘、移动硬盘、光盘、磁带也包括备份数据所在的存储介质。这个控制项的检查逻辑可以浓缩成三句话介质要有标识、有台账、有审批。很多单位的现状是办公用的U盘散落在各办公室采购了一批新的也没登记旧U盘坏了随手扔掉里面的数据有没有人管完全没有答案。所以介质管理失分率高不是因为测评标准苛刻而是因为日常根本没把介质当成需要受控的资产来管理。介质管理的测评检查逻辑按这个顺序来制度有没有介质管理制度是否覆盖采购、标识、使用、保管、携带、销毁全流程台账有没有介质台账记录介质的编号、类别、使用者、用途、存放位置、状态标识介质本体上有没有明显标识能否与台账对应审批介质带出单位、介质接入内部系统有没有审批记录销毁不再使用的介质是否经过数据清除或物理销毁有没有销毁记录4.2 移动存储介质全生命周期管理先厘清一个容易混淆的点介质的生命周期管理和固定资产管理不是一回事。固定资产管理管的是这个U盘在谁手里介质生命周期管理管的是这个U盘里的数据受到什么保护、谁有权使用、流向哪里。因此介质台账的字段和固定资产台账不一样必须包含密级和用途这两个核心字段。一份能应对现场核查的介质台账建议保留这些字段字段说明介质编号唯一标识建议以标签形式贴在介质上介质类型U盘/移动硬盘/光盘/磁带容量存储容量密级内部/秘密/机密等责任人使用人或保管人用途仅限某系统备份/日常数据交换等存放位置办公室/机房/保险柜当前状态在用/停用/待销毁/已销毁登记日期采购入库日期介质的采购入库要登记、领用要签收、带出单位要审批、归还要核验这几个动作对应的记录测评时都要能拿得出来。尤其是带出审批——大多数单位几乎完全没有这个流程。有事着急U盘揣兜里就走了根本没想过跟谁报备。测评现场问到这个问题十有八九的回答是没有做。这里有个可直接落地的做法把介质带出审批做成电子流程和OA或工单系统结合。表单字段包括介质编号、携带人、带出事由、带出时间、预计归还时间、审批人、数据内容说明。不需要每次都很复杂关键是留下可追溯的记录。审批流程本身也有一个实际作用让带出介质的人在掏出U盘那一刻意识到里面可能有敏感数据这个动作本身就是一次安全意识教育。4.3 介质销毁环节的高频踩坑点介质销毁是测评师重点追问的环节因为它是数据生命周期管理的最后一环也是日常管理中最容易长期缺失的一环。常见问题一没有销毁制度。制度里从头到尾没写停用介质应进行数据清除或物理销毁那么台账上出现待销毁状态就是无源之水测评师会追问这个状态是谁定义的、依据是什么。常见问题二有制度但没执行记录。制度写了要销毁实际上报废的介质堆在仓库角落没有销毁人、没有见证人、没有销毁时间、没有销毁方式。现场问起来只能回答还没销毁这一项基本锁死为部分符合。常见问题三销毁方式写得太随意。一张登记表上写着直接丢弃这在管理上等于没有销毁。至少应明确区分普通介质采用格式化加多次覆写含敏感数据的介质应采用物理销毁比如粉碎、熔毁、酸碱腐蚀这类不可恢复的手段并且留存过程记录。常见问题四光盘、磁带这类介质被忽视。大家关注U盘和移动硬盘比较多但业务系统归档用的光盘、备份系统用的磁带同样是介质同样要有台账和销毁流程。我见过一个项目备份磁带机还在运行磁带堆在机房角落没有任何标识这就是典型的技术设施在管理要求缺。给一份可以直接套用的销毁记录字段介质编号、介质类型、销毁方式、销毁原因、销毁日期、销毁人、监督人。两个签名都要有因为访谈时测评师很可能问谁来监督销毁过程答案必须是有明确安排的监督人而不是就我们顺手处理的。5. 设备维护管理维修痕迹管理才是真正的难点5.1 设备维护管理与介质管理的边界设备维护管理控制项的要求是对设备进行定期维护、保养并保存维护记录设备的维修维护、报废等应履行审批手续。这里和上一节的介质管理有一个交集——报废设备里的存储介质怎么处理。很多单位的逻辑是设备报废了硬盘跟着一起扔这在等保测评里是明确的管理缺陷。正确的做法是设备报废前先对存储介质做数据清除或销毁介质单独走介质销毁流程设备本体再走设备报废流程。两条线必须分开不能混在一起。设备维护管理的检查重点有三个维护制度是否完善、维护记录是否真实、审批流程是否闭环。5.2 外送维修和报废处置的审批闭环设备维护管理现场核查里最难的环节是外送维修。为什么难因为外送维修意味着设备物理离场设备里的数据脱离单位管控范围。管理要求上外送维修必须做三件事维修审批填写设备外送维修申请单说明故障情况、维修单位、预计工期、是否包含存储介质由部门负责人审批数据处置含存储介质的设备外送前应清除数据确实无法清除的要有专人陪同或进行登记备案过程记录送修时间、取回时间、维修结果、维修人员签字一个都不能少我见过一个反面案例某单位一台业务服务器硬盘故障运维人员直接叫厂家工程师上门换盘顺手让厂家把旧盘带走了。测评现场核查时被问到旧盘去向运维人员答不上来。结果设备维护管理和介质管理两个控制项同时被记了不符合。这个教训值得所有备测单位记住——厂家带走任何部件都要有单据更换下来的旧部件一律留在单位按介质销毁流程处置。设备报废的审批闭环也是高频检查点。报废申请单至少要包含设备名称、资产编号、报废原因、技术鉴定结论、数据清除确认、审批人、处理方式回收、变卖、物理销毁。很多单位的固定资产报废流程由财务主导流程中完全没有信息安全环节测评时就会被认为报废环节没有考虑数据安全。5.3 设备维护记录在访谈环节的提问方式访谈环节里测评师不太会问你有没有维护制度这种送分题真正有价值的问题长这样上次对核心交换机做配置备份是什么时候备份文件存在哪 这台数据库服务器上个月有没有做过硬件巡检巡检记录给我看一下。 你的维护记录显示3月5日更换过内存条当时内存条是谁采购的旧内存条去哪了这些问题考察的核心是维护记录能不能和实际情况相互印证。如果维护记录做得敷衍——一天之内巡检了机房全部38台设备、每台设备只写了正常两个字——测评师只需要从中抽一台问这台设备当时CPU使用率大概多少或者机柜里有几台设备基本就能判断记录的真实程度。我的实操建议是维护记录采用设备档案袋方式管理每台设备一个文件夹或者一个电子目录按时间顺序放这台设备的巡检记录、故障处理记录、配置变更记录、硬件更换记录、送修单据。这样一方面方便运维人员快速回溯设备历史另一方面测评时按设备抽检非常顺畅比一堆零散的运维日志更能体现管理水平。还要提一个容易忽略的细节维护记录上的设备名称要与资产台账一致。我见过一次测评台账上叫WEB-01的服务器在维护记录里变成了门户网站服务器测评师花了十分钟让运维人员确认这是同一台设备。这种命名不一致虽然不直接扣分但会拖慢测评节奏给测评师留下管理不规范的印象得不偿失。6. 给正在备测的团队一份自查清单6.1 四类控制项的证据清单把前面讲的四类控制项对应的证据材料整理成一张清单可以直接打印出来对照准备控制项必查文档必查记录现场核查重点环境管理机房安全管理制度、职责分工文件机房出入登记表、日常巡检表、监控录像留存策略机房门禁、监控、巡检表与监控数据一致性资产管理资产管理制度资产清单、盘点记录抽检设备序列号/IP与台账一致性、资产标签介质管理介质管理制度介质台账、领用记录、带出审批单、销毁记录介质标识、报废介质存放情况设备维护管理设备维护制度巡检记录、故障处理记录、送修审批单、报废申请单维护记录真实性、外送维修流程准备顺序建议是先补文档各项管理制度再补台账资产清单、介质台账最后补过程记录出入登记、巡检表、审批单。过程记录是制度落地之后自然产生的制度没定好就去补记录补出来的东西跟制度对不上返工成本更高。6.2 访谈环节怎么回答测评师的问题访谈是管理类控制项测评里最容易翻车、也最容易加分的环节。几个实用原则第一回答要和你提供的文档一致。制度里写的是机房出入须经负责人审批你就不能回答一般喊一声就进来了。回答与文档矛盾测评师会记在记录单上这个控制项基本告别符合了。第二不知道的问题不要硬编。测评师问到某个具体操作如果执行人确实不清楚就如实说这个由某某负责我可以现场联系他确认。当场确认比支支吾吾编一个答案要体面得多。第三访谈对象要选对口。运维工程师、网络安全管理员、机房管理员这三类角色最好各准备一人。测评师访谈时按控制项找对口人员——环境管理找机房管理员资产管理找资产管理员介质管理找数据管理员或运维人员。别让一个运维工程师替所有岗位回答问题答不上来反而难看。第四配合度高是有实际好处的。访谈环节态度积极、材料递得顺、记录拿得快测评师对管理类控制项的判定倾向会更友好。这听起来有点玄但做过两轮测评的人都会承认现场配合度对测评体验和报告结果有真实影响。6.3 从整改到复测的时间规划建议如果单位正处于等保测评的整改阶段建议按三个月来规划第一个月整理制度文档。补齐缺失的制度修订过期版本重点核对制度内容和单位当前实际是否一致——机房位置、组织架构、系统名称凡是物是人非的地方都要改。第二个月重建台账。盘清资产和介质家底把存量设备的标识、责任人信息补齐。同时启动过程记录的双轨运行一边把历史遗留的制度化动作补录归档一边开始按新流程生成新的记录。第三个月自查加模拟测评。找一个没参与过准备工作的同事或者外部顾问拿着清单按测评师的方式走一遍文档、访谈、现场核查三件套提前暴露问题再针对性整改。这套节奏在多个项目里验证过最大的价值是给过程记录留出了真实生成的时间窗口。管理类要求跟技术整改不同记录必须真实做出来突击补出来的记录在细节上很难经得起追问。所以至少留出两个月让制度落地、让记录自然积累这样测评现场才会顺畅。关于安全运维管理的其他十个控制项——漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理、外包运维管理——涉及的技术平台和证据形态会更复杂下一篇再单独展开。这次给到的自查清单建议直接按你们单位的等级保护对象边界裁剪一份来用。测评不是测评师一个人的独角戏准备越充分现场越顺畅报告结论也越干净。
阅读完成 · 觉得有帮助？
