曾弘瑞

安全工作年年做，安全問題年年有

一份來自某客戶企業(yè)內(nèi)網(wǎng)的安全加固統(tǒng)計(jì)數(shù)據(jù)反映：發(fā)現(xiàn)問題5447個，修補(bǔ)漏洞3323個，總體加固率為61%。這還是在亞運(yùn)會大背景下各部門共同推動，各系統(tǒng)維護(hù)方、服務(wù)廠家積極配合的結(jié)果。這種客戶網(wǎng)絡(luò)不但存在大量安全風(fēng)險(xiǎn)問題，而且存在的問題和已處置解決的問題之間存在較大差距的現(xiàn)狀，不禁讓人擔(dān)憂。

為什么安全工作年年做，問題年年有，還總有些問題年年存在卻總也解決不了，應(yīng)該如何去推動安全工作真正落實(shí)下去，而不是把問題和風(fēng)險(xiǎn)懸在那里？

據(jù)此，華為在客戶處開展調(diào)研和咨詢工作，并歸納四大典型安全風(fēng)險(xiǎn)：即IT系統(tǒng)自身安全性不強(qiáng)；安全加固無法根除所有隱患；安全工作開展存在明顯短板；安全支撐手段不夠，安全要求難以落地。

如何去解決這些疑難雜癥，華為提出安全三同步的工作思路，希望從機(jī)制上用系統(tǒng)的方法推動網(wǎng)絡(luò)與信息安全問題的解決，統(tǒng)籌規(guī)劃從前端到運(yùn)維末端各階段各部門安全工作。

遵循同步規(guī)劃、同步建設(shè)、同步運(yùn)行的指導(dǎo)思想

關(guān)鍵業(yè)務(wù)相關(guān)系統(tǒng)的穩(wěn)定和安全運(yùn)行是安全工作的核心，應(yīng)當(dāng)著重從系統(tǒng)全生命周期、全流程角度來同步考慮安全工作，使安全建設(shè)需要符合業(yè)務(wù)發(fā)展需要。

安全三同步以“同步規(guī)劃、同步建設(shè)、同步運(yùn)行”為指導(dǎo)思想，本著“誰主管、誰負(fù)責(zé)”工作原則落實(shí)執(zhí)行，在系統(tǒng)生命周期各階段明確責(zé)任部門及安全職責(zé)，在全過程中推行安全同步開展，強(qiáng)化安全工作前移，降低運(yùn)維階段的服務(wù)壓力。在過程中建立和推行一套工作機(jī)制，包括從規(guī)劃到驗(yàn)收階段統(tǒng)一的管理制度、技術(shù)規(guī)范、運(yùn)作、實(shí)施細(xì)則和工作流程，并在過程中梳理支撐手段。統(tǒng)籌規(guī)劃從前端到運(yùn)維末端各階段各部門安全工作的一體化開展，最終推動系統(tǒng)生命周期安全目標(biāo)的落實(shí)。

三大架構(gòu)共鑄安全三同步工作模型

筆者通過工作架構(gòu)、組織架構(gòu)、體系架構(gòu)三方面來具體介紹安全三同步工作模型。

所謂安全三同步是指圍繞系統(tǒng)的規(guī)劃、建設(shè)和運(yùn)行三過程同步開展和落實(shí)各階段安全要求。這個過程又可細(xì)化為5個可操作階段，分別是規(guī)劃設(shè)計(jì)、立項(xiàng)采購、開發(fā)實(shí)施、上線驗(yàn)收以及運(yùn)行維護(hù)。對應(yīng)到三同步中，即安全規(guī)劃是對規(guī)劃設(shè)計(jì)階段的安全管理，安全建設(shè)是對立項(xiàng)采購、開發(fā)實(shí)施、上線驗(yàn)收的安全管理，安全運(yùn)行是對運(yùn)行維護(hù)的安全管理。安全貫徹整個系統(tǒng)生命周期，保證了系統(tǒng)由最初的需求到最終的安全運(yùn)維整個過程的安全。通過做好各階段的安全管理工作，促進(jìn)系統(tǒng)自身安全性和防護(hù)能力提升，推動安全工作中的短板。

安全三同步組織結(jié)構(gòu)則按角色定義，由安全統(tǒng)籌部門以及規(guī)劃、采購、建設(shè)、維護(hù)這四個階段主管部門組成，使得安全工作有一個歸口部門進(jìn)行統(tǒng)一管理，從而使管理工作系統(tǒng)化、統(tǒng)一化。真正做到誰主管誰負(fù)責(zé)。

安全三同步文件體系架構(gòu)分為4層，這與目前主流的安全體系諸如ISO27001、ISO20000等體系結(jié)構(gòu)一致。一級文件是管理辦法，指導(dǎo)性文件；二級文件是管理細(xì)則文檔，明確提出各階段安全工作要點(diǎn)以及各階段安全主管部門的職責(zé)；三級文件是操作指引文檔，詳細(xì)的描述完成安全管理工作的步驟以及關(guān)鍵環(huán)節(jié)工作要點(diǎn)、工作輸入輸出等，規(guī)范并指導(dǎo)工作開展；四級文件為安全三同步工作各相關(guān)記錄文件以及各類配置規(guī)范和標(biāo)準(zhǔn)。

工作流轉(zhuǎn)過程：標(biāo)準(zhǔn)統(tǒng)一、環(huán)環(huán)相扣、責(zé)任明確

圖3是安全三同步的工作流轉(zhuǎn)過程示意圖，從總體上說明了系統(tǒng)各個階段的安全工作。在規(guī)劃設(shè)計(jì)時識別安全需求，明確安全目標(biāo)；在立項(xiàng)采購確保安全要求以具備法律效應(yīng)的書面形式被明確；在開發(fā)實(shí)施時落實(shí)前期已明確的安全要求；在上線驗(yàn)收時確保系統(tǒng)滿足系統(tǒng)安全驗(yàn)收評判要求，而在運(yùn)維階段確保業(yè)務(wù)連續(xù)性，杜絕信息安全事件，做到安全可控、安全運(yùn)維。

系統(tǒng)安全工作整個過程是在一個統(tǒng)一標(biāo)準(zhǔn)下進(jìn)行的，各個環(huán)節(jié)環(huán)環(huán)相扣緊密結(jié)合，以《系統(tǒng)入網(wǎng)安全設(shè)計(jì)標(biāo)準(zhǔn)》為參照，進(jìn)行安全需求分析，確立最終的安全設(shè)計(jì)要求。在立項(xiàng)采購時，會以安全設(shè)計(jì)要求為依據(jù)，進(jìn)行招標(biāo)采購工作。在系統(tǒng)開發(fā)階段會以安全設(shè)計(jì)要求作為依據(jù)，開展系統(tǒng)的開發(fā)實(shí)施。系統(tǒng)實(shí)施完成后，依照系統(tǒng)入網(wǎng)驗(yàn)收安全標(biāo)準(zhǔn)對系統(tǒng)進(jìn)行入網(wǎng)驗(yàn)收，而入網(wǎng)驗(yàn)收安全標(biāo)準(zhǔn)的制定又與系統(tǒng)入網(wǎng)安全設(shè)計(jì)標(biāo)準(zhǔn)是相互關(guān)聯(lián)的。

在各階段的工作落實(shí)上，我們定義了各階段的必要環(huán)節(jié)以及規(guī)范相應(yīng)環(huán)節(jié)的輸入輸出要求和責(zé)任部門。以規(guī)劃階段為例，規(guī)劃設(shè)計(jì)的安全要求是識別安全需求，明確安全目標(biāo)。為此我們定義了安全規(guī)劃的必要環(huán)節(jié)即安全需求收集、安全規(guī)劃設(shè)計(jì)、規(guī)劃評審，規(guī)劃部門作為明確的責(zé)任部門在設(shè)計(jì)時要求遵循安全設(shè)計(jì)規(guī)范要求并最終在技術(shù)規(guī)范書輸出中包含安全功能定義，如圖4所示。

工作展望：攜手客戶，推進(jìn)安全工作落地化

運(yùn)用安全三同步的理念，把安全管理的工作做落地化推進(jìn)是開展安全咨詢的新嘗試。在新的工作模式下需要管理、技術(shù)、人員、流程各方面支撐，安全工作會涉及原有流程的調(diào)整，各部門適應(yīng)新的流程也需要一個過程，工作的開展會遇到以往沒有碰到的問題。因此，工作開展會經(jīng)歷體系的建立、體系的試點(diǎn)再到體系推廣和例行化開展這樣階段化漸進(jìn)的過程?？傊?，用創(chuàng)新的方法，實(shí)踐的態(tài)度，最終一定能建立和完善一套可落地的安全工作機(jī)制，提升安全能力和管理水平。

（作者單位：華為技術(shù)有限公司）