系統(tǒng)工程理論在企業(yè)數(shù)據(jù)安全管理中的應(yīng)用研究

◎中國運(yùn)載火箭技術(shù)研究院 徐立新 張碩

北京航天測(cè)控技術(shù)有限公司 朱皓然

系統(tǒng)工程理論在企業(yè)數(shù)據(jù)安全管理中的應(yīng)用研究

◎中國運(yùn)載火箭技術(shù)研究院 徐立新 張碩

北京航天測(cè)控技術(shù)有限公司 朱皓然

系統(tǒng)工程是組織管理復(fù)雜系統(tǒng)規(guī)劃、研究、設(shè)計(jì)、制造、試驗(yàn)和使用的科學(xué)方法，是一種對(duì)所有系統(tǒng)都具有普遍意義的科學(xué)方法。系統(tǒng)工程方法是以系統(tǒng)整體功能最佳為目標(biāo)，應(yīng)用現(xiàn)代數(shù)學(xué)和電子計(jì)算機(jī)等工具對(duì)系統(tǒng)的構(gòu)成要素、組織結(jié)構(gòu)、信息交換和自動(dòng)控制等功能進(jìn)行分析研究，通過對(duì)系統(tǒng)要素的優(yōu)化組合達(dá)到最優(yōu)設(shè)計(jì)、最優(yōu)控制和最優(yōu)管理的目標(biāo)。

隨著信息領(lǐng)域的飛速發(fā)展，云計(jì)算、大數(shù)據(jù)、互聯(lián)網(wǎng)+、智能制造等新技術(shù)加速推進(jìn)，現(xiàn)代社會(huì)已經(jīng)進(jìn)入以數(shù)據(jù)和信息為核心的時(shí)代，如美國國防部系統(tǒng)體系架構(gòu)DoD AF2.0（2015年）從以產(chǎn)品為中心轉(zhuǎn)向以數(shù)據(jù)為中心，德國工業(yè)4.0強(qiáng)調(diào)信息空間與物理空間融合(CPS)，“中國制造2025”強(qiáng)調(diào)全生命周期數(shù)據(jù)管理等。實(shí)際上，全業(yè)務(wù)、全過程的數(shù)據(jù)采集和集中管理是實(shí)現(xiàn)智慧企業(yè)的前提，數(shù)據(jù)已經(jīng)成為企業(yè)的核心資產(chǎn)，數(shù)據(jù)安全是信息系統(tǒng)管理的核心要素，沒有安全保障的信息系統(tǒng)是沒有生命力的。企業(yè)信息系統(tǒng)是處理數(shù)據(jù)的復(fù)雜系統(tǒng)，涉及到數(shù)據(jù)的生產(chǎn)、傳遞、轉(zhuǎn)換、存儲(chǔ)、共享、計(jì)算、分析、融合、可視化展示等。其中，數(shù)據(jù)共享與數(shù)據(jù)安全是一個(gè)矛盾體，如何既能實(shí)現(xiàn)系統(tǒng)運(yùn)行效率提升，又能確保業(yè)務(wù)數(shù)據(jù)安全是進(jìn)行信息系統(tǒng)總體設(shè)計(jì)時(shí)需要考慮的核心問題。

一、信息系統(tǒng)管理體系及存在的問題

企業(yè)信息系統(tǒng)是由計(jì)算機(jī)硬件、網(wǎng)絡(luò)和通訊設(shè)備、計(jì)算機(jī)軟件、信息資源、信息用戶和規(guī)章制度組成，以處理信息流為目的的人機(jī)一體化系統(tǒng)，是由人、計(jì)算機(jī)及其它外圍設(shè)備等組成的能進(jìn)行信息收集、傳遞、存貯、加工、維護(hù)和使用的復(fù)雜系統(tǒng)。

目前，建立企業(yè)信息系統(tǒng)管理體系依據(jù)的主要標(biāo)準(zhǔn)規(guī)范包括IT服務(wù)管理規(guī)范（ITSM標(biāo)準(zhǔn)）、職業(yè)健康安全管理體系（GB/T 28001/2001）、環(huán)境管理體系（GB/ T 24001-2004）等。其中，職業(yè)健康安全管理體系主要關(guān)注系統(tǒng)中人的安全與健康，環(huán)境管理體系主要關(guān)注系統(tǒng)與環(huán)境的良好協(xié)同，IT服務(wù)管理規(guī)范主要關(guān)注信息系統(tǒng)提供服務(wù)的規(guī)范性和質(zhì)量保證。

對(duì)信息安全要求高的企業(yè)應(yīng)該依據(jù)行業(yè)標(biāo)準(zhǔn)建立信息安全管理規(guī)范，大多數(shù)企業(yè)現(xiàn)有的信息化是以系統(tǒng)建設(shè)為主線，圍繞業(yè)務(wù)系統(tǒng)進(jìn)行安全加固，在多業(yè)務(wù)系統(tǒng)組成的復(fù)雜信息系統(tǒng)環(huán)境下，對(duì)單個(gè)系統(tǒng)的安全加固往往不能滿足多系統(tǒng)數(shù)據(jù)共享的要求?，F(xiàn)有信息系統(tǒng)管理體系主要存在以下幾個(gè)方面的問題：

一是缺乏數(shù)據(jù)視角。缺乏以數(shù)據(jù)為核心、以數(shù)據(jù)安全為主線的頂層思考和總體設(shè)計(jì)，數(shù)據(jù)安全建設(shè)滯后于信息系統(tǒng)建設(shè)，往往是在系統(tǒng)建成后再按照相關(guān)要求進(jìn)行安全加固。

二是缺乏整體視角。目前，信息系統(tǒng)在總體設(shè)計(jì)時(shí)往往沒有從整體安全的角度考慮影響數(shù)據(jù)安全的各要素間的組合效應(yīng)，在信息系統(tǒng)運(yùn)行維護(hù)中也沒有把多維度要求整合到以人為主體的數(shù)據(jù)操作規(guī)程中，如安全保密規(guī)范的許多要求并沒有納入ITSM的作業(yè)流程。

三是缺乏關(guān)聯(lián)視角。按照系統(tǒng)工程的思想，復(fù)雜系統(tǒng)中各個(gè)子系統(tǒng)在流程和數(shù)據(jù)層面是緊密關(guān)聯(lián)的，需要在不同的業(yè)務(wù)領(lǐng)域傳遞和共享數(shù)據(jù)，數(shù)據(jù)的訪問和操作權(quán)限需要一致傳遞。此外，人—機(jī)—環(huán)境之間相互影響，人的操作失誤會(huì)對(duì)數(shù)據(jù)安全造成很大危險(xiǎn)；計(jì)算機(jī)設(shè)備的故障可能造成關(guān)鍵數(shù)據(jù)丟失；環(huán)境可能影響人和機(jī)器的狀態(tài)，這些要素在企業(yè)信息系統(tǒng)建設(shè)中沒有得到足夠重視。

四是缺乏效能視角。信息系統(tǒng)數(shù)據(jù)安全保護(hù)不是唯一目標(biāo)，企業(yè)信息系統(tǒng)安全保護(hù)應(yīng)與業(yè)務(wù)效率提升協(xié)同并進(jìn)，單一目標(biāo)實(shí)現(xiàn)并不能達(dá)到企業(yè)利益的最大化。目前，不斷涌現(xiàn)的新技術(shù)，如云計(jì)算、大數(shù)據(jù)等都以開放、協(xié)同、共享為主題，數(shù)據(jù)安全的理念、思路和方法都要作適應(yīng)性變化，需要用系統(tǒng)工程的方法找到系統(tǒng)效能的最優(yōu)解。

二、信息系統(tǒng)運(yùn)行管理模型框架

1.企業(yè)/組織能力模型

按照系統(tǒng)工程理論，現(xiàn)代企業(yè)的組織能力模型由人員組織、工具方法、技術(shù)過程3個(gè)方面要素構(gòu)成，各要素間的科學(xué)合理組合決定了企業(yè)實(shí)現(xiàn)目標(biāo)的能力（見圖1）。

人員組織主要包括人員個(gè)體的素養(yǎng)、技能、資質(zhì)、態(tài)度以及人員職責(zé)、組織形態(tài)、協(xié)同方式、規(guī)章制度等。

工具方法主要包括系統(tǒng)運(yùn)行管理使用的軟硬件工具、工作環(huán)境、所需資源、操作規(guī)程、標(biāo)準(zhǔn)規(guī)范等。

技術(shù)過程主要包括信息系統(tǒng)管理的業(yè)務(wù)流程、過程控制、角色與權(quán)限控制、數(shù)據(jù)輸入輸出控制、系統(tǒng)運(yùn)行監(jiān)控等。

信息系統(tǒng)數(shù)據(jù)安全保障能力的提升不僅要關(guān)注人員，還要重視先進(jìn)技術(shù)的應(yīng)用和優(yōu)化業(yè)務(wù)流程，特別要關(guān)注3個(gè)要素的組合適配，確保在現(xiàn)有條件下實(shí)現(xiàn)系統(tǒng)數(shù)據(jù)保護(hù)能力的最大化和最優(yōu)化。

2.信息系統(tǒng)運(yùn)行管理體系模型框架

筆者采用系統(tǒng)工程的方法，結(jié)合企業(yè)組織能力模型框架，參照現(xiàn)有的系統(tǒng)模型構(gòu)造了企業(yè)信息系統(tǒng)運(yùn)行管理體系模型框架（見圖2）。

圖1 組織的3維度能力模型

能力層是信息系統(tǒng)運(yùn)行管理體系對(duì)外提供的核心服務(wù)能力，其核心是提供信息系統(tǒng)穩(wěn)定運(yùn)行能力、業(yè)務(wù)數(shù)據(jù)安全保障能力、數(shù)據(jù)全生命周期管理能力、信息系統(tǒng)故障的快速反應(yīng)能力、數(shù)據(jù)分析處理服務(wù)及可視化展現(xiàn)能力等。

業(yè)務(wù)層是提供上述能力的系統(tǒng)運(yùn)行管理業(yè)務(wù)的組合，主要包括系統(tǒng)運(yùn)行環(huán)境管理（機(jī)房），設(shè)備運(yùn)行狀態(tài)監(jiān)控，系統(tǒng)配置管理，業(yè)務(wù)系統(tǒng)訪問權(quán)限管理，內(nèi)部與外部人員管理，數(shù)據(jù)交換、存儲(chǔ)與備份管理，數(shù)據(jù)分析與展現(xiàn)管理等。

系統(tǒng)層為業(yè)務(wù)層提供IT管理工具支撐，主要包括2個(gè)平臺(tái)和2個(gè)中心。運(yùn)維管理平臺(tái)主要提供系統(tǒng)運(yùn)維的業(yè)務(wù)功能，包括機(jī)房管理、網(wǎng)絡(luò)管理、配置管理、數(shù)據(jù)備份管理等；安全管理平臺(tái)主要提供系統(tǒng)中安全相關(guān)軟硬件設(shè)備的集成管理，包括安全設(shè)備運(yùn)行狀態(tài)監(jiān)控、報(bào)警信息集成、安全事件關(guān)聯(lián)分析、日常綜合審計(jì)等；呼叫中心主要提供統(tǒng)一的服務(wù)接入平臺(tái)；安全審計(jì)中心主要提供系統(tǒng)變更、權(quán)限變更、事件報(bào)警、設(shè)備告警的日常審計(jì)功能，定期給出系統(tǒng)運(yùn)行安全審計(jì)報(bào)告。

數(shù)據(jù)層提供信息系統(tǒng)產(chǎn)生數(shù)據(jù)的全生命周期管理功能，包括業(yè)務(wù)數(shù)據(jù)庫管理、主數(shù)據(jù)庫維護(hù)、系統(tǒng)配置庫管理以及數(shù)據(jù)的存儲(chǔ)、備份和異地災(zāi)備等功能。

設(shè)施層為信息系統(tǒng)穩(wěn)定運(yùn)行提供場(chǎng)地環(huán)境支撐，包括機(jī)房、網(wǎng)絡(luò)、服務(wù)器、存儲(chǔ)系統(tǒng)、安防系統(tǒng)等。

此外，標(biāo)準(zhǔn)規(guī)范子體系是與信息系統(tǒng)運(yùn)行管理相關(guān)的數(shù)據(jù)格式標(biāo)準(zhǔn)、數(shù)據(jù)交換標(biāo)準(zhǔn)、輸入輸出規(guī)范、系統(tǒng)集成規(guī)范以及系統(tǒng)權(quán)限配置規(guī)范、操作規(guī)范、運(yùn)行管理制度等；安全保障子體系是確保信息系統(tǒng)安全運(yùn)行的相關(guān)物理安全、網(wǎng)絡(luò)安全、云運(yùn)行安全、安全保密制度等方面的規(guī)范、制度、流程、配置、措施的集合。

三、信息系統(tǒng)數(shù)據(jù)安全保障要素分析

信息系統(tǒng)運(yùn)行管理的核心是確保業(yè)務(wù)數(shù)據(jù)在輸入、傳輸、交換、存儲(chǔ)、利用、輸出等環(huán)節(jié)的一致性、完整性和安全性。增強(qiáng)信息系統(tǒng)管理中的數(shù)據(jù)安全保障能力，就需要以數(shù)據(jù)為核心，從信息系統(tǒng)運(yùn)行管理體系模型入手，綜合分析人—機(jī)—環(huán)境各要素對(duì)數(shù)據(jù)安全的影響，通過多方面采取針對(duì)措施，從整體上確保數(shù)據(jù)安全。

企業(yè)信息系統(tǒng)運(yùn)行維護(hù)過程是一個(gè)典型的人—機(jī)—環(huán)境互動(dòng)系統(tǒng)，如圖3所示。

人員因素。授權(quán)偏差，人員訪問和操作權(quán)限過大；誤操作，數(shù)據(jù)輸入出錯(cuò)、誤刪數(shù)據(jù)、違規(guī)輸出數(shù)據(jù)等；系統(tǒng)配置更改，可能導(dǎo)致數(shù)據(jù)備份機(jī)制失效；啟停系統(tǒng)，業(yè)務(wù)系統(tǒng)中斷和緩存數(shù)據(jù)丟失；日志滿，導(dǎo)致系統(tǒng)停止運(yùn)行或日志數(shù)據(jù)丟失等。

主要措施：辨識(shí)關(guān)鍵、重要崗位，從資質(zhì)、技術(shù)、心理、健康、素質(zhì)、修養(yǎng)等方面選擇合適人員上崗；辨識(shí)核心、重要系統(tǒng)，配備合適人員管理；辨識(shí)關(guān)鍵、重要作業(yè)，制定操作方案，并進(jìn)行現(xiàn)場(chǎng)操作審核；按照PDCA方法審核作業(yè)流程是否閉環(huán)，過程是否記錄完整；更改措施納入操作流程和體系文件中。

圖2 企業(yè)信息系統(tǒng)運(yùn)行管理體系模型框架

圖3 人—機(jī)—環(huán)境互動(dòng)系統(tǒng)模型

機(jī)器因素。設(shè)備老化宕機(jī)；設(shè)備非正常斷電；設(shè)備故障，如配件損壞、聯(lián)網(wǎng)中斷、磁盤報(bào)警等，這些都會(huì)導(dǎo)致設(shè)備存放數(shù)據(jù)的丟失。

主要措施：制定設(shè)備維修保養(yǎng)計(jì)劃，實(shí)施設(shè)備全生命周期管理，按時(shí)更換老舊設(shè)備；加強(qiáng)設(shè)備運(yùn)行狀態(tài)日常巡檢，及時(shí)處理報(bào)警信息；關(guān)鍵設(shè)備冗余配置，加強(qiáng)維護(hù)保養(yǎng)和日常巡檢；更改措施納入體系文件。

環(huán)境因素。靜電，導(dǎo)致服務(wù)進(jìn)程中斷或器件損壞；高頻電磁輻射，導(dǎo)致服務(wù)中斷、IP丟包等故障；配電故障，導(dǎo)致宕機(jī)；環(huán)境傳感器失效，溫度、濕度過高導(dǎo)致系統(tǒng)運(yùn)行故障、宕機(jī)；空調(diào)、暖氣漏水，導(dǎo)致設(shè)備損壞；火災(zāi)等。

主要措施：定期檢查機(jī)房環(huán)境設(shè)施有效性，如接地、空調(diào)、配電、消防、防水、防鼠等；作業(yè)中考慮環(huán)境要素，如靜電、電磁干擾等；制定機(jī)房環(huán)境監(jiān)控設(shè)備定期保養(yǎng)計(jì)劃，老舊設(shè)備按期報(bào)廢；制定應(yīng)急計(jì)劃等。

人—機(jī)因素。病毒感染，人員操作違規(guī)導(dǎo)致服務(wù)器感染病毒，系統(tǒng)出現(xiàn)運(yùn)行故障、數(shù)據(jù)丟失等；設(shè)備跌落，設(shè)備在搬運(yùn)和上架過程跌落會(huì)導(dǎo)致硬盤損壞，丟失數(shù)據(jù)；靜電，人身體產(chǎn)生的靜電導(dǎo)致設(shè)備運(yùn)行中斷；灑水，人員攜帶水、飯等進(jìn)入作業(yè)現(xiàn)場(chǎng)，造成設(shè)備進(jìn)水后損壞等。

主要措施：建立數(shù)據(jù)和軟件病毒檢查機(jī)制，及時(shí)更新防病毒庫，并納入操作流程；設(shè)備運(yùn)輸、上架等操作應(yīng)制定安全操作規(guī)程；在操作規(guī)程中納入防靜電規(guī)范；制定機(jī)房防水應(yīng)急預(yù)案，嚴(yán)禁帶入與工作無關(guān)物品等。

人—環(huán)因素。系統(tǒng)管理工作環(huán)境與機(jī)房沒有分離，會(huì)導(dǎo)致靜電、觸電、斷電、斷網(wǎng)等隱患；違規(guī)在機(jī)器工作環(huán)境作業(yè)；人員對(duì)環(huán)境控制系統(tǒng)誤操作等。

主要措施：系統(tǒng)運(yùn)行管理工作場(chǎng)所與服務(wù)器區(qū)分離；盡量減少直接在機(jī)房進(jìn)行人員操作；增強(qiáng)對(duì)環(huán)境控制要素的巡檢。

機(jī)—環(huán)因素。服務(wù)器熱通道設(shè)計(jì)不合理，夏季高溫時(shí)機(jī)房溫度持續(xù)升高；新風(fēng)系統(tǒng)設(shè)計(jì)不合理，部分區(qū)域新風(fēng)不暢；特殊環(huán)境下機(jī)器缺乏加固措施等。

主要措施：對(duì)服務(wù)器機(jī)柜熱通道進(jìn)行優(yōu)化設(shè)計(jì)，必要時(shí)增加送風(fēng)管道；空調(diào)、新風(fēng)系統(tǒng)與消防系統(tǒng)聯(lián)合設(shè)計(jì)等。

人—機(jī)—環(huán)因素。人員吸煙導(dǎo)致消防設(shè)備啟動(dòng)；人員誤操作導(dǎo)致設(shè)備斷電；機(jī)房門禁系統(tǒng)失效；安防視頻監(jiān)控位置不當(dāng)?shù)取?/p>

主要措施：嚴(yán)格制定并執(zhí)行機(jī)房操作規(guī)程；重要區(qū)域設(shè)置對(duì)內(nèi)手動(dòng)開門裝置；安防監(jiān)控視頻應(yīng)能反映人員進(jìn)出和操作位置等信息。

四、數(shù)據(jù)安全保障的關(guān)鍵措施

1.系統(tǒng)架構(gòu)設(shè)計(jì)合理

首先，在系統(tǒng)設(shè)計(jì)理念上要從以業(yè)務(wù)系統(tǒng)為核心轉(zhuǎn)變?yōu)橐詳?shù)據(jù)為核心。業(yè)務(wù)系統(tǒng)是數(shù)據(jù)生產(chǎn)系統(tǒng)，業(yè)務(wù)系統(tǒng)數(shù)據(jù)安全保護(hù)是分立的、局部的，無法實(shí)現(xiàn)整體的、全生命周期的數(shù)據(jù)安全。其次，在系統(tǒng)架構(gòu)設(shè)計(jì)上要解決數(shù)據(jù)分散管理的問題。由于網(wǎng)絡(luò)是扁平的、對(duì)等的，而網(wǎng)絡(luò)承載的數(shù)據(jù)是共享的，在多組織、分布式數(shù)據(jù)存儲(chǔ)管理機(jī)制下系統(tǒng)整體數(shù)據(jù)的安全取決于子系統(tǒng)中最薄弱的環(huán)節(jié)，分散的系統(tǒng)架構(gòu)不利于建立安全可控的信息訪問機(jī)制，數(shù)據(jù)集中管理有利于實(shí)現(xiàn)唯一數(shù)據(jù)源，建立統(tǒng)一訪問控制機(jī)制，有效控制數(shù)據(jù)出入，確保數(shù)據(jù)整體安全。第三，信息系統(tǒng)架構(gòu)應(yīng)該簡化。復(fù)雜系統(tǒng)并不一定意味著系統(tǒng)結(jié)構(gòu)的復(fù)雜，系統(tǒng)架構(gòu)越簡單越有利于實(shí)施整體數(shù)據(jù)安全防護(hù)，可以采用相對(duì)集中的數(shù)據(jù)中心提供統(tǒng)一的數(shù)據(jù)服務(wù)，多級(jí)數(shù)據(jù)中心在邏輯上形成一個(gè)整體，構(gòu)造統(tǒng)一的數(shù)據(jù)源訪問控制機(jī)制，有效控制數(shù)據(jù)出入關(guān)口，嚴(yán)格控制FTP、ODBC等直接訪問數(shù)據(jù)的應(yīng)用，確保數(shù)據(jù)整體安全。

2.建立人員與設(shè)備認(rèn)證機(jī)制

對(duì)信息系統(tǒng)接入的設(shè)備和人員采取嚴(yán)格的認(rèn)證機(jī)制，確保系統(tǒng)使用人員和接入的設(shè)備是合法合規(guī)的。目前，大多數(shù)信息系統(tǒng)對(duì)接入的人員采取了嚴(yán)格的認(rèn)證措施，但對(duì)接入的設(shè)備卻沒有強(qiáng)認(rèn)證機(jī)制，存在很大的安全隱患，應(yīng)該采取設(shè)備認(rèn)證和授權(quán)的技術(shù)措施，杜絕非法接入帶來的數(shù)據(jù)安全隱患。

3.完善監(jiān)督審計(jì)機(jī)制

信息系統(tǒng)管理員擁有很大的數(shù)據(jù)操作權(quán)限，因此應(yīng)該建立相互獨(dú)立、相互制約、相互監(jiān)督的安全管理機(jī)制，審計(jì)管理崗位應(yīng)該獨(dú)立于運(yùn)行維護(hù)管理部門，由第三方安全審計(jì)人員承擔(dān)，確保審計(jì)業(yè)務(wù)的公正性。此外，應(yīng)該建立過程實(shí)時(shí)審計(jì)制度，在信息系統(tǒng)運(yùn)行維護(hù)流程中納入安全審計(jì)角色，對(duì)大量系統(tǒng)配置操作實(shí)施過程審計(jì)，避免事后審計(jì)帶來的諸多問題。

信息系統(tǒng)數(shù)據(jù)安全保障能力是一個(gè)不斷適應(yīng)、發(fā)展和提升的過程，只有以系統(tǒng)工程的理念實(shí)施頂層規(guī)劃、架構(gòu)設(shè)計(jì)、組織保障、執(zhí)行落實(shí)，才能從整體上把控?cái)?shù)據(jù)全生命周期的安全管理，實(shí)現(xiàn)信息系統(tǒng)整體數(shù)據(jù)安全的目標(biāo)。