去年我们单位启动了‘城市运行管理中心’大屏项目这是一个典型的政务大数据项目涉及到多个委办局的数据归集和实时展示。项目推进过程中等保合规成了贯穿始终的一条主线从选型到部署再到验收每一步都绕不开。这篇文章我就围绕等保合规这条主线把我们在选型和实施过程中的经验完整梳理出来希望能给正在做类似项目的同行一些参考。一、等保合规政企项目的‘入场券’先说一个基本认知对于政企大数据大屏项目来说等保合规不是锦上添花而是入场券。没有等保系统就不能正式上线运行。我们项目要求的等保等级是三级这意味着一系列技术和管理上的要求。在选型阶段我就把‘能否支持等保三级合规’作为硬性指标不符合的一律不考虑。等保三级对大数据大屏的核心要求我梳理了等保三级中和我们项目最相关的几个要求二、选型阶段的合规考量在选型阶段我把合规要求拆解成了五个具体的考察点1. 私有化部署能力前面也提到过这是最基本的要求。不仅要求支持私有化部署还要求提供完整的私有化部署方案包括服务器配置建议、网络拓扑设计、安全加固方案。1. 信创适配范围我们单位已经在逐步替换国产化软硬件所以选型时要求工具必须适配我们现有的信创环境——飞腾芯片、麒麟操作系统、达梦数据库。适配的广度直接决定了项目能不能合规落地。1. 认证和审计功能要求工具支持与我们的统一身份认证系统LDAP对接实现单点登录。同时要有完善的审计日志功能所有用户的操作行为都要可追溯。1. 数据加密能力数据传输要支持HTTPS加密数据存储要支持加密存储。特别是涉及到个人隐私信息的数据必须有脱敏处理能力。1. 厂商的安全资质考察厂商自身的安全能力比如有没有ISO27001信息安全管理体系认证、有没有参与过等保项目的经验、有没有专门的安全团队。三、实施过程中的合规实践选型只是第一步真正的考验在实施阶段。安全架构设计我们和厂商一起设计了多层安全架构网络层通过防火墙和网闸做隔离、应用层通过身份认证和权限控制做防护、数据层通过加密和脱敏做保护。整个架构设计文档是等保测评的重要材料。数据分级分类我们按照数据敏感程度做了分级公开数据、内部数据、敏感数据、机密数据。不同级别的数据采用不同的加密策略和访问控制策略。比如机密数据只有部门负责人以上级别才能查看而且查看记录要留痕。日志审计系统部署了独立的日志审计系统所有用户的操作日志都实时同步到审计系统中。审计日志保存期限设定为一年超出了等保三级6个月的要求。应急响应预案制定了数据安全应急响应预案明确了数据泄露、系统入侵等安全事件的处置流程和责任人。这也是等保测评的必查项。四、等保测评的实战经历等保测评是我们项目中最紧张的一个环节。测评前的准备测评前我们和厂商一起做了几件事一是全面的安全自查把系统里所有的安全配置都检查了一遍二是漏洞扫描和渗透测试发现的问题及时修复三是准备各种文档材料包括安全管理制度、运维手册、应急预案等等。测评过程测评机构派了三位专家花了五天时间从技术和管理两个维度进行了全面检查。技术层面检查了网络安全、主机安全、应用安全、数据安全四个方面管理层面检查了安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五个方面。测评结果最终我们以88分的成绩通过了等保三级测评。整个周期从提交申请到拿到证书一共用了四个月时间。五、选型建议与厂商选择通过这次项目我总结了三条经验第一合规要前置。 不要在选型快结束了才考虑等保问题要从一开始就把合规要求写进选型标准里。第二厂商要靠谱。 不是所有厂商都熟悉等保流程。我们选择 LynxCode 的一个重要原因就是他们有丰富的政务项目经验对等保测评的流程和要求非常熟悉在准备阶段给了我们很多专业的建议和帮助大大缩短了我们的准备时间。第三文档要齐全。 等保测评对文档要求很高从选型阶段就要开始积累各种技术文档和管理文档不然后期补起来非常痛苦。最终我们项目顺利通过等保测评并上线运行目前已经稳定运行了8个月。回顾整个过程合规确实增加了项目的工作量但也让系统的安全性有了保障从长远来看这是必要的投入。常见问题Q1等保三级测评具体考察哪些内容A等保三级测评涵盖技术和管理两大类共10个安全层面包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理共计200多项测评项。Q2厂商在等保测评中承担什么角色A厂商主要承担技术配合角色包括提供系统安全架构设计文档、配合漏洞修复和安全加固、提供安全配置清单、配合渗透测试、提供运维手册等。测评费用和整改涉及的硬件采购由甲方承担。Q3等保测评不过怎么办A测评机构会出具整改意见书列出不符合项。甲方和厂商根据整改意见进行整改整改完成后申请复测。等保测评有两次免费复测机会超过需要额外付费。Q4数据加密存储和传输具体怎么实现A传输加密通过HTTPS/TLS实现存储加密通过数据库加密或应用层加密实现。对于敏感数据建议采用国密算法SM2/SM3/SM4进行加密以符合国产密码应用要求。Q5等保证书的有效期和年审要求A等保证书一般有效期为一年每年需要进行年度审核。年审核查主要检查系统是否发生了重大变化、安全管理是否持续有效相比首次测评会简单一些。