信息技術(shù)系統(tǒng)工程安全管理研究

曲　川

摘 要:近年來,由于信息系統(tǒng)安全問題所產(chǎn)生的損失、影響不斷加劇,信息系統(tǒng)的安全問題越來越受到人們的普遍關(guān)注,它己經(jīng)成為影響信息技術(shù)發(fā)展的重要因素。然而,傳統(tǒng)的事后、被動(dòng)、單一、針對(duì)出現(xiàn)的問題采用一些安全防護(hù)措施、并以某個(gè)問題的暫時(shí)解決為過程結(jié)束標(biāo)志的信息系統(tǒng)安全建設(shè)己經(jīng)不能適應(yīng)信息系統(tǒng)安全防護(hù)的發(fā)展要求。這種模式往往缺少系統(tǒng)的考慮,就事論事,帶有很大盲目性,經(jīng)常是花費(fèi)不少、收效甚微,造成資金、人員的巨大浪費(fèi)。信息系統(tǒng)安全問題單憑技術(shù)是無法得到徹底解決的,它的解決涉及到政策法規(guī)、管理、標(biāo)準(zhǔn)、技術(shù)等方方面面,任何單一層次上的安全措施都不可能提供真正的全方位的安全,信息系統(tǒng)安全問題的解決更應(yīng)該站在系統(tǒng)工程的角度來考慮。在這項(xiàng)系統(tǒng)工程中,信息系統(tǒng)安全風(fēng)險(xiǎn)度量占有重要的地位,它是信息系統(tǒng)安全的基礎(chǔ)和前提。

關(guān)鍵詞:信息技術(shù);系統(tǒng)工程;安全風(fēng)險(xiǎn)

中圖分類號(hào):F49文獻(xiàn)標(biāo)識(shí)碼:A文章編號(hào):1672-3198(2009)16-0259-01

1 信息系統(tǒng)安全度量

安全度量分為技術(shù)性安全度量、組織性安全度量以及操作性安全度量。技術(shù)性安全度量用于描述、比較技術(shù)方面的對(duì)象,如算法、規(guī)格說明書、體系結(jié)構(gòu)、設(shè)計(jì)、產(chǎn)品以及實(shí)施的系統(tǒng)等;組織性安全度量用于描述組織過程、規(guī)程的有效性:操作性安全度量用于描述操作環(huán)境方面的風(fēng)險(xiǎn).目前人們?cè)谑褂冒踩攘窟@個(gè)詞時(shí)存在很多模糊和不同的含義,有研究指出,《信息技術(shù)安全評(píng)估通用準(zhǔn)則》雖然是指導(dǎo)安全度量的一個(gè)非常好的標(biāo)準(zhǔn),但它也沒有全面解決安全度量的問題,尤其是針對(duì)網(wǎng)絡(luò)系統(tǒng)的安全度量,目前仍有待于進(jìn)一步的研究。

對(duì)于什么是信息系統(tǒng)安全度量(Security Metrics),有人認(rèn)為,它是以科學(xué)法則為基礎(chǔ)進(jìn)行測(cè)量的結(jié)果,有人認(rèn)為它還應(yīng)包括在主觀判斷基礎(chǔ)上做出的度量結(jié)論。目前這方面還存在爭(zhēng)議,有人還使用了具有類似含義的其他詞,如:measure, score, rating, rank, essment result等,.n。在對(duì)這些詞做出區(qū)別前,它們統(tǒng)一作了如下定義:信息系統(tǒng)安全度量(Security Metrics)是通過度量過程從一個(gè)偏序集中選擇的一個(gè)值,它表示了信息系統(tǒng)的信息安全相關(guān)的質(zhì)量,它提供或用于產(chǎn)生一種關(guān)于信任程度的描述、預(yù)言或比較。

2 信息系統(tǒng)安全管理度量方法

在度量過程中使用何種方法對(duì)度量的有效性有著舉足輕重的影響。度量方法的選擇直接影響到度量過程中的每個(gè)環(huán)節(jié),甚至可以左右最終的度量結(jié)果,所以需要根據(jù)系統(tǒng)的具體情況,選擇合適的風(fēng)險(xiǎn)度量方法。風(fēng)險(xiǎn)度量的方法有很多種,概括起來可分為三大類:定量的風(fēng)險(xiǎn)度量方法、定性的風(fēng)險(xiǎn)度量方法、定性與定量相結(jié)合的度量方法。

(1)定量度量方法:定量的度量方法是指運(yùn)用數(shù)量指標(biāo)來對(duì)風(fēng)險(xiǎn)進(jìn)行度量。典型的定量分析方法有因子分析法、聚類分析法、時(shí)序模型、回歸模型、風(fēng)險(xiǎn)圖法、決策樹法等。

定量的度量方法的優(yōu)點(diǎn)是用直觀的數(shù)據(jù)來表述度量的結(jié)果,看起來一目了然,而且比較客觀。定量分析方法的采用,可以使研究結(jié)果更科學(xué)、更嚴(yán)密、更深刻。有時(shí)一個(gè)數(shù)據(jù)所能夠說明的問題可能是用一大段文字也不能夠闡述清楚的。但常常為了量化,使本來比較復(fù)雜的事物簡(jiǎn)單化、模糊化了,有的風(fēng)險(xiǎn)因素被量化以后還可能被誤解和曲解。

(2)定性度量方法:定性的度量方法主要依據(jù)研究者的知識(shí)、經(jīng)驗(yàn)、歷史教訓(xùn)、政策走向及特殊變例等非量化資料對(duì)系統(tǒng)風(fēng)險(xiǎn)狀況做出判斷的過程。它主要以與調(diào)查對(duì)象的深入訪談做出個(gè)案記錄為基本資料,然后通過一個(gè)理論推導(dǎo)演繹的分析框架,對(duì)資料進(jìn)行編碼整理,在此基礎(chǔ)上做出調(diào)查結(jié)論。典型的定性分析方法有因素分析法、邏輯分析法、歷史比較法、德爾斐法。定性度量方法的優(yōu)點(diǎn)是避免了定量方法的缺點(diǎn),可以挖掘出一些蘊(yùn)藏很深的思想,使度量的結(jié)論更全面、更深刻,但它的主觀性很強(qiáng),對(duì)度量者本身的要求很高。

(3)定性與定量相結(jié)合的綜合度量方法:系統(tǒng)風(fēng)險(xiǎn)度量是一個(gè)復(fù)雜的過程,需要考慮的因素很多,有些度量要素是可以用量化的形式來表達(dá),而對(duì)有些要素的量化又是很困難甚至是不可能的,所以我們不主張?jiān)陲L(fēng)險(xiǎn)度量過程中一味地追求量化,也不認(rèn)為一切都是量化的風(fēng)險(xiǎn)度量過程是科學(xué)、準(zhǔn)確的.我們認(rèn)為定量分析是定性分析的基礎(chǔ)和前提,定性分析應(yīng)建立在定量分析的基礎(chǔ)上才能揭示客觀事物的內(nèi)在規(guī)律。定性分析則是靈魂;是形成概念、觀點(diǎn),做出判斷,得出結(jié)論所必須依靠的。在復(fù)雜的信息系統(tǒng)風(fēng)險(xiǎn)度量過程中,不能將定性分析和定量分析兩種方法簡(jiǎn)單的割裂開來.而是應(yīng)該將這兩種方法融合起來,采用綜合的度量方法。

(4)信息安全管理度量過程:風(fēng)險(xiǎn)度量過程訓(xùn)就是在度量標(biāo)準(zhǔn)的指導(dǎo)下,綜合利用相關(guān)度量技術(shù)、度量方法、度量工具,針對(duì)信息系統(tǒng)展開全方位的度量工作的完整歷程.對(duì)信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)度量,首先應(yīng)確保風(fēng)險(xiǎn)分析的內(nèi)容與范圍應(yīng)該覆蓋信息系統(tǒng)的整個(gè)體系,應(yīng)包括:系統(tǒng)基本情況分析、信息系統(tǒng)基本安全狀況調(diào)查、信息系統(tǒng)安全組織、政策情況分析、信息系統(tǒng)弱點(diǎn)漏洞分析等。

(5)實(shí)體與環(huán)境安全:實(shí)體與環(huán)境指計(jì)算機(jī)設(shè)備及計(jì)算機(jī)網(wǎng)管人員工作的場(chǎng)所,這個(gè)場(chǎng)所內(nèi)外的環(huán)境條件必須滿足計(jì)算機(jī)設(shè)備和網(wǎng)管人員的要求。對(duì)于各種災(zāi)害、故障要采取充分的預(yù)防措施,萬一發(fā)生災(zāi)害或故障,應(yīng)能采取應(yīng)急措施,將損失降到最低限度?？梢詮囊韵聨讉€(gè)方面來檢查:

①機(jī)房周圍環(huán)境機(jī)房是否建在電力、水源充足、自然環(huán)境清潔、通訊、交通運(yùn)輸方便的地方。

②機(jī)房周圍l00m 內(nèi)有無危險(xiǎn)建筑危險(xiǎn)建筑指易燃、易爆、有害氣體等存在的場(chǎng)所,如加油站、煤氣站、煤氣管道等。

③有無監(jiān)控系統(tǒng)監(jiān)控系統(tǒng),指對(duì)系統(tǒng)運(yùn)行的外圍環(huán)境、操作環(huán)境實(shí)施監(jiān)控(視)的設(shè)施,及時(shí)發(fā)現(xiàn)異常,可根據(jù)使用目的不同配備以下監(jiān)視設(shè)備,如紅外線傳感器、監(jiān)視攝像機(jī)等設(shè)備。

④有無防火、防水措施防火,指機(jī)房?jī)?nèi)安裝有火災(zāi)自動(dòng)報(bào)警系統(tǒng),或有適用于計(jì)算機(jī)機(jī)房的滅火器材,如鹵代烷1211和1301自動(dòng)消防系統(tǒng)或滅火器。防水,指機(jī)房?jī)?nèi)無滲水、漏水現(xiàn)象,如機(jī)房上層有用水設(shè)施需加防水層,有暖氣裝置的機(jī)房沿機(jī)房地面周圍應(yīng)設(shè)排水溝,應(yīng)注意對(duì)暖氣管道定期檢查和維修。是否裝有漏水傳感器。

⑤機(jī)房有無環(huán)境測(cè)控設(shè)施溫度控制:指機(jī)房有空調(diào)設(shè)備,機(jī)房溫度保持在1824攝氏度。濕度控制:指相對(duì)濕度保持在400/"0%。潔凈度控制:機(jī)房和設(shè)備應(yīng)保持清潔、衛(wèi)生,進(jìn)出機(jī)房換鞋,機(jī)房門窗具有封閉性能。

⑥有無防雷措施計(jì)算機(jī)機(jī)房是否符合GB-157《建筑防雷設(shè)計(jì)規(guī)范》中的防雷措施.在雷電頻繁區(qū)域,是否設(shè)有浪涌電壓吸收裝置。

(6)是否使用UPS UPS(Uninterruptible Power System)即不間斷電源,是一種含有儲(chǔ)能裝置,以逆變器為主要組成部分的恒壓、恒頻的不間斷電源。主要用于給單臺(tái)計(jì)算機(jī)、計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)或其它電力電子設(shè)備提供不間斷的電力供應(yīng)。

參考文獻(xiàn)

[1]@李河.推進(jìn)信息化構(gòu)建和諧社會(huì)[J].大連干部學(xué)刊,2005,(8):32-33.

[2]@王雅飛.叩問管理體制的整合-和諧社會(huì)與信息安全之二[J].信息安全與通信保密,2005,(8).

[3]@宋瑛橋.“中國(guó)W網(wǎng)”管理運(yùn)作模式的研究[D].北京交通大學(xué),2007.