安全策略和需求分析

一、如何制定安全策略？ 
安全策略是为发布、管理和保护敏感的信息资源而制定的一组法律、法规和措施的总合，是对信息资源使用、管理规则的正式描述，是企业内所有成员都必须遵守的规则。 
 
1．作用 
保护网络信息的安全是一场没有硝烟的战争，安全策略则是这场战争的战略方针，它负责调动、协调、指挥各方面的力量来共同维护信息系统的安全。如果没有安全策略进行总体规划，那么即使安全实力雄厚，信息系统也是千疮百孔的。 
安全策略属于网络信息安全的上层建筑领域，是网络信息安全的灵魂和核心。安全策略为保证信息基础的安全性提供了一个框架，提供了管理网络安全性的方法，规定了各部门要遵守的规范及应负的责任，使得信息网络系统的安全有了切实的依据。 
 
2．原则 
安全策略的制定过程是一个循序渐进、不断完善的过程，因为不可能指定一个策略就能够完全符合、适应某个信息系统的环境和需求，只能不断地接近目标。策略的制定应该由专门的“安全策略委员会”来负责，他们应该由安全专业人士和来自系统内不同部门的职员组成。安全策略在制定时必须兼顾它的可理解性、技术上的可实现性、组织上的可执行性。企业级安全策略可以从三个层面来考虑开发制定: 
(1) 抽象安全策略 它通常表现为一系列的自然语言描述的文档，是企业根据自身的任务、面临的威胁和风险，以及上层的制度、法律等制定出来限制用户使用资源和使用方式的一组规定。 
(2) 全局自动安全策略 它是抽象安全策略的子集和细化，指能够由计算机、路由器等设备自动实施的安全措施的规则和约束，不能由计算机实施的安全策略由安全管理制度等其他物理环境安全手段实施。全局自动安全策略主要从安全功能的角度考虑，分为标识与认证、授权与访问控制、信息保密与完整性、数字签名与抗抵赖、安全审计、入侵检测、响应与恢复、病毒防范、容错与备份等策略。 
(3) 局部执行策略 它是分布在终端系统、中继系统和应用系统中的GASP的子集，网络中所有实体LESP的总合是GASP的具体实施。局部可执行的安全策略是由物理组件与逻辑组件所实施的形式化的规则，如口令管理策略、防火墙过滤规则、认证系统中的认证策略、访问控制系统中的主体的能力表、资源的访问控制链表、安全标签等组成。每一条具体的规则都是可以设置与实施的。 
 
3．内容 
安全策略应该是一个详细的完备的指导方针，包含的内容有： 
（1）保护的内容和目标：安全策略中要包含信息网络系统中要保护的所有资产（包括硬件及软件）以及每件资产的重要性和其要达到的安全程度，如可以对系统中所有的主机根据其重要性和功能范围进行分类，涉及到核心机密信息或提供关键服务的为A类;含有敏感信息或提供重要服务的为B类；能够访问A类和B类主机且不含敏感信息的为C类，不能够访问A类和B类主机；不含敏感信息且可以从外部访问的为D类；可以从外部访问但不能访问A类、B类、C类和D类主机的为E类。这样的划分，既体现了各类资产的重要程度，又规定了它们的功能范围。 
（2）实施保护的方法：明确对信息网络系统中的各类资产进行保护所采用的具体的方法，如对于实体安全可以采用隔离、防辐射、防自然灾害的措施实现，对于数据信息可以采用授权访问技术来实现，对于网络传输可以采用安全隧道技术来实现，等等。另外还要明确采用的具体方法，如使用什么样的算法和产品。 
（3）明确的责任：维护信息与网络系统的安全不仅仅是安全管理员的事，一个人或几个人的能力毕竟是有限的，只有调动大家的积极性，集体参与才能真正有效地保护系统的安全。要想有效地组织大家协同工作，就必须明确每个人在安全保护工程中的责任和义务。 
（4）事故的处理：为了确保任务的落实，提高大家的安全意识和警惕性，必须规定相关的处罚条款，并组建监督、管理机构，以保证各项条款的严格执行。 
 
4．注意事项 
对绝大多数企业来说，没有必要考虑那么全面。但对于关系到人民生产、生活保障的关键基础设施的信息与网络系统，开发全面的整体的安全策略是必要的。 
开发安全策略时，要注意充分考虑制定安全策略的优先次序，充分考虑信息系统内部因素对安全策略的影响，不要指望能够制定一个绝对正确和详细的策略，我们没有能力提前预知问题的所有情况和细节。要充分意识到今天好的能够实施的策略比明年的伟大策略要好。同时要考虑实现安全策略可能需要的投资。安全策略力求简洁，可实施，具有可操作性。一个十分完美的而不可操作的安全策略是没有任何用处的。制定一个不能够实施的安全策略等于没有安全策略。 
在制定安全策略的同时，要制定相关的信息与网络安全的技术标准与规范。这些标准与规范是保证所制定的安全策略的技术保障与管理基础。技术标准着重从技术方面规定与规范实现安全策略的技术、机制与安全产品的功能指标要求，切忌明确到使用什么产品，只要从功能、技术标准上作了明确的规范，选择产品的事情是次要的。管理规范是从政策、组织、人力与流程方面对安全策略的实施进行规划。没有一定政策法规保障的安全策略形同一堆废纸。 
安全策略具有较强的生命周期性。因此，要注意定期根据相关因素的变化，进行安全策略的修改，保证安全策略的可用性。 
二、如何进行需求分析？ 
目前，很多企业单位虽然知道网络信息安全的严重性，但不知道怎么去防护;有的随意买一些安全产品就以为万事大吉了，实际上这是远远不够的。出现这类情况的根本原因是这些企业单位对自己的总体的安全需求不清楚，安全需求是一个企业为保护其信息系统的安全对必须要做的工作的全面描述，是一个很详细、全面、系统的工作规划，是需要经过仔细的研究和分析才能得出的一份技术成果。为一个企业设计一个安全体系，对企业的安全需求进行分析是必不可少的，是对企业的信息财产进行保护的依据。安全需求分析工作是在安全风险分析与评估工作的基础上进行的，是安全工程学中的另一个阶段的工作。 
 
1．原则 
（1）遵照法律：信息安全工作不仅仅是某个企业单位的工作，也是一个国家性的工作，必须把局部的安全工作与全局的工作协调起来，必须按照有关的法律和规定实施安全工程。 
（2）依据标准：为了保证需求分析的质量，必须做到“有据可查”，必须用有关的技术标准来衡量。因此要充分参考、利用现有的标准。 
（3）分层分析：安全工程涉及到策略、体系结构、技术、管理等各个层次的工作，安全工程的层次性也就决定了需求分析的层次性，这样得出的结果才是完备的、可靠的。 
（4）结合实际：安全工程的实施是针对一个具体的信息系统环境的，所有工作的开展必须建立在这个实际基础之上，不同环境需求分析的结果是不同的。 
 
2．内容 
对安全需求的理解可以从多侧面、多角度入手，安全工程应该是全方位的，应从安全性、可靠性、高效性、可控性和持续性等多方面落实。 
在结合国家政策法规、企业性质和规章制度的基础上，考虑安全生产的方方面面的要求，提出安全要求与安全级别；根据对象单位资产的确认情况，提出不同资产的安全级别需求，这样，安全问题就可以有的放矢。因为信息与网络系统是分层的，所以，在进行需求分析时也应该根据各层的具体情况分级别提出安全需求。一般情况下，要考虑以下五个层次的安全需求： 
1) 管理层：信息安全是一个管理和技术结合的问题。就信息安全而言，管理与技术的关系就如同人与武器的关系一样。一个严密、完整的管理体制，不但可以最大限度地在确保信息安全的前提下实现信息资源共享，而且可以弥补技术性安全隐患的部分弱点。管理包括行政性和技术性管理。信息网络系统能否正常高效地运行，很大程度上取决于是否发挥了它的最大功效，这依赖于系统的管理策略。管理层的安全需求分析就是研究为了保证系统的安全，应该建立一个怎样的管理体制。具体来讲，就是成立什么样的管理机构或部门？负责什么任务？完成什么功能？遵循什么原则？达到什么要求？ 
(2) 物理层：物理层的安全就是保证实体财产的安全。实体安全是信息网络安全的低层安全，也是保证上层安全的基础。物理层的安全需求分析就是根据单位的实际情况，确定单位各实体财产的安全级别，需要什么程度的安全防护？达到什么样的安全目的？ 
(3) 系统层：这里的系统指的是操作系统，操作系统是信息网络系统的基础平台，它的安全也是保证上层安全的基础。系统层的安全需求分析就是研究为保证安全，应该要求操作平台达到什么样的安全级别？为达到所要求的级别，应该选用什么样的操作系统？如何使用、管理、配置操作系统？ 
(4) 网络层：网络层是Internet的核心，是为上层应用提供网络传输的基础，也是局域网和广域网连接的接口。因此，针对网络层的攻击和破坏很多。现在经常采取的安全防护措施是在网络的边界上，通过使用防火墙的IP过滤和应用代理等功能来实现安全连接。一种简单有效的方法是在路由器上采用IP过滤技术，由硬件实现，效率相当高。对于网络层所传输的数据的保护可以采用加密技术来实现，新一代的安全网络协议正在设计和实验阶段。那么，根据信息系统的业务方向，分析系统的网络安全需求，再确定应该采用什么样的防护方式。 
(5) 应用层：应用层是网络分层结构的最上层，是用户直接接触的部分。由于基于网络的应用很多，供应商也很多，所以存在的安全问题也很多，相应的安全防护技术也很多，需要根据实际情况来衡量对它们的需求程度。 
安全需求分析也是一个不断发展的过程，不会有一个一劳永逸的分析结果，随着系统环境的发展以及外部形势的改变，安全需求也会改变。要想保持分析结果的有效性，必须保证结果时刻最新，安全需求分析的过程也得与系统同步发展。