企业信息安全体系结构及相关领域研究

企业信息安全技术是当前行业内最热门的话题之一。然而，以往我们对信息安全研究的侧重点往往都放在不同的分支学科，诸如网络安全、应用程序安全、栅格安全、Web安全、防火墙和整体入侵检测等，但在对综合企业信息安全体系结构、信息安全关键属性以及信息安全管理等方面的研究相对较弱。

随着信息技术的普及，当前信息安全体系结构已经成为了信息体系结构的一个重要的分支学科，信息安全体系结构在当今的企业信息技术中起着越来越重要的作用。企业信息安全体系结构是跨学科的信息安全技术与信息体系结构，但在这方面的研究重心仍然只是局限于应用研究。少数信息安全公司已经开始涉足对企业信息安全体系结构的利用，但他们提出的解决方案只是强调在日志管理和（或）事件管理的基础上提供一种商用的综合安全管理平台，而不是考虑将信息安全体系结构与企业信息体系结构相集成。

本文在分析了信息安全体系结构的基础上，对一种分层和面向服务的智能企业信息安全体系结构进行了研究，有助于构建一个模型来系统和智能地对企业信息安全活动进行管理，并与整体信息管理活动相结合；还着重对信息安全中最关键的属性以及信息安全管理等方面进行了研究，并探讨了采用最新的国际ISO/IEC 27001标准的信息安全和风险控制服务。必须“技术”与“管理”并重，才能保障企业的信息安全，这将有助于提升企业信息安全管理和风险控制活动的效率。

计算机网络信息安全体系结构是一个动态化的概念，是在计算机技术、互联网技术、信息通信技术、密码技术、软件技术、安全协议等多学科领域的基础上建立起来的，其结构要确保系统中的硬件、软件受到双重保护，不被更改、泄露和破坏，能够使整个网络系统持续稳定地运行，并且有必要实施控制战略来保持信息的完整性、保密性和可用性。

所有的信息安全体系结构都包括了以下组成部分：组织和基础设施安全；策略、标准和程序安全；基线和风险评价安全；感知与训练项目安全。

目前常用的几个计算机网络信息安全基础技术包括:SNMP协议、VLAN虚拟局域网、边界防火墙、网络用户身份认证、路由访问控制以及入侵检测等。

计算机网络的应用及推广，使得越来越多的计算机病毒、网络黑客的恶意袭击、网络软件漏洞等问题不断涌现，加上网络本身具有的复杂性、开放性和共享性，同时网络信息本身具有较低的安全性，致使网络信息安全的风险比较大。这是构建网络安全体系有待解决的问题。

（1）信息安全体系结构的设计

构建坚固的信息安全体系结构是企业自动、系统和智能地管理信息安全活动的基础。研究人员已经设计出了一种智能企业信息安全体系结构。其中，它的底层基于数据仓库/数据集市，安全服务总线用作集线器。其设计的目的是要通过利用业务过程管理（BPM）、规则引擎和业务情报（BI）技术为企业信息安全活动提供综合的前瞻性管理和有效控制。它还使企业公司能够将其信息安全管理提升至需要的水平，还在相同层中嵌入了一个PDCA（规划-实施-检查-处置）适配器来确保信息安全管理与风险控制活动能够提高其自身优化的能力。

①安全数据库层。体系结构的底层是整个体系结构的基础层。这是因为安全数据更易用于其他应用和服务。在该层的数据被分成两个部分：操作数据和分析数据（决策支持）。操作数据不仅包括了战略企业数据，诸如CMDB（配置管理数据库）和EIF（企业信息文件），还包括了应用操作数据库。这两部分之间的差异是，应用数据库仅由应用来使用。建立了战略企业数据在各应用之间共享数据。分析数据包括了数据仓库、数据集市和维立方体。在定义好的规则的基础上，由操作环境近乎实时地或以批处理模式通过ETL（提取、转换和加载）过程来提供分析数据。

②安全应用层。应用层包含了各种应用的混合，并且该层包括了所有信息安全系统，像防火墙、IPS（入侵防护系统）、反病毒系统以及受保护的设备，诸如网络设备、服务器和桌面设备。它还包括了通过这些设备建立的不同操作系统。

③安全服务总线。在该层定义了SOA服务总线结构和所需的不同信息安全服务。在面向服务的信息安全体系结构中，我们可以将当前和未来的安全需求作为安全服务来定义，但这些服务的实施是隐藏的，对新的安全服务来说易于重用当前的服务。“通过提出一种全新的解决方案来解决信息安全有关的所有问题”是不可行的，因此研究人员已经尝试对企业信息技术与安全技术进行集成。至于SOA体系结构的嵌入的安全性，可以通过正确的访问控制和授权来实现某种控制。可以用一种能保证所传输信息完整性的方式来完成各项服务之间信息的加密传输，确保在此交互活动中仅有发送方和接收方参与。

④集成与智能层。该层是体系结构区域，其中数据、过程和应用被维系在一起用来解决业务问题，以适应快速变化的环境。设计了四个模型：BPM（用来完成不同安全过程之间的管理和配置）；业务情报模型（提供了各种服务，诸如报告、查询、数据挖掘和多维分析）；规则引擎（属于工作流的一部分，可以整合进BPM模型中）；PDCA适配器（采用人工智能的一种特殊工具，有助于企业在信息安全管理中实现持续进步与自我优化目标）。

⑤信息安全门户。信息安全门户层提供了与安全人员、风险分析员以及管理团队的交互。它包括了交互设备、交互机制、交互接口（诸如SMS（短报文服务）接口）和电邮连接器等。它还提供了一个门户以及关键风险指示器和IT风险与控制的控制面板。必要时，它可以提供在线平衡记分卡，用于管理审查。

概括地讲，这种智能企业信息安全体系结构具有集成、可重用性、面向服务、集成数据环境、业务情报和开放式体系结构等特征。

信息可用性是信息安全的重要支柱之一，也是信息安全中最关键的属性。信息可用性指的是经过授权的用户拥有享受网络信息服务的权力。

在计算机科学、信息技术和应用中，可用性含义是各不相同的。在过去几十年里，研究人员已经在其功能性和性能方面（即计算机网络、信息处理系统、数据库、文件系统和数据存储等）做了大量研究，而最终确认了一个事实就是，可用性是提供信息安全的一个关键支柱，并且都认同了以下共同目标。

（1）允许那些需要的人对授权信息或资源的访问。

（2） 授权用户及时、可靠地访问数据和信息服务。

（3）不应阻止一个授权方对他/她可以合法访问的对象进行访问。

（4）需要保证系统能够立即工作并且不会对授权用户拒绝服务。

但人们在探讨信息系统安全的时候并未对信息可用性引起足够的重视。当今的拒绝服务（DoS）攻击通过对信息安全造成威胁来持续以更大和更具破坏性的DoS形式来构成威胁。DoS攻击的主要目标是使一个信息资源变得不可用，或用更简明的术语来描述其主要的威胁目标就是“信息可用性”。由于DoS威胁的存在，需要对信息可用性进行研究与分析，以便更好地将“可用性”作为一个安全属性来加以理解。

事实上，信息可用性在确定信息安全的其他属性（保密性和完整性）的过程中起着重要的作用，因为这两个属性直接是由可用性来决定的。

由保密性、完整性和可用性组成的CIA三元组是信息安全的心脏。信息安全中的每个领域都是围绕着这三个安全属性来解决的，但保密性和完整性都取决于可用性。可用性构成了其他两个安全属性的基础，没有它就无法应用安全属性。

信息可用性所依赖的各种因素，从信息（和有关资源）的角度来看，一个组织中信息可用性相比所有其他资源来说有多么的重要。我们重点关注的是资源在4级和2级发生了什么，而对其他资源的关注点是“这些资源可以对4级和2级资源的可用性产生影响”。这两个级别在一个组织推动劳动力向前发展的过程中起到了骨干作用。

在保障信息安全时，安全利益相关者应根据三个安全属性各自适用的领域来对这三个安全属性（即保密性、完整性和可用性）进行平等处理。可用性是三个属性中最为关键的属性，其他两个属性直接依赖于可用性。没有信息系统/资源可用性的话，就好比没有可用信息的话，就无法应用保密性和完整性方法。由于可用性依赖软件、硬件和网络，可以在所有这三种情况中完成有关系统可用性的系统级和独立部件级测量。关键信息处理系统往往会尝试实现持续可用性，这是非常难以维持的。基础可用性是可实现可用性的最低级别的形式。

信息安全管理寻求建立控制与措施来最大程度地降低丢失信息和系统资源、数据崩溃，破坏数据访问以及未经授权的信息泄露等风险。通过有效的策略、标准和步骤来实现安全管理，确保授权用户的信息、应用、系统和网络的保密性、完整性和可用性。

信息安全管理系统包括：风险管理，基于保密性、完整性和可用性度量；应用的总体质量管理（TQM），基于效率和有效性度量；一个监控与报告模型，基于抽象层；一种架构的方法，包含了人、过程和技术；一种扩展的框架，通过该框架对信息安全依从性进行管理。

信息安全被确定为保护信息和信息资源的过程，目的是要保持信息的保密性、完整性和可用性。

（1）信息安全管理系统（ISMS）组成部分

ISMS包括了以下基本的组成部分：管理原则、资源、人员、信息安全过程。

（2）信息安全管理系统领域

信息安全管理系统标准包含了11个安全领域、39个控制目标和133个控制。

（3）风险管理

风险管理被定义“在组织框架内对脆弱性和威胁进行确认的过程，以及生成某些对策来最大程度减少对信息资源产生影响的过程”。风险评估是风险管理过程的一部分。风险管理是一项复杂性活动，对实施的测量和执行的安全策略的分析、规划、实施、控制与监控进行处理。相反，风险评估是在离散时间点上执行的（例如，按需一年一次等），并且在下一次评估实施之前提供已评估的风险的临时视图，同时用参数来表示整个风险管理过程。

风险管理包含了两个过程：

①风险分析：确认对信息安全产生的影响因素的过程。

②风险评估包含了四种结果：确定威胁；根据风险级别对这些威胁进行优先化；定义控制与防护措施；这些措施实施的开发计划。

企业通过信息安全风险管理的实施，能够确定长时间的安全风险管理计划，并且可以有效缓解企业信息系统中的安全风险，提高工作人员对信息安全风险的认识。建议企业在实施风险管理的同时，及时建立信息安全风险预警系统，特别要加强网络与信息系统安全管理，充分发挥技术支撑、机制保障等，有效预防和减少信息系统安全事故的发生。

（4）ISO/IEC 27001

ISO 27001是一个信息安全管理系统（ISMS），它有助于各组织对资源的安全性进行管理。ISO 27001是为信息安全管理系统（ISMS）提供需求的最著名的标准。

ISO/IEC 27001引入了“规划-实施-检查-处置”（PDCA）模型，旨在建立、实现、监控并提高组织的ISMS的效率。

实际上，信息安全管理体系建设最核心和最关键的部分，就是把建立（P规划）、实施和运行（D实施）、监视和评审（C检查）以及保持和改进（A处置）四个重要环节形成PDCA的动态闭环的管理流程，这种管理方法就是PDCA循环。只有按照P-D-C-A的顺序持续循环，体系才能高效运转和不断完善。

计算机网络信息安全体系结构的建设是一项复杂而系统的工程，不仅涉及较多的学科，而且知识的延伸性较强。对比传统的信息安全体系结构设计，我们所介绍的体系结构设计具备多个优势，包括开放、集成、可重用性、面向服务、集成数据平台和业务情报等。这些都有益于企业通过建立有效的智能信息安全体系结构、集成众多安全应用、消除人工操作等来简化安全管理，并提供更为有效的风险控制。与此同时，我们注重对相关领域（信息安全中最重要的属性以及信息安全管理系统等）的研究。我们相信这些将有助于企业信息安全管理和风险控制的实施。

来源：《网络安全和信息化》杂志

作者：包世奇