你們單位的電腦是不是既可以訪問(wèn)政務(wù)外網(wǎng)，又能訪問(wèn)互聯(lián)網(wǎng)？如果是的話，你就要小心“一機(jī)兩用”帶來(lái)的安全風(fēng)險(xiǎn)了：

攻防演練中，員工的電腦在訪問(wèn)互聯(lián)網(wǎng)時(shí)被紅方攻破，成為紅方黑進(jìn)政務(wù)外網(wǎng)的跳板，導(dǎo)致單位領(lǐng)導(dǎo)被問(wèn)責(zé)；

日常辦公中，員工復(fù)制業(yè)務(wù)應(yīng)用中的敏感數(shù)據(jù)，投喂給免費(fèi)的AI大模型，導(dǎo)致機(jī)密數(shù)據(jù)泄露；

員工離職時(shí)，私自將源代碼、客戶資料、設(shè)計(jì)圖紙等數(shù)據(jù)拷貝到U盤中，用于非法牟利…..

這些情況絕非危言聳聽(tīng)，政務(wù)終端“一機(jī)兩用”的安全風(fēng)險(xiǎn)遠(yuǎn)比想象中嚴(yán)峻。2020年，在統(tǒng)計(jì)面向地方政務(wù)外網(wǎng)發(fā)布的103起網(wǎng)絡(luò)安全通報(bào)中顯示，80%的安全事件是由于終端感染木馬病毒或被控從而在政務(wù)外網(wǎng)進(jìn)行橫向滲透攻擊。毫不夸張的說(shuō)，“一機(jī)兩用”搞不好，安全事件少不了。

為了保證政務(wù)外網(wǎng)安全，國(guó)家連出重拳，先后頒布了《政務(wù)外網(wǎng)終端一機(jī)兩用安全管控技術(shù)指南》、《政務(wù)移動(dòng)辦公系統(tǒng)安全技術(shù)規(guī)范》等規(guī)章制度，對(duì)“一機(jī)兩用”提出了明確的安全要求。

但是，想要切實(shí)落地監(jiān)管要求，保證“一機(jī)兩用”的安全性，卻需要解決一系列的技術(shù)挑戰(zhàn)。

“一機(jī)兩用”的技術(shù)挑戰(zhàn)

做好政務(wù)外網(wǎng)終端“一機(jī)兩用”的安全管控，需要從安全隔離、身份認(rèn)證、終端安全、傳輸加密、訪問(wèn)控制五個(gè)方向同時(shí)發(fā)力。

1.安全隔離

政務(wù)外網(wǎng)終端在“一機(jī)兩用”的情況下，必須具備全面的安全隔離能力：

應(yīng)采用沙箱技術(shù)，確保終端訪問(wèn)政務(wù)外網(wǎng)敏感應(yīng)用系統(tǒng)下載的數(shù)據(jù)只能落入沙箱加密隔離存放，且數(shù)據(jù)使用和外發(fā)行為受控，防止終端數(shù)據(jù)泄露，且沙箱所使用密碼技術(shù)應(yīng)滿足國(guó)家密碼應(yīng)用的標(biāo)準(zhǔn)要求；

應(yīng)支持會(huì)話隔離，確保每個(gè)終端訪問(wèn)政務(wù)外網(wǎng)時(shí)采用唯一會(huì)話，可通過(guò)添加有效期內(nèi)唯一的會(huì)話狀態(tài)信息來(lái)實(shí)現(xiàn)；

應(yīng)支持網(wǎng)絡(luò)隔離，確保終端獲得準(zhǔn)入授權(quán)后通過(guò)安全隧道訪問(wèn)政務(wù)外網(wǎng)，不能同時(shí)訪問(wèn)互聯(lián)網(wǎng)或與互聯(lián)網(wǎng)連通的其他網(wǎng)絡(luò)。

2.身份認(rèn)證

終端接入政務(wù)外網(wǎng)之前，須完成對(duì)用戶、設(shè)備的身份認(rèn)證，非授權(quán)的用戶、設(shè)備不允許接入政務(wù)外網(wǎng)：

接入政務(wù)外網(wǎng)的用戶終端應(yīng)具備唯一標(biāo)識(shí)，唯一標(biāo)識(shí)的信息應(yīng)至少包括使用者信息和終端設(shè)備信息，并實(shí)現(xiàn)用戶與終端實(shí)名綁定，以便后續(xù)審計(jì)溯源；

應(yīng)采用口令認(rèn)證、密碼技術(shù)、生物技術(shù)或MAC地址認(rèn)證等鑒別技術(shù)對(duì)用戶進(jìn)行認(rèn)證；

登錄用戶的身份鑒別信息應(yīng)具有復(fù)雜度要求并定期更換。

3.終端安全檢查

終端接入政務(wù)外網(wǎng)之前，應(yīng)全面檢查終端的安全情況，不符合要求的終端不允許接入政務(wù)外網(wǎng)：

應(yīng)檢查終端是否安裝運(yùn)行了防病毒軟件；

應(yīng)檢查終端是否存在弱口令賬戶；

應(yīng)檢查終端是否運(yùn)行了惡意進(jìn)程或軟件；

應(yīng)檢查終端是否存在未修復(fù)的高危漏洞。

4.傳輸加密

終端接入通過(guò)身份認(rèn)證和安全檢查后，應(yīng)采用密碼技術(shù)保證通信傳輸安全：

應(yīng)采用密碼技術(shù)保證數(shù)據(jù)在傳輸過(guò)程中的保密性,包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個(gè)人信息等；

應(yīng)當(dāng)支持國(guó)密算法，并滿足國(guó)家密碼應(yīng)用的標(biāo)準(zhǔn)要求。

5.資源訪問(wèn)控制

終端接入政務(wù)外網(wǎng)后，應(yīng)實(shí)現(xiàn)應(yīng)用訪問(wèn)控制，應(yīng)當(dāng)滿足以下要求：

終端接入政務(wù)外網(wǎng)時(shí)，應(yīng)實(shí)現(xiàn)基于用戶的資源訪問(wèn)控制，并實(shí)現(xiàn)最小授權(quán)；

可對(duì)終端環(huán)境進(jìn)行持續(xù)檢測(cè)和評(píng)估，根據(jù)評(píng)估情況動(dòng)態(tài)調(diào)整其權(quán)限。

芯盾時(shí)代政務(wù)外網(wǎng)“一機(jī)兩用”零信任解決方案

面對(duì)以上安全挑戰(zhàn)，桌面云、VPN等傳統(tǒng)解決方案要么安全性不足、運(yùn)維管理難，要么改造難度大、擴(kuò)容不方便，難以一站式解決政務(wù)外網(wǎng)終端“一機(jī)兩用”的安全挑戰(zhàn)。

芯盾時(shí)代作為領(lǐng)先的零信任業(yè)務(wù)安全產(chǎn)品方案提供商，在終端安全領(lǐng)域擁有領(lǐng)先的技術(shù)和深厚的經(jīng)驗(yàn)，賦予了零信任業(yè)務(wù)安全產(chǎn)品方案全面的終端安全能力?；谟脩羯矸菖c訪問(wèn)管理平臺(tái)（IAM）、零信任安全網(wǎng)關(guān)（SDP）等產(chǎn)品，芯盾時(shí)代推出了政務(wù)外網(wǎng)“一機(jī)兩用”零信任解決方案，幫助各級(jí)政務(wù)部門一站式解決網(wǎng)絡(luò)隔離、身份認(rèn)證、終端安全、加密傳輸、訪問(wèn)控制5大安全難題，讓線上政務(wù)更安全。

與傳統(tǒng)解決方案相比，芯盾時(shí)代政務(wù)外網(wǎng)“一機(jī)兩用”零信任解決方案具備“輕量化、高彈性、全可控、更安全”的特點(diǎn)，能夠幫助各級(jí)政務(wù)部門在業(yè)務(wù)應(yīng)用低改造、甚至0改造的情況下，一站式實(shí)現(xiàn)以下功能：

1.三種安全隔離，安全“一機(jī)兩用”

芯盾時(shí)代SDP客戶端中內(nèi)置安全沙箱，能夠在終端設(shè)備中構(gòu)建與本地空間完全隔離的安全工作空間，實(shí)現(xiàn)“數(shù)據(jù)不落地”，并實(shí)施禁止復(fù)制、禁止截屏、禁止打印、外發(fā)審批等行為管控，阻斷數(shù)據(jù)外發(fā)。借助安全沙箱，政務(wù)部門確保每個(gè)終端訪問(wèn)政務(wù)外網(wǎng)時(shí)采用唯一會(huì)話，實(shí)現(xiàn)會(huì)話隔離。

芯盾時(shí)代SDP具備“網(wǎng)絡(luò)隔離”功能，當(dāng)用戶登錄客戶端訪問(wèn)政務(wù)外網(wǎng)時(shí)，禁止終端設(shè)備訪問(wèn)互聯(lián)網(wǎng)，避免終端設(shè)備上網(wǎng)時(shí)感染病毒，成為攻擊政務(wù)外網(wǎng)的“跳板”。

2.識(shí)別設(shè)備身份，強(qiáng)化身份認(rèn)證

憑借設(shè)備指紋技術(shù)，政務(wù)部門能夠通過(guò)SDP客戶端精準(zhǔn)標(biāo)識(shí)設(shè)備身份，發(fā)現(xiàn)非常用設(shè)備登錄、多用戶通過(guò)同一設(shè)備登錄等風(fēng)險(xiǎn)行為，限制單個(gè)用戶最多使用的設(shè)備數(shù)量，還能夠在攻防演練中開(kāi)啟設(shè)備審批功能，禁止不可信設(shè)備接入系統(tǒng)。

芯盾時(shí)代IAM具備全面的身份管理能力，能夠統(tǒng)一管理業(yè)務(wù)應(yīng)用的身份信息。借助身份認(rèn)證App，政務(wù)部門能夠一站式實(shí)施全局多因素認(rèn)證，為員工提供短信驗(yàn)證碼、動(dòng)態(tài)口令、App掃碼、指紋識(shí)別、人臉識(shí)別等多種認(rèn)證方式，提升身份認(rèn)證的安全性和便捷性。借助統(tǒng)一應(yīng)用門戶和單點(diǎn)登錄功能，員工能夠通過(guò)統(tǒng)一門戶直接訪問(wèn)權(quán)限內(nèi)的業(yè)務(wù)應(yīng)用，實(shí)現(xiàn)“一次認(rèn)證、全網(wǎng)通行”。

借助IAM，政務(wù)部門可以實(shí)施全局統(tǒng)一的密碼策略，通過(guò)限制密碼字符構(gòu)成與長(zhǎng)度、強(qiáng)制定期改密等方式提升密碼安全性，消除弱口令帶來(lái)的安全風(fēng)險(xiǎn)。

3.監(jiān)測(cè)安全態(tài)勢(shì)，保障終端安全

憑借終端威脅態(tài)勢(shì)感知技術(shù)，芯盾時(shí)代SDP客戶端能夠識(shí)別政務(wù)外網(wǎng)終端設(shè)備是否安裝了殺毒軟件，是否存在遠(yuǎn)程控制軟件、模擬器、程序雙開(kāi)、攻擊框架、Root/越獄等風(fēng)險(xiǎn)，是否加入指定域控，是否安裝了操作系統(tǒng)補(bǔ)丁。在訪問(wèn)過(guò)程中，客戶端持續(xù)監(jiān)測(cè)終端安全態(tài)勢(shì)、用戶操作行為，為安全控制中心提供終端側(cè)的風(fēng)險(xiǎn)信息。

4.數(shù)據(jù)加密傳輸，支持國(guó)密算法

芯盾時(shí)代SDP采用應(yīng)用代理和SPA單包授權(quán)技術(shù)，由網(wǎng)關(guān)統(tǒng)一代理業(yè)務(wù)應(yīng)用訪問(wèn)流量，同時(shí)對(duì)所有連接網(wǎng)關(guān)的設(shè)備進(jìn)行預(yù)認(rèn)證，不通過(guò)認(rèn)證不開(kāi)放端口，實(shí)現(xiàn)業(yè)務(wù)應(yīng)用和網(wǎng)關(guān)雙重“隱身”，減少遭受網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)。

通過(guò)認(rèn)證后，芯盾時(shí)代SDP能在客戶端與網(wǎng)關(guān)之間建立加密隧道，保證數(shù)據(jù)通過(guò)互聯(lián)網(wǎng)安全傳輸。加密隧道采用國(guó)密算法，讓數(shù)據(jù)傳輸更加安全可控。

5.動(dòng)態(tài)訪問(wèn)控制，阻斷非法訪問(wèn)

芯盾時(shí)代IAM具備全面的身份管理能力，支持RBAC、ABAC、ACL等多種權(quán)限管理模型，權(quán)限管理能力細(xì)至URL，幫助企業(yè)落實(shí)“最小化授權(quán)”，精準(zhǔn)管控?cái)?shù)據(jù)資源的訪問(wèn)權(quán)限，杜絕越權(quán)訪問(wèn)。

借助芯盾時(shí)代SDP的動(dòng)態(tài)訪問(wèn)控制能力，企業(yè)能夠結(jié)合登錄時(shí)間、設(shè)備狀態(tài)等上下文信息，靈活設(shè)置訪問(wèn)控制策略，自適應(yīng)執(zhí)行阻斷、二次認(rèn)證、權(quán)限收斂等控制策略，保證訪問(wèn)的安全性。

芯盾時(shí)代政務(wù)外網(wǎng)“一機(jī)兩用”零信任解決方案擁有完全自主知識(shí)產(chǎn)權(quán)，不但符合《政務(wù)外網(wǎng)終端一機(jī)兩用安全管控技術(shù)指南》、《政務(wù)移動(dòng)辦公系統(tǒng)安全技術(shù)規(guī)范》的要求，還滿足網(wǎng)絡(luò)安全等級(jí)保護(hù)、密碼應(yīng)用安全性評(píng)測(cè)的相關(guān)要求，能夠支撐各級(jí)政務(wù)部門的信創(chuàng)建設(shè)。

政務(wù)終端安全不僅是技術(shù)問(wèn)題，更是系統(tǒng)性風(fēng)險(xiǎn)管理工程。芯盾時(shí)代政務(wù)外網(wǎng)"一機(jī)兩用"零信任解決方案能夠幫助各級(jí)政務(wù)部門輕、快、好、省的建立政務(wù)外網(wǎng)訪問(wèn)體系，為數(shù)字政府建設(shè)提供安全保障。