等保测评认证：网络产品和服务安全通用要求

在网络产品与服务安全通用要求中，我们从常规的CIA（保密性、完整性、可用性）三元素之外，还需要注意一个可控性。本身产品和服务是增强整个网络的安全水平的，但是如果在使用或运维过程中，不可控则其实是引入了风险。对于，一个网络的安全风险，我们需要折中考虑引入的风险的水平。有关保密性、完整性、可用性要求，我们已经耳熟能详，而可控性应该属于“网络产品和服务安全”特有的一点要求。我们看到，很多供应链攻击的案例以及运维事故，无不昭示着“可控性”的重要性。

试举一例来说明可控性的重要性：

此案例，较为出名，是否十分恰当在此不必苛责。发生在河南郑大一附院的一起运维安全事件，2018年12月24日8时13分至9时47分期间，夏某某先后六次利用“数据库性能观测程序”连接“平台数据库”的“锁定平台挂号表”功能，将数据库执行锁表命令。该命令执行后锁定fin_opr_register表，使其不能进行其它活动，并导致“HIS数据库”锁定。造成郑大一附院郑东院区、惠济院区、医学院院区所有门诊、临床计算机业务受到恶意语句攻击，门急诊挂号、门急诊叫号、门急诊支付、门急诊药房、门急诊检查、门急诊检验等业务系统均无法正常操作，所有门诊相关业务停止服务，造成该医院三个院区门诊业务停滞近两个小时，造成大量患者积压在门诊无法就诊，严重影响医院的正常医疗工作。最终被告人夏某某犯破坏计算机信息系统罪，判处有期徒刑五年零六个月。

虽然夏某某受到了应有的惩罚，不过对医院以及所在企业造成的损失却无可挽回，经济层面、商誉层面等等。然而一个运维服务企业，需要对服务过程中的可控性做全面充分的管控，不然对于企业以及从业这个人，影响都将是深远而痛苦的。再者，也正说明可控性是作为网络产品和服务应用于网络过程中不可不考虑的一个重要因素。这里，我们不对这些问题做太深入的解读，根据有关国家标准概括性探讨一下

网络产品和服务在研发、生产、运维过程中可能引入很多安全问题，导致信息泄露、数据篡改、服务中断、非法远程控制等安全风险。为了减少用户在使用网络产品和服务过程中的常见安全风险，提升用户对网络产品和服务在安全性、可控性方面的信心，要求网络产品和服务提供者所提供的网络产品和服务必须满足以下安全目标：

a) 保密性：

保障网络产品和服务中敏感信息不被泄露，降低敏感信息泄露的安全风险；

b) 完整性：

保障网络产品和服务不被非法替换或伪造，降低数据被篡改的安全风险；

c) 可用性：

保障网络产品和服务的持续运行和供应，降低网络产品和服务供应中断的安全风险；

d) 可控性：保障网络产品和服务运行过程中的安全风险可控，降低产品和服务供应方提供方恶意控制用户的网络产品和服务、非授权获取用户数据，以及利用用户对产品和服务的依赖实施不正当竞争或损害应用方利益的风险。