企業(yè)信息安全體系結(jié)構(gòu)及相關領域研究

安立峰

摘 要：文章在對信息安全體系結(jié)構(gòu)進行分析的基礎上，對一種分層和面向服務的智能企業(yè)信息安全體系結(jié)構(gòu)進行了研究，有助于構(gòu)建一個模型來系統(tǒng)和智能地對企業(yè)信息安全活動進行管理，并與整體信息管理活動相結(jié)合。文章還著重對其中的相關領域（例如，信息安全中最關鍵的屬性以及信息安全管理等方面）進行了研究，并探討了采用ISO/IEC 27001標準的信息安全和風險控制服務。

關鍵詞：信息安全；體系結(jié)構(gòu)；信息安全管理；可用性；風險控制

中圖分類號：TG174.4 文獻標志碼：A 文章編號：2095-2945（2018）06-0186-05

Abstract： Based on the analysis of information security architecture， this paper introduces a layered and service-oriented intelligent enterprise information security architecture； helping to build a model to manage the enterprise information security activities systematically and intelligently， and incorporate with the overall information management activities. Meanwhile， this paper emphasizes the researches on the relevant areas （e.g. the most critical attribute in information security， information security management and so on）， and discusses information security and risk control services based on ISO/IEC 27001 standard.

Keywords： information security； architecture； information security management； availability； risk control

1 簡介

企業(yè)信息安全技術是當前行業(yè)內(nèi)最熱門的話題之一。然而傳統(tǒng)上我們對信息安全研究的側(cè)重點往往都放在不同的分支學科，諸如網(wǎng)絡安全、應用程序安全、柵格安全、web安全、防火墻、整體入侵檢測等，但在對綜合企業(yè)信息安全體系結(jié)構(gòu)、信息安全關鍵屬性以及信息安全管理等方面的研究相對較弱。

而隨著信息技術的普及，當前信息安全體系結(jié)構(gòu)已經(jīng)成為了信息體系結(jié)構(gòu)的一個重要的分支學科，信息安全體系結(jié)構(gòu)在當今的企業(yè)信息技術中起著越來越重要的作用。企業(yè)信息安全體系結(jié)構(gòu)是跨學科的信息安全技術與信息體系結(jié)構(gòu)，但在這方面的研究重心仍然只是局限于應用研究。少數(shù)信息安全公司已經(jīng)開始涉足對企業(yè)信息安全體系結(jié)構(gòu)的利用，但他們提出的解決方案只是強調(diào)在日志管理和/或事件管理的基礎上提供一種商用的綜合安全管理平臺，而不是考慮將信息全體系結(jié)構(gòu)與企業(yè)信息體系結(jié)構(gòu)相集成。

本文在分析了信息安全體系結(jié)構(gòu)的基礎上，對一種分層和面向服務的智能企業(yè)信息安全體系結(jié)構(gòu)進行了研究，有助于構(gòu)建一個模型來系統(tǒng)和智能地對企業(yè)信息安全活動進行管理，并與整體信息管理活動相結(jié)合。本文還著重對信息安全中最關鍵的屬性以及信息安全管理等方面進行了研究，并探討了采用最新的國際ISO/IEC 27001標準的信息安全和風險控制服務。強調(diào)了必須“技術”與“管理”并重才能保障企業(yè)的信息安全，這些將有助于提升企業(yè)信息安全管理和風險控制活動的效率。

2 相關研究

2.1 信息安全體系結(jié)構(gòu)

計算機網(wǎng)絡信息安全體系結(jié)構(gòu)是一個動態(tài)化的概念，是在計算機技術、互聯(lián)網(wǎng)技術、信息通信技術、密碼技術、軟件技術、安全協(xié)議等多學科領域的基礎上建立起來的，其結(jié)構(gòu)要確保系統(tǒng)中的硬件、軟件受到雙重保護，不被更改、泄露和破壞，能夠使整個網(wǎng)絡系統(tǒng)持續(xù)穩(wěn)定的運行，并且有必要實施控制戰(zhàn)略來保持信息的完整性、保密性和可用性。

所有的信息安全體系結(jié)構(gòu)都包括了以下組成部分：（1）組織和基礎設施安全；（2）策略、標準和程序安全；（3）基線和風險評價安全；（4）感知與訓練項目安全。

目前常用的幾個計算機網(wǎng)絡信息安全基礎技術包括SNMP協(xié)議、VLAN虛擬局域網(wǎng)、邊界防火墻、網(wǎng)絡用戶身份認證、路由訪問控制、入侵檢測等技術。

隨著計算機網(wǎng)絡的應用及推廣，出現(xiàn)了越來越多的計算機病毒、網(wǎng)絡黑客的惡意襲擊、網(wǎng)絡軟件存在漏洞等方面的技術缺陷問題，加上網(wǎng)絡本身具有的復雜性、開放性和共享性，同時網(wǎng)絡信息本身具有較低的安全性，致使網(wǎng)絡信息安全的風險比較大，這是構(gòu)建網(wǎng)絡安全體系有待解決的問題。

2.1.1 信息安全體系結(jié)構(gòu)的設計

構(gòu)建堅固的信息安全體系結(jié)構(gòu)是企業(yè)自動、系統(tǒng)和智能地管理信息安全活動的基礎。研究人員已經(jīng)設計出了一種智能企業(yè)信息安全體系結(jié)構(gòu)，其中，它在底層基于數(shù)據(jù)倉庫/數(shù)據(jù)集市，安全服務總線用作集線器。其設計的目的是要通過利用業(yè)務過程管理（BPM）、規(guī)則引擎和業(yè)務情報（BI）技術來為企業(yè)信息安全活動提供綜合的前瞻性管理和有效控制。它還使企業(yè)公司能夠?qū)⑵湫畔踩芾硖嵘了麄冃枰乃?。還在相同層中建入了一個PDCA（規(guī)劃-實施-檢查-處置）適配器來確保信息安全管理與風險控制活動能夠提高其自身優(yōu)化的能力。

（1）安全數(shù)據(jù)庫層。體系結(jié)構(gòu)的底層是整個體系結(jié)構(gòu)的基礎層。這是因為安全數(shù)據(jù)更易用于其他應用和服務。在該層的數(shù)據(jù)被分成兩個部分：操作數(shù)據(jù)和分析數(shù)據(jù)（決策支持）。操作數(shù)據(jù)不僅包括了戰(zhàn)略企業(yè)數(shù)據(jù)，諸如CMDB（配置管理數(shù)據(jù)庫）和EIF（企業(yè)信息文件），還包括了應用操作數(shù)據(jù)庫。這兩部分之間的差異是，應用數(shù)據(jù)庫僅由應用來使用。建立了戰(zhàn)略企業(yè)數(shù)據(jù)在各應用之間共享數(shù)據(jù)。分析數(shù)據(jù)包括了數(shù)據(jù)倉庫、數(shù)據(jù)集市和維立方體。在定義好的規(guī)則的基礎上，由操作環(huán)境近乎實時地或以批處理模式通過ETL（提取、轉(zhuǎn)換和加載）過程來提供分析數(shù)據(jù)。

（2）安全應用層。應用層包含了各種應用的混合，并且該層包括了所有信息安全系統(tǒng)，像防火墻、IPS（入侵防護系統(tǒng)）、反病毒系統(tǒng)以及受保護的設備，諸如網(wǎng)絡設備、服務器和桌面設備。它還包括了通過這些設備建立的不同操作系統(tǒng)。

（3）安全服務總線。在該層定義了SOA服務總線結(jié)構(gòu)和所需不同信息安全服務。在面向服務的信息安全體系結(jié)構(gòu)中，我們可以將當前和未來的安全需求作為安全服務來定義，但這些服務的實施是隱藏的，對新的安全服務來說易于重用當前的服務。由于“通過提出一種全新的解決方案來解決信息安全有關的所有問題”是不可行的，因此研究人員已經(jīng)嘗試對企業(yè)信息技術與安全技術進行集成。至于SOA體系結(jié)構(gòu)的嵌入的安全性，可以通過正確的訪問控制和授權(quán)來實現(xiàn)某種控制。因此可以用一種能保證所傳輸信息完整性的方式來完成各項服務之間信息的加密傳輸，確保在此交互活動中僅有發(fā)送方和接收方參與。

（4）集成與智能層。該層是體系結(jié)構(gòu)區(qū)域，其中數(shù)據(jù)、過程和應用被維系在一起用來解決業(yè)務問題，以適應快速變化的環(huán)境。設計了四個模型：BPM（用來完成不同安全過程之間的管理和配置）；業(yè)務情報模型（提供了各種服務，諸如報告、查詢、數(shù)據(jù)挖掘和多維分析）；規(guī)則引擎（屬于工作流的一部分，可以整合進BPM模型中）；PDCA適配器（采用人工智能（AI）的一種特殊工具，可以有助于企業(yè)在信息安全管理中實現(xiàn)持續(xù)進步與自我優(yōu)化目標）。

（5）信息安全門戶。信息安全門戶層提供了與安全人員、風險分析員以及管理團隊的交互。它包括了交互設備、交互機制、交互接口（諸如SMS（短報文服務）接口）、電郵連接器等。它還提供了一個門戶，提供了關鍵風險指示器和IT風險與控制的控制面板，必要時，它可以提供在線平衡記分卡用于管理審查。

概括地講，這種智能企業(yè)信息安全體系結(jié)構(gòu)具有集成、可重用性、面向服務、集成數(shù)據(jù)環(huán)境、業(yè)務情報、開放式體系結(jié)構(gòu)等特征。

2.2 信息可用性

信息可用性是信息安全的重要支柱之一，也是信息安全中最關鍵的屬性。信息可用性指的是經(jīng)過授權(quán)的用戶擁有享受網(wǎng)絡信息服務的權(quán)力。

在計算機科學、信息技術和應用中的可用性含義是各不相同的。在過去幾十年里，研究人員已經(jīng)在其功能性和性能方面（即，計算機網(wǎng)絡、信息處理系統(tǒng)、數(shù)據(jù)庫、文件系統(tǒng)和數(shù)據(jù)存儲等）做了大量研究，而最終確認了一個事實就是，可用性是提供信息安全的一個關鍵支柱，并且都認同了以下共同目標：（1）允許那些需要的人對授權(quán)信息或資源的訪問；（2） 授權(quán)用戶及時、可靠地訪問數(shù)據(jù)和信息服務；（3）不應阻止一個授權(quán)方對他/她可以合法訪問的對象進行訪問；（4）需要保證系統(tǒng)能夠立即工作并且不會對授權(quán)用戶拒絕服務。

但人們在探討信息系統(tǒng)安全的時候并未對信息可用性引起足夠的重視。當今的拒絕服務（DoS）攻擊通過對信息安全造成威脅來持續(xù)以更大和更具破壞性的DoS形式來構(gòu)成威脅。DoS攻擊的主要目標是要致使一個信息資源變得不可用，或用更簡明的術語來描述其主要的威脅目標就是“信息可用性”。由于DoS威脅的存在，需要對信息可用性進行研究與分析，以便更好地將“可用性”作為一個安全屬性來加以理解。

事實上，信息可用性在確定信息安全的其他屬性（保密性和完整性）的過程中起著重要的作用，因為這兩個屬性直接是由可用性來決定的。

由保密性、完整性和可用性組成的CIA三元組是信息安全的心臟。信息安全中的每個領域都是圍繞著這三個安全屬性來解決的，但保密性和完整性都取決于可用性。可用性構(gòu)成了其他兩個安全屬性的基礎，沒有它就無法應用安全屬性。

信息可用性所依賴的各種因素

圖5中告訴我們一個事實就是，從信息（和有關資源）的角度來看，一個組織中信息可用性相比所有其他資源來說有多么的重要。我們重點關注的是資源在4級和2級發(fā)生了什么，而對其他資源的關注點是“這些資源可以對4級和2級資源的可用性產(chǎn)生影響”（圖6）。這兩個級別在一個組織推動勞動力向前發(fā)展的過程中起到了骨干作用。

在保障信息安全時，安全利益相關者應根據(jù)三個安全屬性各自適用的領域來對這三個安全屬性（即，保密性、完整性和可用性）進行平等處理。可用性是三個屬性中最為關鍵的屬性，其他兩個屬性直接依賴于可用性。沒有信息系統(tǒng)/資源可用性的話，就好比我們?nèi)绻麤]有可用信息的話，就無法應用保密性和完整性方法。由于可用性依賴軟件、硬件和網(wǎng)絡，可以在所有這三種情況中完成有關系統(tǒng)可用性的系統(tǒng)級和獨立部件級測量。關鍵信息處理系統(tǒng)往往會嘗試實現(xiàn)持續(xù)可用性，這是非常難以維持的，基礎可用性是可實現(xiàn)可用性的最低級別的形式。

2.3 信息安全管理系統(tǒng)（ISMS）

信息安全管理尋求建立控制與措施來最大程度地降低丟失信息和系統(tǒng)資源、數(shù)據(jù)崩潰；破壞數(shù)據(jù)訪問以及未經(jīng)授權(quán)的信息泄露等風險。通過有效的策略、標準和步驟來實現(xiàn)安全管理，確保授權(quán)用戶的信息、應用、系統(tǒng)和網(wǎng)絡的保密性、完整性和可用性。

信息安全管理系統(tǒng)包括：（1）風險管理：基于保密性、完整性和可用性度量。（2）應用的總體質(zhì)量管理（TQM）：基于效率和有效性度量。（3）一個監(jiān)控與報告模型：基于抽象層。（4）一種架構(gòu)的方法：包含了人、過程和技術。（5）一種擴展的框架，通過該框架來對信息安全依從性進行管理。

信息安全被確定為保護信息和信息資源的過程，目的是要保持信息的保密性、完整性和可用性。

2.3.1 信息安全管理系統(tǒng)（ISMS）組成部分

ISMS包括了以下基本的組成部分（見圖7）：（1）管理原則；（2）資源；（3）人員；（4）信息安全過程。

2.3.2 信息安全管理系統(tǒng)領域

信息安全管理系統(tǒng)標準包含了11個安全領域、39個控制目標和133個控制。表2列出了這些領域和控制目標。

2.3.3 風險管理

風險管理被定義“在組織框架內(nèi)對脆弱性和威脅進行確認的過程以及生成某些對策來最大程度減少對信息資源產(chǎn)生影響的過程”。風險評估是風險管理過程的一部分，風險管理是一項復發(fā)性活動，對實施的測量和執(zhí)行的安全策略的分析、規(guī)劃、實施、控制與監(jiān)控進行處理。相反，風險評估是在離散時間點上執(zhí)行的（例如，按需一年一次等），并且在下一次評估實施之前提供已評估的風險的臨時視圖，同時用參數(shù)來表示整個風險管理過程。圖8介紹了風險管理與風險評估之間的關系。

風險管理包含了兩個過程：

（1）風險分析：確認對信息安全產(chǎn)生的影響因素的過程。

（2）風險評估包含了四種結(jié)果：a.確定威脅；b.根據(jù)風險級別對這些威脅進行優(yōu)先化；c.定義控制與防護措施；d.這些措施實施的開發(fā)計劃。

企業(yè)通過信息安全風險管理的實施，能夠確定長時間的安全風險管理計劃，并且可以有效緩解企業(yè)信息系統(tǒng)中的安全風險，提高工作人員對信息安全風險的認識。建議企業(yè)在實施風險管理的同時，及時建立信息安全風險預警系統(tǒng)，特別要加強網(wǎng)絡與信息系統(tǒng)安全管理，充分發(fā)揮技術支撐、機制保障等，有效預防和減少信息系統(tǒng)安全事故的發(fā)生。

2.3.4 ISO/IEC 27001

SO27001是一個信息安全管理系統(tǒng)（ISMS），它有助于各組織對資源的安全性進行管理。ISO27001是為信息安全管理系統(tǒng)（ISMS）提供需求的最著名的標準。

ISO/IEC 27001引入了“規(guī)劃-實施-檢查-處置”（PDCA）模型，旨在建立、實現(xiàn)、監(jiān)控并提高組織的ISMS的效率。PDCA分四個階段，如圖9所示。

實際上，信息安全管理體系建設最核心和最關鍵的部分，就是把建立（P規(guī)劃）、實施和運行（D實施）、監(jiān)視和評審（C檢查）以及保持和改進（A處置）四個重要環(huán)節(jié)形成PDCA的動態(tài)閉環(huán)的管理流程，這種管理方法就是PDCA循環(huán)。只有按照P-D-C-A的順序持續(xù)循環(huán)，體系才能高效運轉(zhuǎn)和不斷完善。

3 結(jié)束語

計算機網(wǎng)絡信息安全體系結(jié)構(gòu)的建設是一項復雜而系統(tǒng)的工程，不僅涉及較多的學科，而且知識的延伸較強。對比傳統(tǒng)的信息安全體系結(jié)構(gòu)設計，我們所介紹的體系結(jié)構(gòu)設計具備多個優(yōu)勢，包括開放、集成、可重用性、面向服務、集成數(shù)據(jù)平臺和業(yè)務情報等。這些都有益于企業(yè)通過建立有效的智能信息安全體系結(jié)構(gòu)；集成眾多安全應用；消除人工操作等來簡化安全管理并提供更為有效的風險控制。與此同時，我們注重對相關領域（信息安全中最重要的屬性以及信息安全管理系統(tǒng)等）的研究。我們相信這些將有助于企業(yè)信息安全管理和風險控制的實施。

參考文獻：

[1]Jan Killmeyer.Information Security Architecture-An Integrated Apporach to Security in the Organization（Second Edition）[M]. Auerbach Publications.

[2]Jianguang Sun， Yan Chen.Intelligent Enterprise Information Security Architecture based on Service Oriented Architecture[J].International Seminar on Future Information Technology and Management Engineering，2008.

[3]Georg Dister.ISO/IEC 2700， 27001 and 27002 for Information Security Management[J]. Journal of Information Security， 2013，4：92-100.

[4]Aizhan Pernebekovna Pernebekova， Beisenkulov Ayazbi ahbergenovich. Information Security and the Theory of Unfaithful Information[J].Journal of Information Security， 2015，6：265-272.

[5]Suhail Qadir， S.M.K. Quadri. Information Availability： An Insight into the Most Important Attribute of Information Security[J].Journal of Information Security，2016，7：185-194.

[6]宋艷梅.計算機網(wǎng)絡信息安全和應對策略研究[J].電腦知識與技術，2017，3.

[7]徐勇.計算機網(wǎng)絡的信息安全體系結(jié)構(gòu)探析[J].網(wǎng)絡安全技術與應用，2013，10.

[8]劉萬國，周秀霞，霍明月.基于ISO/IEC 27001：2013的高校圖書館信息安全管理體系構(gòu)建研究[J].現(xiàn)代情報，2017，4.

[9]李祺.計算機網(wǎng)絡的信息安全體系結(jié)構(gòu)研究[J].電腦知識與技術，2015，12.

[10]陳瑜.企業(yè)信息安全風險管理的框架研究[J].價值工程，2017.

[11]陳曉飛.企業(yè)信息安全管理體系建設[J].信息與電腦，2017，3.

[12]陳婧，趙國星，劉陽.計算機網(wǎng)絡的信息安全體系結(jié)構(gòu)[J].信息與電腦，2013，7.