設計思路與原則

信息安全保障是一個極為復雜、系統性和長期性的工作。設計信息系統安全體系及實施方案時一般應遵循以下四條原則：

清晰定義安全模型；

合理劃分安全等級；

科學設計防護深度；

確保可實施易評估。

1．清晰定義安全模型

面對的難題：政府或大型企業組織的信息系統結構復雜，難以描述。

政府或大型企業的信息系統往往覆蓋全國范圍內的各省、市、縣和鄉鎮，地域遼闊，規模龐大；各地信息化發展程度不一，東西部存大較大差別；前期建設缺乏統一規劃，各區域主要業務系統和管理模式往往都存在較大的差別。這樣就造成難以準確、清晰地描述大型信息系統的安全現狀和安全威脅。因此，設計保障體系時也就無的放矢，缺乏針對性，也不具備實用性。

解決方法：針對信息系統的安全屬性定義一個清晰的、可描述的安全模型，即信息安全保護對象框架。

在設計信息安全保障體系時，首先要對信息系統進行模型抽象。我們把信息系統各個內容屬性中與安全相關的屬性抽取出來，參照IATF（美國信息安全保障技術框架），通過建立“信息安全保護對象框架”的方法來建立安全模型，從而相對準確地描述信息系統的安全屬性。保護對象框架是根據信息系統的功能特性、安全價值以及面臨威脅的相似性，將其劃分成計算區域、網絡基礎設施、區域邊界和安全基礎設施四大類信息資產組作為保護對象。

2．合理劃分安全等級

面對的難題：如何解決在設計安全保障措施時所面對的需求差異性與經濟性難題。

因為信息系統的差異性，從而其安全要求的屬性和強度存在較大差異性；又因為經濟性的考慮，需要考慮信息安全要求與資金人力投入的平衡。設計安全保障措施時不能一刀切，必須考慮差異性和經濟性。

解決方法：針對保護對象和保障措施劃分安全等級。

首先進行信息系統的等級化：通過將保護對象進行等級化劃分，實現等級化的保護對象框架，來反映等級化的信息系統。其次，設計等級化的保障措施：根據保護對象的等級化，有針對性地設計等級化的安全保障措施，從而通過不同等級的保護對象和保障措施的一一對應，形成整體的等級化安全保障體系。

等級化安全保障體系為用戶提供以下價值：

滿足大型組織中不同分支機構的個性化安全需求；

可動態地改變保護對象的安全等級，能方便地調整不同階段的安全目標；

可綜合平衡安全成本與風險，能優化信息安全資源配置；

可清晰地比對目標與現狀，能準確、完備地提取安全需求。

3．科學設計防護深度

面對的難題：現有安全體系大多屬于靜態的單點技術防護，缺乏多重深度保障，缺乏抗打擊能力和可控性。

信息安全問題包含管理方面問題、技術方面問題以及兩者的交叉，它從來都不是靜態的，隨著組織的策略、組織架構、業務流程和操作流程的改變而改變。現有安全體系大多屬于靜態的單點技術防護，單純部署安全產品是一種靜態的解決辦法，單純防范黑客入侵和病毒感染更是片面的。一旦單點防護措施被突破、繞過或失效，整個安全體系將會失效，從而威脅將影響到整個信息系統，后果是災難性的。

解決方法：設計多重深度保障，增強抗打擊能力。

4．確保可實施易評估

面對的難題：許多安全體系缺乏針對性，安全方案不可實施，安全效果難以評估。

我國許多安全項目在安全體系框架設計方面，由于缺乏深入和全面的需求調研，往往不能切實反映信息系統的業務特性和安全現狀，安全體系框架中缺乏可行的實施方案與項目規劃，在堆砌安全產品的過程中沒有設計安全管理與動態運維流程，缺乏安全審計與評估手段，因此可實施性和可操作性不強。

解決方法：綜合運用用戶訪談、資產普查、風險評估等手段，科學設計安全體系框架，確保可實施易評估。

我們在設計安全體系時，充分考慮到了上述問題，采取如下措施：

在設計安全體系前，通過對目標信息系統的各方面進行完整和深入調研，采取的手段包括選取典型抽樣節點的深入調查和安全風險評估，以及全范圍的信息資產和安全狀況普查。綜合兩種手段，得出反映現狀的安全保護對象框架及下屬的信息資產數據庫，以及全面的安全現狀報告。

在體系框架設計的同時設計工程實施方案和項目規劃；安全體系本身具有非常詳盡的描述，具備很強的可工程化能力。在描述安全對策時，不是原則性的，而應是可操作和可落實的。

設計方法

1．總體設計方法

設計政府/大型企業組織安全體系的具體內容包括：

安全保護對象框架

信息系統保護對象框架是根據對大型政府/企業組織總部及各省的評估調查和譜查，參照信息保障體系的建模方法，按照威脅分析，將信息資產劃分為若干保護對象。

安全保護對策框架

信息系統安全保護對策框架是參照國內外先進的信息安全標準，參考業界通用的最佳實施，并結合大型政府/企業組織的實際情況和現實問題進行定制，對大量可行的安全對策進行等級劃分。

信息系統安全體系

信息系統安全體系是以保護對象為經，以安全等級框架為緯，對保護對象逐個進行威脅和風險分析，從而形成信息系統安全體系，其表現形式示意圖如圖1所示。

圖1 安全對策框架

 

2．等級化安全保護對象框架設計

由于政府/大型企業組織的信息系統規模龐大，各分支機構的信息系統之間存在差異，因此必須對信息系統進行抽象，形成統一的保護對象框架。

安全保護對象框架模型的設計（以銀行業為例）如圖2所示。

3．等級化安全對策框架設計

根據組織的特點設計和定制等級化安全對策框架，并針對組織的現狀選擇安全對策及其等級。

（1）安全框架層次結構和分類

大型政府/企業組織安全對策框架體系包括安全策略、安全組織、安全運作和安全技術四個子安全對策框架，分別包括一系列對策類，對策類可過一步細分對策子類，甚至對策子類也可以再次細分為對策子類。細分到最后的對策類和對策子類由對策構成。對策中則是一些較為具體的安全控制。通過對不同強度和數量安全控制的組合，將對策分級。

（2）安全對策框架等級劃分

每個安全對策可分為三個等級，每一等級由若干條安全控制細則組成。一般通過安全控制細則的增強、增加來提高對策的等級。當安全對策某一等級中的所有安全控制細則均已實現時，可認為已達到該等級的對策。安全對策的等級劃分，大體參考了GB 17859、GB/T /T18366、TCSEC、SP800-53等國內外信息安全標準。不同框架的對策，參照的標準有所不同。

4．等級化安全保障體系設計

安全保障體系的深度防御戰略模型將防御體系分為組織、技術和運作三個要素。信息安全管理就是通過一系列的策略、制度和機制來協調這三者之間的關系，明確技術實施和安全操作中相關人中的安全職責，從而達到安全風險的及時發現和有效控制，提高安全問題發生時反應速度和恢復能力，增強網絡的整體安全保障能力。

安全策略體系指的是從信息資產安全管理的角度出發，為了保護信息資產，消除或降低風險而制訂的各種綱領、制度、規范和操作流程的總和。

安全組織體系作為安全工作的管理和實施體系，主要負責安全策略、制度、規劃的制訂和實施，確定各種安全管理崗位和相應的安全職責，并負責選用合適的人員來完成相應崗位的安全管理工作，監督各種安全工作的開展，協調各種不同部門在安全實施中的分工和合作，保證安全目標的實現。

安全運作體系，包括安全生命周期中各個安全環節的要求，包括：安全工程管理機制，安全預警機制、定期的安全風險識別和控制機制、應急響應機制和定期的安全培訓機制等。

安全技術體系包含鑒別和認證、訪問控制、內容安全、冗余和恢復以及審計響應五個部分內容。

總結

等級化安全體系的設計需要充分考慮信息系統的復雜性和信息安全保障的系統性與長期性，需要系統化的統一規劃設計。在安全體系設計時應該考慮如何有效實施，并同時設計實施方案和建設規劃；通過將安全體系指標和安全現狀的對比，產生安全需求，并將類似的一組安全需求打包并設計解決方案；然后將一組類似的解決方案打包成可以工程化實施的項目，并通過規劃，排出實施的先后順序，從而分步進行實施。