王　勇　李　琪

摘要：識(shí)別信息資產(chǎn)的脆弱性和所面臨的威脅，是進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估的前提。文章總結(jié)了常見信息實(shí)體的信息載體和運(yùn)行環(huán)境，提出了通用的信息資產(chǎn)運(yùn)行環(huán)境層次分析模型，可以有效正確識(shí)別各個(gè)層次運(yùn)行環(huán)境的脆弱性和可能面臨的威脅，確認(rèn)已有安全措施，實(shí)現(xiàn)有效風(fēng)險(xiǎn)評(píng)估。

關(guān)鍵詞：信息資產(chǎn)；運(yùn)行環(huán)境；層次分析

一、引言

在進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估之前，首要的任務(wù)是識(shí)別組織中的信息資產(chǎn)。一般會(huì)采用分類的方式給出一個(gè)組織中常見的信息資產(chǎn)，協(xié)助使用者識(shí)別。如按照基于表現(xiàn)形式的資產(chǎn)分類方法將信息資產(chǎn)分為數(shù)據(jù)、軟件、硬件、服務(wù)、文檔、設(shè)備、人員等；或按照德國(guó)IT基線保護(hù)手冊(cè)中的7大類62子類的資產(chǎn)分類方法等進(jìn)行識(shí)別。在識(shí)別出信息資產(chǎn)后，再根據(jù)不同信息資產(chǎn)自身典型脆弱性和典型的威脅為每個(gè)信息資產(chǎn)賦值。采用這種方式，同樣的信息資產(chǎn)，如兩臺(tái)型號(hào)和配置完全相同的電腦，其脆弱性和威脅的賦值一般會(huì)相同。但是，實(shí)際情況是。信息資產(chǎn)在不同的環(huán)境中運(yùn)行，其所遭受的威脅會(huì)完全不同，而脆弱性如果不被威脅利用，將不會(huì)造成安全事件的發(fā)生。信息資產(chǎn)所遭受的威脅，與運(yùn)行環(huán)境密切相關(guān)。而運(yùn)行環(huán)境的安全性又與運(yùn)行環(huán)境所在的環(huán)境相關(guān)?？梢园l(fā)現(xiàn)。信息資產(chǎn)的運(yùn)行環(huán)境是層次環(huán)境。因此，有效的識(shí)別信息資產(chǎn)的層次環(huán)境能夠協(xié)助信息安全分析人員正確識(shí)別資產(chǎn)可能遭受的威脅，從而進(jìn)行有效的風(fēng)險(xiǎn)評(píng)估。

二、層次環(huán)境模型

我國(guó)計(jì)算機(jī)信息系統(tǒng)等級(jí)保護(hù)系列標(biāo)準(zhǔn)指出，等級(jí)保護(hù)是對(duì)信息和信息系統(tǒng)所提供的服務(wù)的保護(hù)，信息安全歸根到底是信息和信息系統(tǒng)服務(wù)的安全。仔細(xì)研究信息或信息系統(tǒng)服務(wù)的工作依賴。會(huì)發(fā)現(xiàn)信息或信息服務(wù)是依賴于某些載體而存在的。而載體又是工作在某些外部環(huán)境中的。如某信息是依賴某應(yīng)用軟件而存在的。而該應(yīng)用軟件又工作于操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、硬件系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、物理環(huán)境系統(tǒng)等之上的；再如搜索引擎提供的搜索服務(wù)，其信息服務(wù)是依賴于搜索引擎應(yīng)用軟件而存在的，而該應(yīng)用軟件又是工作在操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、硬件系統(tǒng)等環(huán)境之上的。再如某交換機(jī)是工作在網(wǎng)絡(luò)和物理運(yùn)行環(huán)境之上的。再如某信息是寫在紙張上的，紙張就是信息的載體，而紙張又是存放在保險(xiǎn)箱這個(gè)環(huán)境中的。因此，信息和信息所提供的服務(wù)是依賴信息載體而存在的，而信息載體又是在某些環(huán)境中運(yùn)行的，這個(gè)運(yùn)行環(huán)境通常是多層次的，因而可以進(jìn)行層次化分析。

要保障信息或信息服務(wù)安全有效運(yùn)行，其實(shí)質(zhì)就是要保障其所依賴的運(yùn)行環(huán)境的安全性。也就是說(shuō)。信息安全是指由信息或服務(wù)、信息載體和運(yùn)行環(huán)境組成的信息系統(tǒng)的安全。

因此，在計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)中的每個(gè)信息實(shí)體(信息處理設(shè)備或通信線纜)都是在一定的運(yùn)行環(huán)境中工作的，其運(yùn)行環(huán)境層次模型可以用圖1表示。

根據(jù)此模型，對(duì)應(yīng)用軟件、操作系統(tǒng)、常用硬件、業(yè)務(wù)人員等作為信息載體的運(yùn)行環(huán)境進(jìn)行層次劃分。下面以業(yè)務(wù)數(shù)據(jù)為例進(jìn)行具體分析。

三、信息載體的運(yùn)行環(huán)境分析

業(yè)務(wù)數(shù)據(jù)可以粗略的分為在線電子業(yè)務(wù)數(shù)據(jù)和存儲(chǔ)介質(zhì)業(yè)務(wù)數(shù)據(jù)。在線電子業(yè)務(wù)數(shù)據(jù)是指存儲(chǔ)在終端計(jì)算機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備中，需要進(jìn)行數(shù)據(jù)處理和傳輸?shù)碾娮訕I(yè)務(wù)數(shù)據(jù)；存儲(chǔ)介質(zhì)業(yè)務(wù)數(shù)據(jù)是指存儲(chǔ)在各種介質(zhì)上，如存儲(chǔ)在磁帶、光盤、移動(dòng)硬盤、優(yōu)盤、紙張等上的業(yè)務(wù)數(shù)據(jù)，其目的是以存儲(chǔ)和備份為主，一般不參與數(shù)據(jù)的處理，數(shù)據(jù)傳輸也是隨著存儲(chǔ)介質(zhì)一起傳輸。

因此，不同業(yè)務(wù)數(shù)據(jù)的運(yùn)行環(huán)境是不同的，下面分別從在線電子業(yè)務(wù)數(shù)據(jù)和存儲(chǔ)介質(zhì)業(yè)務(wù)數(shù)據(jù)進(jìn)行運(yùn)行環(huán)境的分析。

1終端計(jì)算機(jī)中的電子業(yè)務(wù)數(shù)據(jù)。在終端計(jì)算機(jī)中，需要進(jìn)行數(shù)據(jù)處理的在線電子業(yè)務(wù)數(shù)據(jù)的運(yùn)行環(huán)境示意如圖2所示。

業(yè)務(wù)數(shù)據(jù)所依賴的各運(yùn)行環(huán)境層次說(shuō)明如下：

物理環(huán)境層：某業(yè)務(wù)辦公室、或機(jī)房所提供的物理環(huán)境。包括房屋、電力、溫度控制、濕度控制、防火控制、防水控制、門禁控制等：

網(wǎng)絡(luò)環(huán)境層：交換機(jī)等為其提供的通信線路：

硬件環(huán)境層：終端計(jì)算機(jī)硬件系統(tǒng)：

系統(tǒng)環(huán)境層：終端計(jì)算機(jī)中所安裝的操作系統(tǒng)：

應(yīng)用環(huán)境層：安裝在計(jì)算機(jī)中由操作系統(tǒng)來(lái)調(diào)度的應(yīng)用系統(tǒng)客戶端軟件：

應(yīng)用數(shù)據(jù)層：業(yè)務(wù)軟件所要使用的在線電子業(yè)務(wù)數(shù)據(jù)。

2其它信息實(shí)體中的業(yè)務(wù)數(shù)據(jù)層次。服務(wù)器主機(jī)、通信線纜、存儲(chǔ)介質(zhì)、網(wǎng)絡(luò)設(shè)備、信息墻座和業(yè)務(wù)人員大腦中的業(yè)務(wù)數(shù)據(jù)的運(yùn)行環(huán)境示意如圖3所示，

對(duì)服務(wù)器主機(jī)來(lái)說(shuō)，其環(huán)境層次較終端計(jì)算機(jī)一般多一個(gè)數(shù)據(jù)庫(kù)操作系統(tǒng)環(huán)境。網(wǎng)絡(luò)設(shè)備中的業(yè)務(wù)數(shù)據(jù)主要是指支撐網(wǎng)絡(luò)設(shè)備正常運(yùn)行的各種設(shè)置參數(shù)、運(yùn)行參數(shù)，而不是經(jīng)過(guò)網(wǎng)絡(luò)設(shè)備存儲(chǔ)轉(zhuǎn)發(fā)的電子業(yè)務(wù)數(shù)據(jù)。

電子業(yè)務(wù)數(shù)據(jù)在通信線纜中傳輸，其線纜環(huán)境是指線纜本身的保護(hù)，如PVC管、鋼管、鎧裝、護(hù)套等。

信息墻座是電子業(yè)務(wù)數(shù)據(jù)在傳輸過(guò)程中需要經(jīng)過(guò)的節(jié)點(diǎn)，因此。經(jīng)過(guò)信息墻座的電子業(yè)務(wù)數(shù)據(jù)也需要有效的保護(hù)。

存儲(chǔ)介質(zhì)是指存儲(chǔ)介質(zhì)本身的保護(hù)。如硬盤的外殼、優(yōu)盤的外殼、光盤的盤片、紙張的強(qiáng)度、韌性等。

業(yè)務(wù)人員也是重要的信息實(shí)體，業(yè)務(wù)人員本身掌握了大量的、甚至核心的業(yè)務(wù)數(shù)據(jù)。業(yè)務(wù)人員處于物理和社會(huì)大環(huán)境中，有可能造成其它信息資產(chǎn)的曝露、泄露和損壞。一些業(yè)務(wù)數(shù)據(jù)記憶在某些業(yè)務(wù)人員的大腦中，那么業(yè)務(wù)人員所處的物理環(huán)境就應(yīng)該保障業(yè)務(wù)人員的身體和精神的安全：同時(shí)，業(yè)務(wù)人員也處在社會(huì)大環(huán)境中，也應(yīng)保障業(yè)務(wù)人員不受或免受社會(huì)大環(huán)境的負(fù)面影響。

經(jīng)過(guò)信息實(shí)體運(yùn)行環(huán)境層次分析，計(jì)算機(jī)信息系統(tǒng)每個(gè)實(shí)體信息安全策略的設(shè)計(jì)，就是要通過(guò)對(duì)該實(shí)體各個(gè)環(huán)境層次進(jìn)行安全措施的設(shè)計(jì)，防范該實(shí)體可能存在的威脅，從而實(shí)現(xiàn)該實(shí)體的信息安全需求，達(dá)到系統(tǒng)總體的安全目標(biāo)。

四、結(jié)論

通過(guò)信息資產(chǎn)運(yùn)行環(huán)境層次分析模型，可以有效識(shí)別信息或信息系統(tǒng)服務(wù)的載體和運(yùn)行環(huán)境。進(jìn)而從信息、信息載體和信息運(yùn)行環(huán)境三個(gè)方面綜合考慮其脆弱性和面臨的威脅，最后通過(guò)后續(xù)對(duì)各個(gè)環(huán)境層次進(jìn)行已有安全措施的識(shí)別，設(shè)計(jì)滿足需求的安全措施，達(dá)到安全目標(biāo)。

參考文獻(xiàn)：

1International Organization for Standard-ization. ISO/IEC 27005, Information technolo-gy-Security techniques-Information security riskmanagemont,2008:9-24.

2German Information Security Agency. ITB-PM, IT Baseline Protection Manual,2007:12-260.

3國(guó)家質(zhì)量監(jiān)督局，GB17859-1999，計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則，北京：中國(guó)標(biāo)準(zhǔn)出版社，1999：1-6。

4韓碩祥，張洪光，信息安全管理體系中的資產(chǎn)管理，中國(guó)標(biāo)準(zhǔn)化，2007，(4)：18-20。

5王治安，華金秋，昊俊峰，試論信息資本及保全，貴州財(cái)經(jīng)學(xué)院學(xué)報(bào)，1999，(1)。

6饒勇，信息、信息資本和企業(yè)核心能力，社會(huì)科學(xué)研究，2003，(1)。

7王紅艷，陳偉達(dá)，信息資產(chǎn)的界定與評(píng)估方法研究，東南大學(xué)學(xué)報(bào)(哲學(xué)社會(huì)科學(xué)版)，2001，(S2)：65-67，71。

8林浩，信息資產(chǎn)的安全分析及市場(chǎng)發(fā)展策略(上)，計(jì)算機(jī)安全，2002，(2)：31-34。