基于国产软件的信息安全环境构建策略研究

张卓 郭树行

摘 要：结合我国软件安全的现状，更好的保护软件信息安全，本文提出基于国产软件的信息安全环境构建策略研究。首先，分析了国内软件安全形势和软件安全标准;然后，提出一种适用于国产软件安全标准新型框架，用以支持信息安全环境构建，并给出对应的主要功能和构成;其次，详细介绍了关于软件安全标准新模型框架中的四个过程域;最后，探讨了基于国产软件的信息安全环境构建的可行路线。

关键词：国产软件;信息安全;安全标准;安全环境

0 引言

随着我国信息化的蓬勃发展，人们对国产软件的需求日益增长，国产软件产业得到了大力发展，但是，盗版问题也成为制约国产软件业发展的重要因素，并且国内大量重要信息系统几乎被国外品牌软硬件所垄断，让我国信息安全面临严重的威胁[1]。数据防泄漏、木马攻击、遭遇黑客、病毒、误操作等都会造成数据丢失和信息安全漏洞。随着各类安全漏洞和威胁与日俱增，软件安全成为重要的建设领域。如何建立基于国产软件的信息安全环境，已经成为了一种巨大挑战。因此打击各类侵犯国产软件知识产权的行为和推进使用正版国产软件工作，必须要健全法律法规、完善标准体系、实施安全等级保护与风险评估等制度，构建信息安全保密防护体系，确保国家网络与信息安全。为此，文中提出了一种适用于国产软件的软件安全标准新型框架。

1 国内软件安全形势

从美国中央情报局前雇员斯诺登引爆“棱镜门”事件到中国互联网新闻研究中心公开《美国全球监听行动记录》报告、确认谷歌与微软等科技公司参与窃密行动。近年来，信息安全大环境问题呈现出前所未有的严峻性。

我国互联网行业起步较晚，早期的软件生态和硬件生态几乎被国外产品所垄断，近年来国产软硬件如雨后春笋般大量涌现，但国产生态不够完善以及多年来养成的使用习惯问题，造成国内大量重要信息系统仍然使用国外品牌软硬件。从信息安全和国家安全的角度考虑，以上隐患首先威胁到的是掌握国家信息核心部门的政府。对于涉及国家机密或者国家安全的产品，应通过健全法律法规、完善标准体系、实现自主可控的国产替代等手段构建信息安全保密防护体系，以确保国家网络与信息安全。

2 软件安全标准分析

目前国内企业主要遵循的信息安全标准有《信息安全技术》系列国家标准等。通过对这些标准和规范的分析与解读，我们看到，已存在的标准规范具有以下优点：

（1）较为系统全面的阐述了软件安全相关的过程域，包括物理软件安全等几个维度;

（2）对于是否达到软件安全标准给出了一些检查原则和指导方针;

（3）对信息系统的软件安全防护等级做了基本设定与划分;

（4）对企业如何建立安全的防护体系给予了全面宏观的说明。

但是，结合我国软件安全的现状，我们认为目前这些标准规范不足以有效全面的指导企事业单位软件安全的建设与防护，他们存在以下的劣势：

（1）总体相对来说比较宏观，颗粒度比较粗，企事业单位依据此无法在操作层面上落地安全的相关措施;

（2）没有针对如何防御安全问题及漏洞的方法、技术进行阐述和说明;

（3）未划分软件安全点的优先级，对于软件安全等级及软件安全点的检查和评审方式比较传统，缺乏技术手段的指导;

（4）未考虑从软件的整个生命周期（规划、需求、设计、实现、测试、部署、运维）来进行软件安全防御及标准设定。

综合以上分析，我们亟需建立一套更全面、更有指导意义、更能适合我国企事业单位特点及信息发展趋势、更能有效落地的软件安全的标准体系。

3 软件安全标准新型框架

结合不同行业的软件安全标准与相关要素，分析认为在新时期所建立的软件安全标准体系应该充分立足已有行业规范、充分利用已有安全工具技术、注重全生命周期的进行软件安全能力构造。图1为软件安全新型框架的总体概览图。

该框架的总体结构可以概括为：“四域四能三维五层”。

四域：四个过程域。第一个过程域为软件安全的软件生产过程，这是核心过程域。其他三个过程域为软件安全的流程与制度要求、软件安全工具与软件安全技术、软件安全的过程保障三个支持域。

四能：四种关键业务功能，也就是软件的生命周期过程概括：构造、确认、部署和运维。

三维：每个业务功能有三种维度的软件安全措施来进行保障。

五层：软件生命过程中的软件安全标准和软件安全措施，都要充分考虑到五个层次的软件安全：物理软件安全、网络软件安全、设备软件安全、数據软件安全和应用软件安全。

研究认为，我国的信息安全环境建设，必须从国产软件规划、设计、研制等早期过程着眼。软件生产过程要端到端建立软件安全的规范与标准，而生产过程间的协同、流转与管理通过软件安全的流程与制度过程域来做出要求和规范;在执行过程中要充分利用好软件安全的技术和软件安全工具，通过软件安全工具与软件安全技术过程域来指导支持;如何保证标准和流程真正落地，就需要软件安全的过程保障过程域了，这个过程域要解决软件安全的等级评估以便企业规划自己的软件安全战略发展路线，还要做一下软件安全的教育和与指导以便执行者接受和创建软件安全，而执行过程中要强化软件安全的治理与监督也很重要，最后不同类型的企业应当有软件安全标准的裁剪，不是每个企业都追求大而全，而重视有效实用及性价比。

4 国产软件安全能力实现

下述从四个过程域角度，总结归纳适合我国国产软件能力实现的四个过程域。

4.1 构造阶段

构造阶段主要指软件的架构规划与需求阶段，在该阶段需要考虑架构中引入软件安全架构的设计，在需求中体现在非功能需求部分的软件安全需求的说明。同时要针对软件产品/系统的特点，结合历史软件安全事件经验，对软件安全威胁进行综合评估。在评估基础上形成软件安全架构和软件安全需求，有针对性在软件中规划软件安全。所以该阶段的软件安全措施三种：威胁评估、软件安全需求、软件安全架构。每种软件安全措施必须都考虑到五个层次的软件安全：物理软件安全、网络软件安全、设备软件安全、数据软件安全和应用软件安全。

4.2 确认阶段

确认阶段指从软件设计到软件开发、测试的过程;在此过程中软件安全措施有三类：软件安全设计、软件安全编码、软件安全测试。

4.3 部署阶段

部署阶段指从从软件完成到软件交付运行期间的软件安全措施。在此过程中软件安全措施有三类：漏洞管理、操作管理、环境管理。

4.4 运维阶段

运维阶段指软件交付使用后运维期间的软件安全标准及措施。在此过程中软件安全措施有三类：实时监控、定期审计、软件安全事件。

5 软件安全流程与制度化建设

5.1 软件安全开发流程

软件安全开发流程覆盖和指导软件的整个生命周期中所有阶段的软件安全的流程环节、流转、人员角色、行为动作。

主要流程包括软件总体软件安全开发流程、软件架构软件安全流程、软件需求软件安全流程、软件漏洞威胁分析流程、软件安全设计流程、软件安全编码流程、软件安全测试流程、软件漏洞管理流程、软件环境软件安全管理流程、软件操作管理软件安全流程、软件定期审计流程、软件实时监控流程与应对软件安全突发事件的处理流程等体系。

5.2 软件安全审计流程

软件安全审计涉及控制目标、安全漏洞、控制措施和控制测试四个基本要素。

首先，定义审计的物质范畴。审计范畴的划定有利于审计人员集中注意力在资产，规程和政策方面。其次，划定审计的步骤范围。确定一个合适的安全审计区域，既要避免因过于宽泛导致延缓，也要避免过窄导致审计不完全。第三，研究历史与检查单设计。通过历史记录，可以避免因已知的安全漏洞再次出现安全事件等等。第四，制定审计计划。审计计划应包括审计内容的详细描述、关键日期、参与人员和独立机构。第五，实施安全风险评估。一旦审计小组制定好了有效的审计计划，就可以着手开始审计的核心—风险评估。第六，记录下审计结果。第七，提出改进意见。安全审计最终的好处就是提出相应的提高安全的建议[2]。

5.3 人员软件安全要求与制度

应根据软件安全策略，制定系统安全管理的规程和制度，不同安全等级的安全管理规章制度的内容应有选择地满足以下要求的一项：

（1）基本的安全管理制度：应包括网络安全管理规定，系统安全管理规定，数据安全管理规定，防病毒规定，以及相关的操作规程等;（2）较完整的安全管理制度：在（1）的基础上，应增加设备使用管理规定，人员安全管理规定，安全审计管理规定，风险管理规定，安全事件报告规定，事故处理规定，应急管理规定和灾难恢复管理规定等;（3）体系化的安全管理制度：在（2）的基础上，应制定全面的安全管理规定，包括：主机设备、网络设施、物理设施分类标记等系统资源安全管理规定;安全配置、系统分发和操作、系统文档、测试和脆弱性评估、系统信息安全备份和相关的操作规程等系统和数据库方面的安全管理规定;网络连接检查评估、网络使用授权、网络检测、网络设施变更控制和相关的操作规程等方面的网络安全管理规定等;（4）强制保护的安全管理制度：在（3）的基础上，应增加信息保密标识与管理规定，密码使用管理规定，安全事件例行评估和报告规定，关键控制措施定期测试规定等;（5）专控保护的安全管理制度：在（4）的基础上，应增加安全管理审计监督规定等[3]。

5.4 软件安全应急与软件安全恢复流程

为了有效应对相关安全事件，可根据国际上广为接受的经典的应急事件处理六阶段流程制定相应的应急响应流程。即Preparing准备、Detection检测、Control抑制、Eradicate根除、Restore恢复、Follow跟踪（改进）。

6 基于国产软件安全能力的信息安全环境建设

该过程域的作用是保障相关软件安全流程、标准在实际执行中能符合要求。包括建立总体的软件安全等级评估，从而形成企业的软件安全发展的栅栏路线图。事前的教育指导和培训;事中的审计、治理与监督。而且对于不同类型的企业制定软件安全裁剪指导原则。

6.1 软件安全等级评估

风险评估既是对自身安全防御能力的评估，也指导企业安全建设的方向。采取以自评估为主，委托评估检查机构为辅的方式，在信息系统方案设计、建设投产和运行维护各个阶段实施必要的风险评估。软件安全等级是相应信息系统安全等级划分的基本依据。软件系统及相应信息系统的安全等级分为单一安全等级和多安全等级，其安全等级的划分应满足以下要求：（1）单一安全等级软件系统：按照业务应用确定的安全等级的要求，软件系统及相应信息系统划分为一个安全域，或者说整个信息系统具有相同的安全保护等级。（2）多安全等级软件系统：按照不同业务应用的不同安全等级的要求，软件系统及相应信息系统划分为多个安全域/子系统，或者说，整个信息系统具有多个不同的安全保护等级。

6.2 软件安全教育与指导

信息安全教育宣传，提高安全意识。在安全的流程与制度建设完毕后，为保障流程制度的落地，应积极组织各级各层人员系统性地开展培训工作，包括安全流程制度、标准培训;安全技术实施培训等。使从业人员增强主动防御意识、加强安全管理水平、提高安全意识，为实现信息网络安全工作常态化、规范化、制度化做出相应的措施。

6.3 软件安全治理与监督

为进一步提升信息安全保障能力，确保国家网络安全运行，需从国家立法、企业研发两个方面来推動国内软件实现自主可控。立法方面：在《网络安全法》的基础上，加快实施全面的《网络安全审查办法》。企业方面：肩负起保护国家信息安全的重大责任，加大国产替代的研发力度，以实现自主可控的国家信息安全体系。

6.4 不同企业制定裁剪指导原则

不同类型企业对安全的要求和实现是有差异的，该章节给出不同类型企业依据新型安全框架建设时进行分类裁减的指导原则。各种分类图示（●高强度 ◎中等强度 ○弱强度）。

（1）软件为提供给外部普通大众用户使用，根据表1公众环境安全框架矩阵表，即可得到相应的防护等级。

（2）软件提供给内部用户使用，并且对外物理隔离，根据表2物理隔离环境安全框架矩阵表，即可得到相应的防护等级。

（3）软件提供给内部用户通过互联网多地区使用，根据表3对内公网环境安全框架矩阵表，即可得到相应的防护等级。

基于国产软件的信息安全环境构建策略研究，研究提出了一种软件安全标准新型框架。该框架总体结构可以概括为“四域四能三维五层”。软件安全标准新型框架能够用来指导构建信息安全保密防护体系，确保国家网络与信息安全。未来软件产业应随着云计算，大数据，移动互联网等新技术、新规模加速发展，并逐步建立完善的软件安全标准框架，凭借中国自身产业的特色和优势，在保障重要信息安全的同时，推动软件业发展成为支柱产业，提升国产软件产业在全球范围内的竞争力，构建国产软件的信息安全环境。

参考文献

[1] 韩健.加强基础软件信息安全刻不容缓[N].中国计算机报，2014-12-22（2）.

[2] 陈将.企业实施信息安全审计的关键流程[J].网络与信息，2010（10）：63.

[3] GB/T20269-2006，信息安全技术 信息系统安全管理要求[S].