信息系统项目安全管理方法

赵丽华

摘 要：从数据采集、生产营运至生产经营分析和日常办公系统给领导决策提供了强有力的支撑，而随着互联网的开放、信息共享也同时带来了日益增长的安全威胁。多年来天津石化非常注重信息安全管理工作，但是也存在着信息安全工作无法很好的贯彻至整个信息系统生命周期的问题。在这项工作的组建过程中，早引入领导才能越早重视，成本就会控制在最低，而起到的作用也越高。

关键词：信息系统；项目安全；管理方法

1 概述

随着信息化项目建设的推进及应用延伸，天津石化信息系统已全面渗透到企业的运营中，从数据采集、生产营运至生产经营分析和日常办公系统给领导决策提供了强有力的支撑，而随着互联网的开放、信息共享也同时带来了日益增长的安全威胁。多年来天津石化非常注重信息安全管理工作，但是也存在着信息安全工作无法很好的贯彻至整个信息系统生命周期的问题。在这项工作的组建过程中，早引入领导才能越早重视，成本就会控制在最低，而起到的作用也越高。

2 信息安全管理方法

2.1 信息化安全领导小组的成立

要成立一把手或主管信息化领导任组长的信息安全领导小组，为企业信息化应用保驾护航。负责制定、完善信息系统的安全策略，提出信息系统的安全框架、管理方法，规定各部门要遵守的规范及责任，以调动、协调和组织各方面的资源共同保障信息系统的安全。

2.2 项目规划阶段安全管理

项目规划阶段，在定义业务需求时，应注重对信息安全方面的需求制定，完善信息系统的安全策略，提出信息系统的安全框架、管理方法。在业务需求书中，应明确对信息系统安全的详细要求，必须经过信息安全人员参加的项目评审会议通过，才能进行项目立项。任何对信息系统安全需求的变更，需经过正式的系统变更流程。

2.3 项目设计阶段安全管理

在信息系统设计阶段，通过风险分析明确安全需求，确定安全目标，制定安全策略，拟定安全要求的性能指标。充分考虑业务数据在传输、处理、存储等各个过程中的安全要求。

在基础设施建设方面充分考虑系统架构、硬件冗余、数据备份、网络安全等方面，搭建一个安全高效的基础设施平台是信息系统安全运行的基础。

在系统应用安全层面应至少进行以下安全控制设计：

①身份认证。用户身份识别打破以往各自独立认证的方式，以总部AD账号作为统一身份认证的基础对用户进行身份识别，重要的系统可以在信息门户实现单点登录，并根据安全策略配置相关参数，如限制非法登录次数、超时自动退出等。

②问控制。遵循最小权限原则控制用户对文件、数据库表等的访问。

③日志与审计。对应用程序中的重要事件进行日志记录，并进行审计，以便对系统的重要操作和安全事件进行追踪审查。

2.4 系统上线试运行阶段安全管理

项目实施人员及系统管理员严格按照《Windows平台信息系统安装规范V1.0》（根据总部安全基线要求及后期运维管理规范制定的）要求，搭建硬件及软件平台：

①操作系统安装

存储应首先考虑配置为RAID10，在特殊情况下可以允许配置为RAID5；存储分区最少为三部分：操作系统分区、程序分区、数据分区；系统盘，只允许安装操作系统，不得安装应用程序、数据库，不得存放安装文件、数据文件等；程序盘，只允许安装该系统相关程序；数据盘，安装有数据库的系统，数据文件可以在此盘存放，安装程序、安装手册、用户手册等系统相关文档也可以保存在此盘；各分区容量应当满足系统稳定运行5年以上；操作系统使用默认设置进行安装，安装完成后应启用相应操作系统安全策略；操作系统安装完成后，应立即安装杀毒客户端软件并升级，方可连接互联网，更新操作系统补丁。

②应用程序安装要求

系统中只允许安装系统相关程序，不得安装远程控制、即时通讯等非系统相关程序。

③数据库安装

数据库程序应安装至程序盘相应路径下；数据文件应存储在数据盘相应路径下；数据库控制文件、日志文件等，应首先选择存储在程序分区相应路径下。

系统上线部署前，通过总部统一漏洞扫描软件进行安全漏洞检查、基线配置检查，杀毒软件及所有与系统相关的补丁更新是否完整；测试數据是否清理，软/硬件符合总部安全基线配置规范；系统如需与互联有数据交换，在系统上线前提出申请，主管领导审批后方可接入；系统上线后，系统试运行一段时间后再对系统进行风险评估，评价系统对信息安全要求的符合情况以及潜在的需要改进的信息安全措施。

2.5 系统运营阶段安全管理

①制定不相容角色矩阵，对用户授权最小化，并制定操作规程。

②在对上线系统实施任何变更（包括操作系统补丁升级、数据库、软件平台升级、程序代码传输、用户变更等）操作前，应制定详细的变更及回退方案，并经主管领导审批通过；开发测试人员不能访问生产系统。

③系统管理员、应用管理员、数据库管理员应按系统要求进行线下或线上巡检，对系统的安全运行状态进行监控，发现安全隐患或安全事件发生应进行记录并及时上报，以避免产生更大次生安全事件。

④按不同系统要求，定期做好系统、数据、程序备份，妥善保管备份介质，并进行恢复性测试，保证备份数据的可用性。

⑤制定信息安全事件应急预案，应急预案应明确组织机构及工作职责，并定期进行应急演练。

⑥利用技术手段，定期对系统进行分线评估，挖掘系统存在的安全漏洞并进行改进。

2.6 系统下线阶段安全管理

信息系统由于硬件平台升级、软件大版本升级或替换时，应对受到保护的数据信息（磁盘、磁带、纸质资料等）进行妥善转移、转存、销毁，确保不发生信息安全事件；涉及到信息转移、暂存和清除、设备迁移或废弃、介质清除或销毁，以及相应资产清单的更新。

3 结语

信息安全管理是贯彻整个信息系统项目生命周期、一项PDCA循环改进的过程，随着网络技术的发展，在不同阶段会出现新的问题，因此应该定期进行信息安全评估。信息安全管理工作应始终贯彻中石化安全管理“三同步”的要求，即在系统的设计、建设和运行过程中，做到同步规划、同步建设、同步运行，加强管理的同时，利用科学的技术手段建立起企业信息安全管理体系。