滕 文
(陜西國際商貿(mào)學院,陜西 西安 710000)
在安全策略的制定和管理過程中,我們應該從以下幾個方面來處理。
安全與應用既是一對矛盾,又相互依存。沒有應用,局不會產(chǎn)生相應的安全需求;不能妥善地解決安全問題,就不能更好的展開應用。安全是有代價的,會增加系統(tǒng)運行負擔以及相應的系統(tǒng)建設、硬件設施的費用;會規(guī)定一些限制給使用帶來一些不便。應用需要安全,安全為了應用。
怎樣才是適度安全,需要用風險評估的方法才能得出結論。風險評估圍繞威脅、資產(chǎn)、脆弱性、安全措施展開分析。在評估時不僅要考慮現(xiàn)有環(huán)境,還應考慮近期和遠期發(fā)展變化趨勢。然后,還應評估控制風險所需的安全代價。在此基礎上對風險和代價進行均衡,確定相應的安全策略。
信息系統(tǒng)項目是一個非線性的智能化人機結合的復雜系統(tǒng),由于人能力的局限性,導致很多想法出發(fā)點很好,但最終實現(xiàn)起來會有很多的漏洞,還有使用和管理人員在系統(tǒng)應用過程中也經(jīng)常會犯一些錯誤,導致了系統(tǒng)的風險。當前對于系統(tǒng)安全性的研究,攻擊和反攻擊的技術相互追逐,不斷提高。安全是相對的,是一個風險大小的問題,是一個動態(tài)的過程。我們不能一味地追求所謂的絕對安全,而是要將安全風險控制在合理程度或者是允許的范圍內(nèi)。
“木桶效應”是將整個信息安全系統(tǒng)從一個完整的系統(tǒng)角度,比作一個木桶。其安全水平是由構成木桶的最短的那塊木板條決定的。所以說,我們的信息系統(tǒng)安全中,各個安全因素的重要性是同等的,各方面的因素都不能被忽略。需要強調(diào)的是,安全管理在所有要素中具有極其重要的地位。安全管理科如果有漏洞,其他安全措施即使再投入也無濟于事。
制定安全策略,實際上就是去頂信息安全保障系統(tǒng)如何建、怎么建、建好后如何管理、怎么管等問題,通常需要把握以下原則。
信息安全保護工作事關大局,影響組織和機構的全局,主要領導人必須把安全作為最關心的問題之一,并負責提高加強部門人員的安全意識,組織有效的隊伍,調(diào)動必要的資源和經(jīng)費,協(xié)調(diào)信息安全管理工作與各部門的工作,使之落實、有效。
有關部門或組織根據(jù)其信息重要程度和敏感程度以及自身資源的客觀條件,按標準確定信息安全管理要求的相應等級,并在履行相應的審批手續(xù)后,切實從相應等級的規(guī)范要求,制定相應的安全策略,并認真實施。
威脅和保護這兩個對立面是信息安全管理工作的主體。實踐表明它們在很大程度上受制于人的因素。加強信息安全教育、培訓和管理,強化安全意識和法制觀念,提升職業(yè)道德,掌握安全技術是做好信息安全管理工作的重要保障。
全面防范是信息系統(tǒng)綜合保障措施。它需要從人員、管理和技術多方面,在預警、保護、檢測、反應、恢復和跟蹤等多個環(huán)節(jié)上采用多種技術實施。同時,又要從組織和機構的實際情況出發(fā),突出自身的信息安全管理重點。不同的部門,不同的信息系統(tǒng)應有不同的信息安全管理重點。
信息系統(tǒng)安全管理的系統(tǒng)特征突出。要按照系統(tǒng)工程的要求,注意各方面,各層次的相互協(xié)調(diào)和銜接,以便于能按照”木桶原理”體現(xiàn)信息保護安全管理的系統(tǒng)集成效果。同時,信息保護安全管理又是一種狀態(tài)和過程,隨著系統(tǒng)脆弱性及其強度的時空分布的變化,威脅程度的提高,系統(tǒng)環(huán)境的變化以及人員對系統(tǒng)安全認識的深化等,必須及時有效的將現(xiàn)有的安全策略、風險接受程度和保護措施進行復查、修改、調(diào)整以至提升安全管理等級。
目的在于保護計算機的服務器、網(wǎng)絡交換、系統(tǒng)終端等設備免受自然災害以及人為破壞等因素,使其能夠正常使用。制定物理安全策略,要重點關注存放計算機服務器以及核心網(wǎng)絡交換設備的機房的安全防范。遵循國家相關標準,加裝防盜報警設備,提供良好的接地和供電環(huán)境,要為核心設備配置UPS以及穩(wěn)壓電源等設備。
目的在于防范和抵御網(wǎng)絡可能受到的攻擊,保證網(wǎng)絡資源能夠被正常的使用,不被非法使用和訪問,保護網(wǎng)內(nèi)數(shù)據(jù)的數(shù)據(jù)安全。訪問控制是保護網(wǎng)絡資源、維護網(wǎng)絡安全的重要手段,是網(wǎng)絡安全核心策略之一。訪問控制包括入網(wǎng)訪問控制、網(wǎng)絡授權控制、目錄級安全控制、以及防火墻控制等。身份認證、內(nèi)容檢查也是保護網(wǎng)絡安全的有效措施。網(wǎng)絡加密手段主要有鏈路加密、端點加密以及節(jié)點加密。另外,數(shù)字認證則是在一定程度上保證了網(wǎng)上交易信息的安全。
目的在于防止數(shù)據(jù)被非法泄露、篡改、變更、破壞,以確保數(shù)據(jù)完整性、保密性、可用性。數(shù)據(jù)安全包括數(shù)據(jù)的存儲安全和傳輸安全兩個方面。數(shù)據(jù)的存儲安全系指數(shù)據(jù)存放狀態(tài)下的安全,可借助數(shù)據(jù)異地備份、密文存儲、訪問權限控制、身份識別、局部隔離等策略提高安全防范水平。
目的在于防止由于軟件質(zhì)量缺陷或安全漏洞使信息系統(tǒng)被非法控制,或使之性能下降、拒絕服務和停機。軟件安全策略分為系統(tǒng)軟件安全策略和應用軟件安全策略兩類。對通用的應用軟件,可以通過加強與軟件提供商的溝通,及時發(fā)現(xiàn)、堵塞安全漏洞。對于量身定做的應用軟件,可考慮優(yōu)選通過質(zhì)量控制體系認證和市場推廣經(jīng)驗的軟件公司,加強軟件開發(fā)質(zhì)量控制,加強容錯設計,安排較長時間的試運行等策略,以規(guī)避風險,提高安全防范水平。
目的在于加強計算機信息系統(tǒng)運行管理,提高系統(tǒng)安全性、可靠性。要確保系統(tǒng)穩(wěn)健運行,減少惡意攻擊、各類故障帶來的負面效應,有必要建立行之有效的系統(tǒng)運行維護機制和相關制度。比如,建立健全中心機房管理制度,信息設備操作使用規(guī)程,信息系統(tǒng)維護制度,網(wǎng)絡通訊管理制度,應急響應制度,等等。要根據(jù)分工,落實系統(tǒng)使用與運行維護工作責任制。加強對相關人員的培訓和安全教育,減少因為誤操作給系統(tǒng)安全帶來的沖擊。要妥善保存系統(tǒng)運行、維護資料,做好相關記錄,要定期組織應急演練,以備不時之需。
目的在于趁著系統(tǒng)還在運行的時候,制定一個災難恢復計劃,將災難帶來的損失降低到最小,使系統(tǒng)安全得到保障的策略。主要需根據(jù)本單位及信息系統(tǒng)的實際情況,研究系統(tǒng)遇到災害后對業(yè)務的影響,設計災后業(yè)務切換辦法,如定期備份數(shù)據(jù),根據(jù)災難類型,制訂災難恢復流程,建立災難預警、觸發(fā)、響應機制,組織相關培訓和練習,適時升級和維護災難恢復計劃等等。