- 相關(guān)推薦
信息安全保護(hù)策略論文
信息安全保護(hù)策略論文【1】
【摘 要】隨著計(jì)算機(jī)技術(shù)的迅速發(fā)展，公司由使用計(jì)算機(jī)完成的工作已由基于單機(jī)的文件處理、自動(dòng)化辦公，發(fā)展到今天的企業(yè)內(nèi)部網(wǎng)。
計(jì)算機(jī)網(wǎng)絡(luò)的應(yīng)用領(lǐng)域已從傳統(tǒng)的小型業(yè)務(wù)系統(tǒng)逐漸向大型業(yè)務(wù)系統(tǒng)擴(kuò)展。
計(jì)算機(jī)網(wǎng)絡(luò)在為人們提供便利、帶來效益的同時(shí)，也使人類面臨著信息安全的巨大挑戰(zhàn)。
組織和單位的計(jì)算機(jī)網(wǎng)絡(luò)是黑客攻擊的主要目標(biāo)。
如果黑客組織能攻破組織及單位的計(jì)算機(jī)網(wǎng)絡(luò)防御系統(tǒng)，他就有訪問成千上萬計(jì)算機(jī)的可能性。
據(jù)統(tǒng)計(jì)，近年來因網(wǎng)絡(luò)安全事故造成的損失每年高達(dá)上千億美元。
計(jì)算機(jī)系統(tǒng)的脆弱性已為各國(guó)政府與機(jī)構(gòu)所認(rèn)識(shí)。
【關(guān)鍵詞】信息安全; 威脅;防御策略;防火墻
1 計(jì)算機(jī)信息網(wǎng)絡(luò)安全概述
所謂計(jì)算機(jī)信息網(wǎng)絡(luò)安全，是指根據(jù)計(jì)算機(jī)通信網(wǎng)絡(luò)特性，通過相應(yīng)的安全技術(shù)和措施，對(duì)計(jì)算機(jī)通信網(wǎng)絡(luò)的硬件、操作系統(tǒng)、應(yīng)用軟件和數(shù)據(jù)等加以保護(hù)，防止遭到破壞或竊取，其實(shí)質(zhì)就是要保護(hù)計(jì)算機(jī)通訊系統(tǒng)和通信網(wǎng)絡(luò)中的各種信息資源免受各種類型的威脅、干擾和破壞。
計(jì)算機(jī)通信網(wǎng)絡(luò)的安全是指揮、控制信息安全的重要保證。
根據(jù)國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心的權(quán)威統(tǒng)計(jì)，通過分布式密網(wǎng)捕獲的新的漏洞攻擊惡意代碼數(shù)量平均每天112次，每天捕獲最多的次數(shù)高達(dá)4369次。
因此，隨著網(wǎng)絡(luò)一體化和互聯(lián)互通，我們必須加強(qiáng)計(jì)算機(jī)通信網(wǎng)絡(luò)安全防范意思，提高防范手段。
2 計(jì)算機(jī)信息安全常見的威脅
以上這些因素都可能是計(jì)算機(jī)信息資源遭到毀滅性的破壞。
像一些自然因素我們是不可避免的，也是無法預(yù)測(cè)的;但是像一些人為攻擊的、破壞的我們是可以防御的、避免的。
因此，我們必須重視各種因素對(duì)計(jì)算機(jī)信息安全的影響，確保計(jì)算機(jī)信息資源萬無一失。
3 計(jì)算機(jī)信息的安全的防御策略
根據(jù)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)和目前一般應(yīng)用情況，我們采取可兩種措施：一是，采用漏洞掃描技術(shù)，對(duì)重要網(wǎng)絡(luò)設(shè)備進(jìn)行風(fēng)險(xiǎn)評(píng)估，保證網(wǎng)絡(luò)系統(tǒng)盡量在最優(yōu)的狀態(tài)下運(yùn)行;二是，采用各種計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)，構(gòu)筑防御系統(tǒng)，主要有：防火墻技術(shù)、VPN技術(shù)、網(wǎng)絡(luò)加密技術(shù)、身份認(rèn)證技術(shù)、網(wǎng)絡(luò)的實(shí)時(shí)監(jiān)測(cè)。
3.1 漏洞掃描技術(shù)
漏洞掃描主要通過以下兩種方法來檢查目標(biāo)主機(jī)是否存在漏洞：在端口掃描后得到目標(biāo)主機(jī)開啟的端口以及端口上的網(wǎng)絡(luò)服務(wù)，將這些相關(guān)信息與網(wǎng)絡(luò)漏洞掃描系統(tǒng)提供的漏洞庫進(jìn)行匹配，查看是否有滿足匹配條件的漏洞存在;通過模擬黑客的攻擊手法，對(duì)目標(biāo)主機(jī)系統(tǒng)進(jìn)行攻擊的安全漏洞掃描，如測(cè)試弱口令等，若模擬攻擊成功，則表明目標(biāo)主機(jī)系統(tǒng)存在安全漏洞。
3.2 防火墻技術(shù)
防火墻是網(wǎng)絡(luò)安全的屏障，一個(gè)防火墻能極大地提高一個(gè)內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險(xiǎn)。
由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境更安全，信息的安全就得到了保障。
使用防火墻軟件可以在一定程度上控制局域網(wǎng)和Internet之間傳遞的數(shù)據(jù)。
防火墻一般是指用來在兩個(gè)或多個(gè)網(wǎng)絡(luò)間加強(qiáng)訪問控制的一個(gè)或一組網(wǎng)絡(luò)設(shè)備。
從邏輯上來看，防火墻是分離器、限制器和分析器;從物理上來看，各個(gè)防火墻的物理實(shí)現(xiàn)方式可以多種多樣，但是歸根結(jié)底他們都是一組硬件設(shè)備(路由器、主機(jī))和軟件的組合體;從本質(zhì)上來看，防火墻是一種保護(hù)裝置，它用來保護(hù)網(wǎng)絡(luò)數(shù)據(jù)、資源和合法用戶的聲譽(yù);從技術(shù)上來看，防火墻是一種訪問控制技術(shù)，它在某個(gè)機(jī)構(gòu)的網(wǎng)絡(luò)與不安全的網(wǎng)絡(luò)之間設(shè)置障礙，阻止對(duì)網(wǎng)絡(luò)信息資源的非法訪問。
3.3 計(jì)算機(jī)網(wǎng)絡(luò)的加密技術(shù)(ipse)
采用網(wǎng)絡(luò)加密技術(shù)，對(duì)公網(wǎng)中傳輸?shù)腎P包進(jìn)行加密和封裝，實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)谋Ｃ苄�、完整性�?/p>
它可以解決網(wǎng)絡(luò)在公網(wǎng)的數(shù)據(jù)傳輸安全性問題，也可以解決遠(yuǎn)程用戶訪問內(nèi)網(wǎng)的安全問題。
IP層是TCP/IP網(wǎng)絡(luò)中最關(guān)鍵的一層，IP作為網(wǎng)絡(luò)層協(xié)議，其安全機(jī)制可以對(duì)其上層的各種應(yīng)用服務(wù)提供透明的覆蓋安全保護(hù)。
IP安全是整個(gè)TCP/IP 安全的基礎(chǔ)，是網(wǎng)絡(luò)安全的核心。
ipse 提供的安全功能或服務(wù)主要包括：訪問控制、無連接完整性、數(shù)據(jù)起源認(rèn)證、抗重放攻擊、機(jī)密性、有限的數(shù)據(jù)流機(jī)密性。
3.4 身份認(rèn)證
身份認(rèn)證的作用是阻止非法實(shí)體的不良訪問。
有多種方法可以認(rèn)證一個(gè)實(shí)體的合法性，密碼技術(shù)是最常用的，但由于在實(shí)際系統(tǒng)中有許多用戶采用很容易被猜測(cè)的單詞或短語作為密碼，使得該方法經(jīng)常失效。
其他認(rèn)證方法包括對(duì)人體生理特征的識(shí)別、智能卡等。
隨著模式識(shí)別技術(shù)的發(fā)展，身份識(shí)別技術(shù)與數(shù)字簽名等技術(shù)結(jié)合，使得對(duì)于用戶身份的認(rèn)證和識(shí)別更趨完善。
3.5 入侵檢測(cè)技術(shù)
入侵檢測(cè)技術(shù)是對(duì)入侵行為的檢測(cè)，他通過收集和分析網(wǎng)絡(luò)行為、安全日志、審計(jì)數(shù)據(jù)、其他網(wǎng)絡(luò)上可以獲得的信息以及計(jì)算機(jī)系統(tǒng)中若干關(guān)鍵的信息，檢查網(wǎng)絡(luò)或系統(tǒng)中是否存在違反安全策略的行為和被攻擊的跡象。
入侵檢測(cè)作為一種積極主動(dòng)的安全防護(hù)技術(shù)，提供了對(duì)內(nèi)部攻擊，外部攻擊和誤操作的實(shí)時(shí)保護(hù)，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵。
3.6 虛擬專用網(wǎng)技術(shù)
虛擬專用網(wǎng)(Virtual private Network，VPN) 是一門網(wǎng)絡(luò)技術(shù)，提供一種通過公用網(wǎng)絡(luò)安全地對(duì)企業(yè)內(nèi)部專用網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程訪問的連接方式;是通過一個(gè)公用網(wǎng)絡(luò)(通常是因特網(wǎng))建立起一個(gè)臨時(shí)的、安全的連接，是一條穿過不安全的公用網(wǎng)絡(luò)的安全、穩(wěn)定的隧道。
下面，我們主要談一下防火墻在網(wǎng)絡(luò)信息安全中的應(yīng)用。
4 防火墻防御策略
4.1 防火墻的基本概念
所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾網(wǎng)絡(luò)(如Internet)分開的方法，它實(shí)際上是一種隔離技術(shù)。
防火墻是在兩個(gè)網(wǎng)絡(luò)通信時(shí)執(zhí)行的一種訪問控制手段，它能允許你“同意”的人和數(shù)據(jù)進(jìn)入你的網(wǎng)絡(luò)，同時(shí)將你“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)中的黑客來訪問你的網(wǎng)絡(luò)，防止他們更改、復(fù)制和毀壞你的重要信息。
4.2 防火墻的功能
1)過濾掉不安全服務(wù)和非法用戶。
2)控制對(duì)特殊站點(diǎn)的訪問。
3)提供監(jiān)視Internet安全和預(yù)警的方便端點(diǎn)。
4.3 防火墻的優(yōu)點(diǎn)
1)防火墻能強(qiáng)化安全策略
因?yàn)镮nternet上每天都有上百萬人在那里收集信息、交換信息，不可避免地會(huì)出現(xiàn)個(gè)別品德不良的人，或違反規(guī)則的人，防火墻是為了防止不良現(xiàn)象發(fā)生的"交通警察"，它執(zhí)行站點(diǎn)的安全策略，僅僅容許"認(rèn)可的"和符合規(guī)則的請(qǐng)求通過。
2)防火墻能有效地記錄Internet上的活動(dòng)
因?yàn)樗羞M(jìn)出信息都必須通過防火墻，所以防火墻非常適用收集關(guān)于系統(tǒng)和網(wǎng)絡(luò)使用和誤用的信息。
作為訪問的唯一點(diǎn)，防火墻能在被保護(hù)的網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間進(jìn)行記錄。
3)防火墻限制暴露用戶點(diǎn)
防火墻能夠用來隔開網(wǎng)絡(luò)中一個(gè)網(wǎng)段與另一個(gè)網(wǎng)段。
這樣，能夠防止影響一個(gè)網(wǎng)段的問題通過整個(gè)網(wǎng)絡(luò)傳播。
4)防火墻是一個(gè)安全策略的檢查站
所有進(jìn)出的信息都必須通過防火墻，防火墻便成為安全問題的檢查點(diǎn)，使可疑的訪問被拒絕于門外。
4.4 防火墻的不足
1)防火墻不能防范不經(jīng)由防火墻的攻擊。
例如，如果允許從受保護(hù)網(wǎng)內(nèi)部不受限制的向外撥號(hào)，一些用戶可以形成與Internet的直接的連接，從而繞過防火墻，造成一個(gè)潛在的后門攻擊渠道。
2)防火墻不能防止感染了病毒的軟件或文件的傳輸。
這只能在每臺(tái)主機(jī)上裝反病毒軟件。
3)防火墻不能防止數(shù)據(jù)驅(qū)動(dòng)式攻擊。
當(dāng)有些表面看來無害的數(shù)據(jù)被郵寄或復(fù)制到Internet主機(jī)上并被執(zhí)行而發(fā)起攻擊時(shí)，就會(huì)發(fā)生數(shù)據(jù)驅(qū)動(dòng)攻擊。
4.5 防火墻的類型
根據(jù)防火墻所采用的技術(shù)不同，我們可以將它分為四種基本類型：包過濾型、網(wǎng)絡(luò)地址轉(zhuǎn)換―NAT、代理型和狀態(tài)監(jiān)測(cè)型。
包過濾型產(chǎn)品是防火墻的初級(jí)產(chǎn)品，其技術(shù)依據(jù)是網(wǎng)絡(luò)中的分包傳輸技術(shù)，工作在網(wǎng)絡(luò)層。
網(wǎng)絡(luò)上的數(shù)據(jù)都是以“包”為單位進(jìn)行傳輸?shù)模瑪?shù)據(jù)被分割成為一定大小的數(shù)據(jù)包，每一個(gè)數(shù)據(jù)包中都會(huì)包含一些特定信息，如數(shù)據(jù)的源地址、目標(biāo)地址、源端口和目標(biāo)端口等。
防火墻通過讀取數(shù)據(jù)包中的地址信息來判斷這些“包”是否來自可信任的安全站點(diǎn)，一旦發(fā)現(xiàn)來自危險(xiǎn)站點(diǎn)的數(shù)據(jù)包，防火墻便會(huì)將這些數(shù)據(jù)拒之門外。
但包過濾防火墻的缺點(diǎn)有三：一是，非法訪問一旦突破防火墻，即可對(duì)主機(jī)上的軟件和配置漏洞進(jìn)行攻擊;二是，數(shù)據(jù)包的源地址、目的地址以及IP 的端口號(hào)都在數(shù)據(jù)包的頭部，很有可能被監(jiān)聽或假冒;三是，無法執(zhí)行某些安全策略。
網(wǎng)絡(luò)地址轉(zhuǎn)化―NAT。
“你不能攻擊你看不見的東西”是網(wǎng)絡(luò)地址轉(zhuǎn)換的理論基礎(chǔ)。
網(wǎng)絡(luò)地址轉(zhuǎn)換是一種用于把IP地址轉(zhuǎn)換成臨時(shí)的、外部的、注冊(cè)的IP地址標(biāo)準(zhǔn)。
它允許具有私有IP地址的內(nèi)部網(wǎng)絡(luò)訪問因特網(wǎng)。
當(dāng)數(shù)據(jù)包流經(jīng)網(wǎng)絡(luò)時(shí)，NAT將從發(fā)送端的數(shù)據(jù)包中移去專用的IP地址，并用一個(gè)偽IP地址代替。
NAT軟件保留專用IP地址和偽IP地址的一張地址映射表。
當(dāng)一個(gè)數(shù)據(jù)包返回到NAT系統(tǒng)，這一過程將被逆轉(zhuǎn)。
當(dāng)符合規(guī)則時(shí)，防火墻認(rèn)為訪問是安全的，可以接受訪問請(qǐng)求，也可以將連接請(qǐng)求映射到不同的內(nèi)部計(jì)算機(jī)中。
當(dāng)不符合規(guī)則時(shí)，防火墻認(rèn)為該訪問是不安全的，不能被接受，防火墻將屏蔽外部的連接請(qǐng)求。
如果黑客在網(wǎng)上捕獲到這個(gè)數(shù)據(jù)包，他們也不能確定發(fā)送端的真實(shí)IP地址，從而無法攻擊內(nèi)部網(wǎng)絡(luò)中的計(jì)算機(jī)。
NAT技術(shù)也存在一些缺點(diǎn)，例如，木馬程序可以通過NAT進(jìn)行外部連接，穿透防火墻。
代理型防火墻也可以被稱為代理服務(wù)器，它的安全性要高于包過濾型產(chǎn)品， 它分為應(yīng)用層網(wǎng)關(guān)和電路層網(wǎng)關(guān)。
代理服務(wù)器位于客戶機(jī)與服務(wù)器之間，完全阻擋了二者間的數(shù)據(jù)交流。
從客戶機(jī)來看，代理服務(wù)器相當(dāng)于一臺(tái)真正的服務(wù)器;而從服務(wù)器來看，代理服務(wù)器又是一臺(tái)真正的客戶機(jī)。
當(dāng)客戶機(jī)需要使用服務(wù)器上的數(shù)據(jù)時(shí)，首先將數(shù)據(jù)請(qǐng)求發(fā)給代理服務(wù)器，代理服務(wù)器再根據(jù)這一請(qǐng)求向服務(wù)器索取數(shù)據(jù)， 然后再由代理服務(wù)器將數(shù)據(jù)傳輸給客戶機(jī)。
從內(nèi)部發(fā)出的數(shù)據(jù)包經(jīng)過這樣的防火墻處理后，就好像是源于防火墻外部網(wǎng)卡一樣，從而可以達(dá)到隱藏內(nèi)部結(jié)構(gòu)的作用，這種防火墻是網(wǎng)絡(luò)專家公的最安全的防火墻。
缺點(diǎn)是速度相對(duì)較慢。
監(jiān)測(cè)型防火墻是新一代的產(chǎn)品，這一技術(shù)實(shí)際已經(jīng)超越了最初的防火墻定義。
它是由Check Point 軟件技術(shù)有限公司率先提出的，也稱為動(dòng)態(tài)包過濾防火墻。
總的來說，具有：高安全性，高效性，可伸縮性和易擴(kuò)展性。
實(shí)際上，作為當(dāng)前防火墻產(chǎn)品的主流趨勢(shì)，大多數(shù)代理服務(wù)器也集成了包過濾技術(shù)，這兩種技術(shù)的混合顯然比單獨(dú)使用具有更大的優(yōu)勢(shì)。
總的來說，網(wǎng)絡(luò)的安全性通常是以網(wǎng)絡(luò)服務(wù)的開放性和靈活性為代價(jià)的，防火墻只是整個(gè)網(wǎng)絡(luò)安全防護(hù)體系的一部分，而且防火墻并非萬無一失。
除了使用了防火墻后技術(shù)，我們還使用了其他技術(shù)來加強(qiáng)安全保護(hù)，數(shù)據(jù)加密技術(shù)是保障信息安全的基石。
所謂數(shù)據(jù)加密技術(shù)就是使用數(shù)字方法來重新組織數(shù)據(jù)，使得除了合法受者外，任何其他人想要恢復(fù)原先的“消息”是非常困難的。
目前最常用的加密技術(shù)有對(duì)稱加密技術(shù)和非對(duì)稱加密技術(shù)。
對(duì)稱加密技術(shù)是指同時(shí)運(yùn)用一個(gè)密鑰進(jìn)行加密和解密，非對(duì)稱加密技術(shù)就是加密和解密所用的密鑰不一樣。
4.6 防火墻的配置
1)雙宿堡壘主機(jī)防火墻
一個(gè)雙宿主機(jī)是一種防火墻，擁有兩個(gè)聯(lián)接到不同網(wǎng)絡(luò)上的網(wǎng)絡(luò)接口。
例如，一個(gè)網(wǎng)絡(luò)接口聯(lián)到外部的不可信任的網(wǎng)絡(luò)上，另一個(gè)網(wǎng)絡(luò)接口聯(lián)接到內(nèi)部的可信任的網(wǎng)絡(luò)上。
這種防火墻的最大特點(diǎn)是IP層的通信是被阻止的，兩個(gè)網(wǎng)絡(luò)之間的通信可通過應(yīng)用層數(shù)據(jù)共享或應(yīng)用層代理服務(wù)來完成。
一般情況下，人們采用代理服務(wù)的方法，因?yàn)檫@種方法為用戶提供了更為方便的訪問手段。
2)屏蔽主機(jī)防火墻
這種防火墻強(qiáng)迫所有的外部主機(jī)與一個(gè)堡壘主機(jī)相聯(lián)接，而不讓它們直接與內(nèi)部主機(jī)相連。
為了實(shí)現(xiàn)這個(gè)目的，專門設(shè)置了一個(gè)過濾路由器，通過它，把所有外部到內(nèi)部的聯(lián)接都路由到了堡壘主機(jī)上。
下圖顯示了屏蔽主機(jī)防火墻的結(jié)構(gòu)。
3)屏蔽主機(jī)防火墻
在這種體系結(jié)構(gòu)中，堡壘主機(jī)位于內(nèi)部網(wǎng)絡(luò)，屏蔽路由器聯(lián)接Internet和內(nèi)部網(wǎng)，它是防火墻的第一道防線。
屏蔽路由器需要進(jìn)行適當(dāng)?shù)呐渲�，使所有的外部�?lián)接被路由到堡壘主機(jī)上。
并不是所有服務(wù)的入站聯(lián)接都會(huì)被路由到堡壘主機(jī)上，屏蔽路由器可以根據(jù)安全策略允許或禁止某種服務(wù)的入站聯(lián)接(外部到內(nèi)部的主動(dòng)聯(lián)接)。
對(duì)于出站聯(lián)接(內(nèi)部網(wǎng)絡(luò)到外部不可信網(wǎng)絡(luò)的主動(dòng)聯(lián)接)，可以采用不同的策略。
對(duì)于一些服務(wù)，如Telnet，可以允許它直接通過屏蔽路由器聯(lián)接到外部網(wǎng)而不通過堡壘主機(jī);其他服務(wù)，如WWW和SMTP等，必須經(jīng)過堡壘主機(jī)才能聯(lián)接到Internet，并在堡壘主機(jī)上運(yùn)行該服務(wù)的代理服務(wù)器。
怎樣安排這些服務(wù)取決于安全策略。
5 結(jié)束語
隨著信息技術(shù)的發(fā)展，影響通信網(wǎng)絡(luò)安全的各種因素也會(huì)不斷強(qiáng)化，因此計(jì)算機(jī)網(wǎng)絡(luò)的安全問題也越來越受到人們的重視，以上我們簡(jiǎn)要的分析了計(jì)算機(jī)網(wǎng)絡(luò)存在的幾種安全隱患，以及一般采取的幾種安全防范策略，主要討論了防火墻在網(wǎng)絡(luò)信息安全中所起到的作用。
總的來說，網(wǎng)絡(luò)安全不僅僅是技術(shù)問題，同時(shí)也是一個(gè)安全管理問題。
我們必須綜合考慮安全因素，制定合理的目標(biāo)、技術(shù)方案和相關(guān)的配套法規(guī)等。
世界上不存在絕對(duì)安全的網(wǎng)絡(luò)系統(tǒng)，隨著計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的進(jìn)一步發(fā)展，網(wǎng)絡(luò)安全防護(hù)技術(shù)也必然隨著網(wǎng)絡(luò)應(yīng)用的發(fā)展而不斷發(fā)展。
【參考文獻(xiàn)】
[1]田園.網(wǎng)絡(luò)安全教程[M].人民郵電出版社，2009.
[2]周學(xué)廣.信息安全學(xué)[M].機(jī)械工業(yè)出版社，2008.
[3]豐繼林，高煥之.網(wǎng)絡(luò)安全技術(shù)[M].清華大學(xué)出版社，2009.
信息安全管理測(cè)評(píng)論文【2】
摘要：信息安全管理測(cè)評(píng)是信息安全管理的一部分，作為衡量信息安全管理狀態(tài)及其績(jī)效的信息安全管理測(cè)評(píng)方法學(xué)的研究已成為迫切需要解決的重要課題，其對(duì)組織信息安全保障體系的建設(shè)、管理和改進(jìn)具有重要意義。
關(guān)鍵詞：信息安全管理;測(cè)評(píng);要素;指標(biāo)
人類進(jìn)入信息化社會(huì)，社會(huì)發(fā)展對(duì)信息化的依賴程度越來越大，一方面信息化成果已成為社會(huì)的重要資源，在政治、經(jīng)濟(jì)、國(guó)防、教育、科技、生活等發(fā)面發(fā)揮著重要的作用，另一方面由于信息技術(shù)的迅猛發(fā)展而帶來的信息安全事件、事故層出不窮，信息安全問題與矛盾日益突出。
信息安全工程是一個(gè)多層面、多因素的、綜合的、動(dòng)態(tài)的系統(tǒng)工程，其包括關(guān)鍵基礎(chǔ)設(shè)施及硬件安全、運(yùn)行安全、軟件安全、通信安全、人員安全、傳輸安全、網(wǎng)絡(luò)安全、人員安全等。
組織要實(shí)現(xiàn)信息安全目標(biāo)，就必須建立一套行之有效信息安全管理與技術(shù)有機(jī)結(jié)合的安全防范體系。
信息安全管理包括制定信息安全策略(包括計(jì)劃、程序、流程與記錄等)、風(fēng)險(xiǎn)評(píng)估、控制目標(biāo)的選擇、控制措施的實(shí)施以及信息安全管理測(cè)評(píng)等。
管理大師德魯克曾經(jīng)說過“無法度量就無法管理”[1]，強(qiáng)調(diào)了測(cè)量對(duì)組織管理的重要意義，信息安全管理同樣也離不開測(cè)評(píng)。
如何對(duì)信息安全管理有效性等進(jìn)行測(cè)量，根據(jù)測(cè)量的結(jié)果對(duì)組織信息安全管理情況進(jìn)行評(píng)價(jià)并進(jìn)一步指導(dǎo)信息安全管理，提高信息安全管理能力和水平，目前已經(jīng)成為信息安全領(lǐng)域的一個(gè)研究熱點(diǎn)[2]。
信息安全管理測(cè)評(píng)是組織圍繞信息化持續(xù)發(fā)展與信息安全保障的現(xiàn)狀和未來綜合能力的反映，不僅是對(duì)過去和現(xiàn)在的能力展現(xiàn)，而且為未來發(fā)展提供保障和動(dòng)力。
在我國(guó)，目前關(guān)于信息安全管理測(cè)評(píng)研究剛處于起步階段，還沒有一套可供使用的信息安全測(cè)評(píng)體系標(biāo)準(zhǔn)、方法等。
因此，開展信息安全管理測(cè)評(píng)研究，對(duì)組織信息化建設(shè)既具有重要的現(xiàn)實(shí)意義也具有長(zhǎng)遠(yuǎn)的持續(xù)發(fā)展意義。
1 信息安全管理測(cè)評(píng)發(fā)展綜述與需求
關(guān)于信息安全測(cè)評(píng)，美國(guó)早在2002年通過的《聯(lián)邦信息安全管理法案》中就要求各機(jī)構(gòu)每年必須對(duì)其信息安全實(shí)踐進(jìn)行獨(dú)立測(cè)評(píng)，以確認(rèn)其有效性。
這種測(cè)評(píng)主要包括對(duì)管理、運(yùn)行和技術(shù)三要素的控制和測(cè)試，其頻率視風(fēng)險(xiǎn)情況而定，但不能少于每年一次。
在獨(dú)立評(píng)價(jià)的基礎(chǔ)上，聯(lián)邦管理與預(yù)算局應(yīng)向國(guó)會(huì)上報(bào)評(píng)價(jià)匯總結(jié)果;而聯(lián)邦審計(jì)署則需要周期性地評(píng)價(jià)并向國(guó)會(huì)匯報(bào)各機(jī)構(gòu)信息安全策略和實(shí)踐的有效性以及相關(guān)要求的執(zhí)行情況。
2003年7月，美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所(National Institute of Standards and Technology，NIST)發(fā)布了NIST SP 800-55《信息技術(shù)系統(tǒng)安全測(cè)量指南》，其包括以下內(nèi)容[3]：
1) 角色和職責(zé)：介紹發(fā)展和執(zhí)行信息安全測(cè)量的主要任務(wù)和職責(zé)。
2) 信息安全測(cè)量背景：介紹測(cè)量定義、進(jìn)行信息安全測(cè)量的好處、測(cè)量類型、幾種可以進(jìn)行信息安全測(cè)量的控制、成功測(cè)量的重要因素、測(cè)量對(duì)管理、報(bào)告和決策的作用。
3) 測(cè)量發(fā)展和執(zhí)行過程：介紹用于信息安全測(cè)量發(fā)展的方法。
4) 測(cè)量項(xiàng)目執(zhí)行：討論可以影響安全測(cè)量項(xiàng)目的技術(shù)執(zhí)行的各種因素。
5) 以附件的形式給出的16種測(cè)量的模板。
2004年11月17日，美國(guó)的企業(yè)信息安全工作組(Corporate Information Security Working Group，CISWG)發(fā)布了CISWG CS1/05-0079《帶有支撐管理測(cè)量的信息安全計(jì)劃要素》[4]，2005年國(guó)際標(biāo)準(zhǔn)化組織(ISO/IEC SC27)提出了信息安全管理體系(Information Security Management Systems，ISMS)的系列標(biāo)準(zhǔn)——ISO27000系列。
2005年1月10日又發(fā)布了修訂版，并作為針對(duì)ISO/IEC 2nd WD27004 的貢獻(xiàn)文檔提交給ISO/IEC JTC1 SC27，該文檔是根據(jù)CISWG的最佳實(shí)踐和測(cè)量小組的報(bào)告改編。
2005年8月31日，美國(guó)國(guó)際系統(tǒng)安全工程協(xié)會(huì)(International System Security Engineering Association，ISSEA)針對(duì)ISO/IEC 2nd WD 27004向ISO/IEC JTC1 SC27提交了題為“ISSEA Contribution Background”[5](ISSEA測(cè)量的貢獻(xiàn)背景)和“ISSEA Metrics”[6](ISSEA測(cè)量)兩個(gè)貢獻(xiàn)文檔。
2009年國(guó)際標(biāo)準(zhǔn)化組織(ISO)發(fā)布了ISO/IEC 27004：2009(信息技術(shù)一安全技術(shù)一信息安全管理測(cè)量)標(biāo)準(zhǔn)，為如何建立及測(cè)量ISMS及其控制措施提供了指導(dǎo)性建議[7]。
信息安全管理體系是信息安全保障體系的重要組成部分。
近年來，隨著組織對(duì)信息安全保障工作重視程度的日益增強(qiáng)，不少組織都依據(jù)標(biāo)準(zhǔn)GB/T 22081-2008建立了一套比較完善的ISMS來保護(hù)組織的重要信息資產(chǎn)，但是體系建立起來了，不少管理者都對(duì)ISMS的運(yùn)行效果極其控制措施的有效性，持懷疑的態(tài)度。
故此組織很有必要建立一套相應(yīng)的測(cè)評(píng)方法來全面的對(duì)ISMS的運(yùn)行情況進(jìn)行科學(xué)的評(píng)價(jià)，進(jìn)一步提升ISMS的執(zhí)行力。
該文研究的信息安全管理測(cè)評(píng)將為確定ISMS的實(shí)現(xiàn)目標(biāo)，衡量ISMS執(zhí)行的效力和效率提供一些思想、方法，其結(jié)果具有客觀的可比性，還可以作為信息安全風(fēng)險(xiǎn)管理、安全投入優(yōu)化和安全實(shí)現(xiàn)變更的客觀依據(jù)，有助于降低安全風(fēng)險(xiǎn)，減少安全事件的概率和影響，改進(jìn)安全控制和管理過程的效率或降低其成本。
2 信息安全管理測(cè)評(píng)研究?jī)?nèi)容
信息安全管理測(cè)評(píng)是信息安全管理體系的重要部分，是信息安全管理測(cè)量與評(píng)價(jià)的綜合。
信息安全管理測(cè)量的結(jié)果是信息安全績(jī)效評(píng)價(jià)的依據(jù)。
信息安全管理測(cè)量比較具體，信息安全管理評(píng)價(jià)則通過具體來反映宏觀。
2.1 信息安全管理測(cè)評(píng)要素及其框架
信息安全管理測(cè)評(píng)要素包括：測(cè)評(píng)實(shí)體及其屬性、基礎(chǔ)測(cè)評(píng)方式、基礎(chǔ)測(cè)評(píng)變量、導(dǎo)出測(cè)評(píng)制式、導(dǎo)出測(cè)評(píng)變量、測(cè)評(píng)方法、測(cè)評(píng)基線、測(cè)評(píng)函數(shù)、分析模型、指示器、決策準(zhǔn)則、測(cè)評(píng)需求和可測(cè)評(píng)概念等，其框架如圖3.1信息安全測(cè)評(píng)框架所示，包括：基于什么樣的需求來測(cè)評(píng)(即測(cè)評(píng)需求)，對(duì)什么進(jìn)行測(cè)評(píng)(即實(shí)體及其屬性)，用什么指標(biāo)體系來測(cè)評(píng)(包括測(cè)評(píng)制式、測(cè)評(píng)變量和測(cè)評(píng)尺度)，用什么方法來測(cè)評(píng)(即測(cè)評(píng)方法)，用什么函數(shù)來計(jì)算測(cè)評(píng)結(jié)果(即測(cè)評(píng)函數(shù))，用什么模型來分析測(cè)評(píng)結(jié)果(即分析模型)，用什么方式來使分析結(jié)果能夠輔助決策(即指示器)等問題。
信息需求是測(cè)評(píng)需求方提出的對(duì)測(cè)評(píng)結(jié)果信息的需求。
信息需求源自于組織的使命和業(yè)務(wù)目標(biāo)，與相關(guān)利益者的利益訴求密切相關(guān)。
指示器的生成和分析模型的選擇是以信息需求為導(dǎo)向的。
決策準(zhǔn)則是一種決定下一步行為的閾值。
他有助于解釋測(cè)評(píng)的結(jié)果。
決策準(zhǔn)則可能出自或基于對(duì)預(yù)期行為在概念上的理解和判斷。
決策準(zhǔn)則可以從歷史數(shù)據(jù)、計(jì)劃和探索中導(dǎo)出，或作為統(tǒng)計(jì)控制限度或統(tǒng)計(jì)信心限度計(jì)算出來。
可測(cè)評(píng)概念是實(shí)體屬性與信息需求之間的抽象關(guān)系，體現(xiàn)將可測(cè)評(píng)屬性關(guān)聯(lián)到信息需求以及如何關(guān)聯(lián)的思想。
可測(cè)評(píng)概念的例子有生產(chǎn)力、質(zhì)量、風(fēng)險(xiǎn)、績(jī)效、能力、成熟度和客戶價(jià)值等。
實(shí)體是能通過測(cè)評(píng)屬性描述的對(duì)象。
一個(gè)實(shí)體是測(cè)評(píng)其屬性的一個(gè)對(duì)象，例如，過程、產(chǎn)品、系統(tǒng)、項(xiàng)目或資源。
一個(gè)實(shí)體可能有一個(gè)或多個(gè)滿足信息需求的屬性。
實(shí)踐中，一個(gè)實(shí)體可被歸類于多個(gè)上述類別。
他可以是有形的也可是無形的。
信息安全管理測(cè)評(píng)的實(shí)體包括信息安全管理體系建立過程中所有的控制項(xiàng)(信息安全管理測(cè)評(píng)要素)。
屬性是實(shí)體可測(cè)評(píng)的、物理的或抽象的性質(zhì)。
一個(gè)屬性是能被人或自動(dòng)手段定量或定性區(qū)分的一個(gè)實(shí)體的某一特性或特征。
一個(gè)實(shí)體可能有多個(gè)屬性，其中只有一些可能對(duì)測(cè)評(píng)有價(jià)值。
測(cè)評(píng)模型實(shí)例化的第一步是選擇與信息需求最相關(guān)的屬性。
一個(gè)給定屬性可能被結(jié)合到支持不同信息需求的多個(gè)測(cè)評(píng)構(gòu)造中。
信息安全管理測(cè)評(píng)主要測(cè)評(píng)的是每一項(xiàng)控制措施的屬性(信息安全管理測(cè)評(píng)指標(biāo))。
測(cè)評(píng)是以確定量值為目的的一組操作。
信息安全管理測(cè)評(píng)是確定控制項(xiàng)的每一個(gè)具體指標(biāo)的一組操作，可以有多種測(cè)評(píng)方法。
基礎(chǔ)測(cè)評(píng)是依照屬性和定量方法而定義的測(cè)評(píng)方法，是用來直接測(cè)評(píng)某一屬性的，是根據(jù)屬性和量化他的方法來定義，他捕獲單獨(dú)屬性的信息，其功能獨(dú)立于其他測(cè)評(píng)。
信息安全管理基礎(chǔ)測(cè)評(píng)是對(duì)于控制項(xiàng)的指標(biāo)可以直接測(cè)評(píng)出來的量。
導(dǎo)出測(cè)評(píng)是通過測(cè)評(píng)其他屬性來間接地測(cè)評(píng)某一屬性的測(cè)評(píng)，是根據(jù)屬性之間的關(guān)系來定義，他捕獲多個(gè)屬性或多個(gè)實(shí)體的相同屬性的信息，其功能依賴于基礎(chǔ)測(cè)評(píng)的，是兩個(gè)或更多基礎(chǔ)測(cè)評(píng)值得函數(shù)。
測(cè)評(píng)尺度是一組連續(xù)或離散的數(shù)字量值(如小數(shù)/百分比/自然數(shù)等)或離散的可數(shù)量值(如高/中/低/等)。
測(cè)評(píng)尺度是規(guī)范測(cè)評(píng)變量取值的類型和范圍。
測(cè)評(píng)方法將所測(cè)評(píng)屬性的量級(jí)影射到一個(gè)測(cè)評(píng)尺度上的量值后賦給測(cè)評(píng)變量。
測(cè)評(píng)尺度根據(jù)尺度上量值之間關(guān)系的性質(zhì)分為四種類型：
名義(Nominal) ：測(cè)評(píng)值是直呼其名。
序數(shù)(Ordinal) ：測(cè)評(píng)值是有等級(jí)的。
間隔(Interval) ：測(cè)評(píng)值是等距離的，對(duì)應(yīng)于屬性的等量，不可能是零值。
比率(Ratio) ：測(cè)評(píng)值是等距離的，對(duì)應(yīng)于屬性的等量，無該屬性為零值。
測(cè)評(píng)單位是作為慣例定義和被廣泛接受的一個(gè)特定量。
他被用作比較相同種類量值的基準(zhǔn)，以表達(dá)他們相對(duì)于此量的量級(jí)。
只有用相同測(cè)評(píng)單位表達(dá)的量值才能直接比較。
測(cè)評(píng)單位的例子有公尺、公斤和小時(shí)等。
測(cè)評(píng)函數(shù)是將兩個(gè)或更多測(cè)評(píng)變量結(jié)合成導(dǎo)出測(cè)評(píng)變量的算法。
導(dǎo)出測(cè)評(píng)變量的尺度和單位依賴于作為函數(shù)輸入的測(cè)評(píng)變量的尺度和單位以及他們通過函數(shù)結(jié)合的運(yùn)算方式。
分析模型是將一個(gè)或多個(gè)測(cè)評(píng)變量轉(zhuǎn)化為指示器的算法。
他是基于對(duì)測(cè)評(píng)變量和/或他們經(jīng)過一段時(shí)間的表現(xiàn)之間的預(yù)期關(guān)系的理解或假設(shè)。
分析模型產(chǎn)生與信息需求相關(guān)的評(píng)估或評(píng)價(jià)。
測(cè)評(píng)方法和測(cè)評(píng)尺度影響分析模型的選擇。
測(cè)評(píng)計(jì)劃定義了測(cè)評(píng)實(shí)施的目標(biāo)、方法、步驟和資源。
測(cè)評(píng)頻率是測(cè)評(píng)計(jì)劃的執(zhí)行頻率。
測(cè)評(píng)計(jì)劃應(yīng)按規(guī)定的頻度定期地或在必要的時(shí)候不定期地執(zhí)行。
定期執(zhí)行的規(guī)定頻度應(yīng)建立在信息效益的需求與獲得他的成本之間的折中，可以是每周、每月、每季度或每年等。
不定期執(zhí)行的必要時(shí)候包括ISMS初始規(guī)劃和實(shí)施以及ISMS本身或運(yùn)行環(huán)境發(fā)生重大變化。
2.2 信息安全管理測(cè)評(píng)量表體系
任何測(cè)評(píng)都必須具備參照點(diǎn)、單位和量表三個(gè)要素。
信息安全測(cè)評(píng)指標(biāo)體系是信息安全測(cè)評(píng)的基礎(chǔ)，是對(duì)指定屬性的評(píng)價(jià)，這些屬性與測(cè)評(píng)需求方的信息保障需求相關(guān)聯(lián)，對(duì)他們進(jìn)行評(píng)價(jià)為測(cè)評(píng)需求方提供有意義的信息。
其總是以滿足其信息保障需求和方便易理解的方式呈現(xiàn)給測(cè)評(píng)需求方的。
標(biāo)準(zhǔn)GB/T 22081-2008是進(jìn)行信息安全管理所參照的標(biāo)準(zhǔn)，其從信息安全方針、信息安全組織、法律法規(guī)符合性等11個(gè)方面，提出了133個(gè)控制措施供使用者在信息安全管理過程中選擇適當(dāng)?shù)目刂拼胧﹣砑訌?qiáng)信息安全管理。
該標(biāo)準(zhǔn)所提供的控制措施基本能覆蓋信息安全管理的各個(gè)方面。
在建立信息安全管理測(cè)評(píng)指標(biāo)體系的實(shí)踐中，通常以控制措施的實(shí)施情況作為指標(biāo)，建立預(yù)選指標(biāo)集，通過對(duì)預(yù)選指標(biāo)集的分析，采用專家咨詢的方式篩選出能全面反映信息安全管理有效性的具體指標(biāo)。
3 信息安全管理測(cè)評(píng)方法探討
測(cè)評(píng)方法通常影響到用于給定屬性的測(cè)評(píng)尺度類型。
例如，主觀測(cè)評(píng)方法通常只支持序數(shù)或名義類型的測(cè)評(píng)尺度。
測(cè)評(píng)方法是使用指定的測(cè)評(píng)制式量化屬性的操作邏輯序列。
操作可能包括計(jì)算發(fā)生次數(shù)或觀察經(jīng)過時(shí)間等。
同樣的測(cè)評(píng)方法可能適用于多個(gè)屬性。
然而，每一個(gè)屬性和測(cè)評(píng)方法的獨(dú)特結(jié)合產(chǎn)生一個(gè)不同的基礎(chǔ)測(cè)評(píng)。
測(cè)評(píng)方法可能采用多種方式實(shí)現(xiàn)。
測(cè)評(píng)規(guī)程描述給定機(jī)構(gòu)背景下測(cè)評(píng)方法的特定實(shí)現(xiàn)。
測(cè)評(píng)方法根據(jù)量化屬性的操作性質(zhì)分為兩種類型：
主觀：含有人為判斷的量化。
客觀：基于數(shù)字規(guī)則(如計(jì)數(shù))的量化。
這些規(guī)則可能通過人或自動(dòng)手段來實(shí)現(xiàn)。
測(cè)評(píng)方法的可能例子有：調(diào)查觀察、問卷、知識(shí)評(píng)估、視察、再執(zhí)行、系統(tǒng)咨詢、測(cè)試(相關(guān)技術(shù)有設(shè)計(jì)測(cè)試和操作有效性測(cè)試等)、統(tǒng)計(jì)(相關(guān)技術(shù)有描述統(tǒng)計(jì)、假設(shè)檢驗(yàn)、測(cè)評(píng)分析、過程能力分析、回歸分析、可靠性分析、取樣、模擬、統(tǒng)計(jì)過程控制(SPC， statistical Process control) 圖和時(shí)序分析等)。
4 結(jié)束語
當(dāng)前，信息安全領(lǐng)域的測(cè)評(píng)研究多側(cè)重于對(duì)技術(shù)產(chǎn)品、系統(tǒng)性能等方面的測(cè)評(píng)，其中信息安全風(fēng)險(xiǎn)評(píng)估可通過對(duì)重要信息資產(chǎn)面臨的風(fēng)險(xiǎn)、脆弱性的評(píng)價(jià)掌握組織的信息安全狀況;信息安全審計(jì)則只是對(duì)信息安全相關(guān)行為和活動(dòng)提供相關(guān)證據(jù);而信息安全管理評(píng)審則是符合性審核，他們都不能對(duì)信息安全管理的有效性以及信息安全管理中采取的控制措施的有效性做出評(píng)價(jià)。
因此，非常有必要對(duì)信息安全管理的有效性進(jìn)行測(cè)評(píng)，這將有助于了解信息安全管理過程中所采取的控制措施的有效性以及控制措施的執(zhí)行情況，為管理者決策提供依據(jù)，也能為組織信息安全管理過程的持續(xù)改進(jìn)提供足夠的幫助，達(dá)到更好地管理信息安全的最終目的。
參考文獻(xiàn)：
[1] 閆世杰，閔樂泉，趙戰(zhàn)生.信息安全管理測(cè)量研究[J].信息安全與通信保密，2009，5：53.
[2] 朱英菊，陳長(zhǎng)松.信息安全管理有效性的測(cè)量[J].信息網(wǎng)絡(luò)安全，2009，1：87-88.
[3] Nist N. 800-55. security metrics guide for information technology systems[J]. NIST paper， 2003.
[4] CISWG CS1/05 -0079. Information Security Program Elements with Supporting Management Metrics ， Adapted from the report of the Best Practices and Metrics Teams ， Corporate Information Security Working Group ( CISWG ) ， 2004-11-17 ( Revised 2005-01-10 ).
[5] ISO/IEC JTCI SC27 N4690 ISSEA Liaison Organization 's cofnfnents on SC27 N4474 ISO/IEC 2nd WD 27004 Information technology-Security techniques-Information Security management metric and measurement (in response to document SC27 N4485revl)，2005-08-31
[6] ISSEA (International System Security Engineering ASSociation ) Metrics Contribution Background ， 2005-08-31
[7] 李堯.論ISMS中的有效性測(cè)量——基于ISO/IEC27004：2009的ISMS有效性測(cè)量淺析[J].電子產(chǎn)品可靠性與環(huán)境試驗(yàn)， 2010，28(3)：53-58.
【信息安全保護(hù)策略論文】相關(guān)文章：
檔案信息安全策略研究論文10-11
電子信息安全管理策略論文10-08
網(wǎng)絡(luò)信息安全防護(hù)策略研究論文10-08
關(guān)于加強(qiáng)檔案信息安全管理的策略的論文10-08
電力信息安全現(xiàn)狀及策略論文10-09
關(guān)于加強(qiáng)檔案信息安全管理的策略論文10-08