信息系統(tǒng)項(xiàng)目安全管理方法

趙麗華

摘 要：從數(shù)據(jù)采集、生產(chǎn)營(yíng)運(yùn)至生產(chǎn)經(jīng)營(yíng)分析和日常辦公系統(tǒng)給領(lǐng)導(dǎo)決策提供了強(qiáng)有力的支撐，而隨著互聯(lián)網(wǎng)的開(kāi)放、信息共享也同時(shí)帶來(lái)了日益增長(zhǎng)的安全威脅。多年來(lái)天津石化非常注重信息安全管理工作，但是也存在著信息安全工作無(wú)法很好的貫徹至整個(gè)信息系統(tǒng)生命周期的問(wèn)題。在這項(xiàng)工作的組建過(guò)程中，早引入領(lǐng)導(dǎo)才能越早重視，成本就會(huì)控制在最低，而起到的作用也越高。

關(guān)鍵詞：信息系統(tǒng)；項(xiàng)目安全；管理方法

1 概述

隨著信息化項(xiàng)目建設(shè)的推進(jìn)及應(yīng)用延伸，天津石化信息系統(tǒng)已全面滲透到企業(yè)的運(yùn)營(yíng)中，從數(shù)據(jù)采集、生產(chǎn)營(yíng)運(yùn)至生產(chǎn)經(jīng)營(yíng)分析和日常辦公系統(tǒng)給領(lǐng)導(dǎo)決策提供了強(qiáng)有力的支撐，而隨著互聯(lián)網(wǎng)的開(kāi)放、信息共享也同時(shí)帶來(lái)了日益增長(zhǎng)的安全威脅。多年來(lái)天津石化非常注重信息安全管理工作，但是也存在著信息安全工作無(wú)法很好的貫徹至整個(gè)信息系統(tǒng)生命周期的問(wèn)題。在這項(xiàng)工作的組建過(guò)程中，早引入領(lǐng)導(dǎo)才能越早重視，成本就會(huì)控制在最低，而起到的作用也越高。

2 信息安全管理方法

2.1 信息化安全領(lǐng)導(dǎo)小組的成立

要成立一把手或主管信息化領(lǐng)導(dǎo)任組長(zhǎng)的信息安全領(lǐng)導(dǎo)小組，為企業(yè)信息化應(yīng)用保駕護(hù)航。負(fù)責(zé)制定、完善信息系統(tǒng)的安全策略，提出信息系統(tǒng)的安全框架、管理方法，規(guī)定各部門(mén)要遵守的規(guī)范及責(zé)任，以調(diào)動(dòng)、協(xié)調(diào)和組織各方面的資源共同保障信息系統(tǒng)的安全。

2.2 項(xiàng)目規(guī)劃階段安全管理

項(xiàng)目規(guī)劃階段，在定義業(yè)務(wù)需求時(shí)，應(yīng)注重對(duì)信息安全方面的需求制定，完善信息系統(tǒng)的安全策略，提出信息系統(tǒng)的安全框架、管理方法。在業(yè)務(wù)需求書(shū)中，應(yīng)明確對(duì)信息系統(tǒng)安全的詳細(xì)要求，必須經(jīng)過(guò)信息安全人員參加的項(xiàng)目評(píng)審會(huì)議通過(guò)，才能進(jìn)行項(xiàng)目立項(xiàng)。任何對(duì)信息系統(tǒng)安全需求的變更，需經(jīng)過(guò)正式的系統(tǒng)變更流程。

2.3 項(xiàng)目設(shè)計(jì)階段安全管理

在信息系統(tǒng)設(shè)計(jì)階段，通過(guò)風(fēng)險(xiǎn)分析明確安全需求，確定安全目標(biāo)，制定安全策略，擬定安全要求的性能指標(biāo)。充分考慮業(yè)務(wù)數(shù)據(jù)在傳輸、處理、存儲(chǔ)等各個(gè)過(guò)程中的安全要求。

在基礎(chǔ)設(shè)施建設(shè)方面充分考慮系統(tǒng)架構(gòu)、硬件冗余、數(shù)據(jù)備份、網(wǎng)絡(luò)安全等方面，搭建一個(gè)安全高效的基礎(chǔ)設(shè)施平臺(tái)是信息系統(tǒng)安全運(yùn)行的基礎(chǔ)。

在系統(tǒng)應(yīng)用安全層面應(yīng)至少進(jìn)行以下安全控制設(shè)計(jì)：

①身份認(rèn)證。用戶(hù)身份識(shí)別打破以往各自獨(dú)立認(rèn)證的方式，以總部AD賬號(hào)作為統(tǒng)一身份認(rèn)證的基礎(chǔ)對(duì)用戶(hù)進(jìn)行身份識(shí)別，重要的系統(tǒng)可以在信息門(mén)戶(hù)實(shí)現(xiàn)單點(diǎn)登錄，并根據(jù)安全策略配置相關(guān)參數(shù)，如限制非法登錄次數(shù)、超時(shí)自動(dòng)退出等。

②問(wèn)控制。遵循最小權(quán)限原則控制用戶(hù)對(duì)文件、數(shù)據(jù)庫(kù)表等的訪(fǎng)問(wèn)。

③日志與審計(jì)。對(duì)應(yīng)用程序中的重要事件進(jìn)行日志記錄，并進(jìn)行審計(jì)，以便對(duì)系統(tǒng)的重要操作和安全事件進(jìn)行追蹤審查。

2.4 系統(tǒng)上線(xiàn)試運(yùn)行階段安全管理

項(xiàng)目實(shí)施人員及系統(tǒng)管理員嚴(yán)格按照《Windows平臺(tái)信息系統(tǒng)安裝規(guī)范V1.0》（根據(jù)總部安全基線(xiàn)要求及后期運(yùn)維管理規(guī)范制定的）要求，搭建硬件及軟件平臺(tái)：

①操作系統(tǒng)安裝

存儲(chǔ)應(yīng)首先考慮配置為RAID10，在特殊情況下可以允許配置為RAID5；存儲(chǔ)分區(qū)最少為三部分：操作系統(tǒng)分區(qū)、程序分區(qū)、數(shù)據(jù)分區(qū)；系統(tǒng)盤(pán)，只允許安裝操作系統(tǒng)，不得安裝應(yīng)用程序、數(shù)據(jù)庫(kù)，不得存放安裝文件、數(shù)據(jù)文件等；程序盤(pán)，只允許安裝該系統(tǒng)相關(guān)程序；數(shù)據(jù)盤(pán)，安裝有數(shù)據(jù)庫(kù)的系統(tǒng)，數(shù)據(jù)文件可以在此盤(pán)存放，安裝程序、安裝手冊(cè)、用戶(hù)手冊(cè)等系統(tǒng)相關(guān)文檔也可以保存在此盤(pán)；各分區(qū)容量應(yīng)當(dāng)滿(mǎn)足系統(tǒng)穩(wěn)定運(yùn)行5年以上；操作系統(tǒng)使用默認(rèn)設(shè)置進(jìn)行安裝，安裝完成后應(yīng)啟用相應(yīng)操作系統(tǒng)安全策略；操作系統(tǒng)安裝完成后，應(yīng)立即安裝殺毒客戶(hù)端軟件并升級(jí)，方可連接互聯(lián)網(wǎng)，更新操作系統(tǒng)補(bǔ)丁。

②應(yīng)用程序安裝要求

系統(tǒng)中只允許安裝系統(tǒng)相關(guān)程序，不得安裝遠(yuǎn)程控制、即時(shí)通訊等非系統(tǒng)相關(guān)程序。

③數(shù)據(jù)庫(kù)安裝

數(shù)據(jù)庫(kù)程序應(yīng)安裝至程序盤(pán)相應(yīng)路徑下；數(shù)據(jù)文件應(yīng)存儲(chǔ)在數(shù)據(jù)盤(pán)相應(yīng)路徑下；數(shù)據(jù)庫(kù)控制文件、日志文件等，應(yīng)首先選擇存儲(chǔ)在程序分區(qū)相應(yīng)路徑下。

系統(tǒng)上線(xiàn)部署前，通過(guò)總部統(tǒng)一漏洞掃描軟件進(jìn)行安全漏洞檢查、基線(xiàn)配置檢查，殺毒軟件及所有與系統(tǒng)相關(guān)的補(bǔ)丁更新是否完整；測(cè)試數(shù)據(jù)是否清理，軟/硬件符合總部安全基線(xiàn)配置規(guī)范；系統(tǒng)如需與互聯(lián)有數(shù)據(jù)交換，在系統(tǒng)上線(xiàn)前提出申請(qǐng)，主管領(lǐng)導(dǎo)審批后方可接入；系統(tǒng)上線(xiàn)后，系統(tǒng)試運(yùn)行一段時(shí)間后再對(duì)系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評(píng)估，評(píng)價(jià)系統(tǒng)對(duì)信息安全要求的符合情況以及潛在的需要改進(jìn)的信息安全措施。

2.5 系統(tǒng)運(yùn)營(yíng)階段安全管理

①制定不相容角色矩陣，對(duì)用戶(hù)授權(quán)最小化，并制定操作規(guī)程。

②在對(duì)上線(xiàn)系統(tǒng)實(shí)施任何變更（包括操作系統(tǒng)補(bǔ)丁升級(jí)、數(shù)據(jù)庫(kù)、軟件平臺(tái)升級(jí)、程序代碼傳輸、用戶(hù)變更等）操作前，應(yīng)制定詳細(xì)的變更及回退方案，并經(jīng)主管領(lǐng)導(dǎo)審批通過(guò)；開(kāi)發(fā)測(cè)試人員不能訪(fǎng)問(wèn)生產(chǎn)系統(tǒng)。

③系統(tǒng)管理員、應(yīng)用管理員、數(shù)據(jù)庫(kù)管理員應(yīng)按系統(tǒng)要求進(jìn)行線(xiàn)下或線(xiàn)上巡檢，對(duì)系統(tǒng)的安全運(yùn)行狀態(tài)進(jìn)行監(jiān)控，發(fā)現(xiàn)安全隱患或安全事件發(fā)生應(yīng)進(jìn)行記錄并及時(shí)上報(bào)，以避免產(chǎn)生更大次生安全事件。

④按不同系統(tǒng)要求，定期做好系統(tǒng)、數(shù)據(jù)、程序備份，妥善保管備份介質(zhì)，并進(jìn)行恢復(fù)性測(cè)試，保證備份數(shù)據(jù)的可用性。

⑤制定信息安全事件應(yīng)急預(yù)案，應(yīng)急預(yù)案應(yīng)明確組織機(jī)構(gòu)及工作職責(zé)，并定期進(jìn)行應(yīng)急演練。

⑥利用技術(shù)手段，定期對(duì)系統(tǒng)進(jìn)行分線(xiàn)評(píng)估，挖掘系統(tǒng)存在的安全漏洞并進(jìn)行改進(jìn)。

2.6 系統(tǒng)下線(xiàn)階段安全管理

信息系統(tǒng)由于硬件平臺(tái)升級(jí)、軟件大版本升級(jí)或替換時(shí)，應(yīng)對(duì)受到保護(hù)的數(shù)據(jù)信息（磁盤(pán)、磁帶、紙質(zhì)資料等）進(jìn)行妥善轉(zhuǎn)移、轉(zhuǎn)存、銷(xiāo)毀，確保不發(fā)生信息安全事件；涉及到信息轉(zhuǎn)移、暫存和清除、設(shè)備遷移或廢棄、介質(zhì)清除或銷(xiāo)毀，以及相應(yīng)資產(chǎn)清單的更新。

3 結(jié)語(yǔ)

信息安全管理是貫徹整個(gè)信息系統(tǒng)項(xiàng)目生命周期、一項(xiàng)PDCA循環(huán)改進(jìn)的過(guò)程，隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，在不同階段會(huì)出現(xiàn)新的問(wèn)題，因此應(yīng)該定期進(jìn)行信息安全評(píng)估。信息安全管理工作應(yīng)始終貫徹中石化安全管理“三同步”的要求，即在系統(tǒng)的設(shè)計(jì)、建設(shè)和運(yùn)行過(guò)程中，做到同步規(guī)劃、同步建設(shè)、同步運(yùn)行，加強(qiáng)管理的同時(shí)，利用科學(xué)的技術(shù)手段建立起企業(yè)信息安全管理體系。