構(gòu)筑企業(yè)信息系統(tǒng)的安全防線——企業(yè)信息系統(tǒng)安全建設(shè)規(guī)劃探析

【摘要】隨著企業(yè)信息化建設(shè)的迅猛發(fā)展，企業(yè)信息系統(tǒng)已成為現(xiàn)代企業(yè)運(yùn)營的基礎(chǔ)平臺(tái)，企業(yè)信息系統(tǒng)的安全平穩(wěn)運(yùn)行，已關(guān)系到整個(gè)企業(yè)的運(yùn)營和發(fā)展。未雨綢繆，如何應(yīng)信息安全事件的發(fā)生，建設(shè)企業(yè)信息系統(tǒng)的安全防護(hù)體系，保障企業(yè)數(shù)據(jù)的安全性和信息系統(tǒng)的業(yè)務(wù)連續(xù)性，已成為企業(yè)信息化建設(shè)中需要重點(diǎn)思考的課題。本文針對(duì)企業(yè)信息系統(tǒng)的安全建設(shè)規(guī)劃，從企業(yè)信息系統(tǒng)安全防護(hù)價(jià)值、企業(yè)信息系統(tǒng)安全建設(shè)現(xiàn)狀分析、企業(yè)信息安全建設(shè)規(guī)劃的原則和企業(yè)信息安全建設(shè)規(guī)劃的部署建議等幾個(gè)方面，進(jìn)行了探討和分析，旨在幫助企業(yè)提高信息系統(tǒng)安全建設(shè)的系統(tǒng)性和規(guī)范性。

【關(guān)鍵詞】信息系統(tǒng)；安全建設(shè)；防護(hù)體系

1.企業(yè)信息系統(tǒng)安全防護(hù)的價(jià)值

隨著企業(yè)信息化水平的提高，企業(yè)對(duì)于IT系統(tǒng)的依賴性也越來越高。一方面，“業(yè)務(wù)系統(tǒng)流程化”正在成為IT安全建設(shè)的驅(qū)動(dòng)力。企業(yè)的新業(yè)務(wù)應(yīng)用正在逐漸標(biāo)準(zhǔn)化和流程化，各種應(yīng)用系統(tǒng)如ERP、MES為企業(yè)的生產(chǎn)效率的提高起到了關(guān)鍵的作用。有效的管控IT環(huán)境，確保IT業(yè)務(wù)系統(tǒng)的持續(xù)穩(wěn)定運(yùn)行作為企業(yè)競(jìng)爭(zhēng)力的一部分，已成為IT系統(tǒng)安全防護(hù)的主要目標(biāo)和關(guān)鍵驅(qū)動(dòng)力。另一方面，企業(yè)IT安全的建設(shè)也是“法規(guī)遵從”的需要。IT系統(tǒng)作為企業(yè)財(cái)務(wù)應(yīng)用系統(tǒng)的重要支撐，必須提供可靠的運(yùn)行保障和數(shù)據(jù)正確性保證。

2.企業(yè)信息系統(tǒng)安全建設(shè)的現(xiàn)狀分析

在企業(yè)信息化建設(shè)的過程中，業(yè)務(wù)系統(tǒng)的建設(shè)一直是關(guān)注的重點(diǎn)，但是IT業(yè)務(wù)系統(tǒng)的安全保障方面，往往成為整個(gè)信息化最薄弱的環(huán)節(jié)，尤其是在信息化水平還較低的情況下，IT系統(tǒng)的安全建設(shè)缺乏統(tǒng)一的策略作為指導(dǎo)。歸結(jié)起來，企業(yè)在IT系統(tǒng)安全建設(shè)的過程中，存在以下幾方面的不足：

2.1 安全危機(jī)意識(shí)不足，制度和規(guī)范不健全

盡管知道IT安全事故后果比較嚴(yán)重，但是企業(yè)的高層領(lǐng)導(dǎo)心中仍然存在著僥幸心理，更多的時(shí)候把IT安全建設(shè)的預(yù)算挪用到其他的領(lǐng)域。企業(yè)在信息安全制度及信息安全緊急事件響應(yīng)流程等方面缺乏完整的制度和規(guī)范保證，由此帶來的后果是諸如對(duì)網(wǎng)絡(luò)的任意使用，導(dǎo)致公司的機(jī)密文檔被擴(kuò)散。同時(shí)在發(fā)生網(wǎng)絡(luò)安全問題的時(shí)候，也因?yàn)槿狈︻A(yù)先設(shè)置的各種應(yīng)急防護(hù)措施，導(dǎo)致安全風(fēng)險(xiǎn)得不到有效控制。

2.2 應(yīng)用系統(tǒng)和安全建設(shè)相分離，忽視數(shù)據(jù)安全存儲(chǔ)建設(shè)

在企業(yè)IT應(yīng)用系統(tǒng)的建設(shè)時(shí)期，由于所屬的建設(shè)職能部門的不同，或者是因?yàn)橥顿Y預(yù)算的限制，導(dǎo)致在應(yīng)用系統(tǒng)建設(shè)階段并沒有充分考慮到安全防護(hù)的需要，為后續(xù)的應(yīng)用系統(tǒng)受到攻擊癱瘓埋下了隱患。數(shù)據(jù)安全的威脅表現(xiàn)在核心數(shù)據(jù)的丟失；各種自然災(zāi)難、IT系統(tǒng)故障，也對(duì)數(shù)據(jù)安全帶來了巨大沖擊。遺憾的是很多企業(yè)在數(shù)據(jù)的安全存儲(chǔ)方面，并沒有意識(shí)到同城異地災(zāi)難備份或遠(yuǎn)程災(zāi)難備份的重要性。

2.3 缺乏整體的安全防護(hù)體系，“簡(jiǎn)單疊加、七國八制”

對(duì)于信息安全系統(tǒng)的建設(shè)，“頭痛醫(yī)頭、腳痛醫(yī)腳”的現(xiàn)象比較普遍。大多數(shù)企業(yè)仍然停留在出現(xiàn)一個(gè)安全事故后再去解決一個(gè)安全隱患的階段，缺乏對(duì)信息安全的全盤考慮和統(tǒng)一規(guī)劃，這樣的后果就是網(wǎng)絡(luò)上的設(shè)備五花八門，設(shè)備方案之間各自為戰(zhàn)，缺乏相互關(guān)聯(lián)，從而導(dǎo)致了多種問題。

3.企業(yè)信息系統(tǒng)安全建設(shè)規(guī)劃的原則

企業(yè)的信息化安全建設(shè)的目標(biāo)是要保證業(yè)務(wù)系統(tǒng)的正常運(yùn)轉(zhuǎn)從而為企業(yè)帶來價(jià)值，在設(shè)計(jì)高水平的安全防護(hù)體系時(shí)應(yīng)該遵循以下幾個(gè)原則：

（1）統(tǒng)一規(guī)劃設(shè)計(jì)。信息安全建設(shè)，需要遵循“統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一設(shè)計(jì)、統(tǒng)一建設(shè)”的原則；應(yīng)用系統(tǒng)的建設(shè)要和信息安全的防護(hù)要求統(tǒng)一考慮。

（2）架構(gòu)先進(jìn)，突出防護(hù)重點(diǎn)。要采用先進(jìn)的架構(gòu)，選擇成熟的主流產(chǎn)品和符合技術(shù)發(fā)展趨勢(shì)的產(chǎn)品；明確信息安全建設(shè)的重點(diǎn)，重點(diǎn)保護(hù)基礎(chǔ)網(wǎng)絡(luò)安全及關(guān)鍵應(yīng)用系統(tǒng)的安全，對(duì)不同的安全威脅進(jìn)行有針對(duì)性的方案建設(shè)。

（3）技術(shù)和管理并重，注重系統(tǒng)間的協(xié)同防護(hù)?！叭旨夹g(shù)，七分管理”，合理劃分技術(shù)和管理的界面，從組織與流程、制度與人員、場(chǎng)地與環(huán)境、網(wǎng)絡(luò)與系統(tǒng)、數(shù)據(jù)與應(yīng)用等多方面著手，在系統(tǒng)設(shè)計(jì)、建設(shè)和運(yùn)維的多環(huán)節(jié)進(jìn)行綜合協(xié)同防范。

（4）統(tǒng)一安全管理，考慮合規(guī)性要求。建設(shè)集中的安全管理平臺(tái)，統(tǒng)一處理各種安全事件，實(shí)現(xiàn)安全預(yù)警和及時(shí)響應(yīng)；基于安全管理平臺(tái)，輸出各種合規(guī)性要求的報(bào)告，為企業(yè)的信息安全策略制定提供參考。

（5）高可靠、可擴(kuò)展的建設(shè)原則。這是任何網(wǎng)絡(luò)安全建設(shè)的必備要求，是業(yè)務(wù)連續(xù)性的需要，是滿足企業(yè)發(fā)展擴(kuò)容的需要。

4.企業(yè)信息系統(tǒng)安全建設(shè)的部署建議

以ISO27001等企業(yè)信息安全法規(guī)[1]遵從的原則為基礎(chǔ)，通過分析企業(yè)信息安全面臨的風(fēng)險(xiǎn)和前期的部署實(shí)踐，建立企業(yè)信息安全建設(shè)模型，如圖1所示。

圖1 企業(yè)信息系統(tǒng)安全建設(shè)模型

基于上述企業(yè)信息安全建設(shè)模型，在建設(shè)終端安全、網(wǎng)絡(luò)安全、應(yīng)用安全、數(shù)據(jù)安全、統(tǒng)一安全管理和滿足法規(guī)遵從的全面安全防護(hù)體系時(shí)，需要重點(diǎn)關(guān)注以下幾個(gè)方面的部署建議：

4.1 實(shí)施終端安全，關(guān)注完整的用戶行為關(guān)聯(lián)分析

在企業(yè)關(guān)注的安全事件中，信息泄漏是屬于危害比較嚴(yán)重的行為?，F(xiàn)階段由于企業(yè)對(duì)網(wǎng)絡(luò)的管控不嚴(yán)，員工可以通過很多方式實(shí)現(xiàn)信息外泄，常見的方式有通過桌面終端的存儲(chǔ)介質(zhì)進(jìn)行拷貝或是通過QQ/MSN等聊天工具將文件進(jìn)行上傳等。針對(duì)這些高危的行為，企業(yè)在建設(shè)信息安全防護(hù)體系的時(shí)候，單純的進(jìn)行桌面安全控制或者internet上網(wǎng)行為控制都不能完全杜絕這種行為。而在統(tǒng)一規(guī)劃實(shí)施的安全防護(hù)體系中，系統(tǒng)從用戶接入的那一時(shí)刻開始，就對(duì)用戶的桌面行為進(jìn)行監(jiān)控，同時(shí)配合internet上網(wǎng)行為審計(jì)設(shè)備，對(duì)該員工的上網(wǎng)行為進(jìn)行監(jiān)控和審計(jì)，真正做到從員工接入網(wǎng)絡(luò)開始的各種操作行為及上網(wǎng)行為都在嚴(yán)密的監(jiān)控之中，提升企業(yè)的防護(hù)水平。

4.2 建設(shè)綜合的VPN接入平臺(tái)

無論是IPSec、L2TP，還是SSL VPN，都是企業(yè)在VPN建設(shè)過程中必然會(huì)遇到的需求。當(dāng)前階段，總部與分支節(jié)點(diǎn)的接入方式有廣域網(wǎng)專線接入和通過internet接入兩種。使用VPN進(jìn)行加密數(shù)據(jù)傳輸是通用的選擇。對(duì)于部分移動(dòng)用戶接入，也可以考慮部署SSL VPN的接入方式[2]，在這種情況下，如何做好將多種VPN類型客戶的認(rèn)證方式統(tǒng)一是需要重點(diǎn)考慮的問題。而統(tǒng)一接入認(rèn)證的方式，如采用USBKEY等，甚至在設(shè)備采購時(shí)就可以預(yù)先要求設(shè)備商使用一臺(tái)設(shè)備同時(shí)支持這些需求。這將給管理員的日常維護(hù)帶來極大的方便，從而提升企業(yè)整體的VPN接入水平。

4.3 優(yōu)化安全域的隔離和控制，實(shí)現(xiàn)L2～L7層的安全防護(hù)

在建設(shè)安全邊界防護(hù)控制過程中，面對(duì)企業(yè)的多個(gè)業(yè)務(wù)部門和分支機(jī)構(gòu)，合理的安全域劃分將是關(guān)鍵。按照安全域的劃分原則，企業(yè)網(wǎng)絡(luò)包括內(nèi)部園區(qū)網(wǎng)絡(luò)、Internet邊界、DMZ、數(shù)據(jù)中心、廣域網(wǎng)分支、網(wǎng)管中心等組成部分，各安全域之間的相互隔離和訪問策略是防止安全風(fēng)險(xiǎn)的重要環(huán)節(jié)。在多樣化安全域劃分的基礎(chǔ)上，深入分析各安全域內(nèi)的業(yè)務(wù)單元，根據(jù)企業(yè)持續(xù)性運(yùn)行的高低優(yōu)先級(jí)以及面臨風(fēng)險(xiǎn)的嚴(yán)重程度，設(shè)定合適的域內(nèi)安全防護(hù)策略及安全域之間的訪問控制策略，實(shí)現(xiàn)有針對(duì)性的安全防護(hù)。例如，選擇FW+IPS等設(shè)備進(jìn)行深層次的安全防護(hù)，或者提供防垃圾郵件、Web訪問控制等解決方案進(jìn)行應(yīng)對(duì)，真正實(shí)現(xiàn)L2～L7層的安全防護(hù)。

4.4 強(qiáng)調(diào)網(wǎng)絡(luò)和安全方案之間的耦合聯(lián)動(dòng)，實(shí)現(xiàn)網(wǎng)絡(luò)安全由被動(dòng)防御到主動(dòng)防御的轉(zhuǎn)變

統(tǒng)一規(guī)劃的技術(shù)方案，可以做到方案之間的有效關(guān)聯(lián)，實(shí)現(xiàn)設(shè)備之間的安全聯(lián)動(dòng)。在實(shí)際部署過程中，在接入用戶側(cè)部署端點(diǎn)準(zhǔn)入解決方案，實(shí)現(xiàn)客戶端點(diǎn)安全接入網(wǎng)絡(luò)。同時(shí)啟動(dòng)安全聯(lián)動(dòng)的特性，一旦安全設(shè)備檢測(cè)到內(nèi)部網(wǎng)用戶正在對(duì)網(wǎng)絡(luò)的服務(wù)器進(jìn)行攻擊，可以實(shí)現(xiàn)對(duì)攻擊者接入位置的有效定位，并采取類似關(guān)閉接入交換機(jī)端口的動(dòng)作響應(yīng)，真正實(shí)現(xiàn)從被動(dòng)防御向主動(dòng)防御的轉(zhuǎn)變。

4.5 實(shí)現(xiàn)統(tǒng)一的安全管理，體現(xiàn)對(duì)整個(gè)網(wǎng)安全事件的“可視、可控和可管”

統(tǒng)一建設(shè)的安全防護(hù)系統(tǒng)，還有一個(gè)最為重要的優(yōu)勢(shì)，就是能實(shí)現(xiàn)對(duì)全網(wǎng)安全設(shè)備及安全事件的統(tǒng)一管理。面對(duì)各種安全設(shè)備發(fā)出來的大量的安全日志，單純靠管理員的人工操作是無能為力的，而不同廠商之間的安全日志可能還存在較大的差異，難以實(shí)現(xiàn)對(duì)全網(wǎng)安全事件的統(tǒng)一分析和報(bào)警管理。因此在規(guī)劃之初，就需要考慮到各種安全設(shè)備之間的日志格式的統(tǒng)一化，需要考慮設(shè)定相關(guān)安全策略以實(shí)現(xiàn)對(duì)日志的歸并分析并最終輸出各種合規(guī)性的報(bào)表，只有這樣才能做到對(duì)全網(wǎng)安全事件的統(tǒng)一可視、安全設(shè)備的統(tǒng)一批量配置下發(fā)，以及整網(wǎng)安全設(shè)備的防控策略的統(tǒng)一管理，最終實(shí)現(xiàn)安全運(yùn)行中心管控平臺(tái)的建設(shè)。[3]

4.6 關(guān)注數(shù)據(jù)存儲(chǔ)安全，強(qiáng)調(diào)本地?cái)?shù)據(jù)保護(hù)和遠(yuǎn)程災(zāi)難備份相結(jié)合

在整體數(shù)據(jù)安全防護(hù)策略中，可以采用本地?cái)?shù)據(jù)保護(hù)和遠(yuǎn)程災(zāi)備相結(jié)合的方式。基于CDP的數(shù)據(jù)連續(xù)保護(hù)技術(shù)可以很好地解決數(shù)據(jù)本地安全防護(hù)的問題，與磁帶庫相比，它具有很多的技術(shù)優(yōu)勢(shì)。在數(shù)據(jù)庫代理的配合下，通過連續(xù)數(shù)據(jù)快照功能實(shí)現(xiàn)了對(duì)重要數(shù)據(jù)的連續(xù)數(shù)據(jù)保護(hù)，用戶可以選擇在出現(xiàn)災(zāi)難后恢復(fù)到前面保存過的任何時(shí)間點(diǎn)的狀態(tài)，同時(shí)支持對(duì)“漸變式災(zāi)難”的保護(hù)和恢復(fù)。在建設(shè)異地的災(zāi)備中心時(shí)，可以考慮從數(shù)據(jù)級(jí)災(zāi)備和應(yīng)用級(jí)災(zāi)備兩個(gè)層面進(jìn)行。生產(chǎn)中心和異地災(zāi)備中心的網(wǎng)絡(luò)連接方式可以靈活選擇，即可采用光纖直連，也可采用足夠帶寬的IP網(wǎng)絡(luò)連接。在數(shù)據(jù)同步方式選擇上，生產(chǎn)中心和災(zāi)備中心采用基于磁盤陣列的異步復(fù)制技術(shù)，實(shí)現(xiàn)數(shù)據(jù)的異地災(zāi)備。異地災(zāi)備中心還可以有選擇地部署部分關(guān)鍵應(yīng)用服務(wù)器，以提供對(duì)關(guān)鍵業(yè)務(wù)的應(yīng)用級(jí)接管能力，從而實(shí)現(xiàn)對(duì)數(shù)據(jù)安全的有效防護(hù)。

5.結(jié)束語

企業(yè)信息安全防護(hù)體系的建設(shè)是一個(gè)長期的持續(xù)的工作，不是一蹴而就的，就像現(xiàn)階段的信息安全威脅也在不斷的發(fā)展和更新，針對(duì)這些信息安全威脅的防護(hù)手段也需要逐步的更新并應(yīng)用到企業(yè)的信息安全建設(shè)之中，這種動(dòng)態(tài)的過程將使得企業(yè)的信息安全防護(hù)更有生命力和主動(dòng)性，真正為企業(yè)的業(yè)務(wù)永續(xù)運(yùn)行提供保障。

參考文獻(xiàn)

[1]李納.計(jì)算機(jī)系統(tǒng)安全與計(jì)算機(jī)網(wǎng)絡(luò)安全淺析[J].科技與企業(yè)，2013.

[2]李群，周相廣，陳剛.中國石油上游信息系統(tǒng)災(zāi)難備份技術(shù)與實(shí)踐[J].信息技術(shù)與信息化，2010，06.

[3]劉仁山，孟祥宏.基于層次分析法的信息系統(tǒng)安全評(píng)價(jià)研究[J].河北工業(yè)科技，2013，01.

作者簡(jiǎn)介：顧宇（1977—），男，吉林吉林人，高級(jí)工程師，吉化信息網(wǎng)絡(luò)公司軟信分公司副經(jīng)理，主要從事企業(yè)信息系統(tǒng)的建設(shè)和運(yùn)行維護(hù)工作。