英國(guó)《最低網(wǎng)絡(luò)安全標(biāo)準(zhǔn)》發(fā)布 探討網(wǎng)絡(luò)安全的新方向

7月1日訊 英國(guó)內(nèi)閣辦公室近日發(fā)布第一版《最低網(wǎng)絡(luò)安全標(biāo)準(zhǔn)》，該標(biāo)準(zhǔn)將被納入《英國(guó)政府安全職能標(biāo)準(zhǔn)》（Government Functional Standard for Security）。英國(guó)所有政府機(jī)構(gòu)（包括組織機(jī)構(gòu)和承包商）均被要求強(qiáng)制執(zhí)行該標(biāo)準(zhǔn)。這份標(biāo)準(zhǔn)為所有商業(yè)組織機(jī)構(gòu)提供了安全框架。

五大方面+十大措施

這份標(biāo)準(zhǔn)提出了一系列指導(dǎo)性措施，而非具體舉措。這份標(biāo)準(zhǔn)雖然簡(jiǎn)短，但卻涵蓋了確保網(wǎng)絡(luò)安全的五個(gè)方面（識(shí)別、保護(hù)、檢測(cè)、響應(yīng)和恢復(fù)）以及對(duì)應(yīng)的10項(xiàng)舉措：

識(shí)別：

?應(yīng)建立適當(dāng)?shù)木W(wǎng)絡(luò)安全治理程序。

?對(duì)持有的敏感信息加以識(shí)別，并進(jìn)行分類(lèi)。

?對(duì)提供的操作服務(wù)加以識(shí)別，并進(jìn)行分類(lèi)。

?理解并持續(xù)管理用戶訪問(wèn)敏感信息或關(guān)鍵操作服務(wù)的必要性。

保護(hù)：

?僅向經(jīng)確認(rèn)、身份驗(yàn)證和授權(quán)的用戶或系統(tǒng)訪問(wèn)敏感信息和關(guān)鍵操作服務(wù)。

?保護(hù)處理敏感信息或關(guān)鍵操作服務(wù)的系統(tǒng)不受已知漏洞利用，包括保護(hù)企業(yè)技術(shù)、終端用戶設(shè)備、電子郵件和數(shù)字服務(wù)。

?保護(hù)特權(quán)賬號(hào)不易遭受常見(jiàn)的網(wǎng)絡(luò)攻擊。

檢測(cè)：

采取措施檢測(cè)常見(jiàn)的網(wǎng)絡(luò)攻擊，包括捕捉可能與常見(jiàn)威脅情報(bào)來(lái)源有關(guān)聯(lián)的事件，如通過(guò)網(wǎng)絡(luò)安全信息共享伙伴關(guān)系（CISP）檢測(cè)已知威脅，明確定義必須保護(hù)的內(nèi)容及原因等。

響應(yīng)：

制定明確、有規(guī)劃且可靠的響應(yīng)計(jì)劃，以響應(yīng)影響敏感信息或關(guān)鍵操作服務(wù)的安全事件，具體做法包括制定事件響應(yīng)和管理計(jì)劃明確定義行動(dòng)、角色和職責(zé)以及制定事件溝通計(jì)劃等。

恢復(fù)：

制定明確定義的可靠流程，以確保出現(xiàn)故障或遭受攻擊時(shí)保持關(guān)鍵操作服務(wù)的連續(xù)性，具體舉措包括：確定并測(cè)試應(yīng)急機(jī)制，以在出現(xiàn)故障、服務(wù)被迫關(guān)閉以及系統(tǒng)或服務(wù)遭遇攻擊時(shí)，確保繼續(xù)提供基本服務(wù)。

該標(biāo)準(zhǔn)指出，由于其盡可能地明確結(jié)果，從而允許英國(guó)政府機(jī)構(gòu)根據(jù)本地環(huán)境靈活執(zhí)行該標(biāo)準(zhǔn)。

安全行業(yè)怎么看？

云安全專業(yè)公司 Lacework 的聯(lián)合創(chuàng)始人兼首席產(chǎn)品官桑杰·卡爾拉對(duì) 該標(biāo)準(zhǔn)持肯定的態(tài)度。他認(rèn)為，此舉對(duì)在云上運(yùn)行工作負(fù)載的組織機(jī)構(gòu)而言尤為重要，云環(huán)境在不斷發(fā)生快速變化，因此適當(dāng)?shù)脑瓢踩胧┬枰`活的方法。從某些方面來(lái)看，該標(biāo)準(zhǔn)在結(jié)構(gòu)上與《通用數(shù)據(jù)保護(hù)條例》（GDPR）類(lèi)似。

安全公司 High-Tech Bridge 的首席執(zhí)行官伊利亞·科洛琴科表示，“該文檔成功將簡(jiǎn)單與高效相結(jié)合，許多政府實(shí)體甚至不知道從何開(kāi)始，如何下手，這份文件肯定會(huì)幫助它們構(gòu)建并管理數(shù)字風(fēng)險(xiǎn)，并實(shí)施適當(dāng)?shù)木W(wǎng)絡(luò)安全程序?！?/p>

數(shù)據(jù)保護(hù)軟件公司 Varonis 的銷(xiāo)售工程師總監(jiān)馬特·洛克表示，“最低標(biāo)準(zhǔn)可能聽(tīng)起來(lái)簡(jiǎn)單，即使大型組織機(jī)構(gòu)也可能難以將這些措施付諸實(shí)踐?！?安全賬戶管理公司 Thycotic 首席安全科學(xué)家約瑟夫·卡爾森補(bǔ)充稱，“所有這些標(biāo)準(zhǔn)的問(wèn)題都將取決于執(zhí)行能力?！?/p>