信息安全工程的过程

3.7　信息安全工程的过程

信息安全是一个复杂的系统工程，解决信息安全问题应该从方法论、工程学的角度来考虑。一项科学的、高质量的信息安全工程应包含以下10个环节：

1.风险分析与评估

风险评估是安全防御中的一项重要技术，也是信息安全工程学的重要组成部分，其原理是对采用的安全策略和规章制度进行评审，发现不合理的地方，采用模拟攻击的形式对目标可能存在的已知安全漏洞进行逐项检查，确定存在的安全隐患和风险级别。风险分析的目标包括系统的体系结构、策略指导、人员状况以及各类设备如工作站、服务器、交换机、数据库应用等各种对象。根据检查结果向系统管理员提供周密可靠的安全性分析报告，为提高信息安全的整体水平提供重要依据。

风险分析是有效保证信息安全的前提条件，有必要对网络系统的安全性进行科学的评估。只有准确地了解系统的安全需求、安全漏洞及其可能的危害，才能制定正确的安全策略，另外，风险分析也是制定安全管理措施的依据之一。风险分析与评估是通过一系列管理和技术手段来检测当前运行的信息系统所处的安全级别、安全问题、安全漏洞，以及当前安全策略和实际安全级别的差别，评估运行系统的风险根据审计报告，可制定适合具体情况的安全策略及其管理和实施规范，为安全体系的设计提供实际参考。

风险分析与评估是掌握信息与网络系统运行情况的最佳方法，是信息安全工程学的重要组成部分，也是设计安全防护体系的前提。风险分析的过程是一个不断发展完善的过程，第二次评估结果肯定要比第一次准确、详细，而第三次评估结果肯定要优于第二次，所以，这个过程应该是伴随着信息系统同时存在、同步发展的。

2.安全需求分析

安全需求是一个单位要保护自己信息系统的安全所必须做的工作的全面描述，是一个很详细、全面、系统的工作规划，是需要经过仔细研究和分析才能得出的一份技术成果。为一个企业设计一个安全体系，对企业的安全需求进行分析是必不可少的，是对企业的信息财产进行保护的依据。安全需求分析工作是在安全风险分析与评估工作的基础上进行的，是安全工程学中在风险分析与评估之后的另一个阶段的工作。

安全需求分析是实施安全防护工程的基础，必须引起人们的重视。安全需求分析也是一个不断发展的过程，不会有一个一劳永逸的分析结果，随着系统环境的发展以及外在形势的改变，安全需求也会改变，要想保持分析结果的有效性，必须保证结果时刻最新，安全需求分析的过程也得与系统同步发展。

3.安全体系设计

安全体系是安全工程实施的指导方针和必要依据，它的质量也就决定了安全工程的质量。所以，把安全体系的设计提升到一定的高度，确保安全体系的可靠性、可行性、完备性和可扩展性。

安全体系是一种理论与实际相结合的产物，有它的理论依据和实际依据，理论依据是现有的一些制度和标准，实际依据则是信息系统的具体情况。安全体系是安全工程实施的依据方案，没有方案的工程是不可理解的，所以安全体系是为信息网络系统设计安全体系的重要环节。安全体系的设计必须以严谨的理论为指导，充分考虑系统本身的实际情况，必须经过多番论证、修补和完善，这样才能保证体系的质量。因为信息与网络的发展速度很迅猛，所以，安全体系必须随着更新、升级，因而安全体系必须有它良好的可扩展性。

4.制定安全策略

安全策略是为发布、管理和保护敏感的信息资源而制定的一组法律、法规和措施的总和，是对信息资源进行使用管理规则的正式描述，是企业内所有成员都必须遵守的规则。保护网络信息的安全是一场没有硝烟的战争，安全策略则是这场战争的战略方针，它负责调动、协调、指挥各方的力量来共同维护信息系统的安全。如果没有安全策略进行总体规划，即使安全实力再雄厚，信息系统也还是千疮百孔。安全策略属于网络信息安全的上层建筑，是网络信息安全的灵魂和核心。安全策略为保证信息基础的安全性提供了框架，提供了管理网络安全性的方法，规定了各部门要遵守的规范及应负的责任，使得信息网络系统的安全有了切实的依据，一个信息网络系统没有安全策略是不可想象的。

安全策略是安全工程实施与正常运行的依据，它的内容包含了和信息系统有关的各个层次、方方面面，根据信息系统的分层结构，安全策略也需分层次进行开发、制定，并且还要不断地在持续的安全工作中进行修正、补充和完善。

5.安全产品的测试和选型

要保护信息与网络系统的安全，必须购买一定数量的安全产品。有些产品的功能之间是有联系的，如果选择不好，可能会出现冲突或重复，这都是一种浪费。如何根据实际需要，选择最理想的安全产品是一项保护网络信息安全的基础工作，必须谨慎对待。

由于信息安全有着关系到国家主权和国家安全的特殊性，信息安全的测评认证体系也是不同于一般民间第三方的认证体系，而是政府授权的第三方测评认证体系，即国家信息安全测评认证体系。认证机构的存在对于规范信息安全市场，强化产品的生产者和使用者的安全意识都起着积极的作用。

对于一般用户来说，不可能知道如何去测试一个安全产品，所以，只要参考认证机构对该产品的测评结果就可以了。但是，如果了解有关的测评标准、测评程序、测评技术，那么对选择合适的安全产品会大有好处，所以，在选择安全产品之前，参考一下这些方面的资料是很有用的

选购安全产品除了要依据它的性能指标和测试结果以外，还有一些应该考虑的其他因素，它们是信息现在和将来的需求、厂商的信誉、售后服务、产品的市场占有率、产品的价位等，这些因素从一定程度上也反应了产品的性能。安全产品的测试选型工作要严格按照信息网络系统安全产品的功能规范要求，利用综合的技术手段，对参测产品进行功能、性能与可用性等方面进行测试，为企业选出符合功能规范的安全产品。测试工作原则上应该由中立组织进行，测试方法必须科学、准确、公正，必须有一定的技术手段。测试标准应该是国际标准、国家标准与信息网络系统安全产品功能规范的综合，测试范围包括产品的功能、性能与可用性等。

6.安全工程的实施与工程监理

为了保证安全工程的质量，有三个方面的工作必须重视：一是选择一个科学、合适的实施方案作为工程实施的指导；二是选择一个工程能力可靠的施工单位负责工程的建设；三是对工程实施的整个过程进行监理。

一个高水平的安全工程实施方案和实施单位只是一个高质量安全工程的必要条件，不是充分条件，工程实施过程中的各个环节和因素也在很大程度上影响着工程的质量。比如，所用的安全产品并非真实所定的产品，工程的实施人员并没有达到要求的能力水平，阶段任务少并没有按期完成等，这很大程度取决于施工单位的责任心和职业道德。为了检验施工单位的水平和责任心，保证工程各阶段的质量，对工程的实施过程要实行工程监理制度。安全工程监理主要从工程的规范、流程、进度等方面进行监督与检查，确保每一细节的质量，避免因为某个小问题而影响整个安全工程甚至需要返工等情况的发生。安全监理单位或个人必须是第三方中立机构或个人，这样才能保证工程真正按照合理的流程与技术标准进行，才能保证项目实施的公正与科学性。

7.信息安全组织管理体系的构建

安全工程是一个多阶段、多环节的复杂过程，要把这个过程协调好、组织好，必须组建一个科学、健全的组织管理体系对此负责，这是保证安全工程质量的重要前提，所以，安全组织管理体系是安全工程学中的重要组成部分。

由于信息安全系统的特殊性、排他性、复杂性，需要独立的组织、方法、流程、管理体系的协调。安全组织管理体系是保证安全工程质量的重要条件，所以，对于组织管理体系的构建必须重视体系的组件，必须遵循多人负责、任期有限、职责分离的原则，体系的结构必须科学合理，职能必须详细明确。

8.安全事件紧急响应体系的构建

紧急响应的目的是处理计算机网络及信息安全紧急事件，发布安全警告，为安全服务提供技术保障，研究网络入侵行为及防护方法，普及网络安全知识，提高公众安全意识。因为各类入侵行为有很多种，涉及很多知识领域，对这些入侵行为的分析和处理还要讲究一定的策略，所以，紧急响应的过程也是一个复杂的、多层次的体系。

组建科学的紧急响应体系是有效防御各类攻击破坏行为、减少损失的必要条件，也是信息安全工程学必不可少的组成部分，体系的构建应该遵循机构合理、职责分明、程序健全的原则。

9.安全的稽核与检查

稽核与检查工作是检验、监督信息系统的安全工作落实情况，保证统一安全策略得到贯彻实施的有效方法与手段。从安全策略上看稽核与检查工作和安全基础设施建设工作，在组织、人员、技术、设备、系统等方面应该分开，应该相互制约，只有这样才能保证稽核与检查工作的有效性，信息与网络系统的安全性才能得到维护。一个安全体系涉及从上层理论到具体细节方方面面的内容，同样，稽核与检查工作也要包括这些内容。

安全检查与稽核工作是保证安全体系安全性的有效途径，也是促进安全体系有效运转的最佳方法，它对信息安全防护体系起到了监督、促进的作用，是维护信息网络系统安全的有力保障。安全检查与稽核工作的范围、内容也有很多，要对安全政策、组织、人员、技术措施、安全意识等方面进行全面的检查，形成综合的稽核报告。安全检查与稽核工作的目的是最大限度地监督安全基础设施的建设与落实，保证信息与网络系统的安全，保证日常工作与安全生产的顺利进行。

10.安全意识教育与技术培训

大量网络信息安全案例表明，由于用户的安全意识不强以及误操作，同样会给信息系统造成不可预测的后果。有意无意将计算机病毒、特洛伊木马程序及其他恶意代码引入信息系统，将给信息系统造成灾难性的后果，这恰恰是各类用户安全意识不强以及违背管理制度的直接结果。用户违背访问控制策略私自访问因特网或外部网络，不但可能突破系统防护的薄弱环节，绕过防火墙，将内部秘密信息泄露出去，暴露内部资源配置信息，而且会严重破坏访问控制秩序，加重网络传输负荷，造成拥塞，导致网络管理混乱。因此加强各类职员、用户的安全意识教育和安全技术培训是网络信息系统确保安全运行的预前、预后和常规性重要措施，也是一个完整的安全工程学的重要组成部分。

人员的安全意识教育和安全技术培训是信息安全工程学中必不可少的一部分，它对信息系统的安全有着重大的促进作用。由于各种信息网络环境千差万别，不同环境应该根据具体情况建立不同规模的教育培训体系，设置不同的培训课程，制定不同层次的考核方法与标准，定期组织各种形式的宣传活动，培训与教育工作要制度化与经常化，不宜走过场。