【摘要】隨著企業(yè)信息化建設的迅猛發(fā)展，企業(yè)信息系統(tǒng)已成為現(xiàn)代企業(yè)運營的基礎平臺，企業(yè)信息系統(tǒng)的安全平穩(wěn)運行，已關系到整個企業(yè)的運營和發(fā)展。未雨綢繆，如何應信息安全事件的發(fā)生，建設企業(yè)信息系統(tǒng)的安全防護體系，保障企業(yè)數(shù)據(jù)的安全性和信息系統(tǒng)的業(yè)務連續(xù)性，已成為企業(yè)信息化建設中需要重點思考的課題。本文針對企業(yè)信息系統(tǒng)的安全建設規(guī)劃，從企業(yè)信息系統(tǒng)安全防護價值、企業(yè)信息系統(tǒng)安全建設現(xiàn)狀分析、企業(yè)信息安全建設規(guī)劃的原則和企業(yè)信息安全建設規(guī)劃的部署建議等幾個方面，進行了探討和分析，旨在幫助企業(yè)提高信息系統(tǒng)安全建設的系統(tǒng)性和規(guī)范性。

【關鍵詞】信息系統(tǒng)；安全建設；防護體系

1.企業(yè)信息系統(tǒng)安全防護的價值

隨著企業(yè)信息化水平的提高，企業(yè)對于IT系統(tǒng)的依賴性也越來越高。一方面，“業(yè)務系統(tǒng)流程化”正在成為IT安全建設的驅(qū)動力。企業(yè)的新業(yè)務應用正在逐漸標準化和流程化，各種應用系統(tǒng)如ERP、MES為企業(yè)的生產(chǎn)效率的提高起到了關鍵的作用。有效的管控IT環(huán)境，確保IT業(yè)務系統(tǒng)的持續(xù)穩(wěn)定運行作為企業(yè)競爭力的一部分，已成為IT系統(tǒng)安全防護的主要目標和關鍵驅(qū)動力。另一方面，企業(yè)IT安全的建設也是“法規(guī)遵從”的需要。IT系統(tǒng)作為企業(yè)財務應用系統(tǒng)的重要支撐，必須提供可靠的運行保障和數(shù)據(jù)正確性保證。

2.企業(yè)信息系統(tǒng)安全建設的現(xiàn)狀分析

在企業(yè)信息化建設的過程中，業(yè)務系統(tǒng)的建設一直是關注的重點，但是IT業(yè)務系統(tǒng)的安全保障方面，往往成為整個信息化最薄弱的環(huán)節(jié)，尤其是在信息化水平還較低的情況下，IT系統(tǒng)的安全建設缺乏統(tǒng)一的策略作為指導。歸結起來，企業(yè)在IT系統(tǒng)安全建設的過程中，存在以下幾方面的不足：

2.1 安全危機意識不足，制度和規(guī)范不健全

盡管知道IT安全事故后果比較嚴重，但是企業(yè)的高層領導心中仍然存在著僥幸心理，更多的時候把IT安全建設的預算挪用到其他的領域。企業(yè)在信息安全制度及信息安全緊急事件響應流程等方面缺乏完整的制度和規(guī)范保證，由此帶來的后果是諸如對網(wǎng)絡的任意使用，導致公司的機密文檔被擴散。同時在發(fā)生網(wǎng)絡安全問題的時候，也因為缺乏預先設置的各種應急防護措施，導致安全風險得不到有效控制。

2.2 應用系統(tǒng)和安全建設相分離，忽視數(shù)據(jù)安全存儲建設

在企業(yè)IT應用系統(tǒng)的建設時期，由于所屬的建設職能部門的不同，或者是因為投資預算的限制，導致在應用系統(tǒng)建設階段并沒有充分考慮到安全防護的需要，為后續(xù)的應用系統(tǒng)受到攻擊癱瘓埋下了隱患。數(shù)據(jù)安全的威脅表現(xiàn)在核心數(shù)據(jù)的丟失；各種自然災難、IT系統(tǒng)故障，也對數(shù)據(jù)安全帶來了巨大沖擊。遺憾的是很多企業(yè)在數(shù)據(jù)的安全存儲方面，并沒有意識到同城異地災難備份或遠程災難備份的重要性。

2.3 缺乏整體的安全防護體系，“簡單疊加、七國八制”

對于信息安全系統(tǒng)的建設，“頭痛醫(yī)頭、腳痛醫(yī)腳”的現(xiàn)象比較普遍。大多數(shù)企業(yè)仍然停留在出現(xiàn)一個安全事故后再去解決一個安全隱患的階段，缺乏對信息安全的全盤考慮和統(tǒng)一規(guī)劃，這樣的后果就是網(wǎng)絡上的設備五花八門，設備方案之間各自為戰(zhàn)，缺乏相互關聯(lián)，從而導致了多種問題。

3.企業(yè)信息系統(tǒng)安全建設規(guī)劃的原則

企業(yè)的信息化安全建設的目標是要保證業(yè)務系統(tǒng)的正常運轉從而為企業(yè)帶來價值，在設計高水平的安全防護體系時應該遵循以下幾個原則：

（1）統(tǒng)一規(guī)劃設計。信息安全建設，需要遵循“統(tǒng)一規(guī)劃、統(tǒng)一標準、統(tǒng)一設計、統(tǒng)一建設”的原則；應用系統(tǒng)的建設要和信息安全的防護要求統(tǒng)一考慮。

（2）架構先進，突出防護重點。要采用先進的架構，選擇成熟的主流產(chǎn)品和符合技術發(fā)展趨勢的產(chǎn)品；明確信息安全建設的重點，重點保護基礎網(wǎng)絡安全及關鍵應用系統(tǒng)的安全，對不同的安全威脅進行有針對性的方案建設。

（3）技術和管理并重，注重系統(tǒng)間的協(xié)同防護?！叭旨夹g，七分管理”，合理劃分技術和管理的界面，從組織與流程、制度與人員、場地與環(huán)境、網(wǎng)絡與系統(tǒng)、數(shù)據(jù)與應用等多方面著手，在系統(tǒng)設計、建設和運維的多環(huán)節(jié)進行綜合協(xié)同防范。

（4）統(tǒng)一安全管理，考慮合規(guī)性要求。建設集中的安全管理平臺，統(tǒng)一處理各種安全事件，實現(xiàn)安全預警和及時響應；基于安全管理平臺，輸出各種合規(guī)性要求的報告，為企業(yè)的信息安全策略制定提供參考。

（5）高可靠、可擴展的建設原則。這是任何網(wǎng)絡安全建設的必備要求，是業(yè)務連續(xù)性的需要，是滿足企業(yè)發(fā)展擴容的需要。

4.企業(yè)信息系統(tǒng)安全建設的部署建議

以ISO27001等企業(yè)信息安全法規(guī)[1]遵從的原則為基礎，通過分析企業(yè)信息安全面臨的風險和前期的部署實踐，建立企業(yè)信息安全建設模型，如圖1所示。

圖1 企業(yè)信息系統(tǒng)安全建設模型

基于上述企業(yè)信息安全建設模型，在建設終端安全、網(wǎng)絡安全、應用安全、數(shù)據(jù)安全、統(tǒng)一安全管理和滿足法規(guī)遵從的全面安全防護體系時，需要重點關注以下幾個方面的部署建議：

4.1 實施終端安全，關注完整的用戶行為關聯(lián)分析

在企業(yè)關注的安全事件中，信息泄漏是屬于危害比較嚴重的行為。現(xiàn)階段由于企業(yè)對網(wǎng)絡的管控不嚴，員工可以通過很多方式實現(xiàn)信息外泄，常見的方式有通過桌面終端的存儲介質(zhì)進行拷貝或是通過QQ/MSN等聊天工具將文件進行上傳等。針對這些高危的行為，企業(yè)在建設信息安全防護體系的時候，單純的進行桌面安全控制或者internet上網(wǎng)行為控制都不能完全杜絕這種行為。而在統(tǒng)一規(guī)劃實施的安全防護體系中，系統(tǒng)從用戶接入的那一時刻開始，就對用戶的桌面行為進行監(jiān)控，同時配合internet上網(wǎng)行為審計設備，對該員工的上網(wǎng)行為進行監(jiān)控和審計，真正做到從員工接入網(wǎng)絡開始的各種操作行為及上網(wǎng)行為都在嚴密的監(jiān)控之中，提升企業(yè)的防護水平。

4.2 建設綜合的VPN接入平臺

無論是IPSec、L2TP，還是SSL VPN，都是企業(yè)在VPN建設過程中必然會遇到的需求。當前階段，總部與分支節(jié)點的接入方式有廣域網(wǎng)專線接入和通過internet接入兩種。使用VPN進行加密數(shù)據(jù)傳輸是通用的選擇。對于部分移動用戶接入，也可以考慮部署SSL VPN的接入方式[2]，在這種情況下，如何做好將多種VPN類型客戶的認證方式統(tǒng)一是需要重點考慮的問題。而統(tǒng)一接入認證的方式，如采用USBKEY等，甚至在設備采購時就可以預先要求設備商使用一臺設備同時支持這些需求。這將給管理員的日常維護帶來極大的方便，從而提升企業(yè)整體的VPN接入水平。

4.3 優(yōu)化安全域的隔離和控制，實現(xiàn)L2～L7層的安全防護

在建設安全邊界防護控制過程中，面對企業(yè)的多個業(yè)務部門和分支機構，合理的安全域劃分將是關鍵。按照安全域的劃分原則，企業(yè)網(wǎng)絡包括內(nèi)部園區(qū)網(wǎng)絡、Internet邊界、DMZ、數(shù)據(jù)中心、廣域網(wǎng)分支、網(wǎng)管中心等組成部分，各安全域之間的相互隔離和訪問策略是防止安全風險的重要環(huán)節(jié)。在多樣化安全域劃分的基礎上，深入分析各安全域內(nèi)的業(yè)務單元，根據(jù)企業(yè)持續(xù)性運行的高低優(yōu)先級以及面臨風險的嚴重程度，設定合適的域內(nèi)安全防護策略及安全域之間的訪問控制策略，實現(xiàn)有針對性的安全防護。例如，選擇FW+IPS等設備進行深層次的安全防護，或者提供防垃圾郵件、Web訪問控制等解決方案進行應對，真正實現(xiàn)L2～L7層的安全防護。

4.4 強調(diào)網(wǎng)絡和安全方案之間的耦合聯(lián)動，實現(xiàn)網(wǎng)絡安全由被動防御到主動防御的轉變

統(tǒng)一規(guī)劃的技術方案，可以做到方案之間的有效關聯(lián)，實現(xiàn)設備之間的安全聯(lián)動。在實際部署過程中，在接入用戶側部署端點準入解決方案，實現(xiàn)客戶端點安全接入網(wǎng)絡。同時啟動安全聯(lián)動的特性，一旦安全設備檢測到內(nèi)部網(wǎng)用戶正在對網(wǎng)絡的服務器進行攻擊，可以實現(xiàn)對攻擊者接入位置的有效定位，并采取類似關閉接入交換機端口的動作響應，真正實現(xiàn)從被動防御向主動防御的轉變。

4.5 實現(xiàn)統(tǒng)一的安全管理，體現(xiàn)對整個網(wǎng)安全事件的“可視、可控和可管”

統(tǒng)一建設的安全防護系統(tǒng)，還有一個最為重要的優(yōu)勢，就是能實現(xiàn)對全網(wǎng)安全設備及安全事件的統(tǒng)一管理。面對各種安全設備發(fā)出來的大量的安全日志，單純靠管理員的人工操作是無能為力的，而不同廠商之間的安全日志可能還存在較大的差異，難以實現(xiàn)對全網(wǎng)安全事件的統(tǒng)一分析和報警管理。因此在規(guī)劃之初，就需要考慮到各種安全設備之間的日志格式的統(tǒng)一化，需要考慮設定相關安全策略以實現(xiàn)對日志的歸并分析并最終輸出各種合規(guī)性的報表，只有這樣才能做到對全網(wǎng)安全事件的統(tǒng)一可視、安全設備的統(tǒng)一批量配置下發(fā)，以及整網(wǎng)安全設備的防控策略的統(tǒng)一管理，最終實現(xiàn)安全運行中心管控平臺的建設。[3]

4.6 關注數(shù)據(jù)存儲安全，強調(diào)本地數(shù)據(jù)保護和遠程災難備份相結合

在整體數(shù)據(jù)安全防護策略中，可以采用本地數(shù)據(jù)保護和遠程災備相結合的方式。基于CDP的數(shù)據(jù)連續(xù)保護技術可以很好地解決數(shù)據(jù)本地安全防護的問題，與磁帶庫相比，它具有很多的技術優(yōu)勢。在數(shù)據(jù)庫代理的配合下，通過連續(xù)數(shù)據(jù)快照功能實現(xiàn)了對重要數(shù)據(jù)的連續(xù)數(shù)據(jù)保護，用戶可以選擇在出現(xiàn)災難后恢復到前面保存過的任何時間點的狀態(tài)，同時支持對“漸變式災難”的保護和恢復。在建設異地的災備中心時，可以考慮從數(shù)據(jù)級災備和應用級災備兩個層面進行。生產(chǎn)中心和異地災備中心的網(wǎng)絡連接方式可以靈活選擇，即可采用光纖直連，也可采用足夠帶寬的IP網(wǎng)絡連接。在數(shù)據(jù)同步方式選擇上，生產(chǎn)中心和災備中心采用基于磁盤陣列的異步復制技術，實現(xiàn)數(shù)據(jù)的異地災備。異地災備中心還可以有選擇地部署部分關鍵應用服務器，以提供對關鍵業(yè)務的應用級接管能力，從而實現(xiàn)對數(shù)據(jù)安全的有效防護。

5.結束語

企業(yè)信息安全防護體系的建設是一個長期的持續(xù)的工作，不是一蹴而就的，就像現(xiàn)階段的信息安全威脅也在不斷的發(fā)展和更新，針對這些信息安全威脅的防護手段也需要逐步的更新并應用到企業(yè)的信息安全建設之中，這種動態(tài)的過程將使得企業(yè)的信息安全防護更有生命力和主動性，真正為企業(yè)的業(yè)務永續(xù)運行提供保障。

參考文獻

[1]李納.計算機系統(tǒng)安全與計算機網(wǎng)絡安全淺析[J].科技與企業(yè)，2013.

[2]李群，周相廣，陳剛.中國石油上游信息系統(tǒng)災難備份技術與實踐[J].信息技術與信息化，2010，06.

[3]劉仁山，孟祥宏.基于層次分析法的信息系統(tǒng)安全評價研究[J].河北工業(yè)科技，2013，01.

作者簡介：顧宇（1977—），男，吉林吉林人，高級工程師，吉化信息網(wǎng)絡公司軟信分公司副經(jīng)理，主要從事企業(yè)信息系統(tǒng)的建設和運行維護工作。