●　陜西省標準化研究院　李琪

運用標準化方法提高數據中心信息安全管理水平

●陜西省標準化研究院李琪

聯系國內外信息安全標準化工作現狀，結合GB/T 22080-2008和GB/T 22081-2008兩項標準，對數據中心面臨的信息安全風險進行梳理，針對性地給出信息安全管理和風險控制方法，使數據中心的信息安全管理進一步貫徹先進標準理念，并使數據中心的信息安全管理水平得到有效提高。

標準化數據中心信息安全管理

引言

隨著信息技術的飛速發(fā)展，人類已經大步跨入信息化社會。然而，信息化社會在帶來許多前所未有的便捷的同時，信息安全風險也逐漸增大。信息安全技術的缺乏、信息系統(tǒng)中的大量安全漏洞、網絡上遍布的病毒木馬、管理上的不規(guī)范和操作人員的安全意識淡薄，這些都導致嚴重的信息安全問題，從而給不法分子可乘之機，給人民財產安全甚至國家安全帶來重大隱患。

2014年，有安全平臺披露國內在線旅游市場份額最大的服務商——攜程網安全支付日志存在漏洞，可導致大規(guī)模用戶信息如姓名、身份證號、銀行卡類別、銀行卡號、銀行卡CVV碼（信用卡背面的3位數安全碼）等信息泄露。這些數據一旦落入黑客手中，盜刷銀行卡幾乎輕而易舉。另外，在2015年春運前夕，“12306”網站超過100 000余條的用戶數據遭到泄漏，經分析后得知數據泄露的主要原因是黑客的“撞庫攻擊”。類似的案例還有很多，這些案例都使人們不得不重新審視周邊的信息安全風險，相關機構在推進信息化的同時，不得不提高信息安全管理水平。

對于信息化這把“雙刃劍”的使用，一方面應繼續(xù)利用信息技術提升生產力和人民生活水平；另一方面，也應該高度重視信息安全風險，加強研究信息安全技術和制定相關標準，使信息安全在信息化進程中發(fā)揮保障作用。

許多機關單位、事業(yè)單位和銀行、電信等行業(yè)機構都設有數據中心以負責數據庫和信息系統(tǒng)的建設、運行和維護工作。數據中心對于各類信息系統(tǒng)的安全穩(wěn)定運行起著重要的支撐作用，但同時也面臨嚴重的信息安全風險和威脅?！叭旨夹g，七分管理”，要使信息系統(tǒng)安全穩(wěn)定運行并為信息化社會提供支撐和保障，數據中心不但應完善相關信息安全技術，更應該借鑒、吸收和采用國內外先進標準，運用標準化方法有效提高信息安全管理水平。

信息安全管理與標準化

信息安全不僅是技術問題，也是管理問題。標準化是完善管理職能、提高管理效率的好方法。信息安全管理離不開信息安全標準化，而信息安全標準化離不開一系列信息安全標準。信息安全標準是信息安全保障體系建設的技術支撐，是維護國家利益和保障國家安全的一項重要工具。

信息安全管理的標準化工作首先起始于國外。上世紀90年代，國際上已有許多成熟的信息安全管理標準，其中應用最廣泛的是BS7799。BS7799是由英國標準協(xié)會（British Standard Institute， BSI）于1995年2月制定，并被國際標準化組織（International Standardization Organization， ISO）和國際電工委員會（International Electrotechnical Commission， IEC）共同吸納為ISO/IEC 27001:2005《信息技術-安全技術-信息安全管理體系-要求》和ISO/IEC 27002:2005《信息技術-安全技術-信息安全管理實施細則》兩項標準。2013年，ISO在修訂ISO/IEC 27001:2005和ISO/IEC 27002:2005的基礎上發(fā)布了ISO/IEC 27001:2013和ISO/IEC 27001:2013。新標準提供了更加全面系統(tǒng)的信息安全管理體系，適應了信息通信技術新形勢下的信息安全管理要求。

ISO/IEC 27001是ISO/IEC 27000標準族的主標準，也是目前世界上唯一的信息安全管理標準，成為“信息安全管理”的國際通用語言，被全球5 000多家政府機構和大型企業(yè)所采用。ISO/IEC 27001采用的方法是通過“風險評估”和“風險管理”切入企業(yè)的信息安全需求，有效降低企業(yè)面臨的風險。利用ISO/IEC 27001建立信息安全管理體系已成為各類組織機構，特別是高科技產業(yè)和金融機構控制風險不可缺少的重要機制。

我國信息安全標準化工作起始于上世紀80年代，直至2002年，我國信息安全標準化工作取得了許多豐碩的早期成果。2002年4月，全國信息安全標準化技術委員會（以下簡稱“信安標委”）的成立，標志著我國信息安全標準化工作進入了“統(tǒng)籌規(guī)劃，協(xié)調發(fā)展”的新時期。信安標委在成立后聯合國家各部門制定了一系列涵蓋信息安全各方面、解決信息安全關鍵問題的國家標準，開展了許多富有成效的工作。

2008年，信安標委發(fā)布了GB/T 22080-2008和GB/T 22081-2008兩項標準，分別等同采用ISO/IEC 27001:2005和ISO/IEC 27002:2005.

數據中心信息安全風險

下面以陜西省組織機構代碼管理中心機房作為數據中心的考察原型，討論數據中心面臨的幾種最主要的安全風險，為構建貫徹先進標準理念的數據中心信息安全管理體系和提高數據中心信息安全管理水平奠定基礎。

1.數據泄漏風險

數據中心服務器儲存的數據往往涉及個人隱私、單位信息甚至國家機密，因此數據中心面臨較大的數據泄露風險。數據泄露的途徑主要有以下幾種：

（1）入侵泄露

服務器通過網絡設備接入各類業(yè)務系統(tǒng)以支持工作的正常開展，然而網絡并不是絕對安全，存在許多安全隱患。黑客可以通過網絡與操作系統(tǒng)漏洞侵入數據庫服務器，竊取機密數據。病毒、木馬等惡意程序一旦進入服務器操作系統(tǒng)，會將機密數據通過后門發(fā)送給不法分子。

（2）人員泄露

不法人員進入數據中心機房，并獲取數據庫服務器的訪問權限后，會造成機密數據泄露。此外，數據中心工作人員缺乏信息安全意識，不了解信息安全策略、技術和相關法律知識，從而有可能做出違法違規(guī)行為，導致數據泄露事件的發(fā)生。

（3）傳輸泄露

數據中心與數據應用單位和其他數據中心存在數據交換的傳輸信道，這條信道通常是加密信道或專線，但是數據傳輸信道加密和認證技術的安全等級不一定能夠滿足信息安全要求，并且傳輸信道大多數暴露在自然界，極易被不法分子竊聽和篡改。

（4）存儲介質泄露

遷移或交換數據時經常使用可移動介質來暫存數據，這給數據中心增加了數據泄露風險。U盤、移動硬盤等可移動介質管理難度大、丟失率高，并且極易攜帶惡意軟件，會給數據機密性帶來嚴重威脅。

2.病毒和木馬

病毒和木馬極易通過網絡和可移動介質進入數據庫服務器。病毒會干擾、破壞服務器的正常運行，給日常工作業(yè)務帶來嚴重影響。木馬會在服務器中設置后門，監(jiān)聽并竊取服務器的機密數據和隱私信息。

3.軟硬件缺陷

數據中心服務器軟硬件及運行其中的各類業(yè)務系統(tǒng)，都是由基礎電子元件和編程語言代碼構成，很難保證不存在缺陷。對于業(yè)務量巨大并且儲存有機密數據的服務器來說，一個軟硬件的缺陷就有可能導致重大損失。因此數據中心的軟硬件設施建設必須做到高標準、高質量。

4.誤操作風險

數據中心工作人員在服務器或者業(yè)務系統(tǒng)上的誤操作會導致系統(tǒng)出錯甚至癱瘓。雖然誤操作可能是無意識的，但是會給用戶和單位造成重大損失。因此工作人員的誤操作也是數據中心面臨的主要信息安全風險之一。

5.物理和環(huán)境安全風險

數據中心的物理和環(huán)境安全也面臨著種種風險，例如雷擊、火災和偷盜等事故，這些事故往往具有突發(fā)性和災難性，會給數據中心帶來難以恢復的損失。因此數據中心的物理安全風險也應該被高度重視。

運用標準化方法提高信息安全管理水平

信息安全管理是指導和控制組織關于信息安全風險相互協(xié)調的活動，除在制定信息安全策略方針目標基礎上選擇控制目標和控制方式外，組織還需考慮控制成本與風險平衡原則，將風險降低到可接受水平，整個過程需要全員參與，實時動態(tài)管理。下面結合GB/T 22080-2008和GB/T 22081-2008兩項標準，對前文所述數據中心面臨的信息安全風險給出具體控制措施，并進一步討論建立、實施、運行、監(jiān)視、評審、保持和改進數據中心信息安全管理體系的過程和要求，使數據中心信息安全管理水平得到有效提高。

1.控制信息安全風險

針對前文所述的數據中心面臨的信息安全風險，從GB/ T 22080-2008附錄A列出的11個安全領域中，選取安全方針；物理和環(huán)境安全；通信和操作管理；訪問控制；信息系統(tǒng)獲取、開發(fā)和維護這5個安全領域來具體給出對應的風險控制方法。

（1）安全方針

數據中心的信息安全方針應該滿足以下原則：①安全與效率兼顧，預防與防御兼?zhèn)?，全面與改進兼具；②成為各類業(yè)務系統(tǒng)運行安全、數據儲存與傳輸安全、物理安全等方面的總體框架和指導性文件；③按照PDCA方法建立并持續(xù)改進數據中心ISMS，建立長效機制不斷提高數據中心信息安全管理水平。

（2）物理和環(huán)境安全

①室內安全：對于數據中心機房的周邊、入口等地方設置進出安全保護措施，如刷卡出入或建立出入登記制度。應設計和采取物理保護措施保證數據中心不受火災、地震、洪水和偷盜等各種自然災害和人為破壞。

②室外安全：應將數據中心的各類設備放置到物理和環(huán)境安全區(qū)域，杜絕非授權的訪問，并加強基礎設施的建設、維護和安全。自然環(huán)境中的傳輸交換線纜應該保證不被竊聽和損壞。

（3）通信和操作管理

①為增強系統(tǒng)的可擴展性，系統(tǒng)在建設時應對未來的容量進行預測。在系統(tǒng)驗收時確立驗收準則，并在建設中和驗收前對系統(tǒng)進行測試。

②嚴格制定惡意代碼的控制措施，積極檢測、預防惡意代碼。制定合理的培訓計劃提高數據中心工作人員和用戶的信息安全意識。

③定期對數據中心的重要數據進行備份，定期檢測、檢查數據庫設備和數據庫備份軟件的運行，并指定專人對數據備份情況定期進行檢查和管理。

④網絡管理員應實施控制措施，以確保網絡上的信息安全，防止未授權訪問所連接的服務。對于網絡信息傳輸和遠程設備的訪問，應該制定相應的認證、授權和保密方案。傳輸和交換數據時應使用專線或加密信道，遠程連接服務器應設置相應的認證和授權機制。網絡管理員應定期查看服務器相關日志，審計服務器操作行為。

⑤對于U盤、光盤等可移動介質，數據中心應制定嚴密的管理方案，內容包括：可移動介質務必保存在安全、保密環(huán)境；對可移動介質的使用實行登記制度；嚴格控制可移動介質的使用，只有在業(yè)務必需時才可使用可移動介質。

⑥信息交換應使用經過認證的加密信道，確保保密內容在安全環(huán)境中傳輸，并防止交換信息被竊聽、篡改和偽造。定期進行安全檢查，防止數據中心工作人員的通信工具和辦公電腦被竊聽或植入非法程序。

（4）訪問控制

建立訪問控制策略并形成文檔，內容包括各類業(yè)務系統(tǒng)的安全要求及其面臨的風險、授權及撤銷授權的策略和訪問權管理等內容。

對于授權用戶應建立認證機制，防止未授權用戶的訪問甚至破壞。

對于遠程訪問，應嚴格遵循訪問控制策略，禁止未授權用戶的訪問，授權用戶也只能訪問和使用授權范圍內的服務。遠程訪問應使用密碼技術、VPN或專線來認證用戶的身份，并根據安全等級選擇適當的認證方式。

在規(guī)劃和建設數據中心網絡設施時，可將其劃分為多個邏輯隔離區(qū)域，每個邏輯隔離區(qū)域可分別定義不同的安全等級和控制措施。

（5）信息系統(tǒng)獲取、開發(fā)和維護

數據中心的信息系統(tǒng)在設計、開發(fā)時應充分考慮安全性。在采購信息系統(tǒng)時應給出安全要求，如果該信息系統(tǒng)未能滿足安全要求，則需對其重新引入安全控制目標和控制措施；如果信息系統(tǒng)的附加功能引入安全風險，則可考慮禁用此功能或提高該功能的安全性。

應用信息系統(tǒng)時的操作關系到信息系統(tǒng)的運行安全，因此應制定措施防止對信息系統(tǒng)的誤操作、數據遺失和未授權修改等。對輸入、輸出數據應進行確認，確保數據正確無誤。應嚴格控制對信息系統(tǒng)文件的訪問和修改，使系統(tǒng)文件受到損害的風險降到最小。

可以使用密碼技術對信息進行加密和簽名，以保證信息的保密性、完整性和不可抵賴性。

對系統(tǒng)源代碼要加以保護、訪問控制和審計，防止未授權的修改和破壞。

應及時收集當前信息系統(tǒng)所采用技術的脆弱性信息，一旦潛在的技術脆弱性被確認，需識別風險并制定相關措施。

2.構建信息安全管理體系

為提高數據中心信息安全管理水平并使數據中心在各類業(yè)務系統(tǒng)的安全穩(wěn)定運行中發(fā)揮更加堅強的保障作用，構建數據中心信息安全管理體系（ISMS）是一種有效方法。按照GB/T 22080-2008標準的4.2.1所述，數據中心結合面臨的信息安全風險建立、實施、運行、監(jiān)視、評審ISMS，形成文件，并保持和改進其有效性。

GB/T 22080-2008標準采用了“規(guī)劃（Plan）-實施（Do）-檢查（Check）-處置（Act）”（PDCA）模型來構建ISMS。采用PDCA模型的ISMS的描述如圖1所示，其中PDCA模型各個過程的主要內容如表1所示，該模型可用于所有的ISMS過程。

表1　PDCA過程與主要內容

經過深入研究GB/T 22080-2008，數據中心建立和管理ISMS應達到以下幾點要求：

（1）確定ISMS方針

對數據中心的業(yè)務、組織、位置、資產和技術等方面的特性進行全面梳理和總結，確定ISMS的范圍和邊界，并進一步確定ISMS方針。ISMS方針應滿足“安全與效率兼顧，預防與防御兼?zhèn)?，全面與改進兼具”的原則，對數據中心的業(yè)務系統(tǒng)和數據提供一個全面保護、重點突出、持續(xù)改進、體系管理的信息安全管理框架，為數據中心建立和管理ISMS設立總體綱領和目標要求。

（2）對ISMS建立和管理的流程方法文件化

文件化的目標是形成一批數據中心工作人員長期并嚴格遵循的規(guī)范性文件。文件中除ISMS的范圍、邊界和方針之外，還應包括風險識別、評估、分析處理、實施、運行、監(jiān)視、評審、保持和改進ISMS的一系列規(guī)程和要求。文檔要求按照GB/T 22080-2008標準中4.3所述，應包括管理決定的記錄，以確保所采取的措施符合管理決定和方針策略，還應確保所記錄的結果是可重復產生的。文檔能夠顯示出所選擇的控制措施回溯到風險評估和風險處理過程的結果，并進而回溯到ISMS方針和目標之間的關系。

圖1　采用PDCA模型的ISMS

在編制ISMS文檔時，應按照GB/T 22080-2008標準中4.3要求，對ISMS文檔的包含內容、文檔控制措施和記錄控制加以規(guī)范，使得文檔對于提高數據中心信息安全管理水平發(fā)揮作用。

（3）ISMS的管理職責、內審和管理評審

對于管理職責，首先，數據中心管理者應該提供管理承諾，為ISMS實施提供保證。其次，數據中心應為ISMS實施提供資源。最后，數據中心應通過培訓、評價等措施確保所有被賦予ISMS職責的人員具有執(zhí)行要求任務的能力。

數據中心應該按照計劃的時間間隔進行ISMS內部審核，以確定其ISMS的控制目標、控制措施、過程和規(guī)程是否符合GB/T 22080-2008標準、相關法律法規(guī)和其他信息安全要求，以及是否得到有效實施和保持。

數據中心管理者應按計劃時間評審ISMS，以確保其持續(xù)的適宜性、充分性和有效性，并將評審結果文件化保存。

（4）持續(xù)改進ISMS

數據中心應利用實施ISMS過程中的相關反饋和結果，持續(xù)改進ISMS的有效性。對于與ISMS要求不符合的行為和規(guī)程，數據中心應積極采取措施消除，并形成文檔。數據中心還應積極執(zhí)行預防措施，以消除潛在的不符合行為和規(guī)程。

結語

標準化是提高數據中心信息安全管理水平的有效方法。本文聯系國內外信息安全標準和標準化工作現狀，結合GB/ T 22080-2008和GB/T 22081-2008兩項標準，對數據中心面臨的信息安全風險進行梳理，給出針對性的風險控制和信息安全管理體系構建方法，使數據中心的信息安全管理進一步貼近國內外先進標準，并使管理水平進一步得到提高?！?/p>

[1]吳國慶，趙琳娣.基于ISO27001:2005的電網公司信息安全管理[J].信息技術與標準化，2007（09）：39-41.

[2]許玉娜，羅鋒盈.我國信息安全標準體系解析[J].保密科學技術，2014（01）：17-20.

[3]桓德銘，張艷榮，朱本行.ISO27001在組織機構代碼服務中的應用研究[J].標準科學，2014（05）：94-96.

[4]GB/T 22081-2008信息安全管理實用規(guī)則[S].

[5]GB/T 22080-2008信息安全管理體系要求[S].