主管机构如何应对大检查过程中所暴露的“七寸”

阅读： 2,183

今年11月7日，《网络安全法》由十二届全国人大常委会第二十四次会议表决通过，并于明年6月1日正式实施，该法案明年的正式落地标志着中国网络安全进入有法可依的时代。

此后各主管机构在进行网络安全大检查过程中将会有更强的话语权，那么是不是可以说主管机构自此就完全“高枕无忧”呢，个人愚见认为，还需要至少关注以下七个问题，也就是本文标题所谓的“七寸”，方可“高枕无忧”。

面对上述的“七寸”，如何进行应对呢？

首先，对于监管人员编制不足及安全技能有限的问题，其实可以简单的通过服务外包进行解决，更加直白的说可以试图通过多家厂商进行共同支撑。

其次，对于监管有盲点，担心被监管者谎报瞒报事故的问题，可以通过长期监测来达到目的，而不是单次的检查工作，一旦将监测作为常态后，被监管者的问题站点便躲无可躲。

最后，对于监管范围不全面、监管效率慢、监管不彻底的问题可以通过监管平台进行全面闭环的跟踪管理。这里尤其要关注漏洞扫描的闭环管理问题，下面以绿盟漏洞通报平台为例来说明整个过程。

具体来看一共四个步骤：

第一步：开通服务

可以由绿盟云安全专家团队给主管机构录入其所辖资产，进而开通服务，同时也可以由主管机构自身通过开放出来的漏洞通报平台进行所辖域名资产的添加和管理。

第二步：云端进行扫描及高中危漏洞机器自动化验证，将结果推送主管机构

云端为各主管机构提供的网站列表进行扫描工作，首先扫描结果会分为两种报告进行交付，一种是所有资产扫描后的汇总报告，另一种是所有资产的独立扫描报告。把汇总报告和若干份独立扫描报告以邮件形式发送主管机构。其次，会将所有扫描结果推送至漏洞通报平台上。主管机构可以登录漏洞通报平台，看到全国、全省、全市漏洞的地图分布。下图以全国——>广东——>广州为例

同时，主管机构可以看到所有监管资产的漏洞列表，当然也可根据行政地域、资产域名、资产别名查看对应的资产漏洞列表。