李卓越 李藝文 關(guān)海旭等

摘 要：隨著信息化與工業(yè)化的深度融合，企業(yè)信息安全問題隨信息化建設(shè)的不斷深入而逐漸突出其重要性，文章在煉化企業(yè)信息安全概述分析的基礎(chǔ)上，由IEC 62443標(biāo)準(zhǔn)確定信息系統(tǒng)風(fēng)險評估的方法措施，歸納總結(jié)客觀存在的風(fēng)險規(guī)律，并進行研究與分析，得出有一定參考意義的信息安全問題應(yīng)對策略。

關(guān)鍵詞：信息安全；安全框架；風(fēng)險評估；概率安全評價

中圖分類號：F272 文獻標(biāo)識碼：A 文章編號：1006-8937（2014）26-0001-02

當(dāng)今信息時代，加快信息化建設(shè)已成為企業(yè)自身建設(shè)的重點，信息技術(shù)作為一種不可或缺的工具，發(fā)揮著越來越重要的作用。由于計算機網(wǎng)絡(luò)具有開放性、互聯(lián)性、連接方式的多棒性及終端分布的不均勻性，再加上本身存在的技術(shù)弱點和人為疏忽，致使網(wǎng)絡(luò)易受計算機病毒、黑客或惡意軟件的侵害。面對侵襲網(wǎng)絡(luò)安全的種種威脅，必須考慮信息安全這個至關(guān)重要的問題。所以我們必須高度重視企業(yè)信息化建設(shè)中的信息安全問題。

1 信息安全概述

信息是通過施加于數(shù)據(jù)上的某些約定而賦予這些數(shù)據(jù)的特定含義。信息本身是無形的，借助于信息媒體以多種形式存在或傳播。而信息安全則是保障企業(yè)各類信息資產(chǎn)免于“不可承受的風(fēng)險”的所有戰(zhàn)略、程序與機制。具有保密性，保證信息只讓合法用戶訪問；完整性、保障信息及其處理方法的準(zhǔn)確性；可用性保證合法用戶在需要時可以訪問到信息及相關(guān)資產(chǎn)。信息安全的成敗取決于兩個因素：技術(shù)和管理。安全技術(shù)是信息安全的構(gòu)筑材料，安全管理是真正的粘合劑和催化劑。根據(jù)業(yè)界統(tǒng)計調(diào)查結(jié)果顯示：雖然90%的系統(tǒng)安裝有防病毒軟件，但這些系統(tǒng)中依然有85%感染了計算機病毒；雖然89%的系統(tǒng)安裝有防火墻，60%的系統(tǒng)安裝有入侵檢測系統(tǒng)，但這些系統(tǒng)中90%依然有安全漏洞，40%遭受了外來的入侵。一般認(rèn)為是三分技術(shù)，七分管理。信息安全管理是指導(dǎo)和控制組織關(guān)于信息安全風(fēng)險相互協(xié)調(diào)的活動。

信息安全策略方針為信息安全管理提供導(dǎo)向和支持。控制目標(biāo)與控制措施的選擇應(yīng)該建立在風(fēng)險評估的基礎(chǔ)上?？紤]控制成本與風(fēng)險平衡的原則，將風(fēng)險降低到組織可接受的水平，需要全員參與，遵循管理的一般模式——PDCA模型。

2 信息安全管理標(biāo)準(zhǔn)

2.1 國外情況

國際上CC標(biāo)準(zhǔn)是信息技術(shù)安全性評估標(biāo)準(zhǔn)，用來評估信息系統(tǒng)、信息產(chǎn)品的安全性作為目前最全面的評價準(zhǔn)則。國際上認(rèn)同的表達IT安全的體系結(jié)構(gòu)，具有以下優(yōu)點：

①一組規(guī)則集。

②一種評估方法，其評估結(jié)果國際互認(rèn)。

③通用測試方法（CEM）。

④已有安全準(zhǔn)則的總結(jié)和兼容。

⑤通用的表達方式，便于理解。

⑥靈活的架構(gòu)。

⑦可以定義自己的要求擴展CC要求。

⑧是今后發(fā)展的框架。

2.2 國內(nèi)情況

國內(nèi)信息安全管理標(biāo)準(zhǔn)建設(shè)工作起步比較晚，但后期發(fā)展迅速，已經(jīng)建立了如GB/T 18336-2008 《信息技術(shù)安全性評估準(zhǔn)則》（idt ISO/IEC 15408？誜2005）、GB/T 18336。

①簡介和一般模型、GB/T 18336。

②安全功能要求、GB/T 18336.3：安全保證要求等一系列國家級標(biāo)準(zhǔn)，其中BS 7799分為兩部分：BS 7799-1？誜1999《信息安全管理細(xì)則》和BS7799-2？誜2002《信息安全管理體系規(guī)范》

BS 7799-1→ISO 17799？誜2000→ISO 17799？誜2005→ISO 27002？誜2007；BS 7799-2→ISO 27001？誜2005目前已經(jīng)被20多個國家采納為國家標(biāo)準(zhǔn)，在40多個國家開展了認(rèn)證業(yè)務(wù)。2007年7月，我國信息安全風(fēng)險評估標(biāo)準(zhǔn)通過了國家標(biāo)準(zhǔn)化管理委員會的審查批準(zhǔn)，標(biāo)準(zhǔn)編號和名稱為GB/T 20984-2007《信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》于2007年11月正式實施。

3 基于風(fēng)險分析的信息安全管理控制措施

風(fēng)險管理，是指如何在一個肯定有風(fēng)險的環(huán)境里把風(fēng)險減至最低的管理過程，包括對風(fēng)險的量度、評估和應(yīng)變策略。理想的風(fēng)險管理，是一連串排好優(yōu)先次序的過程，使引致最大損失及最可能發(fā)生的事情優(yōu)先處理、而相對風(fēng)險較低的事情則押后處理。所謂控制措施一般指管理風(fēng)險的方法。為達成企業(yè)目標(biāo)提供合理保證，并能預(yù)防、檢查和糾正風(fēng)險。它們可以是行政、技術(shù)、管理、法律等方面的措施。業(yè)界通常地將控制措施分成下面三大類：

①預(yù)防性控制：對問題發(fā)生前的潛在問題作出糾正，這種措施包括僅雇傭勝任的人員、職責(zé)分工使用訪問控制軟件，只允許授權(quán)用戶訪問敏感文件等。

②檢查性控制：檢查控制發(fā)生的錯誤、疏漏或蓄意行為。包括生產(chǎn)作業(yè)中設(shè)置檢查點、網(wǎng)絡(luò)通信過程中的Echo控制、內(nèi)部審計等。

③糾正性控制：減少危害影響，修復(fù)檢查性控制發(fā)現(xiàn)的問題。涵蓋意外處理計劃、備份流程、恢復(fù)運營流程等。

風(fēng)險評估實施過程則包括：準(zhǔn)備→資產(chǎn)識別→威脅識別→脆弱性識別→已有安全措施的確認(rèn)→風(fēng)險分析→文件記錄等關(guān)鍵步驟。其中，風(fēng)險評估工作方式主要有自評估和檢查評估；風(fēng)險計算方法主要有矩陣法和相乘法。

4 煉化企業(yè)的信息安全問題分析

煉化企業(yè)主要成分為央企，共同特點是資產(chǎn)國有、規(guī)模大。信息安全風(fēng)險是指一種特定的威脅利用一種或一組脆弱性造成組織的資產(chǎn)損失或損害的可能性。信息安全風(fēng)險不僅僅是指信息資產(chǎn)的保密性、完整性和可用性遭到破壞的可能性，同時也包括那些對組織有負(fù)面影響的事件。本專項預(yù)案涉及的突發(fā)事件主要指有網(wǎng)絡(luò)系統(tǒng)突發(fā)事件、服務(wù)器和應(yīng)用系統(tǒng)、機房設(shè)施3大類。

4.1 網(wǎng)絡(luò)系統(tǒng)

網(wǎng)絡(luò)系統(tǒng)按照層次化設(shè)計理念，分為核心，匯聚和接入三個層次，核心設(shè)備部署在計算機機房。二級單位匯聚層設(shè)備以雙鏈路單設(shè)備或雙鏈路雙設(shè)備的方式接入核心交換機。生產(chǎn)網(wǎng)絡(luò)是獨立于辦公網(wǎng)絡(luò)而建設(shè)的網(wǎng)絡(luò)系統(tǒng)，與辦公網(wǎng)絡(luò)通過防火墻實現(xiàn)隔離。網(wǎng)絡(luò)系統(tǒng)承擔(dān)著辦公、生產(chǎn)、財務(wù)和營銷數(shù)據(jù)的傳輸。以下情況可能導(dǎo)致系統(tǒng)突發(fā)事件，對公司生產(chǎn)經(jīng)營造成嚴(yán)重影響，危及企業(yè)經(jīng)濟利益和社會形象。網(wǎng)絡(luò)系統(tǒng)可能出現(xiàn)的風(fēng)險包括：

①核心設(shè)備故障或停機，核心設(shè)備故障或停機能夠?qū)е戮W(wǎng)絡(luò)系統(tǒng)全部癱瘓，所有用戶終端與業(yè)務(wù)系統(tǒng)無法連接。

②骨干鏈路中斷，骨干鏈路中斷會導(dǎo)致大面積網(wǎng)絡(luò)中斷，用戶終端與業(yè)務(wù)系統(tǒng)無法連接。

③關(guān)鍵網(wǎng)絡(luò)安全設(shè)備故障或停機，例如防火墻故障或停機會導(dǎo)致用戶無法認(rèn)證等事件。

4.2 服務(wù)器和應(yīng)用系統(tǒng)

重要服務(wù)器和應(yīng)用系統(tǒng)突發(fā)事件將造成有關(guān)業(yè)務(wù)流程中斷，對生產(chǎn)經(jīng)營造成無法挽回的經(jīng)濟損失。

①重要服務(wù)器硬件故障，重要服務(wù)器硬件故障能夠?qū)е聵I(yè)務(wù)系統(tǒng)中斷，維修更換期間業(yè)務(wù)系統(tǒng)將無法使用。

②重要存儲設(shè)備故障，重要存儲設(shè)備故障可能導(dǎo)致業(yè)務(wù)數(shù)據(jù)破壞和丟失，這種破壞有時是無法恢復(fù)的。

③重要應(yīng)用系統(tǒng)故障，包括操作系統(tǒng)崩潰、應(yīng)用程序缺陷和數(shù)據(jù)庫故障等情況，在恢復(fù)期間業(yè)務(wù)系統(tǒng)無法使用。

④重要服務(wù)器和應(yīng)用系統(tǒng)遭到病毒、木馬或惡意程序攻擊。

4.3 機房設(shè)施

核心級別機房配備精密空調(diào)和UPS系統(tǒng)，支持遠程狀態(tài)監(jiān)控，并具備短信報警功能。停電時UPS系統(tǒng)能夠在續(xù)航時間內(nèi)保證機房設(shè)備供電，核心機房配備自動消防設(shè)施，機房的突發(fā)事件直接影響網(wǎng)絡(luò)與信息基礎(chǔ)設(shè)施的安全穩(wěn)定運行。具體包括以下四個方面：

①機房停電，機房停電超出UPS系統(tǒng)續(xù)航時間會導(dǎo)致關(guān)鍵設(shè)備斷電，造成系統(tǒng)癱瘓。

②空調(diào)停機，空調(diào)停機會使設(shè)備過熱而工作失常，造成業(yè)務(wù)中斷。

③機房漏水，機房漏水可能導(dǎo)致設(shè)備故障。

④自然災(zāi)害及其它不可抗拒因素。

5 煉化企業(yè)信息安全問題的應(yīng)對策略

風(fēng)險應(yīng)對處理是為了將風(fēng)險始終控制在可接受的范圍內(nèi)。要進行以下工作，首先是現(xiàn)存風(fēng)險判斷，常用的風(fēng)險應(yīng)對方法有降低風(fēng)險、轉(zhuǎn)移風(fēng)險、規(guī)避風(fēng)險、接受風(fēng)險。其中降低風(fēng)險是采取保護措施來降低風(fēng)險首先應(yīng)當(dāng)考慮的風(fēng)險處置措施，通常在安全投入小于負(fù)面影響價值的情況下采用。轉(zhuǎn)移風(fēng)險是將資產(chǎn)或其價值轉(zhuǎn)移到更安全的地方。規(guī)避風(fēng)險是通過不使用面臨風(fēng)險的資產(chǎn)來避免風(fēng)險，比如：不處理特別敏感的信息，防止敏感信息的泄漏；不使用互聯(lián)網(wǎng)，避免外部的有害入侵和不良攻擊。通常在風(fēng)險的損失無法接受，又難以通過控制措施減低風(fēng)險的情況下而采用的一種方法。接受風(fēng)險則是不采取進一步的處理措施，接受結(jié)果，視同于結(jié)果必然存在并必須接受。當(dāng)然接受風(fēng)險不是不聞不問，而是認(rèn)為改變結(jié)果的措施所付出的代價更大。

參考文獻：

[1] 李曉東.云計算信息安全問題探討[J].電子技術(shù)研究，2012，（1）.

[2] 盧艷明.網(wǎng)絡(luò)信息安全問題研究[J].山東理工大學(xué)學(xué)報，2012，（5）.

[3] 陳建華.中小企業(yè)信息化發(fā)展的對策分析[J].科技致富導(dǎo)向，2011，（8）.

[4] 王煥田.實施信息安全風(fēng)險評估[J].數(shù)字科技，2008，（3）.