Python shell java linux Firefox 程序员 centos Windows 微软 Android php wordpress 云计算 apache Ubuntu 开源 mysql 编程 google nginx

《信息安全保障》一1.3 信息系統安全保障概念與模型

1.3 信息系統安全保障概念與模型

滿足不同需求具有各種功能的信息系統是信息化社會構成的基礎,信息系統安全是確保信息系統結構與相關元素的安全,以及與此相關的各種安全技術、安全服務和安全管理的總和。與信息安全相比,信息系統安全更具有體系性、可設計性、可實現性和可操作性。

1.3.1 信息系統安全保障概念

信息系統安全保障是在信息系統的整個生命周期中,從技術、管理、工程和人員等方面提出安全保障要求,確保信息系統的保密性、完整性和可用性,降低安全風險到可接受的程度,從而保障系統實現組織機構的使命。


image

1.?信息系統
信息系統是具有集成性的系統,每一個組織中信息流動的總和都構成了一個信息系統。可以認為,信息系統是根據一定的需要來進行輸入、系統控制、數據處理、數據存儲與輸出等活動所涉及的所有因素的綜合體,如圖1-5所示。現代信息系統是以計算機為基礎,包括人員、硬件、軟件、數據4種基本資源。
人員包括系統用戶和系統專業人員。系統用戶是信息系統的使用者,他們是利用信息系統或通過它產生信息的人;系統專業人員包括系統分析人員、程序編寫人員與系統操作人員。系統分析人員根據用戶的信息需求設計對應的信息系統;程序編寫人員根據分析人員的說明書準備計算機程序;系統操作人員主要負責對信息系統的操作。
硬件資源包括計算機系統和載體。計算機系統包括中央處理器及其相關的外部設備,如圖像監控、磁盤驅動器、打印機和掃描儀等;載體包括數據資源的存儲介質材料,如硬盤、磁帶和光盤等。
軟件資源包括所有信息處理調用的指令,包括指示和控制計算機硬件的操作性指令(程序)和信息處理中使用的過程指令。程序包括操作系統程序、電子表格程序、文字處理程序等。過程包括數據輸入流程、錯誤改正流程、數據傳送流程等。
數據資源包括:由數字、字母以及其他字符組成,描述組織活動和其他事情的字母數字型數據;句子與段落組成的文本數據;圖形和圖表形式的圖像數據;記錄人與其他聲音的音頻數據。
滿足不同需求的、具有各種功能的信息系統構成了信息化社會的基礎,它提高了社會各個行業和部門的生產和管理效率,方便了人類的日常生活,推動了社會的發展前進。
2.?信息系統安全保障
信息系統處於不斷變化的過程,在任何一個時間點上,系統安全狀態與其過去的歷史密切相關,過去決定現在。因此,信息系統安全保障是與信息系統的規劃、設計、實現和運行等生命周期密切相關的。這些活動包括覆蓋系統全生命周期的管理活動,系統從無到有的工程活動,系統從概念到設計的架構活動等。
image

圖1-6說明信息系統安全保障中相關概念之間的關系。
(1)風險
信息安全風險產生的因素主要有信息系統自身存在的漏洞和來自系統外部的威脅。信息系統運行環境中存在具有特定威脅動機的威脅源,通過使用各種攻擊方法,利用信息系統的各種脆弱性,對信息系統造成一定的不良影響,由此引發信息安全問題和事件。
(2)保障
信息安全保障就是針對信息系統在運行環境中所面臨的各種風險,制定信息安全保障策略,在策略指導下,設計並實現信息安全保障架構或模型,采取技術、管理等安全保障措施,將風險控制到可接受的範圍和程度,從而實現其業務使命。
(3)使命
描述了信息系統在設計、執行、測試、運行、維護、廢棄整個生命周期中運行的需求和目標。信息系統的使命與其安全保障密不可分,需要通過信息系統安全措施來保障目標的正確執行。隨著信息系統面臨的威脅及運行環境的變化,安全保障也需要提供相應的保障措施,從而保障信息系統的正確運行。
風險管理是信息安全保障工作的基本方法。信息安全保障應當以風險管理為基礎,針對可能存在的各種威脅和自身弱點,采取有針對性的防範措施。信息安全不是追求絕對的安全,追求的是可管控的安全風險。最適宜的信息安全策略就是最優的風險管理對策,這是一個在有限資源前提下的最優選擇問題。信息系統防範措施不足會造成直接損失,會影響業務系統的正常運行,也會造成不良影響和損失。也就是說,信息安全保障的問題就是安全的效用問題,要從經濟、技術、管理的可行性和有效性上做出權衡和取舍。

1.3.2 信息系統安全保障模型

在國家標準《信息系統安全保障評估框架第一部分:簡介和一般模型》(GB/T 20274.1—2006)中描述了信息系統安全保障模型,該模型包含保障要素、生命周期和安全特征3個方面,如圖1-7所示。
其中,安全特征是指信息系統是信息產生、傳輸、存儲和處理的載體,信息系統保障的基本目標就是保證其所創建、傳輸、存儲和處理信息的保密性、完整性和可用性;生命周期是指信息系統安全保障應貫穿信息系統的整個生命周期,包括規劃組織、開發采購、實施交付、運行維護和廢棄5個階段,以獲得信息系統安全保障能力的持續性;保障要素是指信息系統安全保障需要從技術、工程、管理和人員4個領域進行綜合保障,由合格的信息安全專業人員,使用合格的信息安全技術和產品,通過規範、可持續性改進的工程過程能力和管理能力進行建設及運行維護,保障信息系統安全。

image

由圖1-7可以看出,該信息系統安全保障模型將風險和策略作為信息系統安全保障的基礎和核心。首先,強調信息系統安全保障持續發展的動態安全模型,即信息系統安全保障應該貫穿於整個信息系統生命周期的全過程;其次,強調綜合保障的觀念,信息系統的安全保障是通過綜合技術、管理、工程與人員的安全保障來實施和實現信息系統的安全保障目標,通過對信息系統的技術、管理、工程和人員的評估,提供對信息系統安全保障的信心;第三,以風險和策略為基礎,在整個信息系統的生命周期中實施技術、管理、工程和人員保障要素,從而使信息系統安全保障實現信息安全的安全特征,達到保障組織機構執行其使命的根本目的。
在這個模型中,更強調信息系統所處的運行環境、信息系統的生命周期和信息系統安全保障的概念。信息系統生命周期有各種各樣的模型,信息系統安全保障模型中的信息系統生命周期模型是基於這些模型的一個簡單、抽象的概念性說明模型,它的主要用途在於對信息系統生命周期模型及保障方法進行說明。在信息系統安全保障具體操作時,可根據實際環境和要求進行改動和細化。強調信息系統生命周期,是因為信息安全保障是要達到覆蓋整個生命周期的、動態持續性的長效安全,而不是僅在某時間點下保證安全性。
1.?信息系統安全保障安全特征
信息安全保障的安全特征就是保護信息系統所創建、傳輸、存儲和處理信息的保密性、完整性和可用性等安全特征不被破壞。但信息安全保障的目標不僅僅是保護信息和信息處理設施等資產的安全,更重要的是通過保障資產的安全來保障信息系統的安全,進而來保障信息系統所支撐業務的安全,從而達到實現組織機構使命的目的。
2.?信息系統安全保障生命周期
在信息系統安全保障模型中,信息系統的生命周期和保障要素不是相互孤立的,它們相互關聯、密不可分,圖1-8為信息系統安全保障生命周期的安全保障要素。
信息系統的整個生命周期可以抽象成計劃組織、開發采購、實施交付、運行維護和廢棄五個階段,在運行維護階段變更,以產生反饋,形成信息系統生命周期完整的閉環結構。在信息系統生命周期中的任何時間點上,都需要綜合信息系統安全保障的技術、管理、工程和人員保障要素。下面分別對這五個階段進行簡要介紹。
image

(1)計劃組織階段
單位的使命和業務要求產生了信息系統安全保障建設和使用的需求。在此階段,信息系統的風險及策略應加入至信息系統建設和使用的決策中,從信息系統建設開始就應該綜合考慮系統的安全保障要求,使信息系統的建設和信息系統安全建設同步規劃、同步實施。
(2)開發采購階段
開發采購階段是計劃組織階段的細化、深入和具體體現。在此階段,應進行系統需求分析、考慮系統運行要求、設計系統體系以及相關的預算申請和項目準備等管理活動,克服傳統的、基於具體技術或產品的片面性,基於系統需求、風險和策略,將信息系統安全保障作為一個整體進行系統的設計和建設,建立信息系統安全保障整體規劃和全局視野。組織可以根據具體要求,評估系統整體的技術、管理安全保障規劃或設計,保證對信息系統的整體規劃滿足組織機構的建設要求和國家、行業或組織機構的其他要求。
(3)實施交付階段
在實施交付階段,單位可以對承建方的安全服務資格和信息安全專業人員資格有所要求,確保施工組織的服務能力,還可以通過信息系統安全保障的工程保障對施工過程進行監理和評估,確保最終交付系統的安全性。
(4)運行維護階段
信息系統進入運行維護階段後,需要對信息系統的管理、運行維護和使用人員的能力等方面進行綜合保障,這是信息系統得以安全、正常運行的根本保證。此外,信息系統投入運行後並不是一成不變的,它隨著業務和需求的變更、外界環境的變更產生新的要求或增強原有的要求,重新進入信息系統的計劃組織階段。
(5)廢棄階段
當信息系統的保障不能滿足現有要求時,信息系統進入廢棄階段。
通過在信息系統生命周期的所有階段融入信息系統安全保障概念,確保信息系統的持續動態安全保障。
3.?信息系統安全保障要素
在空間維度上,信息系統安全需要從技術、工程、管理和人員4個領域進行綜合保障。在安全技術方面,不僅要考慮具體的產品和技術,更要考慮信息系統的安全技術體系架構;在安全管理方面,不僅要考慮基本安全管理實踐,更要結合組織特點建立相應的安全管理體系,形成長效和持續改進的安全管理機制;在安全工程方面,不僅要考慮信息系統建設的最終結果,更要結合系統工程的方法,註重工程過程各個階段的規範化實施;在人員安全方面,要考慮與信息系統相關的所有人員(包括規劃者、設計者、管理者、運行維護者、評估者、使用者等)所應具備的信息安全專業知識和能力。
(1)信息安全技術
常用信息安全技術主要包括以下類型。
1)密碼技術:密碼技術及應用涵蓋了數據處理過程的各個環節,如數據加密、密碼分析、數字簽名、身份識別和秘密分享等。通過以密碼學為核心的信息安全理論與技術來保證達到數據的機密性和完整性等要求。
2)訪問控制技術:訪問控制技術是在為用戶提供系統資源最大限度共享的基礎上,對用戶的訪問權進行管理,防止對信息的非授權篡改和濫用。訪問控制對經過身份鑒別後的合法用戶提供所需要的且經過授權的服務,拒絕用戶越權的服務請求,保證用戶在系統安全策略下有序工作。
3)網絡安全技術:網絡安全技術包括網絡協議安全、防火墻、入侵檢測系統/入侵防禦系統(Intrusion Prevention System,IPS)、安全管理中心(Security Operations Cente,SOC)、統一威脅管理(Unified Threat Management,UTM)等。這些技術主要是保護網絡的安全,阻止網絡入侵攻擊行為。防火墻是一個位於可信網絡和不可信網絡之間的邊界防護系統。防病毒網關對基於超文本傳輸協議(Hypertext Transfer Protocol,HTTP)、文件傳輸協議(file Transfer Protocol,ftp)、簡單郵件傳送協議(Simple mail Transfer Protocol,SMTP)、郵局協議版本3(Post Office Protocol 3,POP3)、安全超文本傳輸協議(Hypertext Transfer Protocol over Secure Socket Layer,HTTPS)等入侵網絡內部的病毒進行過濾。入侵檢測系統是一種對網絡傳輸進行即時監視,在發現可疑傳輸時發出警報的網絡安全設備。入侵防禦系統是監視網絡傳輸行為的安全技術,它能夠即時的中斷、調整或隔離一些異常或者具有傷害性的網絡傳輸行為。
4)操作系統與數據庫安全技術:操作系統安全技術主要包括身份鑒別、訪問控制、文件系統安全、安全審計等方面。數據庫安全技術包括數據庫的安全特性和安全功能,數據庫完整性要求和備份恢復,以及數據庫安全防護、安全監控和安全審計等。
5)安全漏洞與惡意代碼防護技術:安全漏洞與惡意代碼防護技術包括減少不同成因和類別的安全漏洞,發現和修復這些漏洞的方法;針對不同惡意代碼加載、隱藏和自我保護技術的惡意代碼的檢測及清除方法等。
6)軟件安全開發技術:軟件安全開發技術包括軟件安全開發各關鍵階段應采取的方法和措施,減少和降低軟件脆弱性以應對外部威脅,確保軟件安全。
(2)信息安全管理
信息安全管理主要包含以下內容。
1)信息安全管理體系。信息安全管理體系是整體管理體系的一部分,也是組織在整體或特定範圍內建立信息安全方針和目標,並完成這些目標所用方法的體系。基於對業務風險的認識,信息安全管理體系包括建立、實施、運作、監視、評審、保持和改進信息安全等一系列管理活動,它是組織結構、方針策略、計劃活動、目標與原則、人員與責任、過程與方法、資源等諸多要素的集合。
2)信息安全風險管理。信息安全管理就是依據安全標準和安全需求,對信息、信息載體和信息環境進行安全管理以達到安全目標。風險管理貫穿於整個信息系統生命周期,包括背景建立、風險評估、風險處理、批準監督、監控審查和溝通咨詢6個方面的內容。其中,背景建立、風險評估、風險處理和批準監督是信息安全風險管理的4個基本步驟,監控審查和溝通咨詢則貫穿於這4個基本步驟的始終。
3)信息安全控制措施。信息安全控制措施是管理信息安全風險的具體手段和方法。將風險控制在可接受的範圍內,這依賴於組織部署的各種安全措施。合理的控制措施集應綜合技術、管理、物理、法律、行政等各種方法,威懾安全違規人員甚至犯罪人員,預防、檢測安全事件的發生,並將遭受破壞的系統恢復到正常狀態。確定、部署並維護這種綜合全方位的控制措施是組織實施信息安全管理的重要組成部分。通常,組織需要從安全方針、信息安全組織、資產管理、人力資源安全、物理和環境安全、通信和操作管理、訪問控制、信息系統獲取開發和維護、信息安全事件管理、業務連續性管理和符合性11個方面,綜合考慮部署合理的控制措施。
4)應急響應與災難恢復。部署信息安全控制措施的目的之一是防止發生信息安全事件,但由於信息系統內部固有的脆弱性和外在的各種威脅,很難徹底杜絕信息安全事件的發生。所以,應及時有效地響應與處理信息安全事件,盡可能降低事件損失,避免事件升級,確保在組織能夠承受的時間範圍內恢復信息系統和業務的運營。應急響應工作管理過程包括準備、檢測、遏制、根除、恢復和跟蹤總結6個階段。信息系統災難恢復管理過程包括災難恢復需求分析、災難恢復策略制定、災難恢復策略實現及災難恢復預案制定與管理4個步驟。應急響應與災難恢復關系到一個組織的生存與發展。
5)信息安全等級保護。信息安全等級保護是我國信息安全管理的一項基本制度。它將信息系統按其重要程度以及受到破壞後對相應客體(即公民、法人和其他組織的)合法權益、社會秩序、公共利益和國家安全侵害的嚴重程度,將信息系統由低到高分為5級。每一保護級別的信息系統需要滿足本級的基本安全要求,落實相關安全措施,以獲得相應級別的安全保護能力,對抗各類安全威脅。信息安全等級保護的實施包括系統定級、安全建設整改、自查、等級測評、系統備案、監督檢查6個過程。
(3)信息安全工程
規範的信息安全工程過程包括發掘信息保護需要、定義信息系統安全要求、設計系統安全體系結構、開發詳細安全設計和實現系統安全5個階段及相應活動,同時還包括對每個階段過程信息保護有效性的評估。
信息系統安全工程(Information System Security Engineering,ISSE)是一種信息安全工程方法,它從信息系統工程生命周期的全過程來考慮安全性,以確保最終交付的工程的安全性。
系統安全工程能力成熟度模型(Systems Security Engineering Capability Maturity Model,SSE-CMM)描述了一個組織的系統安全工程過程必須包含的基本特征,這些特征是完善的安全工程保證,也是系統安全工程實施的度量標準,同時還是一個易於理解的評估系統安全工程實施的框架。應用SSE-CMM可以度量和改進工程組織的信息安全工程能力。
信息安全工程監理,是信息安全工程實施過程中一種常見的保障機制。
(4)信息安全人員
在信息安全保障諸要素中,人是最關鍵也是最活躍的要素。網絡攻防對抗,最終較量的是攻防雙方人員的能力。組織機構應通過以下幾方面的努力,建立一個完整的信息安全人才體系。
對所有員工,進行信息安全保障意識教育,諸如采取內部培訓、在組織機構網站上發布相關信息等方式,增強所有員工的安全意識;對信息系統應用崗位的員工,進行信息安全保障基本技能培訓;對信息安全專業人員,應通過對信息安全保障、管理、技術、工程,以及信息安全法規、政策與標準等知識的學習,全面掌握信息安全的基本理論、技術和方法,豐富的信息安全經驗需要通過該崗位的長期工作積累獲得;信息安全研發人員,除了需要具備信息安全基本技能外,還應培訓其安全研發相關知識,包括軟件安全需求分析、安全設計原則、安全編碼、安全測試等內容;信息安全審計人員,則需要通過培訓使其掌握信息安全審計方法、信息安全審計的規劃與組織、信息安全審計實務等內容。
思考題
1.?在各個信息安全發展階段,組織面臨的主要威脅與采取的主要防護措施有什麽不同?信息安全的發展趨勢是怎樣的?
2.?信息安全問題產生的根本原因有哪些?這些原因之間的關系如何?
3.?信息安全保障要素有哪些?這些保障要素與信息系統生命周期之間的關系如何?
4.?利用P2DR模型進行信息安全保障的思想和原理是什麽?
5.?如何理解信息安全保障技術框架的深度防禦戰略?

延伸阅读

    评论