劃分安全域，建立基于安全域的信息安全防御體系，可以提高企業(yè)的信息安全保障能力，使信息系統(tǒng)更加安全可靠地運(yùn)行。

社會(huì)信息化建設(shè)逐步深入，各行各業(yè)對(duì)信息系統(tǒng)的依賴程度正在不斷提高，信息系統(tǒng)對(duì)業(yè)務(wù)的支撐作用更加明顯。企業(yè)必須保護(hù)這些對(duì)其發(fā)展壯大至關(guān)重要的信息資產(chǎn)。由于入侵、破壞信息系統(tǒng)的事件每天都在發(fā)生，加上對(duì)于Internet危險(xiǎn)地帶的認(rèn)知不斷加深，企業(yè)對(duì)信息安全的需求前所未有地高漲起來(lái)。對(duì)于企業(yè)而言，安全問(wèn)題已經(jīng)不再遙不可及，而是開(kāi)始在自己身邊出現(xiàn)。安全漏洞會(huì)大大降低企業(yè)的市場(chǎng)價(jià)值，威脅到企業(yè)的生存，即使最小的漏洞也能將企業(yè)的名譽(yù)、客戶的隱私信息和知識(shí)產(chǎn)權(quán)置于危險(xiǎn)之中。

如何提高企業(yè)的信息安全保障能力，確保信息系統(tǒng)安全且可靠地運(yùn)行，已經(jīng)成為企業(yè)亟待解決的問(wèn)題。

劃分安全域

當(dāng)我們面對(duì)一個(gè)龐大而復(fù)雜的信息系統(tǒng)時(shí)，單獨(dú)對(duì)每項(xiàng)信息資產(chǎn)確定保護(hù)方法是非常復(fù)雜的工作，常常由于疏忽或錯(cuò)誤導(dǎo)致安全漏洞。但是，將整個(gè)系統(tǒng)作為一個(gè)安全等級(jí)來(lái)防護(hù)，會(huì)出現(xiàn)沒(méi)有防范層次和防范重點(diǎn)、對(duì)內(nèi)部風(fēng)險(xiǎn)的控制能力不夠等問(wèn)題。因此，人們提出了分域的安全防護(hù)思路，即:科學(xué)地進(jìn)行區(qū)域的劃分，每個(gè)區(qū)域具有基本相同的安全特性，如安全級(jí)別、安全威脅、風(fēng)險(xiǎn)等，依據(jù)這些特性，將信息資產(chǎn)歸入不同的域中，實(shí)施不同的安全保護(hù)。這種安全防護(hù)思路實(shí)際上是基于“同構(gòu)性簡(jiǎn)化”的理念提出的，它將復(fù)雜的環(huán)境歸結(jié)成若干個(gè)簡(jiǎn)單“單元”的組合，歸入同一安全域內(nèi)的信息系統(tǒng)共享相同的安全防護(hù)手段，大規(guī)模復(fù)雜系統(tǒng)的安全問(wèn)題轉(zhuǎn)化為若干個(gè)較小區(qū)域的安全保護(hù)問(wèn)題，最終可以實(shí)現(xiàn)對(duì)所有信息系統(tǒng)的全方位、分層次的有效保護(hù)。

通過(guò)對(duì)業(yè)務(wù)系統(tǒng)的分析，可以把安全域劃分為安全用戶域、安全網(wǎng)絡(luò)域、業(yè)務(wù)服務(wù)域、基礎(chǔ)保障域:

安全用戶域是對(duì)訪問(wèn)業(yè)務(wù)服務(wù)域的各類客戶端和維護(hù)終端的劃分，是風(fēng)險(xiǎn)子域，需要建立桌面安全標(biāo)準(zhǔn)，加強(qiáng)認(rèn)證、防病毒與審計(jì);

安全網(wǎng)絡(luò)域包括安全域的網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)拓?fù)?，是信息承載子域，需要保障網(wǎng)絡(luò)性能，進(jìn)行域間安全隔離與邊界防護(hù);

業(yè)務(wù)服務(wù)域是安全域的核心子域，是對(duì)業(yè)務(wù)服務(wù)器、數(shù)據(jù)庫(kù)等重要應(yīng)用的劃分，需要重點(diǎn)防護(hù)病毒攻擊、信息竊取與篡改、誤操作數(shù)據(jù)丟失等行為;

基礎(chǔ)保障域提供統(tǒng)一的安全服務(wù)，包括身份認(rèn)證、安全管理、策略管理、補(bǔ)丁管理等服務(wù)。

建立縱深防御體系

依據(jù)安全域劃分原則，同一安全域擁有相同的安全等級(jí)和屬性，域內(nèi)是相互信任的，安全風(fēng)險(xiǎn)主要來(lái)自不同的安全域互訪，需要加強(qiáng)安全域邊界的安全防護(hù)。

相同級(jí)別安全域之間的安全等級(jí)相同，主要考慮的是域間安全隔離和可信互訪。從業(yè)務(wù)角度出發(fā)劃分安全域，如在用戶支撐網(wǎng)絡(luò)中將辦公管理系統(tǒng)、人力資源管理系統(tǒng)、財(cái)務(wù)管理系統(tǒng)等劃分為不同的安全域。為了防止單點(diǎn)安全事件擴(kuò)散到整個(gè)網(wǎng)絡(luò)，如人力資源系統(tǒng)出現(xiàn)問(wèn)題時(shí)，應(yīng)進(jìn)行安全隔離，避免其對(duì)辦公管理、財(cái)務(wù)等系統(tǒng)造成影響。

不同級(jí)別安全域之間的互訪會(huì)帶來(lái)較大的安全風(fēng)險(xiǎn)，是網(wǎng)絡(luò)安全防護(hù)的重點(diǎn)。安全用戶域是風(fēng)險(xiǎn)子域，用戶同時(shí)訪問(wèn)互聯(lián)網(wǎng)資源和業(yè)務(wù)服務(wù)域是網(wǎng)絡(luò)中面臨的主要風(fēng)險(xiǎn)。通過(guò)認(rèn)證授權(quán)和安全策略的檢查，對(duì)終端的信息系統(tǒng)訪問(wèn)權(quán)限進(jìn)行控制，只有通過(guò)認(rèn)證和安全策略檢測(cè)的終端才擁有一定的信息系統(tǒng)訪問(wèn)權(quán)限，沒(méi)有通過(guò)的終端無(wú)法訪問(wèn)信息系統(tǒng)、甚至不能接入網(wǎng)絡(luò)，從而將安全風(fēng)險(xiǎn)阻擋在網(wǎng)絡(luò)接入的邊緣，最大限度地保護(hù)了業(yè)務(wù)服務(wù)域中核心業(yè)務(wù)系統(tǒng)的安全(見(jiàn)圖1)。

在安全域劃分的基礎(chǔ)上，根據(jù)縱深防御思想，保障安全系統(tǒng)設(shè)計(jì)的廣度和深度，促進(jìn)建立全面、綜合、高效的信息安全保障體系:在廣度上要求從網(wǎng)絡(luò)架構(gòu)、操作系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)等各個(gè)層面考慮安全系統(tǒng)的建設(shè);在深度上要求分層次地、由外而內(nèi)地(從網(wǎng)絡(luò)邊界、內(nèi)部網(wǎng)絡(luò)，到核心服務(wù)器乃至桌面PC)考慮安全體系建設(shè)的規(guī)劃。

基于安全域的縱深防御系統(tǒng)是將安全劃分和防護(hù)的理念與縱深防御理論結(jié)合，構(gòu)建一個(gè)多維、多層的信息安全防御系統(tǒng)。同時(shí)，信息系統(tǒng)安全是“三分技術(shù)、七分管理”，在加強(qiáng)安全防護(hù)技術(shù)的前提下，必須得到高級(jí)管理層的高度重視和密切配合，必須制定一系列的安全管理制度，并保障其有效落實(shí)。信息系統(tǒng)安全建設(shè)是一個(gè)長(zhǎng)期的、不斷完善的過(guò)程，需要隨時(shí)研究、評(píng)估新的威脅帶來(lái)的安全風(fēng)險(xiǎn)，并針對(duì)安全風(fēng)險(xiǎn)，將控制措施不斷地整合到信息安全系統(tǒng)中進(jìn)行更新，提高信息系統(tǒng)安全。