目前，很多企事業(yè)單位已經(jīng)具備了比較完善的安全基礎(chǔ)設(shè)施，但各個(gè)安全設(shè)備之間還是處于一種離散的、獨(dú)立“作戰(zhàn)”的狀態(tài)，因此必須通過(guò)對(duì)業(yè)務(wù)系統(tǒng)安全防護(hù)的建模，從安全防護(hù)、安全監(jiān)控、安全運(yùn)維三個(gè)維度，融合人員、流程、平臺(tái)于一體，構(gòu)建立體化的安全保障體系，才能夠提升企事業(yè)單位信息系統(tǒng)安全防護(hù)水平，滿(mǎn)足業(yè)務(wù)系統(tǒng)對(duì)安全的需求。

設(shè)計(jì)思路

具體來(lái)說(shuō)，企事業(yè)單位需求通過(guò)詳細(xì)的調(diào)研，基于現(xiàn)有的安全基礎(chǔ)設(shè)施，通過(guò)為業(yè)務(wù)系統(tǒng)安全防護(hù)建模，整合業(yè)務(wù)系統(tǒng)自身安全防護(hù)、邊界安全防護(hù)、網(wǎng)絡(luò)訪(fǎng)問(wèn)控制、動(dòng)態(tài)監(jiān)控為一體，實(shí)現(xiàn)信息系統(tǒng)安全的可管、可視、可信。

其中，可管分為三個(gè)方面，***方面是技術(shù)的可管，包括KPI指標(biāo)的管理、基線(xiàn)的管理等；第二方面是人員的可管，包括人員的調(diào)度、績(jī)效等；第三方面是設(shè)備的可管。可視主要指系統(tǒng)可用性和安全事件的可視化。可信是指以業(yè)務(wù)系統(tǒng)安全為單位的一體化安全防護(hù)。

實(shí)現(xiàn)方法與步驟

企事業(yè)單位構(gòu)建信息系統(tǒng)安全保障體系的核心思想是：基于業(yè)務(wù)系統(tǒng)安全建模，構(gòu)建一體化的安全防御體系，實(shí)現(xiàn)可信、可視、可管的安全保障體系。具體來(lái)說(shuō)，可以通過(guò)以下三個(gè)步驟來(lái)實(shí)現(xiàn)。

***步：通過(guò)對(duì)業(yè)務(wù)系統(tǒng)的梳理，明確業(yè)務(wù)系統(tǒng)的性質(zhì)，理清業(yè)務(wù)系統(tǒng)之間的關(guān)系。

清晰描述業(yè)務(wù)系統(tǒng)的作用、功能、使用單位、使用范圍、***責(zé)任人、安全等級(jí)。

清晰統(tǒng)計(jì)組成業(yè)務(wù)系統(tǒng)的IT資產(chǎn)，包括：服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、中間件、數(shù)據(jù)庫(kù)等。

清晰描述業(yè)務(wù)系統(tǒng)物理連接與邏輯連接之間的關(guān)系。

清晰描述此業(yè)務(wù)系統(tǒng)與其他業(yè)務(wù)系統(tǒng)之間的關(guān)系，包括彼此之間的訪(fǎng)問(wèn)關(guān)系、資產(chǎn)共用關(guān)系等。

第二步：通過(guò)對(duì)業(yè)務(wù)系統(tǒng)安全診斷，明確業(yè)務(wù)系統(tǒng)的安全防護(hù)狀態(tài)與安全監(jiān)控狀態(tài)。

業(yè)務(wù)系統(tǒng)自身安全狀況，包括：身份認(rèn)證、審計(jì)、訪(fǎng)問(wèn)控制、保密性、完整性、物理安全。

業(yè)務(wù)系統(tǒng)邊界防護(hù)狀況，包括：訪(fǎng)問(wèn)控制、安全審計(jì)、協(xié)議過(guò)濾、邊界完整性。

網(wǎng)絡(luò)通信安全狀況，包括：通信認(rèn)證、審計(jì)、保密性、完整性。

業(yè)務(wù)系統(tǒng)安全監(jiān)控狀況，包括：業(yè)務(wù)系統(tǒng)運(yùn)行狀態(tài)監(jiān)控、業(yè)務(wù)系統(tǒng)自身安全狀況監(jiān)控、邊界安全監(jiān)控、通信安全監(jiān)控。

第三步：通過(guò)安全運(yùn)維管控平臺(tái)，呈現(xiàn)安全防護(hù)與監(jiān)控狀態(tài)，實(shí)現(xiàn)“兩個(gè)融合”。

構(gòu)建一體化運(yùn)維體系，實(shí)現(xiàn)兩個(gè)融合，即構(gòu)建基于業(yè)務(wù)的可管、可視、可信的安全保障體系，實(shí)現(xiàn)靜態(tài)防護(hù)與動(dòng)態(tài)監(jiān)控的融合，實(shí)現(xiàn)安全管理與安全技術(shù)的融合。

通過(guò)安全運(yùn)維管控平臺(tái)，呈現(xiàn)業(yè)務(wù)系統(tǒng)的安全防護(hù)狀態(tài)。

業(yè)務(wù)系統(tǒng)自身安全防護(hù)狀態(tài)，包括：身份認(rèn)證、審計(jì)、訪(fǎng)問(wèn)控制、保密性、完整性。

業(yè)務(wù)系統(tǒng)邊界安全防護(hù)狀態(tài)，包括：訪(fǎng)問(wèn)控制、安全審計(jì)、協(xié)議過(guò)濾、邊界完整性。

網(wǎng)絡(luò)通信安全狀況，包括：通信認(rèn)證、審計(jì)、保密性、完整性。

通過(guò)安全運(yùn)維管控平臺(tái)，呈現(xiàn)業(yè)務(wù)系統(tǒng)的安全運(yùn)行狀態(tài)。

業(yè)務(wù)系統(tǒng)安全監(jiān)控狀況，包括：業(yè)務(wù)系統(tǒng)運(yùn)行狀態(tài)監(jiān)控、業(yè)務(wù)系統(tǒng)自身安全狀況監(jiān)控、邊界安全監(jiān)控、通信安全監(jiān)控。

從另一個(gè)角度來(lái)衡量，即業(yè)務(wù)系統(tǒng)可用性監(jiān)控、業(yè)務(wù)系統(tǒng)基礎(chǔ)設(shè)施監(jiān)控、業(yè)務(wù)訪(fǎng)問(wèn)行為監(jiān)控、異常行為監(jiān)控、運(yùn)維行為監(jiān)控。

通過(guò)安全運(yùn)維管控平臺(tái)，實(shí)現(xiàn)“兩個(gè)融合”。

實(shí)現(xiàn)安全技術(shù)與安全管理的融合：安全技術(shù)包括安全監(jiān)控與安全防護(hù)技術(shù)；安全運(yùn)維管控平臺(tái)承載安全運(yùn)維流程，安全流程由安全管理演變而來(lái)；通過(guò)安全運(yùn)維管理平臺(tái)，響應(yīng)安全監(jiān)控事件，觸發(fā)安全運(yùn)維流程，執(zhí)行安全防護(hù)策略。

實(shí)現(xiàn)安全監(jiān)控與安全防護(hù)的融合：通過(guò)數(shù)據(jù)采集點(diǎn)，對(duì)信息系統(tǒng)進(jìn)行全面監(jiān)控，將采集數(shù)據(jù)上傳安全運(yùn)維管控平臺(tái)，安全運(yùn)維管控平臺(tái)將海量數(shù)據(jù)進(jìn)行關(guān)聯(lián)分析，實(shí)現(xiàn)安全事件準(zhǔn)確呈現(xiàn)；安全運(yùn)維管控平臺(tái)響應(yīng)安全監(jiān)控事件，執(zhí)行安全運(yùn)維流程，下發(fā)安全防護(hù)策略。

總之，通過(guò)為業(yè)務(wù)系統(tǒng)安全建模，明確業(yè)務(wù)系統(tǒng)安全防護(hù)、安全監(jiān)控、安全管理的現(xiàn)狀，以及它們之間的聯(lián)系。以安全運(yùn)維管控平臺(tái)為載體，呈現(xiàn)業(yè)務(wù)系統(tǒng)的安全防護(hù)、監(jiān)控、管理的現(xiàn)狀，并通過(guò)梳理，在平臺(tái)上構(gòu)建三者之間的邏輯關(guān)系。從而實(shí)現(xiàn)PDCA閉環(huán)流程，即安全運(yùn)維管控平臺(tái)→響應(yīng)安全監(jiān)控事件→觸發(fā)安全運(yùn)維流程→執(zhí)行安全防護(hù)策略→安全監(jiān)控→安全運(yùn)維管控平臺(tái)，達(dá)到業(yè)務(wù)系統(tǒng)安全防護(hù)的持續(xù)優(yōu)化。