御盾安全助力智行领域信息安全合规落地

项目背景

随着数据安全法及等级保护2.0政策法规的发布，国家对数据安全管控越来越严格，这对汽车行业信息系统数据安全防护管理提出了更高的要求。为贯彻落实国家信息安全工作部署，御盾安全团队将协助客户依据国家信息安全等级保护技术和管理要求及客户系统实际情况，开展信息安全等级保护建设工作，加强和加固信息安全系统的防护。

客户系统情况
客户是国内一家领先的自动驾驶（AD）和高级驾驶辅助系统（ADAS）技术及产品供应商，致力于为消费者带来更加安全和便捷的辅助驾驶和无人泊车等自动驾驶体验，以满足消费者不断升级的消费需求。
客户的某款自动泊车系统主要提供停车场高精地图，地图更新服务, 一键泊车，远程遥控，远程监控，反向寻车等功能模块，以用户体验为核心，打造统一的泊车产品。业务数据主要为客户注册信息、车辆泊车信息，系统安全性不容忽视。

解决方案

一、等保咨询服务流程
1、定级备案
协助客户依据《信息系统安全等级保护定级指南》确定信息系统的安全保护等级，准备定级备案表和定级报告，协助客户向所在地区的公安机关办理备案手续。根据评估报告，结合国家对等保要求及规定，确定客户系统服务安全保护等级为第二级。
2、差距分析
通过等级差距分析，明确客户信息系统的现状，确定不符合安全项，明确安全建设需求。
3、方案设计
参考国家标准《信息系统安全等级保护基本要求》、《信息安全技术信息系统等级保护安全设计技术要求》，依据差距分析的结论，在与客户充分沟通后，结合客户实际情况，给出专家级的安全整改和建设方案。
4、整改建设
根据安全整改方案，结合客户实际需求，协助客户完成设备的选型、采购、安装、策略配置等活动，协助客户搭建完善的技术防护系统和安全管理体系，保障信息系统的安全稳定运行。
5、等级测评
协助客户选择第三方测评机构，开展信息系统等级保护验收测评工作，保障通过等级保护验收测评。
6、定期评估
测评通过后，御盾安全团队定期为客户提供评估服务，确保信息系统长期处于一种动态的合规安全状态中。

二、等保建设方案
本方案为客户提供完善的云上系统等保二级解决方案，客户系统部署于阿里云，并配备了SSL证书、云WAF等安全防护产品，具备基本的防护能力。依据等级保护制度，从技术层面和管理层面整理对客户信息系统进行风险评估，提供针对等保二级系统的建设方案，并协助客户落地实施。

（拓补图）

1、通过建立审核跟踪，持续保存云控制台审计记录，对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等，满足网络安全法需要保留日志180天的要求。
2、通过对云安全组进行梳理，根据实际业务并按照最小化原则重新调整对外开放的端口及策略，并定期按照程序进行安全审核和安全检查活动。
3、通过主机安全加固服务，对身份鉴别、访问控制、安全审计、入侵防范、数据完整性、数据保密性、数据备份恢复、个人信息保护等方面进行技术加固，提升安全计算环境的整体安全性和稳定性。
4、通过漏洞扫描工具以本地扫描的方式对范围内的系统和网络进行扫描，查找网络结构、网络设备、服务器主机、数据和用户账号口令等安全对象目标存在的安全风险、漏洞和威胁。
5、通过渗透测试以模拟实际攻击，帮助客户识别其系统和应用程序中可能存在的安全漏洞，包括配置错误、软件漏洞、弱密码等，有助于确定哪些方面需要改进和加强，以提高整体安全性。
6、依据等级保护制度，协助客户全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，明确信息安全保障重点，落实信息安全责任，建立信息安全等级保护工作长效机制，提高客户信息安全防护能力、隐患发现能力、应急处置能力。

三、等级保护安全管理指导
1、安全管理机构
梳理安全管理职能流程，协助客户建立管理机制。建立一个统一指挥、协调有序、组织有力的安全管理机构，对网络安全管理进行实施和推广。同时构建从单位最高管理层到执行层以及具体业务运营层的组织体系，明确各个岗位的安全职责，为安全管理提供组织上的保证。
2、安全管理制度
协助补充完善客户安全管理制度，明确落实安全人员的工作职责。对等级保护对象建设、开发、运维、升级和改造等各个阶段和环节的规章制度进行完善，全面覆盖等级保护对象生命周期中的重要活动。
3、安全管理人员
（1）协助制定公司《信息系统人员管理制度》；
（2）定期组织公司信息系统相关人员的安全意识培训、安全技能培训；
（3）加强对第三方合作伙伴、人员、系统的安全管理，防止引入第三方给公司带来的安全风险。
4、安全建设管理
等级保护对象在建设过程中，要经过系统定级和备案、安全方案设计、产品采购和使用、软件开发、工程实施、测试验收、系统交付等几个阶段，对每个阶段涉及到的活动实施科学和完善的管理，保证系统建设的进度、质量和安全。
5、安全运维管理
在等级保护对象建设完成投入运行之后，对系统实施有效、完善的维护管理，保证系统运行阶段的安全。

方案优势
1、满足等级保护技术规范要求
通过本方案建设符合等级保护相关要求的安全防护措施，形成检测、防护、响应和恢复的保障体系，从而建立有针对性的合规性安全保障体系框架和安全防护措施。
2、降低人工审计成本
帮助公司提升网络设备、安全设备、应用系统运行监控的透明度，降低人工审计成本，实现全业务运行可视化、日常操作可监控、危险操作可控制、所有行为可审计、安全事件可追溯。
3、安全事件压制在萌芽之中
在发生安全事件或发现攻击行为时，可第一时间监控发现此类攻击动态，通过和专业安全厂家进行联动应急响应，把安全事件压制在萌芽之中。
4、详细安全日志确保溯源
通过综合日志类、系统安全防护设备的部署，详细的记录各设备的安全日志、HTTP协议相关的任何攻击信息，如请求的URL、POST内容、响应头部、页面内容等，为安全事件分析、安全事件追溯以及安全取证等提供了最为直接的依据。
5、低成本且有效推行IT管理制度
通过审计类设备从资产管理、帐号管理、权限管理、运维管理等多维度进行监控，可以低成本且有效推行IT管理制度。

御盾®安全 您身边的信息安全专家
御盾®安全是舜源科技旗下安全业务品牌，致力于为客户提供客观专业的信息安全咨询解决方案，同时提供全面的安全服务。我们长期与各大安全厂商保持良好的合作关系，涵盖国内外信息安全行业的主流厂商，通过了解技术发展趋势，把国内外先进技术和理念用一流的服务带给客户。公司通过多年的积累和发展，拥有了健全的数字化生态合作资源链、与各地信息安全服务机构建立了良好的合作关系。我们深耕公安行业十多年，积累了丰富的信息安全项目建设经验与技术服务经验，了解客户业务场景需求、熟悉国内外主流安全厂商的技术和产品的优缺点，可为用户量身定制专属安全解决方案。

御盾安全长期密切关注国家信息安全管理政策的动态变化，在企业网络安全等级保护建设工作实践中积累了丰富的经验。凭借过硬的技术实力和专业的服务能力，获得了广大客户的充分认可。未来，御盾安全将持续协助更多的客户快速省心过等保，帮助企业全面提升安全能力，推动信息化健康发展。

咨询专线：4008-5050-26