基于策略的公安信息安全管理模型

崔麗霜

（河北公安警察職業(yè)學(xué)院，河北 石家莊 050091）

公安信息安全管理是指提供管理程序、技術(shù)和保證措施，確保公安信息技術(shù)服務(wù)的可用性，能抵抗不正當(dāng)操作、蓄意攻擊或者自然災(zāi)害，并從這些故障中恢復(fù)，確保拒絕沒經(jīng)授權(quán)訪問的重要機(jī)密信息。其目標(biāo)是確保公安信息系統(tǒng)的安全運(yùn)行。

一、建立基于策略的動(dòng)態(tài)安全管理模型的指導(dǎo)思想

在對現(xiàn)有信息安全模型綜合分析的基礎(chǔ)上，結(jié)合對公安信息安全需求的分析，綜合運(yùn)用現(xiàn)有的信息安全管理標(biāo)準(zhǔn)、管理方法、安全技術(shù)，提出了一個(gè)新的信息安全管理模型。該模型的指導(dǎo)思想如下：

（一）采用系統(tǒng)的思想

網(wǎng)絡(luò)安全的建設(shè)是一個(gè)系統(tǒng)工程，它需要對影響信息系統(tǒng)安全的各種因素進(jìn)行綜合考慮，同時(shí)需要對信息系統(tǒng)運(yùn)行的全過程進(jìn)行綜合分析，實(shí)現(xiàn)預(yù)警、防護(hù)、恢復(fù)等網(wǎng)絡(luò)安全的全過程環(huán)節(jié)的無縫銜接；另一方面要充分考慮技術(shù)、管理、人員等影響網(wǎng)絡(luò)安全的主要因素，實(shí)現(xiàn)技術(shù)、管理、人員的協(xié)同作戰(zhàn)。

（二）強(qiáng)調(diào)風(fēng)險(xiǎn)管理

基于風(fēng)險(xiǎn)管理，體現(xiàn)預(yù)防控制為主的思想，強(qiáng)調(diào)全過程和動(dòng)態(tài)控制，確保信息的保密性、完整性和可用性，保持系統(tǒng)運(yùn)作的持續(xù)性。

（三）動(dòng)態(tài)的安全管理

公安信息網(wǎng)絡(luò)安全模型中的“動(dòng)態(tài)”網(wǎng)絡(luò)安全有兩個(gè)含義：一是整個(gè)網(wǎng)絡(luò)的安全目標(biāo)是動(dòng)態(tài)的，而不再是傳統(tǒng)的、一旦部署完畢就固定不變的，從而支持部分或者全網(wǎng)范圍內(nèi)安全級別的動(dòng)態(tài)調(diào)整；二是達(dá)到安全目標(biāo)的手段、途徑必須能夠根據(jù)周邊/內(nèi)部環(huán)境的變化進(jìn)行動(dòng)態(tài)調(diào)整。

二、基于策略的動(dòng)態(tài)安全管理模型的定義

基于策略的動(dòng)態(tài)安全管理模型示意圖

基于上述指導(dǎo)思想，建立基于策略的動(dòng)態(tài)安全管理模型，主要包括四類要素：人員、管理、策略、流程 （技術(shù)產(chǎn)品），如下圖所示。安全策略確定后，需要根據(jù)組織切實(shí)的安全需要，以上述定義的安全策略為基礎(chǔ)，將安全周期內(nèi)各個(gè)階段的、反映不同安全需求的防護(hù)手段和實(shí)施方法以一種利于連動(dòng)的、協(xié)同的方式組織起來，提高系統(tǒng)的安全性。

總的指導(dǎo)原則是：第一，防護(hù)是基礎(chǔ)，是基本條件，它包含了對系統(tǒng)的靜態(tài)保護(hù)措施，是保護(hù)信息系統(tǒng)必須實(shí)現(xiàn)的部分。第二，檢測和預(yù)測是手段，是擴(kuò)展條件，提供對系統(tǒng)的動(dòng)態(tài)監(jiān)測措施，是保護(hù)信息系統(tǒng)須擴(kuò)展實(shí)現(xiàn)的部分。第三，響應(yīng)是目標(biāo)，是進(jìn)行安全控制和緩解入侵威脅的期望結(jié)果，反應(yīng)了系統(tǒng)的安全控制力度，是保護(hù)信息系統(tǒng)須優(yōu)先實(shí)現(xiàn)的部分。

這些不同的安全技術(shù)和產(chǎn)品按照統(tǒng)一的策略集成在一起，保持防護(hù)、監(jiān)測、預(yù)警、恢復(fù)的動(dòng)態(tài)過程的無縫銜接，并隨著環(huán)境的變化而進(jìn)行適當(dāng)?shù)恼{(diào)整，這樣就能夠針對系統(tǒng)的薄弱環(huán)節(jié)有的放矢，有效防范，從而完善信息安全防護(hù)系統(tǒng)。

三、基于策略的動(dòng)態(tài)安全管理模型的實(shí)施過程

在公安信息安全管理體系的建立、實(shí)施和改進(jìn)的過程中引用PDCA （Plan-Do-Check-Act）模型，按照PDCA模型將信息安全管理體系分解成風(fēng)險(xiǎn)評估、安全設(shè)計(jì)與執(zhí)行、安全管理和再評估四個(gè)子過程。組織通過持續(xù)的執(zhí)行這些過程而使自身的信息安全水平得到不斷的提高。PDCA模型的主要過程如下：

（一）計(jì)劃 （Plan）

計(jì)劃就是根據(jù)組織的業(yè)務(wù)目標(biāo)與安全要求，在風(fēng)險(xiǎn)評估的基礎(chǔ)上，建立信息安全框架。包括下面三項(xiàng)主要工作：

1.明確安全目標(biāo)，制定安全方針

根據(jù)公安專用網(wǎng)絡(luò)信息安全需求及有關(guān)法律法規(guī)要求，制定信息安全方針、策略，通過風(fēng)險(xiǎn)評估建立控制目標(biāo)與控制方式，包括公安系統(tǒng)工程必要的過程與持續(xù)性計(jì)劃。

2.定義信息安全管理的范圍

信息安全管理范圍的確定需要重點(diǎn)確定信息安全管理的領(lǐng)域，公安信息安全管理部門需要根據(jù)公安系統(tǒng)工程的實(shí)際情況，在整個(gè)金盾工程規(guī)劃中或者各業(yè)務(wù)部門構(gòu)架信息安全管理框架。

3.明確管理職責(zé)

成立相應(yīng)的安全管理職能部門，明確管理職責(zé)，同時(shí)要對所有相關(guān)人員進(jìn)行信息安全策略的培訓(xùn)，對信息安全負(fù)有特殊責(zé)任的人員要進(jìn)行特殊的培訓(xùn)，以使信息安全方針真正植根于所有公安干警的腦海并落實(shí)到實(shí)際工作中。

（二）實(shí)施 （Do）

實(shí)施過程就是按照所選定的控制目標(biāo)與方式進(jìn)行信息安全控制，即安全管理職能部門按照公安信息安全管理策略、程序、規(guī)章等規(guī)定的要求進(jìn)行信息安全管理實(shí)施。

在實(shí)施過程中，以公安信息安全管理策略為核心，監(jiān)測、安全保護(hù)措施、風(fēng)險(xiǎn)評估、補(bǔ)救組成一個(gè)循環(huán)鏈，其中信息安全管理策略是保證整個(gè)安全系統(tǒng)能夠動(dòng)態(tài)、自適應(yīng)運(yùn)行的核心。

1.選擇安全策略

根據(jù)公安業(yè)務(wù)目標(biāo)、公安信息安全管理目標(biāo)、公安信息安全管理指導(dǎo)方針選擇或制定信息安全策略。

2.部署安全策略

對于高層策略，在此階段，首先應(yīng)將各種全局的高層策略規(guī)范編譯成低級 （基本）策略。根據(jù)底層的服務(wù)或是應(yīng)用的要求將策略編譯成執(zhí)行組件可以理解的形式，針對特定類型的策略實(shí)施代理封裝具體實(shí)施策略所需的行為，封裝執(zhí)行策略所必需的實(shí)現(xiàn)代碼，這些代碼與底層實(shí)現(xiàn)有關(guān)。將策略分發(fā)并載入到相應(yīng)的策略實(shí)施代理中，繼而可以對策略對象執(zhí)行啟用、禁用、卸載等策略操作。

3.執(zhí)行安全策略

（1）監(jiān)測。對公安信息系統(tǒng)進(jìn)行安全保護(hù)以后并不能完全消除信息安全風(fēng)險(xiǎn)，所以要定期地監(jiān)控整個(gè)信息系統(tǒng)以發(fā)現(xiàn)不正常的活動(dòng)。

（2）進(jìn)行信息安全風(fēng)險(xiǎn)評估。風(fēng)險(xiǎn)評估主要對公安信息安全管理范圍內(nèi)的數(shù)據(jù)信息進(jìn)行鑒定和估價(jià)，然后對數(shù)據(jù)信息面對的各種威脅進(jìn)行評估，同時(shí)對已存在的或規(guī)劃的安全管理措施進(jìn)行鑒定。

（3）公安信息安全風(fēng)險(xiǎn)處置。根據(jù)風(fēng)險(xiǎn)評估的結(jié)果進(jìn)行相應(yīng)的風(fēng)險(xiǎn)處置，公安信息安全風(fēng)險(xiǎn)處置措施主要包括降低風(fēng)險(xiǎn)、避免風(fēng)險(xiǎn)、轉(zhuǎn)嫁風(fēng)險(xiǎn)、接受風(fēng)險(xiǎn)等，使得公安業(yè)務(wù)可以正常進(jìn)行，并重新進(jìn)行風(fēng)險(xiǎn)分析與評估，增加或更改原有的信息安全保護(hù)措施。在公安信息系統(tǒng)正常運(yùn)行時(shí)，要定期地對系統(tǒng)進(jìn)行備份。

（4）根據(jù)公安信息安全策略調(diào)整控制安全措施。由于信息安全是一個(gè)動(dòng)態(tài)的系統(tǒng)工程，安全管理職能部門應(yīng)實(shí)時(shí)對選擇的管理目標(biāo)和管理措施加以校驗(yàn)和調(diào)整，以適應(yīng)變化了的情況，使公安系統(tǒng)數(shù)據(jù)資源得到有效、經(jīng)濟(jì)、合理的保護(hù)。

（三）檢查 （Check）

檢查就是根據(jù)安全目標(biāo)、安全標(biāo)準(zhǔn)，審查變化中環(huán)境的風(fēng)險(xiǎn)水平，執(zhí)行內(nèi)部信息安全管理體系審計(jì)，報(bào)告安全管理的有效性，在實(shí)踐中檢查制定的安全目標(biāo)是否合適、安全策略和控制手段是否能夠保證安全目標(biāo)的實(shí)現(xiàn)，系統(tǒng)還有哪些漏洞。

（四）改進(jìn) （Action）

改進(jìn)就是對信息安全管理體系實(shí)行改進(jìn)，以適應(yīng)環(huán)境的變化。改進(jìn)內(nèi)容包括三部分：

一是系統(tǒng)的安全目標(biāo)、安全指導(dǎo)思想、安全管理制度、安全策略。二是安全技術(shù)手段的改進(jìn)。隨著安全技術(shù)和安全產(chǎn)品的改進(jìn)，系統(tǒng)的安全技術(shù)手段也要不定期地更換。但更換后的安全技術(shù)手段仍然要遵循相應(yīng)的信息安全策略。三是對人員的改進(jìn)。安全管理措施和手段改進(jìn)后，要對民警要進(jìn)行安全教育與培訓(xùn)，并根據(jù)民警的不同角色為其制定不同的安全職責(zé)和年度信息安全計(jì)劃，并按照計(jì)劃進(jìn)行工作，年底時(shí)要對安全計(jì)劃的執(zhí)行情況進(jìn)行檢查。

四、結(jié)束語

基于策略的動(dòng)態(tài)安全管理模型由人員、管理、策略、流程四部分組成。與原有的信息安全管理模型相比，新的信息安全管理模型體現(xiàn)了全過程管理、全要素管理、風(fēng)險(xiǎn)管理和動(dòng)態(tài)管理的信息安全管理原則。實(shí)現(xiàn)了預(yù)警、防護(hù)、恢復(fù)等網(wǎng)絡(luò)安全的全過程環(huán)節(jié)的無縫銜接；實(shí)現(xiàn)了技術(shù)、管理、人員的協(xié)同作戰(zhàn)；同時(shí)，信息安全策略的制定和安全保護(hù)措施的選擇建立在風(fēng)險(xiǎn)評估的基礎(chǔ)上，能及時(shí)適應(yīng)信息環(huán)境和信息技術(shù)的變化，并對信息安全目標(biāo)、安全策略和安全保護(hù)措施進(jìn)行改善。

公安信息安全管理策略在模型中的作用主要體現(xiàn)在兩個(gè)方面：首先是“承上啟下”。安全管理策略位于管理層和技術(shù)實(shí)施層之間，在落實(shí)管理人員和管理層制定的安全目標(biāo)、安全指導(dǎo)方針、安全策略和制度時(shí)，先將這些抽象的內(nèi)容轉(zhuǎn)化為安全策略組合，再由具體的安全策略指導(dǎo)各種安全技術(shù)產(chǎn)品的工作。其次是“融合作用”。通過安全管理策略，把孤立的、分散在安全管理各個(gè)階段的安全技術(shù)、安全產(chǎn)品有機(jī)地融合起來，形成一整套完整的安全系統(tǒng)，使公安信息系統(tǒng)安全的功能真正發(fā)揮出來。

[1]雷璟,王冬海.建立信息安全管理體系的HTP方法[J].電子科學(xué)技術(shù)評論,2005,(4).

[2]胡東輝,周學(xué)海,計(jì)算機(jī)安全模型研究[J].小型微型計(jì)算機(jī)系統(tǒng),2005,26(4).

[3]周華,沈駿,李少華,金野,朱弘飛.面向應(yīng)用的動(dòng)態(tài)安全模型[J].網(wǎng)絡(luò)安全與應(yīng)用,2005,(2).

[4]蘇一丹,李桂.基于BS7799/IS017799的企業(yè)信息安全管理體系的構(gòu)建[J].信息安全與通信保密,2004,(6).

[5]趙冬梅,吳敬,陳霄凱,張磊.軟件項(xiàng)目的模糊風(fēng)險(xiǎn)評估及風(fēng)險(xiǎn)控制[J].河北省科學(xué)院學(xué)報(bào),2005,22(4).

[6]毛明志,葛曉煒.軟件項(xiàng)目風(fēng)險(xiǎn)管理模型的分析與研究[J].科學(xué)管理研究,2005,(6).

[7]郭寧.信息安全風(fēng)險(xiǎn)評估指標(biāo)體系研究[J].信息安全標(biāo)準(zhǔn)與技術(shù)追蹤,2006,(5).

[8]裴爾明,劉寶旭.一種有效的風(fēng)險(xiǎn)評估模型、算法及流程[J].計(jì)算機(jī)工程,2006,(12):23-32.

[9]吳邦國,唐任仲.軟件FMEA技術(shù)研究[J].機(jī)電工程,2004,21(3).