信息化建设中信息安全的定位和构筑策略.docx

信息化建设中信息平安的定位和构筑策略摘要；信息平安学务的不断增多使褥在信息化建设中信息平安受到越来越多的田视，如何在信息化建设中更好的规划和应用信息平安，确保信息化建设的胜利是本文关注的重点。本文从技术和管理两个方面对信息平安涉及到的内容进行了阐述并结合信息系统等级爱护.探讨了在伯恩化建设中如何从宏观和微观两个角度进行信息平安建设，美键词：信息化建设：信息平安；信息系统等级爱护中图分类号：P23文献标识码：A文堂编号：1674-3695-（2009）05-19-051引育随着信息化建设的不断深人，信息平安问题日益突显。目前，世界各国都将信息平安、网络平安作为事关国家平安的大事来抓。2009年5月29口，美国总统奥巴马公布了一份由平安部门官员完成的网络平安评估报告，表示来自网络空间的威遍已经成为美国面临的最严峻的经济和军事威逼之一，宣布在白宫成立网络平安办公室。在中共十六届四中全会上，中心将信息平安与政治平安、经济平安、文化平安并列为四大“国家平安”，明确提出了完善信息平安的战略目标。Ii1.此可见，信息平安对保障个国家的政治、经济、军事平安发挥着越来越重要的作用。因此，信息化建设中信息平安问题的深化探讨很有意义。2信息平安的定位我国的信息化建设始于20世纪80年头，最初的建设主要集中于纸质信息的数字化以及单机应用系统的开发。随着网络技术的不断发展，应用系统的开发也渐渐转向以网络为依托，实现电子政务、电子商务、网上办公等。不仅节约了资源，提高了办事效率，而且扩大了资源共享范围。由于在微型计算机发展之初，对平安的考虑不够，导致微型计算机软、硬件设计上的简化，致使信息资源及其依托的软硬件极易遭到破坏，产生了平安隐患。计算机网络的主要目标是实现资源共享，因此在设计之初也未过多考虑平安问题，从而造成网络协议的平安缺陷。而且随着放用软件功能的不断完善，代码量越来越大，存在的软件漏洞也越来越多。正是由于这些缘由，导致计算机病毒、木马、后门泛滥，严峻威逼信息的平安。随着信息化建设的不断推动，信息化建设的重点由只关注应用系统开发，渐渐转变为系统开发与信息平安建设并重，信息平安被提高到个前所未有的高度。依据目前的观念，信息化建设涉及的内容可划分为三个方面：网络基础设施建设、应用系统开发和信息平安保障，这些称为信息化建设的“三大支柱”，缺一不行。假如把网络基础设施比方成高速马路，把应用系统看作是高速马路上行驶的车辆，那么信息平安就是保障道路和车辆平安所必需遵循的交通法规。我们都知道在没有交通法规的高速马路上行驶车辆会造成什么样的后果，因而我们不难想象，在没有信息平安保障的网络基础设施上运行应用系统将会造成什么样的后果！信息平安是网络基础设施和应用系统的平安保障，其重要性将随着信息化建设的不断推动而更加凸显。3信息平安的范围信息平安的主要目标是实现机密性、完整性和可用性。信息技术平安评估准则(ISO/IEC15408)将信息平安定义为：被评估的信息系统或产品的平安策略、平安功能、平安管理、平安开发、平安维护、平安检测、平安复原和平安评测等概念的总称。信息系统平安保障评估框架(GB/T20274)中将信息系统平安保障定义为:在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的平安保障策略，从技术、管理、工程和人员等方面提出平安保障要求，确保信息系统的保密性、完整性和可用性，降低平安风险到可接受的程度，从而保障系统实现机构组织的使命。综合已有的标准和实际工作，我们认为信息平安涉及到整个信息化建设的方方面面，必需融入到信息化建设的全过程。只有在整个信息化建设过程中，通过技术和管理两个方面的考虑，把信息平安作为信息化建设的一个重要目标，才能保障信息化建设的胜利。只重视技术不重视管理，信息平安是无本之木：只注意管理不注意技术，信息平安是“空口政治”；只有技术和管理并重，才能最大程度的供应平安保障。以系统口令为例，口令平安策略要求口令须要定期修改。假如只是把其作为一项平安策略让各部门员工熟知，而不从技术上进行限制，则很难达到效果。因为无论口令改与不改，我们都无从知晓，而且对于大多数人来说，一般观念都是怎么便利怎么来,这样，这项平安策略根本无法贯彻。假如我们通过技术手段，确保若不定期更改密码则无法登陆系统，用户只能定期更改密码。只注意技术不注意管理同样很难保证平安。依旧以系统口令为例，假如我们只是通过技术手段要求员工必需依据要求定期修改口令，而不从管理上进行要求，则很多员工会为了便利，将困难的口令写下来，贴在电脑旁或记在本子上，这同样担心全。权威机构统计表明：在全部的信息平安事故中，70%以上的信息平安问题是由于内部员工的疏忽或有意泄密这些管理方面的绿由造成的，而这些平安问题中的绝大多数是可以通过科学的信息平安管理能够避开或解决。只有员工都树立平安意识，依据优化的技术流程办事，发挥技术和管理的双重作用，信息平安事故才能杜绝。下面，我们就具体探讨一下信息平安所涉及到的这两方面。3.1技术在技术上，信息平安主要通过在信息系统中部署软硬件并正确的配置其平安功能来实现，我们称其为“平安技术手段”。目前常用的平安技术手段有以卜几种：1）身份鉴别：用于对用户的身份进行确认。常采纳的身份鉴别方式有口令、指纹、证书等。其中运用最为广泛的为口令，随着对信息平安的要求不断提高，指纹识别、虹膜识别等一系列生物认证方式得到大范围应用。运用USBKEY来存储用户数字证书来达到身份识别的方式也在很多企事业单位得到广泛应用。2）访问限制：通过限制只有授权用户才可以访问指定资源，防止非授权的访问和授权人员的违规访问O包括H主访问限制和强制访问限制。自主访问限制可以由用户制定平安策略。强制访问限制由系统管理员指定平安策略，用户本身无权更改F1.身的平安属性。3）标记：对计算机系统资源（如用户，进程，文件，设备）进行标记，通过标记来实现对系统资源的访问限制。标记是实施强制访问限制的基础。4）可信路径：供应系统和用户之间的11J信通信路径。目前，Windows为部分应用供应可信路径，比如11令的输人，5）平安审计：对受爱护客体的访问进行审计，阻挡非授权用户对审计记录的访问和破坏。平安审计作为信息平安的一种事后补救或追踪手段，对发觉和追踪违规操作特别重要。6）剩余信息爱护：在客体重新被安排给一个主体前，对客体所含内容进行彻底清除，防止新主体获得原主体活动的任何信息。尤其是对于一些曾经存储过涉密信息的介质，在运用前必需实行肯定措施，确保不会造成涉密信息泄露。7）数据机密性爱护：防止敏感信息泄露给非授权用户。通常采纳加密技术来确保信息的机密性。8）数据完整性爱护：防止非授权用户对信息进行修改或破坏。随着计算机技术的不断发展，完整性被破坏所造成的危害已远大于机密性所造成的危害。目前常用的完整性爱护是通过对被爱护信息计算哈希值，通过将被爱护信息的哈希值和预先存储的哈希值进行比较来确定信息是否被篡改。上述技术手段主要通过一些平安产品来实现。常用的平安产品有：VPN设备，平安路由器，平安防火墙，入侵检测系统，入侵防卫系统，CA系统，防病毒网关，漏洞扫描系统，抗拒绝服务系统，流量限制系统等。只有依据制定的平安策略，正确的配置平安产品，才能最大程度供应信息平安保障。3.2管理在管理上，与信息系统中各种角色参加的活动有关，主要通过限制各种角色的活动，从政策、制度、规范、流程以及记录等方面做出规定来实现。一个完善的信息平安管理体系，主要涉及以卜几方面的内容：1）策略和制度平安策略是对允许做什么，禁止做什么的规定。平安策略可以定义成一种文档，用于陈述如何爱护有形和无形的信息资产。建立信息平安管理体系既要制定说明信息系统平安的总体目标、范围和平安框架的总体平安策略，也要制定包含风险管理策略、业务连续性策略、平安培训与教化策略、审计策略、规划策略、机构策略、人员策略等具体的平安策略。平安策略属于平安战略范畴，它不需指定所运用的技术。因此，还须要在平安策略指导下，依据机构的总体'F安策略和业务应用需求，制定信息系统平安管理的规程和制度。如网络平安管理规定，系统平安管理规定，数据平安管理规定等。2）机构和人员建立信息平安管理体系，须要建全平安管理机构，配置不同层次和类型的平安管理人员，明确各层各类平安管理机构和人员的职责与分工，建立人员录用、离岗、考核和审查制度，定期对信息系统相美工作人员进行教化和培训，制定第三方人员管理要求。3）风险管理信息平安的实质是通过对信息系统分析，了解所存在的平安风险，通过相应的平安技术和措施，将平安风险降低到可接受的程度。风险管理包括威逼管理和脆弱性管理。进行风险评估，分析资产价值/重要性，分析信息系统面临的威逼及信息系统的脆弱性，进而r解系统存在的风险，实行相应的平安措施避开风险的发生。要定期进行风险评估，并确定平安对策。4）环境和资源管理须要对机房、办公环境、资产、介质和设备进行管理，保障其平安牢靠、稳定运行。如机房要防水、防火、防潮、防静电、防雷击、防磁等：设备、介质、资产要防盗、防毁，确保其平安可用。对资产的增加、削减和转移要进行记录。5）运行和维护管理运行和维护涉及的内容较多，包括系统用户管理，终端系统、服务器、设备管理，运行状况监控，软硬件维护，外包服务管理等。还包括对采纳的各种技术手段进行管理，对平安机制和平安信息进行集中管理和整合。6）业务连续性管理对数据备份的内容和周期进行管理，对介质、系统和设备进行冗余备份，制定应急晌应机制和预案，在灾难发生时能够进行应急处理和灾难复原，保障业务的连续性。7）监督和检查管理对系统进行审计、监管、检查。对建立的规章制度，定期进行监督和检查，确保制度落到实处。同时，须要结合审计，对平安事务进行记录，对违规操作进行报告，依据审计结果进行责任认定，并据此对机构和员工进行奖惩。8）生命周期管理建立信息系统平安管理体系，还要对应用系统的整个生命周期进行全过程管理。确保开发的应用系统符合平安要求。应用系统的生命周期可以划分为规划组织阶段、开发选购阶段、实施交付阶段、运行维护阶段、变更和反馈阶段和废弃阶段。在每一个阶段中，信息平安管理贯穿始终。我们认为，假如能够在每个阶段进行类似于等级爱护制度的备案，可以为系统的胜利开发供应肯定的监督和指导作用。在规划组织阶段，须要在应用系统建设和运用的决策中考虑应用系统的风险及策略；在开发选购阶段，须要基于系统需求和风险、策略将信息平安作为一个整体进行系统体系的设计和建设，并对建设的系统进行评估，以确保符合国家相关要求，如等级爱护的要求：在实施交付阶段，须要对承建方进行平安服务资格要求和信息平安专业人员资格要求，以确保施工组织的服务实力，确保交付系统的平安性:在运行维护阶段，须要对信息系统的管理、运行维护、运用人员等进行管理，保障系统平安正常运行：在变更和反馈阶段须要对外界提出的新的平安需求进行反馈，变更要求或增加原有的要求，市新进入信息系统的规划阶段；若信息系统无法满意已有的业务需求或平安需求，系统进人废弃阶段。4信息平安的建设过程信息平安建设可以从宏观和微观两方面来考虑。如图1：Awtfatr«u*ra<*rVHWP从宏观上，包括风险评估与等级爱护、灾难备份和应急响应机制的建设。我国闻名信息平安专家方滨兴院士指出“风险评估和等级爱护，两者相辅相成，须要一体化考虑。因为风险评估是动身点，等级划分是推断点，平安限制是落脚点，所以风险评估和等级爱护这两件事儿是相辅相成的，只有知道了系统的脆弱性有多大，等级爱护才能跟上去”。灾难备份是指利用技术、管理手段以及相关资源，确保已有的关键数据和关键业务在灾难发生后在确定的时间内11J以复原和接着运营的过程。应急响应机制用于确保在紧急事务发生时，能够尽快响应，将系统损失降低到最小。在平常，还须要进行平安演练或演习，模拟可能发生的平安事故，开展应急响应。从微观上，进行信息平安建设主要包括以下几个步骤：(1)制定平安策略。依据单位具体状况，依据风险评估的结果和等级爱护要求，确定具体平安需求，制定平安策略。如：环境平安策略、数据访问限制平安策略、数据加密与数据备份策略、身份认证及授权策略、灾难熨原及事故处理策略、紧急响应策略、平安教化策略、审计策略等。平安策略对于整个系统平安方面的设计，平安制度的制定，平安相关功能的开发等都有着重要的指导意义。（2）依据平安策略,确定平安机制。平安策略通过平安机制来保障和实施。平安机制是实施平安策略的技术、制度和标准。比如，我们制定了一项平安策略：”全部的通讯都必需经过加密”。为了保障这个策略的实施，我们须要确定实行何种技术来实现，比如我们可以依据此条策略确定所须要运用的技术：“全部的通讯都必需采纳3DES（一种加密方案）进行加密”。（3）制定业务流程。在平安机制的实施过程中，具体操作必需依据规定的流程进行才能够确保不发生违反平安策略的事务。制定业务流程可以使操作过程更加清楚。（4）设计表单。将全部的操作细微环节落实到表单上，对操作的结果进行记录。下面以机房巡检为例，对信息平安建设过程进行说明。在机房管理方面，首先依据单位具体要求，确定必需定期进行平安巡检（平安策略）：然后须要制定平安巡检规则、巡检内容等（平安机制）：接着确定巡检步骤，巡检具体内容（业务流程）：最终确定每次巡检时须要记录的巡检结果（表单）。如图2所示。r图2机房巡检5结束语信息平安是信息化建设中的重要环，对于保证信息化建设的胜利起着特别重:要的作用。本文结合笔者的实际工作阅历，对信息平安在信息化建设中的地位，信息平安所涉及到的范围以及信息平安的建设过程进行了阐述，希望可以为信息化建设过程中信息平安工作供应肯定的指导。(作者：安迎建范艳芳谢俊奇)U1.MNt肘诂文汁。机平女学一平安的匕木。科学【W.Jt京.电r工业出版社，2005(2SiiriStCrnGrCCnd平安策略力规程僧J.北京.清隼新校出版社,200B3»B5.i»fiK.I：对国室伤M平安保KI体系再解读D).信息,女，通G；保密.2009.1112