广东广播电视台播出系统信息安全等级保护建设工作

云栖网：随着信息飞速发展，信息安全等级保护举足轻重，根据系统特点和业务实际，按照安全等保建设要求，广东广播电视台播出系统建设了三级等保。本文通过安全管理和安全技术两个方面，简要介绍了安全等级保护工作的建设过程，通过完善相关的管理流程和制度，构建安全系统的信息安全保护环境，从而提高重要系统的安全性，提升播出网络的安全保障水平，达到强化安全播出的目的。

【关键词】等级保护安全管理安全技术

一．引言

近年来，信息化建设飞速发展，信息化技术广泛应用，网络信息系统逐渐成为了承载各行各业各领域业务的重要载体，随着信息系统网络日益庞大和系统结构日益复杂，信息安全方面带来日益严峻的挑战，信息安全等级保护在未来的发展中举足轻重。

广东广播电视台播出系统支撑着节目编播等核心业务，负责所有频道的播出工作，是由计算机及其相关配套设备、设施构成，按照广播技术播出标准部署和运维的一个局域网络。播出系统建成较早，信息安全防护考虑较少，而随着近年来网络化建设，业务增加和边界不断拓展，网络环境日趋复杂，网络安全保障难度不断提高。为了确保系统的安全性，信息安全等保建设迫在眉睫，通过对网络基础结构、安全基础设施、安全防护措施和安全管理制度等方面的建设，有助于我们进行系统性规划，防止非法入侵，对数据进行篡改和窃取，通过系统安全加固满足播出网络的安全防护的需求。

二．安全等级保护概述

1.信息系统安全等级保护等级情况

我国公安部2008年下发首部信息安全等级保护管理办法，制定了定级指南，信息系统安全定级工作有了定级的方法和准则。该管理办法中规定了信息系统等级划分，明确了对信息系统的保护的相关的管理规定，推动了信息系统安全等级保护的发展。

2014年2月27日，中央网络安全和信息化领导小组正式成立，体现了我国家保障网络信息安全和大力推动信息化发展的决心。主持召开的小组第一次会议，指出“网络安全和信息化是事关国家安全和国家发展、事关广大人民群众工作生活的重大战略问题”，提出“网络安全和信息化是一体之两翼，驱动之双轮”，强调了网络安全在国家安全体系中的重要战略地位以及网络安全和信息化的重要性和强迫性。

2016年下半年，相关政策发布速度显著加快，多项政策密集出台，其中《中华人民共和国网络安全法》第21条明确提出国家实行网络安全等级保护制度。自此，我国网络安全建设进入了新时期。

2.系统定级的依据

信息安全基本制度的信息安全等级保护工作环节包括信息系统定级、等级保护实施、等级测评、系统安全运维等，其中首要环节是系统定级。按照《信息安全等级保护管理办法》中的相关规定，信息系统的安全保护等级分为五个等级，一级，五级。

根据各行业和部门的信息系统类型和重要程度的不同，通过定级，确定信息安全保护的重点。信息系统的安全保护的等级由两个定级要素决定，根据信息系统受到破坏后，等级保护对象受到破坏所侵害的客体类型以及对该客体造成侵害的严重程度，强化信息系统安全保护标准要求。根据《信息系统安全等级保护定级指南》，信息系统安全保护的等级和定级要素的关系如下表[1-2]所示。

由上表可见，等级保护对象受到破坏时受到侵害的客体包括：

Ø（1）公民、法人和其他组织的合法权益；

Ø（2）社会秩序、公共利益；

Ø（3）国家安全。

对等级保护对象的破坏表现在通过危害方式、危害后果和危害程度三个方面，造成侵害的程度归结为以下三种：

Ø（1）一般损害；

Ø（2）严重损害；

Ø（3）特别严重损害；

3.等级保护定级的流程

信息系统安全等级保护实施的基本流程如下图[3]，在运行维护阶段，如果因需求变化而导致局部调整，应进入安全设计与实施阶段重新设计和调整安全措施以满足等级保护的要求；如果重大变更则需要进入信息系统等级阶段，重新开始新一轮信息安全等级保护的实施工作。

图1 信息系统安全等级保护实施的基本流程

三．广东广播电视台播出信息系统概况

对广东广播电视台播出信息系统，我们根据安全等级保护的定级方法和实施相关流程，通过对系统定级、系统备案、建设整改、等级测评、监督检查五个方面开展安全等级保护工作。

1.系统定级和备案

广东广播电视台播出信息系统属于广电行业生产播出网络，为封闭的内部局域网，该播出信息系统包括从磁带信息、节目单信息录入，节目素材编排和迁移、节目播出整个播出流程。该系统遭到破坏后（如信息被修改、增加、删除等不明侵害），虽然不含涉密信息，不对国家安全构成危害；但该系统承载广东广播电视播出业务生产，播出系统发布节目内容,该信息若被篡改成非法信息或涉密敏感信息，可能造成播出事故，侵害社会公众收看广播电视节目的合法权益，可能引起社会秩序混乱，可能侵害公共利益。

根据《信息系统安全等级保护定级指南》（GB/T22240-2008）和《广播电视相关信息系统安全等级保护定级指南》（GD/J037-2011），广东广播电视台播出信息系统确定为三级等保系统，并按照《信息安全等级保护备案实施细则》的相关要求办理信息系统备案工作。

2.等保项目的总体规划

根据《信息系统等级保护安全设计技术要求》（GBT25070-2010）中第三级系统安全保护环境结构与流程（如下图）[4]，主要分为安全计算环境、安全区域边界、安全通行网络和安全管理中心四个部分。在此技术要求的指导下，广东广播电视台信息系统安全等级保护项目中主要对物理安全、主机安全、应用安全、网络安全、数据安全及备份恢复、安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理方面的入手，确立安全策略、制定安全规划、开展安全建设，制定切实可行的项目实施方案，以保证广东广播电视台播出系统信息安全等级保护建设。

图2 第三级系统安全保护环境结构与流程

3.播出信息系统的计划与实施

播出信息系统的建设主要分成安全管理子系统建设和安全技术子系统建设两个部分。

安全管理子系统建设方面，播出信息系统建设多年，已经规划和制定了较为完善的系统维护、流程管理、安全检查、人员培训等相关的制度以保障系统的安全，确保安全播出。但是随着信息技术的不断发展和系统的不断更新改造，对于信息安全相关方面的制度和管理相对薄弱，因此，本次等保安全工作的实施中，我们根据完全信息安全的相关要求，明确了安全管理机构方面，安全管理机构职责和岗位分工，完善相关授权审批事项规定和相关流程规范，详细制定了定期进行安全检查并保存相关检查结果和报告等相关管理制度，制定人员安全管理制度、人员安全意识教育和信息安全认知和技能的培训考核等方面的人员安全管理制度，完善了软件开发、工程实施和系统交付管理等系统建设管理方面相关制度和环境管理、资产管理、设备管理、网络安全、系统安全、恶意代码防范、备份与恢复管理等方面系统运维管理制度，建立安全管理制度体系，并确保认真贯彻和实行相关制度，为播出信息系统的安全稳定提供坚实基础。

安全技术子系统建设方面，系统部署在电视中心大楼3楼机房，该区域基础设施较齐全，安全状况较为良好。网络安全层面，为了确保系统的安全性，防止非法入侵，对数据进行篡改和窃取，按照信息系统安全等保三级标准规范安全的要求，完善了包含安全管理子系统、4K超高清电视播出边界子系统，高标清电视播出边界子系统等方面的安全系统，对主要网络设备如边界防火墙、核心交换机资源，根据实际情况部署了多种访问控制策略，根据业务情况划分不同的子网或网段；在主机安全层面，服务器身份鉴别、访问控制安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制等安全配置；应用安全层面，提供访间控制、安全审计、软件容错安全配置，制定了合理的备份策略，保证对服务器、应用系统的位置文件、日志记录及核心业务数据等重要数据安全。

4.播出信息系统构架和边界部署

广东广播电视台播出信息系统根据广东广播电视台播出的业务流程进行设计，主要包括三大模块：标清播出系统、高清播出系统、4K播出系统。从磁带信息、节目单信息的录入，到节目素材的编排、节目单素材的迁移、节目的播出均使用播出信息系统完成，系统中的控制信息、数据信息、视音频数据分开独立进行传输，系统与外界的数据交换通过软盘介质或移动硬盘完成，介质均由部署了杀毒软件的设备杀毒后才连入系统进行使用。播出信息系统承担着相对独立的播出业务，与其他信息系统无连接，与外网完全隔离，是一个业务专用局域网，系统拓扑图如下：

图3 广东广播电视台播出信息系统网络拓扑图

本次技术安全建设方面，主要建设了安全管理区域，并完善了网络边界安全区域。其中，安全管理区域的部署如下：

在安全管理交换机划分一个安全管理区域的所属VLAN用于建设安全管理设备，并作为该VLAN的网关设备；分别连接4K超高清播出系统和高标清播出系统的核心交换机，通过路由方式连通安全管理设备与各系统对应的设备，实现统一管理的操作。

入侵检测系统（IDS）通过旁路模式部署在4K超高清播出系统和高标清播出系统的核心交换机，交换机上将外网出口的双向流量镜像到连接IDS的端口上，实现实时检测所经外网出口的流量数据。

数据库审计系统通过旁路模式部署在4K超高清播出系统和高标清播出系统的数据库服务器所连接的交换机，添加各系统对应的数据库信息，在交换机通过将连接数据库服务器的端口双向流量镜像到连接数据库审计系统的端口上，最终实现对数据库的登录、注销、插入、删除、存储过程的执行等操作进行审计并记录，还原SQL操作语句进行实时审计，对跟踪数据库访问过程中的所有细节。

在IT运维审计系统中，添加4K超高清播出系统和高标清播出系统所需管理服务器、网络设备、安全设备，并在内网防火墙上放通其相关策略，最终实现设备的统一管理及个人操作审计。

在安全管理系统（SOC）中添加4K超高清播出系统和高标清播出系统所需采集的设备日志，最终实现设备日志的收集、保存、及事件数据分析。

IT服务管理系统（网管系统）：部署在安全管理区，通过SNMP功能对接添加4K超高清播出系统和高标清播出系统所需管理的网络安全设备及服务器，实现实时检测设备的硬件状态及链路状态。

在4K超高清播出系统和高标清播出系统的各服务器上安装终端防护优化系统（杀毒软件）客户端，并在终端防护优化系统上制定相对应的杀毒策略，定期推送杀毒指令及更新病毒库指令。

在4K超高清播出系统和高标清播出系统的各服务器上安装终端安全保护系统客户端，并在终端安全保护系统上制定相对应的系统优化策略，执行推送策略到已安装的客户端上服务器上，实现终端的保护。

如拓扑图，4K超高清播出系统的安全边界区域和高标清系统的安全边界区域基本相似，下面通过高标清系统的安全边界区域介绍其具体部署情况。

边界防火墙：部署在高清播出系统的素材导入区域、标清播出系统的素材导入区域与安全边界区域，采用路由模式部署，作为区域边界设备及对应高清、标清的素材导入区域各系统的网关，根据实际情况制定相对应的安全策略为高标清素材导入区域与高标清播出系统区域提供相对应的访问控制。

入侵防御系统（IPS）：部署在边界防火墙与防病毒网关之间，采用透明模式部署，串联在安全边界区域的链路之间，根据实际情况制定入侵防御策略，实时的监控及防护所经设备的流量，若检测到有可疑的入侵流量，则自动拦截。

防病毒网关：部署在IPS与安全网闸之间，采用透明模式部署，串联在安全边界区域的链路之间，根据实际情况制定防毒策略，实时检测及防护所经设备的流量，若检测到有可疑的病毒流量，则自动拦截并清除。

安全网闸：部署在防病毒网关与内网核心交换机之间，采用路由模式部署，通过内外网的物理模块将上载审片区域与4K超高清播出系统区域进行隔离，使用内外网的地址转换功能实现制定业务的交互。

内网核心交换机：部署在安全网闸与高清内网防火墙、标清内网防火墙之间，作为边界安全区域的数据转发及对应数据的端口镜像。

5.实施效果

通过对照信息系统安全等级保护的基本要求进行自查，对播出网络等保建设后的播出网络系统进行技术控制点测评检查，大部分已经达到了安全等级保护的要求，仍然有部分未达到要求，主要是机房未部署红外报警系统和电磁屏蔽保护、无异地备份，部分线路未提供冗余、对源代码的审查、定期的漏洞扫描、系统补丁等方面，由于涉及到系统和机房的大规模改造，考虑到在线系统的安全播出需求，暂时难以整改以满足要求。

通过安全等保建设，梳理和完善播出系统的安全管理和安全技术，通过制度和技术两方面提高系统安全，明确安全责任，提升安全管理水平。

四．结束语

在播出系统等保建设中，我们从传统的“应急为主”转变为“预防为主”的安全播出保障模式，提升播出网络的安全管控能力和运维管理水平。在等保实施过程中，播出系统作为24小时在线播出系统，承载着业务效率和实时播放的需求，因此在安全建设过程中，我们以确保业务正常运作为基本前提，遵循最小影响、先验证后实施等原则，制定了完善的实施计划，步步推进，逐步实施，并制定了完备的应急预案，确保播出安全。

本次安全等级改造建设中，我们意识到我们存在的不足，对信息安全的意识明显提高，在即将到来的二期建设工程中，我们将综合考虑相关的安全管理要求和安全技术要求，建设符合信息安全要求的系统。

参考文献

[1]邹茁.H省海事信息系统安全等级保护方案设计与优选[D].吉林：吉林大学,2018.

[2]GB/T22240-2008信息安全技术信息系统安全等级保护定级指南[S]北京:中国标准出版社，2008

[3]GB/T25058-2010信息安全技术信息系统安全等级保护实施指南[S]北京:中国标准出版社，2010

[4]GB/T25070-2010信息安全技术信息系统等级保护安全设计技术要求[S]北京:中国标准出版社，2010