信息安全服務體系篇1
以審計信息和業務的基本流轉特征以及在各個方面所進行的防護規劃和整體策略等發面出發，有效分析在審計業務范圍要求之內的所開展的信息安全防護，以及在國產化裝備的應用下有效強化信息化建設活動中的整體性信息安全防御工作，進而有效推動系統化的有效應用和整體運維服務體系的建設活動，其中主要包括制度、系統、資金行業方式、隊伍等的建設，以及實現系統建設同運維活動的協調一致。
【關鍵詞】
國家審計信息化；信息安全；運維建設
國家審計是在國家開展宏觀經濟綜合監督體系的重要環節，實現其運行系統和整體信息安全的有效性是極為必要的。通過審計信息化系統建設項目有效結合了審計基本業務特征環節的信息安全防護以及實現系統健康運行的監控運維服務體系，在實現系統化的體系建設且開展綜合性的防護保障措施之后，以有效保障國家審計在進行信息系統建設整體系統的健康安全運行[1]。
一、結合審計業務特征所開展的信息安全防護工作
信息安全防護在國家電子中進行應用時，需要嚴格遵守國家在相關方面的政策制定和規劃性要求，更需要明確政務職能環節業務信息的風險和特征，然后從根本實際出發開展有針對性的信息安全防護規劃工作，保障所采取的措施能夠有效解決實際問題，確保安全防護工作的順利有效。
1.1對審計信息和業務的流轉型特征展開研究一般而言，國際審計中包絡初期的數據采集及有效形成核查環節的審計信息記錄和證據整合，并通過互聯網的應用將相關信息報送審計機關的非專網中，這就涉及到業務活動中的信息安全性，如果在流轉環節出現審計信息的泄露，因為國家審計所具有的設密性和權威性，將構成重大的安全風險[2]。
1.2針對審計業務的整體特征開展有效的安全防護規劃在國家審計要求范圍之下，對國家電子政務信息安全和信息化的協調發展給出了總體性的規劃要求，實現審計信息化系統項目建設的三網安全規范，通過審計門戶網、審計專網、審計內網三個環節實現對電子政務信息的安全防護，有效保障信息的安全性。此外，還需要根據四級互聯審計專網對于信息安全防護的要求，在有效倚仗外網的信息信任體系來實現覆蓋全國的信息系統建設，構建有效的病毒中心防御系統，為信息的安全防護提供基礎環節的保障。
1.3根據國家審計的信息特征出發進行安全防護策略的研究國家審計業務具有一定的流轉性，這就需要對該環節的信息安全進行有效的風險評估，以避免出現泄漏狀況，在國家信息保密和安全主管部門的支持和指導管理下，在進行信息化系統建設項目時采取了信息交換和安全交互以及三網隔離的主體策略，以有效保障審計信息在流轉環節的安全性。
二、保障國家審計信息安全的運維服務體系建設
通過實現運維服務體系的建設有效保障了國家審計信息的整體安全性。在審計信息化系統建設項目中，運維體系的建設主要在整體隊伍、方式、系統和制度以及資金等方面，在這個過程中要有效保障整體建設同運維服務的關系。
2.1運維服務系統在審計信息化系統建設項目中，運行監管系統和信息服務系統構成了運維服務的整體系統。其中信息服務系統中的現場審計和審計管理系統已經面向全國的審計系統，以更好地實現兩項系統應用的有效性，另外，審計署還建立了面向全國審計系統的熱線電話和服務網站的整體服務體系，而且國家審計系統還發行了同信息安全建設運維系統相關的指導性信息和文件，以保障信息系統應用的有效性。運行監管系統側重于對整體系統建設中的各項子系統的運行狀態實現有效的監管控制，以有效納入整體的安全系統實現統一的管理，整體性的滿足了多層級的系統運維監管任務，極大地提升了監管力度，使得國家審計信息系統以及所屬子系統的運行都能夠具有穩定、安全的整體環境。
2.2運維服務隊伍審計信息化系統建設項目實現了國家審計總數的服務部門和省級的工程服務辦的兩級服務系統構建，并建設完成了中央省市縣的四級審計機關的信息系統的整體運行服務隊伍。在進行子系統集中管理的基礎前提下，審計署建立了面向下屬各個機關和部門及全國性地方審計的“呼叫中心”運維服務隊伍，有效保障了熱線電話和服務網站的整體有效性運行，將疑難問題和咨詢答復等交由運行后臺專家，并得到專業性的確定答案之后予以恢復，有效實現了整體運維服務體系的建設。
2.3運維服務制度就審計信息化系統建設項目的相關制度而言，均是由審計署所制定的相關指導辦法和體系，以有效明確運維過程中的職責分工和機構設置，有效實現對運維內容和機制的執行。另外，在進行運維資金的使用和管理方面也制定了一定的制度規范和要求，以確定在運行中經費使用的有效性以及利用的最大化。通過各項管理制度確定，使得整體的運維體系科學、合理，并能夠在制度的支持下實現對相關專業人員的專業素質和技能培訓以及使用經費和規范化服務等相關內容的引導，進一步強化了整體的運維服務體系建設[3]。
2.4運維服務外包方式在實際的發展過程中，審計署將審計信息化系統建設項目中的“呼叫中心”服務隊伍建設實行了外包政策，并在逐漸的發展中，在運維服務系統的整體性要求性下，將該環節在內的網絡系統和應用系統通過集成商的方式通過外包服務實現有效的運維服務體系建設。另外在運維服務體系的信息系統建設中，也實現了政府對技術人員隊伍建設的外包服務組建方式。
2.5完善整體系統與運維服務的體系構建在國家審計信息系統建設環節中，運維保障和信息系統建設是支撐前進的兩大驅動力量，這就需要正視兩者之間的關系，在啟動運維保應用的基礎上開設有效的指導性欄目或者咨詢通道。此外，還可以構建全國性的運維體系效能保障，實現普及性的管理建設，并在運維體系的支撐下強化整體系統的集中統一管理。最后，需要實現有效的監控運維提下，實現對整體運維服務的監控和管理，確保整體運行的安全性和有效性。
三、結束語
審計信息系統建設項目需要有效的網絡效能支持，這就需要保障在管理應用中的安全有效性，尤其是國家審計環節中的文件，因其本身所具有的嚴肅性和影響性，在這樣的基本認知下，就需要從根本實際現狀出發開展有效的安全防護工作以及相應的運維服務體系的完善和建設，以保障國家審計信息的整體安全性。
參考文獻
[1]劉勇.審計信息化系統的研究與實踐[D].四川大學,2006.
[2]成瑤.我國審計信息化建設研究[D].首都經濟貿易大學,2008.
[3]周德銘.國家審計信息化的模式創新與能力發展[J].電子政務,2013,07:45-56.
信息安全服務體系篇2
關鍵詞：信息安全安全屬性安全建設
我國信息化安全建設任務非常艱巨，主要包括各種業務的社會公網、行業專網、互聯網等信息基礎設施運營、管理和服務的安全自主保障、安全監管、安全應急和打擊信息犯罪為核心的威懾體系的建設，其內容包括網絡系統安全建設、領域和企業的業務信息化安全建設、網絡內容與行為的安全建設和用戶關注的網絡安全建設等方面。這些安全建設對于不同的領域和領導層面關注的內容、對象和程度各不相同。網絡信息安全是一個完整的、系統的概念。它既是一個理論問題，同時又是一個工程實踐問題。由于互聯網的開發性、復雜性和多樣性，使得網絡安全系統需要有一個完整的、嚴謹的體系結構來保證網絡中信息的安全。
1 信息安全的定義及目標
信息的定義，從廣義上講，信息是任何一個事物的運動狀態以及運動狀態形式的變化，它是一種客觀存在。狹義的信息的含義是指信息接受主體所感覺到并能理解的東西。ISO 13335《信息技術安全管理指南》定義：信息是通過在數據上施加某此約定而賦予這此數據的特殊含義。信息是無形的，借助于信息媒體以多種形式存在和傳播，同時。信息也是一種重要資產，具有價值，需要保護。信息安全的目標是信息資產被泄露意味著保密性受到影響，被更改意味著完整性受到影響，被破壞意味著可用性受到影響。而保密性、完整性和可用性三個基本屬性是信息安全的最終目標。信息安全的保護對象包括了計算機硬件、軟件和數據。就本質而言，信息安全所針對的均是“信息”這種資源的“安全”，對信息安全的理解應從信息化背景出發，最終落實在信息的安全屬性上。
2 構建網絡信息化安全的意義
能否有效地保護信息資源，保護信息化進程健康、有序、可持續發展，直接關乎國家安危，關乎民族興亡，是國家、民族的頭等大事。沒有信息安全，就沒有真正意義上的政治安全，就沒有穩固的經濟安全和軍事安全，更沒有完整意義上的國家安全。信息安全是信息技術發展過程之中提出的課題，在信息化的大背景下被推上了歷史舞臺。信息安全不是最終目的，它只是服務于信息化的一種手段，其針對的是信息化這種戰略資源的安全，其主旨在于為信息化保駕護航。
3 網絡信息化的安全屬性
信息安全的概念與信息的本質屬性有著必然的聯系，它是信息的本質屬性所體現的安全意義。說安全屬性研究首先要從安全定義講起，安全定義分很多的層次，為什么分層次，我們隨著它的演變來看的，信息安全最初目標，叫數據安全，它關心的是數據自身，所以是一個狹義的數據安全，是保護信息自身的安全。
3.1 保密性（Confidentiality）
在傳統信息環境中，普通人通過郵政系統發信件時，為了個人隱私要裝上信封。可是到了信息化時代，信息在網上傳播時，如果沒有這個“信封”，那么所有的信息都是“明信片”，不再有秘密可言，這便是信息安全中的保密性需求。保密性是指信息不被泄露給非授權的用戶、實體或進程，或被其利用的特性。保密性不但包括信息內容的保密，還包括信息狀態的保密。
3.2 完整性（Integrality）
完整性是指信息未經授權不能進行更改的特性。即信息在存儲或傳輸過程中保持不被偶然或蓄意地刪除、修改、偽造、亂序、重放、插入等破壞和丟失的特性。完整性與機密性不同，機密性要求信息不被泄露給未授權的人，而完整性則要求信息不致受到各種原因的破壞。
3.3 易用性（Availability）
易用性是信息可被授權實體訪問并按需求使用的特性。在授權用戶或實體需要信息服務時，信息服務應該可以使用，或者是信息系統部分受損或需要降級使用時，仍能為授權用戶提供有效服務。易用性一般用系統正常使用時間和整個工作時間之比來度量。
4 構建網絡信息化安全管理體系
在面向網絡信息的安全系統中，安全管理是應得到高度重視的。這是因為，據相關部門統計，在所有的計算機安全事件中，約有52％是人為因素造成的，25％是由火災、水災等自然災害引起的，技術錯誤占10％，組織內部人員作案占10％，僅有3％左右是由外部不法人員攻擊造成的。簡單歸類，屬于管理方面的原因比重高達70％以上，這正應了人們常說的“三分技術，七分管理”的箋言。因此，解決網絡與信息安全問題，不僅應從技術方面著手，更應加強網絡住所的管理工作。
好的網絡信息化安全管理體現在以下幾個方面：在組織內部建立全面的信息安全管理體系，強調信息安全是一個管理過程，而非技術過程；強調信息保密性、完整性、易用性三者在關鍵流程中運用的平衡；把信息提高到組織資產的高度，強調對組織信息資產進行價值及影響評估，對信息資產的脆弱性及其面臨的威脅進行分析，運用風險評估、風險管理手段管理信息安全，使組織風險降低到可接受的水平；從法律和最好的實踐經驗角度，實施全面的控制措施，使組織信息安全威脅的方方面面置于嚴密控制之下；強調領導在信息安全管理中的作用；強調信息安全方針在管理體系中的作用；強調對信息技術及工具的實時和有效管理；強調組織運作的連續性及業務連續性的管理；強調信息安全管理水平的不斷提高及對流程的策劃、實施、檢查和改進的過程；信息安全應該是一個以“價值”為基礎的過程，即信息安全管理應是一個有附加價值，并講究投入產出比的過程。
5 關注信息化安全服務的綜合性、高技術性和對策性特點
信息安全產業有其鮮明的特點，雖然產生于信息化和信息系統，依然與通常的IT服務有許多區別。信息化安全的基本特征是服務性的。這種服務性與一般軟件的服務性是不同的。一般應用系統或產品的服務主要是維護和培訓，通常服務是非對策性的、非動態的和比較固定的。信息化安全服務是對策性的、動態性的、不斷產生新內容的和似乎永遠不能成熟等特性。信息化安全服務范疇幾乎包括了整個信息化所包括的所有產品和系統，其服務的綜合性和復雜性是顯而易見的。信息化安全服務是最高技術的服務，無論從設計角度和使用的角度都要求深入、熟練和非常專業。我們可以驕傲地說，信息化安全服務是世界上最偉大的服務業，也是最困難的服務業。信息化安全服務的復雜性、高成本特性要求信息化安全企業必須在安全服務的遠程化和化的推進方面做出不懈努力，不斷降低服務成本。
6 結語
網絡信息安全不僅僅是一個純技術層面的問題，單靠技術因素不足以保證網絡中信息的安全。網絡信息安全還涉及到法律、管理、標準等多方面的問題。因此，信息安全是一個相當復雜的問題，只有協調好這些體系之間的關系，才能有效保證系統的安全。
參考文獻
[1] 王寶會,王大印.計算機信息安全教程[M].電子工業出版社,2006,1.
信息安全服務體系篇3
論文摘要:文章首先分析了信息安全外包存在的風險，根據風險提出信息安全外包的管理框架，并以此框架為基礎詳細探討了信息安全外包風險與管理的具體實施。文章以期時信息安全外包的風險進行控制，并獲得與外包商合作的最大收益。
1信息安全外包的風險
1.1信任風險
企業是否能與信息安全服務的外包商建立良好的工作和信任關系，仍是決定時候將安全服務外包的一個重要因素。因為信息安全的外包商可以訪問到企業的敏感信息，并全面了解其企業和系統的安全狀況，而這些重要的信息如果被有意或無意地對公眾散播出去，則會對企業造成巨大的損害。并且，如若企業無法信任外包商，不對外包商提供一些關鍵信息的話，則會造成外包商在運作過程中的信息不完全，從而導致某些環節的失效，這也會對服務質量造成影響。因此，信任是雙方合作的基礎，也是很大程度上風險規避的重點內容。
1.2依賴風險
企業很容易對某個信息安全服務的外包商產生依賴性，并受其商業變化、商業伙伴和其他企業的影響，恰當的風險緩釋方法是將安全服務外包給多個服務外包商，但相應地會加大支出并造成管理上的困難，企業將失去三種靈活性:第一種是短期靈活性，即企業重組資源的能力以及在經營環境發生變化時的應變能力;第二種是適應能力，即在短期到中期的事件范圍內所需的靈活性，這是一種以新的方式處理變革而再造業務流程和戰略的能力，再造能力即包括了信息技術;第三種靈活性就是進化性，其本質是中期到長期的靈活性，它產生于企業改造技術基本設施以利用新技術的時期。進化性的獲得需要對技術趨勢、商業趨勢的準確預測和確保雙方建立最佳聯盟的能力。
1.3所有權風險
不管外包商提供服務的范圍如何，企業都對基礎設施的安全操作和關鍵資產的保護持有所有權和責任。企業必須確定服務外包商有足夠的能力承擔職責，并且其服務級別協議條款支持這一職責的履行。正確的風險緩釋方法是讓包括員工和管理的各個級別的相關人員意識到，應該將信息安全作為其首要責任，并進行安全培訓課程，增強常規企業的安全意識。
1.4共享環境風臉
信息安全服務的外包商使用的向多個企業提供服務的操作環境要比單獨的機構內部環境將包含更多的風險，因為共享的操作環境將支持在多企業之間共享數據傳輸(如公共網絡)或處理(如通用服務器)，這將會增加一個企業訪問另一企業敏感信息的可能性。這對企業而言也是一種風險。
1.5實施過程風險
啟動一個可管理的安全服務關系可能引起企業到服務外包商，或者一個服務外包商到另一個外包商之間的人員、過程、硬件、軟件或其他資產的復雜過渡，這一切都可能引起新的風險。企業應該要求外包商說明其高級實施計劃，并注明完成日期和所用時間。這樣在某種程度上就對實施過程中風險的時間期限做出了限制。
1.6合作關系失敗將導致的風險
如果企業和服務商的合作關系失敗，企業將面臨極大的風險。合作關系失敗帶來的經濟損失、時間損失都是不言而喻的，而這種合作關系的失敗歸根究底來自于企業和服務外包商之間的服務計劃不夠充分完善以及溝通與交流不夠頻繁。這種合作關系在任何階段都有可能失敗，如同其他商業關系一樣，它需要給予足夠的重視、關注，同時還需要合作關系雙方進行頻繁的溝通。
2信息安全外包的管理框架
要進行成功的信息安全外包活動，就要建立起一個完善的管理框架，這對于企業實施和管理外包活動，協調與外包商的關系，最大可能降低外包風險，從而達到外包的目的是十分重要的。信息安全外包的管理框架的內容分為幾個主體部分，分別包括企業協同信息安全的外包商確定企業的信息安全的方針以及信息安全外包的安全標準，然后是對企業遭受的風險進行系統的評估.并根據方針和風險程度.決定風險管理的內容并確定信息安全外包的流程。之后，雙方共同制定適合企業的信息安全外包的控制方法，協調優化企業的信息安全相關部門的企業結構，同時加強管理與外包商的關系。
3信息安全外包風險管理的實施
3.1制定信息安全方針
信息安全方針在很多時候又稱為信息安全策略，信息安全方針指的是在一個企業內，指導如何對資產，包括敏感性信息進行管理、保護和分配的指導或者指示。信息安全的方針定義應該包括:(1)信息安全的定義，定義的內容包括信息安全的總體目標、信息安全具體包括的范圍以及信息安全對信息共享的重要性;(2)管理層的目的的相關闡述;(3)信息安全的原則和標準的簡要說明，以及遵守這些原則和標準對企業的重要性;(4)信息安全管理的總體性責任的定義。在信息安全方針的部分只需要對企業的各個部門的安全職能給出概括性的定義，而具體的信息安全保護的責任細節將留至服務標準的部分來闡明。
3.2選擇信息安全管理的標準
信息安全管理體系標準bs7799與信息安全管理標準is013335是目前通用的信息安全管理的標準:
(1)bs7799:bs7799標準是由英國標準協會指定的信息安全管理標準，是國際上具有代表性的信息安全管理體系標準，標準包括如下兩部分:bs7799-1;1999《信息安全管理實施細則》;bs7799-2:1999((信息安全管理體系規范》。
(2)is013335:is013335《it安全管理方針》主要是給出如何有效地實施it安全管理的建議和指南。該標準目前分為5個部分，分別是信息技術安全的概念和模型部分;信息技術安全的管理和計劃部分;信息技術安全的技術管理部分;防護和選擇部分以及外部連接的防護部分。
3.3確定信息安全外包的流程
企業要根據企業的商業特性、地理位置、資產和技術來對信息安全外包的范圍進行界定。界定的時候需要考慮如下兩個方面:(1)需要保護的信息系統、資產、技術;(2)實物場所(地理位置、部門等)。信息安全的外包商應該根據企業的信息安全方針和所要求的安全程度，識別所有需要管理和控制的風險的內容。企業需要協同信息安全的外包商選擇一個適合其安全要求的風險評估和風險管理方案，然后進行合乎規范的評估，識別目前面臨的風險。企業可以定期的選擇對服務外包商的站點和服務進行獨立評估，或者在年度檢查中進行評估。選擇和使用的獨立評估的方案要雙方都要能夠接受。在達成書面一致后，外包商授予企業獨立評估方評估權限，并具體指出評估者不能泄露外包商或客戶的任何敏感信息。給外包商提供關于檢查范圍的進一步消息和細節，以減少任何對可用性，服務程度，客戶滿意度等的影響。在評估執行后的一段特殊時間內，與外包商共享結果二互相討論并決定是否需要解決方案和/或開發計劃程序以應對由評估顯示的任何變化。評估所需要的相關材料和文檔在控制過程中都應該予以建立和保存，企業將這些文檔作為評估的重要工具，對外包商的服務績效進行考核。評估結束后，對事件解決方案和優先級的檢查都將記錄在相應的文件中，以便今后雙方在服務和信息安全管理上進行改進。
3.4制定信息安全外包服務的控制規則
依照信息安全外包服務的控制規則，主要分為三部分內容:第一部分定義了服務規則的框架，主要闡明信息安全服務要如何執行，執行的通用標準和量度，服務外包商以及各方的任務和職責;第二部分是信息安全服務的相關要求，這個部分具體分為高層服務需求;服務可用性;服務體系結構;服務硬件和服務軟件;服務度量;服務級別;報告要求，服務范圍等方面的內容;第三部分是安全要求，包括安全策略、程序和規章制度;連續計劃;可操作性和災難恢復;物理安全;數據控制;鑒定和認證;訪問控制;軟件完整性;安全資產配置;備份;監控和審計;事故管理等內容。
3.5信息安全外包的企業結構管理具體的優化方案如下:
(1)首席安全官:cso是公司的高層安全執行者，他需要直接向高層執行者進行工作匯報，主要包括:首席執行官、首席運營官、首席財務官、主要管理部門的領導、首席法律顧問。cso需要監督和協調各項安全措施在公司的執行情況，并確定安全工作的標準和主動性，包括信息技術、人力資源、通信、法律、設備管理等部門。
(2)安全小組:安全小組的人員組成包括信息安全外包商的專業人員以及客戶企業的內部it人員和信息安全專員。這個小組的任務主要是依照信息安全服務的外包商與企業簽訂的服務控制規則來進行信息安全的技術。
(3)管理委員會:這是信息安全服務外包商和客戶雙方高層解決問題的機構。組成人員包括雙方的首席執行官，客戶企業的cio和cso，外包商的項目經理等相關的高層決策人員。這個委員會每年召開一次會議，負責審核年度的服務水平、企業的適應性、評估結果、關系變化等內容。
(4)咨詢委員會:咨詢委員會的會議主要解決計劃性問題。如服務水平的變更，新的技術手段的應用，服務優先等級的更換以及服務的財政問題等，咨詢委員會的成員包括企業內部的ti’人員和安全專員，還有財務部門、人力資源部門、業務部門的相關人員，以及外包商的具體項目的負責人。
(6)安全工作組:安全工作組的人員主要負責解決信息安全中某些特定的問題，工作組的人員組成也是來自服務外包商和企業雙方。工作組與服務交換中心密切聯系，將突出的問題組建成項目進行解決，并將無法解決的問題提交給咨詢委員會。
(7)服務交換中心:服務交換中心由雙方人員組成，其中主要人員是企業內部的各個業務部門中與信息安全相關的人員。他們負責聯絡各個業務部門，發掘出企業中潛在的信息安全的問題和漏洞，并將這些問題報告給安全工作組。
（8）指令問題管理小組:這個小組的人員組成全部為企業內部人員，包括信息安全專員以及各個業務部門的負責人。在安全小組的技術人員解決了企業中的安全性技術問題之后，或者，是當cso了關于信息安全的企業改進方案之后，這些解決方案都將傳送給指令問題管理小組，這個小組的人員經過學習討論后，繼而將其到各個業務部門。
(9)監督委員會:這個委員會全部由企業內部人員組成。負責對外包商的服務過程的監督。
3.6管理與外包商的關系
信息安全服務體系篇4
信息安全認證有風險
所謂“信息安全認證中的安全風險”,特指信息安全認證機構借助認證活動的便利條件,知悉被認證組織的敏感信息,或者直接接觸被認證組織的信息系統,從而為被認證組織的信息資產帶來的安全風險,簡稱“認證安全風險”。
與常規認證認可制度研究中的認證風險概念不同,認證安全風險的承擔者不是認證機構,而是被認證組織。制造風險的直接主體則是認證機構。認證安全風險在本質上屬于信息安全風險,其后果是被認證組織的信息資產的保密性、完整性和可用性遭受損失。
根據《認證認可條例》定義的認證類型,當前認監委已經批準的信息安全認證業務分為信息安全產品認證、信息安全服務認證和信息安全管理體系認證。在以上三類認證活動中,信息安全產品和信息安全服務的被認證組織僅限于信息安全產品和服務提供商,且目前承擔信息安全產品和服務認證的中國信息安全認證中心是由中編辦批準、隸屬于國家質檢總局的事業單位。因此,信息安全產品認證和信息安全服務認證中的安全風險已經降至最低。信息安全管理體系認證則不同:首先,其被認證組織遍布國民經濟的各個行業和各個領域,甚至包括政府等公共機構;其次,國家認監委已經放開了信息安全管理體系認證機構的審批,前期已獲批的認證機構中既有國有事業單位,也有國內企業,此外還有外資企業,認證市場的組成十分復雜。因此,目前認證安全風險問題主要存在于信息安全管理體系認證活動中。
從國家安全高度加以重視
1.認證安全風險的表現形式
在信息安全管理體系認證的審核階段,認證機構會接觸到受審核組織大量的敏感信息。這類信息分為兩類:一類是受審核組織的信息系統中存儲的信息;另一類是與受審核組織的信息安全防護相關的信息。例如,受審核組織的信息安全風險評估報告全面記錄了系統的信息資產、對信息安全威脅的判斷、信息安全漏洞、信息安全控制措施配置等信息,網絡拓撲圖也為攻擊者入侵系統提供了豐富的信息。這些信息如果被認證機構惡意使用,或者泄露給惡意第三方,都會導致受審核組織的信息失竊,或使其信息系統被外部控制。
此外,由于認證機構會直接接觸受審核組織的信息系統,存在篡改其信息系統的可能性,例如在系統中植入惡意程序,或改變信息系統的功能,這便是美國國家安全局曾提出的五類信息安全威脅之―臨近攻擊。
以上問題不是在特定時期存在,也不是在特定場合存在,而是在任何一次信息安全管理體系認證中都有可能發生。因為認證機構為了開展工作,必須接觸受審核組織的信息系統,必須獲得受審核組織的信息安全風險評估報告、網絡拓撲圖等信息安全相關信息。如果受審核組織位于關系國民經濟命脈的重點行業,則認證機構的惡意行為可能使國家利益嚴重受損。
2.認證安全風險是一個國家安全問題
當前,信息安全已經成為國家安全的重要組成部分,國際上圍繞信息的控制與反控制的斗爭正日趨激烈。但是,很多這樣的斗爭常常隱藏在了看似正常的國際商貿活動之中,使公眾忽視了信息安全斗爭的復雜性和長期性。當前,對認證安全風險的認識往往存在三個誤區:
一是認為認證機構在審核活動中獲得的信息無關緊要。事實上,如今信息安全攻擊與防范的技術的專業化程度已經超出了很多人的想象。對一個熟練的攻擊者而言,任何有關攻擊目標的些許信息,都可能為其大開方便之門。以最普通的受審核組織的組織架構、員工姓名和聯系方式等信息為例,這些信息足以使攻擊者發起一次成功的社會工程攻擊。
二是認為受審核組織的信息僅關系到組織自身的安全,與國家安全相去甚遠。當前,信息技術的廣泛滲透性以及國民經濟和社會發展對信息技術應用的依賴,使網絡與信息系統的戰略地位凸顯。特別是關系國計民生的重要行業的網絡與信息系統,已經成為國與國軍事對抗的戰場,成為非常時期敵方打擊的首要目標。正因為如此,中共中央辦公廳于2003年轉發的《國家信息化領導小組關于加強信息安全保障工作的意見》便將“重點保障基礎信息網絡和重要信息系統安全”作為我國信息安全保障工作的總體要求之一。
三是認為認證機構都是守法企業,不可能去實施惡意行為。我們并不想對認證機構的行為妄加猜測,但必須強調,這是影響國家信息安全的一種途徑,必須牢固樹立風險防范意識。我國媒體曾多次報道,西方發達國家在近年來極力收集我基礎信息網絡和重要信息系統的敏感信息,甚至在這些網絡與信息系統中大量植入后門、木馬等惡意程序。來自西方發達國家的信息技術企業在華的擴張與滲透無疑為其上述行為提供了便利條件。任何商業實體都是具有國籍屬性的,都可能在國家緊急動員時被以國家意志而“征用”,為各國的政治服務。
建立信息安全服務管理制度
認證安全風險的出現是認證認可領域中的一個新問題。但是,在信息安全領域,類似問題由來已久,這便是信息安全服務的管理問題。目前,我國對信息安全服務的類型尚無統一標準,但無論在哪一種信息安全服務中,服務提供者對服務對象的了解都是深入和細致的,甚至直接掌控服務對象的信息系統和重要信息。從服務提供者與服務對象的關系以及服務的技術特征角度而言,信息安全管理體系認證是一種特殊的信息安全服務。在服務過程可能引發安全風險這一問題上,信息安全認證與其他信息安全服務毫無二致。由此,安全風險的管理對策也必然具有共通性。
為了加強信息安全服務管理,近年來我國有關部門和一些地方政府先后實施了信息安全相關服務管理制度。但是,這些制度的適用范圍有限,且多關注服務能力,沒有考慮如何防范安全風險。
目前,國外信息安全服務商和信息技術服務商已經在我國高端服務市場占壟斷地位,這早已被視為國家信息安全的重大隱患。近年來,我國網絡與信息安全主管部門多次展開廣泛調研,但目前尚未信息安全服務管理政策意見。在這種情況下,要解決信息安全認證中的安全風險,目前還缺少更加明晰的政策環境和直接的政策支持。
管理認證安全風險六大對策
當前認證安全風險主要存在于信息安全管理體系認證領域,如何加強信息安全管理體系認證領域的安全風險管理?
1.管理目標
我國對信息系統有著嚴格管理,沒有系統集成資質的企業不能向其提供安全服務。至于政府信息系統,在相當長時間內申請信息安全管理體系認證者極少。因此,加強認證安全風險管理的主要目標,是確保基礎信息網絡和重要信息系統在接受認證時的安全。建議圍繞這一目標設立管理制度。
2.管理重點
建議認證認可監督管理部門在認證程序方面設定嚴格要求,例如禁止認證機構攜帶電子設備進入審核現場,不得將客戶的任何紙質或電子資料帶離現場,任何資料不得離境等。在制定這些管理要求時,一是要注意可行性,避免影響正常的認證活動,二是不能與將來的ISO/IEC 27007《信息安全管理體系審核指南》相悖。
但是,以上措施只能在一定程度上降低認證風險,而不能從根源上杜絕風險。從各國對供應鏈安全管理的實際經驗及發展趨勢看,在重要領域屏蔽國外機構的服務,應該是最終的方向。我們關注的重要領域不僅僅是軍事和情報系統,可能會有人質疑這違反了WTO規則的國民待遇原則。其實,WTO規則規定了一般安全例外和國家安全例外,但并未對國家安全的范疇作出定義。從我國信息化發展和信息安全保障的具體情況出發,當前完全可以明確基礎信息網絡和重要信息系統與國家安全的關系,要敢于在此領域適用“國家安全例外”。當然,這會引發與他國的新一輪政治和經濟博弈,但在涉及國家安全的重大問題上,必須有這樣的決心。否則,我國的認證安全風險管理政策以及今后的信息安全服務管理政策終將難有作為。
3.管理環節
認證安全風險管理的目標是保護特定領域網絡與系統的安全,因此難以在準入環節上對認證機構區別對待。建議以采購管理為主,準入管理為輔。但準入環節依然可以發揮前置門檻的作用,對認證市場進行總量控制,以減輕采購環節的壓力。在采購環節,如當前出臺強制性采購政策的操作阻力較大,則可先行出臺指導性意見,引導基礎網絡和重要信息系統選擇國內認證機構提供的信息安全管理體系認證服務。
4.風險管理與信息安全服務管理政策的關系
認證安全風險管理政策是一種特殊的信息安全服務管理政策,應受到我國信息安全服務管理制度所確立的總體原則的指導和支持。但在我國信息安全服務管理政策依然缺位的情況下,不妨先制定認證安全風險管理政策,這也可以為將來出臺信息安全服務管理政策積累經驗。當然,這會在一定程度上增加認證安全風險管理政策的起草難度,特別是在采購政策方面。
與管理其他信息安全服務中的安全風險相比,認證安全風險管理工作也有兩個有利條件:一是國內認證機構已經成熟,可以完全替代國外認證機構的服務,甚至在某些領域的影響力已經超越國外認證機構;二是信息安全認證機構及其認證活動已經受到國家認監委的嚴格管理,而目前絕大多數信息安全服務都缺少主管或監管部門。在制定認證安全風險管理政策時,要充分利用這兩個有利條件。
5.輔助措施
一是加大宣傳和引導力度。目前國內很多用戶對信息安全管理體系認證還存在不當認識,例如很多人不知道成立認證機構以及開展認證活動需要得到認監委的審批,還有一些人認為國外認證機構頒發的是國際證書,而國內認證機構頒發的證書則沒有權威性等。這將導致用戶在選擇認證機構時帶有錯誤的傾向性,以及證書采信者對證書價值產生誤判。目前這一問題非常嚴重,一些地方政府出臺的認證資助政策甚至規定,只資助獲得國外證書的企業,而對國內的證書不予承認。
二是嚴格市場準入條件,實行總量控制,并對違反《認證認可條例》的行為進行嚴厲查處。
三是積極推動信息安全管理體系認證的國際互認工作。
四是大力鼓勵國內認證機構的發展,提高國內認證機構的品牌影響力。
6.管理責任
認證安全風險管理工作應由哪一個部門牽頭?從《認證認可條例》制定的初衷看,監管目標的核心還是確保認證有效性。認證風險是認證認可制度研究中的熱點問題,但認證安全風險與傳統的認證風險的概念完全不同,也與認證有效性沒有邏輯上的必然聯系。至于認證機構在認證活動中的違法行為(這些違法行為當然不限于違反了《認證認可條例》),應由法律授權的部門在各自職責范圍內予以查處。認證安全風險是信息化發展帶來的新問題,目前我國還沒有立法對收集客戶信息(包括修改客戶的信息系統)以及信息出境問題進行規范,對公民個人信息以及企業秘密的保護也缺少完善的法律規定。在這種情況下,認證認可監督管理部門從維護社會公平正義的角度出發,對認證機構的保密義務作出了規定,并且還擁有手段和龐大的執法隊伍。但是,不能就此推論應由認證認可監督管理部門負責信息安全認證風險管理。
當然,可以修改現有的法規,或起草新的法規,授權各行業監管部門對本行業的信息安全風險進行管理,這并非不可行。建議將來的信息安全立法中要在總體上明確我國信息安全服務管理體制及主管部門。其主管部門可以根據具體服務類型的不同分為多個,例如國務院網絡與信息安全主管部門可對認證服務之外的多數服務設立行政許可,并查處侵害客戶信息安全利益的服務行為。對于認證服務這類已有監督管理部門的,則完全可以授權認證認可監督管理部門對認證安全風險進行監管。
因此,責任制問題的實質,是立法問題。只要我國信息安全服務管理制度設計完善,并立法明確信息安全服務管理部門的責任,并非不可以由認證認可監督管理部門承擔認證安全管理職責,但這種管理也僅限于規則的制定和對認證機構的查處,不能涉及采購環節。
認證安全風險管理涉及到多個方面的工作,必然需要建立多部門合作機制,相互配合,不能簡單地講由哪一個部門負主要責任。美國在解決供應鏈安全問題的思路中,屢次強調“綜合性”、“多管齊下”、“戰略性”,也是出于同樣的原因。我國信息安全立法還不十分完善,客觀上造成了一些重大事項責任制的模糊。在當前這種情況下,我們建議在實踐中對認證安全風險管理工作職責作如下區分:
國務院網絡與信息安全主管部門一要盡快制定基礎信息網絡和重要信息系統使用認證服務的有關采購規定,二要加快《信息安全條例》的制定,在條例中明確哪些信息安全服務中的行為應予禁止。
國務院認證認可監督管理部門充分利用現有的監管手段,一要在可能的情況下繼續嚴格信息安全管理體系認證程序,維護國家秘密和商業秘密的安全,二要加強本文前面提到的四項輔措施。
國外的安全風險防范意識及相關措施
以美國的信息安全產品認證為例,雖然美國是CC(信息技術安全性評估通用準則)互認協定的發起國,但其政府公布的產品采購清單(用于國家安全系統中)上,迄今沒有由國外認證機構認證的產品。
對信息安全管理體系認證等業務,西方發達國家目前雖然還沒有專門的安全風險防范措施,但對于包含認證服務在內的所有的信息安全和信息技術相關服務,西方發達國家都在重點領域(例如國防和政府部門)施以嚴格的準入措施。例如:德國政府的信息安全服務全部由德國信息安全辦公室(BSI)完成,國外企業根本不可能涉足。
美國在鼓勵其企業在各國擴張的同時,對自身在采購信息技術產品和服務過程中面臨的風險極為警惕。多年以來,美國一直在研究“供應鏈”的安全問題。2009年5月,美國政府了網絡空間安全政策評估報告,提出要整合執法、情報、反情報、軍事等力量,對從遠程網絡入侵到供應鏈安全等全面的信息安全威脅進行抵御。2010年3月,美國政府解密了曾一度被列為高度機密的第54 號國家安全總統令的摘要,該摘要顯示,美國已將情報威脅和供應鏈威脅列為信息安全領域的兩大重點威脅。其關注的供應鏈問題涵蓋了產品、系統和服務這三類對象,提出的解決該問題的工作方向有四個:一是必須提高安全意識;二是在技術層面開發風險控制工具;三是在政策層面調整采購政策;四是加強與工業界的合作。
信息安全服務體系篇5
【關鍵詞】黨政信息化 網絡平臺
1 業務互聯互通：安全保密面臨的新挑戰
安全保密是黨政信息化的重要要求之一。黨政信息化系統根據所處網絡、所承載的信息敏感程度不同，需要按照等級保護和分級保護要求進行保護。在信息化發展過程中，安全保密手段也從防火墻、入侵檢測等被動安全防御發展到以PKI等密碼技術為主的主動安全，為信息化發展發揮了大量重要作用。
然而，隨著業務需求的不斷發展，黨政信息化正面臨著從各自為政向全程全網的重要變革。傳統以部門局域網、以區域、行業為對象的信息化建設模式，人為割裂了跨部門、跨區域和跨行業的政務業務鏈，導致信息化發展內外嚴重不平衡，部門“出不去、進不來”的現象越來越嚴重，信息孤島、業務孤島由此而生。
在傳統的信息化建設模式下，網絡、信息系統都有明確的邊界，因而安全保密的重點就是“內部保護”和“外部隔離”。
當以“互聯互通、信息共享和業務協同”為主要需求的全程全網信息化需求迅速發展時，以“保”為主動的安全保密在保證了局部安全的同時，也成為了阻礙互聯互通的又一個孤島――安全孤島。而改變這種局面，需要改變安全保密局部防御的思路，建立全網安全保密支撐和服務體系，在確保安全保密的同時，更要發揮為業務全程全網保駕護航的作用。
2 網絡信任體系：全網安全保密的技術基礎
以PKI技術、現代密碼技術，是建立大規模網絡環境下實體信任的基礎。然而，要建立全網安全保密的支撐和服務體系，必須打破部門之間、區域之間、行業之間的信任孤島，真正實現面向全網的網絡信任體系。
全網網絡信任體系是建立幾個全網統一之上的：
2.1 是全網統一的網絡資源管理
這是網絡信任體系建立網絡實體信任關系的管理基礎，也是實體信任關系的信任源點，凡是需要信任的網絡對象，包括機構、用戶、應用資源等，都需要通過網絡資源管理的注冊、審核、登記，建立起和物理世界實體的信任關系，確保物理世界和網絡世界的一一對應。
2.2 是全網統一的身份認證服務
這是網絡實體的行為基礎，所有訪問行為、服務行為等都依賴其背后的身份可信。所以統一身份認證服務必須在網絡層實現，在用戶上網、應用上線的環節上能夠鑒別用戶、設備、系統的身份，并為每個需要進行身份確認的環節提供身份證明服務，身份認證、身份證明服務以全網為服務范圍。
2.3 是統一授權和權限服務
這是確保網絡行為有序、信息和應用資源受控訪問的基礎。統一授權服務，可以在全網范圍內實現實體和被訪問資源之間的權限關系，而統一權限服務是確保這種權限關系全網有效，各相關資源保護點可以基于統一授權和權限服務，實現嚴格的訪問控制。
2.4 是統一的證據保留和責任認定
這是確保安全保密管理和事后責任追溯的基礎。在發生安全保密事故時，迅速確定事故發生地點、通過對行為證據的的綜合分析，可以在全網范圍內判定責任人和責任范圍。
網絡信任體系的四個統一，使得安全保密具有了統一的管理和服務基礎，基于統一網絡信任體系，從網絡、信息、業務三個層面可以實現全網全網的安全保密。
3 網絡層安全保密：網絡互聯和邊界隔離保護
互聯互通首先是網絡層的互聯互通。和國際互聯網扁平化結構不同，還是黨政系統的網絡平臺，由于分層管理、分域保護的要求，其基本管理單元是以部門網絡構成的安全域，大量安全域根據行政機構實現橫向、縱向互聯，形成大型復雜網絡。網絡層安全保密必須確保網絡安全互聯的同時，又確保網絡互聯邊界的有效隔離保護，網絡邊界隔離保護是網絡整體安全的基礎。
互聯互通條件下的網絡邊界隔離保護解決方案是基于網絡信任體系的統一身份認證、統一授權和權限服務實現的，通過對網絡邊界部署網絡訪問控制安全網關設備，形成安全域保護邊界，對所有試圖訪問網絡邊界的用戶進行身份和權限驗證，確保網絡通行為可管、可控。
根據安全保密的要求不同，網絡邊界隔離的保護點首先是在安全域互聯邊界，實現不同安全域之間網絡接入的安全保密；其次是在安全域內德重點安全區，如重點應用系統、信息資源管理系統，可以部署資源訪問控制點，對試圖訪問安全區內重要信息資源的行為進行強制主動保護，合法授權用戶可以透明訪問資源，而非法用戶將遠離試圖接觸的資源，極大提高了資源保護能力。
4 信息層安全保密：信息交換和可信交換控制
互聯互通的第二個層面是信息層的互聯互通。不同安全域的機構、應用、用戶之間、不同應用之間需要通過信息交換，傳遞文件、業務要求和其他業務信息，因此，建設統一體系、高效互聯的信息交換平臺勢在必行。然而在享受信息層互聯互通的同時，必須確保跨域信息交換符合安全保密的要求，確保安全可控。
因此，在信息交換平通各級安全域的同時，安全域邊界必須具有對交換信息安全保密控制的能力。而這種信息安全保密控制能力由信息交換平臺的信息交換發起方和安全域邊界的信息交換控制點共同實現：信息交換發起方必須具備對信息本身進行安全封裝的能力，在封裝過程中，需要明確設定當前信息的相關保密屬性；而安全域邊界的信息交換控制點必須具備對當前交換信息進行安全保密屬性鑒別能力，以及基于安全保密控制策略進行判斷能力，確保只有符合安全保密策略的交換信息通過。
5 安全保密為業務層互聯互通保駕護航
網絡層互聯互通和信息層互聯互通，為跨部門（跨安全域）業務互聯互通奠定了基礎。同時，網絡層安全保密和信息層安全保密為業務互聯互通的全程全網安全保密奠定了基礎。
長期以來，黨政信息化面向業務的全程全網開展一直是難點。由于缺乏信息互聯互通技術，傳統的業務跨部門（安全域）開展，只能采用遠程終端方式實現，而由于缺乏網絡互聯互通安全保密能力，為了規避網絡互聯互通的安全風險，只能依靠網絡隔離手段建設了大量的業務專網，業務孤島現象由此而生。
在網絡層和信息層互聯互通安全保密實現的基礎上，業務層互聯互通不再面臨安全風險威脅，基于統一的電子政務網絡，實現各個行業業務延伸已經成為可能，這其中首先是全網網絡信任體系支撐下的安全保密技術突破，也是安全保密為業務保駕護航的重要方向。
黨政部門業務跨部門（安全域）互聯互通存在兩種基本模式：
5.1 全網共享型業務延伸
業務應用系統在一個部門（安全域）部署，其他部門（安全域）用戶經過授權具有遠程訪問該業務應用系統的權限，而在遠程訪問發起過程中，網絡信任體系的安全域訪問控制和安全域訪問控制均可以對來訪用戶進行身份和權限的鑒別，確保共享型業務面向全網服務的安全保密。
5.2 全網協同型業務延伸
即參與業務協同的多個部門（安全域）各自部署相應的業務處理系統，而這些業務處理系統在業務開展過程中，用戶無需跨部門（安全域）遠程訪問其他業務處理系統，通過相互間交換業務信息和業務辦理要求，由分布在不同部門（安全域）的用戶在各自系統中進行跨系統業務協同，共同完成復雜業務。在跨部門（安全域）交換業務信息時，信息交換平臺一方面負責信息的端到端內容安全性，而安全域邊界的信息交換控制點根據安全策略，負責信息流轉符合安全保密規則。
基于網絡層、信息層互聯互通和安全保密的方案，既保護了業務全程互聯互通、又確保業務跨域延伸的安全保密。
6 結束語
黨政信息化互聯互通、信息共享和業務協同的發展要求，對傳統的以防御、以隔離為主要特征的安全保密模式提出了新的挑戰。安全保密必須以業務發展為導向，以保障業務全程全網的安全開展為服務目標，因而也必須面向全網安全保密。全網網絡信任體系的實現為全網安全保密提供了基礎，網絡信任體系和一般意義上的應用系統信任、局域網信任的最大不同是網絡信任體系以全網為管理、服務范圍，具有真正的體系一致性。而基于全網網絡信任體系的管理和服務能力，網絡層互聯互通、信息層互聯互通的全網安全保密可以實現，進而為跨部門、跨區域、跨行業的業務開展，實現業務層互聯互通提供了支撐和保障，為黨政系統信息化安全保密提供了全新的解決方案。
作者單位
信息安全服務體系篇6
關鍵詞：信息管理系統 信息安全 系統安全建設
中圖分類號：TP39 文獻標識碼：A 文章編號：1003-9082（2014）03-0001-02
一、引言
隨著全球信息化不斷在我國深化和發展，我國各地區、各行業使用信息系統開展工作的比例越來越大。一般來說，信息化程度越高，對信息管理系統的依賴性就越強，信息安全問題就越為突顯和嚴重。而信息安全問題也正逐漸成為影響各企事業單位業務能否正常運行、生產力能否快速發展的重要因素之一。但是由于我國信息化建設起步相對較晚，與國外先進國家相比，無論在信息安全意識還是信息安全防護技術等諸多方面都還存在較大差距，各企事業單位的信息安全基本上均處于一個相對較為薄弱的環節。一旦信息管理系統中的個人信息和敏感數據發生丟失或者泄漏，可能會對自身造成無可估量的損失。因此，重點保障信息管理系統安全已成為各行各業的首要任務。信息管理系統安全建設應該系統地、有條理地進行全面規劃，充分地、全方位地考慮安全需求和特性，從而達到各種安全產品、安全管理、整體安全策略和外部安全服務的統一，發揮其最大的效率，給予信息管理系統以最大保障。
二、信息管理系統安全建設原則
1.安全體系兼容性
安全體系有一個重要的思想是安全技術的兼容性，安全措施能夠和目前主流、標準的安全技術和產品兼容。
2.信息管理系統體系架構安全性
系統的系統架構已經成為保護系統安全的重要防線，一個優秀的系統體系架構除了能夠保證系統的穩定性以外，還能夠封裝不同層次的業務邏輯。各種業務組件之間的“黑盒子”操作，能夠有效地保護系統邏輯隱蔽性和獨立性。
3.傳輸安全性
由于計算機網絡涉及很多用戶的接入訪問，因此如何保護數據在傳輸過程中不被竊聽和撰改就成為重點考慮內的問題，建議采用傳輸協議的加密保護。
4.軟硬件結合的防護體系
系統應支持和多種軟硬件安全設備結合，構成一個立體防護體系，主要安全軟硬件設備為防火墻系統、防病毒軟件等。
5.可跟蹤審計
系統應內置多粒度的日志系統，能夠按照需要把各種不同操作粒度的動作都記錄在日志中，用于跟蹤和審計用戶的歷史操作。
6.身份確認及操作不可抵賴
身份確認對于系統來說有兩重含義，一是用戶身份的確認，二是服務器身份的確認，兩者在信息安全體系建設中必不可少。
7.數據存儲的安全性
系統中數據存儲方面可以采取兩道機制進行的保護，一是系統提供的訪問權限控制，二是數據的加密存放。
三、信息管理系統安全建設內容
按照系統安全體系結構，結合安全需求、安全策略和安全措施，并充分利用安全設備包括防火墻、入侵檢測、主機審計等，其建設內容主要有：
1.物理安全
機房要求保護計算機設備、設施（含網絡）以及其它媒體免遭地震、水災、火災、有害氣體和其它環境事故（如電磁污染、電源故障、設備被盜、被毀等）破壞。
2.網絡安全
利用現有的防火墻、路由器，實行訪問控制，按用戶與系統間的訪問規則，決定允許或拒絕用戶對受控系統進行資源訪問。同時加強端口、拒絕服務攻擊、網絡蠕蟲等的監控，保障系統網絡運行的暢通。
2.1使用防火墻技術
通過使用防火墻技術，建立系統的第二道安全屏障。例如，防止外部網絡對內部網絡的未授權訪問，建立系統的對外安全屏障。最好是采用不同技術的防火墻，增加黑客擊穿防火墻的難度。
2.2使用入侵監測系統
使用入侵監測系統，建立系統的第三道安全屏障，提高系統的安全性能，主要包括：監測分析用戶和系統的活動、核查系統配置和漏洞、評估系統關鍵資源和數據文件的完整性、識別已知的攻擊行為、統計分析異常行為、操作系統日志管理，并識別違反安全策略的用戶活動等功能。
3.主機安全
系統主機安全從主機身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范和資源控制等方面考慮。
3.1主機身份鑒別
對登錄操作系統的用戶進行身份設別和鑒別，對操作系統和數據庫系統設置復雜的登錄口令，并且定期進行更換。同時對操作系統和數據庫用戶分配不同的用戶分配不同用戶名。
3.2訪問控制
通過三層交換機和防火墻設置對系統服務器的訪問控制權限。對服務器實現操作系統和數據庫系統特權用戶的權限分離，限制默認賬號的訪問權限，重命名系統默認賬戶，修改默認密碼。
3.3安全審計
服務器操作系統本身帶有審計功能，要求審計范圍覆蓋到服務器上的每個操作系統用戶，審計內容包括重要用戶行為、系統資源異常使用并進行記錄。
信息管理系統也應考慮安全審計功能，記錄系統用戶行為，系統用戶操作事件日期、時間、類型、操作結果等。
3.4入侵防范
利用入侵檢測系統和防火墻相應功能，檢測對服務器入侵行為，記錄入侵源IP、攻擊的類型、攻擊的目標、攻擊時間，并在發生嚴重的入侵事件時提供報警。
3.5惡意代碼防范
在服務器上安裝服務器端防病毒系統，以提供對病毒的檢測、清除、免疫和對抗能力。
3.6資源控制
在核心交換機與防火墻配置詳細訪問控制策略，限制非法訪問。
4.應用安全
4.1安全審計
信息管理系統應提供覆蓋到每個用戶的安全審計功能，對應用系統重要安全事件進行審計，審計記錄內容至少包括事件的日期、時間、發起者信息、類型、描述和結果等，保證無法刪除、修改或覆蓋審計記錄。
4.2資源控制
信息管理系統應限制用戶對系統的最大并發會話連接數、限制單個賬戶的多重并發會話、限制某一時間段內可能的并發會話連接數。
5.數據安全
系統數據安全要求確保管理數據和業務數據等重要信息在傳輸過程和存儲過程中的完整性和保密性。對于數據庫中的敏感數據，需對數據項進行加密，保證管理數據、鑒別信息和重要業務數據在傳輸過程與存儲過程中完整性不受到破壞。
對數據進行定期備份，確保存儲過程中檢測到數據完整性錯誤時，具有數據恢復能力。必須采用至少兩種手段進行備份，備份手段以整體安全備份系統為主，配合其他備份手段，如GHOST、TRUE IMAGE或操作系統和數據庫管理系統本身的備份服務等。備份具體要求如下：
5.1各服務器專職管理員根據所管服務器的具體情況與整體安全備份系統專職管理員協調制訂好所管服務器的備份計劃及備份策略。
5.2整體安全備份系統專職管理人員必須組織各服務器專職管理員對各服務器每個季度進行一次整體災備（冷備）。若某臺服務器的配置需要發生較大變更，該服務器的專職管理員應在對該服務器實施變更前和圓滿完成變更后，分別對該服務器做一次整體災備，必要時整體安全備份系統專職管理員需對整體災備提供協助。
5.3數據備份主要分為月備份、周備份、日備份及日志（增量）備份。月備份每月對各服務器的所有系統、目錄及數據庫做一次全備（熱備）。周備份每周對各服務器的所有系統、目錄及數據庫做一次全備（熱備）。日備份每天對各服務器的重要目錄及數據庫做一次備份。日志（增量）備份針對數據更新較頻繁的服務器，每天進行多次增量備份。
5.4除日志（增量）備份外，其它各種備份以每一次獨立執行的備份作為一個獨立版本。每個獨立版本的備份必須存儲在獨立的備份介質上，不能混合存儲在同一套備份介質。整體災備（冷備）和月備份一般要求保留至少能覆蓋當年及上一年全年時間的所有版本，周備份要求保留至少最近5個版本，日備份要求保留至少最近4個版本，日志（增量）備份保留至少自上一次周備份以來的所有版本。
5.5備份介質應放在機房以外安全的地方保管。所有備份介質必須有明確、詳盡的標簽文字說明。
5.6整體安全備份系統專職管理員必須定時檢查備份作業的運行情況，備份異常情況應盡快查明原因，解決問題并在值班登記本上詳細記錄。
四、安全制度建設
建設嚴格、完整的基本管理制度包括安全管理制度、安全管理機構、人員安全管理、系統建設管理和系統運維管理機制幾個方面。
安全管理制度：包括安全策略、安全制度、操作規程等的管理制度；管理制度的制定和；管理制度的評審和修訂。
安全管理機構：包括職能部門崗位設置；系統管理員、網絡管理員、安全管理員的人員配備；授權和審批；管理人員、內部機構和職能部門間的溝通和合作；定期的安全審核和安全檢查。
人員安全管理：包括人員錄用；人員離崗；人員考核；安全意識教育和培訓；外部人員訪問管理。
系統建設管理：包括系統定級；安全方案設計；產品采購和使用；自行軟件開發；外包軟件開發；工程實施；測試驗收；系統交付；系統備案；等級測評；安全服務商選擇。
系統運維管理：包括機房環境管理；信息資產管理；介質管理；設備管理；監控管理和安全管理中心；網絡安全管理；系統安全管理；惡意代碼防范管理；密碼管理；變更管理；備份與恢復管理；安全事件處置；應急預案管理。
五、結束語
信息化建設已經涉及到國民經濟和社會生活的各個領域，信息管理系統也成為各行各業信息化建設發展中的重要工具。如何保障信息管理系統安全從而保證信息安全是關系到國家安全、社會安全和行業安全的大問題。我們只有在實現信息安全的條件下，才能有效利用信息管理系統這個有力的工具提高生產力，推動社會的發展。本文通過對信息系統安全建設原則、安全建設內容和安全制度建設三方面較為詳細的探討，應該對于各企事業單位信息管理系統的安全建設有所幫助和借鑒。
參考文獻
[1] 林國恩，李建彬，信息系統安全，電子工業出版社，2010-03
[2] Dieter Gollmann， Computer Security 2 edition， Wiley， 2006
[3]《信息系統安全等級保護基本要求》，中華人民共和國國家標準，GB/T 22239-2008
[4] 尚邦治等，做好信息安全等級保護工作，中國衛生信息管理雜志，2012.5
[5] 王起全，企業安全生產信息管理系統構建研究，中國安全科學學報，2010.5
信息安全服務體系篇7
關鍵詞：信息安全管理 等級保護 數據采集 日志管理
中圖分類號：TP39 文獻標識碼：A 文章編號：1672-3791（2015）11（c）-0007-02
我國電子政務建設正處在高速發展期，從中央到省市各級政府部門都投入了大量的人力和財力來推進信息化工作。電子政務公共平臺的頂層設計和實施建成，較大程度地提高了政府信息政務公開和共享等的工作效率和服務質量。電子政務公共平臺穩定和安全運行已經構成了政府運轉連續性的重要保障之一。 因此，電子政務公共平臺的安全保障工作已經成為政府信息化工作成敗的關鍵因素。信息安全的管理需要在各個層面為電子政務提供機密性、完整性、可用性、鑒別等安全服務。該文基于信息安全等級保護，從安全基礎設施、訪問控制策略、安全防御、安全監控、安全審計和安全響應恢復等研究信息安全研究電子政務的安全管理體系。從而從整體上提高電子政務公共平臺信息安全管理全面性。
1 研究思路
基于電子政務公共平臺服務的戰略定位、統籌規劃和實施路徑的總體把握，按照基于等級保護技術要求，并根據電子政務信息化服務業務安全需求，為信息化綜合服務提供安全支撐服務，從而使得平臺可以安全、穩定、可連續的進行信息化服務。重點保護基礎信息網絡和重要信息系統安全，實現信息安全服務支撐工作的有效安全技術和管理措施要求，以實現信息安全等級保護實施的重大的現實和戰略意義。
2 總體設計目標
（1）電子政務公共平臺安全管理建設的總體目標是統一技術標準，共建共享信息安全基礎設施，建立統一的公共密鑰基礎設施（PKI），實現跨系統的身份認證機制等。
（2）解決傳統信息化系統建設中，電子政務公共平臺基礎設施、信息資源與業務系統因所有權、使用權和管理權界定不清晰，存在基礎設施和業務應用的管理權限難以分離管理，責任權限過大或者過小，造成設備利用率不高，或容易出現信息安全事件的情況。
（3）解決不同的政府部分因不同的職能/服務導致的電子政務基礎設施和資源的重復建設和資金浪費問題。
（4）解決信息化綜合服務的安全服務支撐，實現各級信息系統的授權管理、認證服務、鑒別服務、訪問控制和數據防護的安全服務支撐，最終實現各級信息系統互聯互通的信息化服務。
3 設計分析
3.1 設計思路
（1）電子政務公共平臺安全管理建設統一管理電子政務邊界安全防護系統，集中建設互聯網接入點，實現部門互聯網的安全接入和可管可控可剝離等。
（2）電子政務公共平臺安全管理基于安全技術體系下，根據各自信息安全等級，建設、升級、完善安全系統等。
（3）電子政務公共平臺安全管理中心系統將不同位置、不同安全系統中分散且海量的單一安全事件進行匯總、過濾、收集和關聯分析，以全局角度分析信息安全風險和信息安全事件，形成分層次分區域的安全策略，以對安全事件進行響應和處置的綜合性信息安全管理平臺。
（4）電子政務公共平臺安全管理是一個跨系統、跨部門的綜合信息系統，由虛擬資源管理系統、數據挖掘與智能瀏覽、虛擬資源隔離系統、信息資源目錄與交換系統、基于SOA的業務協同、多元數據融合與集成系統、數據庫資源整合與綜合應用、多級數據交換系統、信息服務資源運營管理平臺、信息化綜合服務管理平臺信息中心構成的完整獨立體系構成等。
（5）電子政務公共平臺信息安全管理是按照其保障工作流程，依次分為數據采集層、分析層、展示層等。
（6）電子政務公共平臺安全管理設計研究多種分類的數據接口，一方面滿足與用戶已有或后續建設的其他管理系統或平臺集成整合，另一方面，安全管理中心還提供了相關數據接口和配置接口，可對相關安全產品進行統一配置和管理等。
（7）電子政務公共平臺安全管理的數據采集層針對重要信息系統進行信息安全數據采集，包括關鍵業務系統環境相關的網絡設備、主機、安全產品等信息。
（8）電子政務公共平臺安全管理的分析層是安全運行管理的核心，負責對數據采集的信息進行分析處理，并對相關的信息安全風險和信息安全事件進行預警和響應等。
（9）電子政務公共平臺主要功能包括了安全監控、預警、告警、響應、信息安全策略管理和系統管理等。
（10）電子政務公共平臺安全管理的數據展示層提供了安全運行管理可視化界面，分為管理員界面和為客戶提供的可視化界面。管理員通過管理界面，對電子政務公共平臺整體信息安全態勢、管理和配置進行管理操作，主要包括網絡、系統運行、事件報警等展示和策略配置管理；為電子政務服務提供定制化全網的安全信息和安全狀態分析展示，包括風險預警、告警事件、故障分析、策略、報表報告等數據分析和展示功能等。
3.2 設計模型
（1）電子政務公共平臺安全管理中心系統。
①組成：數據采集層、數據和業務管理層、數據展示層等；
②通過數據接口連接外部產品管理接口，諸如，實時數據接口、文件接口、數據庫接口、其他接口等。
（2）電子政務公共平臺安全管理中心系統數據展示層。
①風險展現管理：包括，拓撲展示、運行狀態、實時性能、風險預警、告警事件、故障分析、策略、報表報告等。
②通過采集探針Probe整合，以Portal的方式進行多系統數據展示整合。
（3）電子政務公共平臺安全管理中心系統分析層。
①分析層是安全運行管理平臺的核心，由信息安全核心服務器和數據庫構成等。
②負責對前端信息安全數據采集的風險點進行分析，并對根據信息安全策略對安全目標進行預警和響應等。
③負責安全監控、預警、告警、響應、信息安全策略管理和系統管理等。
④組成：應用引擎平臺、業務邏輯子層、數據邏輯子層、資源管理（KBP）、數據管理（KPI）、南向適配（配置、性能、事件數據元素整形適配器）、采集調試管理等。
⑤業務邏輯子層通過工單交互、知識庫交互等，與企業整體的運維管理系統實現雙向接口等。
⑥數據邏輯子層通過CMDB復用等，以統一CMDB的形式與網管、運維系統整合等。
（4）電子政務公共平臺安全管理中心系統采集層。
①數據采集層針對重要信息系統進行信息安全數據采集，包括關鍵業務系統環境相關的網絡設備、主機、安全產品等信息。
②設計部署采集管理控制臺統一進行信息采集，并設計采集任務分發給相對應的采集點。
③設計可定制化的采集的策略，包括采集范圍對象、采集頻度、采集數量等。
3.3 數據模型分析
數據采集層設計采用以下網絡協議進行數據采集，列舉主要的安全管理中心應用的協議和技術實施例。
4 研究案例與成果
信息安全保障技術是為管理做技術支持，管理和技術并重。信息安全管理的策略設計與運行實施才是安全管理落地的根本，從運行和維護的信息安全角度，總結信息安全管理主要工作主要包括了：（1）建立完善的電子政務服務身份認證和訪問控制機制，規范管理電子政務服務信息安全標準規范和相關協議的合規性作業流程；（2）信息安全的管理運行分級分域進行信息安全管理，即采取分級控制和按業務類型重要程度分域的管理，并對運維人員的職責范圍明確劃分；（3）設立以政府為主導的第三方監督審計機構，對電子政務服務安全性、合規性監督測評；（4）定期開展信息安全培訓，加強人員的信息安全意識，健全內部機制，增強政府服務的安全防范意識和風險管理能力。
5 結語
該文研究信息安全管理系統滿足電子政務業務的安全事件集中收集和處理能力，構筑了基于資產安全屬性（CIA）和安全域的業務安全風險管理體系，通過關聯分析和客戶化關聯分析規則定義，實現準確的事件定位，形成了統一的安全知識共享體系，可實現多級不同管理模式的功能，具備安全管理中心的高容錯性、高可用性和高冗余可靠性。該研究成果具有良好安全管理中心的可擴展性，包括多級擴展、功能擴展，滿足級保護三級―― 監督保護級要求，并遵循《關于印發的通知》（國信辦【2006】9號）進行資產、弱點、威脅和采取的控制措施進行評估的要求。
參考文獻
[1] 周曉斌，董瑞陽.電子政務信息安全十大問題[N].計算機世界，2009-06-29.
[2] 唐珂.淺談我國電子政務建設及信息安全管理問題檔案學研究，2004（6）：38-47.
信息安全服務體系篇8
關鍵詞：公路信息服務體系；主要問題；對策
隨著當前信息化技術的迅猛發展，積極打造“綜合交通”“智慧交通”“綠色交通”“平安交通”已成為當前交通運輸發展的戰略任務。公路信息服務作為交通信息服務的重要組成，逐步得到了越來越多的關注，主要包括公路交通運行、營運、管理、服務等關聯的一切信息。雖然部分省市加快了干線公路信息服務建設，新建了大量公路信息設施，但是由于建設初期缺乏系統化的規劃以及清晰的功能定位，公路信息服務的實際應用功能受到很大的制約。構建符合現代特征的干線公路信息體系就要立足于公路信息服務的基本特點，明確公路信息的服務對象，整合和利用社會公共服務體系中的相關服務，透過公路信息系統及服務平臺，為信息的服務對象提供均衡、優質、高效、有用、方便的公路信息服務。
1 公路信息服務體系構建需求
公路信息服務的主要服務對象通常包括政府公路主管部門、公路生產運營管理主體、其他部門以及社會公眾等。不同的服務對象對信息服務的要求是不同的。本文緊密圍繞公路信息服務的對象的需求，分析公路信息服務屬性，按照公路信息服務資源特點，公路信息服務主要可以分為動態基礎信息、動態交通信息、靜態信息以及其他信息。其中，公路動態信息具體反映公路整體的運行狀態，主要體現在道路行駛的車流分布、結構比例等方面；動態交通信息主要包括交通限制信息、交通誘導信息等；靜態交通信息則側重于公路路產基本屬性；其他信息則能為公路信息服務對象提供其他信息的參考。具體公路信息服務需求如表1所示。
公路動態基礎信息主要包括道路車流量方向分布、道路車流量行駛時速分布、道路車流行駛路線、道路運行車型結構比例、道路擁擠情況、道路運行車輛軸載數據等，按照可能出現的道路突況，還需要包括道路阻斷信息、交通限制信息、交通誘導信息等。公路靜態屬性信息則更側重于公路路產路況等基本屬性，主要包括公路路網信息、公路路況基本信息、道路施工信息。為了更好地提供信息服務，公路信息服務內容還應包括氣象信息等其他信息。
2 公路信息服務體系構建的方法
構建公路信息服務體系是滿足當前信息化時代下政府部門及社會大眾對日益增長的信息綜合需求的必然趨勢。公路信息化服務體系依托信息化平臺，為必要的服務對象提供綜合的、整合的、一站式的、便捷的信息化服務。為了使信息提供更為精準，帶來更好的用戶體驗，將信息化服務進行打包，構建面向服務的公路信息系統平臺，可以為用戶推薦相應的服務，也可以由用戶自己進行定制完成。具體如圖l所示。
3 公路信息服務體系構建面臨的主要問題
公路信息服務的服務對象既包括政策制定、決策部門，又包括社會公眾，這些社會公眾往往對信息化的需求也十分迫切。當前大環境中，公路信息服務的建設主體仍舊為政府和有關事業單位，相關信息化服務運行平臺尚未建立，資金保障也略顯不足，專業技術人員也明顯缺乏，信息服務的及時性、可靠性無法得到保障。
（1）行政資源。建立有效的公路信息服務體系不僅需要統籌協調公路各單位、部門現有資源，自上而下地建立協調機制，提供優良的行政資源，才能打破現有“信息孤島”狀態。同時，還要積極協調與其他部門的資源共享，提供更多有價值、有意義的信息服務。（2）財政資源。公路信息服務在實際的應用過程中，將以社會的消費行為參與到社會經濟活動中。其中產生的信息資源流動必定消耗生產成本，需要投入大量的資金來維持信息服務的正常運作。因此，需要從國家層面建立完善的融資渠道，通過政策支持，提供刺激發展的財政資源。（3）技術資源。公路信息服務體系也是智能交通的重要組成。當前缺乏統一的標準化內容來實現行業內外數據信息的順暢流動，使得公路信息服務的質量大大降低。
4 推進公路信息服務體系構建策略
推動公路信息服務體系的構建，是當前公路行業信息化發展的方向，也是打造智能交通的重要途徑。必須堅持以社會對公路信息服務需求為驅動，以公路行業主管部門為主導力量，發動全社會力量共同參與，構建具有服務性、系統性的平臺。
4.1 完善組織機構
針對公路信息服務特點，建立相應的信息化服務組織機構，明確機構工作職責，制定信息服務方針政策，緊密與其他部門（如氣象）溝通，建立互聯互通工作渠道，充分發揮公眾力量，努力構建公路信息服務閉環結構。
4.2 建立長效運營保障
建立健全、完善的組織體系，充分整合社會資源，是實現公路信息化的重要組織保證。可以按照“統籌規劃、總體設計、試點先行”的原則，分步實施，逐步完善，通過新技術的應用，完善數據資源管理，建立相應軟硬件支撐平臺，建設具有一定先進性的網絡結構，建設相應的外場設備，做好必要的技術支持。建立健全運營維護機制，明確運維管理經費來源。
4.3 加強技術安全保障
系統安全是信息系統平臺正常運行的重要保障。要切實保障系統安全，重點從組織安全、網絡安全、數據安全、系統安全、物理安全等角度落實。
5 結語
本文鏈接：http://www.svtrjb.com/v-141-3437.html信息安全服務體系范文8篇
相關文章：
亞冬會標語11-09
施工宣傳標語09-28
初一新學期學習生活計劃09-20
嘔血護理措施范文10篇08-15
每天一句早安問候語12-17
獎學金獲獎感言08-03
收費站副站長個人述職報告12-03
2024年上半年工作總結開頭語(7篇)08-09
小學舞蹈社團活動計劃07-26
最新版學生保證書10-05
特別授權的委托書07-16
師范生簡歷個人求職信01-19
冬季運動會有感11-22
電工工廠實習心得體會09-29
科技館導游詞08-10
朋友初三作文600字01-07
勤奮讀書的名言11-24
玫瑰記敘文作文11-19
世界何時才能可以鑄劍為犁作文07-23
初級經濟師培訓機構哪家好？初級經濟師培訓班學費多少？09-21
五分鐘詩歌朗誦稿10-11
詠懷古跡古詩原文翻譯賞析09-27
花個性詩歌語錄08-22
癡呆懵懂成語解釋07-20