首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
您找到你想要的搜索结果了吗?
是的
没有找到

某运营者以风险管理为导向的网络安全保障体系实践

前言 我国关键信息基础设施保护的基本原则之一便是“以风险管理为导向的动态防护”,即根据关键信息基础设施所面临的安全威胁态势进行持续监测和安全控制措施的动态调整,形成动态的安全防护机制,及时有效的防范应对安全风险。 今天笔者来谈一谈某运营者建立以风险管理为导向的网络安全保障体系的实践。 一、项目背景 某运营者属于关键信息基础设施运营者,向某市公众提供与生活密切相关的公共服务。 该运营者自组建之初便高度重视网络安全工作。截止到目前,做了大量的网络安全工作,包括: 1.根据网络安全等级保护制度、ISO27001等

01

《数据安全法》加码数据出境安全,跨国公司该如何应对?

1980年,经合组织(OECD)提出了“数据跨境流动”(Trans-border Data Flow)的概念,其被界定为个人信息的跨越国界流动。但随着技术的发展,国际上对跨境数据流动的理解已经完全超越了个人信息的范畴。巨量的数据资源不仅只涉及个人信息了,尤其是跨国企业经营中涉及的数据跨境,既存在个人信息,也包括商品数据、支付数据、物流数据、地理位置等非个人信息,且其中相当一部分数据涉及国家安全、公共安全。我国此前监管重心多侧重于“个人信息”的出境规制(《个人信息出境安全评估办法(征求意见稿)》),实务中对于“个人信息”出境合规应对也较为成熟,而对于“重要数据”的出境规制则存在立法空白。

02

热点 |《个人信息和重要数据出境安全评估办法(征求意见稿)》深入解读

为保障个人信息和重要数据安全,维护网络空间主权和国家安全、社会公共利益,促进网络信息依法有序自由流动,国家互联网信息办公室(以下简称国家网信办)在日前发布了《个人信息和重要数据出境安全评估办法(征求意见稿)》(以下简称办法)。该办法的出炉迅速成为了网络安全行业讨论的热点话题,并引起了广泛的研究。在《中华人民共和国网络安全法》(以下简称《网络安全法》)即将施行的关键时刻,该办法的出台对保障个人信息和重要数据安全,规范网络信息依法有序的流动,具有重要的指导意义。 之所以出台这项办法,主要有以下几个方面的原因:

09

网络安全监管体系下的合规管理工作简述

自2017年《网络安全法》正式生效以来,网络安全相关工作已属于法律的强制性规范要求。近一段时间以来,随着《数据安全法》《个人信息保护法》等相关法律,《关键信息基础设施安全保护条例》《网络安全审查办法》等一系列的法规的出台,企业用户,特别是大型集团企业在建设和规划自己的网络安全体系的时候就更需要有一个全局性的视角来看待网络安全合规问题,既要避免疏漏引发违规风险,也要合理设计制度体系,避免由于当前网络安全法律法规之间要求表述的不同造成重复建设,给自身管理上和运营上带来不便。本文试着从政府监管、第三方检验检测和企业用户管理这三个维度进行简要分析,并给出一些在建设网络安全规划时可以参考的建议。先上图。

02

《网络产品安全漏洞管理规定》将于9日1日起施行

工业和信息化部、国家互联网信息办公室、公安部三部门联合印发《网络产品安全漏洞管理规定》。该规定旨在维护国家网络安全,保护网络产品和重要网络系统的安全稳定运行,并且规范漏洞发现、报告、修补和发布等行为,明确网络产品提供者、网络运营者,以及从事漏洞发现、收集、发布等活动的组织或个人等各类主体的责任和义务。 通知如下: 各省、自治区、直辖市及新疆生产建设兵团工业和信息化主管部门、网信办、公安厅(局),各省、自治区、直辖市通信管理局: 现将《网络产品安全漏洞管理规定》予以发布,自2021年9月1日起施行。 工业和信

03

李克强签署国务院令,公布《关键信息基础设施安全保护条例》

国务院:《关键信息基础设施安全保护条例》已经2021年4月27日国务院第133次常务会议通过,现予公布,自2021年9月1日起施行。 关键信息基础设施安全保护条例 第一章 总  则 第一条 为了保障关键信息基础设施安全,维护网络安全,根据《中华人民共和国网络安全法》,制定本条例。 第二条 本条例所称关键信息基础设施,是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的重要网

03

双11试水大数据 搜狗浏览器延续创新之路

如今的互联网正以越来越多的方式接入到人们的生活当中,并无可争议地迎来了崭新的“大数据”时代。人们惊讶地发现,互联网应用一旦拥抱“大数据”理念,大多能够在原有功能的基础上,藉由海量数据和分析而获得性能提升,甚至产生崭新的使用体验。 随着“双十一”购物节的落幕,搜狗作为桌面端和无线端主流浏览器厂商之一,成为了浏览器行业内首个试水“大数据”的弄潮儿,在其“双十一网购专版”浏览器中推出了基于“大数据”的搜狗打假助手功能。评论认为,打假助手是搜狗浏览器从普通浏览工具向着面向场景的功能化平台转变的一次大胆尝试,也

05

第十一期 | 你抢不到的优惠券

第十一期 | 你抢不到的优惠券,背后“元凶”竟是垃圾注册?顶象防御云业务安全情报中心发现,某电商平台注册场景出现大批量异常注册。黑产通过批量注册获得大量平台账号,为其后续在电商平台大促期间开展批量抢券、秒杀、刷单等行为进行账号储备。顶象防御云业务安全情报中心BSL-2022-a3c22号显示,黑产通过非法手段窃取、购买公民个人信息及手机黑卡等,并采用作弊设备模拟设备指纹高频切换IP等方式,对电商平台发起大批量的注册攻击,从而获得大量平台账号,以用于后续在平台大促期间进行一系列的薅羊毛行为,不仅使普通顾客因此失去了获得优惠的机会,而且给平台带来了大额的资产损失和大量的无价值的虚假用户。电商平台为何会被黑灰产盯上?电商平台的每一次大促都是黑灰产“捞金”的最佳时机。近几年,各大电商平台为了拉拢客户尤其是新客户,开展了一系列营销活动:新人折扣券,满减优惠券,拉新返现、砍价助力等等,花费的营销成本高达数亿元。以双十一为例。不久前,顶象在业务安全大讲堂系列直播课《双十一电商行业业务安全解析》中就具体提到双十一电商平台的业务安全风险。就双十一促销活动,电商平台们营销周期从10月中下旬就会开始相应的营销投入。整个双11电商大促活动会持续将近一个月,这也给了互联网黑灰产充分的时间去针对各个电商平台的活动规则和活动流程做深入研究,为后续的营销欺诈活动做好充分准备。此外,在营销玩法方面,都呈现出了优惠力度加码,玩法多元化的趋势。比如天猫聚焦高质量发展,构建“低碳双11”,首次设立绿色会场,发放1亿元绿色购物券;关注银发群体,上线淘宝长辈版,设置首个长辈会场;京东则设立了首个“不熬夜”的双11,提升消费者体验;升级多种价格保护政策及放心换服务,保障消费者权益;出台绿色低碳、扶贫助农计划等。营销投入的加大意味着黑灰产有更大的动力去进行攻击,因为一旦成功,收益更大。而丰富的营销手段则意味着黑灰产有更多的途径、更多的场景实现攻击,因为一条攻击路径走不通,便可以选择另一条攻击路径。且新的营销手段往往会因为防控经验不成熟,更容易出现业务规则的漏洞,成为黑灰产攻击的突破口。也正是各平台之间的相互竞争,导致这种营销活动愈演愈烈,继而催生了垃圾注册这个行业,并与黄牛、羊毛党、打码平台等团伙形成了完整的产业链。上游:卡商与接码平台所谓垃圾注册就是通过购买大量手机号和用户个人信息,在了解平台的规则后,借助作弊设备(如:代理IP、群控软件等)自动化的进行批量注册。在整个互联网黑色产业链中,批量注册处在产业的中上游位置。其主要目的是为下游进行一些列黑产活动提供账号。因此,批量注册的账号被视为滋生助长网络犯罪的核心利益链条之一。同时,批量注册的账号多数利用不记名的网络黑卡进行注册,为相关的账号使用者提供了便捷的真实身份隐蔽及账号控制主体溯源规避的功能,亦成为了网络诈骗、赌博等相关犯罪所必须的工具。上游为信息和技术的支持方,即为批量注册提供大量身份信息或资料及其所需的技术支持,卡商和接码平台便处于上游位置。中游为账号获取方即号商,即行为人通过从卡商和接码平台处获取的手机号与验证码,使用自动访问平台注册程序的软件或程序,获得大量注册平台账号。下游为账号使用方,行为人通常向号商购买账号,以供网络刷单炒信、发布违禁信息、进行网络攻击等多种用途。顶象防御云业务安全情报中心监测到,其上游端的卡商手握数以万计的电话卡,其黑卡的主要来源有:实名卡、物联网卡、海外卡以及虚拟卡。实名卡:实名卡主要是通过拖库撞库、木马、钓鱼等方式从网上收集大量身份信息,并通过黑卡运营商批量验证得到的。境外手机卡:黑卡运营商直接从海外购得的手机卡,这些卡无需实名认证,花费低,切合黑产利益。物联网卡:运营商基于物联网公共服务网络,面向物联网用户提供的移动通信接入业务。三大运营商采用各自物联网专用号段,通过专用网元设备支持包括短信、无线数据及语音等基础通信服务,提供用户自主的通信连接管理和终端管理等智能连接服务。虚拟卡:由虚拟运营商提供的电话卡。虚拟运营商与传统三大运营商在某项或业务上达成合作关系。他们就像是代理商,从移动、联通、电信三大基础运营商那里承包一部分通讯网络的使用权,然后通过自己的计费系统、客服号、营销和管理体系把通信服务卖给消费者。像我们常能看到的170开头的号码,多为虚拟号码。卡商获取黑卡的主要渠道大致分为两个来源:一是从运营商“内鬼”处拿卡。运营商的工作人员每个月都有开卡任务,通过平分利益,运营商“内鬼”月均给卡商供卡上千张,二者达成默契合作,形成“双赢”。二是通过找中介进村“拉人头”。当卡商有需求时,一些所谓的地推团队就会集体“下乡进村”,打着三大运营商的名号,搞免费办手机卡送礼的活动,以50到60元的成本获得一张可以正常使用的实名手机卡。中游:利用多种作弊手段养号卡商在获取到黑卡后,下一步就是要利用作弊手段进行养号。其作弊工具主要有三种:猫池猫池是一种可同时支持多张手机卡的设备,根据机

03

国务院要求关键信息基础设施运营者应优先采购「安可产品和服务」:包括公共通信、金融、政务、能源、交通、水利、国防等

《关键信息基础设施安全保护条例》已经2021年4月27日国务院第133次常务会议通过,2021年9月1日起施行。 第三章「运营者责任义务」第十九条明确要求:运营者应当优先采购安全可信的网络产品和服务;采购网络产品和服务可能影响国家安全的,应当按照国家网络安全规定通过安全审查。 关键信息基础设施,是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

03

全网首篇 | 深入解读《医疗卫生机构网络安全管理办法》

随着高质量发展纵深推进,全国卫生健康领域迎来重要机遇期,信息化发挥着关键的支撑作用,在此过程中产生的医疗健康数据不仅是重要的生产要素,更是国家基础性战略资源,因此网络安全的重要性日益凸显。 在此背景下,2022年8月29日,国家卫生健康委、国家中医药局、国家疾控局发布了《医疗卫生机构网络安全管理办法》(以下简称《办法》),自印发之日起开始实施。《办法》共计三十四条,分为总则、网络安全管理、数据安全管理、监督管理、管理保障五个大章节。 总的来说,《办法》是在《基本医疗卫生与健康促进法》《网络安全法》《密码法》

02

网信办《网络数据安全管理条例(征求意见稿)》:数据处理者应当采取备份、加密、访问控制等必要措施;应当建立数据安全应急处置机制

为落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律关于数据安全管理的规定,规范网络数据处理活动,保护个人、组织在网络空间的合法权益,维护国家安全和公共利益,根据国务院2021年立法计划,我办会同相关部门研究起草《网络数据安全管理条例(征求意见稿)》,现向社会公开征求意见。公众可通过以下途径和方式反馈意见: 1、通过电子邮件将意见发送至:shujuju@cac.gov.cn。 2、通过信函将意见寄至:北京市西城区车公庄大街11号国家互联网信息办公室网络数据管理

02
领券