基于網(wǎng)絡信息安全運維管理：IT創(chuàng)新案例系列（2）
文|01一線
信息社會，現(xiàn)代企業(yè)的生存與發(fā)展高度依賴網(wǎng)絡信息系統(tǒng)支持，確保網(wǎng)絡的通暢、信息系統(tǒng)安全可靠就顯得尤其重要。針對IT管理問題和價值取向的服務方式，如何把此項復雜的工程進行細化與落地，建立信息安全保障框架？在企業(yè)有限的IT資源（包括人員、系統(tǒng)等）的前提下，IT運營面臨嚴峻的挑戰(zhàn)，企業(yè)多半缺乏信息系統(tǒng)應用開發(fā)能力，在很大程度上依賴于產(chǎn)品開發(fā)商的支持，為此，要想實現(xiàn)從混亂到清晰、從被動到主動、從應付到實現(xiàn)價值取向的服務思想，自主加外包的混合運維方式無疑是一種好的服務方式。
一、課題的背景與意義
自從進入信息社會以來，全球IT新技術道魔相長，網(wǎng)絡安全事件層出不窮。隨著攻擊手段不斷翻新，種類越來越多，嚴重危及公共組織和企業(yè)的正常工作。從網(wǎng)絡的社會性質(zhì)來看，由于互聯(lián)網(wǎng)技術基礎基本相同，網(wǎng)絡系統(tǒng)相互連通，網(wǎng)絡技術與設備的安全管理問題不是個體問題，而是牽一發(fā)動全身，只有網(wǎng)絡整體安全性能提高，才能從根本上為網(wǎng)絡安全提供保障，同時，網(wǎng)絡技術與設備的安全管理規(guī)范的完善還能夠為偵破和處罰網(wǎng)絡犯罪提供有效地幫助。因此不能僅依靠個體的分散的技術措施或者管理防護，而是集合國家、社會和個人的力量構(gòu)建綜合保障體系。
從全球趨勢看，計算機病毒、網(wǎng)絡攻擊、垃圾郵件、系統(tǒng)漏洞、網(wǎng)絡竊密、虛假有害信息和網(wǎng)絡違法犯罪等問題日漸突出，給我國經(jīng)濟社會發(fā)展和國家安全帶來不利影響。
從企業(yè)安全來看，信息安全事故的來源是黑客主義、商業(yè)間諜、有組織的網(wǎng)絡犯罪和恐怖活動。還有無知的員工可能被外部威脅利用，進而對信息安全造成“內(nèi)外夾擊”之勢。
因此，合理建立網(wǎng)絡信息安全與運維管理體系，在有限投入的基礎上，最大程度地降低網(wǎng)絡安全突發(fā)事件的負面影響，就成為當前一個迫切需要解決的問題。
國家《網(wǎng)絡安全法》及其等級保護定級制度的實施、行業(yè)及公司要求和IT領域國內(nèi)外各種管理和運維模式經(jīng)驗為本課題提供了支持條件。
二、網(wǎng)絡信息安全運維的現(xiàn)狀與管理目標
自從企業(yè)實行自主網(wǎng)絡信息安全運維以來，雖然從組織、網(wǎng)絡信息系統(tǒng)架構(gòu)、安全管理體系、安全技術體系、安全運行體系建設方面陸續(xù)建立了網(wǎng)絡信息安全運維管理機制，但總體來說較為零散，系統(tǒng)性和規(guī)范性存在不足，具體存在以下問題。
安全管理方面存在不是全員管理，甚至存在網(wǎng)絡安全責任不明確的現(xiàn)象。相關制度標準不甚完善，相關考核機制雖已建立，但不健全。
安全技術方面，機房和工控網(wǎng)絡管控措施不全，網(wǎng)絡安全設備不完備，網(wǎng)絡安全策略存在缺陷。
安全運維方面，存在運維能力不足，技術跟進不到位，運維作業(yè)不規(guī)范，應急保障制度不完善，信息系統(tǒng)等保材料不完整等等因素。
網(wǎng)絡信息安全管理工作，是企業(yè)綜合治理工作中的重要內(nèi)容組成部分，是現(xiàn)代企業(yè)生產(chǎn)經(jīng)營管理順利進行的有力保障，同時，社會大安全文化的背景和國內(nèi)外信息安全形勢、企業(yè)IT運維管理安全現(xiàn)狀，也要求企業(yè)必須將信息安全提到戰(zhàn)略高度來認識。由于企業(yè)的文化差異，可能會有不同的影響因素，因此，建立企業(yè)信息安全保障內(nèi)控體系理論，倡導和推進信息系統(tǒng)安全運行治理防控保障體系建設，創(chuàng)造良好安全的企業(yè)氛圍和秩序，是保證一個行業(yè)穩(wěn)定發(fā)展的一項重要工作，是時代賦予企業(yè)的又一項社會任務。
因此，針對目前網(wǎng)絡信息安全運維的現(xiàn)狀，通過合理建立網(wǎng)絡信息安全與運維管理體系，盡最大可能避免網(wǎng)絡信息系統(tǒng)遭受嚴重攻擊，實現(xiàn)IT安全基礎設施有保障，管理與操作有章可循，達到管理和運維工作高效，進而促進實現(xiàn)網(wǎng)絡信息安全與業(yè)務數(shù)據(jù)完整準確是本課題的目標。
三、對策與實施效果
眾所周知，網(wǎng)絡信息安全是一個系統(tǒng)工程。它涉及到人、機、法、環(huán)與監(jiān)視各個層面。存在管理不嚴、口實不嚴、網(wǎng)絡信息系統(tǒng)遭受攻擊、系統(tǒng)設計與運維法制規(guī)范缺失、組織和技術保障方法不妥、社會網(wǎng)絡環(huán)境惡劣以及這些方面的監(jiān)管不嚴等種種情況而導致種種問題和風險，只有做到嚴防死守，規(guī)避風險，方能做好網(wǎng)絡信息安全、保密和運維工作。為此，以目標管理和存在風險及其問題為先導、循序漸進，按頂層布局、中層發(fā)力、底層推動內(nèi)容設計與構(gòu)建，為此，借鑒當前IT運維管理目標演進方式，確立各階段建設目標。
1、把握源頭治理。堅持嚴格依法建網(wǎng)、管網(wǎng)和用網(wǎng)原則，查找梳理已建、新建項目及其運維存在的問題和風險，同時，把問題整改作為網(wǎng)絡安全工作的重要內(nèi)容，提升全員網(wǎng)絡安全責任意識。
首先，明確歸口管理部門。由信息管理部門負責企業(yè)統(tǒng)一實施信息網(wǎng)絡系統(tǒng)建設與運維，履行綜合協(xié)調(diào)、監(jiān)督管理職能。嚴防死守做到“兩個全覆蓋”（覆蓋所有業(yè)務部門和所有信息系統(tǒng)），并提供組織和技術保障措施。
其次，實行廠級、部門級和班組級三層組織領導架構(gòu)與網(wǎng)絡信息安全運維管理（包括評估考核）體系，實現(xiàn)全員管理，并明確其分工職責，嚴守紀律，并納入管理體系相關文件管理與考核。通過日常的廠務、科務和車間班前網(wǎng)絡信息安全及其保密教育和培訓，增強化全員網(wǎng)絡責任意識，時刻謹記保密工作無小事，切實克服了麻痹大意思想。明確各個信息系統(tǒng)業(yè)務主管部門和運維單位（部門）具體職責，落實了網(wǎng)絡安全責任制度，實施《網(wǎng)絡安全責任書》和《數(shù)據(jù)保密承諾函》簽訂制度，包括與各部門主要負責人以及信息系統(tǒng)主要對接人員簽訂了網(wǎng)絡安全責任書和數(shù)據(jù)保密承諾函兩份文件。對外部合作方項目及后期工作實行了供方服務評估評價機制，對內(nèi)部工作落實了網(wǎng)絡安全責任和考核評價辦法。
第三，開展網(wǎng)絡源頭治理工作。檢查求證網(wǎng)絡安全設備與軟件的合理部署，嚴格實施生產(chǎn)、監(jiān)控、辦公分區(qū)分域的安全策略，嚴明網(wǎng)絡邊界防護設備、人員權限、遠程作業(yè)等環(huán)節(jié)的管理。建立IP臺賬，健全設備、信息系統(tǒng)檔案。完善網(wǎng)絡信息系統(tǒng)現(xiàn)場應急處置方案，并定期開展培訓與演練等工作。實行網(wǎng)絡流量監(jiān)控，對于異常情況，及時阻斷攻擊，并根據(jù)實際情況更新相應策略。從源頭治理和從網(wǎng)絡監(jiān)管把好運維關，構(gòu)建法制網(wǎng)絡、健康網(wǎng)絡與和諧網(wǎng)絡，初步實現(xiàn)所有業(yè)務部門和所有信息系統(tǒng)健康相處，和諧與共的良好網(wǎng)絡環(huán)境。
前期IT基礎管理診斷結(jié)果：
基礎架構(gòu)建設階段（SMB），手工維護階段。主要實現(xiàn)IT基礎架構(gòu)建設。
網(wǎng)絡和系統(tǒng)監(jiān)控（NSM）階段，重視自動化監(jiān)控階段。主要實現(xiàn)IT設備維護和管理。
IT服務管理（ITSM）階段，重視流程管理階段。主要實現(xiàn)IT服務流程管理。
業(yè)務服務管理（BSM）階段，重視用戶服務質(zhì)量與滿意度。主要實現(xiàn)IT與業(yè)務融合管理。
從IT投入和業(yè)務價值來看，前三個階段是間接業(yè)務價值，第四階段才是直接業(yè)務價值。
根據(jù)ITIL這個IT服務管理的方法論，先是搭建一個框架，借用工具的配合促進落地。建立IT運維管理系統(tǒng)參考模型。
從安全目標出發(fā)，結(jié)合IT運維管理系統(tǒng)參考模型，每個階段的工作向著實現(xiàn)直接業(yè)務價值，不斷消除或減輕對性能的約束，促進IT產(chǎn)品或服務滿足確定的規(guī)范，實現(xiàn)企業(yè)效益最大化。服務好用屬性通過最終的績效和檢驗結(jié)果監(jiān)視測量價值成分。
2、規(guī)劃融合信息安全保障體系
通過從組織體系、制度體系、技術體系層面建立和實施縱深防御體系，實現(xiàn)穩(wěn)健的信息安全保障狀態(tài)。
①組織體系：通過企業(yè)中高層的支持實現(xiàn)業(yè)務驅(qū)動和共同推動信息安全體系建設。當然，需要提出的問題，組織有可能要依賴長期可靠的合作伙伴：通過長期可靠的合作關系，快速引進外部專業(yè)資源和先進技術，可以幫助企業(yè)推動信息安全建設工作。為了幫助組織內(nèi)外信息系統(tǒng)人員更好地遵守行業(yè)規(guī)范及法律要求，企業(yè)實施IT網(wǎng)絡與信息系統(tǒng)安全運維體系標準，組織應做到定期對全體員工進行信息安全相關教育，包括：技能、職責和意識，通過相關審核，證明組織具備實施體系的意識和能力。
②制度體系：企業(yè)IT網(wǎng)絡與信息系統(tǒng)安全運維系統(tǒng)建設的范圍包括機房安全、數(shù)據(jù)安全、網(wǎng)絡安全、服務器安全、業(yè)務應用安全、終端安全等。為此，企業(yè)應明確內(nèi)部運維和外部協(xié)同的內(nèi)容及其標準規(guī)范，包括績效標準。建立實施IT網(wǎng)絡與信息系統(tǒng)安全運維體系標準，首先把高效的信息安全做法固化下來形成規(guī)則制度或標準，成為組織中信息安全行為準則。保證事前預防、事中監(jiān)控和事后審計等安全措施的得到有效執(zhí)行與落實。
③技術體系：一般來說，網(wǎng)絡設備技術體系可以按照從上到下信息所流經(jīng)的設備來部署工具。即從數(shù)據(jù)安全、終端安全、應用安全、操作系統(tǒng)與數(shù)據(jù)庫安全、網(wǎng)絡安全、物理安全六個方面來選擇不同的安全工具。按照“適度防御”原則，綜合采用各種安全工具進行組合，形成企業(yè)“適用的”安全技術防線。適時根據(jù)風險評估的結(jié)果，采取相應措施，降低風險。適時采用1～2種綜合管理的工具來幫助把所有的安全監(jiān)控工具進行統(tǒng)一管控。例如SOC是給企業(yè)日常維護管理者使用，ITRM作為綜合風險呈現(xiàn)，是給企業(yè)風險或安全管理層使用。
廠部定期開展“弱口令”、“掃漏洞”網(wǎng)絡安全檢查活動，排查弱口令和未授權訪問等突出安全隱患，對未按要求設置密碼的終端機立即進行整改。在數(shù)據(jù)管理方面，遵循“統(tǒng)一管理、分級負責、授權訪問”的原則。系統(tǒng)管理人員按照數(shù)據(jù)的管理和使用權限，做好數(shù)據(jù)的授權訪問和備案工作，嚴禁向行業(yè)外傳播發(fā)布。網(wǎng)絡和各系統(tǒng)管理員每星期對數(shù)據(jù)庫運行日志進行分析整理，結(jié)合系統(tǒng)實際運行情況，對數(shù)據(jù)庫進行優(yōu)化配置與調(diào)整。對數(shù)據(jù)庫報錯信息等異常，應及時與系統(tǒng)服務商聯(lián)系，盡快解決處理。對系統(tǒng)進行軟件升級、硬件維護時，必須對系統(tǒng)數(shù)據(jù)進行全備份。
④體系運行和監(jiān)控：體系的日常運行和監(jiān)控就是從信息的生命周期進行流程控制，即在信息的創(chuàng)建、使用、存儲、傳遞、更改、銷毀等各個階段進行安全控制。之前不能忽視在信息創(chuàng)建開發(fā)安全階段的一個細化控制手段。在運行體系建設中，結(jié)合流程分析來關注信息的生命周期安全。關注運行過程中應急管理，包括災備中心建設、業(yè)務連續(xù)性計劃、應急響應等等。
3、初見成效和取得的階段性成果
以創(chuàng)新管理課題形式開展實踐。通過調(diào)研和宣傳教育，針對存在問題和風險進行分析評估，遵循PDCA工作思路方法提出系統(tǒng)架構(gòu)，策劃對策措施實施方案。具體方法：以當前實施的批次管理系統(tǒng)運維管理為樣本，舉一反三應用到其它各個管控系統(tǒng)，最后往前延伸，建立健全上游機房網(wǎng)絡和下游工控安全管理。第一階段：創(chuàng)造：“四全工作法“即”全員參與、全面梳理、全面診斷、全面加固“專項工作，確定實施方案；第二階段：針對前期存在問題和風險開展安全加固整改與實施網(wǎng)絡安全等級保護工作的同時，創(chuàng)造并構(gòu)建“1+2+2+N”的運維模式。1具體指編制各信息系統(tǒng)《運維管理辦法》；2具體指建立《系統(tǒng)運行日志》，《系統(tǒng)運維月度報告》；2具體指建立《系統(tǒng)運維問題管理清單》，《系統(tǒng)運維風險管控清單》，N具體指建立編制各信息系統(tǒng)《作業(yè)指導書》，通過這種運維模式，提高系統(tǒng)維保人員維保能力和運維效率。第三階段：系統(tǒng)整合后，基本構(gòu)建了網(wǎng)絡信息安全與運維管理體系。
基于網(wǎng)絡信息安全運維管理，采用了網(wǎng)絡與信息系統(tǒng)防護方案、等級保護措施，進一步完善了IT建設網(wǎng)絡信息系統(tǒng)運維體系。通過這種運維模式，提高系統(tǒng)維保人員維保能力和運維效率。
基于網(wǎng)絡信息安全與運維管理，除實施了網(wǎng)絡安全設備及其技術外，目前已建立了管理體系架構(gòu)，發(fā)布實施了63個IT標準文件，包括機房、網(wǎng)絡和各個信息系統(tǒng)應急預案與演練體系，規(guī)范了IT建設網(wǎng)絡信息系統(tǒng)安全運維工作行為，提高了安全防護和運維效率。今年上半年，經(jīng)受了一次規(guī)模網(wǎng)絡演習的檢驗，也得到當?shù)毓膊块T和公司的一致好評。
結(jié)語
通過基于網(wǎng)絡信息安全運維創(chuàng)新管理課題實踐，從信息安全綜合治理戰(zhàn)略理念出發(fā)，結(jié)合當前企業(yè)IT運維管理現(xiàn)狀和安全風險防范的新思路、新方法，從組織體系、制度體系和技術體系三個層面建立和實施了信息系統(tǒng)安全運行治理防控保障體系，基本實現(xiàn)了信息系統(tǒng)可持續(xù)改進運行。
聯(lián)系客服
