信息系统的安全涉及方方面面,是对整个系统的安全而言,要全面规划,并且在系统的整个生命周期都要覆盖。所以,要用全面整体的思想来研究、设计、实践系统的安全保障体系,这是一种全面整体的安全观。
整体上来讲,包括两部分,即理论加实践。理论层面,设计体系架构,形成整体框架,在框架中展开、细化、完善,形成可指导实践的方法论。实践层面,面对应用场景,根据具体业务特点,远景规划,使命及目标战略等,结合业务需求,给出具体应用措施。
实际生活中,在信息系统的建设、使用、维护中,可能存在重技术轻管理的思想,重设备轻人员的现象,这是需要特别注意的,也是需要避免的。相反,管理活动和人员活动在整个系统安全实践中,占有非常重要的地位和比重。从充分考虑系统安全的方方面面出发,结合整个过程中参与的有形实体、无形实体、参与过程及流程出发,我们给出信息系统的安全体系架构。
首先,我们需要对信息系统的安全概念有一个充分全面的认知。信息系统的安全涉及哪些方面?从全局的视角来看,主要包括如下四个方面:(1)人为蓄意破坏。这分为主动性破坏,比如数据被篡改,冒充身份,拒绝服务(网络瘫痪),重放攻击,散播病毒木马,抵赖以及被动型攻击,比如监听,非法登录,信息截取等。(2)灾害性攻击。比如地震、火山、水灾战争等。(3)系统故障,比如软件故障,硬件故障,链路故障,供电故障,设备老化故障等。(4)人员无意识行为。比如系统设计漏洞,管理漏洞,编码错误,操作错误以及无意识的泄露等。这些都是与系统安全相关的内容。有了这些安全相关的表现后,就需要针对性的提出设计方案,实施相应的安全措施,以此来保障信息系统的安全。很容易看出,信息系统的安全措施都是额外的部分,相对于信息系统本身来讲,安全措施保障系统的安全,使业务按需求设计达成既定期望目标,但并不为业务提供增值价值。如果这些外部环境因素不发生,设备正常运转,人员都自觉遵守规范,整个信息系统的功能或业务价值不会有丝毫减少,但这只是理想化的情况。另外,还有一点,也是显而易见的,那就是安全措施的实施是有成本的。增加安全设备,制定安全规范,配备安全管理人员,扩展安全设计,研究安全相关的算法知识等等,都需要投入人力、时间、经济资源。有成本,就需要对措施分级管理,不同级别对应不同的加固措施,也对应不同的成本预算。针对设备,一般来讲,部件级冗余安全性低于设备级冗余,但成本也相对低廉。部分备份相对全部备份,单地备份相对于多地备份,单一手段相对于多种手段结合应用,单重防护相对于多重防护而言等等,都是类似情况,阐述着同样的道理。所以,我们实施安全框架时,要结合安全需求、要求、实际等情况,综合考虑,设计保护效果与成本相匹配的安全体系,既不过度,也不欠缺,以上是对系统安全体系概念的综合性论述。
其次,既然安全体系设计涉及到许多方面,那我们应该如何抽象并系统化规划安全设计的理论指导,使得这一指导理论具备全面性、科学性、发展性、体系化,对应用实践的指导具备可操作性、可实施性、可理解性?下面就给出一种为满足上述安全体系要求的理论体系。
第一,先对信息系统画像。既然是为信息系统设计安全体系,就需要明确信息系统是什么样子,这是显然的。比如,对生物种类的安全保护与对信息系统的安全保护肯定是不一样的;飞机的安全与建筑的安全要求也肯定是完全不一样的。只有明确了信息系统是什么,有哪些概念,有哪些特征特点,怎样工作的,明确了这些,才好为其设计安全体系框架。进一步的,为信息系统画像,也是有一定的要求的,这就是抽象化、本质化、规律化,而非具体化、表面化、现象化。这一点,应该也是很好理解的。就好比我们提到人这个概念,则是总结了人所具有的本质特征的一个抽象人,而非具体的张三李四。我们提到建筑物,总是会关联到图纸、材料、地基、机械设备、墙体、玻璃、门、窗户等等所有建筑物共有的特征,而非某一个具体的楼或者大厦之类的。这里,对信息系统抽象也是相同的道理。那么,信息系统有怎样的本质特征呢?从目前技术发展来看,我们可以抽象出信息系统的如下特征:
以上,我们对一个信息系统进行了抽象化的描述,也即画像。有了这个画像,我们看到了一个抽象的,具有本质特征的信息系统。在此基础上,设计整个系统的安全体系,或者说,围绕这个画像,构建全面整体的安全体系架构。
第二,围绕画像,构建安全保护框架、范围。与第一部分相对应的,包括:
(1)实体安全
(2)网络通信安全
(3)系统与应用,软件与信息安全
(4)管理、组织与制度安全体系
(5)安全技术措施
以上内容不再展开叙述。
第三,借鉴其他领域的理论框架,补充完善外围。显然围绕上述框架,我们需要有安全相关的标准制定以及安全等级划分。这是可操作性,可实施性的必然要求。前面介绍了安全的价值,并提到了实施安全设计和措施成本不小,因此安全也不能无限扩大,需要分级管理。目前来看,这包括:
除了上述分级管理外,还有与此相关的各种GB协议标准。有了通用标准和相应的分级标准,既可以方便实施安全措施,提供操作层面的指导,也方便对安全效果做出评价和判断。
第四,实际应用中,提取出5个应用层面技术方面的安全性措施,这包括
(1)访问鉴别
(2)访问控制
(3)内容安全
(4)冗余恢复
(5)审计响应
这五点其实对应了一些标准化组织总结的五大框架
(1)鉴别框架。这是身份认证的常规措施。包括知道什么(用户名密码),拥有什么(口令),是什么(生物特征)等。
(2)访问控制框架。包括用户入网接入控制,用户访问权限控制,目录级安全控制,网络属性安全控制,服务器安全控制等5个方面。
(3)机密性框架。包括禁止访问,加密,组织分散化、数据分组分片等措施。
(4)完整性框架。数据备份也算一点,包括异地备份、自动备份、存储网络备份、网络存储备份、磁带到磁带之间直接传输数据的备份。备份方式有完全备份、增量备份、差异备份、按需备份等。
(5)抗抵赖框架。既常见的操作流痕。这包括证据生成、存储与传输、证据验证、解决纠纷(裁决)等。
以上第四部分已经涉及具体的措施了。但是在这之前,我们已经了解到安全体系是多维度的、多点的、分层的、有边界的。这些概念是为整个安全体系架构服务的,基于此,我们可以再进一步提升高度,围绕企业信息价值这一核心点,以安全风险,安全策略为基础,整体构建企业信息系统的技术体系(包括物理安全和系统安全)、管理体系以及组织体系,进而全面规划信息系统的安全框架。框架围绕三点展开:
(1)依托企业信息化战略规划
(2)围绕上述三个方面的安全
(3)以信息系统和信息资源的安全保护为核心
最终达到:
(1)建立统一的身份认证体系,包括人、设备、计算机、应用等
(2)建立统一的信心安全管理体系、技术、制度
(3)建立规范的信息安全保密体系、技术、制度
(4)建立完善的网络边界防护体系
最终补充一点,从软件角度来讲,整个信息系统安全的底层支撑为密钥体系,涉及密钥分发中心,具体的有公钥基础设施。