建立体化安全保障体系保证企业信息安全

来源： eNet硅谷动力

2013/10/18 14:57:35

通过对业务系统安全防护的建模，从安全防护、安全监控、安全运维三个维度，融合人员、流程、平台于一体，构建立体化的安全保障体系，能够提升企事业单位信息系统安全防护水平。

很多企事业单位已经具备了比较完善的安全基础设施，但各个安全设备之间还是处于一种离散的、独立“作战”的状态，因此必须通过对业务系统安全防护的建模，从安全防护、安全监控、安全运维三个维度，融合人员、流程、平台于一体，构建立体化的安全保障体系，才能够提升企事业单位信息系统安全防护水平，满足业务系统对安全的需求。

设计思路

具体来说，企事业单位需求通过详细的调研，基于现有的安全基础设施，通过为业务系统安全防护建模，整合业务系统自身安全防护、边界安全防护、网络访问控制、动态监控为一体，实现信息系统安全的可管、可视、可信。

其中，可管分为三个方面，第一方面是技术的可管，包括KPI指标的管理、基线的管理等;第二方面是人员的可管，包括人员的调度、绩效等;第三方面是设备的可管。可视主要指系统可用性和安全事件的可视化。可信是指以业务系统安全为单位的一体化安全防护。

实现方法与步骤

企事业单位构建信息系统安全保障体系的核心思想是：基于业务系统安全建模，构建一体化的安全防御体系，实现可信、可视、可管的安全保障体系。具体来说，可以通过以下三个步骤来实现。

第一步：通过对业务系统的梳理，明确业务系统的性质，理清业务系统之间的关系。

清晰描述业务系统的作用、功能、使用单位、使用范围、第一责任人、安全等级。

清晰统计组成业务系统的IT资产，包括：服务器、网络设备、安全设备、操作系统、中间件、数据库等。

清晰描述业务系统物理连接与逻辑连接之间的关系。

清晰描述此业务系统与其他业务系统之间的关系，包括彼此之间的访问关系、资产共用关系等。

第二步：通过对业务系统安全诊断，明确业务系统的安全防护状态与安全监控状态。

业务系统自身安全状况，包括：身份认证、审计、访问控制、保密性、完整性、物理安全。