信息安全体系规划(最后一节)

ISCA安全保障系统规划讲课者：金海ISCA第一部分信息安全的认识第二部分信息安全的发展第三部分信息安全体系的设计第四部分信息安全工程的实施第五部分信息安全的维护ISCA第一部分信息安全的认识ISCA信息安全的两个方面面向数据和信息的安全通过安全服务，安全产品解决面向访问（人）的安全通过安全咨询解决ISCA信息安全的理念安全是收敛的安全产品不等于安全安全是动态平衡安全必须通过管理实现ISCA正确认识安全(1)安全产品与产品安全–在字面上理解是比较显然的，但在实际工作中很容易混淆和难以判断，如：交换机---可以造成信息安全，但不是安全产品等。安全的相对性和不可预测性–安全与时间（不同时间段）、应用对象（如金融与政务）、范围（内部办公人员与规模服务）等呈现出它的相对性；–安全还有不可预测性，这就需要建立完备的灾难应急机制与组织。ISCA正确认识安全(2)没有证明安全就认为不安全与没有证明不安全就认为安全–持有这种观点的用户（特别是部门主管）很多，甚至于部分安全专家，系统和产品安全不能简单地从本观点出发，首先具体问题具体分析，如安全需求（有时需要对信息分层次管理保护）、安全策略保障程度是否满足需求。ISCA正确认识安全(3)安全服务和服务安全–安全服务一般指安全评估、技术解决方案提供、安全培训、安全配套管理体系设计、甚至安全托管服务等；–服务安全是指服务提供商所带来的安全问题，除了技术水平和服务质量以外，还有通过利用自己对客户安全策略的了解或在设计过程中有意或无意所留漏洞，进行非法的活动（对服务对象或以服务对象为跳板对网络、数据库等进行非法扫描、攻击、窃取信息等），由于安全的特殊性，需要对服务企业进行必要的资格认证和有效的管理。ISCA正确认识安全(4)正确处理好技术与管理的关系–我们坚持三分技术、七分管理的指导原则，通过推广管理结标准健全管理机制，从组织、机构、制度上加强安全管理力度，并提出适合国情的、具有多层次的安全管理标准。技术模型主要对虚拟环境的管理，安全管理模型主要对现实物理环境的管理。虚拟与现实是问题的两个方面，虚拟是抽象环境、技术含量较高，所出现的安全问题远比现实物理环境复杂，而麻烦制造者远没有现实物理环境麻烦制造者多；特别是结合不同技术安全模型，配不同程度的安全管理制度。ISCA发现问题、提出问题防止问题、处理问题解决问题ISCA安全咨询资产界定风险评估制度制订解决方案制定发现问题提出问题ISCA安全实施制度执行加固与优化产品选型产品配置解决问题制度培训ISCA安全维护制定紧急响应制度安全集中监控平台日常监控工作防止问题处理问题网络设备集中监控服务器健康状态监控应用系统集中监控服务器访问操作监控数据库操作监控网络安全设备集中监控备份状态监控网络安全制度监控……防病毒紧急响应系统菪机紧急响应黑客攻击紧急响应管理违规紧急响应灾难恢复紧急响应误操作紧急响应监察集中监控平台定期风险评估定期优化加固及升级定期性能分析及优化安全技术更新制度更新…………ISCA安全培训安全制度培训安全技术培训日常维护安全理论培训操作系统安全培训网络安全产品培训数据库操作监控全体人员培训部门人员的制度针对管理层人员的培训针对技术人员的培训ISCA第二部分信息安全的发展ISCA安全防御理论的发展•数据传输加密•密码与加密技术通讯保密安全防护保障体系•静态安全防护•网络隔离•访问控制•鉴别与认证•安全审计•强调管理•深度多重防御•策略，人，技术，操作•动态安全ISCA信息系统的主要特点高可靠性，无间断连续运行信息系统的广泛互连和集中化的趋势企业的关键业务应用系统，层次丰富，操作环节多企业信息系统与Internet和外部网络的互连性日益增强随着业务内容的不断推出，应用系统日益增加ISCA设计遵循的原则采用信息安全保障体系(ITAF)理论多重深度防御战略原则管理与技术并重原则统一规划，分布实施原则风险管理和风险控制原则网络安全性与成本、效率之间平衡原则ISCA安全企业采取的策略提供科学、完整、可操作的安全策略减轻服务对象的灾难恐惧心理建立面向用户的安全指南ISCA提供科学、完整、易操作的安全方案科学性完整性可操作性ISCA科学性认真科学分析用户实际需求和资金投入量，提出客观、合理、可操作的安全方案，尽管投入资金量会直接影响安全强度、效率、服务项目等，但是在投入资金非常有限的情况下，合理使用资金，充分发挥现有的设备并通过加强安全管理制度的建设也能暂时达到一定的安全（如通过将重要信息集中管理、加强安全管理力度、减少安全服务项目、适当地牺牲运行效率来降低投资量，并使得安全强度基本不变），要使用户了解方案优点和缺陷，并留有扩展的余地，在有条件时将现有不足改进（科学性体现在科学合理使用资金、现有条件、系统安全与效率平衡、保护对象与资金投入平衡等）；ISCA完整性安全方案设计一定要充分析用户需求和现有条件的基础上，给出完整的安全策略和解决方案，以及根据投资情况提出逐步改进和安全系统升级的内容等，根据技术模型提出完整的、配套的安全管理机制（随着科学发展和资金不断投入，方案要具有可扩容性和可升级性，技术模型与安全管理模型要紧密配套）；ISCA可操作性尽可能模块化设计、界面具有层次性结构、根据网络重要性分类、安全强度分级、并给出几种安全强度等级（从网络物理机构上--可物理隔离、并可采用其他方式接入，系统安全监控上--起用备用的安全功能如探测器个数、系统状态参数扫描周期等升级，密码技术选择上—密码强度升级考虑）的安全策略模型，只有这样才能使安全系统机构更清晰、界面更友好、在网络不正常时有备用安全策略体系（根据安全系统设计中所遗留的缺陷，以及网络在异常状态下最可能发生的故障设计出可操作的应对策略，同时在特殊情况下起用特殊手段确保安全）。ISCA减轻服务对象的灾难的恐惧心理恐惧心理的产生与后果培训与预防应急与救援ISCA恐惧心理的产生与后果一方面媒体对网络信息安全的报道与宣传多数是基于灾难事件与其损失，以及万一发生安全事故的后果渲染报道对用户产生了恐惧心理；另一方面用户在对安全技术没有充分了解的情况下，往往感到虚拟环境离现实物理环境很遥远，也很神秘，使其对网络信息安全没有任何把握和信心，从而在现实物理环境内采取极端措施；ISCA培训与预防只有通过对用户特别是主管领导的培训，使其建立对网络信息安全有正确和客观认识，同时提出与现实物理环境紧密相连安全预防措施（大部分可以通过预防消除安全隐患），在一定程度上解除用户对安全恐惧心理；ISCA应急与救援要使用户明白没有绝对的安全，只有相对安全（包括现实物理环境），可见发生安全事故再所难免，关键是将事故损失将到最底程度，这样需要从技术上、软硬件上、组织机构上、管理制度上建立应急与求援机制或进程，通过培训与预防、应急与求援等扎实的基础工作才能使用户消除恐惧睦恚建立对网络信息安全的正确认识，积极参与到国家计算机网络与信息安全应急保障体系的建设中。ISCA建立面向用户的安全指南安全需求与建设指南灾难应急与求援指南ISCA安全需求与建设指南建立面向客户的安全需求与安全策略，目前有BSI7799—安全管理模型、CC标准—安全技术模型、公共数据平台—集成环境模型都是面向安全专家，急需建立面向用户的安全需求与建设指南，根据安全需求特点对安全需求分类，并提出完整、统一的安全模型，通过建立安全基本单元，对每一安全基本单元分级（系统数据交换单元、边界客户端、身份与信息认证单元、数据库单元、线路传输单元、系统监控单元等），并配上与安全基本单元的安全级相对应的安全管理规则（如系统数据交换单元可分为严格物理隔断、时序物理隔断、逻辑隔断、信息内容数据交换、访问控制数据交换、非限制数据交换等，它们组合可分出安全等级，对不同等级配上响应的安全管理规则），用户根据资金、现有条件、需求选择适合自己的安全策略（保护范围、方式和安全强度）形成安全方案；另一方面用户也要根据自己的经济实力和现有条件选择合适的软硬件设备、以及建设经济实惠的物理环境，这样需要建立现实物理环境的集成商指南。ISCA灾难应急与求援指南建立完备的应急组织与机构，通过这些机构开展预防性安全警告，以及发生灾难后的应急处理，如救援，数据恢复，查找安全原因并研发补救措施等。建立信息沟通渠道如CERT网站、电话，发布安全服务企业指南，建立安全专家会诊中心与应急体系组织结构等。安全系统运行与维护指南---建立标准故障或漏洞分类术语，建立定期发布安全产品的渠道如网站、专业刊物等，最新安全产品介绍，以及在网上升级安全系统。ISCA第三部分信息安全体系的设计ISCAOperationsPeopleTechnologyOperationsPeopleTechnologyDefenseinDepthFocusAreasOperationsTechnology运作体系组织体系技术体系深度防护的目标区域信息安全保障体系深度防护战略信息安全保障体系框架设计保护网络与基础设施保护综合业务网络KMI/PKI检测响应MonitorCenter安全基础设施保护内部网络保护Internet业务ISCAOperationsPeopleTechnologyOperationsPeopleTechnologyOperationsTechnology运作体系组织体系技术体系安全组织/人员遵照策略制度依靠技术手段进行运作管理组织、策略、技术、运作之间的关系ISCAOperationsPeopleTechnology信息安全保障体系深度防护战略安全策略体系安全策略框架–安全方针–安全组织管理体系和职责–安全标准和规范–安全制度和管理办法–安全操作流程–用户协议安全策略运作流程–安全策略制定和开发–安全策略培训和教育–安全策略实施发布和推行–安全策略实施审计考核–安全策略定期审核和修订ISCA安全策略框架安全方针/Top-levelPolicy组织机构和人员职责/O.chart,Role-Resp.技术标准和规范、方法学/Standards管理制度和规定/Regulation操作流程/Procedure,Manual用户协议/AgreementB表示B从A引申而出，将A作为依据，遵照A，不发生违背和冲突。AISCA安全策略覆盖的内容组织——有关组织架构，组织和人员责任。人员——人员安全管理、意识、技能资产——对资产管理、分类和价值。业务——业务系统的安全规范和制度，覆盖综合业务网络、企业内部网络和企业调度、生产业务网络技术——安全技术框架和系列安全技术标准运作——安全运行和维护管理业务连续性——业务连续性计划和框架策略——策略自身的建设和管理ISCAOperationsPeopleTechnologyOperationsPeopleTechnologyDefenseinDepthFocusAreasOperationsTechnology运作体系组织体系技术体系信息安全保障体系深度防护战略–安全领导小组–安全组织建设–安全顾问组–组织间的合作–岗位安全职责–培训和教育–安全考核和处罚–第三方安全管理安全组织体系ISCAOperationsPeopleTechnologyOperationsPeopleTechnologyOperations运作体系信息安全保障体系深度防护战略安全运作体系组织体系技术体系–资产识别–风险评估–安全规划–方案设计–工程实施–工程验收–运行维护–事件响应–运作规范化–业务连续性管理ISCA安全技术体系OperationsPeopleTechnologyOperationsPeopleTechnologyOperationsTechnology运作体系组织体系技术体系信息安全保障体系深度防护战略保护网络与基础设施保护综合业务网络保护内部网络保护Internet业务KMI/PKI检测响应MonitorCenter安全基础设施ISCA主要保护对象•大型业务主机系统•应用网络•应用业务•内部网络•其他业务网络保护综合业务网络安全主要保护内容•