張瑞祥 謝 衛(wèi) 熊 煒 李永剛

(中國電子工程設(shè)計院,北京 100840)

基于信息系統(tǒng)安全保護等級的勘察設(shè)計企業(yè)信息安全保障體系建設(shè)

張瑞祥 謝 衛(wèi) 熊 煒 李永剛

(中國電子工程設(shè)計院,北京 100840)

本文以國家頒布的計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則等信息安全管理標(biāo)準(zhǔn)、規(guī)范為基線,把確保企業(yè)信息安全風(fēng)險降低到可以接受程度作為安全目標(biāo),通過對企業(yè)信息安全需求的分析,介紹建立企業(yè)信息安全保證體系的基本思路,以及選擇并實施有關(guān)信息安全管理措施的方法。

信息安全管理體系;計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則

1 前言

近年來,隨著信息化發(fā)展的逐步深入,企業(yè)對信息系統(tǒng)的依賴越來越強,很多關(guān)系到企業(yè)命脈的重要數(shù)據(jù)、資料都以電子形式保存于信息系統(tǒng)中,因此企業(yè)信息基礎(chǔ)設(shè)施、信息系統(tǒng)是否安全正常地運行,將直接關(guān)系到企業(yè)能否保持競爭能力、利潤及企業(yè)形象等重要事項;由于企業(yè)的網(wǎng)絡(luò)、應(yīng)用系統(tǒng)隨時面對來自四面八方的威脅,諸如企業(yè)數(shù)據(jù)庫被入侵攻擊、泄露或丟失企業(yè)機密信息等危害事件時有發(fā)生,如何保障企業(yè)信息系統(tǒng)安全是擺在企業(yè)管理者、信息化建設(shè)人員和用戶面前亟待解決的關(guān)鍵問題。

建立一套完善的企業(yè)信息安全保障體系是一項極為復(fù)雜的系統(tǒng)工作,以某中型企業(yè)為例,該企業(yè)的應(yīng)用系統(tǒng)集成面廣、網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜、覆蓋地域廣闊、下屬單位和人員眾多,需要落實安全保障的項目極為廣泛,包括物理安全、網(wǎng)絡(luò)安全、系統(tǒng)安全、應(yīng)用安全、安全管理、安全組織建設(shè)等內(nèi)容,面臨著遵從哪些安全標(biāo)準(zhǔn)規(guī)范、設(shè)計怎樣的安全架構(gòu)、采取什么安全保障技術(shù)來構(gòu)筑企業(yè)信息安全堡壘一系列很困難的問題。

2 適度確定企業(yè)信息安全保護級別

目前,我國應(yīng)用最為廣泛的是采用分等級保護的策略來解決網(wǎng)絡(luò)信息安全問題,即信息系統(tǒng)的使用單位依據(jù)自身的重要程度、信息系統(tǒng)承載業(yè)務(wù)的重要程度、信息內(nèi)容的重要程度、系統(tǒng)遭到攻擊破壞后造成的危害程度等情況,結(jié)合對信息安全的需求以及實施安全措施的成本等因素,參照國家規(guī)定的等級劃分標(biāo)準(zhǔn)[1],設(shè)定其保護等級,自主進行信息系統(tǒng)安全建設(shè)和安全管理。

怎樣依據(jù)信息系統(tǒng)安全保護等級劃分標(biāo)準(zhǔn)設(shè)定企業(yè)的安全保護等級?首先,準(zhǔn)確把握計算機信息系統(tǒng)安全保護等級劃分的原則。安全保護級別的確定主要根據(jù)業(yè)務(wù)系統(tǒng)中應(yīng)用的重要程度、敏感程度以及信息資產(chǎn)的客觀條件。一般來說,信息系統(tǒng)越重要,需要具有的保護能力就越高。因為系統(tǒng)越重要,其所伴隨的遭到破壞的可能性越大,遭到破壞后的后果越嚴(yán)重,因此需要提高相應(yīng)的安全保護能力。其次,在對信息系統(tǒng)的安全保護等級進行劃分時,先對構(gòu)成信息系統(tǒng)的操作系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等子系統(tǒng)潛在的不安全因素進行判別,對應(yīng)著信息系統(tǒng)安全等級保護技術(shù)要求,評定各系統(tǒng)需要安全保護的對應(yīng)措施,最后參照信息系統(tǒng)安全等級保護管理要求[2],確定整體信息系統(tǒng)的保護等級。

本文通過舉例說明如何進行企業(yè)安全保護等級的評測。某勘察設(shè)計企業(yè)的信息系統(tǒng)主要有如下部分組成,即:1)企業(yè)內(nèi)外網(wǎng)絡(luò)系統(tǒng);2)企業(yè)數(shù)據(jù)中心;3)企業(yè)數(shù)據(jù)庫平臺;4)企業(yè)綜合管理信息系統(tǒng);5)基礎(chǔ)應(yīng)用系統(tǒng)(包含企業(yè)電子郵箱系統(tǒng)、企業(yè)內(nèi)外網(wǎng)站等)。依據(jù)信息系統(tǒng)安全保護等級劃分原則和判別要素,將信息系統(tǒng)的安全保護等級劃分為三個等級:第一級為普通級保護,主要對象為一般的信息系統(tǒng),其受到破壞后,會對個人和企業(yè)其他人員的權(quán)益造成一定影響,但對企業(yè)的正常業(yè)務(wù)、企業(yè)資產(chǎn)等不會造成影響,在系統(tǒng)遭到損害后能夠恢復(fù)部分功能;第二級為重要級保護,主要對象為一定程度上涉及企業(yè)安全、利益的業(yè)務(wù)信息系統(tǒng),受到破壞會對企業(yè)利益有一些直接影響,在系統(tǒng)遭到損害后能夠在一段時間內(nèi)恢復(fù)部分功能;第三級為加強級保護,主要對象為涉及企業(yè)機密和公共利益的關(guān)鍵信息系統(tǒng),其受到破壞后,會對企業(yè)的正常業(yè)務(wù)、企業(yè)資產(chǎn)等造成較大損害,要求系統(tǒng)在遭到損害后能夠快速恢復(fù)絕大部分功能。

實例中的企業(yè)網(wǎng)站等系統(tǒng)用于發(fā)布企業(yè)新聞、介紹業(yè)務(wù)領(lǐng)域和經(jīng)營范圍、宣傳企業(yè)文化等,是公眾可以訪問的資源,被破壞時不會對企業(yè)利益造成嚴(yán)重?fù)p害;對服務(wù)實時性和服務(wù)質(zhì)量要求不高,當(dāng)系統(tǒng)無法提供有效服務(wù)時,不會影響企業(yè)的正常生產(chǎn),所以把這類應(yīng)用系統(tǒng)的安全級別定為普通級保護。企業(yè)郵箱、協(xié)同設(shè)計、科技質(zhì)量管理、檔案管理等系統(tǒng),是員工開展日常辦公的交流平臺,系統(tǒng)中保存了內(nèi)外聯(lián)絡(luò)信息、設(shè)計創(chuàng)作中產(chǎn)生的過程或成品文件等資源,系統(tǒng)服務(wù)的對象主要是企業(yè)內(nèi)部人員,被破壞時將會對企業(yè)利益造成一定損害;由于主要業(yè)務(wù)可以不通過這些系統(tǒng)完成,系統(tǒng)對服務(wù)實時性和服務(wù)質(zhì)量要求一般,當(dāng)系統(tǒng)無法提供實時服務(wù)或無法提供有效服務(wù)時,不會造成企業(yè)利益的重要損失,所以將這類的應(yīng)用系統(tǒng)安全級別確定為重要級保護。企業(yè)數(shù)據(jù)中心存儲著企業(yè)的全部機密信息,數(shù)據(jù)庫平臺上整合了企業(yè)經(jīng)營、生產(chǎn)、財務(wù)、資產(chǎn)等各項業(yè)務(wù)的實時數(shù)據(jù),人力資源管理系統(tǒng)、經(jīng)營管理系統(tǒng)、財務(wù)管理系統(tǒng)等是用于企業(yè)核心業(yè)務(wù)的重要信息系統(tǒng),這些系統(tǒng)集成一體為企業(yè)高層領(lǐng)導(dǎo)、經(jīng)營和財務(wù)主管、人事主管等實時提供一系列量化指標(biāo),使企業(yè)高層管理人員能及時、準(zhǔn)確地把握和調(diào)整企業(yè)的發(fā)展方向。這些系統(tǒng)對信息數(shù)據(jù)的完整性和可靠運行的實時性要求高,且無法采用手工作業(yè)替代,當(dāng)系統(tǒng)無法提供實時服務(wù)或無法提供有效服務(wù)時,會造成重要損失;而且系統(tǒng)的安全保障決定了企業(yè)戰(zhàn)略實施的準(zhǔn)確性和保密性,當(dāng)有關(guān)信息被破壞會對企業(yè)利益造成嚴(yán)重影響,所以將這類的應(yīng)用系統(tǒng)安全級別確定為加強級保護。

3 建立企業(yè)信息安全保證體系的務(wù)實原則

建立信息安全保障體系是信息安全工作實施的基本依據(jù)和保證,企業(yè)根據(jù)自身狀況組織建立適合業(yè)務(wù)發(fā)展和信息安全需求的信息安全防護框架,進行包括信息安全管理體系、信息安全技術(shù)體系以及信息安全運行維護體系等的信息安全保障體系建設(shè),改變長期以來形成的 “缺乏整體設(shè)計、單一布設(shè)安全產(chǎn)品、孤立制定安全策略”的被動防范方式,實現(xiàn)信息安全工作的制度化、規(guī)范化和一體化建設(shè),讓信息系統(tǒng)面臨的風(fēng)險能夠達到一個可以控制的標(biāo)準(zhǔn),進一步保障信息系統(tǒng)的運行效率。

實例中企業(yè)密切結(jié)合本單位業(yè)務(wù)特點,首先在信息系統(tǒng)定級上確立了企業(yè)非涉密信息系統(tǒng)安全保護第二級、重要信息系統(tǒng)災(zāi)難恢復(fù)第一級的信息安全需求標(biāo)準(zhǔn),圍繞著定級標(biāo)準(zhǔn)制定下圖所示的企業(yè)信息安全保障體系框架。

3.1 安全管理系統(tǒng)建立原則

建立集中統(tǒng)一、分工協(xié)作、各司其職的信息安全管理機制。一是企業(yè)應(yīng)建立能夠協(xié)調(diào)維護各部門信息安全的綜合職能機構(gòu),成立有高度權(quán)威的企業(yè)信息安全領(lǐng)導(dǎo)小組,避免出現(xiàn)信息安全事故時有關(guān)部門條塊分割、職責(zé)不清、多頭管理、協(xié)調(diào)不力的狀況;二是各級部門要形成一個分工明確、責(zé)任落實、相互銜接、有機配合的組織管理體系;三是逐步建立和完善企業(yè)信息安全管理規(guī)章制度,使企業(yè)各級單位在統(tǒng)一的安全策略和與之配套的標(biāo)準(zhǔn)、規(guī)范指導(dǎo)下,協(xié)同開展信息安全防護體系建設(shè)。

對于信息安全的日常管理規(guī)范,一是規(guī)范運行維護的事件管理,著重從運行質(zhì)量和效率入手,做好以問題管理、事件管理、配置管理和變更管理為主要內(nèi)容的運行管理工作。二是要提高安全保障能力,著重從健全涵蓋設(shè)備、網(wǎng)絡(luò)、系統(tǒng)軟件、數(shù)據(jù)庫、應(yīng)用程序等方面的企業(yè)信息安全體系建設(shè)入手,提高信息安全意識和技能,筑牢信息安全內(nèi)部防范基礎(chǔ)。三是科學(xué)建立內(nèi)部控管機制,著重做好各類制度和標(biāo)準(zhǔn)的補充和完善工作,實行信息安全管理的規(guī)范化、制度化[3]。

圖 1 信息安全保證體系框架圖

3.2 基礎(chǔ)安全防護系統(tǒng)建立原則

企業(yè)安全防護體系的建設(shè)規(guī)模和防護強度必須與網(wǎng)絡(luò)、信息系統(tǒng)所擔(dān)負(fù)的業(yè)務(wù)工作范圍和重要程度相符,信息系統(tǒng)安全的防護目標(biāo)應(yīng)定位準(zhǔn)確,避免出現(xiàn)因定位不準(zhǔn),致使防護系統(tǒng)有漏缺或考慮過細造成規(guī)模過大,增加安全措施部署經(jīng)費和實施難度的情況發(fā)生。

將企業(yè)基礎(chǔ)安全防護系統(tǒng)分為物理安全、網(wǎng)絡(luò)安全、用戶安全等三方面來建設(shè)。對于物理安全把包括通信線路安全、物理設(shè)備安全和機房安全等作為安全管理目標(biāo),安全工作的重點放在對物理通路的損壞、物理通路的竊聽、對物理通路的攻擊等破壞活動的防止,同時抓好防盜、防火、防靜電、防水防潮等措施實施。對于網(wǎng)絡(luò)安全則將保障網(wǎng)絡(luò)的安全暢通和保密作為工作目標(biāo),首先根據(jù)企業(yè)網(wǎng)絡(luò)有關(guān)部分的功能不同以及遭受攻擊的來源不同將其劃分為不同區(qū)域,通過引入安全產(chǎn)品和安全技術(shù),形成邊界安全防護防御結(jié)構(gòu)。在局域網(wǎng)安全管理上采取“資源集中、部門子網(wǎng)、VLAN隔離、訪問認(rèn)證”,以及“網(wǎng)內(nèi) IP地址資源統(tǒng)一分配管理”等方針,重點強化業(yè)務(wù)生產(chǎn)系統(tǒng)、數(shù)據(jù)資源區(qū)域的防護。在用戶安全方面,根據(jù)用戶所屬單位、用戶角色、資源訪問密級、資源使用方式的不同進行分組管理;建立單點登錄(如采用域管理模式的用戶認(rèn)證控制系統(tǒng))的強力身份認(rèn)證體系,加強用戶密碼制度的管理等;通過實施計算機防病毒、操作系統(tǒng)漏洞補丁升級、防垃圾郵件等措施保證用戶安全使用計算機。

3.3 應(yīng)用系統(tǒng)安全措施建立原則

應(yīng)用系統(tǒng)安全采取的措施應(yīng)集中在防止系統(tǒng)被攻擊、業(yè)務(wù)數(shù)據(jù)外泄等的防范上,信息安全防御的重點需從“以網(wǎng)絡(luò)層防護為主”轉(zhuǎn)向“以應(yīng)用層防護為主”、從“以防外為主”轉(zhuǎn)向“防內(nèi)防外并舉”。建設(shè)企業(yè)VPN網(wǎng)絡(luò),利用互聯(lián)網(wǎng)資源搭建一個經(jīng)過加密的虛擬專用通道供有授權(quán)的用戶使用,任何其它的用戶均會被拒絕,無法訪問應(yīng)用系統(tǒng),保護網(wǎng)絡(luò)資源的安全。另外對于內(nèi)網(wǎng)不同部門、職能用戶,合理使用 ACL訪問控制列表和VLAN虛擬局域網(wǎng)的設(shè)置,通過ACL限制的設(shè)置控制計算機對網(wǎng)絡(luò)訪問范圍,禁止未經(jīng)授權(quán)的用戶、計算機進入關(guān)鍵業(yè)務(wù)應(yīng)用系統(tǒng)、資源區(qū)。

4 合理實施企業(yè)信息安全管理和措施

信息系統(tǒng)安全問題的解決依賴技術(shù)和管理兩方面,一方面在技術(shù)上使用先進的信息安全防范技術(shù),另一方面在管理上制定完善的企業(yè)信息安全規(guī)章制度,實例中企業(yè)根據(jù)信息化管理、應(yīng)用的水平情況,實施了如下信息安全措施。

4.1 不斷完善信息安全組織管理建設(shè)

(1)在信息安全管理組織建設(shè)上,初步建成了企業(yè)信息安全的組織管理保障體系。1確立“企業(yè)信息化工作領(lǐng)導(dǎo)小組”為信息安全管理的決策機構(gòu);④將信息中心定位為信息安全管理執(zhí)行機構(gòu),負(fù)責(zé)企業(yè)總部網(wǎng)絡(luò)與信息系統(tǒng)相關(guān)的日常安全管理,以及對下屬公司信息安全的輔助指導(dǎo)工作;㈣對于信息安全堅持“誰主管、誰負(fù)責(zé),誰經(jīng)營、誰負(fù)責(zé),誰建設(shè)、誰負(fù)責(zé),誰使用、誰負(fù)責(zé)”的原則,下屬公司負(fù)責(zé)本單位的網(wǎng)絡(luò)與信息系統(tǒng)安全管理。

(2)制定并發(fā)布了企業(yè)信息安全管理規(guī)范,將頒布的《網(wǎng)絡(luò)安全管理責(zé)任制度》、《計算機及網(wǎng)絡(luò)保密管理規(guī)定》和《信息系統(tǒng)管理員賬號、密碼及操作權(quán)限的管理規(guī)定》等制度、規(guī)定作為了企業(yè)信息安全工作的指導(dǎo)準(zhǔn)則,所有開展的信息安全工作都是以此為準(zhǔn)繩。

(3)對于系統(tǒng)安全日常管理工作,依照安全需求制定一系列信息安全管理的基本策略,并通過設(shè)立專職信息安全網(wǎng)管員、明確工作職責(zé),定期進行信息安全的檢查,對在實際應(yīng)用過程中出現(xiàn)的各種信息安全事件和安全狀況進行嚴(yán)格記錄,同時利用網(wǎng)絡(luò)管理工具對各種重要網(wǎng)絡(luò)行為、各種涉及系統(tǒng)重要配置的更改進行審核并予以記錄。

(4)重視開展信息安全應(yīng)急處理工作,對于主要的網(wǎng)絡(luò)系統(tǒng)、關(guān)鍵的業(yè)務(wù)應(yīng)用系統(tǒng)初步建立了信息安全事件應(yīng)急處置預(yù)案。一方面從應(yīng)急管理組織工作方面,逐步制定和完善了企業(yè)網(wǎng)絡(luò)與信息安全應(yīng)急處置工作的規(guī)劃、計劃和政策的建設(shè)。另一方面不斷完善網(wǎng)絡(luò)與信息安全突發(fā)事件監(jiān)測、預(yù)測、預(yù)警工作,加強了對可能出現(xiàn)網(wǎng)絡(luò)與信息安全事件的有關(guān)信息的收集、分析判斷和持續(xù)監(jiān)測。

4.2 抓好基礎(chǔ)安全系統(tǒng)防護措施建設(shè)

信息安全技術(shù)作為信息安全體系的基礎(chǔ),在信息安全管理中起到基石的作用。每個企業(yè)都有自己的特點,所以在信息安全技術(shù)上不應(yīng)采取“一刀切”的實施方法。實例中企業(yè)根據(jù)實際情況,在基礎(chǔ)系統(tǒng)的安全措施中采用了以下信息安全防范技術(shù)。

安全、穩(wěn)定、可靠的機房環(huán)境是信息系統(tǒng)穩(wěn)定運行的基本保障,做好機房環(huán)境安全的主要有四方面工作:一是機房進出控制,二是供電環(huán)境安全,三是設(shè)備防雷保護,四是穩(wěn)定的溫度、濕度條件。對于機房進出的訪問實施了登記控制,來訪人員需信息中心授權(quán)并由網(wǎng)絡(luò)管理人院陪同,同時限制和監(jiān)控其活動范圍;把主要設(shè)備放置在機房等范圍內(nèi),對機房、線纜等重要區(qū)域做防護措施,將通信線纜鋪設(shè)在管道中;對信息中心使用的介質(zhì)(諸如:存有信息的光盤、移動硬盤、紙質(zhì)文檔等)分類標(biāo)識,并集中存儲在檔案室中。

基礎(chǔ)安全防護系統(tǒng)是企業(yè)信息系統(tǒng)安全解決方案的關(guān)鍵[4],是企業(yè)信息安全保證體系的重要組成部分。實例中采取的主要防范措施有:防火墻系統(tǒng)、上網(wǎng)行為管理系統(tǒng)、安全防漏洞補丁系統(tǒng)、防病毒系統(tǒng)以及VPN系統(tǒng)等。1通過防火墻系統(tǒng)設(shè)置的安全策略,達到了“利用源地址過濾,拒絕外部非法 IP地址的越權(quán)訪問,將系統(tǒng)受攻擊的可能性降至最低;利用地址NAT轉(zhuǎn)換,使外網(wǎng)用戶不能看到內(nèi)網(wǎng)的結(jié)構(gòu)”等安全效果。④引入上網(wǎng)行為管理系統(tǒng)實現(xiàn)了“優(yōu)化上網(wǎng)環(huán)境、提升用戶用網(wǎng)體驗;管控網(wǎng)絡(luò)應(yīng)用,保障核心業(yè)務(wù)的訪問速度;防范信息泄露,保障組織信息安全;過濾不良信息,規(guī)避帶來各種糾紛問題;防止網(wǎng)絡(luò)攻擊,提升上網(wǎng)安全度”等安全管控目標(biāo)。㈣網(wǎng)絡(luò)中服務(wù)器、計算機客戶端的操作系統(tǒng)、辦公軟件等,存在大量的安全漏洞,系統(tǒng)補丁管理(SUS)就成為了企業(yè) IT安全管理的一方面。在網(wǎng)絡(luò)內(nèi)部構(gòu)建微軟系統(tǒng)的軟件補丁管理服務(wù)系統(tǒng)(WS US),部署的WS US系統(tǒng)實現(xiàn)了計算機統(tǒng)一管理,提升網(wǎng)絡(luò)的整體安全性;根據(jù)不同的應(yīng)用單位、組織機構(gòu)、使用環(huán)境等情況,執(zhí)行了不同的補丁自動升級管理策略,使客戶端根據(jù)安裝軟件的需要去升級補丁;相比于單臺計算機從互聯(lián)網(wǎng)升級的方式,局域網(wǎng)客戶端直接從企業(yè)內(nèi)架設(shè)的WS US服務(wù)器獲得更新,也節(jié)省了大量的互聯(lián)網(wǎng)帶寬資源。?企業(yè)網(wǎng)絡(luò)中部署了網(wǎng)絡(luò)版的防病毒系統(tǒng),將網(wǎng)絡(luò)中的所有計算機集中監(jiān)控,納入統(tǒng)一的病毒防護策略管理,并保持防病毒數(shù)據(jù)庫持續(xù)有效升級,要求接入網(wǎng)絡(luò)的計算機必須是安裝了統(tǒng)一部署的防病毒客戶端。?VPN(虛擬專網(wǎng))是一種利用公共網(wǎng)絡(luò)為企業(yè)建立虛擬的專用網(wǎng)絡(luò)、安全傳遞數(shù)據(jù)的技術(shù);企業(yè)的分支機構(gòu)與總部采用利用互聯(lián)網(wǎng)建立虛擬專用通道,既達到了擴展公司信息管理系統(tǒng)的應(yīng)用范圍的目的。?對于企業(yè)郵件、網(wǎng)站等應(yīng)用系統(tǒng)通過采取 I T外包的方式規(guī)避或弱化其信息安全風(fēng)險;專業(yè)服務(wù)商具有其服務(wù)的專業(yè)技術(shù)特長,能緊跟專業(yè)技術(shù)發(fā)展,不斷更新和升級技術(shù)服務(wù),讓企業(yè)享用信息技術(shù)的最新成果;通過租用空間構(gòu)建企業(yè)網(wǎng)站或租賃企業(yè)郵件系統(tǒng),同時享用了服務(wù)商提供的專業(yè)化的殺毒和反垃圾系統(tǒng),使企業(yè)獲得綠色郵件通訊的服務(wù),而具有專業(yè)的設(shè)備和專業(yè)的技術(shù)隊伍,可以使通信過程中的企業(yè)資料和商務(wù)信息得到最大程度的保護。

4.3 不斷增強應(yīng)用系統(tǒng)安全措施的實施

應(yīng)用系統(tǒng)的安全主要圍繞服務(wù)器不宕機、網(wǎng)絡(luò)不癱瘓、數(shù)據(jù)完整等目的展開。實例中采取的主要防范措施有:1在網(wǎng)絡(luò)層傳輸層,設(shè)置了網(wǎng)絡(luò)權(quán)限控制、網(wǎng)絡(luò)服務(wù)器的目錄級安全控制策略;網(wǎng)絡(luò)層應(yīng)用層,使用了網(wǎng)絡(luò)ACL和VLAN的應(yīng)用策略,根據(jù)不同部門職能制定的角色,通過ACL做到計算機對網(wǎng)絡(luò)系統(tǒng)訪問控制設(shè)置。④系統(tǒng)應(yīng)用層的密碼管理,主要業(yè)務(wù)應(yīng)用系統(tǒng)采取“用戶名+密碼”授權(quán)管理;對于特殊用戶訪問控制,對擁有系統(tǒng)關(guān)鍵業(yè)務(wù)模塊、核心數(shù)據(jù)資源訪問權(quán)限的用戶采取MAC地址、密碼管理和身份鎖相結(jié)合的登錄認(rèn)證方式;資源訪問控制措施則采取基于用戶角色和功能權(quán)限相結(jié)合的數(shù)據(jù)訪問權(quán)限控制模式,通過用戶所屬單位、用戶角色、資源訪問密級、資源使用方式(瀏覽/下載)的多級矩陣式數(shù)據(jù)訪問權(quán)限控制。㈣數(shù)據(jù)安全與數(shù)據(jù)恢復(fù)策略,采用備份軟件對關(guān)鍵業(yè)務(wù)數(shù)據(jù)實施備份;災(zāi)難恢復(fù)和業(yè)務(wù)連續(xù)性管理,采用軟件對關(guān)鍵業(yè)務(wù)系統(tǒng)實施災(zāi)難恢復(fù)措施;數(shù)據(jù)的離線備份安全,初步建立異地災(zāi)難備份措施;檔案安全,對于檔案文檔保存的安全性、流通和保管的權(quán)限實施了可控性管理。

5 結(jié)束語

信息化發(fā)展的不同階段和不同的信息系統(tǒng),有著不同的安全需求,必須從實際出發(fā),綜合平衡安全成本和風(fēng)險,優(yōu)化信息安全資源的配置,確保重點。信息安全工作是一項系統(tǒng)工程,信息安全工作必須常抓不懈。

[1]《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》(GB 17859-1999)

[2]《信息系統(tǒng)安全保護等級定級指南》

[3]《信息技術(shù)安全管理指南》(GBT 19715.2-2005)

[4]《信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》

Information Safety Protection System Establishment of Survey and Engineering Enterprise Based on Information System Safety Protection Tiers

Zhang Ruixiang,XieWei,X iongWei,LiYonggang

(China ElectronicsEngineering Design Institute,Beijing100840,China)

Based on the national standards and codes like“Classified Criteria for Security Protection of Computer Info rmation System”,a im ing to reduce the enterprise information safety risk to an acceptable level and through the analysis on enterprise info rm ation safety demand,this article introduces the basic principle of establishing an enterprise info rmation safety protection system aswell as the approach to the selection and implementation of relating information safety controlmeasures.

Info rmation Safety Control Syste m;Classified Criteria forSecurity Protection ofComputer Infor mation System

F273.4

A

1674-7461(2011)02-0086-05

“十一五”國家科技支撐計劃資助課題(2007BAF23B03)

張瑞祥(1963-),男,高級工程師,信息中心主任。主要研究方向:工程設(shè)計企業(yè)信息化技術(shù)與方案實施。