在网络产品与服务安全通用要求中，有四点要求：防范信息泄露风险；防范数据篡改风险；防范服务中断风险；防范不当控制风险。其中，前三项属于我们常规的CIA（保密性、完整性、可用性）三元素，此外，还需要注意防范不当控制风险对应可控性，这点在征求意见稿中有所体现。本身产品和服务是增强整个网络的安全水平的，但是如果在使用或运维过程中，不可控则其实是不当控制风险。对于，一个网络的安全风险，需要折中考虑引入的风险的水平。有关保密性、完整性、可用性要求，我们已经耳熟能详，而防范不当控制风险应该属于“网络产品和服务安全”特有的一点要求。
我们看到，很多供应链攻击的案例以及运维事故，无不昭示着“防范不当控制风险”的重要性。
试举一例来说明可控性的重要性：
此案例，较为出名，是否十分恰当在此不必苛责。发生在河南郑大一附院的一起运维安全事件，2018年12月24日8时13分至9时47分期间，夏某某先后六次利用“数据库性能观测程序”连接“平台数据库”的“锁定平台挂号表”功能，将数据库执行锁表命令。该命令执行后锁定fin_opr_register表，使其不能进行其它活动，并导致“HIS数据库”锁定。造成郑大一附院郑东院区、惠济院区、医学院院区所有门诊、临床计算机业务受到恶意语句攻击，门急诊挂号、门急诊叫号、门急诊支付、门急诊药房、门急诊检查、门急诊检验等业务系统均无法正常操作，所有门诊相关业务停止服务，造成该医院三个院区门诊业务停滞近两个小时，造成大量患者积压在门诊无法就诊，严重影响医院的正常医疗工作。
最终被告人夏某某犯破坏计算机信息系统罪，判处有期徒刑五年零六个月。
虽然夏某某受到了应有的惩罚，不过对医院以及所在企业造成的损失却无可挽回，经济层面、商誉层面等。然而一个运维服务企业，需要对服务过程中的可控性做全面充分的管控，不然对于企业以及从业这个人，影响都将是深远而痛苦的。再者，也正说明防范不当控制风险是作为网络产品和服务应用于网络过程中不可不考虑的一个重要因素。这里，我们不对这些问题做太深入的解读，根据有关国家标准概括性探讨一下。
网络产品和服务的安全直接影响到其支撑的网络的安全。网络产品和服务在研发、生产、交付、服务提供或运维过程中可能引入安全隐患，导致信息泄露、数据篡改、服务中断、不当控制等安全风险。为了减少网络产品和服务中的常见安全风险，提升用户对网络产品和服务在安全性方面的信心，网络产品和服务提供者应采取相应安全措施，实现以下安全目标：
防范信息泄露风险：保障网络产品和服务中用户信息不被泄露，降低用户信息泄露的安全风险；
防范数据篡改风险：保障网络产品和服务中用户信息不被非授权更改或伪造，降低数据被篡改的安全风险；
防范服务中断风险：保障网络产品和服务的持续运行和供应，降低网络产品和服务供应中断的安全风险；
防范不当控制风险：保障网络产品和服务运行过程中的风险可控，降低网络产品和服务提供者恶意控制用户的网络产品和服务、非授权获取用户信息，以及利用用户对网络产品和服务的依赖实施不正当竞争或损害用户利益的风险。
-
《信息安全技术 网络产品和服务安全通用要求》
-
一个违规操作、损失 800 万、被判五年半：运维夏某某致「郑大一附院」智慧医院系统瘫痪 2 个小时，判破坏计算机信息系统罪
做真实有价值的网络安全服务
本文始发于微信公众号（祺印说信安）：网络安全等级保护：网络产品和服务安全通用要求之总体目标
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论