以具体实践为例，网络货运三级等保怎么做？
一、背景分析
自2020年1月1日起，由交通运输部、国家税务总局联合发布的《网络平台道路货物运输经营管理暂行办法》（以下简称《暂行办法》）已正式施行。对于中国物流行业来说，网络货运时代的到来，将对市场进行一次重新洗牌。《暂行办法》中关于准入条件、安全监管、诚信风险管理等方面的变化，也将对整个货运物流生态带来全新的气象。
网络平台道路货物运输简称为网络货运。《暂行办法》所称的网络货运经营，是指经营者依托互联网平台整合配置运输资源，以承运人身份与托运人签订运输合同，委托实际承运人完成道路货物运输，承担承运人责任的道路货物运输经营活动。
关于网络货运平台的安全管理，《暂行办法》第七条规定：从事网络货运经营的，应当符合《互联网信息服务管理办法》等相关法律法规规章关于经营性互联网信息服务的要求，并具备与开展业务相适应的信息交互处理及全程跟踪记录等线上服务能力。第二十一条则指出：网络货运经营者应当遵守《中华人民共和国网络安全法》等国家关于网络和信息安全有关规定。
从2019年10月下旬开始，安徽、河南、广东等地都先后出台了与网络货运相关的实施细则，对网络货运经营单位具体应如何履行网络安全和信息安全管理的义务作出了规定，而等级保护更是成为行业门槛之一。
根据《网络平台道路货物运输经营管理实施细则（暂行）》的相关规定，“取得三级及以上信息系统安全等级保护备案证明”，才能取得省运输事业发展中心的线上服务能力的认定；而只有取得线上服务能力的认定，才能申领《道路运输经营许可证》。因此，等级保护已然成为网络货运经营者的一个必要准入条件。拟从事网络货运的经营者，宜提前布局，做好充分准备。
值得注意的是，省的实施细则还规定，“省外网络货运经营者在省设立分公司的，应提供总公司《道路运输经营许可证》及副本，并达到本细则规定的线上服务能力要求。“也就是说，在省内设立分公司的网络货运经营者，其位于外省的总公司必须取得三级及以上等保备案证明。
二、某物流平台系统介绍
物流平台系统由广东省某物流科技有限公司统一组织规划建设，于2016年8月1日投入使用。该物流平台系统部署在阿里云计算有限公司公共云平台系统上，对互联网提供业务访问。物流平台系统为BIS结构，主要由Linux平台的操作系统，MYsql平台的数据库系统，及Nginx中间件系统组成，功能涵盖在线支付订单管理、网上运输需求发布、网上物流接单、后台管理等功能。
此外，该物流平台系统部署在阿里云私有网络中，采用了阿里云安全中心、云安全组、云WEB应用防火墙等设备提供网络安全防护，保证了系统网络的一定程度的安全性。简要网络拓扑图如下：
三、某物流平台系统存在的主要安全问题及整改建议
1、网络设备和安全设备（安全通用要求）
|
风险 |
风险级别 |
整改建议 |
|
设备未配置合规的密码有效期策略，使恶意用户能够较为容易的访问设备并实施恶意操作，对相关设备的正常运行造成影响，存在设备被未授权访问、操作的可能性。 |
中风险 |
建议启用所有登录模式的身份鉴别，删除或重命名默认账户，制定相关管理制度，规范口令的最小长度、复杂度与生存周期，并根据管理制度要求，合理配置账户口令策略，提高口令质量。 |
|
设备未配置鉴别失败处理功能；设备存在不合规的登录操作超时及自动退出策略。这导致登录验证可能被恶意用户猜测获得，合法用户身份被仿冒，导致设备被非授权访问 |
中风险 |
建议开启失败登录处理功能，如限制非法登录次数、自动退出功能、锁定时间。 |
|
设备未设定有效的终端接入方式及范围限制措施；网络层未针对地址范围等条件限制终端登录。这使得恶意用户可使用任意终端尝试非授权访问设备。 |
中风险 |
建议限制可登录设备的管理终端地址，仅允许特定的地址登录。 |
2、服务器和终端（安全通用要求）
|
风险 |
风险级别 |
整改建议 |
|
操作系统未采用两种或两种以上的身份鉴别技术，存在口令被恶意用户猜测获得，合法用户身份被仿冒的可能性。一旦该鉴别信息被非授权人员获取，可能对系统造成较大威胁，导致系统被非授权访问。 |
中风险 |
建议重要核心设备、操作系统等增加除用户名/口令以外的身份鉴别技术，如密码/令牌、生物鉴别方式等，实现双因子身份鉴别，增强身份鉴别的安全力度。 |
|
系统未修改默认账户的默认口令。默认用户及口令可能被恶意用户猜测获得，或帐号被滥用，导致被非授权访问。 |
中风险 |
建议修改服务器的默认管理员（root）口令，删除或禁用系统中多余或过期的帐户并对帐户的口令进行修改，使口令达到一定的强度及复杂度，不易被恶意用户猜测。 |
|
系统特权用户的权限未分离为系统管理、安全管理、安全审计、系统操作等方面的权限，未按最小投权原则分配，存在赋予一般用户管理员权限，赋予用户不必要的操作权限等风险。操作系统未严格限制系统默认账户的权限，系统账户权限混乱，可能导致系统无法在访问控制层面形成权限相互制约。 |
中风险 |
建议实现管理用户的权限分离，避免存在特权用户。 |
3、应用和数据（安全通用要求）
|
风险 |
风险级别 |
整改建议 |
|
数据库系统配置不合规的密码有效周期策略，使恶意用户能够较为容易的访问数据库等资源并实施恶意操作，对相关系统的正常运行造成影响，存在系统被未授权访问、操作的可能性。 |
中风险 |
建议数据库系统刪除或重命名默认账户，制定相关管理制度，规范口令的最小长度、复杂度与生存周期，并根据管理制度要求，合理配置账户口令策略，提高口令质量。 |
|
数据库系统未配置鉴别失败处理功能。登录验证可能被恶意用户猜测获得，合法用户身份被仿冒，导致系统被非授权访问。 |
中风险 |
建议数据库系统开启失败登录处理功能，如限制非法登录次数、自动退出功能、锁定时间等。 |
|
数据库系统未釆用两种或两种以上的身份鉴别技术。存在口令被恶意用户猜测获得，合法用户身份被仿冒的可能性。一旦该鉴别信息被非授权人员获取，可能对系统造成较大威胁，导致系统被非授权访问的可能性。 |
中风险 |
建议数据库系统重要核心设备、数据库系统等增加除用户名/口令以外的身份鉴别技术，如密码」令牌、生物鉴别方式等，实现双因子身份鉴别，增强身份鉴别的安全力。 |
四、等保测评网帮助物流平台系统实现三级等保合规
针对该物流平台系统的主要安全问题，等保测评网一站式安全专家全程参与，提供了信息安全专业化技术支持和指导，配合客户进行了高效整改，顺利解决了测评实施过程中系统暴露的问题。最后，该物流平台系统成功通过了系统网络安全等保测评，且评分在70分以上：被测对象中存在安全问题，会导致被测对象面临中等级安全风险，但不会面临高等级级别安全风险。
