信息系統風(fēng)險分析與安全防護研究
我們使用系統的過(guò)程中，伴隨而來(lái)的是各種各樣的安全風(fēng)險，如果我們存有置之不理、掉以輕心或者僥幸心理，這些風(fēng)險將誘發(fā)各種安全事件，將可能帶給我們難以估量的損失。如何做好系統的風(fēng)險分析及安全防護，對我們系統的安全使用將起著(zhù)至關(guān)重要的作用。
【摘要】隨著(zhù)信息化的發(fā)展，信息系統已遍及我們的生活及工作學(xué)習中，給我們帶來(lái)了翻天覆地的變化。本文針對信息系統存在的風(fēng)險進(jìn)行分析，并提出相應的安全防護措施，在系統的整個(gè)生命周期過(guò)程中通過(guò)人防、物防、技防、制防等安全措施來(lái)保證系統在使用過(guò)程中的安全，讓信息系統的使用給我們帶來(lái)更美好的生活享受與工作學(xué)習體會(huì )，同時(shí)減少或消除系統的安全風(fēng)險帶來(lái)的各種影響，供大家一起討論。
【關(guān)鍵詞】信息系統;信息安全;安全風(fēng)險;安全防護
1信息系統風(fēng)險分析的重要性
信息系統的風(fēng)險存在于系統的整個(gè)生命周期過(guò)程中，共包括五個(gè)階段：系統規劃和啟動(dòng)、設計開(kāi)發(fā)或采購、集成實(shí)現、運行和維護、廢棄。在《信息安全技術(shù)信息安全風(fēng)險評估規范》(GB/T20984-2007)中對風(fēng)險分析在信息系統生命周期中的規范要求進(jìn)行了充分的闡述，如在設計階段要進(jìn)行風(fēng)險分析以確定系統的安全目標;在建設驗收階段要進(jìn)行風(fēng)險分析以確定系統的安全目標達到與否;在運行維護階段要不斷進(jìn)行風(fēng)險分析以確定系統安全措施的有效性，確保安全保障目標始終如一得以堅持。在系統規劃和啟動(dòng)階段，主要是提出信息系統的目的、需求、規模和安全要求，通過(guò)風(fēng)險分析可用于確定信息系統的安全需求。在設計開(kāi)發(fā)或采購階段，主要是進(jìn)行信息系統設計、購買(mǎi)、開(kāi)發(fā)或建造。
通過(guò)風(fēng)險分析可為信息系統的安全分析提供支持，這可能會(huì )影響到系統在開(kāi)發(fā)過(guò)程中要對體系結構和設計方案進(jìn)行權衡。在集成實(shí)現階段，信息系統的安全特性應該被配置、激活、測試并得到驗證。通過(guò)風(fēng)險分析可支持對系統實(shí)現效果的評價(jià)，考察其是否能滿(mǎn)足要求，并考察系統所運行的環(huán)境是否是預期設計的。有關(guān)風(fēng)險的一系列決策必須在系統運行之前做出。在運行和維護階段，信息系統開(kāi)始執行其功能，一般情況下系統要不斷修改，添加硬件和軟件，或改變機構的運行規則策略或流程等。通過(guò)風(fēng)險分析可對系統進(jìn)行重新評估，或者做出重大變更，以更好得保證系統能滿(mǎn)足需求的進(jìn)行穩定運行或使用。
在廢棄階段，主要涉及對信息、硬件和軟件的廢棄。這些活動(dòng)可能包括信息的轉移、備份、丟棄、銷(xiāo)毀以及對軟硬件進(jìn)行的密級處理。通過(guò)風(fēng)險分析，在廢棄或替換系統組件時(shí)，能確保硬件和軟件得到了適當的廢棄處置，且殘留信息也恰當地進(jìn)行了處理，并且能確保系統的更新?lián)Q代能以一個(gè)安全和系統化的方式完成。
2信息系統的安全風(fēng)險及影響
系統的安全風(fēng)險在信息系統生命周期的各個(gè)階段都存在，在系統規劃和啟動(dòng)，如果未對系統進(jìn)行全面的安全方案設計及詳細方案設計，從系統的數據安全及功能服務(wù)進(jìn)行統籌考慮分析，可能導致系統在設計上存在安全隱患及漏洞，可能在系統投入運行之后暴露出各種風(fēng)險或問(wèn)題，如設備性能的不合理配置、系統功能的不合理設置、數據庫表結構的不合理設計等都可能導致系統出現響應緩慢、數據出錯等問(wèn)題。在設計開(kāi)發(fā)或采購階段，如果不按照當初的規劃及需求開(kāi)展系統設計開(kāi)發(fā)或采購，存在隨意變更修改等行為，將導致系統的功能等無(wú)法滿(mǎn)足當初的設計需求或規劃，或因為方案的不合理變更導致系統無(wú)法滿(mǎn)足原有的功能需求，從而給系統維護及使用者帶來(lái)更多的不穩定因素。在集成實(shí)現階段，如果不按照已審定并允許實(shí)施的方案進(jìn)行系統建設，可能導致系統的功能及性能造成偏差，或者帶來(lái)人力、財力或物力上的浪費及損失。
同時(shí)未按方案進(jìn)行建設，可能導致系統存在未知的安全漏洞或隱患，給系統的使用造成潛在的安全影響。在運行和維護階段，如果未按照管理規定或操作使用說(shuō)明書(shū)對系統軟硬件進(jìn)行維護使用，將容易對系統硬件設備設施造成損壞，同時(shí)造成系統被攻擊破壞等風(fēng)險。如設備的開(kāi)關(guān)機、日常維護等未按規定進(jìn)行操作，導致設備易損壞，影響設備使用壽命。如系統軟件的使用、升級更新等未按各安全管理制度進(jìn)行落實(shí)，導致系統易被攻擊，易被非授權使用等。在廢棄階段，如果未按照相關(guān)要求對系統軟硬件進(jìn)行處理，可能導致設備或系統中的重要或敏感數據泄露，可能給系統維護或使用者帶來(lái)嚴重影響，如果有些敏感數據被惡意向社會(huì )公開(kāi)或泄露，可能帶來(lái)社會(huì )的不良影響。
如上所述，安全風(fēng)險在信息系統的整個(gè)生命周期中都存在，在各個(gè)階段所存在的安全風(fēng)險也不盡相同，因此造成的影響也根據系統特性的不同、系統周期的不同而有所區別。在《計算機信息安全保護等級劃分準則》(GB17859-1999)中根據信息系統安全保護能力的不同劃分了5個(gè)等級，分別為用戶(hù)自主保護級、系統審計保護級、安全標記保護級、結構化保護級及訪(fǎng)問(wèn)驗證保護級。每個(gè)級別所需達到的安全防護能力也各不相同，用戶(hù)可根據系統的重要程度采取不同的安全防護能力。對應這個(gè)系統的等級劃分準則，在《信息安全技術(shù)信息系統安全等級保護定級指南》(GB/T22240-2008)中根據系統受到破壞時(shí)侵害的客體(國家安全、社會(huì )秩序/公共利益、公民/法人和其他組織的合法權益)和對客體造成侵害的程度(特別嚴重損害、嚴重損害、一般損害)，從數據安全及服務(wù)安全兩方面將系統進(jìn)行了5級劃分，從一級到五級逐級遞增。
同時(shí)在《信息安全技術(shù)信息系統安全等級保護定級指南》(GB/T22240-2008)已對這些的影響進(jìn)行了系統的描述，如在國家安全層面的影響包括影響國家政權穩固和國防實(shí)力，影響國家統一、民族團結和社會(huì )安定，影響國家對外活動(dòng)中的政治、經(jīng)濟利益，影響國家經(jīng)濟競爭力和科技實(shí)力等;在社會(huì )秩序層面的影響包括影響國家機關(guān)社會(huì )管理和公共服務(wù)的工作秩序，影響各種類(lèi)型的經(jīng)濟活動(dòng)秩序，影響各行業(yè)的科研、生產(chǎn)秩序等;在公共利益層面的影響包括影響社會(huì )成員使用公共設施，影響社會(huì )成員獲取公開(kāi)信息資源，影響社會(huì )成員接受公共服務(wù)等;在公民、法人和其他組織的合法權益層面的影響包括影響法律確認的并受法律保護的公民、法人和其他組織所享有的一定的社會(huì )權利和利益。
3信息系統安全防護
信息系統在使用過(guò)程中存在著(zhù)各種網(wǎng)絡(luò )攻擊、信息泄露等風(fēng)險，如用戶(hù)標識截取、偽裝、重放攻擊、數據截取、非法使用、病毒、拒絕服務(wù)、數據庫文件丟失、系統損壞、系統源文件泄露、管理賬戶(hù)口令暴漏、惡意代碼攻擊等。針對信息系統存在的這些風(fēng)險，我們應采取各種防護及加固措施將風(fēng)險控制在可控范圍內，為系統的安全穩定運行提供保障。在《信息系統安全等級保護基本要求》(GB/T22239-2008)中根據《定級指南》中的系統級別，明確了各級別系統滿(mǎn)足相應等級安全要求的基本條款。
在《基本要求》中，從人防、物防、技防、制防等方面對系統的運行維護提供了參考標準，基本涵蓋了系統的整個(gè)生命周期。為保障系統的安全穩定運行使用，主要包括技術(shù)和管理兩方面。在技術(shù)層面，主要包括物理安全、網(wǎng)絡(luò )安全、主機安全、應用安全、數據安全及備份恢復等;在管理層面，主要包括安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理等。結合這兩方面內容，我們可從人防、物防、技防、制防等方面對系統進(jìn)行安全防護及加固。人防，在系統的整個(gè)生命周期中，人起著(zhù)最重要的作用，也是最核心的一個(gè)因素。
�、偃艘邆湎鄳募夹g(shù)技能，在系統整個(gè)過(guò)程中解決處理發(fā)生的各種情況，充足的理論知識結合豐富的處理能力，能給系統的穩定運行帶來(lái)事半功倍的效果。②人在系統的運維過(guò)程中，需嚴格按照相關(guān)的規章制度進(jìn)行操作，并能生成各類(lèi)記錄，同時(shí)重大的操作需有詳細的操作方案或步驟及回退措施，且方案需通過(guò)審定確認。③對運維人員的管理及培訓，各重要信息運維人員需簽署保密協(xié)議及安全責任書(shū)，并定期或不定期得開(kāi)展各類(lèi)培訓以提高技術(shù)技能，從而滿(mǎn)足系統的維護需要。
在此，還有一個(gè)重要的先決條件，就是單位的負責人要對系統的安全重視，能支持各崗位工作人員的工作，把信息安全當作一件重大事情對待。只有領(lǐng)導的充分重視與關(guān)注，各人員的工作才能得到充分得支持，才能更有利得維護系統安全穩定運行。物防，信息系統的運行離不開(kāi)各種軟硬件設施設備，從基礎的機房設施設備，到網(wǎng)絡(luò )設備、安全設備、主機設備、應用軟件及各種輔助軟件、線(xiàn)路線(xiàn)纜等。
因此一個(gè)完整的運行環(huán)境是系統得以穩定運行的大提前，機房的設計及建設可根據系統的需求按照國家的機房建設標準進(jìn)行建設。網(wǎng)絡(luò )及設備的部署需采用冗余方式進(jìn)行落實(shí)，提供設備及線(xiàn)路的硬件冗余，同時(shí)需配備各類(lèi)相應的安全防護設備及軟件，從防火墻、WAF、IDS/IPS、防毒墻、惡意代碼防范軟件、機房監控平臺、網(wǎng)絡(luò )主機監控平臺等。一定需求的軟硬件產(chǎn)品部署能給系統保駕護航，能滿(mǎn)足系統的穩定運行。
信息系統的安全穩定運行離不開(kāi)各設備的支持，“巧婦難為無(wú)米之炊”，如果沒(méi)有合理的設備配置，再好的管理和技術(shù)也無(wú)法保障系統的安全穩定運行。技防，設備的投入需要合理的安全策略部署，才能起到安全防護作用。因此在配備了相應安全設備的同時(shí)，我們需要根據系統的需求設置合理的安全策略，如合理的訪(fǎng)問(wèn)控制策略、路由策略、升級更新策略、惡意代碼查殺策略、數據備份策略、安全訪(fǎng)問(wèn)規則等。策略結合設備才能起到關(guān)鍵的防護作用，給系統的穩定運行提供保障。同時(shí)策略要結合系統運行的環(huán)境及情況進(jìn)行設置，包括網(wǎng)絡(luò )環(huán)境、使用環(huán)境等。如網(wǎng)絡(luò )出入的流量及帶寬限制要考慮系統的日常訪(fǎng)問(wèn)量及網(wǎng)絡(luò )的帶寬等。最合理的策略才是最重要的，要系統的應用與安全相結合，應能保證系統即可用又安全。
在當前現狀下，各種網(wǎng)絡(luò )攻擊防不勝防，只要我們能結合各安全設備，充分利用各設備的安全防護能力，遵循最小授權原則、最小服務(wù)原則，關(guān)閉多余的服務(wù)和端口，設置合理的安全策略，就能將安全風(fēng)險降到最低，保持在可控范圍內。制防，沒(méi)有規矩不成方圓，信息安全管理制度的制定及完善是系統穩定運行的一道關(guān)口。我們的操作行為應嚴格按照相關(guān)制度及規章規程執行。因此制度的合理及可執行將顯得尤其重要。在整個(gè)制度體系中，應建立由信息安全方針策略、安全管理制度及操作規章規程構成的體系化的制度。各方針策略、制度及操作規章規程需由相關(guān)負責人員討論審定通過(guò)，并通過(guò)PDCA循環(huán)不斷得修訂及完善，應保證整個(gè)體系文件適用系統的運行維護需求。一旦制度確定落實(shí)，各人員將必須嚴格遵從執行。
通過(guò)制度管理人的方式將我們的運維工作規范落實(shí)，以防工作人員按各自處事習慣進(jìn)行運維工作，給系統帶來(lái)不確定的隱患。一套完整的適用的制度是需要通過(guò)幾年實(shí)踐才逐步完善的，只有適用的、真正落實(shí)到地的制度才能給系統的安全穩定運行帶來(lái)保障，制度不應停留于紙面，用于對付各類(lèi)檢查。只有將制度真正貫穿在整個(gè)系統管理過(guò)程中，才能真正看到制度所帶得的真實(shí)意義所在。在人防、物防、技防、制防中，各個(gè)環(huán)節是相輔相成的，彼此穿插，從制度落實(shí)，由人將設備及技術(shù)相結合，以保證系統的穩定運行，降低安全風(fēng)險系數，讓風(fēng)險在可控范圍之內。
4結束語(yǔ)
信息系統的安全風(fēng)險是客觀(guān)存在的，只要我們做好風(fēng)險的控制，就能確保系統穩定安全的運行。本文針對信息系統的安全風(fēng)險進(jìn)行了描述分析，并結合風(fēng)險提出了安全防護的描述，通過(guò)人防、物防、技防、制防等方式加強系統的穩定運行，希望各信息系統能更安全穩定的運行，同時(shí)給我們的生活、工作及學(xué)習帶來(lái)更多的便捷及享受。
參考文獻
[1]《信息安全技術(shù)信息安全風(fēng)險評估規范》(GB/T20984-2007)[S].
[2]《計算機信息安全保護等級劃分準則》(GB17859-1999)[S].
[3]《信息安全技術(shù)信息系統安全等級保護定級指南》(GB/T22240-2008)[S].
[4]《信息安全技術(shù)信息系統安全等級保護基本要求》(GB/T22239-2008)[S].
【信息系統風(fēng)險分析與安全防護研究】相關(guān)文章：
我國壽險公司風(fēng)險評估的相關(guān)研究分析03-24
企業(yè)內控管理及資金風(fēng)險把控研究分析02-21
稅收籌劃風(fēng)險研究11-16
籌資風(fēng)險管理研究03-28
ICU噪聲危害與防護措施的研究11-21
風(fēng)險投資公司的風(fēng)險來(lái)源分析11-18
機械安全生產(chǎn)分析與研究開(kāi)題報告12-07
- 相關(guān)推薦