三同步

曾弘瑞

安全工作年年做，安全問題年年有

一份來自某客戶企業(yè)內網(wǎng)的安全加固統(tǒng)計數(shù)據(jù)反映：發(fā)現(xiàn)問題5447個，修補漏洞3323個，總體加固率為61%。這還是在亞運會大背景下各部門共同推動，各系統(tǒng)維護方、服務廠家積極配合的結果。這種客戶網(wǎng)絡不但存在大量安全風險問題，而且存在的問題和已處置解決的問題之間存在較大差距的現(xiàn)狀，不禁讓人擔憂。

為什么安全工作年年做，問題年年有，還總有些問題年年存在卻總也解決不了，應該如何去推動安全工作真正落實下去，而不是把問題和風險懸在那里？

據(jù)此，華為在客戶處開展調研和咨詢工作，并歸納四大典型安全風險：即IT系統(tǒng)自身安全性不強；安全加固無法根除所有隱患；安全工作開展存在明顯短板；安全支撐手段不夠，安全要求難以落地。

如何去解決這些疑難雜癥，華為提出安全三同步的工作思路，希望從機制上用系統(tǒng)的方法推動網(wǎng)絡與信息安全問題的解決，統(tǒng)籌規(guī)劃從前端到運維末端各階段各部門安全工作。

遵循同步規(guī)劃、同步建設、同步運行的指導思想

關鍵業(yè)務相關系統(tǒng)的穩(wěn)定和安全運行是安全工作的核心，應當著重從系統(tǒng)全生命周期、全流程角度來同步考慮安全工作，使安全建設需要符合業(yè)務發(fā)展需要。

安全三同步以“同步規(guī)劃、同步建設、同步運行”為指導思想，本著“誰主管、誰負責”工作原則落實執(zhí)行，在系統(tǒng)生命周期各階段明確責任部門及安全職責，在全過程中推行安全同步開展，強化安全工作前移，降低運維階段的服務壓力。在過程中建立和推行一套工作機制，包括從規(guī)劃到驗收階段統(tǒng)一的管理制度、技術規(guī)范、運作、實施細則和工作流程，并在過程中梳理支撐手段。統(tǒng)籌規(guī)劃從前端到運維末端各階段各部門安全工作的一體化開展，最終推動系統(tǒng)生命周期安全目標的落實。

三大架構共鑄安全三同步工作模型

筆者通過工作架構、組織架構、體系架構三方面來具體介紹安全三同步工作模型。

所謂安全三同步是指圍繞系統(tǒng)的規(guī)劃、建設和運行三過程同步開展和落實各階段安全要求。這個過程又可細化為5個可操作階段，分別是規(guī)劃設計、立項采購、開發(fā)實施、上線驗收以及運行維護。對應到三同步中，即安全規(guī)劃是對規(guī)劃設計階段的安全管理，安全建設是對立項采購、開發(fā)實施、上線驗收的安全管理，安全運行是對運行維護的安全管理。安全貫徹整個系統(tǒng)生命周期，保證了系統(tǒng)由最初的需求到最終的安全運維整個過程的安全。通過做好各階段的安全管理工作，促進系統(tǒng)自身安全性和防護能力提升，推動安全工作中的短板。

安全三同步組織結構則按角色定義，由安全統(tǒng)籌部門以及規(guī)劃、采購、建設、維護這四個階段主管部門組成，使得安全工作有一個歸口部門進行統(tǒng)一管理，從而使管理工作系統(tǒng)化、統(tǒng)一化。真正做到誰主管誰負責。

安全三同步文件體系架構分為4層，這與目前主流的安全體系諸如ISO27001、ISO20000等體系結構一致。一級文件是管理辦法，指導性文件；二級文件是管理細則文檔，明確提出各階段安全工作要點以及各階段安全主管部門的職責；三級文件是操作指引文檔，詳細的描述完成安全管理工作的步驟以及關鍵環(huán)節(jié)工作要點、工作輸入輸出等，規(guī)范并指導工作開展；四級文件為安全三同步工作各相關記錄文件以及各類配置規(guī)范和標準。

工作流轉過程：標準統(tǒng)一、環(huán)環(huán)相扣、責任明確

圖3是安全三同步的工作流轉過程示意圖，從總體上說明了系統(tǒng)各個階段的安全工作。在規(guī)劃設計時識別安全需求，明確安全目標；在立項采購確保安全要求以具備法律效應的書面形式被明確；在開發(fā)實施時落實前期已明確的安全要求；在上線驗收時確保系統(tǒng)滿足系統(tǒng)安全驗收評判要求，而在運維階段確保業(yè)務連續(xù)性，杜絕信息安全事件，做到安全可控、安全運維。

系統(tǒng)安全工作整個過程是在一個統(tǒng)一標準下進行的，各個環(huán)節(jié)環(huán)環(huán)相扣緊密結合，以《系統(tǒng)入網(wǎng)安全設計標準》為參照，進行安全需求分析，確立最終的安全設計要求。在立項采購時，會以安全設計要求為依據(jù)，進行招標采購工作。在系統(tǒng)開發(fā)階段會以安全設計要求作為依據(jù)，開展系統(tǒng)的開發(fā)實施。系統(tǒng)實施完成后，依照系統(tǒng)入網(wǎng)驗收安全標準對系統(tǒng)進行入網(wǎng)驗收，而入網(wǎng)驗收安全標準的制定又與系統(tǒng)入網(wǎng)安全設計標準是相互關聯(lián)的。

在各階段的工作落實上，我們定義了各階段的必要環(huán)節(jié)以及規(guī)范相應環(huán)節(jié)的輸入輸出要求和責任部門。以規(guī)劃階段為例，規(guī)劃設計的安全要求是識別安全需求，明確安全目標。為此我們定義了安全規(guī)劃的必要環(huán)節(jié)即安全需求收集、安全規(guī)劃設計、規(guī)劃評審，規(guī)劃部門作為明確的責任部門在設計時要求遵循安全設計規(guī)范要求并最終在技術規(guī)范書輸出中包含安全功能定義，如圖4所示。

工作展望：攜手客戶，推進安全工作落地化

運用安全三同步的理念，把安全管理的工作做落地化推進是開展安全咨詢的新嘗試。在新的工作模式下需要管理、技術、人員、流程各方面支撐，安全工作會涉及原有流程的調整，各部門適應新的流程也需要一個過程，工作的開展會遇到以往沒有碰到的問題。因此，工作開展會經(jīng)歷體系的建立、體系的試點再到體系推廣和例行化開展這樣階段化漸進的過程。總之，用創(chuàng)新的方法，實踐的態(tài)度，最終一定能建立和完善一套可落地的安全工作機制，提升安全能力和管理水平。

（作者單位：華為技術有限公司）