互联网新业务安全评估管理办法
(征求意见稿)
第一条【立法目的】 为了规范电信业务经营者的互联网新业务安全评估活动，维护网络信息安全，促进互联网行业健康发展，根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》《中华人民共和国电信条例》《互联网信息服务管理办法》等法律、行政法规，制定本办法。
第二条【适用范围】 中华人民共和国境内的电信业务经营者开展互联网新业务安全评估活动，适用本办法。
第三条【定义】 本办法所称互联网新业务，是指电信业务经营者通过互联网新开展其已取得经营许可的电信业务，或者通过互联网运用新技术试办未列入《电信业务分类目录》的新型电信业务。
本办法所称安全评估，是指电信业务经营者对其互联网新业务可能引发的网络信息安全风险进行评估并采取必要的安全措施的活动。
第四条【工作原则】 电信业务经营者开展互联网新业务安全评估，应当遵循及时、真实、有效的原则。
第五条【管理职责】 工业和信息化部负责对全国范围内的互联网新业务安全评估工作实施监督管理。
各省、自治区、直辖市通信管理局负责对本行政区域内的互联网新业务安全评估工作实施监督管理。
工业和信息化部和各省、自治区、直辖市通信管理局统称电信管理机构。
第六条【鼓励创新】 国家鼓励电信业务经营者进行互联网技术和业务创新，依法开展互联网新业务，提升互联网行业发展水平。
第七条【行业自律】 国家鼓励互联网行业组织建立健全互联网新业务安全评估自律性管理制度，指导电信业务经营者依法开展安全评估，提高安全评估的能力和水平。
第八条【评估标准】 工业和信息化部依法制定互联网新业务安全评估标准。
第九条【评估要求】 电信业务经营者应当按照电信管理机构有关规定和互联网新业务安全评估标准，从用户个人信息保护、网络安全防护、网络信息安全、建立健全相关管理制度等方面，开展互联网新业务安全评估。
第十条【评估启动】 有下列情形之一的，电信业务经营者应当对所开展的互联网新业务进行安全评估，形成书面评估报告：
(一)拟将互联网新业务面向社会公众上线的(含合作推广、试点、商用试验);
(二)电信管理机构书面要求电信业务经营者进行安全评估的。
按照前款第一项规定进行安全评估的，应当在互联网新业务面向社会公众上线前完成评估。
第十一条【评估方式】 电信业务经营者进行互联网新业务安全评估，可以采取自行评估的方式，也可以委托专业机构实施评估。
第十二条【风险控制】 电信业务经营者进行互联网新业务安全评估，发现存在重大网络信息安全风险的，应当及时改正。
第十三条【评估报告】 电信业务经营者应当在互联网新业务面向社会公众上线后45日内，向准予其电信业务经营许可或者试办新型电信业务备案的电信管理机构告知评估情况。
第十四条【报告材料】 电信业务经营者按照本办法第十三条的规定向电信管理机构告知评估情况的，应当提供以下材料：
(一)书面评估报告，包括业务情况、技术实现方式、安全评估内容和结论、安全管理措施等;
(二)公司名称、法定代表人、安全责任人、应急联系人及其联系方式;
(三)电信管理机构依法要求提交的其他材料。
第十五条【纠正措施】 电信业务经营者提供的互联网新业务安全评估材料不齐全的，电信管理机构应当指导电信业务经营者补正。电信管理机构发现评估报告不符合有关规定、标准的，应当要求电信业经营者限期改正或者重新评估，并在30日内提交评估材料。
第十六条【应急保障】 电信业务经营者开展互联网新业务的，应当按照电信管理机构的要求，建立互联网新业务重大网络信息安全事件应急处置机制，制定网络信息安全应急预案并定期组织演练。
第十七条【内部制度】 电信业务经营者开展互联网新业务的，应当建立并实施企业内部互联网新业务安全评估管理制度和保障制度。
第十八条【员工培训】 电信业务经营者开展互联网新业务的，应当对有关工作人员开展互联网新业务安全评估相关政策、法规、标准、技能的培训和考核。
第十九条【监督检查】 电信管理机构应当对电信业务经营者建立互联网新业务安全评估管理制度、开展安全评估、防范网络信息安全风险等情况实施监督检查。
电信管理机构实施监督检查，可以要求电信业务经营者提供相关资料，对其相关工作人员进行询问，进入其经营场所检查、调查、取证。电信业务经营者应当予以配合、协助。
第二十条【监测】 电信管理机构应当组织对互联网新业务进行监测。在监测中发现互联网新业务存在重大网络信息安全风险的，应当要求电信业务经营者限期改正。电信业务经营者应当进行改正。
第二十一条【约谈改正】 电信业务经营者有下列情形之一的，电信管理机构可以约谈其主要负责人：
(一)未按照本办法的规定及时开展互联网新业务安全评估的;
(二)未按照本办法的规定向电信管理机构告知评估情况，情节严重的;
(三)企业内部安全评估管理制度和保障制度不健全或者未实施，情节严重的;
(四)违反国家有关规定，电信管理机构认为可能影响网络信息安全的其他情形。
电信业务经营者应当按照本办法的规定和电信管理机构在约谈中提出的要求进行改正。
第二十二条【行业通报】 电信管理机构应当建立电信业务经营者互联网新业务安全评估情况通报制度，定期公布互联网新业务安全评估情况。
第二十三条【监督检查】 电信管理机构按照本办法的规定实施监督检查，应当记录监督检查的情况，不得妨碍电信业务经营者正常的经营或者服务活动，不得收取任何费用。
第二十四条【保密要求】 电信管理机构、实施安全评估的专业机构及其工作人员，对其在履行职责、提供服务过程中知悉的国家秘密、商业秘密和个人信息应当予以保密，不得泄露、篡改或者毁损，不得出售或者非法向他人提供。
第二十五条【社会监督】 任何组织或者个人发现电信业务经营者有违反本办法的行为的，有权向电信管理机构举报。电信管理机构应当及时处理并对举报人的相关信息予以保密。
第二十六条【罚则一】 电信业务经营者违反本办法第十七条、第十八条规定的，由电信管理机构责令限期改正，予以警告;拒不改正的，可以处以一万元以下的罚款，按照有关规定记入电信业务经营不良名单和失信名单并向社会公布。
第二十七条【罚则二】 电信业务经营者违反本办法第十条、第十二条、第十三条、第十六条、第十九条第二款、第二十条的，由电信管理机构责令限期改正，予以警告，可以处以一万元以上三万元以下的罚款，按照有关规定记入电信业务经营不良名单和失信名单并向社会公布。
第二十八条【罚则三】 电信管理机构工作人员在互联网新业务安全评估的监督管理工作中、、的，依法给予处分;构成犯罪的，依法追究刑事责任。
第二十九条【参照执行】 电信业务经营者开展的互联网新业务，在技术实现方式、业务功能或者用户规模等方面发生较大变化，可能存在重大网络信息安全风险的，参照本办法进行安全评估。
电信业务经营者应当至少每六个月对其开展的互联网新业务是否存在前款规定的情形进行自查，保留自查记录;发现存在前款规定情形的，应当在45日内完成评估。
【关键词】网络安全态势评估 网络安全态势趋势感知
在网络安全越来越受到重视的今天，网络安全已被大多数学者定为一个重要的研究课题。面对网络安全所带来的一系列问题，世界各国都作出了很多努力，然而网络安全依然不能被解决，始终困扰着这个信息网络快速发展的社会。世界各地接踵而至的一些列的网络安全问题充分说明了，从全球来看当前的网络安全态势并不乐观。
1 网络安全态势评估研究的概念
网络安全态势宏观反应网络运行状况，反映当前和过去网络安全的状况，从而可以更好地来预测后面可能出现的网络状态。网络安全态势的研究课题比较综合，在现有安全管理技术基础上发展形成的。主要包括以下几个方面的内容：（1）对原始事件的采集技术；（2）对事件的关联和归并分析技术；（3）网络安全态势的算法；（4）网络安全态势评估方法；（5）网络安全态势结果的展现技术；（6）将复杂、海量、存在冗余的数据进行归并融合处理，并表现出特征信息的鲜明特色；（7）数据归并简化后，减少化冲数据占用的时间，有助于利用缓冲数据对网络过去状况进行分析研究；（8）通过对数据和网络事件之间内在联系的分析，帮助网络管理员预测接下来可能出现的安全问题，提早预防。
2 网络安全态势的评估技术
2.1 网络安全态势值的计算
网络安全态势技术的重要作用是通过网络安全态势值来表现的。然而网络安全态势值又是通过数学方法处理，将海量的网络安全信息融合成一组或者几组数值，这些数值的大小会随之产生特征性的变化，通过分析这些数值可以准确的判断网络是否安全。 网络安全态势值可以通过以下几种分类形式：（1）按照态势值表示的范围分：宏观、围观、综合、子网安全态势指数等。（2）按照态势值表示的意义分：病毒疫情、攻击威胁、主机安全态势指数等。（3）按照态势值的计算方法分：汇聚和非汇聚态势指数。（4）还有一些辅的安全态势数据：病毒传播速度、病毒发生频率、安全设备可用率、网络节点的连通度等。
2.2 网络安全态势评估方法
告知可能发生怎样的危险，是网络安全态势技术的另一个重要作用，并通过网络安全态势评估体现出来。所谓的网络安全态势评估，就是指将网络原始时间进行预处理，运用数学模型和先验知识，对是否真发生安全事件给出可信的评估概率值。
网络安全态势评估中要涉及大量的数据，并且计算评估方法有一定复杂度，而且还要解决虚假信息问题，所以谁安全态势评估是一门比较高要求的综合技术。数据挖掘和数据融合是现有理论和技术中我们可以用到的两大类技术。其中数据挖掘指的是，在数据库中抽取隐含的，并且具有潜在应用价值的信息的这么一个过程。把这种技术应用到网络安全态势评估中，可以使我们从缓冲信息中获得有用的价值信息。更一个方法数据融合目前还没有对他得出确切的定义，他在各领域都有它独有的一种说法。数据融合主要完成对来自多个信息源的数据进行自动监控、关联的处理。
2.3 网络安全态势评估的模型种类
网络安全态势是由计算和网络安全态势评估组成的，通过安全态势给管理员产生告警信息，是管理员了解到具体的威胁，从而找到解决方法。告知网络系统是够安全，以及告知网络系统可能存在怎样的问题，通过这两大功能实现了网络安全态势技术。
3 网络安全态势趋势感知
网络安全态势感知指的是，在一定的时空范围内，认知、理解环境因素，并对未来的发展趋势进行预测。传统的态势感知主要应用在航空领域，但是随着信息社会的发展，态势感知正在被引入到网络安全领域。
网络安全态势的提取，是网络安全态势感知研究的基础。然而，现实中网络已经发展成为庞大的非线性复杂系统，灵活性强，使提取工作遇到了很大的难度。目前网络的安全态势主要包括静态的配置信息、动态的运行信息、网络的流量信息等。所以我们通过研究发现，网络安全态势要素的提取主要存在以下问题：（1）信息采集不全面；（2）由于无法获得全面信息，研究过程中无法实现个因素之间的关联性，导致信息的融合处理存在很大的难度；（3）缺乏有限的验证，无法涵盖更广更全面的网络安全信息。
网络是一个非线性的系统，描述起来本身就存在很大的难度。网络攻击呈现出一个复杂的非线性过程。以后的研究中，我们要注意安全态势要素机器关联性，对网络安全态势建立形式化的描述。但是由于理论体系的庞大，使用的复杂程度高，将会在后期的研究中再做详细的研究。采用单一的数据同和方法监控整个网络的安全态势存在很大的难度，原因是因为不同的网络节点采用不同的安全设备。要结合网络态势感知多源数据融合的特点，具体问题具体分析，对各种数据融合方法进行改进、优化。简单的统计数据预测存在较大的误差。未来研究要建立在因果关系分析的基础之上，通过分析因果关系找出影响结果的因素，然后来预测整个网络安全态势的变化。从而将网络安全态势更好的应用于态势预测之中。
4 结束语
随着网络规模的不断扩大，信息技术对我们的日常生活越来越重要，信息传递和采集也更加灵活丰富。然而在这些优点的背后却始终存在一个日益严峻的问题-网络安全问题。所以我们要把网络安全管理从被动变为主动，更好的掌控网络安全。通过对网络安全态势评估与趋势感知的分析，网络管理工作人员可以准确的判断出网络安全所处的状态趋势，可以预防信息的丢失，更好的预防了网络被攻击，从而达到主动防卫的目的，网络安全态势评估与趋势感知的分析研究正处在刚起步阶段，需要我们继续在算法、体系结构、使用模型等方面做更深入的研究。
参考文献
[1]萧海东.网络安全态势评估与趋势感知的分析研究[D].上海交通大学，2007.
[2]陈秀真，郑庆华，管晓宏，林晨光.层次化网络安全威胁态势量化评估方法[J].软件学报，2006.
[3]肖道举，杨素娟，周开锋，陈晓.网络安全评估模型研究[J].华中科技大学学报（自然科学版），2002.
【关键词】客运专线；CTC网络安全防御系统；功能研究
1引言
CTC又名分散自律调度系统，该系统的功能主要是确保列车安全正常地行驶，调度生产业务系统。这一系统具有2大特点，即独立成网及封闭运行，并且其主要组件并不强大[1]。客运专线的行车安全主要在于系统的保密性、完整性、可用性3点，按照我国等级保护防御区划分原则和信息系统的功能、安全性能等标准，客运专线CTC系统必须具备防火墙、入侵检测、动态口令、安全漏洞、SAV网络病毒防护5个安全系统。
2防火墙及入侵检测系统
CTC的安全防御系统中，防火墙和入侵检测系统属于基本安全设施，这对于构建安全密实的网络系统十分必要。防火墙的功能是过滤数据包，对链接状态进行检查，并检查入侵的行为和会话。防火墙按照用户定义对一些数据实行允许进入或阻拦，以确保内部网络设备及系统不会遭受非法攻击，从而影响访问。此外，可以实现每个通过防火墙的链接都可以快速地建立对应的状态表。如果链接异常，会话遭到威胁或攻击后，防火墙可以很快地阻断非法链接。通过入侵行为的特点，入侵系统可以及时地对每一个数据包进行认真检查，如果数据包对系统存在攻击性，入侵检测系统必须及时断开这一链接，并且由管理人员定义的处理系统会尽快获取幕后攻击者的详细信息，同时，为要得到处理的事件提供对应数据。CTC网络的结构性质为双通道冗余结构，CTC中心和沿线的各个车站数量庞大，并且有着海量的数据流量，业务连接安全性要求很高，CTC中心和沿线车站的各个接口都安置了4台中心防火墙，每网段安置2台；CTC中心和其他系统接口各安置2台防火墙，采用透明模式进行接入。客运专线CTC系统防火墙详见图1。
3安全漏洞评估
安全漏洞的评估系统是一个漏洞及风险评估的有效工具，主要用来对网络的安全漏洞进行发现、报告以及挖掘，主要作用是对目标网络设备安全漏洞实行检测，并提出具体检测报告以及安全可行的漏洞解决方案，使系统管理员可以提前修补可能引发黑客进入的多个网络安全漏洞，避免黑客入侵带来损失。客运专线CTC系统中心完整地部署了一整套安全漏洞评估系统，基于全面以及多角度的网络关键服务器漏洞分析的评估基础，确保CTC以及TDCS等系统安全运行。还能对黑客的进攻方式进行模拟，并提交相应的风险评估报告，提出对应的整改措施。预防性的安全检查暴露了目前网络系统存在的安全隐患，对此必须实行相应的整改，最大程度地降低网络的运行风险。漏洞评估组需要在网络安全集中管理平台下实现统一监测，并且汇总漏洞威胁时间，结合实际情况及设施制定相应的安全策略。当前存在的安全漏洞扫描一定要从技术底层实现有效划分，分别对主机及网络漏洞进行扫描。主机漏洞评估EVP，针对文件权限、属性、登录设置的值和使用者账号等使用主机型漏洞评估扫描器进行评估。网络型漏洞扫描器NSS，在网络漏洞基础上的评估扫描器采用黑客入侵观点，自动对网上系统和服务实行扫描，对一般性的入侵和具体入侵场景实行真实模拟，最重要的是测试网络基础设施的安全漏洞，会提供相应的修补漏洞意见，扫描图形视图的完整显示过程，扫描相应漏洞而且对漏洞的出现原因进行查找，提供具有实际执行可行性的管理报告，针对多个系统实施扫描。
4反病毒网络系统
根据病毒具有的特征以及多层保护需求，客运专线CTC系统必须要统一、集中监控、多面防护，正对整体以及全面反病毒系统实现积极有效的安排，并融合各层面，覆盖CTC中心、下属车站等。并且还要在客运专线的中心部署2台SAV反病毒服务器，二者相互辅助。对服务器设备和车站终端等实施统一的SAV客户端，并且对网络内存的所有病毒实行统管理、分析，监控、查杀[2]。以整体反病毒解决方案为依据，网络反病毒系统的部署具体要从下面几项开展，多操作系统的服务器、反病毒软件、集中监管的多个系统。
5动态口令
身份认证属于安全防御线的第一道保护。我国的CTC安全建设在最初的使用中运用的是静态密码认证，每一系统和设备都具备自身的专属密码，管理很不方便。大量的管理和维护导致操作人员难以实现方便快捷的使用，因此，出于使用便利，会将设备密码设置为统一密码，系统内各种网络设备和服务器的密码基本上人人都知道；另外，静态口令极易被人猜出、截获、破解，黑客可以通过对密码的猜测或使用成熟破译软件破解用户口令，导致CTC面临极大的隐患。在CTC系统网络中，对CTC系统中心设置相应的动态口令，随后客户端认证请求会自动地分配到认证服务器，该模式充分降低了服务器的工作负荷，提升了系统性能。身份证的依据和访问控制组能通过网络安全集中管理平台发挥监测、报警等功能。安全策略的集中配备，对安全事件进行统一响应，并且充分实现分层、统一用户管理、访问认证授权AAA等策略。动态口令身份认证在AAA认证中的功能为双因素认证，有效解决了静态口令存在的多种问题，提升了系统的安全性。客运专线CTC系统运用动态口令后，实现了对整个网络、运用和主机等的统一覆盖，实现了安全的身份认证控制访问组件，统一身份认证和授权统一，同时还提供了集中身份认证等，通过授权严格对多个访问资源权限实施限制。
6结语
关键词： 实时风险评估；隐马尔科夫模型；非负矩阵分解；人工免疫
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）06-1176-02
A Survey On Real-Time Risk Assessment
HE Li
（Department of Computer， Guangdong AIB Polytechnic College，Guangzhou 510507， China）
Abstract： The risk assessment methods for network security are classified into two categories in this paper： the static risk assessment and the real-time risk assessment. Because of lots of problems about the static risk assessment， the real-time risk assessment is becoming more and more concerned about. Current status of the Study on real-time risk assessment are described in detail in this paper， and the design principles and existing problems of it are systematically discussed. Besides， some open problems in the development of real-time risk assessment are presented and analyzed in the end.
Key words： real-time risk assessment； hidden Markov models； Non-Negative Matrix Factorization； artificial immune
目前网络安全风险评估方法有两类：传统风险评估和实时评估，传统风险评估主要是基于一些国际标准来进行的，有代表性的是ISO/IEC27002（即ISO/IEC17799）[1]、CC[2]（即ISO/IEC15408）、SSE-CMM[3]、ISO/IEC13335，国内也制定了以《信息安全风险评估指南》为基础的一系列标准，比如2006年3月14日正式颁布了GB/T20261-2006的国家标准，于2008年11月1日开始实施的国家标准GB/T 22080-2008和国家标准GB/T 22081-2008（分别等同于国际标准ISO/IEC 27001：2005和ISO/IEC 27002：2005）。这些标准和规范提出了风险评估的详细评估模型和评估流程（即所谓的传统风险评估）。对标准的研究也逐渐从单一化的技术方面向兼容管理方面转变。同时，应用网络安全专家（例如TigerTeam[4]）对目标网络进行风险评估，也会带来很多潜在的风险。基于此，导致传统风险评估存在下面几个问题：
1） 评估估过程繁琐，主观因素多，很难使评估自动化；
2） 需要较多人为参与，评估周期较长；
3） 评估结果是静态的，不能实时反映信息系统安全态势的变化，对一些突发事件很难迅速地作出响应。
从而导致现阶段网络安全处于被动防御的局面[5]。虽然，实时动态风险评估能动态反应网络安全的客观状态，但是相比传统风险来说，其评估过程也是相对复杂得多；同时，国内外对于实时风险评估的研究还处于初步探索阶段。该文将按检测攻击方法的不同分别详细介绍目前国内外实时风险评估的研究现状。
1 基于网络传感器以及IDE（入侵检测系统）的网络安全实时风险评估的研究
2005年，Arnes等人[5]提出了基于HMM（隐马尔科夫模型）的实时风险评估方法。该方法是这样定义的：首先假定网络中的每台主机具有N个状态，我们分别用S={s1，…，sN}描述这N个状态，我们用X={x1，…，xT}来描述网络中某一台主机在某一时刻的状态序列，其中xt∈S。为了研究的方便，通常我们只考虑3种状态：Good（G），Attacked（A），Compromised （C）。同时再假定主机可能会受到的攻击有M种，我们用V={v1，…，vM}表示，这样，攻击序列可表示为Y=y1，…，yT，其中yt∈V。HMM还包含一个三元组λ=（P，Q，π），其中P = {pij}表示状态迁移矩阵，pij表示主机从t时刻状态si迁移到t+1时刻状态sj的概率，即条件概率pij =P（xt+1=sj|xt=si），1≤I，j ≤N。观察矩阵Q = {qj（l）}表示在时刻t，主机处于sn状态观察到某种攻击vm的概率，qj（l） = P（yt = vl|xt = sj），1 ≤ j ≤N，1 ≤ l ≤ M。M。初始状态π是一个向量，表示计算开始主机处于各个状态的概率π = {πi}。t时刻主机的总风险为Rt=[i=1NRt（i）]=[i=1Nγt（i）C（i）]，其中γt（i）、C（i）分别表示t时刻主机处于si状态的概率以及每个状态下的风险代价。为了体现风险评估的实时性，风险需要动态地更新γt=﹛γt（i）﹜。给定观察到的攻击yt以及三元组λ，风险只需要通过文献[5]中给出的算法1即可计算出相应γt（i）。
利用HMM来量化网络安全风险，具有以下4个优点：
1） 动态性，由于风险评估的输入是通过网络传感器实时采集的，具有动态性，这也使得输出呈现动态的变化。
2） 易于量化，该模型下主机的风险值是由两部分的乘积构成的：每个状态发生的概率以及此状态下的风险代价。
3） 参数可调节性，给不同网络确定不同的λ以及代价向量C（i），会得到不同的风险评估结果，这样更能适应不同的网络环境。
4） 计算过程耗时短，隐马尔可夫模型的计算量相对来说是比较小的，一方面，内网主机数量有限，另一方面，风险值的计算很简单。因此整个计算过程消耗的时间非常短。
但是利用HMM进行安全风险量化的方法也存在两个明显问题：
1） P、Q矩阵的确定，Arnes等人提出对于P矩阵的构造可以基于现实或实验统计攻击数据，也可以来自于专家的主观经验，对于Q矩阵的构造文中没有给出详尽的阐释。马煜等人[6]将各阶段攻击时间、难度系数以及状态转移概率三者之间建立起联系，从而确定出P矩阵。而对于Q矩阵的构造，则较为主观的将所有攻击归为三类，对于安全要求较高的现实环境不太适用。
2） Q矩阵规模的控制，首先对IDS告警的攻击方式非常多，Snort基本告警就多达8000多个，如果将每一个IDS告警直接与Q矩阵关联，那么Q矩阵的规模将相当庞大，使得风险值的运算效率会非常低。所以李伟明等人[7]提出了一种针对告警的威胁程度的算法，该算法综合考虑漏洞、资产、环境等各个方面因素，将告警威胁度预设为10级，将所有IDE告警根据影响程度归入这10类，从而使Q矩阵的规模控制为4×10。但文中对于风险的计算过于简单化，没有考虑到多网络中不同主机对于风险敏感程度的不一致性，所以最终确定的风险值过于粗糙。其次文中提到风险规则库的构造也缺乏通用性，不具备不同网络间的普适性。另外，这篇文章中首次采用了遗传算法对γt=﹛γt（i）﹜进行实时更新。
2 基于非负矩阵分解在实时风险评估中的应用
目前入侵检测系统越来越受到广泛关注，同时所出现的问题也越来越多。一方面入侵检测系统在处理海量数据的能力不够强，另一方面入侵检测系统很难平衡检测率和误报率这两个指标。文献[8][9]都假设数据量非常小或者维数很低，这样的简化使得得出来的结论与实际环境并不相符，根本达不到我们所需要的实时效果，例如Warrend等人基于HMM，使用大量的数据在正常模型的训练中需要约2个月[10]，王伟在其博士论文中使用改进后的HMM方法，在其模型中仅使用近6万条的数据就耗时约50分钟 [11]，这显然不能满足我们对实时风险评估的需要。所以，文献[11]提出运用NMF（非负矩阵分解）的思想将实时入侵检测分为三个阶段：数据预处理、NMF数据降维与特征提取以及分类决策。张凤斌、杨辉继[12]文献[11]之后做了进一步发展。
NMF是一种高效的数据降维的方法，最早由D.D.Lee和H.S.Seung在1999年的《Nature》杂志上提出[13]。此降维方法的特点是，所有的数据必须都是非负的。而对于数据的统计频率，具备上述的非负特性。
在文献[11]中，整个实时风险入侵检测分成三个阶段。数据预处理阶段主要是统计每组数据中每个元素出现的频率。假定初始数据被分为m组，数据中有n个不同类型的元素，这样我们就可以构造出初始矩阵Vnm。接下来，通过非负矩阵分解对正常行为建模，按文献[13]所给出的迭代公式即可计算得到最优的矩阵分解W与H，使得V≈WH。作为正常数据特征的H，它的每列元素之和恒等于1。基于此，我们就可以建立起正常程序的行为模型。最后，在分类检测阶段，给定一组测试数据，首先经过数据预处理方法统计该组数据中每个元素的频率，从而形成一测试向量t，将t进行矩阵分解从而可以得到新特征与训练数据所包含的特征之差的绝对值，再将这个绝对值作为入侵检测的异常度ε。如果待测数据的异常度大于ε，则判断该数据异常，否则为正常。
该方法只是从定性角度分析了系统所存在某种风险，并没有对风险值进行量化，这样使得我们很难进行风险决策。
3 结束语
本文综述的文献主要来自IEEE、SpringerLink和中国期刊网，也有部分来自如Nature以及Journal of Machine Learning Research等国际著名期刊。该文主要是对目前国内外实时风险评估研究的现状以及及存在的问题进行了系统的分析，总结和比较。除此之外，很多专家学者对实时风险评估也作出了极大的贡献，国外方面，Haslum[14]提出使用连续HMM，而非离散的HMM来对状态转换进行计算；Gehani[15]提出基于主机的实时风险评估；Jonsson和Olovsson[16][17]利用入侵检测系统中的实验数据来分析攻击者的行为，通过观测系统的实时输入和输出对系统进行风险评估；国内方面，陈秀真博士[18]也通过研究入侵检测系统中的数据，定量评估实时网络安全威胁态势。综上所述，目前实时风险评估的研究虽取得了一定的研究成果，但其仍然处于摸索阶段，还有很多现实的问题有待进一步的讨论和研究，比如：（1）如何更好的确保实时性；（2）预言机制的应用；（3）实时风险评估在不同网络间的适应性问题等。
参考文献：
[1] ISO/IEC 17799. International Organization for Standardization， Code of Practice for Information Security Management[S].2005.
[2] CC v3.1. Common Criteria for Information Technology Security Evaluation[S]. 2006.
[3] SSE-CMM v3.0. System Security Engineering Capability Maturity Model[S]. 2007.
[4] P D Goldis.Questions and answers about tiger teams[J].EDPACS，The EDP Audit，Control and Security Newsletter，1989，27（4）：1-10.
[5] Arnes A，Sallhammar K.Real-time risk assessment with network sensors and intrusion detection systems[C].Proceedings of the International Conference on Computational Intelligence and Security.Springer-Verlag，2005：388-397.
[6] 马煜，刘建华，尚星，田东平.基于隐马尔可夫的网络实时风险评估[J].计算机工程与设计，2009，30（11）：2656-2659.
[7] 李伟明，雷杰，董静，李之棠.一种优化的实时网络安全风险量化方法[J].计算机学报，2009，32（4）：794-804.
[8] Hu W， Liao Y， Vemuri V R. Robust Support Vector Machines for Anomaly Detection in Computer Security. The 2003 International Conference on Machine Learning and Applications（ICMLA’03）[C]. Los Angeles， California， 2003-3.
[9] Feng L， Guan X， Guo S， et al. Predicting the Intrusion Intentions by Observing System Call Sequences[J].Computer&Security，2004， vol. 23， No. 5：245-252.
[10] Warrender C， Forrest S， Pearlmutter B. Detecting Intrusions Using System Calls： Alternative Data Models[J].Preceedings of 1999 IEEE Sysposium on Privacy，1999.133-145.
[11] 王伟.多信息源的实时入侵检测方法[D].西安：西安交通大学，2005.
[12] 张凤斌，杨辉.非负矩阵分解在入侵检测中的应用[J].哈尔滨理工大学学报，2008，13（2）：20-22.
[13] Lee D D， Seung H S. Learning the Parts of Object with Nonnegative Matrix Factorization[J].Nature，1999（401）：788-791.
[14] Haslum Kjetil， rnes André. Multisensor real-time risk assessment using continuous-time hidden Markov models//Proceedings of the International Conference on Computational Intelligence and Security （CIS）. Guangzhou， China， 2006：694-703.
[15] Gehani A， Kedem G. Rheostat： Real-time risk management//Proceedings of the 7th International Symposium on Recent Advances in Intrusion Detection. French Riviera，France， 2004： 296-314.
[16] Jonsson E， Olovsson T. An empirical model of the security intrusion process//Proceedings of the 11th Annual Conference on Computer Assurance. Gaithersburg， 1996： 176-186.
地址：__________________________
法定代表人：____________________
乙方：__________________________
地址：__________________________
法定代表人：____________________
受_________委托，由乙方即中国信息安全产品测评认证中心_________测评中心（该中心系由国家授权履行对信息安全产品，信息系统及信息安全服务进行测评认证的第三方权威，公证机构。）对甲方即进行测评。为保证信息系统检测评估过程的顺利进行，提高信息系统的安全性，现经甲、乙双方平等协商，自愿签订本协议，共同遵守如下条款：
1．经甲乙双方协商，于_______年______月______日起（时间约为________周）由乙方对甲方网络系统的安全性进行检测评估。
2．测评范围为_______________________________________。
3．在检测评估过程中，甲方应协助并向乙方提供有关网络系统检测评估所需的文档。
4．乙方在对甲方的网络系统进行检测评估中必须严格依照信息系统检测评估要求与标准执行。信息系统检测评估过程如下：
（1）甲方向乙方提交系统检测评估申请文档；
（2）乙方对甲方提交的文档进行形式化审查；
（3）乙方对甲方提交的文档进行技术审查；
（4）乙方确定现场核查方案及计划；
（5）乙方对甲方申请检测的系统进行现场核查检测；
（6）乙方整理分析检测数据并撰写检测报告；
（7）乙方向甲方提交系统检测报告。
5．乙方在检测评估完毕后_________个工作日内向甲方提交网络系统检测评估报告。
6．乙方有义务对甲方提交的任何文档资料以及检测评估数据与结果保密，严格依照《中华人民共和国保密法》相关事宜执行，以确保任何相关技术及业务文档不得泄露。
7．甲方应在本协议生效之日起_________个工作日内将系统检测评估费用人民币_________元转入乙方指定的银行账户中。
8．本协议未尽事宜，双方协商解决，与国家法律法规相抵触的按国家规定执行。
9．本协议自签订之日起生效，一式三份，甲方持一份，乙方持两份。
甲方（盖章）：_________乙方（盖章）：_________
一、电子商务系统审计的必然性和必要性
在商业活动实现网络化之前，采购是面对面或通过纸质文件进行的，有迹可查，即使是电子交易，其设备结构是专用的，一般只限于已知用户使用，任何外部用户必须是已知的、身份明确的、可追踪的；系统通常是主机结构方式，相对易于监督、控制和审计。与传统商业相比，万维网客户/服务器系统的特点是高度分散，资源共享、服务分散、顾客透明度高等，而电子商务的运作速度更快、业务循环周期更短、风险更大、更高程度地依赖于技术。电子商务系统的技术基础和市场的快速变化意味着传统的衡量方法已不再适用于企业的某些资产，财务报告不能充分提供企业的状况和价值方面的信息，特别是网络企业的无形资产，如商誉、客户忠诚度和满意程度等这些产生长期价值的关键资产。核实确认这类资产价值的困难在于缺乏足够的历史数据、合适的参照标准、先进的实践经验以及对网络的各种威胁和概率的准确估算。企业管理层以及公众都需要寻找能够用以表述网络企业的可信度、安全性及其他资产价值的方法，需要一些新的核查和审计方法，更有效地评价无形资产，如知识、品牌等。因此，电子商务系统审计就成为历史的必然。由于，电子商务的可靠性、适用性、安全性和性能等方面受到的威胁或存在的风险，都可能会影响其生存和发展。风险因素包括：商业信息的泄露、智能财产的不当使用、对版权的侵犯、对商标的侵犯、网络谣言和对信誉的损害等。因此，进行必要和客观的审计，才会使董事会、审计委员会、高级管理层对电子商务系统的安全运作和效益满意和放心。
二、网络风险和风险管理
网络风险如同自然灾害一样不可预见。风险管理的关键在于风险评估，风险评估就是要分析和衡量风险事件发生的概率及后果，引起风险的因素及其关联因素，出现风险的关键点采取什么方法能够减缓风险，风险出现造成后果如何，以及评价管理层是否履行了应有的职业审慎进行防范和控制。同时在评估中还要为各项因素设计评价比率，计算各种风险的影响后果，根据影响和后果排序，对高风险因素作进一步的分析。
通过风险评估，可以认识到潜在风险（威胁）及其影响，以便对高风险领域作一些防范、检测、控制、减缓和恢复的工作计划和安排。这些计划和安排应涵盖对各项控制成本，主要是指接受、避免、转移、监测成本的分析以及各项工作的先后次序。
三、电子商务系统审计中网站的合法性证明
网络终端用户都会关注网站是否来自一个真实的、可靠的机构，提供的信息是否准确真实，机构背景是否正当合法，个人信息的隐私权是否得到保护等。所谓隐私权是指对个人的数据/信息的搜集必须合法、公平，必须用于某一特定、公开的目的，必须取得该个人的同意并受到保护，本人必须有权进入系统进行修改或删除，信息的越域流动和将来的使用、披露必须予以安全保证和限制等。
解决这些网站合法性问题的途径之一就是由一公证机构提供可靠的证明，以使网络终端用户能对网站提供的电子商务放心。如Verisign，TRUSTe，BBBOnline，WebTrust，SysTurst等都是具有良好的信誉并且提供证明-查证服务的专业组织机构。网络终端用户可以通过查询这些公证机构的记录，获得确认被访问网站的名称、有效状态、服务器标识等信息。
四、内部审计和电子商务系统审计
美国注册会计师协会对“核实查证”的定义是“提高决策者所需要信息的质量或内容的独立性专业服务。”其审计原则是保证系统的可用性、安全性、真实完整性和持续性，建议对系统安全性和真实完整性方面存在的控制点进行检查、评价和测试。并尽量在今后采用合适的审计标准对信息技术进行审计。不同于以年度为基础的传统外部审计，电子商务的实时性要求审计人员应对其进行连续不断的评估，按特定的审核标准对已发生的交易进行追踪，而系统内设置的自动登录记录可作为相应的审计轨迹，在系统内部实施对事件监督和控制。
尽管当前许多人认为核实查证通常与外部审计人员相关，内部审计人员则在公司内部出具审计报告。然而，国际内部审计师协会对电子商务系统审计的要求则是：审计控制目标主要是审计财务报告制度、经营的效益和效率、合规性和保护财产安全等方面。审计模式应该建立在系统的可用性、容量、功能、保护和可靠性的基础上。例如，内部审计对网络企业控制水平的独立评价，使得客户了解到企业提供的数据将不会被有意或无意地滥用。再如，企业目标是建立电子商务以降低成本、提高市场占有率，那么电子商务风险是随着网络交易的增加而增加，以至于不能确保交易的安全性或分辨用户的可靠性，因此，所需要的控制就是对用户的真实性进行确认以及对通讯信息进行加密。
电子商务系统审计的成功与否在于审计人员是否掌握相关的技术知识，了解商业风险及风险管理策略，是否有现成的策略随时应付出现的风险。因此，作为一个成功内部审计人员应了解企业的业务，以服务为宗旨并努力增值，积极提高专业技能，关注系统的效率和效益，建立对电脑领域发展的职业敏感性。
仅供参考
为保证有效平稳处置互联网网络安全突发事件中，实现统一指挥、协调配合，及时发现、快速反应，严密防范、妥善处置，保障互联网网络安全，维护社会稳定，制定本预案。
一、总则
（一）编制目的
为提处置网络与信息安全突发事件的能力，形成科学、有效、反应迅速的应急工作机制，确保重要计算机信息系统的实体安全、运行安全和数据安全，最大程度地预防和减少网络与信息安全突发事件及其造成的损害，保障信息资产安全，特制定本预案。
（二）编制依据
根据《中华人民共和国计算机信息系统安全保护条例》、公安部《计算机病毒防治管理办法》，制定本预案。
（三）分类分级
本预案所称网络与信息安全突发事件，是指本系统信息系统突然遭受不可预知外力的破坏、毁损、故障，发生对国家、社会、公众造成或者可能造成重大危害，危及公共安全的紧急事件。
1、事件分类
根据网络与信息安全突发事件的性质、机理和发生过程，网络与信息安全突发事件主要分为以下三类：
（1）自然灾害。指地震、台风、雷电、火灾、洪水等引起的网络与信息系统的损坏。
（2）事故灾难。指电力中断、网络损坏或是软件、硬件设备故障等引起的网络与信息系统的损坏。
（3）人为破坏。指人为破坏网络线路、通信设施，黑客攻击、病毒攻击、恐怖袭击等引起的网络与信息系统的损坏。
2、事件分级
根据网络与信息安全突发事件的可控性、严重程度和影响范围，县上分类情况。
（1）i级、ⅱ级。重要网络与信息系统发生全局大规模瘫痪，事态发展超出控制能力，需要县级各部门协调解决，对国家安全、社会秩序、经济建设和公共利益造成特别严重损害的信息安全突发事件。
（2）ⅲ级。某一部分的重要网络与信息系统瘫痪，对国家安全、社会秩序、经济建设和公共利益造成一定损害，属县内控制之内的信息安全突发事件。
（3）ⅳ级。重要网络与信息系统使用效率上受到一定程度的损坏，对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益的信息安全突发事件。
（四）适用范围
适用于本系统发生或可能导致发生网络与信息安全突发事件的应急处置工作。
（五）工作原则
1、居安思危，预防为主。立足安全防护，加强预警，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定的重要信息系统，从预防、监控、应急处理、应急保障和打击犯罪等环节，在法律、管理、技术、人才等方面，采取多种措施，充分发挥各方面的作用，共同构筑网络与信息安全保障体系。
2、提高素质，快速反应。加强网络与信息安全科学研究和技术开发，采用先进的监测、预测、预警、预防和应急处置技术及设施，充分发挥专业人员的作用，在网络与信息安全突发事件发生时，按照快速反应机制，及时获取充分而准确的信息，跟踪研判，果断决策，迅速处置，最大程度地减少危害和影响。
3、以人为本，减少损害。把保障公共利益以及公民、法人和其他组织的合法权益的安全作为首要任务，及时采取措施，最大限度地避免公共财产、信息资产遭受损失。
4、加强管理，分级负责。按照“条块结合，以条为主”的原则，建立和完善安全责任制及联动工作机制。根据部门职能，各司其职，加强部门间协调与配合，形成合力，共同履行应急处置工作的管理职责。
5、定期演练，常备不懈。积极参与县上组织的演练，规范应急处置措施与操作流程，确保应急预案切实有效，实现网络与信息安全突发事件应急处置的科学化、程序化与规范化。
二、组织指挥机构与职责
（一）组织体系
成立网络安全工作领导小组，组长局党委书记、局长担任，副组长由局分管领导，成员包括：信息全体人员、各通信公司相关负责人。
（二）工作职责
1、研究制订我中心网络与信息安全应急处置工作的规划、计划和政策，协调推进我中心网络与信息安全应急机制和工作体系建设。
2、发生i级、ⅱ级、ⅲ级网络与信息安全突发事件后，决定启动本预案，组织应急处置工作。如网络与信息安全突发事件属于i级、ⅱ级的，向县有关部门通报并协调县有关部门配合处理。
3、研究提出网络与信息安全应急机制建设规划，检查、指导和督促网络与信息安全应急机制建设。指导督促重要信息系统应急预案的修订和完善，检查落实预案执行情况。
4、指导应对网络与信息安全突发事件的科学研究、预案演习、宣传培训，督促应急保障体系建设。
5、及时收集网络与信息安全突发事件相关信息，分析重要信息并提出处置建议。对可能演变为i级、ⅱ级、ⅲ级的网络与信息安全突发事件，应及时向相关领导提出启动本预案的建议。
6、负责提供技术咨询、技术支持，参与重要信息的研判、网络与信息安全突发事件的调查和总结评估工作，进行应急处置工作。
三、监测、预警和先期处置
（一）信息监测与报告
1、要进一步完善各重要信息系统网络与信息安全突发事件监测、预测、预警制度。按照“早发现、早报告、早处置”的原则，加强对各类网络与信息安全突发事件和可能引发网络与信息安全突发事件的有关信息的收集、分析判断和持续监测。当发生网络与信息安全突发事件时，在按规定向有关部门报告的同时，按紧急信息报送的规定及时向领导汇报。初次报告最迟不得超过4小时，较大、重大和特别重大的网络与信息安全突发事件实行态势进程报告和日报告制度。报告内容主要包括信息来源、影响范围、事件性质、事件发展趋势和采取的措施等。
2、重要信息系统管理人员应确立2个以上的即时联系方式，避免因信息网络突发事件发生后，必要的信息通报与指挥协调通信渠道中断。
3、及时上报相关网络不安全行为：
（1）恶意人士利用本系统网络从事违法犯罪活动的情况。
（2）网络或信息系统通信和资源使用异常，网络和信息系统瘫痪、应用服务中断或数据篡改、丢失等情况。
（3）网络恐怖活动的嫌疑情况和预警信息。
（4）网络安全状况、安全形势分析预测等信息。
（5）其他影响网络与信息安全的信息。
（二）预警处理与预警
1、对于可能发生或已经发生的网络与信息安全突发事件，系统管理员应立即采取措施控制事态，请求相关职能部门，协作开展风险评估工作，并在2小时内进行风险评估，判定事件等级并预警。必要时应启动相应的预案，同时向信息安全领导小组汇报。
2、领导小组接到汇报后应立即组织现场救援，查明事件状态及原因，技术人员应及时对信息进行技术分析、研判，根据问题的性质、危害程度，提出安全警报级别。
（三）先期处置
1、当发生网络与信息安全突发事件时，及时请技术人员做好先期应急处置工作并立即采取措施控制事态，必要时采用断网、关闭服务器等方式防止事态进一步扩大，同时向上级信息安全领导小组通报。
2、信息安全领导小组在接到网络与信息安全突发事件发生或可能发生的信息后，应加强与有关方面的联系，掌握最新发展态势。对有可能演变为ⅲ级网络与信息安全突发事件，技术人员处置工作提出建议方案，并作好启动本预案的各项准备工作。信息安全领导小组根据网络与信息安全突发事件发展态势，视情况决定现场指导、组织设备厂商或者系统开发商应急支援力量，做好应急处置工作。对有可能演变为ⅱ级或i级的网络与信息安全突发事件，要根据县有关部门的要求，上报县政府有关部门，赶赴现场指挥、组织应急支援力量，积极做好应急处置工作。
四、应急处置
（一）应急指挥
1、本预案启动后，领导小组要迅速建立与现场通讯联系。抓紧收集相关信息，掌握现场处置工作状态，分析事件发展趋势，研究提出处置方案，调集和配置应急处置所需要的人、财、物等资源，统一指挥网络与信息安全应急处置工作。
2、需要成立现场指挥部的，立即在现场开设指挥部，并提供现场指挥运作的相关保障。现场指挥部要根据事件性质迅速组建各类应急工作组，开展应急处置工作。
（二）应急支援
本预案启动后，领导小组可根据事态的发展和处置工作需要，及时申请增派专家小组和应急支援单位，调动必需的物资、设备，支援应急工作。参加现场处置工作的有关人员要在现场指挥部统一指挥下，协助开展处置行动。
（三）信息处理
现场信息收集、分析和上报。技术人员应对事件进行动态监测、评估，及时将事件的性质、危害程度和损失情况及处置工作等情况及时报领导小组，不得隐瞒、缓报、谎报。符合紧急信息报送规定的，属于i级、ⅱ级信息安全事件的，同时报县委、县政府相关网络与信息安全部门。
（四）扩大应急
经应急处置后，事态难以控制或有扩大发展趋势时，应实施扩大应急行动。要迅速召开信息安全工作领导小组会议，根据事态情况，研究采取有利于控制事态的非常措施，并向县政府有关部门请求支援。
（五）应急结束
网络与信息安全突发事件经应急处置后，得到有效控制，将各监测统计数据报信息安全工作领导小组，提出应急结束的建议，经领导批准后实施。
五、相关网络安全处置流程
（一）攻击、篡改类故障
指网站系统遭到网络攻击不能正常运作，或出现非法信息、页面被篡改。现网站出现非法信息或页面被篡改，要第一时间请求相关职能部门取证并对其进行删除，恢复相关信息及页面，同时报告领导，必要时可请求对网站服务器进行关闭，待检测无故障后再开启服务。
（二）病毒木马类故障
指网站服务器感染病毒木马，存在安全隐患。
1）对服务器杀毒安全软件进行系统升级，并进行病毒木马扫描，封堵系统漏洞。
2）发现服务器感染病毒木马，要立即对其进行查杀，报告领导，根据具体情况，酌情上报。
3）由于病毒木马入侵服务器造成系统崩溃的，要第一时间报告领导，并联系相关单位进行数据恢复。
（三）突发性断网
指突然性的内部网络中某个网络段、节点或是整个网络业务中断。
1）查看网络中断现象，判定中断原因。若不能及时恢复，应当开通备用设备和线路。
2）若是设备物理故障，联系相关厂商进行处理。
（四）数据安全与恢复
1.发生业务数据损坏时，运维人员应及时报告领导，检查、备份系统当前数据。
2.强化数据备份，若备份数据损坏，则调用异地光盘备份数据。
3.数据损坏事件较严重无法保证正常工作的，经部门领导同意，及时通知各部门以手工方式开展工作。
4.中心应待数据系统恢复后，检查基础数据的完整性；重新备份数据，并写出故障分析报告。
（五）有害信息大范围传播
系统内发生对互联网电子公告服务、电子邮件、短信息等网上服务中大量出现危害国家安全、影响社会稳定的有害、敏感信息等情况进行分析研判，报经县委、县政府分管领导批准后启动预案；或根据上进部门要求对网上特定有害、敏感信息及时上报，由上级职能部门采取封堵控制措施，按照市上职能部门要求统一部署启动预案。
（六）恶意炒作社会热点、敏感问题
本系统互联网网站、电子公告服务中出现利用社会热点、敏感问题集中、连续、反复消息，制造舆论焦点，夸大、捏造、歪曲事实，煽动网民与政府对立、对党对社会主义制度不满情绪，形成网上热点问题恶意炒作事件时，启动预案。
（七）敏感时期和重要活动、会议期间本地互联网遭到网络攻击
敏感时期和重要活动、会议期间，本系统互联网遭受网络攻击时，启动预案。要加强值班备勤，提高警惕，密切注意本系统网上动态。收到信息后，及时报警，要迅速赶赴案（事）发网站，指导案（事）件单位采取应急处置措施，同时收集、固定网络攻击线索，请求县上技术力量，分析研判，提出技术解决方案，做好现场调查和处置工作记录，协助网站恢复正常运行并做好防范工作。
六、后期处置
（一）善后处置
在应急处置工作结束后，要迅速采取措施，抓紧组织抢修受损的基础设施，减少损失，尽快恢复正常工作，统计各种数据，查明原因，对事件造成的损失和影响以及恢复重建能力进行分析评估，认真制定恢复重建计划，迅速组织实施。
（二）调查和评估
在应急处置工作结束后，信息安全工作领导小组应立即组织有关人员和专家组成事件调查组，对事件发生及其处置过程进行全面的调查，查清事件发生的原因及财产损失状况和总结经验教训，写出调查评估报告。
七、应急保障
（一）通信与信息保障
领导小组各成员应保证电话24小时开机，以确保发生信息安全事故时能及时联系到位。
（二）应急装备保障
各重要信息系统在建设系统时应事先预留出一定的应急设备，做好信息网络硬件、软件、应急救援设备等应急物资储备工作。在网络与信息安全突发事件发生时，由领导小组负责统一调用。
（三）应急队伍保障
按照一专多能的要求建立网络与信息安全应急保障队伍。选择若干经国家有关部门资质认可的，具有管理规范、服务能力较强的企业作为我县网络与信息安全的社会应急支援单位，提供技术支持与服务；必要时能够有效调动机关团体、企事业单位等的保障力量，进行技术支援。
（四）交通运输保障
应确定网络与信息安全突发事件应急交通工具，确保应急期间人员、物资、信息传递的需要，并根据应急处置工作需要，由领导小组统一调配。
（五）经费保障
网络与信息系统突发公共事件应急处置资金，应列入年度工作经费预算，切实予以保障。
八、工作要求
（一）高度重视。
互联网信息安全突发事件应急处置工作事关国家安全、社会政治稳定和经济发展，要切实增强政治责任感和敏感性，建立应急处置的快速反应机制。
（二）妥善处置。
正确区分和处理网上不同性质的矛盾，运用多种手段，依法开展工作，严厉打击各类涉网违法犯罪活动，严守工作秘密，严禁暴露相关专用技术侦查手段。
制定网络安全基线
网络安全基线是阻止未经授权信息泄露、丢失或损害的第一级安全标准。确保与产品相关的人员、程序和技术都符合基线，将有效提高政府的网络安全等级。网络安全基线应体现在采办程序的技术需求以及性能标准中，以明确在整个采办生命周期内产品或服务的网络风险。由于资源有限以及采办中风险的多样性，政府应采取渐进和基于风险的方法，逐步增加超越基线的网络安全需求。这种需求应在合同内清晰且专门列出。
开展网络安全培训
政府应对工业合作伙伴开展采办网络安全培训。通过这种培训向工业合作伙伴明确展示，政府正通过基于风险的方法调整与网络安全相关的采购活动，且将在特定采办活动中提出更多网络安全方面的要求。
明确通用关键网络安全事项定义
明确联邦采办过程中关键网络安全事项的定义将提高政府和私营部门的效率和效益。需求的有效开发和完善很大程度上依赖于对关键网络安全事项的共同认识。在采办过程中，不清晰、不一致的关键网络安全事项定义将导致网络安全不能达到最优效果。定义的清晰界定应建立在公认或国际通用的标准上。
建立采办网络风险管理战略
政府需要一个部门内普遍适用的采办网络风险管理战略。该战略将成为政府企业风险管理战略的一部分，并要求政府部门确保其行为符合采办网络风险目标。该战略应建立在政府通用的采办愿景基础上，并与美国家标准与技术研究院制定的“网络安全框架”相匹配。战略应为采办建立网络风险等级，并包含基于风险的采办优先次序。战略还应包含完整的安全需求。制定战略时，政府应将网络风险列入企业风险管理，并积极与工业界、民间和政府机构以及情报机构合作，共享已验证的、基于结果的风险管理程序和最佳经验。
加强采购来源的网络风险管控
确保提供给政府的产品真实、未被篡改和替代是降低网络风险的重要环节。伪冒产品往往不能进行安全更新，或达不到原始设备制造商产品的安全标准。政府需要从原始设备制造商、授权商获取产品，或者从合格供应商表中确定可信采购来源。政府通过一系列基于采办类型的网络安全标准，评估供应商的可信情况，建立合格供应商表。即便来自可信采购来源的产品也可能存在网络安全缺陷。对此，政府应限制原始设备制造商、授权商以及可信供应商的来源，并将资格要求贯彻到全采办生命周期。政府从供应商获取产品或服务时，若供应商未与原始设备制造商建立信任关系，政府应要求其就产品的安全和完整性提供担保。
