——《网络安全等级保护基本要求 第3部分：移动互联安全扩展要求》标准解读
编
者
按
移动互联网的迅猛发展带来的网络安全问题日益突出，如何对采用移动互联技术的等级保护对象进行定级和有效防护，是等保技术体系下一个重要课题。本期由《网络安全等级保护基本要求 第3部分：移动互联安全扩展要求》第一编制人于东升为大家介绍等保2.0下移动互联安全标准的主要内容。
移动互联安全扩展要求标准解读
在移动互联安全扩展要求编制过程中，编制组收集了国内外大量有关移动互联方面的相关标准并进行了深入的分析与研究。国内近几年在部分行业制定了一些行业标准，如：《移动智能终端数据存储安全技术要求与测试评价方法》、《YD/T2408-2013 移动智能终端安全能力测试方法》、《YD/T 2407-2013 移动智能终端安全能力技术要求》、《中国金融移动支付客户端技术规范》等。以上移动互联标准多数针对的是移动终端的安全防护，从等级保护标准角度来看还有所欠缺，等级保护总体思想是将保护对象作为一个整体考虑其安全防护要点，“纵深防御、分层防护”的总体策略贯穿始终，因此在移动互联扩展要求编制思路上一要贯彻等级保护总体思想，整体考虑移动互联所涵盖的要素。二要结合移动互联新技术特点做到重点突出。
1、三个问题
编制组在分析讨论国内外相关标准和移动应用安全现状基础上重点研讨了以下三个问题：
如何对采用移动互联技术的等级保护对象进行定级？
经过反复讨论与研究，编制组认为采用移动互联技术的等级保护对象应作为一个整体对象定级，移动终端、移动应用和无线网络等要素不单独定级，与采用移动互联技术等级保护对象的应用环境和应用对象一起定级。
采用移动互联技术的等级保护对象与传统信息系统保护对象的区别？
采用移动互联技术等级保护对象与传统等级保护对象的区别在于移动性和便捷性，移动终端可以通过无线方式接入网络，移动终端可以远程通过运营商基站或公共Wi-Fi接入等级保护对象，也可以通过本地无线接入设备接入等级保护对象。与传统信息系统相比，采用移动互联技术的系统所面对的攻击面更大，且由于移动终端的便携性更容易丢失，并造成信息泄露数据丢失等。
采用移动互联技术等级保护对象的重点防护要点？
编制组认为与传统等级保护对象相比，采用移动互联技术的等级保护对象应突出三个关键要点：移动终端、移动应用和无线网络。因此，采用移动互联技术等级保护对象的安全防护在传统等级保护的基础上，重点针对移动终端、移动应用和无线网络在物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个技术层面进行扩展。同时，为加强移动互联的安全管理在安全管理策略与制度、安全管理机构和人员、安全建设管理、安全运维管理等四个管理层面进行扩展。
2、防护要点
根据移动互联的防护重点，编制组分别从技术和管理两个角度提出了以下几个方面的重点安全防护要求：
移动应用安全防护方面
针对移动应用app存在的被篡改、被假冒的问题，标准要求采用校验技术保证代码的完整性。同时，应保证等级保护对象业务移动应用软件开发后、上线前经专业测评机构安全检测等。针对移动应用app发布的问题，在移动应用app发布渠道与管理中要求应保证移动终端安装、运行的应用软件来自可靠证书签名或可靠分发渠道。
无线网络安全防护方面
针对无线网络安全接入与安全传输的问题，在标准中提出了对无线网络设备安全接入、入侵防范、通信传输等方面的安全要求。例如：应能够检测、记录、定位非授权无线接入设备；应能够检测到无线接入设备的SSID广播、WPS等高风险功能的开启状态；；在无线通信传输中对敏感字段或整个报文进行加密。
移动终端安全防护方面
针对移动终端的安全，标准主要对移动终端的安全环境、应用安装管控、终端自身安全进行了要求，例如：应将移动终端处理访问不同等级保护对象的进行应用级隔离；应具有软件白名单功能，应能根据白名单控制应用软件安装、运行；移动终端应接受等级保护对象移动终端管理服务端的设备生命周期管理、设备远程控制、设备安全管控。
移动互联安全管理方面
在安全管理方面，标准要求建立移动互联安全管理制度，对移动终端实施安全控制和管理。设置移动互联安全管理员，明确管理职责。加强终端设备管理，在移动终端设备丢失后进行远程数据擦除。在系统建设前要求根据信息系统的安全保护等级进行移动互联安全方案设计，并纳入系统总体方案设计。
3、体会总结
通过本次标准的制定，我深深地体会到标准的制定工作任重而道远，标准的制定仅仅是个开始，在未来的标准实践过程中仍需不断完善，使之更贴合实际。同时应认识到标准是一个基线要求，更多地具体工作还需要多方开展，移动终端厂商应从自身做起，设计必要的安全功能，建立相应的安全机制。用户方需要普及移动安全知识，提高用户自身安全防范意识，建立移动终端管理的安全防护体系，从用户、设备、内容、应用等多方面全方位的安全管控。监管与评估方应对移动应用市场进行安全监管，对移动应用app的发布渠道进行管理，定期开展对移动互联系统的等级测评与安全评估工作。
作者 公安部信息安全等级保护评估中心 于东升
《信息安全技术 网络安全等级保护测评要求 第3部分：移动互联安全扩展要求》第一编制人
《信息安全技术 网络安全等级保护基本要求 第3部分：移动互联安全扩展要求》主要编制人