彩多多|彩多多

【动画】带你了解，何为网络安全“攻击面管理”******

　　【2022年国家网络宣传周系列科普】

　　近年来，新兴技术迅速发展带动了网络资产边界快速拓展，也增加了企业资产暴露面，而基于供应链的新型攻击则大大降低了攻击成本。在多重因素的驱动下，网络安全防御策略也在与时俱进，攻击面管理也开始被行业所关注。让我们一起了解一下攻击面管理的小知识吧。

　　什么是攻击面？

　　近日发布的《中国攻击面管理市场研究报告》（以下简称研究报告）指出，攻击面是指未经授权即能访问和利用企业数字资产的所有潜在入口的总和。

　　其中，包括未经授权的可访问的硬件、软件、云资产和数据资产等，同样也包括人员管理、技术管理、业务流程存在的安全弱点和缺陷等，即存在可能会被攻击者利用并造成损失的潜在风险。

　　但不是所有资产暴露面都可以成为攻击面，只有可利用暴露面叠加攻击向量才形成了攻击面。

　　什么是攻击面管理？

　　攻击面管理是一种从攻击者的角度对企业数字资产攻击面进行检测发现、分析研判、情报预警、响应处置和持续监控的资产安全性管理方法，其最大特性就是以外部攻击者视角来审视企业所有资产可被利用的攻击可能性。

　　主要包含外部攻击面管理（EASM）、网络资产攻击面管理（CAASM）、数字风险保护服务（DRPS）等内容。

　　什么是攻击面管理框架体系？

　　攻击面管理框架体系自下向上分别为基础技术、安全能力和应用场景。基础技术为支撑攻击面管理的技术能力集合，多种技术组合形成攻击面管理的能力体系，根据不同的业务场景需求采用不同的能力组合，形成不同的应用场景下的攻击面管理解决方案，为用户提供有针对性的攻击面闭环管理能力。

　　什么是攻击面管理成熟度模型？

　　研究报告中还提到了建立攻击面管理的成熟度模型，主要是工具阶段的被动防御、平台阶段的主动防御、流程化阶段的对抗防御、先知阶段的优先防御四个层级；提出了暴露面获取、脆弱点发现、攻击面挖掘、情报获取能力等攻击面管理要具备的12个能力域，从检测发现、分析研判、情报预警、响应运营的闭环管控过程分解了响应的29个能力子项，从子能力的具备和完善情况来评价攻击面管理的有效性。

　　发展前景怎么看？

　　目前，国内外厂商如华云安、360政企安全、Mandiant、CyCoginito、等一大批传统网络安全团队，正在进入攻击面管理创新领域。未来攻击面管理将从传统场景扩展到新兴技术场景，并提供跨领域、跨技术平台的数字资产及其攻击面管理能力，更关注企业内部业务风险和第三方风险的管理，为用户提供统一的攻击面管理入口，并提供一致的安全运营体验。

　　光明网、华云安 联合出品

　　监制：张宁、李政葳策划：孔繁鑫制作/配音：雷渺鑫

让网络购药更安全更便捷******

　　随着药品网络销售活动日趋活跃，足不出户在网上购买常用药、急用药，成为很多人的新选择。相比线下售药，网上药店往往没有实体店铺，购药时也没有药师当面指导，销售行为的监管难度更大，因而更容易出现用药安全风险。近年来，网上违规出售处方药、非法销售违禁药的情况时有发生，需要加强对药品网络销售的监管。

　　12月1日，《药品网络销售监督管理办法》(以下简称《办法》)正式施行。从规定“药品网络销售企业应当按照经过批准的经营方式和经营范围经营”，到指出“通过网络向个人销售处方药的，应当确保处方来源真实、可靠，并实行实名制”，再到强调“第三方平台应当加强检查，对入驻平台的药品网络销售企业的药品信息展示、处方审核、药品销售和配送等行为进行管理”，《办法》为药品网络销售提供了更加明确的合规指引，对于进一步规范药品网络销售行为，保障网络购药安全具有重要作用。各级药品监管部门要将《办法》落到实处，全面做好药品网络销售监督管理，严查违法行为，维护药品网络销售秩序。

　　网上药店资质审核和销售行为监管需强化。药品网络销售主体类型多、数量庞大，推广和展示方式复杂多样，监管难度比实体药店更大。《办法》规定，“药品网络零售企业应当对药品配送的质量与安全负责”“应当完整保存供货企业资质文件、电子交易等记录”。网上药店基本都有线下实体企业和仓库，加强对网上药店的资质审核和药品检查，就抓住了药品网络销售监管的“牛鼻子”。抓好药品网络销售全过程监管，确保每一笔交易有留痕、可追溯，如有违法违规问题就可以实现快速倒查。

　　处方药网络销售需从严、从紧管理。我国对非处方药和处方药有着严格的分类管理：非处方药使用比较安全，不需要开具处方即可出售；处方药对人体具有潜在危险，违规出售造成的用药安全风险更大，必须在医生开具处方后方可出售。《办法》规定，“处方药销售前，应当向消费者充分告知相关风险警示信息，并经消费者确认知情”；销售处方药的药品网络零售企业“相关记录保存期限不少于5年，且不少于药品有效期满后1年”。药品网络销售监管要突出处方药销售这个重点，遵循经营监管“线上线下一致性”原则，加强处方审核，严厉打击伪造处方、随意开具处方等违法违规行为。

　　第三方平台应担负起管理和监督责任。第三方平台面向大量消费者，进驻的药店多、药品销量大，容易出现违法违规行为。《办法》对第三方平台建立药品质量安全管理机构，配备药学技术人员，建立并实施药品质量安全、处方审核、不良反应报告等管理制度做了详细规定，并要求对申请入驻的药品网络销售企业资质、质量安全保证能力等进行审核，对销售活动建立检查监控制度等。第三方平台要完善内部管理，进一步加强专业能力建设，不断强化对进驻药店销售行为的监督，从而更好地履行平台管理责任。

　　药品安全关系人民群众生命健康。《办法》对药品网络销售法律责任进行了详细规定，加大了对违法违规行为的处罚力度。监管部门须坚持“以网管网”，加强药品网络销售监测，发挥技术手段在保障药品质量安全方面的突出优势，一旦发现违法违规行为，依法依规严厉查处。药品网络销售企业、第三方平台要把药品安全放在首位，落实主体责任，加强行业自律。统筹协作、共管共治，一定能持续提升药品安全治理水平，让网络购药更安全、更便捷。

　　申少铁

　　（文图：赵筱尘 巫邓炎）