吳志紅

本文結(jié)合各企事業(yè)單位信息安全管理現(xiàn)狀與本單位的信息安全管理實踐，重點論述了信息安全風(fēng)險防范措施以及管理手段在信息安全建設(shè)中的重要性。

隨著大數(shù)據(jù)時代的到來，互聯(lián)網(wǎng)業(yè)務(wù)的飛速發(fā)展，人們對信息和信息系統(tǒng)依賴程度日益加深，同時，信息系統(tǒng)承載業(yè)務(wù)的風(fēng)險上升，每天都會發(fā)生入侵、數(shù)據(jù)泄露、服務(wù)癱瘓和黑客攻擊等安全事件。因此，信息安全已成為信息系統(tǒng)建設(shè)中急需解決的問題，人們對信息安全的需求前所未有地高漲起來。

一、信息安全建設(shè)中存在的問題

一直以來，許多企事業(yè)、機關(guān)政府在信息安全建設(shè)中，都存在以下2個方面的問題。

（1）存在重技術(shù)輕管理，重產(chǎn)品功能輕安全管理的問題。信息安全技術(shù)和產(chǎn)品的應(yīng)用，在一定程度上可以解決部分信息安全問題，但卻不是簡單的產(chǎn)品堆砌，即使采購和使用了足夠先進(jìn)、數(shù)量充足的信息安全產(chǎn)品，仍然無法避免一些信息安全事件的發(fā)生。例如，在網(wǎng)絡(luò)安全控制方面，如果在機房中部署了防火墻也配備了入侵檢測設(shè)備，但配置卻是”全通”策略，那么防火墻及檢測設(shè)備形同虛設(shè)。因此，安全技術(shù)需要有完備的安全管理來支持，否則安全技術(shù)發(fā)揮不了其應(yīng)有的作用。

（2）欠缺信息安全管理體系的建設(shè)。有相當(dāng)一部分單位的最高管理層對信息資產(chǎn)所面臨威脅的嚴(yán)重性認(rèn)識不足，缺乏信息安全意識及政策方針，以至于信息安全管理制度不完善，安全法律法規(guī)意識淡薄，防范安全風(fēng)險的教育與培訓(xùn)缺失，或者即使有制度也執(zhí)行不利。大部分單位現(xiàn)有的安全管理模式仍是傳統(tǒng)的被動的靜態(tài)的管理方法，缺少未雨綢繆的預(yù)見性，不是建立在安全風(fēng)險評估基礎(chǔ)上的動態(tài)的系統(tǒng)管理。

二、信息安全管理的含義與作用

信息安全管理是指整個信息安全體系中，除了純粹的技術(shù)手段以外，為完成一定的信息安全目標(biāo)，遵循安全策略，按照規(guī)定的程序，運用恰當(dāng)?shù)姆椒ǘM(jìn)行的規(guī)劃、組織、指導(dǎo)、協(xié)調(diào)、控制等活動，既經(jīng)過管理而解決一些安全隱患的手段，信息安全管理是信息安全技術(shù)的重要補充。

信息安全管理包括三個方面的內(nèi)容，一是在信息安全問題的解決過程中，針對信息安全技術(shù)管理內(nèi)容；二是信息安全問題的解決過程中需要對人進(jìn)行約束和規(guī)范的管理，如各種規(guī)章制度、權(quán)限控制等內(nèi)容；三是在信息安全問題解決過程中，涉及技術(shù)和人員的綜合性管理，如信息安全解決的總體規(guī)劃的制定，信息安全策略的制定等內(nèi)容。這些內(nèi)容共同構(gòu)成了信息安全的防護(hù)體系，信息安全管理解決宏觀問題，核心思想是信息安全風(fēng)險的管理控制，對象是包括人員在內(nèi)的種類信息相關(guān)資產(chǎn)，通過對信息資產(chǎn)的風(fēng)險管理來確保實現(xiàn)安全目標(biāo)，使這些管理對象能夠為組織的業(yè)務(wù)提供保障。

三、信息安全風(fēng)險防范

信息安全是一項無論做到何種防范，都會出現(xiàn)紕漏的領(lǐng)域，但卻可以通過管理和技術(shù)產(chǎn)品等多方面手段的提高而到有效的風(fēng)險防范，其實質(zhì)就是管住進(jìn)口與出口。針對信息系統(tǒng)而言，威脅的來源可以分為內(nèi)部威脅和外部威脅。

內(nèi)部威脅重點管控的對象主要為辦公主機和服務(wù)器。具體可以采取如下措施：1、禁止外部設(shè)備，尤其是USB設(shè)備及WIFI的接入。通過WINDOWS的組合策略來實現(xiàn)。2、定期巡檢。內(nèi)部的人為威脅危害尤其嚴(yán)重，人為威脅通過攻擊系統(tǒng)暴露的要害或弱點，使得網(wǎng)絡(luò)信息的保密性、完整性、可靠性、可控性和可用性等安全屬性受到損害，造成不可估量的經(jīng)濟和政治上的損失。

外部威脅主要來自于網(wǎng)絡(luò)威脅，種類很多，防范需要系統(tǒng)管理。首先要部署管控設(shè)備，設(shè)計可靠的網(wǎng)絡(luò)結(jié)構(gòu)，將服務(wù)器網(wǎng)絡(luò)、辦公網(wǎng)絡(luò)區(qū)分開，同時將IP地址與MAC地址綁定；其次要將網(wǎng)絡(luò)行為分組，根據(jù)不同組別的特性設(shè)置不同的行為規(guī)則；另外要限制不必要的軟件和通信協(xié)議，還要定期審核行為日志。

四、信息安全管理措施

（1）完善組織機構(gòu)。一般來講，應(yīng)該是一個單位的核心管理層來作為安全管理負(fù)責(zé)人，要有權(quán)威，負(fù)責(zé)人要非常清楚運作流程，便于風(fēng)險/事故的及時處理和流程的改進(jìn)?？梢酝ㄟ^組建信息化領(lǐng)導(dǎo)小組來實現(xiàn)，明確指導(dǎo)方針與職責(zé)分工，領(lǐng)導(dǎo)小組的主要責(zé)任在于制定和調(diào)整相關(guān)安全策略，并監(jiān)督和檢查策略的執(zhí)行情況。

（2）完善制度和流程管理。從企事業(yè)的內(nèi)部管理來講，為應(yīng)對上述的主要風(fēng)險，從筆者的實際經(jīng)驗出發(fā)，首先需要有完善的制度和流程，應(yīng)該完善以下幾個主要制度：設(shè)備管理制度、網(wǎng)絡(luò)管理制度、網(wǎng)絡(luò)權(quán)限申請流程、設(shè)備申請流程、內(nèi)網(wǎng)的安全管理策略、數(shù)據(jù)管理制度、用戶管理制度、變更制度、運維管理記錄等。

（3）實現(xiàn)三員分離。在筆者遇到的絕大多數(shù)中小企業(yè)中，信息安全基本處于無人關(guān)心的狀態(tài)，最多也就只是配備1名網(wǎng)管的狀態(tài)，或者管理人員水平無法滿足需求。三員分離設(shè)計主要是對管理員的權(quán)限進(jìn)行控制，設(shè)置系統(tǒng)管理員、用戶管理員和安全審計員3個角色，采用最小授權(quán)原則對系統(tǒng)三員進(jìn)行系統(tǒng)權(quán)限賦予，使三者相互間制約。系統(tǒng)管理員負(fù)責(zé)根據(jù)用戶申請完成系統(tǒng)角色的創(chuàng)建、修改與刪除，用戶身份標(biāo)識的生成與刪除、初始口令的設(shè)置及用戶信息的錄入，并對標(biāo)識進(jìn)行唯一性檢查。用戶管理員是完成用戶與角色授權(quán)、用戶審計和應(yīng)用系統(tǒng)數(shù)據(jù)備份，對系統(tǒng)進(jìn)行嚴(yán)格的訪問控制策略，添加用戶角色，分派角色權(quán)限，要求用戶定期更換口令，保障系統(tǒng)安全。安全審計員主要完成與安全有關(guān)的活動的相關(guān)信息的識別、記錄、存儲與分析。通過采集審計數(shù)據(jù)，分析結(jié)果。

（4）定期進(jìn)行風(fēng)險評估與等級保護(hù)測評。風(fēng)險評估是信息安全管理的關(guān)鍵環(huán)節(jié)，就是對信息系統(tǒng)面臨的威脅、受到的影響、存在的弱點以及威脅發(fā)生的可能性評估，風(fēng)險管理就是用可以接受的代價，識別、控制、減少或消除可能影響信息系統(tǒng)的安全風(fēng)險的過程并達(dá)到安全目標(biāo)與安全成本的平衡。信息安全等級保護(hù)是對信息和信息載體按照重要性等級分級別進(jìn)行保護(hù)的一種工作，是在中國、美國等很多國家都存在的一種信息安全領(lǐng)域的工作，單位重要的信息系統(tǒng)應(yīng)該每年都要進(jìn)行一次系統(tǒng)的等保測評，這本身就是一種動態(tài)式的信息安全管理模式。

以上只是筆者一些信息安全管理經(jīng)驗，實際工作中還要更加細(xì)致深入地加強防范，并且要不斷進(jìn)行相關(guān)人員的知識更新，尤其是近兩年大數(shù)據(jù)平臺、云計算的各種業(yè)務(wù)都要求用戶信息集中存儲與協(xié)同應(yīng)用，這也帶來的新的風(fēng)險，這就要求我們信息安全領(lǐng)域的人員要不斷地應(yīng)對變化的信息安全形勢，迎難而上。