企業信息安全體系結構及相關領域研究

安立峰

摘 要：文章在對信息安全體系結構進行分析的基礎上，對一種分層和面向服務的智能企業信息安全體系結構進行了研究，有助于構建一個模型來系統和智能地對企業信息安全活動進行管理，并與整體信息管理活動相結合。文章還著重對其中的相關領域（例如，信息安全中最關鍵的屬性以及信息安全管理等方面）進行了研究，并探討了采用ISO/IEC 27001標準的信息安全和風險控制服務。

關鍵詞：信息安全；體系結構；信息安全管理；可用性；風險控制

中圖分類號：TG174.4 文獻標志碼：A 文章編號：2095-2945（2018）06-0186-05

Abstract： Based on the analysis of information security architecture， this paper introduces a layered and service-oriented intelligent enterprise information security architecture； helping to build a model to manage the enterprise information security activities systematically and intelligently， and incorporate with the overall information management activities. Meanwhile， this paper emphasizes the researches on the relevant areas （e.g. the most critical attribute in information security， information security management and so on）， and discusses information security and risk control services based on ISO/IEC 27001 standard.

Keywords： information security； architecture； information security management； availability； risk control

1 簡介

企業信息安全技術是當前行業內最熱門的話題之一。然而傳統上我們對信息安全研究的側重點往往都放在不同的分支學科，諸如網絡安全、應用程序安全、柵格安全、web安全、防火墻、整體入侵檢測等，但在對綜合企業信息安全體系結構、信息安全關鍵屬性以及信息安全管理等方面的研究相對較弱。

而隨著信息技術的普及，當前信息安全體系結構已經成為了信息體系結構的一個重要的分支學科，信息安全體系結構在當今的企業信息技術中起著越來越重要的作用。企業信息安全體系結構是跨學科的信息安全技術與信息體系結構，但在這方面的研究重心仍然只是局限于應用研究。少數信息安全公司已經開始涉足對企業信息安全體系結構的利用，但他們提出的解決方案只是強調在日志管理和/或事件管理的基礎上提供一種商用的綜合安全管理平臺，而不是考慮將信息全體系結構與企業信息體系結構相集成。

本文在分析了信息安全體系結構的基礎上，對一種分層和面向服務的智能企業信息安全體系結構進行了研究，有助于構建一個模型來系統和智能地對企業信息安全活動進行管理，并與整體信息管理活動相結合。本文還著重對信息安全中最關鍵的屬性以及信息安全管理等方面進行了研究，并探討了采用最新的國際ISO/IEC 27001標準的信息安全和風險控制服務。強調了必須“技術”與“管理”并重才能保障企業的信息安全，這些將有助于提升企業信息安全管理和風險控制活動的效率。

2 相關研究

2.1 信息安全體系結構

計算機網絡信息安全體系結構是一個動態化的概念，是在計算機技術、互聯網技術、信息通信技術、密碼技術、軟件技術、安全協議等多學科領域的基礎上建立起來的，其結構要確保系統中的硬件、軟件受到雙重保護，不被更改、泄露和破壞，能夠使整個網絡系統持續穩定的運行，并且有必要實施控制戰略來保持信息的完整性、保密性和可用性。

所有的信息安全體系結構都包括了以下組成部分：（1）組織和基礎設施安全；（2）策略、標準和程序安全；（3）基線和風險評價安全；（4）感知與訓練項目安全。

目前常用的幾個計算機網絡信息安全基礎技術包括SNMP協議、VLAN虛擬局域網、邊界防火墻、網絡用戶身份認證、路由訪問控制、入侵檢測等技術。

隨著計算機網絡的應用及推廣，出現了越來越多的計算機病毒、網絡黑客的惡意襲擊、網絡軟件存在漏洞等方面的技術缺陷問題，加上網絡本身具有的復雜性、開放性和共享性，同時網絡信息本身具有較低的安全性，致使網絡信息安全的風險比較大，這是構建網絡安全體系有待解決的問題。

2.1.1 信息安全體系結構的設計

構建堅固的信息安全體系結構是企業自動、系統和智能地管理信息安全活動的基礎。研究人員已經設計出了一種智能企業信息安全體系結構，其中，它在底層基于數據倉庫/數據集市，安全服務總線用作集線器。其設計的目的是要通過利用業務過程管理（BPM）、規則引擎和業務情報（BI）技術來為企業信息安全活動提供綜合的前瞻性管理和有效控制。它還使企業公司能夠將其信息安全管理提升至他們需要的水平。還在相同層中建入了一個PDCA（規劃-實施-檢查-處置）適配器來確保信息安全管理與風險控制活動能夠提高其自身優化的能力。

（1）安全數據庫層。體系結構的底層是整個體系結構的基礎層。這是因為安全數據更易用于其他應用和服務。在該層的數據被分成兩個部分：操作數據和分析數據（決策支持）。操作數據不僅包括了戰略企業數據，諸如CMDB（配置管理數據庫）和EIF（企業信息文件），還包括了應用操作數據庫。這兩部分之間的差異是，應用數據庫僅由應用來使用。建立了戰略企業數據在各應用之間共享數據。分析數據包括了數據倉庫、數據集市和維立方體。在定義好的規則的基礎上，由操作環境近乎實時地或以批處理模式通過ETL（提取、轉換和加載）過程來提供分析數據。

（2）安全應用層。應用層包含了各種應用的混合，并且該層包括了所有信息安全系統，像防火墻、IPS（入侵防護系統）、反病毒系統以及受保護的設備，諸如網絡設備、服務器和桌面設備。它還包括了通過這些設備建立的不同操作系統。

（3）安全服務總線。在該層定義了SOA服務總線結構和所需不同信息安全服務。在面向服務的信息安全體系結構中，我們可以將當前和未來的安全需求作為安全服務來定義，但這些服務的實施是隱藏的，對新的安全服務來說易于重用當前的服務。由于“通過提出一種全新的解決方案來解決信息安全有關的所有問題”是不可行的，因此研究人員已經嘗試對企業信息技術與安全技術進行集成。至于SOA體系結構的嵌入的安全性，可以通過正確的訪問控制和授權來實現某種控制。因此可以用一種能保證所傳輸信息完整性的方式來完成各項服務之間信息的加密傳輸，確保在此交互活動中僅有發送方和接收方參與。

（4）集成與智能層。該層是體系結構區域，其中數據、過程和應用被維系在一起用來解決業務問題，以適應快速變化的環境。設計了四個模型：BPM（用來完成不同安全過程之間的管理和配置）；業務情報模型（提供了各種服務，諸如報告、查詢、數據挖掘和多維分析）；規則引擎（屬于工作流的一部分，可以整合進BPM模型中）；PDCA適配器（采用人工智能（AI）的一種特殊工具，可以有助于企業在信息安全管理中實現持續進步與自我優化目標）。

（5）信息安全門戶。信息安全門戶層提供了與安全人員、風險分析員以及管理團隊的交互。它包括了交互設備、交互機制、交互接口（諸如SMS（短報文服務）接口）、電郵連接器等。它還提供了一個門戶，提供了關鍵風險指示器和IT風險與控制的控制面板，必要時，它可以提供在線平衡記分卡用于管理審查。

概括地講，這種智能企業信息安全體系結構具有集成、可重用性、面向服務、集成數據環境、業務情報、開放式體系結構等特征。

2.2 信息可用性

信息可用性是信息安全的重要支柱之一，也是信息安全中最關鍵的屬性。信息可用性指的是經過授權的用戶擁有享受網絡信息服務的權力。

在計算機科學、信息技術和應用中的可用性含義是各不相同的。在過去幾十年里，研究人員已經在其功能性和性能方面（即，計算機網絡、信息處理系統、數據庫、文件系統和數據存儲等）做了大量研究，而最終確認了一個事實就是，可用性是提供信息安全的一個關鍵支柱，并且都認同了以下共同目標：（1）允許那些需要的人對授權信息或資源的訪問；（2） 授權用戶及時、可靠地訪問數據和信息服務；（3）不應阻止一個授權方對他/她可以合法訪問的對象進行訪問；（4）需要保證系統能夠立即工作并且不會對授權用戶拒絕服務。

但人們在探討信息系統安全的時候并未對信息可用性引起足夠的重視。當今的拒絕服務（DoS）攻擊通過對信息安全造成威脅來持續以更大和更具破壞性的DoS形式來構成威脅。DoS攻擊的主要目標是要致使一個信息資源變得不可用，或用更簡明的術語來描述其主要的威脅目標就是“信息可用性”。由于DoS威脅的存在，需要對信息可用性進行研究與分析，以便更好地將“可用性”作為一個安全屬性來加以理解。

事實上，信息可用性在確定信息安全的其他屬性（保密性和完整性）的過程中起著重要的作用，因為這兩個屬性直接是由可用性來決定的。

由保密性、完整性和可用性組成的CIA三元組是信息安全的心臟。信息安全中的每個領域都是圍繞著這三個安全屬性來解決的，但保密性和完整性都取決于可用性。可用性構成了其他兩個安全屬性的基礎，沒有它就無法應用安全屬性。

信息可用性所依賴的各種因素

圖5中告訴我們一個事實就是，從信息（和有關資源）的角度來看，一個組織中信息可用性相比所有其他資源來說有多么的重要。我們重點關注的是資源在4級和2級發生了什么，而對其他資源的關注點是“這些資源可以對4級和2級資源的可用性產生影響”（圖6）。這兩個級別在一個組織推動勞動力向前發展的過程中起到了骨干作用。

在保障信息安全時，安全利益相關者應根據三個安全屬性各自適用的領域來對這三個安全屬性（即，保密性、完整性和可用性）進行平等處理。可用性是三個屬性中最為關鍵的屬性，其他兩個屬性直接依賴于可用性。沒有信息系統/資源可用性的話，就好比我們如果沒有可用信息的話，就無法應用保密性和完整性方法。由于可用性依賴軟件、硬件和網絡，可以在所有這三種情況中完成有關系統可用性的系統級和獨立部件級測量。關鍵信息處理系統往往會嘗試實現持續可用性，這是非常難以維持的，基礎可用性是可實現可用性的最低級別的形式。

2.3 信息安全管理系統（ISMS）

信息安全管理尋求建立控制與措施來最大程度地降低丟失信息和系統資源、數據崩潰；破壞數據訪問以及未經授權的信息泄露等風險。通過有效的策略、標準和步驟來實現安全管理，確保授權用戶的信息、應用、系統和網絡的保密性、完整性和可用性。

信息安全管理系統包括：（1）風險管理：基于保密性、完整性和可用性度量。（2）應用的總體質量管理（TQM）：基于效率和有效性度量。（3）一個監控與報告模型：基于抽象層。（4）一種架構的方法：包含了人、過程和技術。（5）一種擴展的框架，通過該框架來對信息安全依從性進行管理。

信息安全被確定為保護信息和信息資源的過程，目的是要保持信息的保密性、完整性和可用性。

2.3.1 信息安全管理系統（ISMS）組成部分

ISMS包括了以下基本的組成部分（見圖7）：（1）管理原則；（2）資源；（3）人員；（4）信息安全過程。

2.3.2 信息安全管理系統領域

信息安全管理系統標準包含了11個安全領域、39個控制目標和133個控制。表2列出了這些領域和控制目標。

2.3.3 風險管理

風險管理被定義“在組織框架內對脆弱性和威脅進行確認的過程以及生成某些對策來最大程度減少對信息資源產生影響的過程”。風險評估是風險管理過程的一部分，風險管理是一項復發性活動，對實施的測量和執行的安全策略的分析、規劃、實施、控制與監控進行處理。相反，風險評估是在離散時間點上執行的（例如，按需一年一次等），并且在下一次評估實施之前提供已評估的風險的臨時視圖，同時用參數來表示整個風險管理過程。圖8介紹了風險管理與風險評估之間的關系。

風險管理包含了兩個過程：

（1）風險分析：確認對信息安全產生的影響因素的過程。

（2）風險評估包含了四種結果：a.確定威脅；b.根據風險級別對這些威脅進行優先化；c.定義控制與防護措施；d.這些措施實施的開發計劃。

企業通過信息安全風險管理的實施，能夠確定長時間的安全風險管理計劃，并且可以有效緩解企業信息系統中的安全風險，提高工作人員對信息安全風險的認識。建議企業在實施風險管理的同時，及時建立信息安全風險預警系統，特別要加強網絡與信息系統安全管理，充分發揮技術支撐、機制保障等，有效預防和減少信息系統安全事故的發生。

2.3.4 ISO/IEC 27001

SO27001是一個信息安全管理系統（ISMS），它有助于各組織對資源的安全性進行管理。ISO27001是為信息安全管理系統（ISMS）提供需求的最著名的標準。

ISO/IEC 27001引入了“規劃-實施-檢查-處置”（PDCA）模型，旨在建立、實現、監控并提高組織的ISMS的效率。PDCA分四個階段，如圖9所示。

實際上，信息安全管理體系建設最核心和最關鍵的部分，就是把建立（P規劃）、實施和運行（D實施）、監視和評審（C檢查）以及保持和改進（A處置）四個重要環節形成PDCA的動態閉環的管理流程，這種管理方法就是PDCA循環。只有按照P-D-C-A的順序持續循環，體系才能高效運轉和不斷完善。

3 結束語

計算機網絡信息安全體系結構的建設是一項復雜而系統的工程，不僅涉及較多的學科，而且知識的延伸較強。對比傳統的信息安全體系結構設計，我們所介紹的體系結構設計具備多個優勢，包括開放、集成、可重用性、面向服務、集成數據平臺和業務情報等。這些都有益于企業通過建立有效的智能信息安全體系結構；集成眾多安全應用；消除人工操作等來簡化安全管理并提供更為有效的風險控制。與此同時，我們注重對相關領域（信息安全中最重要的屬性以及信息安全管理系統等）的研究。我們相信這些將有助于企業信息安全管理和風險控制的實施。

參考文獻：

[1]Jan Killmeyer.Information Security Architecture-An Integrated Apporach to Security in the Organization（Second Edition）[M]. Auerbach Publications.

[2]Jianguang Sun， Yan Chen.Intelligent Enterprise Information Security Architecture based on Service Oriented Architecture[J].International Seminar on Future Information Technology and Management Engineering，2008.

[3]Georg Dister.ISO/IEC 2700， 27001 and 27002 for Information Security Management[J]. Journal of Information Security， 2013，4：92-100.

[4]Aizhan Pernebekovna Pernebekova， Beisenkulov Ayazbi ahbergenovich. Information Security and the Theory of Unfaithful Information[J].Journal of Information Security， 2015，6：265-272.

[5]Suhail Qadir， S.M.K. Quadri. Information Availability： An Insight into the Most Important Attribute of Information Security[J].Journal of Information Security，2016，7：185-194.

[6]宋艷梅.計算機網絡信息安全和應對策略研究[J].電腦知識與技術，2017，3.

[7]徐勇.計算機網絡的信息安全體系結構探析[J].網絡安全技術與應用，2013，10.

[8]劉萬國，周秀霞，霍明月.基于ISO/IEC 27001：2013的高校圖書館信息安全管理體系構建研究[J].現代情報，2017，4.

[9]李祺.計算機網絡的信息安全體系結構研究[J].電腦知識與技術，2015，12.

[10]陳瑜.企業信息安全風險管理的框架研究[J].價值工程，2017.

[11]陳曉飛.企業信息安全管理體系建設[J].信息與電腦，2017，3.

[12]陳婧，趙國星，劉陽.計算機網絡的信息安全體系結構[J].信息與電腦，2013，7.