为了解决税务信息化大集中带来的安全风险，江苏省地税于日前完成了盐城试点内网终端安全管理的部署和试运行工作，并且召开了终端安全管理项目的全省推广会议。会议介绍了盐城市地税局在业务内网管理系统项目中试点单位的成功经验，演示了终端安全防护平台（基于天融信公司的TopDesk终端管理系统）和终端安全管理平台（基于天融信公司的TopAnalyzer安全运营管理中心），在对终端安全风险的发现、防护、分析和处理等方面的效果。近期，试点项目将启动全省推广，在江苏省地税地税系统范围内全方位部署终端安全防护平台和终端安全管理平台。

江苏省地税全省有两万余台终端计算机，加之地税部门安全管理技术人员相对不足，终端安全管理一直存在风险种类多、事件多、处理和管理复杂的状况。在江苏全省地税管理大集中已经完成的形势下，建立基于安全等级保护要求的终端安全防护和管理体系的需求十分迫切。江苏省地税领导对此项目工作十分重视，此前已多次组织业内专家对项目进行了评估，最终选择天融信公司的研发团队做为项目合作伙伴，在天融信公司的产品（TopDesk和TopAnalyzer）基础上进行二次开发，与江苏地税共同打造终端安全风险的解决方案。该项目以风险管控为主线，以信息技术为支撑，以信息化和自动化为手段，采用理论与实践相结合的方式，构建了“终端安全风险体系”和“终端安全风险管理体系”两个体系，研发了“终端安全防护平台”和“终端安全管理平台”两个平台。

终端安全风险体系主要体现：一是创造性提出了资产全生命周期和全景法的概念。在严格遵循风险评估理论中的识别资产、识别威胁、识别风险过程的基础上，详细分析了资产生命周期、资产使用生命周期和资产网络生命周期三个资产相关生命周期概念，基于此识别终端资产各个生命周期阶段，利用全景法构建安全威胁场景，全面准确的识别终端安全风险点。二是面向风险管理目标。从风险来源、风险属性、风险管理对象、风险管控方式和风险之间的关系五个视角对风险进行分解，构建覆盖了3个大类、7个子类、31个细类，402个风险点的终端安全风险图谱，用于支撑防护平台和管理平台实现，便于对风险进行多维分析和管控。三是根据对业务系统、单位声誉、社会舆论等造成的影响和损失，将风险分为高、中、低三个级别。在风险管控实现高级别的重要风险重点关注、中级别风险可带病运行持续监控、低级别风险可带病运行的分级处理。日常运维中只需重点关注信息安全类风险、引起大面积终端无法正常使用等135个高级别重要风险，聚焦安全管理人员的工作内容，使终端安全管控工作更为有效。

此次试点工作，首先在盐城地税业务内网的近2000台终端设备上部署终端代理，通过统一定制、下发安全策略和实时监控实现对业务内网终端风险的管控。

在防护平台上实时发现终端风险，通过风险的等级，区分高风险和中低风险，明确系统管理人员的重点工作内容和常规工作内容；通过风险的管控方式，区分全防护、半防护、全人工，明确系统管理人员的工作方式和防护重点；通过风险的类别，区分基础安全、运行安全、信息安全，明确终端安全管理工作的工作方法和防护方法；防护平台包括“总体监控”、“终端管控”、“策略管理”和“系统维护”等4大功能、13个功能模块、29个子模块、215个功能点；预置18大类策略，99类策略；实现246个风险点的管控，其中：全防护156个风险点、半防护60个风险点。技术检测和防护的占92.53%，完全自动化处理的占73.13%。实现了可技术实现的重要风险的风险自动检测，尽可能自动防护，实现安全防护工作的自动化的系统建设目标。终端安全管理平台基于终端安全防护平台部署，对来自终端安全防护平台的安全信息进行管理，支持安全风险监控、风险处理、风险分析、辅助合规性管理等风险持续管理工作，具有级联功能，支持行业化管理。

在管理平台上整体监控全区域的整体安全态势，分析和处理全区域的重要风险，并且根据预防处理建议制定安全策略防范可能终端安全隐患，帮助安全管理员全面、高效、彻底的解决安全风险。安全管理平台包括监控平台、工作平台、管理平台和分析平台4个子系统、13个功能模块、22个子模块、108个功能点；预置同比、环比、统计和趋势等32种分析模式；预置24种基本指标用于构建基本报表模板，基于基本报表模板中条件设置生成新的报表，支持基本报表模板组合为新的报表模板。实现对终端总体情况和安全风险的多视角管理。

终端安全防护体系建设之后，盐城地税具备了对终端安全事件进行全面系统分析的能力，可以防止信息外泄和扩散，可按终端使用生命周期进行管理，可以通过分类、分级进行全面系统管控，对终端使用者行为也可以进行审计和监控，能对系统本身安全管理的应用程度进行审计评估。

两平台自2011年9月20日开始在盐城市局做试点部署，11月7日在全市推广，共部署安全防护平台9套（盐城市局、8个县区局），安全管理平台4套（省局、盐城市局、阜宁分局、滨海分局），安全管理全市1764个终端，已部署防护平台终端安全代理的终端1696（截至5月28日）个，部署使用18大类策略，99类策略。通过系统解决终端风险222种，其中全自动防护的风险132种，通过人工配合自动防护的风险29种，完全通过人工解决的风险61种。以五月为例检测到安全风险事件258635条，通过分析和归并之后，需要关注的重要风险数量只有207条，归并率达到99.92%，而这些重要风险中需要人工处理仅为181条，占风险事件总数的87.43%，系统自动化防护降低了对安全管理人员的技术要求，初步实现了管理的自动化。部署终端安全代理以来，由于部署了网络准入策略，操作系统不打补丁、私自接网等现象得到了有效的控制。

目前，盐城地税的业务内网管理系统已经可以全面满足集中监控、集中处理模式的安全需要。此次试点的顺利进行，也为江苏全省打造终端防护体系起到了带头和借鉴作用。