網絡安全保障模型的企業應用融合設計初探

◆藺旭冉 朱 彤

網絡安全保障模型的企業應用融合設計初探

◆藺旭冉 朱 彤

（核工業計算機應用研究所 北京 100048）

在當前企業的業務和信息化網絡化結合和依賴程度快速提高、面臨的信息安全風險越來越高、國家高度重視的大環境下，網絡安全保障能力建設是各類企業面臨的一項重要課題。本文重點以主流的信息安全保障模型為基礎，結合企業網絡安全工作開展實踐經驗，初步融合設計一個以風險評估為起點、以人員管理和安全策略為核心的網絡安全保障模型，可作為網絡安全保障能力建設方法和思路的一項借鑒。

網絡安全；風險評估；信息安全保障模型；安全策略

0 引言

信息化建設工作在各級企業中均快速推進，從經營管理到科研生產等各個領域，信息系統的規模和復雜程度快速提升，其核心業務對信息化的依賴程度越來越高，業務數據價值與日俱增。在外部網絡安全形勢日趨嚴峻，國家管控標準要求不斷提升的情況下，企業對開展信息安全防護和保障能力的建設需求也快速攀升。但實際上多數企業由于前期信息安全意識不足和成本投入的考慮，在信息化規劃設計和建設之初以功能實現為主，同期對網絡安全防護的投入遠遠不足，整體的安全防護建設和管控工作起步較晚，企業網絡安全信息系統整體存在較大的安全風險和隱患。

因此，本文主要在現有信息安全模型分析研究的基礎上，結合網絡安全工作開展實踐經驗，初步完成網絡安全保障模型的融合設計研究，為如何找準開展網絡安全保障能力建設的發力點提供參考。

1 信息安全保障模型的發展

傳統的信息安全模型最早起步于20世紀70年代，包括最早提出的強訪問控制Bell-LaPadula模型，把強制訪問控制用于完整性的Biba模型，Clark Wilson數據完整性模型和中國墻模型等，在信息技術飛速發展不斷提升信息安全防護能力。隨著信息技術網絡社會化的進一步發展，信息安全的眾多因素和變量的不確定性快速增加，使得信息安全問題也日益重要尖銳和復雜，需要信息安全保障的理念和模型來維持一種動態和可控的狀態。

同傳統的信息安全模型相比，信息安全保障模型將保護、檢測和響應等因素動態的綜合起來，更關注檢測和響應，尤其是在攻擊發生時保證信息系統可用性、完整性和機密性維持在穩定水平。其中，比較具有代表性且廣泛應用的信息安全保障模型包括源自P2DR模型和HTP模型，包括以P2DR模型衍生和發展出的PDRR、P2DRM、MPDRR和WPDRRC等。

1.1 P2DR模型

P2DR模型（Policy（策略）、Protection（防護）、Detection（檢測）和Response（響應））源自美國國際互聯網安全系統公司（ISS）提出的自適應網絡安全模型。P2DR模型建立在基于時間的安全理論基礎之上，在統一的安全策略指導下，由恰當的防護措施、動態的檢測機制（如入侵檢測等）和安全事件的響應，綜合形成一個完備的、閉環的動態自適應安全體系。但是P2DR及PDRR等大部分衍生模型主要著眼于安全過程本身，對內部管理方面的安全管控不足，尤其忽略了人的因素。

1.2 HTP模型

HTP信息安全模型由三部分組成：人員與管理（Human and Management）包括法律法規、安全管理和教育培訓等，技術與產品（Technology and Products）包括認證技術、防火墻、入侵檢測等；流程與體系（Process and Framework）包括風險評估、體系建設和運行改進的周期性安全管控體系。HTP信息安全模型將信息安全放到了組織層面中考慮，相比P2DR等模型更強調了人員和管理這一因素，但在技術、策略和標準上描述較為簡單，缺少與實際運行管控過程的有機結合。

2 模型融合設計

隨著網絡安全環境的快速變化、新技術的大量應用和國家網絡安全戰略部署的持續推進，各級企業均面臨著網絡安全威脅快速增大、信息系統安全風險漏洞增多、網絡安全能力自主可控和創新不足等新形勢下的問題和挑戰，迫切需要快速加強網絡安全保障能力建設。通過分析已有的主要信息保障安全模型的特點和局限性，結合目前大部分企業體系化網絡安全管控和防護不夠全面和規范的現狀，本文主要基于P2DR及其衍生模型和HTP等安全保障模型的思路和要素，結合企業網絡安全保障能力建設實踐經驗進行初步的融合模型設計，如圖1所示。

圖1 融合模型設計

2.1 安全保障能力核心要素

企業的網絡安全保障能力建設的核心要素包括安全策略、人員管理、安全技術、安全產品和網絡安全組織。

（1）安全策略

安全策略是P2DR模型中的核心要素，也是企業網絡安全保障能力建設的根本依據和頂層設計，應根據業務特點、保障資源、防護對象和對應的防護標準制定，明確企業網絡安全方針、組織機構職責和管控策略措施等。安全策略應涵蓋信息系統網絡安全相關設計、建設、運營和廢止的全生命周期管理，并根據實際業務開展和系統變化情況及時更新和調整，確保能夠實時有效的指導各級各類具體的網絡安全保障工作執行。

（2）人員管理

人員作為企業網絡安全最活躍和不確定的因素，也是HTP模型中的核心要素。人員包括大量的內部員工用戶和關鍵的網絡安全管理、技術人員，是對網絡信息系統最大的潛在威脅。應按照人員業務特點、崗位職責和基礎能力的不同，在有針對性地制定相關的人員管理規范的基礎上，落實安全意識培養、技術能力培訓和監督檢查常態化等基本措施，結合技術管控手段，嚴控內部風險。

（3）安全技術

網絡安全技術是確保安全策略和管理要求實現的基本條件，從技術上劃分涵蓋物理安防、網絡邊界防護、訪問控制、身份鑒別、安全審計、系統開發、密碼和數據安全等各個層面；從對象上劃分為系統和設備的安全防護技術和專業的網絡安全人員技術能力兩大類。一方面需要在落實各個環節的基本的安全防護技術措施適度全覆蓋的基礎上，根據業務特點、行業標準和風險評估結果進行重點防護；另一方面需要確保網絡安全技術人員的技術能力與相應的技術措施相匹配，能夠有效發揮出技術措施的防護能力，尤其強化日常分析監測和應急處置能力。

（4）安全產品

網絡安全產品是安全技術實現的重要實現載體，包括安全防護技術環節實現必要的安全防護產品和安全監督管理落實需要的安全審計和安全檢查檢測產品。應按照“適度防范”和“兼顧效率”的原則進行網絡安全產品的部署和使用，避免過度防護。同時，其配置和管理必須嚴格執行安全策略中相關要求。

（5）網絡安全組織

企業的網絡安全保障能力建設必須依托企業內部職權明確的網絡安全組織來完成。網絡安全組織的最優方式為獨立于信息系統建設和運維管理機構，例如可成立相對獨立的網絡安全管理中心，來承擔企業網絡安全規劃設計、安全策略設計和維護、信息系統全生命周期的安全監督管控、安全狀態的檢測和態勢感知、應急處置和恢復等職能，通過專業能力專職統籌推進網絡安全保障工作落實。

2.2 網絡安全運行管控

通過國家信息安全等級保護工作多年來的持續推行，大部分企業通過對其建設和整改，其重要網絡信息系統已具備必要的安全防護能力，但在運行管理方面仍然存在短板，尤其是內部管控明顯不足，需要按照防護、檢測、響應和恢復的基本環節進行相對完整和體系化的運行管控，最大化的發揮已有技術管理措施的安全防護效能。

（1）防護

基于安全策略落實的物理、網絡、應用和數據安全等防護措施集合，確保防護對象保密性和完整性的相對安全可控。

（2）檢測

在無法實現絕對安全的前提下，需要通過各種探測、檢查、監控和報警等技術和管理手段，及時發現安全威脅和隱患。

（3）響應

根據安全策略對于所出現或定義的安全威脅或安全事件，包括異常報警事件處置和安全應急響應處置等。

（4）恢復

通過評估安全事件產生的危害與影響，按照安全策略恢復系統功能或數據。

2.3 持續評估改進

在網絡信息系統安全運行管控的基礎上，以定期的風險評估為起點和輸入，有重點分層級的實施安全體系整改建設，通過實際的運行和過程管控實踐再發現問題和不足，持續、快速和有效的提升以策略、人員、技術和產品為核心的網絡安全保障能力。

（1）風險評估

風險評估應根據國家有關信息安全技術與管理標準，對照企業安全策略的方針準則和具體要求，以識別信息資產為評估對象，通過威脅和脆弱性的全面的識別和分析，判斷安全風險發生的可能性及其危害和影響。安全無止境，考慮到網絡安全保障能力建設范圍廣、投入大和動態變化的特點，需要建立定期的風險評估機制，并通過科學和全面的評估結果，分級分階段有針對性的合理進行風險整改和控制，快速補齊安全短板的同時平衡資源投入壓力。

（2）安全體系建設

網絡安全是動態的多層次多因素過程，通過局部或個別的要素和環節難以進行有效的保障，需要充分結合業務需求和特點參照相應的安全防護標準制定安全策略，并以此為基礎設計包括人員管理、技術要求和過程管控規范等要素在內的體系化安全框架。通過風險評估和實際運行管控實踐活動進行不斷的充實完善、調整和優化，形成適用于本企業的科學合理的安全體系。

（3）運行及過程管控

通過體系化的網絡安全保障能力建設和提升，不斷強化企業網絡信息系統的防護、檢測、響應和恢復等各個運行及過程管控環節的落地實施。

3 結束語

網絡安全保障能力建設是一項系統工程，投入大周期長，需要科學合理和切合實踐的方法指導。在當前網絡安全外部環境整體嚴峻的態勢下，企業可以通過優化健全基本運行管控環節，在保障信息系統基本安全的基礎上，以風險評估為啟動和切入點，以網絡安全組織為支撐點，以策略、人員、技術和產品為建設核心，持續建立健全安全體系，實現網絡安全保障能力的快速和有效提升。

[1]范紅，馮登國，吳亞非.信息安全風險評估方法與應用[M].清華大學出版社，2006.

[2]沈昌祥.信息安全[M].浙江大學出版社，2007.

[3]GB/T 22081-2016.信息技術 安全技術 信息安全控制實踐指南[S]，2016．

[4]蔣韜，李信滿，劉積仁.信息安全模型研究[J].小型微型計算機系統，2000.

[5]雷璟，王冬梅.建立信息安全管理體系的HTP方法[J]. 電子信息技術評論，2005.

[6]張惠.信息系統運維階段信息安全風險評估工作研究[J].網絡安全技術與應用，2018.