Question

信息安全的保障体系【如何构建信息安全保障体系】

Answer 1

　　信息安全建设是信息化建设过程中的一个重要组成部分，随着IT建设的逐步完善与深入，很多企业和政府部门纷纷部署了很多的基础安全设施，如防火墙、防病毒、入侵检测系统等，甚至有很多企业还制定了安全制度和管理流程。
　　即使这样，如下安全问题依然摆在了很多企业面前：安全设备部署了很多，安全制度流程也建立了，但从整体角度看，仍然是各自为战，仿佛信息安全问题只是IT部门的事情，与其他人无关，这就使得无法形成整体有效的安全防护；一边是业务应用越来越复杂，一边是安全设备和制度不断增加，如果安全设备和制度做多了，业务部门抱怨太繁琐，但如果不做这么多，又怕出现安全问题，左右为难。
　　那么，出现这些问题的根源是什么呢？我们早就知道，建设安全系统不仅仅是技术问题，也是管理问题。而信息安全服务的主要目标就是更好的支撑IT应用系统的效果和效率，也就是说，信息安全的主要目的是通过信息安全管理体系、技术体系以及运维体系的综合有效建设，让IT应用系统能够达到更好的运营效果以及更高的效率。而如何综合而有效的建立信息安全保障体系，成为了摆在每个企业面前的课题。
　　
　　合规是重中之重
　　
　　信息安全标准是确保信息安全产品和系统在设计、研发、生产、建设、使用和测评过程中保持一致性、可靠性、可控性、先进性和符合性的技术规范和依据，其不仅关系到国家的信息安全，也是保护国家利益、促进产业发展的一种重要手段，同时更是信息安全保障体系中的重要组成部分，是政府进行宏观管理的重要依据。
　　我国在这方面虽然起步较晚，但也制定了一批符合中国国情的信息安全标准，同时在一些重点行业还颁布了一批信息安全的行业标准，尤其是国家等级保护制度和分级保护制度是我国在进行信息安全保障体系建设中的重要依据。
　　因此，企业只有在信息安全保障体系建设过程中依据相关标准进行合规性分析，通过安全风险评估，然后比对相关标准中所涉及的技术要求、管理要求、测评要求，才能明确得出建设的方向和重点，了解目前系统中存在的问题和改进的方法，同时明确在管理、部署和运维过程中信息安全管理的相关制度、流程和需要持续改进的目标。
　　此外，相关标准还为企业明确了进行信息安全保障体系建设的方法，只有遵循这种方法才能做到“有法可依、有章可循”。
　　
　　安全咨询是桥梁
　　
　　前面提到，信息安全建设的主要目的是让IT应用系统能够达到更好的运行效果，并提高系统的运行效率，也就是说，要让信息安全保障体系成为IT应用系统的有效支撑。然而，不同政府或企业的具体业务环境和流程各不相同，所以也不是每个政府或企业都可以使用一个统一的模板。不同的组织在建立与完善信息安全保障体系时，必须根据自己的业务特点和具体情况以及IT应用的实际情况，采取不同的步骤和方法。此外，还要注意，信息安全不仅涉及安全管理和技术层面的问题，还会涉及到治理机制、业务流程、人员管理、企业文化等内容。
　　这就使得，企业要运用风险的方法来决定信息安全体系建设的目标和步骤。这个过程实际上是需要专业资深的安全服务人员对目标的业务特点、IT应用实际情况和具体管理方式进行现场调研、符合性分析、相关的风险评估等操作的，尤其是对关键业务应用的深入了解和分析，只有这样才能与标准比对形成安全基线和框架参考。
　　而且，在建设过程中，还要不断与相关负责人（决策人员、安全管理员、网络安全维护人员）进行深入沟通，以便发现安全隐患、找出关注重点，并提出有效的策略建议，最终才能运用风险的方法来决定体系建设的目标和步骤，并一步一步实施完成。通过这一点我们不难看出，信息安全咨询贯穿于整个信息安全体系建设的过程中，是联系实际需求和建设目标的桥梁。
　　
　　实际落地是关键
　　
　　信息安全技术体系是利用技术手段实现了技术层面的安全保护，是整个信息安全保障体系中非常重要的一部分。很多政府和企业都部署过一些技术防护手段，但这些防护手段是不是符合相关标准和关键业务的需求，是不是把风险控制到了一个可控的水平，我们就不得而知了。
　　因此，在信息安全保障体系建立过程中，一定要依照标准来选择技术防护手段，同时实现技术手段的落地是关键。而要实现技术手段的落地，就要兼顾以下几点：选择的技术产品要满足政府或企业实际环境、IT应用和管理流程制度等客观条件；选择的技术产品要具有易维护、管理简便的特点，并要能够保持先进性；选择的技术产品要能够满足应用变化的需要，并适应技术的不断发展。即保障可用性、适用性和持续性。
　　
　　安全意识是必须
　　
　　在很多政府部门和企业中普遍存在这样一个问题，仿佛信息安全只是IT部门的事情，其他业务部门大多采取了“事不关己，高高挂起”的态度，这势必会造成安全天天喊，但是总没有明显效果的局面。
　　可以说，建设信息安全保障体系是企业内的一次“安全革命”，通过培训，不仅仅要让每个人都提高对安全事件处理的管理水平和技术水平，更重要的是让每个人都拥有“信息安全人人有责”的意识。
　　同时，这场“安全革命”给企业带来了新的知识和管理模式，企业必须通过培训将整个信息安全保障体系的相关知识转移到每位员工身上，让他们对整个体系逐步达到从接受到适应，再到最终掌握。只有这样才能让整个信息安全保障体系真正应用起来，并真正起到效果。
　　
　　运维平台是手段
　　
　　在IT产品的整个生命周期中，运营阶段占到了整个时间和成本的70%到80%，以往我们说“三分技术、七分管理”是突出管理的重要性，而这个“管理”也是将大部分的精力花在了“运营”方面。目前，很多政府部门和企业都是采用了人工运维，并没有一个平台能够将运维流程和技术手段真正统一起来。
　　综合运维安全管理平台就是一个集中安全策略管理、安全风险管理、安全知识管理、安全运营管理（关注流程和质量）、安全产品管理于一体的统一安全管理平台。从技术实现上，这个统一的安全管理平台不仅仅像SOC/SIM那样关注安全事件以及安全产品状态的收集和监控，而且是一个面向服务架构的平台，并能从根本上实现各种安全产品和技术以及安全管理的集成化和自动化。