一、背景阐述
 
由于时代的发展，物流、快递行业这几年得到快速的发展，不少物流、快递公司还在网上建立了自己的服务平台。但互联网是开放性的，如果物流、快递公司不做好网络安全防护措施，其服务平台就可能遭遇信息泄露、病毒攻击、黑客侵入等安全事件。
 
也因此，早在2012年，物流政策法规《关于进一步开展交通运输行业信息安全等级保护工作的通知》就已经发布，其指出：开展交通运输行业信息安全等级保护的工作，主要目标是切实提高交通运输行业信息安全防护能力、隐患发现能力、应急处置能力，为交通运输行业信息化健康发展提供可靠保障。而要做到这些，需要相关企业和物流事业单位的配合。在2015年底前，要基本建立交通运输行业信息安全等级保护常态化运行和监督检查机制，完善管理制度和技防手段。
 
具体而言，相关的物流企业和事业单位需要完成以下工作：完成安全保护等级为第二级以上（含第二级）的已运营（运行）信息系统的定级备案、安全建设整改和测评；新建、扩建、升级改造的信息系统在规划建设阶段同步开展信息系统定级、备案、安全建设及测评；完善行业信息安全等级保护政策标准体系，建立行业信息安全等级保护工作情况动态报送和监督检查机制。
 
到2019年，等保2.0相关政策法规已经把物联网纳入等级保护对象的范围之中。简而言之，对于物流行业的各企业、机构来说，等保工作是必须的。
 
二、货运服务平台介绍
 
某货运服务平台是一个公路运输服务平台，整合卡车、司机和物流专线，其提供整车、 拼车和零担等运输服务。该平台于2014年建设完成并投入使用，为用户提供交易安全保障、提货送货、长途零担物流、信用管理、物流路由规划等服务，主要功能包括司机功能与货主功能：司机功能包括在线接单、运单管理、线路订阅；货主功能包括在线支付、订单管理、定金保驾、定位货运。
 
该平台系统部署在阿里云私有网络中，采用阿里云高级版WAF（web应用防护系统）以及高级版云安全中心，用以保证系统网络的一定程度的安全性。其网络拓扑图如下所示：
 

 
三、货运服务平台系统存在的主要安全问题及整改建议
 
1、安全通信网络
问题：未基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证。
 
整改建议：建议基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。
 
2、安全区域边界
问题：①被测系统网络核心业务部署在阿里云上，采用了高级版的阿里云安全中心，未能实现对网络攻击特别是新型网络攻击行为的分析；
②未基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证。
 
整改建议：①建议采取技术措施对网络行为进行分析，实现对网络攻击特别是未知的新型网络攻击的检测和分析；
②建议基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。
 
3、安全计算环境（网络）
问题：①阿里云控制台：未对重要主体和客体设置安全标记，未控制主体对有安全标记信息资源的访问；
②阿里云控制台：未限定网络地址范围对通过网络进行管理的管理终端进行限制；
③阿里云控制台：未基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证。
 
整改建议：①阿里云控制台：建议对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问；
②阿里云控制台：建议设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制。
③阿里云控制台：建议基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。
 
4、安全管理中心
问题：已通过安全管理员对安全参数的设置以及主体、客体进行统一安全标记，对主体进行授权，但未能够配置可信验证策略。
 
整改建议：建议通过安全管理员对安全参数的设置以及主体、客体进行统一安全标记，对主体进行授权，配置可信验证策略。
 
5、安全管理制度
问题：未定期对安全管理制度的合理性和适用性进行论证和审定。
 
整改建议：组织管理层、决策者和制度修订负责人对安全管理制度定期（例行检查，如每年一次）或不定期（当发生重大变更或紧急事故时进行）进行检查和审定，对发现有误、过时、失效等不符合情况进行修订并重新发布新版本。所制定的安全管理制度应该符合相关法律法规或者行业标准的要求、符合公司网络安全发展战略目标要求、符合公司成本效益要求、符合当前技术发展形势要求。
 
6、安全管理机构
问题：①未定期进行包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等全面的安全检查；
②未定期开展全面的安全检查，故不存在相应的检查记录，通报记录等。
 
整改建议：①应由网络安全领导层或管理层组织定期进行安全管理评审，检查内容包括检测所采取的安全技术措施是否有效、安全配置和安全策略是否一致、安全管理制度的执行情况等；
②根据相关的安全标准、企业信息安全战略目标制定详细的安全检查列表，详细记录检查情况，形成检查报告，通报结果，归档保存记录，并督促整改。
 
7、安全管理人员
问题：①被测单位与录用人员签署了《保密及竞业禁止协议》，但是未与关键岗位人员签署岗位责任协议；
②未制定不同岗位的不同的培训计划。
 
整改建议：①与关键岗位的人员单独签署关键岗位责任协议；
②根据每年年初的培训需求调查表，制定年度培训计划，培训内容覆盖网络安全基础知识、岗位安全技能、岗位操作规程等，并按照计划执行，保存培训记录。
 
8、安全建设管理
问题：①由网络与信息安全工作领导小组办公室负责保护对象的安全整体规划和安全方案设计，存在《省省回头车系统安全保护设施设计实施方案》，但设计内容未包含含密码技术相关内容；
②未进行上线前的安全性测试；
③未定期监督、评审和审核服务供应商提供的服务。
 
整改建议：①应根据等级保护对象的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，设计内容应包含密码技术相关内容，并形成配套文件；
②对系统进行独立的安全性测试，并出具相应测试报告；
③应定期监督、评审和审核服务供应商提供的服务，并对其变更服务内容加以控制。
 
四、等保测评网助力货运服务平台系统三级等保合规
 
针对该货运服务平台系统的主要安全问题，等保测评网一站式安全专家全程参与，提供了信息安全专业化技术支持和指导，配合客户进行了高效整改工作。
 
最终，该货运服务平台系统以91.2的高分通过三级等保测评，测评结论为：良。