等保2.0規范下的交易平臺安全體系建設
2013年，國務院八部委共同發布實施《電子招標投標辦法》及其配套文件《電子招標投標系統技術規范 第1部分：交易平臺技術規范》（以下簡稱《交易平臺技術規范》）。在此政策的推動下，近年來電子招標采購行業得到了快速的發展，各政府部門、國有企業、代理機構也建設運營了大量的電子招投標交易平臺，同時市場上還存在不少在建、待建的電子招投標交易平臺。電子招投標交易平臺在提高工作效率，降低采購成本，規范業務流程以及保障交易信息安全等方面發揮了巨大作用。
2017年，國務院六部委共同發布實施《”互聯網+“招標采購行動方案（2017-2019）》，方案要求推進依法必須招標項目的全流程電子化招標采購。同時，強調電子招投標交易平臺運營機構通過有關管理措施和技術手段，加強風險管理和防范，及時識別和評估平臺安全風險，確保平臺運營安全和數據安全。同年，《網絡安全法》正式實施，該法律將網絡安全上升到了國家戰略高度，明確規定了網絡運營者等主體的法律義務和責任，以及我國實行網絡安全等級保護制度。
等級保護在網絡安全保障方面起著至關重要的作用。為了適應新技術的發展，解決云計算、移動互聯、大數據等領域信息系統等級保護工作的需要，網絡安全等級保護制度2.0標準于今年5月正式發布，并將于12月1日全面實施。等保2.0新政的出臺，為電子招投標交易平臺的安全體系提供了新的參考標準，對規范電子招投標交易平臺的安全建設和運營，推動其健康發展起到了重要作用。
等保2.0標準根據信息系統在國家安全、經濟建設、社會生活中的重要程度，信息系統遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等因素劃分為一級至五級，等級逐級增高。每一個等級根據業務目標、使用技術、應用場景等的不同，分為安全通用要求和針對云計算、移動互聯、物聯網和工業控制系統的安全擴展要求。每一個要求由技術和管理兩部分組成，技術部分包括安全物理環境、安全通信網絡、安全區域邊界、安全計算環境和安全管理中心5個方面；管理部分包括安全管理制度、安全管理機構、安全管理人員、安全建設管理和安全運維管理5個方面。
《交易平臺技術規范》根據平臺重要業務信息安全保密的要求引入了等保1.0中二級和三級的部分內容，側重從技術安全的角度對系統的接口技術要求、安全性、可靠性以及運行環境四個部分進行了闡述。其中安全性的部分作為重點，又具體細分為身份標識與鑒別、電子簽名、電子加密和解密、訪問控制、通信安全、存儲安全、資源控制、數據安全及備份恢復、安全缺陷防范及安全審計10個方面。
等保2.0標準出臺以前，電子招投標交易平臺主要是參考《交易平臺技術規范》的內容進行安全體系建設，重點關注架構安全以及被動防御能力的要求，如漏洞管理、系統加固、安全域的劃分等。等保2.0標準結合《網絡安全法》中對于持續監測、威脅情報、快速響應類的要求，提出了更加具體的主動防御管控措施。因此，在等保2.0標準出臺后，也有越來越多的交易平臺運營機構開啟了等保2.0三級的安全升級建設。圖（1）給出了等保2.0三級基本要求與《技術規范》安全要求的對應關系，可以看到除了“資源控制”安全要求以外，《技術規范》的所有其它安全要求都包含進了等保2.0三級基本要求技術部分的四個方面，而對會話連接數限制、資源監測等方面的資源控制則在等保2.0標準中降低了要求。
本章節將摘選等保2.0三級技術部分與《技術規范》對比，將新增或加強的重要安全控制點進行簡要分析。
1、邊界防護
等保2.0三級基本要求增強了內外網訪問的權限控制，首先對外部非授權設備聯到內網行為進行檢查或限制，其次對內部用戶非授權聯到外部網絡進行檢查或限制。交易平臺可采用VPN、堡壘機設備通過配置賬號、IP、端口訪問等審計策略來控制外部設備及內部設備安全訪問內外網。
2、身份鑒別
《技術規范》中主要強調了使用CA證書對交易主體以及需要交易主體承擔相應法律責任的在線交易行為進行身份標識與鑒別。等保2.0三級基本要求增強了身份鑒別的方式，要求采取口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用密碼技術實現。CA就屬于密碼技術，主要作用于對招投標文件的加解密和簽名蓋章等，它也可與短信密碼動態口令技術組合使用，實現如用戶注冊、登錄驗證、密碼修改等其它關鍵業務環節的用戶身份鑒別。
《技術規范》對訪問控制的要求主要體現在對用戶的賬號、功能權限及數據權限的控制上。等保2.0三級在《技術規范》要求之上還提出了要實現基于應用協議和應用內容的訪問控制，以及對重要的主體、客體采用強制訪問控制機制。
傳統的安全訪問控制主要是在安全防護區域邊界處設置防火墻、路由器、交換機等網絡安全設備，對流經的數據進行嚴格的訪問控制。隨著網絡安全態勢的日益嚴峻，交易平臺還需要部署專門應對Web應用攻擊的防護產品，如WAF。WAF分為硬件、軟件、以及云等不同形態，主要特點是對應用層的HTTP/HTTPS協議以及頁面的輸入驗證進行控制，從而提供安全區域最前端的安全邊界防護。
強制訪問控制機制可以防范木馬攻擊，它的核心是為主體、客體做標記，根據標記的安全級別來決定一個主體是否可以訪問某個客體。安全標記是強制性的屬性，它由安全管理員或操作系統根據限定的規則確定，用戶或用戶的程序不能加以修改。如果系統認為具有某一個安全屬性的用戶不適于訪問某個文件，那么任何人都無法使該用戶具有訪問該文件的權力。強制訪問控制比自主訪問控制具有更高的安全性，能有效防范木馬，也可以防止在用戶無意或不負責任的操作時泄露機密信息，適用于專用或安全性要求較高的系統。在招標全流程執行過程中，存在一些易發生泄漏影響交易公平公正的重要敏感信息，如投標人信息、開標一覽表信息、評標委員會名單、評標過程相關信息等，可對后臺運維權限采用強制訪問控制機制，以保護這些敏感信息不被泄露。
加強對網絡攻擊的主動防御是等保2.0的重點內容。相比《技術規范》“不應存在可能引起安全缺陷的語句、命令；應能夠識別和屏蔽非法訪問”的要求，三級要求在安全域邊界和安全計算環境方面提出了更為全面的主動防御要求：
4.1 主動防范來自外部和內部的網絡攻擊行為，對攻擊行為進行分析及報警。交易平臺可在網絡和應用層面部署IPS設備，防DDOS設備實現對明確判斷為攻擊的行為和會對網絡、數據造成危害的惡意行為進行主動防御；安裝網絡流量分析系統，對DDoS流量、網絡濫用誤用、蠕蟲爆發、P2P流量等異常流量進行分析檢測，同時對連接數，累計流量數，數據庫訪問連接及流量進行每日比較，對超過告警閾值的流量進行告警；安裝數據泄露防護系統，通過身份認證和加密控制以及日志統計對內部文件進行控制，最大程度避免因內部攻擊導致的信息泄露事件。
4.2 對操作系統、網絡設備、安全設備等進行最小化安裝和最小權限配置。交易平臺是用戶實時在線交互的互聯網平臺，應盡量減少其在互聯網中的暴露面，如將平臺生產系統的運維訪問地址、測試系統、培訓系統訪問地址都設置為內網訪問；還可按照最小使用權限的原則，最小化設置主機間的訪問規則數量。
4.3 及時修復漏洞和防范入侵及病毒行為。漏洞的修復可通過部署漏洞管理平臺，實時同步最新漏洞信息、內網主機掃描結果信息，對資源漏洞信息進行統一關聯、展現和告警。防范入侵及病毒可通過搭建統一的網絡防毒服務器，對計算域中的服務器設置統一的防毒策略，定期保持防病毒代碼的更新來實時檢測和查殺惡意代碼。對網頁掛馬、網頁篡改、信息泄露等網絡攻擊還可通過安裝防篡改系統或者在應用程序中添加防御安全模塊等方式進行主動防御，即時檢測出網頁中存在的安全風險。
等保2.0三級相比《技術規范》“應采用加密或其他保護措施實現鑒別信息存儲的保密性”，加強了保證數據存儲過程中的保密性和完整性的要求，除了鑒別信息以外，重要業務數據、重要個人信息等其它重要信息也應保證保密性和完整性。上文提到的交易過程重要敏感信息，也可采取加密存儲的方式來增強數據保密性。同時，招標項目的投標文件、評標報告、后臺操作日志等信息作為重要的電子證據具有法律效力，為了確保它們的完整性及防篡改，可用哈希計算方法來進行完整性校驗。
等保2.0三級基本要求提出重要數據應異地實時備份，相比《技術規范》“關鍵數據提供自動定時本地備份與恢復”的要求更為嚴格。本地定時備份主要指基于磁帶庫和本地服務器的數據級備份。異地實時備份作為本地定時備份的補充，主要是針對生產環境機房搬遷、發生重大事故，人為破壞以及重大災害等意外事件所造成的數據損毀，保證系統數據、應用能在短時間內恢復使用。
異地實時備份可分為數據級備份和應用級備份。通過建立異地數據系統將本地關鍵應用數據的實時同步復制，實現數據級容災備份。如有條件，也可建立一套完整的與本地生產系統相當的備份應用系統，實現應用級容災備份。當主機房出現問題，遠程系統被啟用，迅速接管業務運行。對于交易平臺而言，異地應用級容災能夠最大程度保障平臺用戶的實時交易，避免因長時間中斷服務帶來的安全風險和法律風險。
《網絡安全法》發布時，法律的第十六條提到“推廣安全可信的網絡產品和服務”，后面出臺的《國家網絡空間安全戰略》也再次強調“加快安全可信產品推廣引用”。之前，可信產品多使用在等保四級以上的重要信息系統中。等保2.0標準出臺后，對二級、三級的“安全通信網絡”、“安全區域邊界”和“安全計算環境”控制項中也新增了可信驗證的要求。
可信驗證的關鍵支撐技術是可信計算。它采用了公鑰密碼身份識別、對稱密碼加密存儲、智能控制與安全執行雙重體系結構、環境免疫抗病毒原理、對用戶透明的數字定義可信策略等技術方法，在計算運算的同時進行安全防護，計算全程可測可控，不被干擾。
圖（2）是部署了可信產品的云計算安全架構圖。對于交易平臺來說，不用改動原有應用系統，只需在原系統架構上對設備進行升級，使新老設備融為一體，就可構建可信免疫的主動防御安全防護體系，實現高安全等級結構化保護。
安全管理中心是等保2.0新增的一個重要控制項，對等級保護對象的安全策略，安全通信網絡、安全區域邊界及安全計算環境的安全機制實施統一管理的系統平臺。三級要求提出安全管理中心應在系統管理、安全管理、審計管理三個方面實現集中管控。系統管理主要實現對系統資源和運行進行配置與管控；審計管理主要實現對審計記錄進行分析；安全管理主要實現對系統的安全策略進行配置。
圖（3）給出《GB/T 36958-2018信息安全技術 網絡安全等級保護安全管理中心技術要求》中的安全管理中心模型圖，圖中規劃了特定的管理區域對IDS、堡壘機、防火墻等安全設備和組件進行集中管控。這些設備在運行過程中產生了大量有用的審計數據，如包數據、會話數據、日志、告警等。通過對這些數據進行收集匯總和集中分析，實現全面、準確、細粒度的網絡整體安全態勢感知，進而提升平臺主動防御能力。
目前的技術水平和人工智能還處于初級階段，如何將來自多個信息源的數據收集起來，進行有效的關聯組合，提升數據的有效性和精確度，需要運營機構去做持續的研究和投入。
等保2.0三級的管理部分由安全管理制度、安全管理機構和安全管理人員三大要素組成，同時對等級保護對象建設和運維過程中的重要活動提出了管控要求。
交易平臺的網絡安全管理制度體系包括統一的安全策略、管理制度、操作規程和記錄表單。安全策略是根據交易平臺的安全目標而制定的管理策略，范圍包括組織的所有信息資源，設施、硬件、軟件、信息、人員，通過設計物理安全策略、網絡安全策略、數據加密及備份策略、病毒防護策略、系統安全策略、身份認證及授權策略、口令管理策略、災難恢復策略等，形成體系化的安全策略確保組織運作的連續性、信息完整性和機密性。同時還可根據交易平臺的總體安全策略和業務應用需求，制定安全管理的規程和制度，如平臺物理環境、網絡、系統、應用、數據等各層面的安全管理規程，第三方訪問控制和相關的操作規程，資產和設備管理制度，災備管理制度，安全教育管理制度，平臺安全風險管理制度，安全監控管理制度，還可針對重點防御的網絡攻擊制定專門的網絡安全事件應急處置預案等。
按照等保2.0三級管理的基本要求，設立或明確指導和管理網絡安全工作的領導機構和職能部門。按照《網絡安全法》相關制度的設計，國有企事業單位的網絡安全管理工作的職能部門通常設置在信息化管理部門。《電子招標投標辦法》的制度體系，則明確了運營機構的組織概念，并且對運營機構賦予了交易平臺安全管理的職責。從近些年國有企業交易平臺的運營情況來看，運營機構通常設置在與信息化管理部門平行的采購管理部門或者是采購管理部門下屬的獨立運營公司。對以上兩個制度體系進行梳理，運營機構本身應做好交易平臺的網絡安全管理工作，同時還應加強與信息化管理部門之間的合作與溝通，共同協作處理好網絡安全工作中所遇到的問題。
建立崗位和人員安全責任制度，將平臺安全責任分解到每位員工自身崗位職責中，重點明確與網絡安全相關的系統管理員、審計管理員和安全管理員三類崗位的職責與任務，其中安全管理員應是專職人員，不可兼任；通過在員工績效考核中增加安全KPI指標，落實安全管理責任制。
平臺安全是運營機構全體成員的責任。運營機構需定期組織全員學習國家安全法律法規，企事業單位安全管理制度以及安全基礎知識，以強化安全責任意識，提升整體安全工作能力。核心的安全管理崗位人員最好具備相關專業資格（如CISP或CISSP認證）和技術技能，同時還需與運營機構簽訂安全承諾責任書和信息保密協議。
運營機構如對部分職能進行外包，外包人員可能需要進行駐場工作，也可能遠程訪問到企業的內部系統，這就需要對外包人員的訪問控制進行嚴格的管控，做好書面記錄和備案，最關鍵的也是落實外包人員相應的安全責任。
此前，多數交易平臺主要是參考《電子招標投標系統檢測技術規范》進行建設，隨著等保2.0新政的出臺，今年也有一些交易平臺開啟了滿足等保2.0第三級要求的安全升級建設。基于安全工作“同步規劃、同步組織實施、同步運作投產”的三同步原則，在規劃階段可參考《GB/T 25070-2019 信息安全技術 網絡安全等級保護安全設計技術要求》進行系統安全整體設計；在實施階段應保證在軟件開發過程中注重代碼編寫安全規范，注重對安全性進行測試，平臺上線前需對可能存在的惡意代碼進行檢測，同時整個實施過程需通過第三方工程監理來進行控制；在試運行階段開展定級、安全等級測評和備案工作，等保三級測評工作需要每年開展一次。
《技術規范》出臺的這些年，促進了一些國內交易軟件廠商發展壯大。運營機構將交易平臺委托外部專業供應商進行建設的情況較為常見。在委托建設中，運營機構應注意在合同中對雙方的安全責任邊界進行明確，并建立有效的供應商定期審查機制，對其服務安全性進行評估，以便及時識別潛在風險，加強信息安全的管控。
安全運維首先要求運營機構加強對網頁掛馬、網頁篡改、病毒等網絡安全攻擊事件的主動防御，如定期對防惡意代碼庫進行更新升級；定期開展安全測評，發現并及時有效的處理各類漏洞；指定專人做每日巡檢工作，分析和統計各類日志、監測、報警數據，及時發現可疑行為。其次，運營機構應加強對變更性運維工作的管控，如各種配置變更操作需經審批后才可改變，配置信息變更需同步更新維護配置信息庫，同時操作日志需留存且不可更改。對于安全事件的處置，運營機構也應形成一套處理流程和信息上報機制，針對不同等級類型的安全事件要有相應的應急預案作為保障，定期組織應急演練，以檢驗應急預案的實用性、可用性和運維隊伍的協同反應水平和實戰能力。
如運營機構對運維工作進行外包，選擇的外包運維服務商應在技術和管理方面具備安全運維的能力，還應對雙方在整個服務供應鏈中所需履行的網絡安全相關義務進行明確，并應定期對外包運維服務進行監督、評審和審核。
等保2.0新政下的網絡信息安全管理，是加強交易平臺安全管理不可缺失的部分。隨著交易平臺逐步的深化建設，對于云計算、大數據、移動互聯網等各類新技術場景也有相應的拓展應用，如何在日益成熟的新技術環境下實行等級保護，也是運營機構下一步需要深入研究的內容。
參考文獻：
[1]中華人民共和國網絡安全法，中華人民共和國主席令（第五十三號），2016,11.
[2]信息安全等級保護評估中心，GB/T 22239-2019 信息安全技術網絡安全等級保護基本要求[M].中國標準出版社，2019.
[3]信息安全等級保護評估中心，GB/T 28448-2019 信息安全技術網絡安全等級保護測評要求[M].中國標準出版社，2019.
[4]夏冰.網絡安全法和網絡等級保護，[M].電子工業出版社，2017.
[5]杜嘉薇.網絡安全態勢感知：提取、理解和預測，[M].機械工業出版社，2018.
[6]許程亮. 電子招標投標系統安全風險分析及應對措施[J].招標采購管理，2017.10：55-59.
[7]鄢翔. 基于安全等級保護2_0的高校一卡通應用系統安全方案設計[J].電子技術與軟件工程，2019.1：192-195.
靳冬（1982-），第一作者，男，碩士，高級工程師，主要研究方向：檢測認證、質量管理。單位：中國合格評定國家認可中心。
戴征宇（1987-），第二作者，男，碩士，工程師，主要研究方向：采購供應鏈、招標管理、電子招標。單位：中國石油天然氣集團公司物資裝備部。
劉佳穎（1983-），通信作者，女，碩士，高級工程師，主要研究方向：供應鏈信息化，電子商務。單位：浙江鴻程計算機系統有限公司。
