數(shù)據(jù)資源與安全處負責人在浙江省電子政務系統(tǒng)網(wǎng)絡攻防演練杭州復盤總結(jié)中指出,杭州作為“數(shù)字經(jīng)濟第一城”“數(shù)字治理第一城”,在全市層面基礎設施共建共用,信息系統(tǒng)互聯(lián)互通,數(shù)據(jù)資源匯聚共享背景下,安全管理的對象已經(jīng)由原來各自分散的平臺、系統(tǒng)和數(shù)據(jù)延伸為包括“網(wǎng)、云、數(shù)、用、端”縱向到底、橫向到邊、合縱連橫、全市一體的“復雜巨系統(tǒng)”,直接導致了安全管理難度的增加。同時,數(shù)據(jù)流通加大數(shù)據(jù)安全風險。數(shù)據(jù)要流動起來才能真正創(chuàng)造價值,但從數(shù)據(jù)安全保護的角度來考慮,數(shù)據(jù)流動得越頻繁就越不安全,流動數(shù)據(jù)安全管理的難度要遠大于不流動的數(shù)據(jù)。需不斷建立健全安全風險閉環(huán)督導機制、項目安全聯(lián)動機制和以獎代測機制,重點開展供應鏈安全治理行動、安全產(chǎn)品服務賦能行動和政務模型安全治理行動。開展“獎勵式”安全測試,聚焦安全事件、攻防演練和情報分析,日常中要做到安全隱患“動態(tài)清零”。
在實戰(zhàn)經(jīng)驗分享環(huán)節(jié),啟明星辰浙江公司技術總監(jiān)葉博洋圍繞上半年全省電子政務系統(tǒng)攻防演練展開。本次演練呈現(xiàn)以下特點:演練覆蓋重點靶標、普通目標及供應鏈,攻擊隊分階段實施互聯(lián)網(wǎng)與政務網(wǎng)滲透。防守方構(gòu)建“日志追蹤+主動誘捕+精準反制”體系實現(xiàn)攻擊溯源,但暴露資產(chǎn)梳理不全、漏洞修復成效低、供應鏈安全薄弱等問題。典型攻擊手法包括信息收集、弱口令利用、反序列化攻擊等,需強化資產(chǎn)管控、互聯(lián)網(wǎng)暴露面收斂、漏洞閉環(huán)治理及供應鏈協(xié)同防御。針對0day常態(tài)化、攻擊復合化趨勢,提出構(gòu)建立體防護體系、壓實安全責任、提升應急能力等對策,推動政務網(wǎng)絡安全防護能力提升。深度剖析了政務網(wǎng)絡安全的實戰(zhàn)痛點,結(jié)合典型攻防案例提出“主動防御、動態(tài)響應”的技術策略,為政務系統(tǒng)安全防護提供了落地參考。
核心研討環(huán)節(jié),聚焦三個關鍵議題:
1、政務應用開發(fā)測試環(huán)境中的生產(chǎn)數(shù)據(jù)安全問題(如私有云/公有云泄露風險);
2、SaaS化部署應用的公共數(shù)據(jù)泄露隱患;
3、政務大模型語料庫的數(shù)據(jù)安全管理漏洞(如非結(jié)構(gòu)化數(shù)據(jù)分類分級和脫敏等)。
每位企業(yè)代表、區(qū)縣代表結(jié)合自身實踐,提出了許多問題與建議,亮點紛呈,包括“無菌實驗室”、開發(fā)專區(qū)、安全意識培訓、資產(chǎn)探測、安全能力賦能等。
傅衛(wèi)權(quán)副局長在總結(jié)中強調(diào),數(shù)據(jù)安全是數(shù)字政府建設的生命線,近年來,人工智能等新技術新應用的網(wǎng)絡安全風險不容忽視,特別是生成式人工智能的廣泛應用,重塑了網(wǎng)絡攻防對抗的形態(tài),大幅降低了網(wǎng)絡攻擊的門檻,加劇了數(shù)據(jù)非法獲取等風險,已成為不容忽視的重大挑戰(zhàn)。各單位要將會議研討成果轉(zhuǎn)化為具體舉措,包括安全責任條款的制定、測試環(huán)境的提供、安全預算的設置等等。并呼吁企業(yè),提供針對性的解決方案,精準對接需求和方案,共同保障公共數(shù)據(jù)安全。
此次座談會通過政企深度對話,凝聚了"數(shù)據(jù)是資產(chǎn)"的廣泛共識,為公共數(shù)據(jù)安全提供了多元實踐思路。后續(xù),杭州數(shù)據(jù)安全聯(lián)盟將繼續(xù)召開此類專題研討,列出重點場景清單,推動安全需求和解決方案精準對接,為浙江乃至全國數(shù)據(jù)安全治理提供創(chuàng)新實踐。