| |
 |
| |
在我们看来，信息像其它重要的商务资产一样，也是一种资产，对一个组织而言具有价值，因而需要妥善保护。信息安全使
信息避免一系列威胁，保障业务的连续性，最大限度地减少业务的损失，最大限度地获取投资和业务的回报。 |
| |
BS7799 为保障信息的机密性、完整性和可用性提供了典范。 BS7799 是由英国标准协会（ British Standards Institution, 简称 BSI）制定的信息安全管理体系标准。它包括两部分，其第一部分《信息安全管理实施规则》于 2000 年 12 月被国际化标准
组织（ ISO ）纳入世界标准，编号为 ISO/IEC 17799 。 BS7799 广泛地涵盖了所有的信息安全议题，如安全方针的制定、安全责 任的归属、风险的评估、定义与强化安全参数及访问控制，甚至包含防病毒的相关策略等。BS-7799 已经成为国际公认的信息安全
实施标准，适用于各种产业与组织。 |
| |
组织为达到保护信息资产的目的，应在“以人为本”的基础上，充分利用现有的 ISO13335 、 BS7799 、 CoBIT 、ITIL 等信
息系统管理服务标准与最佳实践，制定出周密的、系统的、适合组织自身需求的信息安全管理体系。 |
| |
|
从宏观的角度来看，我们认为信息安全可以由 HTP 模型来描述：人员与管理、技术与产品、流程与体系。 |
| |
| 在充分理解组织业务目标、组织文件及信息安全的条件下，通过 ISO13335 的风险分析的方法，通过建立组织的信息安全基线, 可以对组织的安全的现状有一个清晰的了解，并可以为以后进行安全控制绩效分析提供评价基础。 |
| |
长期以来，由于媒体报道的侧重点以及生产商的广告宣传等多种因素的影响，国内公众对安全的认识被广泛误导。有相当一部
分人认为，黑客和病毒就已经涵盖了信息安全的一切威胁，似乎信息安全工作就是完全在与黑客与病毒打交道，全面系统的安全解
决方案就是部署反病毒软件、防火墙、入侵检测系统。这种偏面的看法对一个组织实施有效的信息安全保护带来了不良影响。 |
| |
目前，各厂商、各标准化组织都基于各自的角度提出了各种信息安全管理的体系标准。这些基于产品、技术与管理层面的标准
在某些领域得到了很好的应用，但从组织信息安全的各个角度和整个生命周期来考察，现有的信息安全管理体系与标准是不够完备
的，特别是忽略了组织中最活跃的因素—人的作用。考察国内外的各种信息安全事件，不难发现，在信息安全事件表象后面，其实
都是人的因素在起决定作用。不完备的安全体系是不能保证日趋复杂的组织信息系统安全性的。 |
| |
因此，组织为达到保护信息资产的目的，应在“以人为本”的基础上，充分利用现有的 ISO13335 、 BS7799 、 CoBIT 、
ITIL 等信息系统管理服务标准与最佳实践，制定出周密的、系统的、适合组织自身需求的信息安全管理体系。 |
| |
| 什么是
HTP 模型
|
信息安全的建设是一个系统工程，它需求对信息系统的各个环节进行统一的综合考虑、规划和构架，并要时时兼顾组织内不断
发生的变化，任何环节上的安全缺陷都会对系统构成威胁。在这里可以引用管理学上的木桶原理加以说明。木桶原理指的是：一个
木桶由许多块木板组成，如果组成木桶的这些木板长短不一，那么木桶的最大容量不取决于长的木板，而取决于最短的那块木板。
这个原理同样适用信息安全。 |
| |
一个组织的信息安全水平将由与信息安全有关的所有环节中最薄弱的环节决定。信息从产生到销毁的生命周期过程中，包括了
产生、收集、加工、交换、存储、检索、存档、销毁等多个事件，表现形式和载体会发生各种变化，这些环节中的任何一个都可能
影响整体信息安全水平。要实现信息安全目标，一个组织必须使构成安全防范体系这只“木桶”的所有木板都要达到一定的长度。
从宏观的角度来看，我们认为信息安全可以用 HTP 模型（模型图见下页）来描述：人员与管理 (Human and management)、技术与
产品 (Technology and products) 、流程与体系 (Process and Framework) 。 |
 |
其中人是信息安全最活跃的因素，人的行为是信息安全保障最主要的方面。人特别是内部员工既可以是对信息系统的最大潜
在威胁，也可以是最可靠的安全防线。统计结果表明，在所有的信息安全事故中，只有 30% 是由于黑客入侵或其他外部原因造成
得， 70% 是由于内部员工的疏忽或有意泄密造成的。站在较高的层次上来看信息和网络安全的全貌，就会发现安全问题实际上都
是人的问题，单凭技术是无法实现从“最大威胁”到“最可靠防线”转变的。以往的各种安全模型,其最大的缺陷是忽略了对人的
因素的考虑，在信息安全问题上，要以人为本，人的因素比信息安全技术和产品的因素更重要。与人相关的安全问题涉及面很广，
从国家的角度考虑有法律、法规、政策问题；从组织角度考虑有安全方针政策程序、安全管理、安全教育与培训、组织文化、应急
计划和业务持续性管理等问题；从个人角度来看有职业要求、个人隐私、行为学、心理学等问题。 |
| |
在信息安全的技术防范措施上，可以综合采用商用密码、防火墙、防病毒、身份识别、网络隔离、可信服务、安全服务、备份
恢复、PKI 服务、取证、网络入侵陷阱、主动反击等多种技术与产品来保护信息系统安全，但不应把部署所有安全产品与技术和追
求信息安全的零风险为目标。安全成本太高，安全也就失去其意义。组织实现信息安全应采用“适度防范” (Rightsizing) 的原
则，就是在风险评估的前提下，引入恰当的控制措施，使组织的风险降到可以接受的水平,保证组织的业务的连续性和商业价值最
大化就达到了安全的目的。 |
| |
信息安全不是一个孤立静止的概念，信息安全是一个多层面、多因素的、综合的、动态的过程。一方面，如果组织凭借一时的
需要，想当然去制定一些控制措施和引入某些技术产品，难免存在挂一漏万、顾此失彼的问题，使得信息安全这只“木桶”出现若
干“短木块”，从而无法提高安全水平。正确的做法是遵循国内外相关信息安全标准与最佳实践过程，考虑组织对信息安全的各个
层面的实际需求，在风险分析的基本上引入恰当控制，建立合理安全管理体系，从而保证组织赖以生存的信息资产的安全性、完整
性和可用性；另一方面，这个安全体系统还应当随着组织环境的变化、业务发展和信息技术提高而不断改进，不能一劳永逸，一成
不变。因此实现信息安全是一个需要完整的体系来保证的持续过程。 |
| |
根据国内信息安全建设的现状与特点并结合信息安全国际标准、行业标准以及通用最佳实践，并考虑实用性与易用性，提出以
下实现信息的方法论及具体步骤。 |
| |
信息安全的方法论：根据自顶向下，逐步求精的原则，根据组织的业务目标与安全要求，在风险评估的基础上，先建立并运行
信息安全框架，初步达到粗粒度的信息安全；在完整的信息安全框架之上，建立“人力防火墙”与“技术防火墙”, 在细粒度上保
证信息安全；实施阶段性的信息系统审计，在持续不断的改进过程中保证信息的安全性、完整性、可用性，从而建立一套完整的信
息安全管理体系。 |
 |
| |
| 建立
HTP
的步骤 |
在充分理解组织业务目标、组织文件及信息安全的条件下，通过 ISO13335 的风险分析的方法，通过建立组织的信息安全
基线(Security Baseline), 可以对组织的安全的现状有一个清晰的了解，并可以为以后进行安全控制绩效分析提供一个评价基础。
1、理解组织业务与组织文化
充分了解组织业务是设计安全方案的前提，只有了解组织业务，才能发现并分析组织业务所处的风险环境，并在此基础上提出 可能的安全保障措施；只有了解组织业务，才可能定义出合理的安全投资规模和计划；只有了解组织业务，才能制定出合理的安全 政策和制度。
对组织业务的了解，包括对其业务内容、性质、目标及其价值进行分析，在信息安全中，业务一般是以资产形式表现出来，它 包括信息 / 数据、软 / 硬件、无形资产、人员及其能力等。安全风险管理理论认为，对业务资产的适度保护对业务的成功至关重 要。要实现对业务资产的有效保护，必须要对资产有很清晰的了解。
对组织文化及员工状况的了解有助于知道组织中员工的安全意识、心理状况和行为状况，为制定合理的安全政策打下基础。 |
| |
2、评估用户组织风险环境
ISO/IEC TR 13335-1 把风险的定义为特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害的潜在可能性。风险
评估是对信息和信息处理设施的威胁、影响和薄弱点及三者发生的可能性评估，即利用适当的风险评估工具、包括定性与定量的方 法，确定资产风险等级和优先控制顺序。 |
 |
通过风险评估，上图中位于“主要高商业风险”区域的风险对组织的安全水平有着显著的影响，是应主要加以控制的风险；
位于“高可能性”和“高影响”区域的风险要根据组织的接受风险的能力，可适当加以控制；位于“低风险”区域的风险只要是处
于组织可以接受的水平，一般可以忽略。 |
| |
3、准备安全基线分析报告
通过对组织业务特征、组织文化、安全意识、人员状况及信息风险评估的综合分析，详细描述当前组织的信息安全状况，为
进一步制定信息安全投资预算计划、信息安全投资回报分析、人员组织计划、建立安全体系、制定安全政策、引入安全控制措施而 提供基础数据、辅助最高管理层对信息安全管理的计划与实践做出正确决策。 |
| |
|
