曾弘瑞

安全工作年年做，安全問題年年有

一份來自某客戶企業(yè)內(nèi)網(wǎng)的安全加固統(tǒng)計數(shù)據(jù)反映：發(fā)現(xiàn)問題5447個，修補漏洞3323個，總體加固率為61%。這還是在亞運會大背景下各部門共同推動，各系統(tǒng)維護方、服務(wù)廠家積極配合的結(jié)果。這種客戶網(wǎng)絡(luò)不但存在大量安全風(fēng)險問題，而且存在的問題和已處置解決的問題之間存在較大差距的現(xiàn)狀，不禁讓人擔(dān)憂。

為什么安全工作年年做，問題年年有，還總有些問題年年存在卻總也解決不了，應(yīng)該如何去推動安全工作真正落實下去，而不是把問題和風(fēng)險懸在那里？

據(jù)此，華為在客戶處開展調(diào)研和咨詢工作，并歸納四大典型安全風(fēng)險：即IT系統(tǒng)自身安全性不強；安全加固無法根除所有隱患；安全工作開展存在明顯短板；安全支撐手段不夠，安全要求難以落地。

如何去解決這些疑難雜癥，華為提出安全三同步的工作思路，希望從機制上用系統(tǒng)的方法推動網(wǎng)絡(luò)與信息安全問題的解決，統(tǒng)籌規(guī)劃從前端到運維末端各階段各部門安全工作。

遵循同步規(guī)劃、同步建設(shè)、同步運行的指導(dǎo)思想

關(guān)鍵業(yè)務(wù)相關(guān)系統(tǒng)的穩(wěn)定和安全運行是安全工作的核心，應(yīng)當(dāng)著重從系統(tǒng)全生命周期、全流程角度來同步考慮安全工作，使安全建設(shè)需要符合業(yè)務(wù)發(fā)展需要。

安全三同步以“同步規(guī)劃、同步建設(shè)、同步運行”為指導(dǎo)思想，本著“誰主管、誰負責(zé)”工作原則落實執(zhí)行，在系統(tǒng)生命周期各階段明確責(zé)任部門及安全職責(zé)，在全過程中推行安全同步開展，強化安全工作前移，降低運維階段的服務(wù)壓力。在過程中建立和推行一套工作機制，包括從規(guī)劃到驗收階段統(tǒng)一的管理制度、技術(shù)規(guī)范、運作、實施細則和工作流程，并在過程中梳理支撐手段。統(tǒng)籌規(guī)劃從前端到運維末端各階段各部門安全工作的一體化開展，最終推動系統(tǒng)生命周期安全目標的落實。

三大架構(gòu)共鑄安全三同步工作模型

筆者通過工作架構(gòu)、組織架構(gòu)、體系架構(gòu)三方面來具體介紹安全三同步工作模型。

所謂安全三同步是指圍繞系統(tǒng)的規(guī)劃、建設(shè)和運行三過程同步開展和落實各階段安全要求。這個過程又可細化為5個可操作階段，分別是規(guī)劃設(shè)計、立項采購、開發(fā)實施、上線驗收以及運行維護。對應(yīng)到三同步中，即安全規(guī)劃是對規(guī)劃設(shè)計階段的安全管理，安全建設(shè)是對立項采購、開發(fā)實施、上線驗收的安全管理，安全運行是對運行維護的安全管理。安全貫徹整個系統(tǒng)生命周期，保證了系統(tǒng)由最初的需求到最終的安全運維整個過程的安全。通過做好各階段的安全管理工作，促進系統(tǒng)自身安全性和防護能力提升，推動安全工作中的短板。

安全三同步組織結(jié)構(gòu)則按角色定義，由安全統(tǒng)籌部門以及規(guī)劃、采購、建設(shè)、維護這四個階段主管部門組成，使得安全工作有一個歸口部門進行統(tǒng)一管理，從而使管理工作系統(tǒng)化、統(tǒng)一化。真正做到誰主管誰負責(zé)。

安全三同步文件體系架構(gòu)分為4層，這與目前主流的安全體系諸如ISO27001、ISO20000等體系結(jié)構(gòu)一致。一級文件是管理辦法，指導(dǎo)性文件；二級文件是管理細則文檔，明確提出各階段安全工作要點以及各階段安全主管部門的職責(zé)；三級文件是操作指引文檔，詳細的描述完成安全管理工作的步驟以及關(guān)鍵環(huán)節(jié)工作要點、工作輸入輸出等，規(guī)范并指導(dǎo)工作開展；四級文件為安全三同步工作各相關(guān)記錄文件以及各類配置規(guī)范和標準。

工作流轉(zhuǎn)過程：標準統(tǒng)一、環(huán)環(huán)相扣、責(zé)任明確

圖3是安全三同步的工作流轉(zhuǎn)過程示意圖，從總體上說明了系統(tǒng)各個階段的安全工作。在規(guī)劃設(shè)計時識別安全需求，明確安全目標；在立項采購確保安全要求以具備法律效應(yīng)的書面形式被明確；在開發(fā)實施時落實前期已明確的安全要求；在上線驗收時確保系統(tǒng)滿足系統(tǒng)安全驗收評判要求，而在運維階段確保業(yè)務(wù)連續(xù)性，杜絕信息安全事件，做到安全可控、安全運維。

系統(tǒng)安全工作整個過程是在一個統(tǒng)一標準下進行的，各個環(huán)節(jié)環(huán)環(huán)相扣緊密結(jié)合，以《系統(tǒng)入網(wǎng)安全設(shè)計標準》為參照，進行安全需求分析，確立最終的安全設(shè)計要求。在立項采購時，會以安全設(shè)計要求為依據(jù)，進行招標采購工作。在系統(tǒng)開發(fā)階段會以安全設(shè)計要求作為依據(jù)，開展系統(tǒng)的開發(fā)實施。系統(tǒng)實施完成后，依照系統(tǒng)入網(wǎng)驗收安全標準對系統(tǒng)進行入網(wǎng)驗收，而入網(wǎng)驗收安全標準的制定又與系統(tǒng)入網(wǎng)安全設(shè)計標準是相互關(guān)聯(lián)的。

在各階段的工作落實上，我們定義了各階段的必要環(huán)節(jié)以及規(guī)范相應(yīng)環(huán)節(jié)的輸入輸出要求和責(zé)任部門。以規(guī)劃階段為例，規(guī)劃設(shè)計的安全要求是識別安全需求，明確安全目標。為此我們定義了安全規(guī)劃的必要環(huán)節(jié)即安全需求收集、安全規(guī)劃設(shè)計、規(guī)劃評審，規(guī)劃部門作為明確的責(zé)任部門在設(shè)計時要求遵循安全設(shè)計規(guī)范要求并最終在技術(shù)規(guī)范書輸出中包含安全功能定義，如圖4所示。

工作展望：攜手客戶，推進安全工作落地化

運用安全三同步的理念，把安全管理的工作做落地化推進是開展安全咨詢的新嘗試。在新的工作模式下需要管理、技術(shù)、人員、流程各方面支撐，安全工作會涉及原有流程的調(diào)整，各部門適應(yīng)新的流程也需要一個過程，工作的開展會遇到以往沒有碰到的問題。因此，工作開展會經(jīng)歷體系的建立、體系的試點再到體系推廣和例行化開展這樣階段化漸進的過程。總之，用創(chuàng)新的方法，實踐的態(tài)度，最終一定能建立和完善一套可落地的安全工作機制，提升安全能力和管理水平。

（作者單位：華為技術(shù)有限公司）