主页 > 新闻中心 > 领导活动

星空体育官网_网络安全与协议优化:如何在保证安全的前提下提升性能

  

本文转载至广州市CIO协会

  CIO需要了解网络安全与协议优化:如何在保证安全的前提下提升性能的信息安全OPQ,“O”就是Objective;“P”就是Planning,“Q”就是Question,就是CIO需要关注企业信息安全的目标、规划以及可能疑惑的问题。

  一、企业信息安全目标(Objective)

  以四个故事为例,第一个故事是2010年伊朗离心机事件,让“震网病毒”名声大噪。第二个故事是伊朗击落美国“无人机”事件。第三个故事是雅虎30亿用户数据泄露事件,这个事件说明了只要有安全漏洞存在,数据泄露就会一直发生,数据被泄露只是时间问题,目前没被泄露或者没被恶意利用,只是运气好。第四个故事是今年5月12日发生的Wana Decrypt事件。这个事件到目前为止已经过去差不多半年的时间,但在这半年的时间里,仍会出现PC或者服务器被病毒感染的现象。从整个整改情况来看,虽然有技术措施和成熟经验,但仍避免不了这些问题的发生。

  从这四个事件的发生可以知道,无论是针对故事一、二、三中的进攻(制作病毒或干扰系统),还是防御,都不是大部分企业IT部门所能完成的工作。作为普通用户,可以关注故事三中的防御。作为企业CIO,需要关注和解决的是故事四中的事件。由于目前的法律法规不支持受攻击单位进行反击,因此“及时获得并快速处理已知的重要计算机病毒、安全攻击和安全漏洞,实现企业级防御”,是企业的信息安全目标,这也是CIO们对信息安全的真正关注点。

  造成CEO、CIO对信息安全不关注的原因主要有:非互联网行业,安全事件最多伤及“面子”,不伤“里子”;信息安全投入无明显产生,不产生业绩,无辅助升迁;觉得没有敏感数据,侥幸心理,如发生,只作偶发事件处理。

  从技术本身来讲,常见的攻击种类,不管是拒绝服务类,数据泄露类,还是ABT攻击类,目前市面上都有比较成熟的产品可以去应对或解决。有些处理,比如CCDOS、流水性攻击、网浏览攻击,这些除了安置一些设备外,还可以在防火墙上做一些控制,甚至在应用上做一些定制开发。

  企业信息安全现状

  从2010年到2016年整个企业市场信息化投入和安全事件的关系分析图来看,整个信息化投入呈现几何增长现象,全球范围内恶性安全事件虽然数量在不断增多,但呈现直线增长,增长速度并没有信息化投入大。

  企业信息安全成熟度

  对企业而言,国家级以及用户级的进攻防御并不是企业应该关心的问题,企业应该关心的是企业级的进攻防御,要做到抓大放小,将主要的安全事件、病毒、漏洞进行整改。如果能做这些,企业信息安全成熟度基本上可以达到第二级和第三级,即可重复级和已定义级。

  从全球1000强企业信息安全成熟度来看,大部分企业的信息安全成熟度还处于第二级或第三级别,这主要与企业业态有关。由于企业的业态并不需要安全级别有多高,一般二级即可,或者是二级到三级之间,高技术企业可能会达到四级和五级。不管是从成熟度还是从安全事件的数量来看,以安全的成熟度和级别来说,并不是越高越好,一定要和企业的业态和特点相匹配。

  以国内有代表性企业的信息安全管理成熟度现状来看,对于设置目标是四级或者五级的企业而言,其信息安全建成的时间会比较长,一般在十年或者十年以上。自从《网络安全法》发布以后,有些企业会认为随着企业安全程度的提高,如果能在三至五年的时间内完成信息安全的建设会比较好,这个时间段基本可以完成从初始级到可重复级和已定义级,就是从一级到三级,如果再往上一级,那就会有压力。

  简而言之,对企业来说,信息安全工作就是能够做到企业级的安全防御,对已知的病毒、攻击和安全漏洞做及时处理。对于未知的漏洞,很多时候是没办法去关注或者是整改的。

  二、企业信息安全规划(Planning)

  如何实现信息安全目标,简单而言就是要有安全框架或者安全蓝图,更广的范围还包括实施路径和项目群。从整体来看,就是要有一个安全目标、一个信息安全的框架和蓝图、一个实施路径和一个项目群四个部分。

  企业信息安全架构(1):通用型

  通用型的企业信息安全框架,正面图是2013年版的ISO27001标准,顶层是信息安全的PDCA,还包括其他安全因素,如人员、设备、信息、流程星空体育、环境等。通用型模型对于很多企业都适用,但又不适用,因为它无法突出一些企业和行业的特点。这个模型适用于刚刚接触信息安全的企业,领导比较关注标准本身。假如领导对于标准并不在意,或者领导对信息安全有自己的原则和看法,那就不太适合使用通用型模型。

  企业信息安全架构(2):核心技术型

  核心技术型模型适用于高科技的行业,或者有自己的核心技术和商业数据的大型企业。核心技术型模型将业务需求、法律法规要求置于顶层,往下是信息系统,更多关注的是整个信息系统的风险。根据信息系统风险的驱动,然后要有人员、资产以及组织按照政策、信息技术和安全操作去不断地进行风险的处理和规避,不断降低风险,最终达成企业业务目标或者保证业务目标的实现。

  企业信息安全架构(3):金融、国企或集团企业

  对于集团企业或者技术要求比较多的金融、电力这类型的企业,企业信息安全架构更强调三大防线,即事前控制、事中控制、事后控制,以及强调多级融合,即将信息安全体系以及风险管理体系,包括业务风险和安全风险融合在一起,或者将运维ISO20000、ISO27000融合在一起,将外部的检查和内部的审计融合在一起,从而形成一个多合一的架构。这个模型对于刚接触信息安全的企业来说,很容易帮助IT经理或CIO说服CEO。因为有些领导很想知道哪些属于事前控制、哪些属于事中控制、哪些属于事后控制,这个模型能很好地说明这些问题。比如制定安全制度、建立安全组织以及采用安全技术,这些都是属于事前控制;事中控制就是做一些安全运维、设备操作、定期的做风险评估、风险处置、寻找漏洞等;事后控制就是应急与灾备。

  企业信息安全架构(4):风险驱动型

  第四种企业信息安全框架就是风险驱动型,实现这一框架的前提是企业已经实现全面融合管理。就是在企业内部,已经将安全的风险和业务的风险融合在一起,或者在整个风险管理的过程中已经清楚识别各个领域的风险,比如安全风险、操作风险、IT风险等,通过风险的驱动来进行安全控制,这种框架在外资企业比较常见。

  实施路径/优先级

  项目群(示例)

  以项目群为例,在规划时通常会规划很多项目,但项目之间存在一些逻辑关系,这些逻辑关系一定要表述清楚。网络边界可能存在一堆项目,数据中心、终端也有可能存在一堆项目,要将这三大区域做出分类,然后找出每类项目的关注点。比如,网络边界主要是防攻击、防数据泄露;数据中心更多是加固的,如数据隔离、数据库审计等。终端的项目很多,信息安全最难开展,因为终端的软硬件配置都不标准化。要将终端安全做好,首先需要解决终端软件标准化的问题,如果标准化做不好,终端的很多安全都不能开展,会出现很多问题,如安装的软件不兼容,或者软件兼容但是运行速度慢,硬件配置不够等等。

  如果整个信息安全没有什么可做的项目,建议优先实施网络边界类项目,因为效果明显,其次实施数据中心项目或终端项目。数据中心内部的安全实施是个慢功夫,最基本要做的是数据隔离,要将不同重要区域与不重要的区域分开,比如互联网与互联网系统,不能将其他的系统放在同一个区域里。

  三、CIO们常困惑的问题(Question)

  Q1:信息安全管什么

  信息安全,除了IT系统的安全外,还包括业务数据安全、人力资源安全、信息系统安全、物理环境安全等,甚至还包括法律法规的合规问题。法律法规由法务部门管理,业务数据由业务部门管理,保密由保密部门管理。从这个角度来看,整个信息技术部门需要管理的事项并不是很多。但是,很多企业高层一提到信息安全,往往会将它和信息系统融合在一起,信息安全就是信息系统要做的事情。这个时候,CIO或者IT经理就必须要明确一件事情,就是信息安全对企业而言到底要管理哪些东西。

  关于业务数据的安全,首先,业务数据是由业务部门产生,业务部门对业务数据有保密责任,要对数据的质量、真实性负责。信息部门要做好业务数据在信息系统内部的存储、交换,这个界限要划分清楚。再如人身安全,不管是职前、职中、职后,还是对外部人员的雇佣前、雇佣中、雇佣后,都需要把界限梳理清楚。很多时候,企业对内部员工的管理通常由人力资源部门负责。但对于外包人员,则是项目由谁开展,谁就应该负责外包人员的安全。至于安全原则,需要由人力资源部门,或者是信息技术部门和业务部门制定清晰,然后由大家去执行。

网络安全与协议优化:如何在保证安全的前提下提升性能

  Q2:安全性和可用性的边界

  关于安全性和可用性的边界问题,对于大部分CIO来说,他们只负责管理信息技术部门,或者包括财务和内控部门。在这种背景下,如果CIO不够强势,最好只做信息系统的安全,其他安全暂时不做。如果足够强势,可以将安全范围扩大。即使只做信息系统的安全,在信息技术部门内部,安全还是有广义和狭义之分。广义的安全包括系统可用性。按国际标准化组织(ISO)的定义,信息安全管理体系(ISMS:对应ISO27001系列标准)关注信息系统的安全性(Security),IT服务管理体系(ITSM:对应ISO20000系列标准)关注信息系统的可用性(Available),两个体系间的重叠部分为应急与灾备,即业务连续性管理体系(BCMS:对应ISO38500系列标准)。

  整个可能性的东西,包括应急与灾备,有时会作为一个单独的领域或课题去建设,由一个专门的团队负责。不管有没有专门的团队负责,整个可能性的灾备都不能放在安全里面,这与加密、攻击、病毒等常见的安全问题不属于同一个范畴,做法也不相同。除此之外的安全,最好由安全团队负责开展,将信息安全管理体系与IT服务管理体系分开,如果再细分,可将业务连续性管理体系与应急灾备分开。

  Q3:信息安全职责划分

  安全从国内企业的角度来说,其实就是一个职责的划分和归属的问题。信息安全管理职责的划分有三个原则,一是谁所有,谁负责。划分上级单位与下属单位间的管理边界;划分信息管理部门与业务部门间的职责边界。二是谁管理,谁负责。可再细化为“建设期:谁建设,谁负责;运维期:谁运维,谁负责”;划分信息管理部门内部各团队间的职责边界。三是谁使用,谁负责。划分信息管理部门与用户间的职责边界。

  Q4:安全团队放在哪

  安全团队放在哪?主要有三种方式。一是隶属数据中心。这种方式的优点是安全建设和事件处理时,容易调动基础设施团队资源;缺点是与客户(开发团队、下属单位)距离太远,管控职责发挥不足,会导致后续整改成本提升,工作被动状态持续。二是隶属架构、PMO团队。这种方式的优点是补充PMO对信息安全知识的短板,利于形成“管控合力”,利于对安全要求落实的监督,能够较早获得关于开发团队和下属单位的持续信息,利于IT系统大集中时,开展“健康检查和整改”工作;缺点是仍不是“业务安全专家”,功能发挥仍在技术领域。三是隶属管理层。这种方式的优点是安全建设和安全事件处理时,调动其他团队速度会加快;缺点是可能造成过分强调信息安全,影响效率,与项目组、各技术团队距离太远,不利于安全事件和漏洞发现和整改跟进工作。

  Q5:安全人员的工作职责

  安全人员的工作大部分为“求人型”、“推而不动型”,这部分工作的开展方式,需要CIO在架构设计时先考虑清楚,否则无法开展。整个安全工作可分为PDCA。“P”是决策、规划;“D”是具体工作执行;“C”是落实情况,监督检查;“A”是采取措施,持续改进。因为安全涉及范围广,安全人员需要处理攻击事件、处理数据库的安全、加固、整改等等星空体育下载,这其中有些工作是安全人员做不了的事情,只能由网络管理员或者应用管理员去做。因此,“D”和“A”的工作大部分由其他团队负责,安全团队只能做一小部分。

  Q6:如何避免安全制度“两张皮”

网络安全与协议优化:如何在保证安全的前提下提升性能

  如何避免安全制度“两张皮”?这需要将安全控制融入“信息系统开发生命周期”。从整个生命周期来看,分为立项阶段、定义阶段、设计阶段、实现阶段、运维阶段、废弃阶段。其中,安全需求调研和定义、安全方案设计主要由开发团队或建设团队去完成,如果没有能力开展,可以找供应商或者安全团队负责;如果企业内部有安全团队,最好尽早介入项目中,甚至可以在立项阶段或安全需求调研时介入,尽早将安全需求提出,避免后期被动。对于大部分企业来说,在整个项目的开发和设计阶段,让安全团队介入是一件比较困难的事情。但是,安全团队可以做好以下三方面的事情:一是设计方案出来后,可以让安全团队负责方案评审;二是在项目上线时,让安全团队负责上线安全检查;三是做好项目上线后的定期安全检查。

  Q7:互联网公司安全:代码即安全

  传统企业与互联网公司在安全方面的做法,首先在整个物理层面上基本是相同的,但是在集成和网络层面上有很多不同。互联网公司有很多开源技术和个性化的开发,这是最大的不同。从整个概念来说,互联网公司安全就是代码即安全,很多传统企业更多是安全设备和商业软件的安全,比如购买一些设备,这些很难做到个性化定制和个性化设置。

  Q8:《网络安全法》的执法情况信息

  从目前来看,《网络安全法》在国内的执行情况超乎想象。像腾讯微信、百度贴吧、淘宝、证券公司等都有处罚案例。从目前的执行情况来看,一些大企业,比如能源、金融、运营商、交通、大型互联网公司等,这些企业需要切实落实网络安全法的具体措施,包括系统的等级保护、信息的保护等等,网络安全法对这方面的处罚比较严厉。

  v 问答篇

  CIO:如何开展7分管理3分技术的信息安全建设?有哪些策略?500人规模的公司,信息安全团队该如何构建?

  牛志军:看企业所处阶段,如果安全才开始做,网络安全与协议优化:如何在保证安全的前提下提升性能我觉得应该是7分技术3分管理。等到技术手段基本具备,再把7分管理和3分技术倒过来。在策略上,建议重要关注:核心数据防泄露、核心系统防攻击(包括权限控制)、严重病毒事件。配多少人,要看企业业态,如果是制造业,建议每300台配一名安全人员,如果有核心技术,建议人数要增加。

  CIO:企业信息安全涉及到内部环境和外部环境等多方面的问题。针对“内部方面”企业内部机密信息,我们建立了保密管理制度,安装了几套加密系统,同时,对网络进行了监控,对人员也进行了教育培训。刚开始效果很好,时间久了,效果会没有开始实施时那么好。在执行信息安全这一块,除了建立制度,设置安全措施等管理手段,有什么方法可以让员工具有潜移默化的执行信息安全措施?

  牛志军:加密或其它安全系统上线久了,感觉效果没开始时好,这是正常的。主要有两个因素:所有安全系统都有它的功能局限,目前还没有“包治百病”的系统。时间久了,不排除员工对系统的功能有所了解,甚至掌握了绕过的方法。对于终端而言,最好的方案是VDI,即是VDI,也可以拍照泄密。另一方面,要在系统上不断完善和加强安全策略,很多时候是上了系统后,不再优化策略。要配套实施奖罚手段(柔性还是硬性,视企业文化确定),让员工逐渐变得不愿破坏安全,到不想破坏安全。

  CIO:相关骨干人员因相关原因离职后,内部一些信息很容易泄露,特别是新产品开发等重要信息被泄露了,如何补救?

  牛志军:有离职苗头的员工,在工作安排上要有所体现,不要让他再接触核心的信息。这类员工本身就会有意的收集信息,纯技术上手段作用不大。

  CIO:如何让业务团队对业务数据安全负责?

  牛志军:识别数据的OWNER,谁是OWNER谁负责。如果找到OWNER,OWNER也不认帐,还是把任务推到IT部门,那建议找1至2个核心数据,按数据生命周期,从数据产生、传输、处理、加工、保存、废弃整体环节,涉及到的工作流程、人员、载体(系统/纸质文档),都列出来,再逐一分析,哪些环节可能存在数据泄露,这样很容易让业务部门也参与进来,有事实有真相,至少能做到两个部门一起负责,不至于都推到IT部门。

  CIO:如果从业务数据安全方面去考量,评估业务数据安全风险有没有什么方法论可分享下?

  牛志军:刚才讲的评估方法,其实就是方法论。步骤:识别核心业务→核心业务相关数据、流程、载体的识别、分析→主要风险分析→输出风险处置建议。

  CIO:在企业用户使用桌面端,怎样灵活部署防病毒软件,从正版与免费,从强制安装与灵活自由等方面,有什么好的建议?

  牛志军:防病毒,如果PC数据不多,只要及时更新病毒库,使用收费的、免费的问题都不大;如果数量多,建议还是使用收费的企业版防病毒。另外,安全本身就是加强控制,即使有灵活度,也比较小。不建议留灵活度,有灵活度,就是留了空子,就容易出问题,平时可能没感觉,等出事时,发现原因空子有好多个。

  CIO:一般企业的体系会有专门的体系组织来开展定期的内审和外审。像信息安全内审外审应该由什么部门或者组织来开展?

  牛志军:内审由内部的审计团队牵头,一般具体审计人员是IT人员,因为审计团队不了解IT,更不了解安全,审不了。外部的审计团队,主要是四大的或认证机构的。

  CIO:目前企业除了办公网络还有MES系统的工业网络,很多对远程设备厂家要求能够远程监控和优化升级,企业的ERP系统生产计划数据也要与MES系统对接,在办公网络和工业网络之间如何处理边界和信息安全问题?

  牛志军:MES和办公网,一定要网络隔离(建议通过网闸,实现数据单向传输)。另外,终端接入这2张网,也建议终端分开,终端间不要交换数据。实施相对严格的两网隔离策略,只允许后台间单向交换数据(实在不行,对双向交换的数据进行严格限制,限制好哪些表单或接口,才能交换数据)。

  

  嘉宾简介

  牛志军,前华为信息安全资深顾问、前华润集团信息安全负责人,现任安恒南方咨询规划总监,是国内最早一批ISO 27001 LA、CISA、ITIL Expert、Cobit Expert资质获得者、ISO 9001 国家注册审核员;具有20年信息安全一线实战经验,是华南首批信息安全从业者,服务过的企业包括万科、华润、深圳地铁、中国南方电网、中国广东核电等。擅长领域:信息安全、云计算、大数据、IT规划、IT架构、IT审计;兼攻:财经、文史、阳明心学。

  

  

×

扫一扫关注 集团官方微信