企業(yè)信息網絡安全體系的設計與研究

馬麟 范鐵鋼

（上海精密計量測試研究所 上海 201111）

引言

隨著國家網信工作的不斷推進和國內互聯網產業(yè)的高速發(fā)展，網絡空間安全形勢快速變化，國際網絡競爭博弈加劇、攻防對抗更為激烈，近年來頻繁發(fā)生的大規(guī)模數據泄漏，背后的折射的網絡竊密引發(fā)各國高度關注，各大公司也開始逐步打造自己的網絡信息平臺，構建更強的加密手段和保護措施，提升數據的保密性與可靠性。因此，避免企業(yè)信息網絡安全風險、強化安全防護管理措施 ，對企業(yè)穩(wěn)步發(fā)展具有非常重大的意義。

1 企業(yè)網絡安全風險分析

近年來，新一代信息技術逐步提高，網絡安全形勢快速變化，網絡攻擊事件頻繁發(fā)生，面對愈演愈烈的網絡攻擊行為，企業(yè)在穩(wěn)固和增強網絡和信息安全的基礎上，仍需對可能存在的風險進行預防與分析，主要包括以下幾個方面：

1.1 遠程接入風險

企業(yè)網絡未建立用戶身份準入控制系統，未將用戶姓名、MAC地址、IP地址與準入系統綁定，使得非企業(yè)用戶也可以訪問企業(yè)內部網絡，造成企業(yè)重要的數據信息被泄露。

1.2 邊界防護風險

企業(yè)按照傳統邊界安全模式打造了僅以入侵檢測技術與防火墻為主的防御機制，面對層出不窮的計算機新技術與愈演愈烈的網絡安全事件無法進行有效的檢測與報警；缺乏事前的風險預知和事后的持續(xù)檢測能力；多種產品拼湊起來的安全防御體系缺乏有效的聯動態(tài)勢分析能力和高效封鎖機制；后期網絡進行升級和擴容時，很容易形成性能瓶頸，使得企業(yè)的業(yè)務流程面臨被中斷的風險，

1.3 安全管理風險

安全管理是網絡與信息安全得到保證的重要組成部分，包括安全管理制度建設不足需要進一步完善；未建立業(yè)務審批流程導致責權不明；信息化人員分工不明，操作混亂；企業(yè)信息化人員安全意識不足、安全教育培訓不到位；安全管理制度需要進一步完善，安全控制措施有待進一步提高。

1.4 應用系統風險

應用系統風險主要包括系統安全配置風險、系統漏洞風險、病毒和惡意代碼風險等方面。系統漏洞與安全配置風險方面，系統補丁和漏洞監(jiān)測修復手段更新不及時、不完善，安全配置未能形成統一化、標準化安全部署，降低了企業(yè)防御機制的響應力與檢測力；病毒和惡意代碼風險方面，安全產品病毒庫未及時更新會導致企業(yè)監(jiān)測病毒能力降低，各種網絡病毒、垃圾郵件、低俗廣告和捆綁軟件對企業(yè)網絡的應用和服務也會產生一定的影響。

2 企業(yè)信息安全體系基本框架

2019年3月8日，工業(yè)和信息化部與國家標準化管理委員會聯合發(fā)布《工業(yè)互聯網綜合標準化體系建設指南》，該指南第三章明確提出工業(yè)互聯網標準體系框架，框架對安全標準進行了系統的描述。

2019年5月13日，國家標準化委員會正式發(fā)布了網絡安全等級保護2.0國家標準（以下簡稱等保2.0標準），該標準是用戶開展網絡安全等級信息系統建設、整改、安全等級測評等工作的核心指導標準，對這些標準的正確理解和使用，是新形勢下開展網絡安全工作的重要基礎。

本文依據《工業(yè)互聯網綜合標準體系建設指南》及等保2.0標準的安全框架的要求，按照多維考慮、橫向分類、縱向分層的總體思想，構建了如圖1所示的企業(yè)信息安全體系框架。

2.1 安全物理環(huán)境

針對企業(yè)的物理機房提出的安全要求。主要對象為物理環(huán)境、物理設備和物理設施，涉及的安全控制點包括物理位置的選定、物理訪問控制、防盜竊、防破壞、防雷擊、防火、防水和防潮、防靜電、濕溫度控制、電力供應和電磁防護。

2.2 安全通信網絡

針對通信網絡提出安全要求，主對象為廣域網、城域網和局域網等，涉及的安全控制點保羅網絡架構、通信傳輸和可信驗證。

2.3 安全區(qū)域邊界防護

針對邊界內部提出的安全要求。主要對象為邊界內部的所有對象，包括網絡設備、安全設備、服務器設備、終端設備、應用系統、數據對象和其他設備等；涉及的安全控制點包括身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范、可信驗證、數據完整性、數據保密性、數據備份與恢復、生于信息保護和個人信息保護。

2.4 網絡和應用安全

應用上的安全風險主要包含數據庫安全風險、網絡病毒入侵風險、未經授權的訪問、關鍵信息數據丟失等。隨著各部門業(yè)務的增長，企業(yè)應用系統將面臨多次改造與升級，面對不斷上漲的業(yè)務需求與安全風險，信息化部門需定時對各應用系統進行漏洞掃描，每月對安全產品的病毒庫進行更新并生成審計報告。

2.5 設備和控制安全

應當對信息設備，存儲設備進行標識管理。標識形式可以是標簽或者其他可區(qū)別設備屬性信息的圖形、顏色等，標識應當表明信息設備和涉密存儲設備中存儲的涉密屬性、用途、分類、責任人等信息。機房應當確定為重要要害部位，實行專人管理；設置機房出入登記表；設置電子監(jiān)控對人員出入進行監(jiān)控；劃分安全控制區(qū)域，采取符合有關規(guī)定和等保2.0標準的安全控制措施。

2.6 安全管理制度

建立網絡安全管理制度，明確不同網絡安全事件的分類分級、不同類別和級別事件處置的流程等，制定應急預案等網絡安全事件管理文檔；應急預案中應明確，一旦信息系統中斷、受到損害或者發(fā)生故障時需要維護的關鍵業(yè)務功能，并明確遭受破壞時恢復關鍵業(yè)務和恢復全部業(yè)務的時間。在恢復關鍵業(yè)務和信息系統后，應對關鍵業(yè)務和信息系統恢復情況進行評估，查找事件原因，并采取措施防止關鍵業(yè)務和信息系統再次遭受破壞、危害或發(fā)生故障。

2.7 安全管理機構

應制定由網絡安全策略、管理制度、操作規(guī)程組成的體系文件，設置專門的信息化管理部門，建立并實施網絡安全考核及監(jiān)督問責機制，當物理環(huán)境、安全設施變化時，及時調整安全策略、管理制度、操作規(guī)程。對相關人員進行安全技能審查和培訓，加強安全審計、數據安全保護。

2.8 監(jiān)測預警制度

應建立監(jiān)測預警和信息通報制度，確定網絡安全預警分級標準，明確監(jiān)測策略、監(jiān)測內容和預警流程，對關鍵信息基礎設施的網絡安全風險進行檢測預警；建立通報預警及寫作處置機制；建立信息共享機制；加強不同等級系統、不同業(yè)務系統、不同區(qū)域之間信息流動的監(jiān)測；能持續(xù)獲取預警發(fā)布機構的安全預警信息，分析網絡安全保護對象可能被預警事件損害到哪種程度，必要時啟動應急預案。

2.9 安全建設管理

安全建設管理是指在安全建設過程中提出相關要求，其中包括定級與備案、安全方案的設計、安全產品的選定與使用、軟件開發(fā)、工程實施、測試與驗收、系統交付、等級測評和服務供應商管理等。

2.10 安全運維管理

信息化管理部門應當建立信息系統、信息設備和存儲設備臺帳，做到信息要素完整、賬物相符，對關鍵信息存儲設備、信息系統，安全產品實行全生命周期管理。

2.11 安全檢查與風險分析

企業(yè)每年至少進行一次安全風險自評估，配合相關部門，提供網絡安全策略、管理制度、操作規(guī)程、網絡拓撲圖、重要資產清單、網絡日志等重要資料和技術支持，最后形成安全風險自評估檢測報告，及時整改檢測報告中發(fā)現的安全問題。

3 結語

目前，針對安全檢測機制不足、安全防護體系尚不健全、安全標準尚不完善等問題，我國相關管理部門和技術人員都在積極開展安全管理制度和安全防護技術的研究，安全防護工作也在與時俱進，正朝著規(guī)范化、體系化的方向邁進，各企業(yè)運營單位也逐步在等級保護和分級保護基礎上，以保障關鍵業(yè)務為重點，實施重點保護。