信息安全等級(jí)保護(hù)體系設(shè)計(jì)思路與原則

信息安全等級(jí)保護(hù)體系設(shè)計(jì)思路與原則信息安全保障是一個(gè)極為復(fù)雜、系統(tǒng)性和長(zhǎng)期性的工作。設(shè)計(jì)信息系統(tǒng)安全體系及實(shí)施方案時(shí)一般應(yīng)遵循以下四條原則：?清晰定義安全模型；?合理劃分安全等級(jí)；?科學(xué)設(shè)計(jì)防護(hù)深度；?確?？蓪?shí)施易評(píng)估。具體來(lái)說(shuō)：清晰定義安全模型面對(duì)的難題：政府或大型企業(yè)組織的信息系統(tǒng)結(jié)構(gòu)復(fù)雜，難以描述。政府或大型企業(yè)的信息系統(tǒng)往往覆蓋全國(guó)范圍內(nèi)的各省、市、縣和鄉(xiāng)鎮(zhèn)，地域遼闊，規(guī)模龐大；各地信息化發(fā)展程度不一，東西部存在較大差別；前期建設(shè)缺乏統(tǒng)一規(guī)劃，各區(qū)域主要業(yè)務(wù)系統(tǒng)和管理模式往往都存在較大的差別。這樣就造成難以準(zhǔn)確、清晰地描述大型信息系統(tǒng)的安全現(xiàn)狀和安全威脅。因此，設(shè)計(jì)保障體系時(shí)也就無(wú)的放矢，缺乏針對(duì)性，也不具備實(shí)用性。解決方法：針對(duì)信息系統(tǒng)的安全屬性定義一個(gè)清晰的、可描述的安全模型，即信息安全保護(hù)對(duì)象框架。在設(shè)計(jì)信息安全保障體系時(shí)，首先要對(duì)信息系統(tǒng)進(jìn)行模型抽象。我們把信息系統(tǒng)各個(gè)內(nèi)容屬性中與安全相關(guān)的屬性抽取出來(lái)，參照IATF（美國(guó)信息安全保障技術(shù)框架），通過(guò)建立“信息安全保護(hù)對(duì)象框架”的方法來(lái)建立安全模型，從而相對(duì)準(zhǔn)確地描述信息系統(tǒng)的安全屬性。保護(hù)對(duì)象框架是根據(jù)信息系統(tǒng)的功能特性、安全價(jià)值以及面臨威脅的相似性，將其劃分成計(jì)算區(qū)域、網(wǎng)絡(luò)基礎(chǔ)設(shè)施、區(qū)域邊界和安全基礎(chǔ)設(shè)施四大類信息資產(chǎn)組作為保護(hù)對(duì)象。合理劃分安全等級(jí)面對(duì)的難題：如何解決在設(shè)計(jì)安全保障措施時(shí)所面對(duì)的需求差異性與經(jīng)濟(jì)性難題。因?yàn)樾畔⑾到y(tǒng)的差異性，從而其安全要求的屬性和強(qiáng)度存在較大差異性；又因?yàn)榻?jīng)濟(jì)性的考慮，需要考慮信息安全要求與資金人力投入的平衡。設(shè)計(jì)安全保障措施時(shí)不能一刀切，必須考慮差異性和經(jīng)濟(jì)性。解決方法：針對(duì)保護(hù)對(duì)象和保障措施劃分安全等級(jí)。首先進(jìn)行信息系統(tǒng)的等級(jí)化：通過(guò)將保護(hù)對(duì)象進(jìn)行等級(jí)化劃分，實(shí)現(xiàn)等級(jí)化的保護(hù)對(duì)象框架，來(lái)反映等級(jí)化的信息系統(tǒng)。其次，設(shè)計(jì)等級(jí)化的保障措施:根據(jù)保護(hù)對(duì)象的等級(jí)化，有針對(duì)性地設(shè)計(jì)等級(jí)化的安全保障措施，從而通過(guò)不同等級(jí)的保護(hù)對(duì)象和保障措施的一一對(duì)應(yīng)，形成整體的等級(jí)化安全保障體系。等級(jí)化安全保障體系為用戶提供以下價(jià)值：滿足大型組織中不同分支機(jī)構(gòu)的個(gè)性化安全需求；可動(dòng)態(tài)地改變保護(hù)對(duì)象的安全等級(jí)，能方便地調(diào)整不同階段的安全目標(biāo)；可綜合平衡安全成本與風(fēng)險(xiǎn)，能優(yōu)化信息安全資源配置；可清晰地比對(duì)目標(biāo)與現(xiàn)狀，能準(zhǔn)確、完備地提取安全需求?？茖W(xué)設(shè)計(jì)防護(hù)深度面對(duì)的難題：現(xiàn)有安全體系大多屬于靜態(tài)的單點(diǎn)技術(shù)防護(hù)，缺乏多重深度保障，缺乏抗打擊能力和可控性。信息安全問(wèn)題包含管理方面問(wèn)題、技術(shù)方面問(wèn)題以及兩者的交叉，它從來(lái)都不是靜態(tài)的，隨著組織的策略、組織架構(gòu)、業(yè)務(wù)流程和操作流程的改變而改變?，F(xiàn)有安全體系大多屬于靜態(tài)的單點(diǎn)技術(shù)防護(hù)，單純部署安全產(chǎn)品是一種靜態(tài)的解決辦法，單純防范黑客入侵和病毒感染更是片面的。一旦單點(diǎn)防護(hù)措施被突破、繞過(guò)或失效，整個(gè)安全體系將會(huì)失效，從而威脅將影響到整個(gè)信息系統(tǒng)，后果是災(zāi)難性的。解決方法：設(shè)計(jì)多重深度保障，增強(qiáng)抗打擊能力。國(guó)家相關(guān)指導(dǎo)文件提出“堅(jiān)持積極防御、綜合防范的方針”《美國(guó)國(guó)家安全戰(zhàn)略》中也指出，國(guó)家的關(guān)鍵基礎(chǔ)設(shè)施的“這些關(guān)鍵功能遭到的任何破壞或操縱必須控制在歷時(shí)短、頻率小、可控、地域上可隔離以及對(duì)美國(guó)的利益損害最小這樣一個(gè)規(guī)模上”。兩者都強(qiáng)調(diào)了抗打擊能力和可控性，這就要求采用多層保護(hù)的深度防御策略，實(shí)現(xiàn)安全管理和安全技術(shù)的緊密結(jié)合，防止單點(diǎn)突破。我們?cè)谠O(shè)計(jì)安全體系時(shí)，將安全組織、策略和運(yùn)作流程等管理手段和安全技術(shù)緊密結(jié)合，從而形成一個(gè)具有多重深度保障手段的防護(hù)網(wǎng)絡(luò)，構(gòu)成一個(gè)具有多重深度保障、抗打擊能力和能把損壞降到最小的安全體系。確?？蓪?shí)施易評(píng)估面對(duì)的難題：許多安全體系缺乏針對(duì)性，安全方案不可實(shí)施，安全效果難以評(píng)估。我國(guó)許多安全項(xiàng)目在安全體系框架設(shè)計(jì)方面，由于缺乏深入和全面的需求調(diào)研，往往不能切實(shí)反映信息系統(tǒng)的業(yè)務(wù)特性和安全現(xiàn)狀，安全體系框架中缺乏可行的實(shí)施方案與項(xiàng)目規(guī)劃，在堆砌安全產(chǎn)品的過(guò)程中沒(méi)有設(shè)計(jì)安全管理與動(dòng)態(tài)運(yùn)維流程，缺乏安全審計(jì)與評(píng)估手段，因此可實(shí)施性和可操作性不強(qiáng)。解決方法：綜合運(yùn)用用戶訪談、資產(chǎn)普查、風(fēng)險(xiǎn)評(píng)估等手段，科學(xué)設(shè)計(jì)安全體系框架，確?？蓪?shí)施易評(píng)估。我們?cè)谠O(shè)計(jì)安全體系時(shí)，充分考慮到了上述問(wèn)題，采取如下措施：在設(shè)計(jì)安全體系前，通過(guò)對(duì)目標(biāo)信息系統(tǒng)的各方面進(jìn)行完整和深入調(diào)研，采取的手段包括選取典型抽樣節(jié)點(diǎn)的深入調(diào)查和安全風(fēng)險(xiǎn)評(píng)估，以及全范圍的信息資產(chǎn)和安全狀況普查。綜合兩種手段，得出反映現(xiàn)狀的安全保護(hù)對(duì)象框架及下屬的信息資