信息化建设中信息安全的定位和构筑策略Word格式.docx
- 文档编号:17319058
- 上传时间:2022-12-01
- 格式:DOCX
- 页数:10
- 大小:21.72KB
信息化建设中信息安全的定位和构筑策略Word格式.docx
《信息化建设中信息安全的定位和构筑策略Word格式.docx》由会员分享,可在线阅读,更多相关《信息化建设中信息安全的定位和构筑策略Word格式.docx(10页珍藏版)》请在冰豆网上搜索。
随着网络技术的不断
发展,应用系统的开发也逐渐转向以网络为依托,实现电子政务、
电子商务、网上办公等。
不仅节约了资源,提高了办事效率,而且
扩大了资源共享范围。
由于在微型计算机发展之初,对安全的考虑不够,导致微型计
算机软、硬件设计上的简化,致使信息资源及其依托的软硬件极易
遭到破坏,产生了安全隐患。
计算机网络的主要目标是实现资源共
享,因此在设计之初也未过多考虑安全问题,从而造成网络协议的
安全缺陷。
而且随着应用软件功能的不断完善,代码量越来越大,
存在的软件漏洞也越来越多。
正是由于这些原因,导致计算机病毒、
木马、后门泛滥,严重威胁信息的安全。
随着信息化建设的不断推进,信息化建设的重点由只关注应用
系统开发,逐渐转变为系统开发与信息安全建设并重,信息安全被
提高到了一个前所未有的高度。
按照目前的观念,信息化建设涉及
的内容可划分为三个方面:
网络基础设施建设、应用系统开发和信
息安全保障,这些称为信息化建设的“三大支柱”,缺一不可。
如果
把网络基础设施比喻成高速公路,把应用系统看作是高速公路上行
驶的车辆,那么信息安全就是保障道路和车辆安全所必须遵循的交
通法规。
我们都知道在没有交通法规的高速公路上行驶车辆会造成
什么样的后果,因而我们不难想象,在没有信息安全保障的网络基
础设施上运行应用系统将会造成什么样的后果!
信息安全是网络基
础设施和应用系统的安全保障,其重要性将随着信息化建设的不断
推进而更加凸显。
3信息安全的范围
信息安全的主要目标是实现机密性、完整性和可用性。
信息技
术安全评估准则(ISO/IEC
15408)将信息安全定义为:
被评估的信
息系统或产品的安全策略、安全功能、安全管理、安全开发、安全
维护、安全检测、安全恢复和安全评测等概念的总称。
信息系统安全保障评估框架(GB/T
20274)中将信息系统安全
保障定义为:
在信息系统的整个生命周期中,通过对信息系统的风险
分析,制定并执行相应的安全保障策略,从技术、管理、工程和人
员等方面提出安全保障要求,确保信息系统的保密性、完整性和可
用性,降低安全风险到可接受的程度,从而保障系统实现机构组织
的使命。
综合已有的标准和实际工作,我们认为信息安全涉及到整个信
息化建设的方方面面,必须融入到信息化建设的全过程。
只有在整
个信息化建设过程中,通过技术和管理两个方面的考虑,把信息安
全作为信息化建设的一个重要目标,才能保障信息化建设的成功。
只重视技术不重视管理,信息安全是无本之木;
只注重管理不
注重技术,信息安全是“空口政治”;
只有技术和管理并重,才能最
大程度的提供安全保障。
以系统口令为例,口令安全策略要求口令
需要定期修改。
如果只是把其作为一项安全策略让各部门员工熟知,
而不从技术上进行控制,则很难达到效果。
因为无论口令改与不改,
我们都无从知晓,而且对于大多数人来说,一般观念都是怎么方便
怎么来,这样,这项安全策略根本无法贯彻。
如果我们通过技术手
段,确保若不定期更改密码则无法登陆系统,用户只能定期更改密
码。
只注重技术不注重管理同样很难保证安全。
依然以系统口令为
例,如果我们只是通过技术手段要求员工必须按照要求定期修改口
令,而不从管理上进行要求,则很多员工会为了方便,将复杂的口
令写下来,贴在电脑旁或记在本子上,这同样不安全。
权威机构统
计表明:
在所有的信息安全事故中,70%以上的信息安全问题是由
于内部员工的疏忽或有意泄密这些管理方面的原因造成的,而这些
安全问题中的绝大多数是可以通过科学的信息安全管理能够避免或
解决。
只有员工都树立安全意识,按照优化的技术流程办事,发挥
技术和管理的双重作用,信息安全事故才能杜绝。
下面,我们就详
细探讨一下信息安全所涉及到的这两方面。
3.1技术
在技术上,信息安全主要通过在信息系统中部署软硬件并正确
的配置其安全功能来实现,我们称其为“安全技术手段”。
目前常用
的安全技术手段有以下几种:
1)身份鉴别:
用于对用户的身份进行确认。
常采用的身份鉴别
方式有口令、指纹、证书等。
其中使用最为广泛的为口令,随着对
信息安全的要求不断提高,指纹识别、虹膜识别等一系列生物认证
方式得到大范围应用。
使用
USBKEY
来存储用户数字证书来达到身
份识别的方式也在许多企事业单位得到广泛应用。
2)访问控制:
通过限制只有授权用户才可以访问指定资源,防
止非授权的访问和授权人员的违规访问。
包括自主访问控制和强制
访问控制。
自主访问控制可以由用户制定安全策略。
强制访问控制
由系统管理员指定安全策略,用户本身无权更改自身的安全属性。
3)标记:
对计算机系统资源(如用户,进程,文件,设备)进
行标记,通过标记来实现对系统资源的访问控制。
标记是实施强制
访问控制的基础。
4)可信路径:
提供系统和用户之间的可信通信路径。
Windows
为部分应用提供可信路径,比如口令的输人。
5)安全审计:
对受保护客体的访问进行审计,阻止非授权用户
对审计记录的访问和破坏。
安全审计作为信息安全的一种事后补救
或追踪手段,对发现和追踪违规操作非常重要。
6)剩余信息保护:
在客体重新被分配给一个主体前,对客体所
含内容进行彻底清除,防止新主体获得原主体活动的任何信息。
尤
其是对于一些曾经存储过涉密信息的介质,在使用前必须采取一定
措施,确保不会造成涉密信息泄露。
7)数据机密性保护:
防止敏感信息泄露给非授权用户。
通常采
用加密技术来确保信息的机密性。
8)数据完整性保护:
防止非授权用户对信息进行修改或破坏。
随着计算机技术的不断发展,完整性被破坏所造成的危害已远大于
机密性所造成的危害。
目前常用的完整性保护是通过对被保护信息
计算哈希值,通过将被保护信息的哈希值和预先存储的哈希值进行
比较来确定信息是否被篡改。
上述技术手段主要通过一些安全产品来实现。
常用的安全产品
有:
VPN
设备,安全路由器,安全防火墙,入侵检测系统,入侵防
御系统,CA
系统,防病毒网关,漏洞扫描系统,抗拒绝服务系统,
流量控制系统等。
只有按照制定的安全策略,正确的配置安全产品,
才能最大程度提供信息安全保障。
3.2管理
在管理上,与信息系统中各种角色参与的活动有关,主要通过
控制各种角色的活动,从政策、制度、规范、流程以及记录等方面
做出规定来实现。
一个完善的信息安全管理体系,主要涉及以下几
方面的内容:
1)策略和制度
安全策略是对允许做什么,禁止做什么的规定。
安全策略可以
定义成一种文档,用于陈述如何保护有形和无形的信息资产。
建立
信息安全管理体系既要制定说明信息系统安全的总体目标、范围和
安全框架的总体安全策略,也要制定包含风险管理策略、业务连续
性策略、安全培训与教育策略、审计策略、规划策略、机构策略、
人员策略等具体的安全策略。
安全策略属于安全战略范畴,它不需指定所使用的技术。
因此,
还需要在安全策略指导下,根据机构的总体安全策略和业务应用需
求,制定信息系统安全管理的规程和制度。
如网络安全管理规定,
系统安全管理规定,数据安全管理规定等。
2)机构和人员
建立信息安全管理体系,需要建全安全管理机构,配置不同层
次和类型的安全管理人员,明确各层各类安全管理机构和人员的职
责与分工,建立人员录用、离岗、考核和审查制度,定期对信息系
统相关工作人员进行教育和培训,制定第三方人员管理要求。
3)风险管理
信息安全的实质是通过对信息系统分析,了解所存在的安全风
险,通过相应的安全技术和措施,将安全风险降低到可接受的程度。
风险管理包括威胁管理和脆弱性管理。
进行风险评估,分析资产价
值/重要性,分析信息系统面临的威胁及信息系统的脆弱性,进而了
解系统存在的风险,采取相应的安全措施避免风险的发生。
要定期
进行风险评估,并确定安全对策。
4)环境和资源管理
需要对机房、办公环境、资产、介质和设备进行管理,保障其
安全可靠、稳定运行。
如机房要防水、防火、防潮、防静电、防雷
击、防磁等;
设备、介质、资产要防盗、防毁,确保其安全可用。
对资产的增加、减少和转移要进行记录。
5)运行和维护管理
运行和维护涉及的内容较多,包括系统用户管理,终端系统、
服务器、设备管理,运行状况监控,软硬件维护,外包服务管理等。
还包括对采用的各种技术手段进行管理,对安全机制和安全信息进
行集中管理和整合。
6)业务连续性管理
对数据备份的内容和周期进行管理,对介质、系统和设备进行
冗余备份,制定应急响应机制和预案,在灾难发生时能够进行应急
处理和灾难恢复,保障业务的连续性。
7)监督和检查管理
对系统进行审计、监管、检查。
对建立的规章制度,定期进行
监督和检查,确保制度落到实处。
同时,需要结合审计,对安全事
件进行记录,对违规操作进行报告,按照审计结果进行责任认定,
并据此对机构和员工进行奖惩。
8)生命周期管理
建立信息系统安全管理体系,还要对应用系统的整个生命周期
进行全过程管理。
确保开发的应用系统符合安全要求。
应用系统的
生命周期可以划分为规划组织阶段、开发采购阶段、实施交付阶段、
运行维护阶段、变更和反馈阶段和废弃阶段。
在每一个阶段中,信
息安全管理贯穿始终。
我们认为,如果能够在每个阶段进行类似于
等级保护制度的备案,可以为系统的成功开发提供一定的监督和指
导作用。
在规划组织阶段,需要在应用系统建设和使用的决策中考虑应
用系统的风险及策略;
在开发采购阶段,需要基于系统需求和风险、
策略将信息安全作为一个整体进行系统体系的设计和建设,并对建
设的系统进行评估,以确保符合国家相关要求,如等级保护的要求;
在实施交付阶段,需要对承建方进行安全服务资格要求和信息安全
专业人员资格要求,以确保施工组织的服务能力,确保交付系统的
安全性;
在运行维护阶段,需要对信息系统的管理、运行维护、使
用人员等进行管理,保障系统安全正常运行;
在变更和反馈阶段需
要对外界提出的新的安全需求进行反馈,变更要求或增强原有的要
求,重新进入信息系统的规划阶段;
若信息系统无法满足已有的业
务需求或安全需求,系统进人废弃阶段。
4信息安全的建设过程
信息安全建设可以从宏观和微观两方面来考虑。
如图1:
从宏观上,包括风险评估与等级保护、灾难备份和应急响应机
制的建设。
我国著名信息安全专家方滨兴院士指出“风险评估和等
级保护,两者相辅相成,需要一体化考虑。
因为风险评估是出发点,
等级划分是判断点,安全控制是落脚点,所以风险评估和等级保护
这两件事儿是相辅相成的,只有知道了系统的脆弱性有多大,等级
保护才能跟上去”。
灾难备份是指利用技术、管理手段以及相关资源,
确保已有的关键数据和关键业务在灾难发生后在确定的时间内可以
恢复和继续运营的过程。
应急响应机制用于确保在紧急事件发生时,
能够尽快响应,将系统损失降低到最小。
在平时,还需要进行安全
演练或演习,模拟可能发生的安全事故,开展应急响应。
从微观上,进行信息安全建设主要包括以下几个步骤:
(1)制定安全策略。
根据单位具体情况,依据风险评估的结果
和等级保护要求,确定具体安全需求,制定安全策略。
如:
环境安
全策略、数据访问控制安全策略、数据加密与数据备份策略、身份
认证及授权策略、灾难恢复及事故处理策略、紧急响应策略、安全
教育策略、审计策略等。
安全策略对于整个系统安全方面的设计,
安全制度的制定,安全相关功能的开发等都有着重要的指导意义。
(2)根据安全策略,确定安全机制。
安全策略通过安全机制来
保障和实施。
安全机制是实施安全策略的技术、制度和标准。
比如,
我们制定了一项安全策略:
“所有的通讯都必须经过加密”。
为了保
障这个策略的实施,我们需要确定采取何种技术来实现,比如我们
可以依据此条策略确定所需要使用的技术:
“所有的通讯都必须采
用3DES(一种加密方案)进行加密”。
(3)制定业务流程。
在安全机制的实施过程中,具体操作必须
按照规定的流程进行才能够确保不发生违反安全策略的事件。
制定
业务流程可以使操作过程更加清晰。
(4)设计表单。
将所有的操作细节落实到表单上,对操作的结
果进行记录。
下面以机房巡检为例,对信息安全建设过程进行说明。
在机房管理方面,首先根据单位具体要求,确定必须定期进行
安全巡检(安全策略);
然后需要制定安全巡检规则、巡检内容等
(安全机制);
接着确定巡检步骤,巡检具体内容(业务流程);
最
后确定每次巡检时需要记录的巡检结果(表单)。
如图2所示。
5结束语
信息安全是信息化建设中的重要一环,对于保证信息化建设的
成功起着非常重要的作用。
本文结合笔者的实际工作经验,对信息
安全在信息化建设中的地位,信息安全所涉及到的范围以及信息安
全的建设过程进行了阐述,希望可以为信息化建设过程中信息安全
工作提供一定的指导。
(
作者:
安迎建
范艳芳
谢俊奇)
参考文献:
[1]Matt
Bishop.计算机安全学—安全的艺术与科学[M].北京,电子工业出版社,2005
[2]Sari
Stern
Greene.安全策略与规程[M].北京,清华大学出版社,2008
[3]穆瑛.方滨兴院士对国家信息安全保障体系再解读[J].信息安全与通信保密.2009,11-12
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息化 建设中 信息 安全 定位 构筑 策略
![提示](https://static.bdocx.com/images/bang_tan.gif)