- 相關(guān)推薦
信息安全規劃設計
隨著(zhù)信息技術(shù)的不斷發(fā)展，全球業(yè)務(wù)鏈已經(jīng)越來(lái)越依賴(lài)信息技術(shù)。與信息技術(shù)相關(guān)的安全問(wèn)題成為威脅業(yè)務(wù)鏈的重要構成部分。傳統的信息安全保護在“木桶原理”的指導下，不斷修補短板，卻缺乏全面、系統的安全規劃設計。
理解CISP知識體系
CISP的核心在于將保障貫穿于整個(gè)知識體系。保障應覆蓋整個(gè)信息系統生命周期，通過(guò)技術(shù)、管理、工程過(guò)程和人員，確保每個(gè)階段的安全屬性（保密性、完整性和可用性）得到有效控制，使組織業(yè)務(wù)持續運行。IT作為保障業(yè)務(wù)的重要手段和工具成為傳統保障目的的核心。由于風(fēng)險會(huì )影響業(yè)務(wù)的正常運行，因此，降低風(fēng)險對業(yè)務(wù)的影響是保障的主要目標（如圖）。在建立保障論據的過(guò)程中，首先應該考慮的是組織業(yè)務(wù)對IT的依賴(lài)程度；其次要考慮風(fēng)險的客觀(guān)性；第三要考慮風(fēng)險消減手段的可執行度。CISP從體系結構上提供了信息安全規劃設計的良好思路和方法論，在整個(gè)課程體系中涵蓋了從政策（戰略層）到模型、標準、基線(xiàn)（戰術(shù)層）的縱向線(xiàn)條，同時(shí)在兼顧中國國情的情況下，系統介紹國際常用評估標準、管理標準和國家相關(guān)信息安全標準與政策。
根據CISP知識體系建立安全規劃設計
安全規劃是信息安全生命周期管理的起點(diǎn)和基礎，良好的規劃設計可以為組織帶來(lái)正確的指導和方向。根據國家《網(wǎng)絡(luò )安全法》“第三十三條建設關(guān)鍵信息基礎設施應當確保其具有支持業(yè)務(wù)穩定、持續運行的性能，并保證安全技術(shù)措施同步規劃、同步建設、同步使用�！�
1.通過(guò)保障的思想建立安全規劃背景
信息安全規劃設計可以根據美國信息保障技術(shù)框架（IATF）ISSE過(guò)程建立需求，本階段可對應ISSE中發(fā)掘信息保護需求階段。根據“信息安全保障基本內容”確定安全需求，安全需求源于業(yè)務(wù)需求，通過(guò)風(fēng)險評估，在符合現有政策法規的情況下，建立基于風(fēng)險與策略的基本方針。因此，安全規劃首先要熟悉并了解組織的業(yè)務(wù)特性，在信息安全規劃背景設計中，應描述規劃對象的業(yè)務(wù)特性、業(yè)務(wù)類(lèi)型、業(yè)務(wù)范圍以及業(yè)務(wù)狀態(tài)等相關(guān)信息，并根據組織結構選擇適用的安全標準，例如國家關(guān)鍵基礎設施的信息安全需要建立在信息安全等級保護基礎之上、第三方支付機構可選CISP知識域簡(jiǎn)圖擇PCI-DSS作為可依據的準則等。信息系統保護輪廓（ISPP）是根據組織機構使命和所處的運行環(huán)境，從組織機構的策略和風(fēng)險的實(shí)際情況出發(fā)，對具體信息系統安全保障需求和能力進(jìn)行具體描述。傳統的風(fēng)險評估可以基于GB/T20984《信息安全風(fēng)險評估規范》執行具體的評估，評估分為技術(shù)評估與管理評估兩部分。從可遵循的標準來(lái)看，技術(shù)評估通過(guò)GB/T22240—2008《信息安全等級保護技術(shù)要求》中物理安全、網(wǎng)絡(luò )安全、系統安全、應用安全及數據安全五個(gè)層面進(jìn)行評估；管理安全可以選擇ISO/IEC27001：2013《信息技術(shù)信息安全管理體系要求》進(jìn)行，該標準所包含的14個(gè)控制類(lèi)113個(gè)控制點(diǎn)充分體現組織所涉及的管理風(fēng)險。在工作中，可以根據信息系統安全目標來(lái)規范制定安全方案。信息系統安全目標是根據信息系統保護輪廓編制、從信息系統安全保障的建設方（廠(chǎng)商）角度制定的信息系統安全保障方案。根據組織的安全目標設計建設目標，由于信息技術(shù)的飛速發(fā)展以及組織業(yè)務(wù)的高速變化，一般建議建設目標以1-3年為宜，充分體現信息安全規劃設計的可實(shí)施性，包括可接受的成本、合理的進(jìn)度、技術(shù)可實(shí)現性，以及組織管理和文化的可接受性等因素。
2.信息系統安全保障評估框架下的概要設計
概要設計的主要任務(wù)是把背景建立階段中所獲得的需求通過(guò)頂層設計進(jìn)行描述。本階段可對應ISSE中定義信息保護系統，通過(guò)概要設計將安全規劃設計基于GB/T20274-1：2006《信息安全技術(shù)信息系統安全保障評估框架第一部分：簡(jiǎn)介和一般模型》進(jìn)行模塊化劃分，并且描述安全規劃設計的組織高層愿景與設計內涵；在概要設計中，還應該描述每個(gè)模塊的概要描述與設計原則。設計思路是從宏觀(guān)上描述信息安全規劃設計的目的、意義以及最終目標并選擇適用的模型建立設計原則。本部分主要體現信息安全保障中信息系統安全概念和關(guān)系。根據《網(wǎng)絡(luò )安全法》相關(guān)規定，頂層設計可以建立在信息安全等級保護的基礎上，綜合考慮諸如建立安全管理組織、完善預警與應急響應機制、確保業(yè)務(wù)連續性計劃等方面GB/T20274-1：2006《信息安全技術(shù)信息系統安全保障評估框架第一部分：簡(jiǎn)介和一般模型》提供了一個(gè)優(yōu)秀的保障體系框架。該標準給出了信息系統安全保障的基本概念和模型，并建立了信息系統安全保障框架。該標準詳細給出了信息系統安全保障的一般模型，包括安全保障上下文、信息系統安全保障評估、信息系統保護輪廓和信息系統安全目標的生成、信息系統安全保障描述材料；信息系統安全保障評估和評估結果，包括信息系統保護輪廓和信息系統安全目標的要求、評估對象的要求、評估結果的聲明等。信息系統安全保障是在信息系統的整個(gè)生命周期中，通過(guò)對信息系統的風(fēng)險分析，制定并執行相應的安全保障策略，從技術(shù)、管理、工程和人員等方面提出安全保障要求，確保信息系統的保密性、完整性和可用性，降低安全風(fēng)險到可接受的程度，從而保障系統實(shí)現組織機構的使命。策略體現的是組織的高層意旨，模型與措施作為戰術(shù)指標分別為中層和執行層提供具體的工作思路和方法，以完成設計的具體實(shí)現。當信息安全滿(mǎn)足所定義的基本要素后，為每個(gè)層面的設計提出概要目標，并在具體的設計中將其覆蓋整個(gè)安全規劃中。
3.實(shí)現建立在宏觀(guān)角度的合規性通用設計
通用設計可對應ISSE中設計系統體系結構，本階段是整個(gè)安全規劃設計的核心部分，本階段必須全面覆蓋背景建立階段所獲得的安全需求，滿(mǎn)足概要設計階段所選擇的模型與方法論，全面、系統的描述安全目標的具體實(shí)現。通用安全設計是建立在宏觀(guān)角度上的綜合性設計，設計首先將各個(gè)系統所產(chǎn)生的共同問(wèn)題及宏觀(guān)問(wèn)題統一解決，有效降低在安全建設中的重復建設和管理真空問(wèn)題。在通用設計中，重點(diǎn)針對組織信息安全管理體系和風(fēng)險管理過(guò)程的控制元素，從系統生命周期考慮信息安全問(wèn)題。
（1）管理設計在信息安全管理體系ISMS過(guò)程方法論中，可遵循的過(guò)程方法是PDCA四個(gè)階段：首先，需要在P階段解決信息系統安全的目標、范圍的確認，并且獲得高層的支持與承諾。安全管理的實(shí)質(zhì)就是風(fēng)險管理，管理設計應緊緊圍繞風(fēng)險建立，所以，本階段首要的任務(wù)是為組織建立適用的風(fēng)險評估方法論。其次，管理評估中所識別的不可接受風(fēng)險是本階段主要設計依據。通過(guò)D環(huán)節，需要解決風(fēng)險評估的具體實(shí)施以及風(fēng)險控制措施落實(shí)，風(fēng)險評估僅能解決當前狀態(tài)下的安全風(fēng)險問(wèn)題，因此，必須建立風(fēng)險管理實(shí)施規范，當組織在一定周期（例如1年）或者組織發(fā)生重大變更時(shí)重新執行風(fēng)險評估，風(fēng)險評估可以是自評估，也可以委托第三方進(jìn)行。本環(huán)節的設計必須涵蓋管理風(fēng)險中所有不可接受風(fēng)險的具體處置，從實(shí)現而言，重點(diǎn)關(guān)注管理機構的設置與體系文件的建立和落實(shí)。第三個(gè)環(huán)節是建立有效的內審機制和監測機制，沒(méi)有檢測就沒(méi)有改進(jìn)，通過(guò)設計審計體系完成對信息安全管理體系的動(dòng)態(tài)運行。第四個(gè)環(huán)節，即A環(huán)節，是在完成審計之后針對組織是否有效執行糾正措施的落實(shí)設計審計跟蹤和風(fēng)險再評估過(guò)程。A環(huán)節既是信息安全管理體系的最后一個(gè)環(huán)節，也是新的PDCA過(guò)程的推動(dòng)力。
（2）技術(shù)設計技術(shù)設計主要是建立在組織平均安全水平基礎上，應可適用于組織所有的系統和通用的技術(shù)風(fēng)險。設計可遵循多種技術(shù)標準體系，首先建立基于信息安全等級保護的五個(gè)層面技術(shù)設計要求。通過(guò)美國信息保障技術(shù)框架建立“縱深防御”原則，其具體涉及在訪(fǎng)問(wèn)控制技術(shù)和密碼學(xué)技術(shù)支撐下的物理安全、網(wǎng)絡(luò )安全、系統安全、應用安全和數據安全。技術(shù)設計可在原有的技術(shù)框架下建立云安全、大數據安全等專(zhuān)項技術(shù)安全設計，也可在網(wǎng)絡(luò )安全中增加虛擬網(wǎng)絡(luò )安全設計等方式，應對新技術(shù)領(lǐng)域的安全設計。技術(shù)設計可以包括兩個(gè)主要手段：第一，技術(shù)配置。技術(shù)配置是在現有的技術(shù)能力下通過(guò)基于業(yè)務(wù)的安全策略和合規性基線(xiàn)進(jìn)行安全配置。常見(jiàn)的手段包括補丁的修訂、安全域的劃分與ACL的設計、基于基線(xiàn)的系統配置等手段；第二，技術(shù)產(chǎn)品。技術(shù)產(chǎn)品是在現有產(chǎn)品不能滿(mǎn)足控制能力時(shí)通過(guò)添加新的安全產(chǎn)品結合原有的控制措施和產(chǎn)品統一部署、統一管理。在技術(shù)設計中，必須明確的原則是產(chǎn)品不是安全的唯一，產(chǎn)品也不是解決安全問(wèn)題的靈丹妙藥，有效的安全控制是通過(guò)對產(chǎn)品的綜合使用和與管理、流程、人員能力相互結合，最終形成最佳的使用效果。
（3）工程過(guò)程設計工程過(guò)程設計重點(diǎn)考慮基于生命周期每個(gè)階段的基于安全工程考慮的流程問(wèn)題，在信息系統生命周期的五個(gè)層面。信息安全問(wèn)題應該從計劃組織階段開(kāi)始重視，在信息系統生命周期每個(gè)階段建立有效的安全控制和管理。工程過(guò)程包括計劃組織、開(kāi)發(fā)采購、實(shí)施交付、運行維護和廢棄五個(gè)階段，本階段的設計主要通過(guò)在每個(gè)階段建立相應的流程，通過(guò)流程設計控制生命周期各個(gè)階段的安全風(fēng)險。在計劃組織（需求分析）階段，體現信息安全工程中明確指出的系統建設與安全建設應“同步規劃、同步實(shí)施”，體現《網(wǎng)絡(luò )安全法》中“三同步”的要求。在開(kāi)發(fā)采購階段，通過(guò)流程設計實(shí)現軟件安全開(kāi)發(fā)的實(shí)現和實(shí)現供應鏈管理。實(shí)施交付階段，關(guān)注安全交付問(wèn)題，應設計安全交付流程和安全驗收流程。運行維護階段要體現安全運維與傳統運維差異化，安全運維起于風(fēng)險評估，應更多關(guān)注預防事件的發(fā)生，事前安全檢查的基線(xiàn)設計、檢查手段及工具的選擇和使用根據設備的不同重要程度建立不同的檢查周期；當系統產(chǎn)生缺陷或者漏洞時(shí)，設計合理的配置管理、變更管理及補丁管理等流程解決事中問(wèn)題；當事件已經(jīng)產(chǎn)生影響時(shí)，可以通過(guò)預定義的應急響應機制抑制事件并處置事件；當事件造成系統中斷、數據丟失以及其他影響業(yè)務(wù)連續性后果時(shí)，能夠通過(guò)規劃中的災難恢復及時(shí)恢復業(yè)務(wù)。廢棄階段通過(guò)流程控制用戶(hù)系統在下線(xiàn)、遷移、更新過(guò)程中對包含有組織敏感信息的存儲介質(zhì)建立保護流程和方法，明確廢棄過(guò)程中形成的信息保護責任制，并根據不同的敏感采取不同的管理手段和技術(shù)手段對剩余信息進(jìn)行有效處置。
（4）人員設計人員安全是信息安全領(lǐng)域不可或缺的層面，長(cháng)期以來(lái)，過(guò)于關(guān)注IT技術(shù)的規劃設計而忽略了人的安全問(wèn)題，內部人員安全問(wèn)題構成了組織安全的重要隱患，人為的無(wú)意失誤造成的損害往往遠大于人為的惡意行為。人員設計重點(diǎn)關(guān)注人員崗位、技術(shù)要求、背景以及培訓與教育，充分體現最小特權、職責分離及問(wèn)責制等原則。根據《網(wǎng)絡(luò )安全法》第四章要求，關(guān)鍵基礎設施應建立信息安全管理機構，并設置信息安全專(zhuān)職人員。在人員設計中還應充分考慮到第三方代維人員的管理及供應商管理等新問(wèn)題的產(chǎn)生。
4.構建等級化保護的層面間設計
在通用設計中，可以基于組織平均安全水平建立規劃設計，而本階段主要為滿(mǎn)足不同等級化業(yè)務(wù)系統的強化安全保護要求。層面間設計可以基于系統的具體特征有針對性地對系統安全性進(jìn)行深度分析。本階段的設計可以建立在信息安全等級保護的符合性原則之上。5.合理安排工程實(shí)施計劃工程實(shí)施計劃必須根據背景建立階段中的建設目標，將信息安全規劃設計根據組織風(fēng)險優(yōu)先級及成本投入等因素分期實(shí)施。安全規劃設計通過(guò)技術(shù)（技術(shù)產(chǎn)品、技術(shù)配置）、管理（組織建設與體系文件建設）、工程過(guò)程（流程建設、流程梳理與流程控制）及人員（崗位設置、崗位原則、職責劃分）四個(gè)方面設計，在每個(gè)階段可根據組織實(shí)際情況分期實(shí)施，并合理分配工程預算。信息安全規劃設計不用拘泥于某一種模式或者類(lèi)型，CISP知識體系建立基于生命周期的信息安全保障體系，為信息系統安全規劃設計提供了良好的參考和依據，靈活運用各種標準與模型，充分融合技術(shù)與技術(shù)產(chǎn)品，堅持技術(shù)與管理并重的原則，通過(guò)流程有效控制工程過(guò)程并合理部署和利用人員，實(shí)現人、技術(shù)和操作的有機結合。同時(shí)，綜合運用CISP知識體系，不但可以豐富信息安全規劃設計的具體實(shí)現，也可以為日常運維工作提供必要的參考。
【信息安全規劃設計】相關(guān)文章：
《信息技術(shù)的安全使用》教學(xué)設計07-04
《信息技術(shù)的安全使用》的教學(xué)設計07-04
學(xué)生信息安全道德培養設計簡(jiǎn)報12-21
學(xué)生信息安全道德培養設計簡(jiǎn)報(15篇)01-18
學(xué)生信息安全道德培養設計簡(jiǎn)報15篇01-12
職業(yè)規劃設計06-22
設計職業(yè)規劃03-24
規劃設計招標公告11-18