信息安全保障體系建設(shè)實踐

白云

（上海國際能源交易中心 上海 浦東 200120）

引言

近年來，網(wǎng)絡(luò)攻擊的形式逐漸隱蔽和智能化，來自竊聽、信息泄露、計算機病毒、非法使用、授權(quán)侵犯等的威脅越來越多，防范和處理的難度越來越大。來自企業(yè)內(nèi)部的安全威脅亦不容忽視，在經(jīng)濟利益驅(qū)動下的數(shù)據(jù)竊取行為，由技術(shù)人員操作導(dǎo)致的失誤等成為新形勢下的企業(yè)內(nèi)部安全問題。隨著云計算、大數(shù)據(jù)、虛擬化、移動互聯(lián)網(wǎng)等新興技術(shù)給產(chǎn)業(yè)帶來無限機會的同時，也讓信息安全變得更加復(fù)雜。因此，針對信息安全的嚴峻形勢，企業(yè)大力探索信息安全保障體系，并結(jié)合業(yè)務(wù)特點，逐步將戰(zhàn)略方針和遠景規(guī)劃與信息安全建設(shè)相融合。

1 信息安全保障體系概述

信息安全保障體系包括信息安全管理制度（Process）、安全監(jiān)控機制（Operation）和安全技術(shù)框架（Technological），簡稱“POT”安全架構(gòu)。“POT”安全架構(gòu)以物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、數(shù)據(jù)的安全保障技術(shù)為基礎(chǔ)，以風險的全生命周期管理為主線，通過檢測、分析、響應(yīng)、審計和監(jiān)控五個環(huán)節(jié)來建立日常運維機制，通過完善信息安全方針策略、流程及標準來建立信息安全管理體系，最終達到保障業(yè)務(wù)連續(xù)性的目標。

2 信息安全保障體系建設(shè)實踐

2.1 現(xiàn)狀調(diào)研和需求分析

通過對信息安全相關(guān)策略、程序、記錄及報告的收集與檢查，獲得大量系統(tǒng)安全信息，同時對相關(guān)的信息安全文檔進行評審，以判斷其在安全管理方面的充分性與完備性。在采取安全保障措施之前，應(yīng)明確具體的安全需求，包括信息資產(chǎn)范圍，投入資源的力度以及預(yù)期達到的保護程度，并根據(jù)業(yè)務(wù)實際情況將安全需求分為四個來源，分別是法律法規(guī)、業(yè)務(wù)發(fā)展、風險評估以及客戶需求。

2.2 風險評估與差距分析

依據(jù)基線風險評估方法，將信息系統(tǒng)安全等級保護標準、ISO27001、ISO20000、CMMI等信息系統(tǒng)管理標準以及行業(yè)信息安全管理最佳實踐相結(jié)合來制定安全基線，全面開展與安全基線的差距分析工作，從物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全等方面進行安全技術(shù)差距分析，從安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)運維建設(shè)管理等方面進行安全管理差距分析。

2.3 監(jiān)控與防范信息安全事件

構(gòu)建一套以IT資產(chǎn)為基礎(chǔ)，以業(yè)務(wù)信息系統(tǒng)為核心，以用戶體驗為指引，從監(jiān)控、審計、風險、運維四個維度進行度量的智能預(yù)警系統(tǒng)。為了打造更加完善的預(yù)警體系，將每日人工點檢和安全預(yù)警系統(tǒng)相結(jié)合，通過人工檢查的方式及時發(fā)現(xiàn)預(yù)警系統(tǒng)監(jiān)控范圍之外的問題。針對基礎(chǔ)環(huán)境安全采取日檢、周檢、月度健康檢查、季度定修等方式進行全方位監(jiān)測，以消除安全隱患。對于重要的業(yè)務(wù)信息系統(tǒng)，每套系統(tǒng)都配備有不同的災(zāi)難應(yīng)急響應(yīng)預(yù)案，并定期組織預(yù)案演練，針對在演練中發(fā)現(xiàn)的問題進行原因定位，修改完善預(yù)案。

2.4 系統(tǒng)安全加固

在機房安全加固方面，一是排查隱患，對設(shè)備、機柜、器材逐個排查，特別是消防、防鼠、防水、空調(diào)等方面重點檢查到位。二是建立不間斷供電系統(tǒng)，利用UPS保證斷電時仍然能夠長時間正常供電。三是加強機房人員管理，除制度約束外，門禁和視頻監(jiān)控等物理安全策略均可有效提高機房安全水平。

在網(wǎng)絡(luò)環(huán)境安全加固方面，各安全域之間采用防火墻進行安全隔離，確保安全域之間的數(shù)據(jù)傳輸符合相應(yīng)的訪問控制策略。在各安全域內(nèi)部，根據(jù)業(yè)務(wù)類型規(guī)劃和實施下一級安全子域，確保本區(qū)域內(nèi)的網(wǎng)絡(luò)安全。為了加強網(wǎng)絡(luò)邊界防護能力，在網(wǎng)絡(luò)出口增加入侵防護、惡意代碼檢測過濾、web安全防護等措施，并通過帶寬管理對不同業(yè)務(wù)系統(tǒng)分配相應(yīng)帶寬資源，從而為業(yè)務(wù)系統(tǒng)的穩(wěn)定運行提供強有力支撐。

在保障主機系統(tǒng)安全可采取多方面措施，包括：限制用戶口令的長度和復(fù)雜度，限制用戶對系統(tǒng)資源的使用，部署安全防護系統(tǒng)，定期漏洞掃描，增設(shè)堡壘機對特權(quán)用戶集中授權(quán)和操作審計，建立安全運營中心對日志集中存儲、分析、展現(xiàn)和審計等，通過一系列的主機系統(tǒng)技術(shù)規(guī)范，將業(yè)務(wù)平臺的總體安全提到更高水平。

在數(shù)據(jù)安全加固方面，設(shè)計高可靠性的數(shù)據(jù)備份方案，在主機房和備機房之間分別構(gòu)建備份域，數(shù)據(jù)從主機房自動同步導(dǎo)入備機房備份域，實現(xiàn)了主備機房之間數(shù)據(jù)的無縫遷移，保證在主機房不可用時，備機房數(shù)據(jù)仍然可以保障業(yè)務(wù)正常運行。

在業(yè)務(wù)安全加固方面，企業(yè)應(yīng)高度重視災(zāi)難備份體系建設(shè)，一是提升業(yè)務(wù)系統(tǒng)的災(zāi)備效率，進一步縮短災(zāi)備恢復(fù)時間和災(zāi)備數(shù)據(jù)損失；二是技術(shù)架構(gòu)從傳統(tǒng)的主備切換模式向雙活模式轉(zhuǎn)變；三是推動信息系統(tǒng)災(zāi)備建設(shè)與業(yè)務(wù)連續(xù)性管理策略的緊密結(jié)合，要求技術(shù)與管理、科技與業(yè)務(wù)、戰(zhàn)略與戰(zhàn)術(shù)相融合，真正從頂層和整體的角度來保障業(yè)務(wù)連續(xù)性。

3 總結(jié)

通過定期開展內(nèi)外部風險評估，加強風險事件預(yù)警，貫徹全員信息安全理念、制定管理辦法等手段，對基礎(chǔ)環(huán)境進行全面加固，對安全管理的規(guī)范、制度、預(yù)案以及整個信息治理體系進行改進，有效地預(yù)防和控制信息科技風險，全面提升系統(tǒng)安全水平。未來，不論是從商業(yè)需求角度，還是產(chǎn)業(yè)技術(shù)角度，信息安全都將是持續(xù)研究的課題。