基于信息系統(tǒng)安全保護(hù)等級(jí)的勘察設(shè)計(jì)企業(yè)信息安全保障體系建設(shè)

張瑞祥 謝 衛(wèi) 熊 煒 李永剛

(中國(guó)電子工程設(shè)計(jì)院,北京 100840)

基于信息系統(tǒng)安全保護(hù)等級(jí)的勘察設(shè)計(jì)企業(yè)信息安全保障體系建設(shè)

張瑞祥 謝 衛(wèi) 熊 煒 李永剛

(中國(guó)電子工程設(shè)計(jì)院,北京 100840)

本文以國(guó)家頒布的計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則等信息安全管理標(biāo)準(zhǔn)、規(guī)范為基線,把確保企業(yè)信息安全風(fēng)險(xiǎn)降低到可以接受程度作為安全目標(biāo),通過對(duì)企業(yè)信息安全需求的分析,介紹建立企業(yè)信息安全保證體系的基本思路,以及選擇并實(shí)施有關(guān)信息安全管理措施的方法。

信息安全管理體系;計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則

1 前言

近年來,隨著信息化發(fā)展的逐步深入,企業(yè)對(duì)信息系統(tǒng)的依賴越來越強(qiáng),很多關(guān)系到企業(yè)命脈的重要數(shù)據(jù)、資料都以電子形式保存于信息系統(tǒng)中,因此企業(yè)信息基礎(chǔ)設(shè)施、信息系統(tǒng)是否安全正常地運(yùn)行,將直接關(guān)系到企業(yè)能否保持競(jìng)爭(zhēng)能力、利潤(rùn)及企業(yè)形象等重要事項(xiàng);由于企業(yè)的網(wǎng)絡(luò)、應(yīng)用系統(tǒng)隨時(shí)面對(duì)來自四面八方的威脅,諸如企業(yè)數(shù)據(jù)庫被入侵攻擊、泄露或丟失企業(yè)機(jī)密信息等危害事件時(shí)有發(fā)生,如何保障企業(yè)信息系統(tǒng)安全是擺在企業(yè)管理者、信息化建設(shè)人員和用戶面前亟待解決的關(guān)鍵問題。

建立一套完善的企業(yè)信息安全保障體系是一項(xiàng)極為復(fù)雜的系統(tǒng)工作,以某中型企業(yè)為例,該企業(yè)的應(yīng)用系統(tǒng)集成面廣、網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜、覆蓋地域廣闊、下屬單位和人員眾多,需要落實(shí)安全保障的項(xiàng)目極為廣泛,包括物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全、安全管理、安全組織建設(shè)等內(nèi)容,面臨著遵從哪些安全標(biāo)準(zhǔn)規(guī)范、設(shè)計(jì)怎樣的安全架構(gòu)、采取什么安全保障技術(shù)來構(gòu)筑企業(yè)信息安全堡壘一系列很困難的問題。

2 適度確定企業(yè)信息安全保護(hù)級(jí)別

目前,我國(guó)應(yīng)用最為廣泛的是采用分等級(jí)保護(hù)的策略來解決網(wǎng)絡(luò)信息安全問題,即信息系統(tǒng)的使用單位依據(jù)自身的重要程度、信息系統(tǒng)承載業(yè)務(wù)的重要程度、信息內(nèi)容的重要程度、系統(tǒng)遭到攻擊破壞后造成的危害程度等情況,結(jié)合對(duì)信息安全的需求以及實(shí)施安全措施的成本等因素,參照國(guó)家規(guī)定的等級(jí)劃分標(biāo)準(zhǔn)[1],設(shè)定其保護(hù)等級(jí),自主進(jìn)行信息系統(tǒng)安全建設(shè)和安全管理。

怎樣依據(jù)信息系統(tǒng)安全保護(hù)等級(jí)劃分標(biāo)準(zhǔn)設(shè)定企業(yè)的安全保護(hù)等級(jí)?首先,準(zhǔn)確把握計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分的原則。安全保護(hù)級(jí)別的確定主要根據(jù)業(yè)務(wù)系統(tǒng)中應(yīng)用的重要程度、敏感程度以及信息資產(chǎn)的客觀條件。一般來說,信息系統(tǒng)越重要,需要具有的保護(hù)能力就越高。因?yàn)橄到y(tǒng)越重要,其所伴隨的遭到破壞的可能性越大,遭到破壞后的后果越嚴(yán)重,因此需要提高相應(yīng)的安全保護(hù)能力。其次,在對(duì)信息系統(tǒng)的安全保護(hù)等級(jí)進(jìn)行劃分時(shí),先對(duì)構(gòu)成信息系統(tǒng)的操作系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等子系統(tǒng)潛在的不安全因素進(jìn)行判別,對(duì)應(yīng)著信息系統(tǒng)安全等級(jí)保護(hù)技術(shù)要求,評(píng)定各系統(tǒng)需要安全保護(hù)的對(duì)應(yīng)措施,最后參照信息系統(tǒng)安全等級(jí)保護(hù)管理要求[2],確定整體信息系統(tǒng)的保護(hù)等級(jí)。

本文通過舉例說明如何進(jìn)行企業(yè)安全保護(hù)等級(jí)的評(píng)測(cè)。某勘察設(shè)計(jì)企業(yè)的信息系統(tǒng)主要有如下部分組成,即:1)企業(yè)內(nèi)外網(wǎng)絡(luò)系統(tǒng);2)企業(yè)數(shù)據(jù)中心;3)企業(yè)數(shù)據(jù)庫平臺(tái);4)企業(yè)綜合管理信息系統(tǒng);5)基礎(chǔ)應(yīng)用系統(tǒng)(包含企業(yè)電子郵箱系統(tǒng)、企業(yè)內(nèi)外網(wǎng)站等)。依據(jù)信息系統(tǒng)安全保護(hù)等級(jí)劃分原則和判別要素,將信息系統(tǒng)的安全保護(hù)等級(jí)劃分為三個(gè)等級(jí):第一級(jí)為普通級(jí)保護(hù),主要對(duì)象為一般的信息系統(tǒng),其受到破壞后,會(huì)對(duì)個(gè)人和企業(yè)其他人員的權(quán)益造成一定影響,但對(duì)企業(yè)的正常業(yè)務(wù)、企業(yè)資產(chǎn)等不會(huì)造成影響,在系統(tǒng)遭到損害后能夠恢復(fù)部分功能;第二級(jí)為重要級(jí)保護(hù),主要對(duì)象為一定程度上涉及企業(yè)安全、利益的業(yè)務(wù)信息系統(tǒng),受到破壞會(huì)對(duì)企業(yè)利益有一些直接影響,在系統(tǒng)遭到損害后能夠在一段時(shí)間內(nèi)恢復(fù)部分功能;第三級(jí)為加強(qiáng)級(jí)保護(hù),主要對(duì)象為涉及企業(yè)機(jī)密和公共利益的關(guān)鍵信息系統(tǒng),其受到破壞后,會(huì)對(duì)企業(yè)的正常業(yè)務(wù)、企業(yè)資產(chǎn)等造成較大損害,要求系統(tǒng)在遭到損害后能夠快速恢復(fù)絕大部分功能。

實(shí)例中的企業(yè)網(wǎng)站等系統(tǒng)用于發(fā)布企業(yè)新聞、介紹業(yè)務(wù)領(lǐng)域和經(jīng)營(yíng)范圍、宣傳企業(yè)文化等,是公眾可以訪問的資源,被破壞時(shí)不會(huì)對(duì)企業(yè)利益造成嚴(yán)重?fù)p害;對(duì)服務(wù)實(shí)時(shí)性和服務(wù)質(zhì)量要求不高,當(dāng)系統(tǒng)無法提供有效服務(wù)時(shí),不會(huì)影響企業(yè)的正常生產(chǎn),所以把這類應(yīng)用系統(tǒng)的安全級(jí)別定為普通級(jí)保護(hù)。企業(yè)郵箱、協(xié)同設(shè)計(jì)、科技質(zhì)量管理、檔案管理等系統(tǒng),是員工開展日常辦公的交流平臺(tái),系統(tǒng)中保存了內(nèi)外聯(lián)絡(luò)信息、設(shè)計(jì)創(chuàng)作中產(chǎn)生的過程或成品文件等資源,系統(tǒng)服務(wù)的對(duì)象主要是企業(yè)內(nèi)部人員,被破壞時(shí)將會(huì)對(duì)企業(yè)利益造成一定損害;由于主要業(yè)務(wù)可以不通過這些系統(tǒng)完成,系統(tǒng)對(duì)服務(wù)實(shí)時(shí)性和服務(wù)質(zhì)量要求一般,當(dāng)系統(tǒng)無法提供實(shí)時(shí)服務(wù)或無法提供有效服務(wù)時(shí),不會(huì)造成企業(yè)利益的重要損失,所以將這類的應(yīng)用系統(tǒng)安全級(jí)別確定為重要級(jí)保護(hù)。企業(yè)數(shù)據(jù)中心存儲(chǔ)著企業(yè)的全部機(jī)密信息,數(shù)據(jù)庫平臺(tái)上整合了企業(yè)經(jīng)營(yíng)、生產(chǎn)、財(cái)務(wù)、資產(chǎn)等各項(xiàng)業(yè)務(wù)的實(shí)時(shí)數(shù)據(jù),人力資源管理系統(tǒng)、經(jīng)營(yíng)管理系統(tǒng)、財(cái)務(wù)管理系統(tǒng)等是用于企業(yè)核心業(yè)務(wù)的重要信息系統(tǒng),這些系統(tǒng)集成一體為企業(yè)高層領(lǐng)導(dǎo)、經(jīng)營(yíng)和財(cái)務(wù)主管、人事主管等實(shí)時(shí)提供一系列量化指標(biāo),使企業(yè)高層管理人員能及時(shí)、準(zhǔn)確地把握和調(diào)整企業(yè)的發(fā)展方向。這些系統(tǒng)對(duì)信息數(shù)據(jù)的完整性和可靠運(yùn)行的實(shí)時(shí)性要求高,且無法采用手工作業(yè)替代,當(dāng)系統(tǒng)無法提供實(shí)時(shí)服務(wù)或無法提供有效服務(wù)時(shí),會(huì)造成重要損失;而且系統(tǒng)的安全保障決定了企業(yè)戰(zhàn)略實(shí)施的準(zhǔn)確性和保密性,當(dāng)有關(guān)信息被破壞會(huì)對(duì)企業(yè)利益造成嚴(yán)重影響,所以將這類的應(yīng)用系統(tǒng)安全級(jí)別確定為加強(qiáng)級(jí)保護(hù)。

3 建立企業(yè)信息安全保證體系的務(wù)實(shí)原則

建立信息安全保障體系是信息安全工作實(shí)施的基本依據(jù)和保證,企業(yè)根據(jù)自身狀況組織建立適合業(yè)務(wù)發(fā)展和信息安全需求的信息安全防護(hù)框架,進(jìn)行包括信息安全管理體系、信息安全技術(shù)體系以及信息安全運(yùn)行維護(hù)體系等的信息安全保障體系建設(shè),改變長(zhǎng)期以來形成的 “缺乏整體設(shè)計(jì)、單一布設(shè)安全產(chǎn)品、孤立制定安全策略”的被動(dòng)防范方式,實(shí)現(xiàn)信息安全工作的制度化、規(guī)范化和一體化建設(shè),讓信息系統(tǒng)面臨的風(fēng)險(xiǎn)能夠達(dá)到一個(gè)可以控制的標(biāo)準(zhǔn),進(jìn)一步保障信息系統(tǒng)的運(yùn)行效率。

實(shí)例中企業(yè)密切結(jié)合本單位業(yè)務(wù)特點(diǎn),首先在信息系統(tǒng)定級(jí)上確立了企業(yè)非涉密信息系統(tǒng)安全保護(hù)第二級(jí)、重要信息系統(tǒng)災(zāi)難恢復(fù)第一級(jí)的信息安全需求標(biāo)準(zhǔn),圍繞著定級(jí)標(biāo)準(zhǔn)制定下圖所示的企業(yè)信息安全保障體系框架。

3.1 安全管理系統(tǒng)建立原則

建立集中統(tǒng)一、分工協(xié)作、各司其職的信息安全管理機(jī)制。一是企業(yè)應(yīng)建立能夠協(xié)調(diào)維護(hù)各部門信息安全的綜合職能機(jī)構(gòu),成立有高度權(quán)威的企業(yè)信息安全領(lǐng)導(dǎo)小組,避免出現(xiàn)信息安全事故時(shí)有關(guān)部門條塊分割、職責(zé)不清、多頭管理、協(xié)調(diào)不力的狀況;二是各級(jí)部門要形成一個(gè)分工明確、責(zé)任落實(shí)、相互銜接、有機(jī)配合的組織管理體系;三是逐步建立和完善企業(yè)信息安全管理規(guī)章制度,使企業(yè)各級(jí)單位在統(tǒng)一的安全策略和與之配套的標(biāo)準(zhǔn)、規(guī)范指導(dǎo)下,協(xié)同開展信息安全防護(hù)體系建設(shè)。

對(duì)于信息安全的日常管理規(guī)范,一是規(guī)范運(yùn)行維護(hù)的事件管理,著重從運(yùn)行質(zhì)量和效率入手,做好以問題管理、事件管理、配置管理和變更管理為主要內(nèi)容的運(yùn)行管理工作。二是要提高安全保障能力,著重從健全涵蓋設(shè)備、網(wǎng)絡(luò)、系統(tǒng)軟件、數(shù)據(jù)庫、應(yīng)用程序等方面的企業(yè)信息安全體系建設(shè)入手,提高信息安全意識(shí)和技能,筑牢信息安全內(nèi)部防范基礎(chǔ)。三是科學(xué)建立內(nèi)部控管機(jī)制,著重做好各類制度和標(biāo)準(zhǔn)的補(bǔ)充和完善工作,實(shí)行信息安全管理的規(guī)范化、制度化[3]。

圖 1 信息安全保證體系框架圖

3.2 基礎(chǔ)安全防護(hù)系統(tǒng)建立原則

企業(yè)安全防護(hù)體系的建設(shè)規(guī)模和防護(hù)強(qiáng)度必須與網(wǎng)絡(luò)、信息系統(tǒng)所擔(dān)負(fù)的業(yè)務(wù)工作范圍和重要程度相符,信息系統(tǒng)安全的防護(hù)目標(biāo)應(yīng)定位準(zhǔn)確,避免出現(xiàn)因定位不準(zhǔn),致使防護(hù)系統(tǒng)有漏缺或考慮過細(xì)造成規(guī)模過大,增加安全措施部署經(jīng)費(fèi)和實(shí)施難度的情況發(fā)生。

將企業(yè)基礎(chǔ)安全防護(hù)系統(tǒng)分為物理安全、網(wǎng)絡(luò)安全、用戶安全等三方面來建設(shè)。對(duì)于物理安全把包括通信線路安全、物理設(shè)備安全和機(jī)房安全等作為安全管理目標(biāo),安全工作的重點(diǎn)放在對(duì)物理通路的損壞、物理通路的竊聽、對(duì)物理通路的攻擊等破壞活動(dòng)的防止,同時(shí)抓好防盜、防火、防靜電、防水防潮等措施實(shí)施。對(duì)于網(wǎng)絡(luò)安全則將保障網(wǎng)絡(luò)的安全暢通和保密作為工作目標(biāo),首先根據(jù)企業(yè)網(wǎng)絡(luò)有關(guān)部分的功能不同以及遭受攻擊的來源不同將其劃分為不同區(qū)域,通過引入安全產(chǎn)品和安全技術(shù),形成邊界安全防護(hù)防御結(jié)構(gòu)。在局域網(wǎng)安全管理上采取“資源集中、部門子網(wǎng)、VLAN隔離、訪問認(rèn)證”,以及“網(wǎng)內(nèi) IP地址資源統(tǒng)一分配管理”等方針,重點(diǎn)強(qiáng)化業(yè)務(wù)生產(chǎn)系統(tǒng)、數(shù)據(jù)資源區(qū)域的防護(hù)。在用戶安全方面,根據(jù)用戶所屬單位、用戶角色、資源訪問密級(jí)、資源使用方式的不同進(jìn)行分組管理;建立單點(diǎn)登錄(如采用域管理模式的用戶認(rèn)證控制系統(tǒng))的強(qiáng)力身份認(rèn)證體系,加強(qiáng)用戶密碼制度的管理等;通過實(shí)施計(jì)算機(jī)防病毒、操作系統(tǒng)漏洞補(bǔ)丁升級(jí)、防垃圾郵件等措施保證用戶安全使用計(jì)算機(jī)。

3.3 應(yīng)用系統(tǒng)安全措施建立原則

應(yīng)用系統(tǒng)安全采取的措施應(yīng)集中在防止系統(tǒng)被攻擊、業(yè)務(wù)數(shù)據(jù)外泄等的防范上,信息安全防御的重點(diǎn)需從“以網(wǎng)絡(luò)層防護(hù)為主”轉(zhuǎn)向“以應(yīng)用層防護(hù)為主”、從“以防外為主”轉(zhuǎn)向“防內(nèi)防外并舉”。建設(shè)企業(yè)VPN網(wǎng)絡(luò),利用互聯(lián)網(wǎng)資源搭建一個(gè)經(jīng)過加密的虛擬專用通道供有授權(quán)的用戶使用,任何其它的用戶均會(huì)被拒絕,無法訪問應(yīng)用系統(tǒng),保護(hù)網(wǎng)絡(luò)資源的安全。另外對(duì)于內(nèi)網(wǎng)不同部門、職能用戶,合理使用 ACL訪問控制列表和VLAN虛擬局域網(wǎng)的設(shè)置,通過ACL限制的設(shè)置控制計(jì)算機(jī)對(duì)網(wǎng)絡(luò)訪問范圍,禁止未經(jīng)授權(quán)的用戶、計(jì)算機(jī)進(jìn)入關(guān)鍵業(yè)務(wù)應(yīng)用系統(tǒng)、資源區(qū)。

4 合理實(shí)施企業(yè)信息安全管理和措施

信息系統(tǒng)安全問題的解決依賴技術(shù)和管理兩方面,一方面在技術(shù)上使用先進(jìn)的信息安全防范技術(shù),另一方面在管理上制定完善的企業(yè)信息安全規(guī)章制度,實(shí)例中企業(yè)根據(jù)信息化管理、應(yīng)用的水平情況,實(shí)施了如下信息安全措施。

4.1 不斷完善信息安全組織管理建設(shè)

(1)在信息安全管理組織建設(shè)上,初步建成了企業(yè)信息安全的組織管理保障體系。1確立“企業(yè)信息化工作領(lǐng)導(dǎo)小組”為信息安全管理的決策機(jī)構(gòu);④將信息中心定位為信息安全管理執(zhí)行機(jī)構(gòu),負(fù)責(zé)企業(yè)總部網(wǎng)絡(luò)與信息系統(tǒng)相關(guān)的日常安全管理,以及對(duì)下屬公司信息安全的輔助指導(dǎo)工作;㈣對(duì)于信息安全堅(jiān)持“誰主管、誰負(fù)責(zé),誰經(jīng)營(yíng)、誰負(fù)責(zé),誰建設(shè)、誰負(fù)責(zé),誰使用、誰負(fù)責(zé)”的原則,下屬公司負(fù)責(zé)本單位的網(wǎng)絡(luò)與信息系統(tǒng)安全管理。

(2)制定并發(fā)布了企業(yè)信息安全管理規(guī)范,將頒布的《網(wǎng)絡(luò)安全管理責(zé)任制度》、《計(jì)算機(jī)及網(wǎng)絡(luò)保密管理規(guī)定》和《信息系統(tǒng)管理員賬號(hào)、密碼及操作權(quán)限的管理規(guī)定》等制度、規(guī)定作為了企業(yè)信息安全工作的指導(dǎo)準(zhǔn)則,所有開展的信息安全工作都是以此為準(zhǔn)繩。

(3)對(duì)于系統(tǒng)安全日常管理工作,依照安全需求制定一系列信息安全管理的基本策略,并通過設(shè)立專職信息安全網(wǎng)管員、明確工作職責(zé),定期進(jìn)行信息安全的檢查,對(duì)在實(shí)際應(yīng)用過程中出現(xiàn)的各種信息安全事件和安全狀況進(jìn)行嚴(yán)格記錄,同時(shí)利用網(wǎng)絡(luò)管理工具對(duì)各種重要網(wǎng)絡(luò)行為、各種涉及系統(tǒng)重要配置的更改進(jìn)行審核并予以記錄。

(4)重視開展信息安全應(yīng)急處理工作,對(duì)于主要的網(wǎng)絡(luò)系統(tǒng)、關(guān)鍵的業(yè)務(wù)應(yīng)用系統(tǒng)初步建立了信息安全事件應(yīng)急處置預(yù)案。一方面從應(yīng)急管理組織工作方面,逐步制定和完善了企業(yè)網(wǎng)絡(luò)與信息安全應(yīng)急處置工作的規(guī)劃、計(jì)劃和政策的建設(shè)。另一方面不斷完善網(wǎng)絡(luò)與信息安全突發(fā)事件監(jiān)測(cè)、預(yù)測(cè)、預(yù)警工作,加強(qiáng)了對(duì)可能出現(xiàn)網(wǎng)絡(luò)與信息安全事件的有關(guān)信息的收集、分析判斷和持續(xù)監(jiān)測(cè)。

4.2 抓好基礎(chǔ)安全系統(tǒng)防護(hù)措施建設(shè)

信息安全技術(shù)作為信息安全體系的基礎(chǔ),在信息安全管理中起到基石的作用。每個(gè)企業(yè)都有自己的特點(diǎn),所以在信息安全技術(shù)上不應(yīng)采取“一刀切”的實(shí)施方法。實(shí)例中企業(yè)根據(jù)實(shí)際情況,在基礎(chǔ)系統(tǒng)的安全措施中采用了以下信息安全防范技術(shù)。

安全、穩(wěn)定、可靠的機(jī)房環(huán)境是信息系統(tǒng)穩(wěn)定運(yùn)行的基本保障,做好機(jī)房環(huán)境安全的主要有四方面工作:一是機(jī)房進(jìn)出控制,二是供電環(huán)境安全,三是設(shè)備防雷保護(hù),四是穩(wěn)定的溫度、濕度條件。對(duì)于機(jī)房進(jìn)出的訪問實(shí)施了登記控制,來訪人員需信息中心授權(quán)并由網(wǎng)絡(luò)管理人院陪同,同時(shí)限制和監(jiān)控其活動(dòng)范圍;把主要設(shè)備放置在機(jī)房等范圍內(nèi),對(duì)機(jī)房、線纜等重要區(qū)域做防護(hù)措施,將通信線纜鋪設(shè)在管道中;對(duì)信息中心使用的介質(zhì)(諸如:存有信息的光盤、移動(dòng)硬盤、紙質(zhì)文檔等)分類標(biāo)識(shí),并集中存儲(chǔ)在檔案室中。

基礎(chǔ)安全防護(hù)系統(tǒng)是企業(yè)信息系統(tǒng)安全解決方案的關(guān)鍵[4],是企業(yè)信息安全保證體系的重要組成部分。實(shí)例中采取的主要防范措施有:防火墻系統(tǒng)、上網(wǎng)行為管理系統(tǒng)、安全防漏洞補(bǔ)丁系統(tǒng)、防病毒系統(tǒng)以及VPN系統(tǒng)等。1通過防火墻系統(tǒng)設(shè)置的安全策略,達(dá)到了“利用源地址過濾,拒絕外部非法 IP地址的越權(quán)訪問,將系統(tǒng)受攻擊的可能性降至最低;利用地址NAT轉(zhuǎn)換,使外網(wǎng)用戶不能看到內(nèi)網(wǎng)的結(jié)構(gòu)”等安全效果。④引入上網(wǎng)行為管理系統(tǒng)實(shí)現(xiàn)了“優(yōu)化上網(wǎng)環(huán)境、提升用戶用網(wǎng)體驗(yàn);管控網(wǎng)絡(luò)應(yīng)用,保障核心業(yè)務(wù)的訪問速度;防范信息泄露,保障組織信息安全;過濾不良信息,規(guī)避帶來各種糾紛問題;防止網(wǎng)絡(luò)攻擊,提升上網(wǎng)安全度”等安全管控目標(biāo)。㈣網(wǎng)絡(luò)中服務(wù)器、計(jì)算機(jī)客戶端的操作系統(tǒng)、辦公軟件等,存在大量的安全漏洞,系統(tǒng)補(bǔ)丁管理(SUS)就成為了企業(yè) IT安全管理的一方面。在網(wǎng)絡(luò)內(nèi)部構(gòu)建微軟系統(tǒng)的軟件補(bǔ)丁管理服務(wù)系統(tǒng)(WS US),部署的WS US系統(tǒng)實(shí)現(xiàn)了計(jì)算機(jī)統(tǒng)一管理,提升網(wǎng)絡(luò)的整體安全性;根據(jù)不同的應(yīng)用單位、組織機(jī)構(gòu)、使用環(huán)境等情況,執(zhí)行了不同的補(bǔ)丁自動(dòng)升級(jí)管理策略,使客戶端根據(jù)安裝軟件的需要去升級(jí)補(bǔ)丁;相比于單臺(tái)計(jì)算機(jī)從互聯(lián)網(wǎng)升級(jí)的方式,局域網(wǎng)客戶端直接從企業(yè)內(nèi)架設(shè)的WS US服務(wù)器獲得更新,也節(jié)省了大量的互聯(lián)網(wǎng)帶寬資源。?企業(yè)網(wǎng)絡(luò)中部署了網(wǎng)絡(luò)版的防病毒系統(tǒng),將網(wǎng)絡(luò)中的所有計(jì)算機(jī)集中監(jiān)控,納入統(tǒng)一的病毒防護(hù)策略管理,并保持防病毒數(shù)據(jù)庫持續(xù)有效升級(jí),要求接入網(wǎng)絡(luò)的計(jì)算機(jī)必須是安裝了統(tǒng)一部署的防病毒客戶端。?VPN(虛擬專網(wǎng))是一種利用公共網(wǎng)絡(luò)為企業(yè)建立虛擬的專用網(wǎng)絡(luò)、安全傳遞數(shù)據(jù)的技術(shù);企業(yè)的分支機(jī)構(gòu)與總部采用利用互聯(lián)網(wǎng)建立虛擬專用通道,既達(dá)到了擴(kuò)展公司信息管理系統(tǒng)的應(yīng)用范圍的目的。?對(duì)于企業(yè)郵件、網(wǎng)站等應(yīng)用系統(tǒng)通過采取 I T外包的方式規(guī)避或弱化其信息安全風(fēng)險(xiǎn);專業(yè)服務(wù)商具有其服務(wù)的專業(yè)技術(shù)特長(zhǎng),能緊跟專業(yè)技術(shù)發(fā)展,不斷更新和升級(jí)技術(shù)服務(wù),讓企業(yè)享用信息技術(shù)的最新成果;通過租用空間構(gòu)建企業(yè)網(wǎng)站或租賃企業(yè)郵件系統(tǒng),同時(shí)享用了服務(wù)商提供的專業(yè)化的殺毒和反垃圾系統(tǒng),使企業(yè)獲得綠色郵件通訊的服務(wù),而具有專業(yè)的設(shè)備和專業(yè)的技術(shù)隊(duì)伍,可以使通信過程中的企業(yè)資料和商務(wù)信息得到最大程度的保護(hù)。

4.3 不斷增強(qiáng)應(yīng)用系統(tǒng)安全措施的實(shí)施

應(yīng)用系統(tǒng)的安全主要圍繞服務(wù)器不宕機(jī)、網(wǎng)絡(luò)不癱瘓、數(shù)據(jù)完整等目的展開。實(shí)例中采取的主要防范措施有:1在網(wǎng)絡(luò)層傳輸層,設(shè)置了網(wǎng)絡(luò)權(quán)限控制、網(wǎng)絡(luò)服務(wù)器的目錄級(jí)安全控制策略;網(wǎng)絡(luò)層應(yīng)用層,使用了網(wǎng)絡(luò)ACL和VLAN的應(yīng)用策略,根據(jù)不同部門職能制定的角色,通過ACL做到計(jì)算機(jī)對(duì)網(wǎng)絡(luò)系統(tǒng)訪問控制設(shè)置。④系統(tǒng)應(yīng)用層的密碼管理,主要業(yè)務(wù)應(yīng)用系統(tǒng)采取“用戶名+密碼”授權(quán)管理;對(duì)于特殊用戶訪問控制,對(duì)擁有系統(tǒng)關(guān)鍵業(yè)務(wù)模塊、核心數(shù)據(jù)資源訪問權(quán)限的用戶采取MAC地址、密碼管理和身份鎖相結(jié)合的登錄認(rèn)證方式;資源訪問控制措施則采取基于用戶角色和功能權(quán)限相結(jié)合的數(shù)據(jù)訪問權(quán)限控制模式,通過用戶所屬單位、用戶角色、資源訪問密級(jí)、資源使用方式(瀏覽/下載)的多級(jí)矩陣式數(shù)據(jù)訪問權(quán)限控制。㈣數(shù)據(jù)安全與數(shù)據(jù)恢復(fù)策略,采用備份軟件對(duì)關(guān)鍵業(yè)務(wù)數(shù)據(jù)實(shí)施備份;災(zāi)難恢復(fù)和業(yè)務(wù)連續(xù)性管理,采用軟件對(duì)關(guān)鍵業(yè)務(wù)系統(tǒng)實(shí)施災(zāi)難恢復(fù)措施;數(shù)據(jù)的離線備份安全,初步建立異地災(zāi)難備份措施;檔案安全,對(duì)于檔案文檔保存的安全性、流通和保管的權(quán)限實(shí)施了可控性管理。

5 結(jié)束語

信息化發(fā)展的不同階段和不同的信息系統(tǒng),有著不同的安全需求,必須從實(shí)際出發(fā),綜合平衡安全成本和風(fēng)險(xiǎn),優(yōu)化信息安全資源的配置,確保重點(diǎn)。信息安全工作是一項(xiàng)系統(tǒng)工程,信息安全工作必須常抓不懈。

[1]《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》(GB 17859-1999)

[2]《信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南》

[3]《信息技術(shù)安全管理指南》(GBT 19715.2-2005)

[4]《信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》

Information Safety Protection System Establishment of Survey and Engineering Enterprise Based on Information System Safety Protection Tiers

Zhang Ruixiang,XieWei,X iongWei,LiYonggang

(China ElectronicsEngineering Design Institute,Beijing100840,China)

Based on the national standards and codes like“Classified Criteria for Security Protection of Computer Info rmation System”,a im ing to reduce the enterprise information safety risk to an acceptable level and through the analysis on enterprise info rm ation safety demand,this article introduces the basic principle of establishing an enterprise info rmation safety protection system aswell as the approach to the selection and implementation of relating information safety controlmeasures.

Info rmation Safety Control Syste m;Classified Criteria forSecurity Protection ofComputer Infor mation System

F273.4

A

1674-7461(2011)02-0086-05

“十一五”國(guó)家科技支撐計(jì)劃資助課題(2007BAF23B03)

張瑞祥(1963-),男,高級(jí)工程師,信息中心主任。主要研究方向:工程設(shè)計(jì)企業(yè)信息化技術(shù)與方案實(shí)施。