大型企业信息安全体系架构设计初探


© 1994-2010 China Academic Journal Electronic Publishing House. All rights reserved. http://www.cnki.net 第 31 卷第 6 期 2008 年 12 月 勘探地球物理进展 Progress in Exploration Geophysics Vol. 31 ,No. 6 Dec. ,2008 收稿日期 :2008209220 ;改回日期 :2008210212。 第一作者简介 :罗革新(1966 —) ,男 ,高级工程师 ,从事企业信息化、 信息系统与信息安全体系建设、知识管理 ,及石油勘探开发软件平 台、软件体系结构与模式、软件工程与 IT 项目管理等工作。 文章编号 :167128585 (2008) 0620471208 大型企业信息安全体系架构设计初探 罗革新 ,吕增江 ,崔广印 ,鲍天祥 ,王振欣 ,于普漪 (中国石油集团东方地球物理勘探有限责任公司信息技术中心 ,北京 100007) 摘要 :随着信息技术的发展和应用的不断深入 ,信息安全日益受到国家、企业和社会公众的关注。中国政府已经 提出了构建国家信息安全保障体系的设想 ,明确了政府、企业和公民各自应承担的责任与义务。企业的信息安 全工作 ,主要关注点是如何保障信息技术应用和防止企业商业秘密泄露。同时 ,大型企业特别是地理位置分布 广泛的企业集团 ,在信息安全方面存在很多难点。分析了国内、国际信息安全现状和发展趋势 ,概述了 Gartner 的企业信息安全体系架构设计思想和国内大型企业面临的信息安全需求 ;从管理、技术、控制三个视角和概念、 逻辑、实现三个层面阐述了构建企业信息安全体系架构的概念、内容和方法 ,提出了一种大型企业信息安全体系 架构模型 ———MCT(管理2控制2技术) 模型 ;针对大型企业实际情况 ,陈述了如何应用 MCT 模型进行信息安全体 系架构设计 ;最后给出了一套可实施的从设计层到实现层的转换方法 ,即以项目为单位来组织具体的信息安全 体系建设工作。 关键词 : 信息技术 ;信息安全 ;信息系统 ;信息技术基础设施 ;信息安全体系架构 中图分类号 : TP393. 08 文献标识码 :A   随着信息技术的发展及信息技术在企业生产 和经营管理等方面的广泛、深入应用 ,企业越来越 依赖网络和信息系统。而不时发生的病毒侵袭、黑 客攻入和敏感机密信息被窃取事件 ,使得信息安全 保障工作日益重要并倍受人们关注。中国信息化 办公室专家委员会常务委员曲成义指出 ,我国网络 信息安全入侵事件态势严竣 ,互联网信息安全威胁 的新动向值得关注 ,比如谍件泛滥值得严重关注 , 网络钓鱼的获利动机明显 ,DDoS 开始用于敲诈 , 木马潜伏孕育着杀机 ,获利和窃信倾向正在成为信 息安全事件的主流 ,等等。归结原因 ,包括 :内控机 制尚显脆弱 ,强审计机制不够落实 ,风险评估意识不 够强 ,高危漏洞潜在 ,信息安全域界定与等级保护待 探索 ,灾难恢复尚不到位 ,缺少对“分发式威胁”的警 惕和治理 ,信息安全集成管理有待加强 ,等等。 随着美国萨班斯法案的发布和内控要求的提 升 ,对在美上市公司财务风险控制提出了更高要 求 ,促使全球各大企业近年来纷纷加大信息安全建 设力度以满足合规性要求。中国政府也非常重视 信息安全保障工作 ,政府有关部门从国家安全和行 政监管角度正在抓紧立法和标准制定工作 ,并明确 提出了建设国家信息安全保障体系的构想 ,政府、 企业和公民在建设国家信息安全保障体系中各自 承担不同的责任。构建国家信息安全保障体系已 经提高到国家信息化发展战略层面 ,大型企业设计 合理的信息安全体系架构 ,建立完整的信息安全保 障体系不但必要 ,而且非常紧迫。本文基于笔者参 加中国石油“十一五”信息技术总体规划和信息安 全总体规划编制工作的经验 ,以及工作期间与 IBM 、毕博、埃森哲和 Gartner 等公司资深信息安 全专家进行交流的心得 ,初步探讨了大型企业信息 安全体系架构的设计问题。 1  国家信息安全保障体系相关工作 情况   中国政府高度重视国家信息安全保障体系建 设工作。国家信息化领导小组 2003 年发布的《国 家信息化领导小组关于加强信息安全保障工作的 意见》(中办发 27 号文) 提出 :“立足国情 ,以我为 主 ,坚持管理与技术并重 ;正确处理安全与发展的 关系 ,以安全保发展 ,在发展中求安全 ;统筹规划 , 突出重点 ,强化基础性工作 ;明确国家、企业、个人 的责任和义务 ,充分发挥各方面的积极性 ,共同构 筑国家信息安全保障体系”,并从“实行信息安全等 级保护”和“加强信息安全法制建设和标准化建设” 等方面对信息安全保障工作提出了指导意见。中 共中 央 办 公 厅、国 务 院 办 公 厅 2006 年 发 布 的 《2006 —2020 年国家信息化发展战略》提出要提升 信息安全保障水平的战略目标 ,使我国在这个时期 © 1994-2010 China Academic Journal Electronic Publishing House. All rights reserved. http://www.cnki.net 内信息安全的长效机制基本形成 ,国家信息安全保 障体系较为完善 ,信息安全保障能力显著增强。 在标准与立法方面 ,国家先后出台了一系列法 律法规 ,包括《中华人民共和国计算机信息系统安 全保护条例》[1 ] 、《中华人民共和国电子签名法》等 , 也包括国务院颁布的行政法规 ,公安部、国信办等 中央部委颁布的部门规章以及由地方人民政府发 布的地方性行政规章。这些法律法规对信息安全 涉及的内容和法律措施等作出了明确的界定。 近年来 ,国家大力推动信息安全等级保护工 作 ,陆续出台了《计算机信息系统安全保护等级划 分准则》( GB17859 —1999) 等标准[2 ] ,2007 年国家 四部委下发《关于印发〈信息安全等级保护管理办 法〉的通知》(公通字[2007 ]43 号) [3 ] 明确指出 :“国 家通过制定统一的信息安全等级保护管理规范和 技术标准 ,组织公民、法人和其他组织对信息系统 分等级实行安全保护 ,对等级保护工作的实施进行 监督、管理”,在提高信息安全意识、落实信息安全 责任、提高信息安全保障能力等方面起到了积极作 用。同时 ,国家还设立了一批信息安全专业机构 , 如“国家计算机网络应急技术处理协调中心”、“中 国信息安全产品测评认证中心”、“公安部计算机信 息系统安全产品质量监督检验中心”等 ,我国信息 安全组织保障体系正在逐步完善。 在信息安全技术研究方面 ,《信息产业科技发 展“十一五”规划和 2020 年中长期规划纲要》中明 确把信息安全技术作为未来优先发展的重点技术 之一 ,主要包括 :密码技术、安全处理芯片技术、电 子认证、应急响应和灾难恢复技术、信息安全测评 技术等。在信息安全人才体系建设上 ,相关的高校 和科研院所陆续开设了信息安全专业 ,一些高校还 拥有密码学专业和信息安全专业的博士点和硕士 点。目前 ,我国信息安全专业教育已基本形成了正 规高等教育人才培养体系。 图 1  国家信息安全保障体系框架 对于构建国家信息安全保障体系 ,曲成义研究 员提出了中国国家信息安全保障体系框架 (图 1) 和行业信息安全保障体系框架 (图 2) 。国家层面 涵盖了信息安全立法、行政监管、产品与技术研发、 人才培养和基础设施建设等方面 ,行业层面应关注 安全工程和服务。 图 2  行业信息安全保障体系框架 总体上看 ,国家信息安全保障体系已经开始建 立 ,但在信息安全法律、标准、技术和人才体系建设 等方面还存在一些亟待解决的问题 ,如缺乏专门的 信息安全基本法 ,信息安全标准制定工作依然落 后 ,信息安全关键技术和产品受制于人等。此外 , 国内各大企业的信息安全工作水平参差不齐 ,绝大 多数企业没有确立完整的信息安全体系架构 ,在国 家政策落实和主动防御方面也较国外有较大差距。 2  大型企业信息安全体系建设需求 我国大型企业为突出发展主营业务 ,全面增强 市场竞争和可持续发展能力 ,都不断加大对信息化 建设的投入力度 ,也取得了显著成效 ,基本建成了 企业网络系统和电子邮件、企业门户、视频会议等 基础应用 ,并实施了 ERP ,CRM 等管理应用系统 和生产过程控制的专业应用系统。在信息安全方 面 ,各企业也做了很多基础性工作 ,包括 : ①采用成 熟、实用、可靠的技术 ,建立一系列保障信息网络安 全的设施和系统 ,如防火墙、入侵检测、防病毒系统 等 ; ②适时制定信息安全方面的规章制度 ,并通过 规章制度的贯彻执行 ,落实信息安全责任制等。 随着信息技术的广泛应用 ,信息系统集中化程 度不断提高 ,对业务的支撑作用越来越显著 ,一旦 发生信息安全事件对企业造成的经济损失和社会 影响都将非常巨大。但各大型企业大都具有规模 庞大、分支机构地域分布广、业务复杂多样等特点 , 企业信息系统存在较多安全隐患 ,易遭受攻击 ,信 息安全风险与日俱增 ,单靠采用一些独立、分散的 信息安全措施已经无法满足其实现综合、纵深安全 防护的迫切需求。因此 ,大型企业亟需制定完善的 信息安全政策方针 ,规划并建立符合企业实际情况 274 勘探地球物理进展 第 31 卷 © 1994-2010 China Academic Journal Electronic Publishing House. All rights reserved. http://www.cnki.net 的信息安全体系架构 ,完善信息安全相关管理制度 与规范 ,采用先进的技术手段 ,加强信息安全风险 控制能力 ,提高员工信息安全意识 ,全面提高信息 安全保障能力 ,支撑企业核心业务的健康发展。 3  国际信息安全领域进展情况 3. 1  国际信息安全发展趋势 进入 21 世纪以来 ,世界各个国家和地区高度 重视信息安全的发展 ,美国、俄罗斯、欧盟、日本等 相继制定了信息安全的法律法规 ,明确关键基础设 施面临的威胁 ,确定信息安全目标和范围 ,制定信 息安全基础设施保障框架 ,加紧关键技术研究 ,加 强技术标准制定与立法管理等相关工作。信息安 全已成为世界发达国家安全战略的重要组成部分。 据 Gartner 分析 ,当前国际大型企业在信息安 全领域主要有如下发展趋势 : 1) 信息安 全投资 从 基 础 架 构 向 应 用 系 统 转移 ; 2) 信息安全的重心从技术向管理转移 ; 3) 信息安全管理与企业风险管理、内控体系 建设的结合日益紧密 ; 4) 信息技术逐步向信息安全管理渗透。 结合大型企业信息安全发展趋势 ,国际各大咨 询公司、厂商等机构纷纷提出了符合大型企业业务 和信息化发展需要的信息安全体系架构模型 ,着力 建立全面的企业信息安全体系架构 ,使企业的信息 安全保护模式从较为单一的保护模式发展成为系 统、全面的保护模式。 3. 2  Gartner 企业信息安全体系架构[ 4] Gartner 将企业信息安全体系架构视为企业 进行信息安全管理的指南 ,用于在企业内部以一致 的方式记载和交流信息安全管理成果。Gartner 基于其企业信息安全体系架构实践和对信息安全 管理的深入理解 ,提出了企业信息安全体系架构 ( EISA) 模型 (图 3) [5 ] 。Gartner 认为 ,要建立 EI2 SA ,必须给组织提供某种机制 ,使得组织能够充分 利用通用的原则和最佳实践 ,将信息安全的业务 需求转换成可操作的信息安全和风险管理解决 方案 。 Gartner 建议 EISA 架构应包括业务、信息和 技术三个视角和概念层、逻辑层和实现层三个层 面。其中业务视角包括信息安全组织和流程 ,信息 视角包括执行信息安全职能所需要的各类信息 ,技 术视角包括基础设施的安全架构、安全服务架构和 应用安全架构 ,定义了实现安全需求的软硬件配 置。概念层描述相对抽象的意图、目标、特性和模 型 ,在相当长的时期内保持稳定 ;逻辑层详细描述 在对环境、资源等进行各种可能的选择分析和权衡 基础上确定的实现概念层目标的各种思想、方法、 技术、设计 ;实现层描述实现概念层目标和逻辑层 设计的具体模型。 图 3  Gartner 企业信息安全体系架构 4  企业信息安全体系架构模型 Gartner 从业务、信息和技术三个视角来阐述 企业信息安全体系架构模型 ,并从概念、逻辑和实 现层三个层次来展现不同视角的关注点 ,以体系架 构的方式展现了一个企业信息安全体系架构模型。 中国企业尤其是大型企业信息安全体系架构的建 374第 6 期 罗革新等1 大型企业信息安全体系架构设计初探 © 1994-2010 China Academic Journal Electronic Publishing House. All rights reserved. http://www.cnki.net 立 ,在借鉴国际先进经验的同时 ,须结合企业的实 际需求 ,严格落实国家在信息安全保障体系方面的 相关规定 ,落实国家信息安全等级保护中提出的从 管理和技术两个方面提高信息安全保障能力的要 求。因此 ,我们提出从管理、技术和控制三个视角 与概念层、逻辑层和实现层三个层次构建企业信息 安全体系架构模型。 4. 1  企业信息安全体系架构的三个视角 企业信息安全体系的建立是为了保障业务运 作。我们从企业的可实施角度 ,在企业信息安全体 系架构实践的基础上 ,结合对信息安全管理的理 解 ,提出从管理、技术和控制三个视角来综合考虑 企业信息安全体系的构建 ,如图 4 所示。 1) 管理视角 ,关注企业的信息安全管理架构。 信息安全管理架构描述企业信息安全工作如何开 展 ,信息安全管理职能如何与企业内的其他业务职 能沟通协作 ,实现对信息安全的有效管理。如同企 业内的其它业务管理架构一样 ,信息安全管理架构 应包括组织、流程、管理制度三个要素。 2) 控制视角 ,关注企业的信息安全控制架构。 信息安全控制架构全面描述了企业信息安全对业 务运作过程的要求 ,业务运作对信息安全技术的要 求 ,以及网络和信息系统所采用的保护方式。 3) 技术视角 ,关注企业的信息安全技术架构。 信息安全技术架构从技术角度描述了企业信息技 术基础设施和应用系统的安全保护措施 ,包括应用 安全架构、信息安全服务架构、信息技术基础设施 安全架构 3 个方面。 图 4  企业信息安全体系架构的三个视角   企业信息安全体系架构的三个视角是相互联 系、相互合作的 ,由此构成一个有机融合的整体。 信息安全管理架构包含信息安全风险管理的流程、 信息安全管理的职责和相应的信息安全制度 ,使企 业能够正确地评价信息系统所面临的安全风险 ,并 根据等级保护的基本要求 ,选择和实施合理的安全 控制 ,从而实现对信息系统的等级保护。信息安全 控制架构规范了对企业信息系统的基本保护要求 , 包括两个方面 :一方面 ,该架构建立在对风险合理 预期基础之上 ,同时也是信息安全风险管理的成 果 ;另一方面 ,该架构是企业进行信息安全需求分 析并确定安全控制的重要工具 ,是信息安全风险管 理的输入。信息安全技术架构描绘了企业基础设 施和应用的信息安全架构 ,以及信息安全服务的架 构 ,是控制架构中技术控制要求的实际实现。 4. 2  企业信息安全体系架构的三个层次 企业信息安全体系架构必须能够指导企业将 信息安全的战略和业务的要求转换成可操作的信 息安全风险管理实践。在实现信息安全目标的过 程中 ,不同层级的管理和实施者关心不同详细程度 的信息。因此从概念层 ,逻辑层和实现层三个层次 来考虑企业信息安全体系架构就显得更加重要并 具有可操作性 ,如图 5 所示。 1) 概念层 ,定义了信息安全体系架构的概念 模型。概念模型由概念要素组成 ,包含目标和特 征 ,是高度抽象的模型 ,在较长的时间内保持稳定。 474 勘探地球物理进展 第 31 卷 © 1994-2010 China Academic Journal Electronic Publishing House. All rights reserved. http://www.cnki.net 概念模型为规划者所关心 ,阐述了实现企业信息安 全战略目标所需要的管理、控制和技术组件。 图 5  企业信息安全体系架构的三个层次 2) 逻辑层 ,定义了信息安全体系架构的逻辑 模型。逻辑模型由功能逻辑元素组成 ,描述了如何 通过功能逻辑元素及元素间的合作关系来实现概 念模型要求的目标和特征 ,与具体的资源和产品无 关。逻辑模型为设计者所关心 ,是在环境、资源、各 种可能选择分析和权衡基础上确定的实现概念层 目标的各种思想、方法、技术和设计。 3) 实现层 ,定义了信息安全体系架构的实施 模型。实施模型由具体的物理实现元素组成 ,描述 用什么资源和产品来实现逻辑设计方案 ,解决部署 和配置等方面问题。实施模型涉及具体的资源、产 品 ,为构建者所关心 ,是概念层目标和逻辑层设计 的具体实现。 概念层、逻辑层和实现层之间的关系是 :上层 模型指导下层模型 ,下层模型是上层模型的细化和 实现。通过这种内在的指导和实现关系 ,信息安全 体系架构提供了将业务对信息安全的要求转换成 具体的信息安全控制方案的工具。 4. 3  企业信息安全体系架构模型 信息安全体系架构是企业信息安全建设和运 作的蓝图 ,是企业构建信息安全保障体系的核心内 容。通过对企业信息安全体系架构的描述 ,以及在 企业内部进行广泛的宣传与推广 ,可以帮助企业规 范信息安全的管理、建设和运作 ,提高信息安全的 整体保障水平。最重要的是 ,企业信息安全体系架 构提供了一种将业务对信息安全的需求转换成可 操作的信息安全和风险管理解决方案的机制。因 此 ,我们根据上述三个视角、三个层次的建设理念 , 提出 MCT(管理、控制和技术) 企业信息安全体系 架构模型 ,如图 6 所示。 该信息安全体系架构模型从企业信息安全风 险管理的角度出发 ,构建了组织、人员、信息安全流 程、制度和标准规范、基于等级保护的安全控制基 本要求体系、基础设施与应用的安全架构 、共享信 图 6  MCT 企业信息安全体系架构模型 574第 6 期 罗革新等1 大型企业信息安全体系架构设计初探 © 1994-2010 China Academic Journal Electronic Publishing House. All rights reserved. http://www.cnki.net 息安全服务等关键要素 ,强调从组织、人员技能、流 程、基础设施、标准规范等 5 个方面实现信息安全 体系的核心功能 ,规划了以等级保护为基础的控制 架构 ,以符合国家关于信息安全保障体系与等级保 护的要求。 5  企业信息安全体系架构设计 MCT 模型提出了企业信息安全体系架构的 设计思想 ,对体系架构的管理、控制和技术三个视 角 ,概念、逻辑和实现三个抽象层次 ,以及对应的架 构内容进行了描述和论证 ,并说明了企业在信息安 全建设中如何应用和不断完善信息安全体系架构 的基本思路。我们通过分析 MCT 模型中的管理 架构(M) 、控制架构(C) 和技术架构 ( T) ,来设计适 合企业应用的信息安全体系架构。 5. 1  信息安全管理架构设计 随着信息技术与企业管理结合的日益紧密 ,人 在信息技术应用中的作用越来越重要 ,信息安全工 作的重点开始从传统的侧重技术向关注管理转变 , 并有信息安全“三分技术、七分管理”的说法 ,因此 信息安全管理架构的设计和实施就显得尤为重要 , 企业信息安全管理架构的设计可以从组织、流程和 制度三个方面开展[5 ,6] 。 1) 信息安全组织。信息安全组织的核心是信 息安全角色职责 ,它定义和明确了信息安全专业团 队核心职能角色及其相关的职责 ,并以此指导未来 信息安全组织建设、团队建设和能力培养。信息安 全组织设计具体是指根据企业信息安全战略、信息 技术组织结构及组织分布特点进行信息安全专业 组织架构的设计 ,包括设计信息安全组织架构 ,明 确各级信息安全组织的职责与汇报关系 ,同时设计 在各级信息安全组织中承担各项信息安全工作的 岗位及其职责 ,并定义适合其岗位职责的能力要 求等。 2) 信息安全流程。信息安全流程描述企业信 息安全职能的所有业务流程及其关系 ,它识别和定 义了信息安全管理的主要流程以及它们之间的关 系。通过这些流程的设计 ,企业的信息安全职能可 以实现对信息安全风险的识别、减少、监控和响应 , 进行有效的全生命周期管理 ,实现业务对信息安全 的要求。信息安全流程的设计可以包括信息安全 风险管理 ,信息安全检查监督以及信息安全意识、 培训和教育等内容。 3) 信息安全制度。信息安全制度描述与企业 信息安全相关的管理和技术制度的层次结构 ,以及 不同层次的信息安全制度涉及的内容和解决的问 题。信息安全制度设计除应考虑体系的完整性外 , 还应考虑制度体系本身能满足两方面要求 : ①灵活 地更新、修订信息安全制度 ,及时反映信息安全风 险环境动态 ; ②方便与制度使用者之间的沟通 ,确 保信息安全管理和技术人员及用户能够方便地了 解哪些是必须做的 ,哪些是禁止做的。 信息安全制度是规范信息安全管理的基本手 段 ,离开了信息安全制度 ,就缺乏落实信息安全管 理各项要求以及实现信息安全管理目标的手段。 因此 ,信息安全制度设计必须有利于制度的及时更 新 ,反映风险环境和业务需求的变化。一个缺乏更 新的、陈旧的信息安全制度是无法落实的 ,也不能 起到保障企业信息安全目标实现的作用。 信息安全制度是整个企业信息安全体系架构 核心内容在制度、文件形式上的体现 ,其设计可以 从信息安全管理办法、信息安全标准规范以及信息 安全实施细则和操作规程等方面开展。 5. 2  信息安全控制架构设计 MCT 模型的管理、控制和技术三个视角是相 互联系、相互合作的一个有机整体 ,而信息安全控 制则是管理和技术架构能否成功衔接的关键环节。 信息安全控制架构设计可以从信息系统等级划分、 信息安全运作控制和信息安全技术控制三方面来 阐述。 1) 信息系统等级划分。信息系统等级划分描 述了企业信息系统安全等级的划分框架和各安全 等级的正式定义。信息系统安全等级划分包括信 息资产等级、应用系统等级和网络系统等级三个方 面 ,可以分系统识别与划分和等级确定两个阶段来 实施。 2) 信息安全运作控制。信息安全运作控制描 述为了达到不同安全等级的信息系统和信息的安 全目标 ,在企业的业务运作和信息技术运作过程中 需要实施的运作类安全控制的架构 ,包括控制的分 类和控制针对的主要信息安全风险。信息安全运 作控制是相对于技术控制而言的 ,是指主要由人来 执行的那些控制。安全控制的强度应该与被保护 信息系统的安全等级相适应。 3) 信息安全技术控制。信息安全技术控制描 述为了达到各安全等级的信息系统和信息的安全 目标 ,对通用信息技术和信息安全技术需要实施的 技术类安全控制的架构 ,包括控制的分类和控制针 对的主要信息安全风险[7 ] 。信息安全技术控制是 674 勘探地球物理进展 第 31 卷 © 1994-2010 China Academic Journal Electronic Publishing House. All rights reserved. http://www.cnki.net 相对于运作控制而言的 ,是指主要由系统自动完成 的那些安全控制。在信息系统网络层、系统层、应 用层的信息安全技术控制中 ,都包含标识与鉴别、 访问控制等五大类通用技术控制。信息安全技术 控制对必须具备的技术手段、实现机制、控制强度 都作了要求 ,其中控制强度还必须与被保护信息系 统的安全等级相适应。 5. 3  信息安全技术架构设计 信息安全技术架构作为企业信息安全体系架 构的一部分 ,同时也是企业的应用系统架构和信息 技术基础设施架构的组成部分。它包括 :信息技术 基础设施安全架构、信息安全服务架构和应用安全 架构。 信息安全技术架构与应用系统架构、信息技术 基础设施架构的关系如图 7 所示。 图 7  信息安全技术架构与应用系统架构、 信息技术基础设施架构的关系 1) 信息技术基础设施安全架构。信息技术基 础设施是信息传递和系统运行的基础平台 ,信息技 术基础设施安全架构是信息技术基础设施架构的 一部分 ,描述了如何在网络和系统软硬件构成的系 统运行技术架构上建立安全的信息技术环境 ,成为 保障信息安全的基础。 信息技术基础设施安全架构应该以网络安全 架构作为主体 ,并在此基础上结合相应的系统软硬 件进行安全部署和配置。网络安全架构的规划应 该采用功能区域划分的方法 ,根据网络所承载业务 系统的特性与所面临的风险 ,划分不同的网络功能 区域 ,并根据业务的安全需求以及等级保护的要 求 ,结合纵深防御的原则 ,对不同区域之间的信息 访问作出限制。网络功能区域的划分能够对安全 架构的设计起到指导作用 ,而区域间的信息访问限 制也能够成为制定网络安全控制策略的依据。 2) 信息安全服务架构。信息安全服务架构定 义了信息安全体系架构中的安全服务以及各服务 之间的关系。在信息安全技术架构中 ,信息安全服 务定义为保证信息和信息系统安全的一系列技术 功能。信息安全服务架构的设计将参考 PDRR 模 型。在信息保障的概念下 ,PDRR 模型把信息安全 分成保护、检测、反应和恢复四个环节 ,以实现对信 息机密性、完整性和可用性的保护 ,检查并监控系 统仍然存在的安全漏洞 ,对危及安全的事件和行为 及时做出响应和处理 ,当发生安全事故时可以在短 时间内恢复正常运营。 3) 应用安全架构。应用安全架构既是信息安 全技术架构的一部分 ,又是应用系统架构的一部 分。应用安全架构是应用系统的信息安全视角的 体现 ,解决了如何保障应用系统安全的问题。应用 系统建立在信息技术基础设施的基础之上 ,所以应 用系统的信息安全保障更关注已有的信息安全服 务的充分利用 ,并在信息技术基础设施安全架构 上 ,通过在应用系统中实现、集成保障信息安全的 机制 ,满足应用系统的业务流程对信息安全的需 求 ,达到信息安全技术控制的要求 ,从而全方位、全 过程地保障信息安全。 5. 4  信息安全项目设计方法 为了完成信息安全体系架构从设计层到实现 层的转换 ,我们针对上述三个视角的架构给出一套 可实施的方法 ,即以项目为单位来描述具体的信息 安全工作。 5. 4. 1  信息安全项目设计 信息安全项目设计采用基于差距分析的方法 , 通过从管理、控制与技术三个视角分析信息安全现 状与总体架构的差距 ,识别出改进需求 ,并针对改 进需求提出具体的改进措施 ,最终将改进措施归纳 形成项目 ,如图 8 所示。 项目设计方法所依据的信息安全现状来自于 企业在各个信息安全领域的主要发现 ,总体架构则 来自于管理、控制与技术架构的设计。在设计改进 措施的过程中 ,需要考虑到改进措施覆盖的范围、 时间跨度、实施条件的成熟度等 ,遵循全面覆盖、相 对独立和远近结合等原则。项目群实施蓝图设计 方法是基于依赖性关系与优先级分析的方法 ,通过 分析项目间的依赖关系与各项目的优先级顺序确 定最终的项目群实施蓝图 ,如图 9 所示。根据项目 间的输出输入关系与项目实施的前提条件确定项 目间的依赖关系 ,根据项目实施的紧迫性与重要性 确定项目实施优先级顺序。 774第 6 期 罗革新等1 大型企业信息安全体系架构设计初探 © 1994-2010 China Academic Journal Electronic Publishing House. All rights reserved. http://www.cnki.net 5. 4. 2  项目设计思路与原则 项目设计的基本思路是将改进措施按一定的 原则归类组合成可实施的项目。为了确保项目的 可实施性 ,在设计项目时应遵循范围清晰、同类合 并和依赖简化等原则。 6  结论 综上所述 ,信息安全是企业信息化发展到一定 程度后都会面临的问题 ,而建立信息安全体系架构 则可以尽可能多地帮助企业降低信息安全问题带 来的损失。但是 ,即使采取了一定的措施 ,企业内 各种信息安全问题仍然可能发生 ,所以建立信息安 全体系将会是一个长期的过程 ,而不是单纯通过建 立一些制度、规范或采用某些新技术就可以完成的 过程。因此 ,企业信息安全体系建设应该与企业业 务和信息化建设协调发展 ,企业信息安全体系必须 针对其自身业务发展和信息化建设的需要而建立。 同时 ,信息安全体系应该是一个开放的体系 ,具有 持续改进的能力 ,能够随着业务和信息技术的发展 不断自我完善。 参  考  文  献 1  中华人民共和国国务院 147 号令. 中华人民共和国计 算机信息系统安全保护条例 [ EB/ OL ]. (1994202218) [ 2008210204 ]. http :/ / www. tc260. org. cn/ infoViewF. jsp 2  国家质量技术监督局. GB 17859 —1999 计算机信息系 统安全保护等级划分准则 [ EB/ OL ]. (1999209213) [ 2008210204 ]. http :/ / www. ga. dl. gov. cn/ djbh/ GB17859 —1999. doc 3  公安部 ,国家保密局 ,国家密码管理局 ,等. 关于印发 《信息安全 等 级保 护 管 理 办法》的通 知 [ EB/ OL ]. (2007206222 ) [ 2008209217 ]. http :/ / www. gov. cn/ gzdt/ 2007207/ 24/ content_694380. htm 4  Gartner Inc. Structure and content of an enterprise in2 formation security architecture : Gartner research [ EB/ OL ]. ( 2006201226 ) [ 2008209218 ]. http :/ / egovstan2 dards. gov. in/ egs/ eswg5/ enterprise2architecture2 working2group2folder/ gartners2reports/ structure_and_ content_of_an__136867. pdf 5  ISO/ IEC 27001 :2005. Information technology —Secur2 ity techniques —Information security management sys2 tems [ EB/ OL ]. ( 2005210214) [ 2008210204 ]. http :/ / www. iso. org/ iso/ catalogue _ detail ? csnumber = 42103    6  ISO/ IEC 27002 :2005. Information technology —Secur2 ity techniques —Code of practice for information secur2 ity management[ EB/ OL ]. [2008210204 ]. http :/ / www. iso. org/ iso/ search. htm ? qt = 27002 &published = on &active_tab = standards 7  ISO/ IEC 27005 :2008. Information technology —Secur2 ity techniques —Information security risk management [ EB/ OL ]. (2008206204) [ 2008210204 ]. http :/ / www. iso. org/ iso/ iso_catalogue/ catalogue_tc/ catalogue_de2 tail. htm ? csnumber = 42107 (编辑 :戴春秋) 874 勘探地球物理进展 第 31 卷 © 1994-2010 China Academic Journal Electronic Publishing House. All rights reserved. http://www.cnki.net and technical supports for 32D seismic data acquisition in com2 plex surface area. Keywords : multi2resolution data organization ; view2dependent level2of2detail (LOD) ,dynamic data management Li Fengchun , Geophysical Prospecting Research and Develop2 ment Center of B GP CNPC ,Zhuozhou 072750 ,China Multi2graphic2layer and multi2buffer technology in logging tool2 kit. Wang Changhong , Tao Chunfeng , Guo Yi. P EG,2008 ,31( 6) : 445~453 22D multi2graphic layer technology is widely used. Multi2 buffer technology is one of the most important technologies in realizing multi2graphic2layer display. In this paper , firstly we briefly described the requirements of the logging data displays and interactive plots manipulation. Then we discussed how some similar foreign graphic toolkits achieve this function. Thirdly ,according to the characteristics of logging toolkit , we proposed some concepts such as graph2layer2set with fixed dis2 play area. Based on these concepts ,we established a new multi2 graphic layer display technology and successfully applied it to the development of logging toolkit. Finally we showed some re2 sults achieved from the logging toolkit. The author described in detail how to put multi2butter technology into practical use. Keywords : multi2buffer ; multi2graphic2layer ; graphic2layer2set ; fixed display area Wang Changhong ,B GP ,CNPC ,Zhuozhou 072750 ,China Central recording system software architecture based on parallel processing model. Mu Qunying , Wang Kun , Zhu GuiDong , Liu Shenghang , Fan Bin , Wei Qi , Wang Hao. PEG, 2008 , 31 ( 6) : 454~456 Central recording system (CRS) is the fundamental part of the new generation seismographs. The software architecture of CRS ,which is based on thread level parallelism ,is studied and designed. Firstly ,the task model is established and CRS is bro2 ken down to different tasks. Secondly ,the thread management , task management ,and real2time scheduling are implemented to take full advantage of multi2core architecture. Simulated experi2 ments show that CRS implementation meets the requirement of the channel capacity :1ms @9000 channels. Keywords : central recording system ; seismograph system soft2 ware ;parallel processing model ;software architecture Mu Qunying ,B GP ,CNPC ,Zhuozhou 072751 ,China Study of seismic acquisition data quality control and management system based on GIS. Li Chengfang , Ma Tao , Wang Tiecheng ,Li Miliang ,Wang Biyu. P EG,2008 ,31( 6) :457~460 The work of seismic data acquisition takes a long period and needs high investment. Sometimes this work is even dan2 gerous to some extent. High quality original seismic data is the base of subsequent researches. And desired original data can be used repeatedly. Because of the complexity of seismic acquisi2 tion operation ,the quality of the acquired data is easily damaged in course of acquisition. If seismic contractors or oil companies could find out these problems timely ,and take proper counter2 measures to fix these problems ,the quality of data can be guar2 anteed and repeating investment can be avoided as well. How to safeguard data quality effectively ? This paper proposed to use the GIS based seismic acquisition data quality control and man2 agement system. This system also provides an effective means for seismic contractors or oil companies to manage seismic pro2 ject teams in any outlying area. Keywords : geographical information system ( GIS) ; seismic ac2 quisition ;quality control ;data transmission ;visualization Li Chengfang , Information Technology Service Center of B GP , CNPC ,Zhuozhou 072751 ,China Component2oriented software architecture for seismic acquisition system. Ding ,Jianqun , Gao Yanlin , Ren Yanyong. PEG,2008 ,31 ( 6) :461~463 KLSeis ,a seismic acquisition software system ,is made up of four series :survey design ,analysis of geological model ,static correction ,and quality control. In order to meet the demands of customer as well as balance maintainability ,feasibility ,usability and performance ,we adopted component2oriented software ar2 chitecture and defined framework and functional components of KLSeis. To lower the difficulty of programming ,implement and improve the scalability of the system ,layer structure is used to define the components. All of the components are divided into three layers :business service layer ,common process layer ,and data layer. The common process layer keeps relatively stable in the life circle. KLSeis has the advantages of clear structure , reusable components ,better feasibility and maintainability. Keywords : software architecture ; component orientation ; layer structure Ding ,Jianqun , Geophysical Prospecting Research and Develop2 ment Center of B GP CNPC ,Zhuozhou 072751 ,China Study of basic entity in PetroChina A1 system. Zeng Qingmeng , Yao Zixiu,Wang Dongmei , Qu Jin , Shi Hao. P EG,2008 ,31( 6) : 464~466 The PCEDM model of PetroChina A1 system is very com2 plex. This paper analyzed and illustrated its model structure ,ta2 ble relationship , and model extendibility with an example of basic entity. The basic entity of PCEDM is related to 19 types of data tables. The relationships between the data tables are complicated. Totally these data tables have more than 500 fields ,and each field has its own meaning. Five means are of2 fered to extend the data model : setting aside reserved2fields , adding new fields ,adding new sub2tables ,and adding new top2 level structure ,and adding new drop2down pick2list. The results are helpful for understanding and refining PCEDM model. Keywords : data model ; data table ; relationship ; structure ; ex2 tendibility Zeng Qingmeng ,Beijing Richfit Information & Technology Co Ltd ,Beijing 10007 ,China Computer resource management and its application in petroleum exploration field. Zhang Tianlei , Cao Banggong , Wang Weiping , Jiang Duoyuan. P EG,2008 ,31( 6) :467~470 Computer resource management system plays an important role in petroleum exploration field. This paper discussed the structure and functions of computer resource management sys2 tem based on a resource management platform in use. The au2 thor illustrated the methods and tools in network management , cluster management , storage management ; user management , and application software management. Keywords : resource management platform ; application system integration ;user management ;project management ;asset man2 agement ;software statistics Zhang Tianlei , Exploration & Production Research Institute , SINOPEC ,Beijing 100083 ,China Design of information security architecture of large2scalar enter2 prise. Luo Gexin , Lü Zengjiang , Cui Guangyin , Bao Tianxiang , Wang Zhenxin ,Yu Puyi. PEG,2008 ,31( 6) :471~478 With the development and continuously deepening applica2 tion of information technology ,information security has attrac2 ted more and more attentions from states ,enterprises and the general publics. Chinese government has proposed building a national information security system and defined clearly the re2 spective responsibilities and obligations of government , enter2 prises and citizens. In order to enhance the ability of informa2 tion security and comply with laws and regulations ,enterprises must construct a complete information security system. This paper investigated the situations and development trends of do2 mestic and international information security practices and re2 searches ,summed up the experience of Gartner company in en2 terprise information security architecture ,introduced the con2 cepts ,contents and methods to construct enterprise information security architecture in terms of management ,control ,and tech2 nology and from conceptual , logic , and implementation layer levels ,put forward a large2scale enterprise information security architecture model —MCT ( Management2Control2Technology) model ,illustrated the designing of information security archi2 tecture for a large2scalar enterprise with the MCT model ,and finally described a practical conversion method from design to implementation ,that is how to use project2specific units to con2 struct information security system. Keywords : information technology ( IT) ;information security ; information system ; IT infrastructure ;information security ar2 chitecture Luo Gexin , Information Technology Service Center of B GP , CNPC ,Beijing 100007 ,China 2 Progress in Exploration Geophysics 2008
还剩8页未读

继续阅读

下载pdf到电脑,查找使用更方便

pdf的实际排版效果,会与网站的显示效果略有不同!!

需要 20 金币 [ 分享pdf获得金币 ] 0 人已下载

下载pdf

pdf贡献者

chenhb

贡献于2011-08-08

下载需要 20 金币 [金币充值 ]
亲,您也可以通过 分享原创pdf 来获得金币奖励!
下载pdf