信息系统安全规划框架与方法

张海良

摘要随着互联网的不断发展,全球信息化已成为人类发展的大趋势,我国信息化建设进程也全面加速,企业信息化在提高服务水平、促进业务创新、提升核心竞争力等方面发挥着越来越重要的作用,信息系统已成为推动国民经济增长的重要力量。随着企业信息化工作的提高,我国各地区、各行业使用信息系统开展工作的比例越来越大,信息系统安全问题更为突显和日趋严重,安全问题也逐渐成为影响业务运行、制约生产力发展的重要因素之一。

关键词信息系统安全规划框架方法

中图分类号:TP3文献标识码:A

企业信息化的发展将面临着的信息安全方面的严峻考验,对信息系统安全进行全面的规划以适应形势发展的要求已经是一个不能回避的问题,也成为了人们共同关注的一个保证信息安全的重要环节。

1 信息系统安全规划的意义

信息系统安全规划是一个涉及管理、法规和技术等多方面的综合工程。信息系统安全的总体目标是物理安全、网络安全、数据安全、信息内容安全、信息基础设备安全与公共信息安全的总和。信息系统安全的最终目的是确保信息的机密性、完整性和可用性,以及信息系统主体(包括用户、组织、社会和国家)对于信息资源的控制。

2 信息系统安全规划的范围

信息系统安全规划是在建和已建的信息系统中必须要考虑的重要内容。信息系统安全规划主要是根据风险评估的结果和提取的安全需求描述实施相应的安全保障的目标、措施和步骤。按照“全网安全”的思想,信息系统安全规划需要从管理、组织和技术等多方面进行综合考虑,所涉及到的应该是综合管理、技术规范、运行维护等多个层面的控制措施。

信息系统安全规划的范围应该是多方面的,涉及技术安全、规范管理、组织结构。技术安全是以往人们谈论比较多的话题,也是以往在安全规划中描述较重的地方,用的最多的是一些如:防火墙、入侵检测、漏洞扫描、防病毒、VPN、访问控制、备份恢复等安全产品。但是信息系统安全是一个动态发展的过程,过去依靠技术就可以解决的大部分安全问题,但是现在仅仅依赖于安全产品的堆积来应对迅速发展变化的各种攻击手段是不能持续有效的。信息系统安全建设是一项复杂的系统工程,要从观念上进行转变,要在安全产品的支持下建设全方位的安全策略,使之成为一个可持续的动态发展的有安全保障的渐进过程。

3 信息系统安全规划框架与方法

信息系统安全规划是一个非常细致和非常重要的工作,首先需要对企业信息化发展的历史情况进行深入和全面的调研,知道家底、掌握情况,针对信息系统安全的主要内容进行整体的发展规划工作。下面用图-1表示信息系统安全体系的框架。

从上图可以看出,信息系统安全体系主要是由技术体系、组织机构体系和管理体系三部分共同构成的。技术体系是全面提供信息系统安全保护的技术保障系统,该体系由物理安全技术和系统安全技术两大类构成。组织体系是信息系统的组织保障系统,由机构、岗位和人事三个模块构成。机构分为:领导决策层、日常管理层和具体执行层;岗位是信息系统安全管理部门根据系统安全需要设定的负责某一个或某几个安全事务的职位;人事是根据管理机构设定的岗位,对岗位上在职、待职和离职的员工进行素质教育、业绩考核和安全监管的机构。管理体系由法律管理、制度管理和培训管理三部分组成。

信息系统安全体系清楚了之后,就可以针对以上描述的内容进行全面的规划。信息系统安全规划的层次方法与步骤可以有不同,但是规划内容与层次应该是相同,规划的具体环节、相互之间的关系和具体方法用图-2表示:

3.1 信息系统安全规划依托企业信息化战略规划

信息化战略规划是以整个企业的发展目标、发展战略和企业各部门的业务需求为基础,结合行业信息化方面的需求分析、环境分析和对信息技术发展趋势的掌握,定义出企业信息化建设的远景、使命、目标和战略,规划出企业信息化建设的未来架构,为信息化建设的实施提供一副完整的蓝图,全面系统地指导企业信息化建设的进程。信息系统安全规划依托企业信息化战略规划,对信息化战略的实施起到保驾护航的作用。信息系统安全规划的目标应该与企业信息化的目标是一致的,而且应该比企业信息化的目标更具体明确、更贴近安全。信息系统安全规划的一切论述都要围绕着这个目标展开和部署。

3.2 信息系统安全规划需要围绕技术安全、管理安全、组织安全考虑

信息系统安全规划的方法可以不同、侧重点可以不同,但是需要围绕技术安全、管理安全、组织安全进行全面的考虑。规划的内容基本上应该涵盖有:确定信息系统安全的任务、目标、战略以及战略部门和战略人员,并在此基础上制定出物理安全、网络安全、系统安全、运营安全、人员安全的信息系统安全的总体规划。物理安全包括环境设备安全、信息设备安全、网络设备安全、信息资产设备的物理分布安全等。网络安全包括网络拓扑结构安全、网络的物理线路安全、网络访问安全等。系统安全包括操作系统安全、应用软件安全、应用策略安全等。运营安全应在控制层面和管理层面保障,包括备份与恢复系统安全、入侵检测功能、加密认证功能、漏洞检查及系统补丁功能、口令管理等。人员安全包括安全管理的组织机构、人员安全教育与意识机制、人员招聘及离职管理、第三方人员安全管理等。