（工商管理专业论文）电信企业信息安全管理策略.pdf

中文摘要 随着计算机技术的迅速发展和广泛应用，特别是数据库技术的出现，大大加 快了信息处理的速度，提高了信息处理的质量，计算机应用已从单纯用于科学计 算渗透到工农业生产，金融、商业、交通运输以及国家军政等社会的各个方面， 许多的企事业单位和管理机构也都建立了自己的管理信息系统。然而在计算机得 到广泛应用的同时，也带来各种各样的安全问题。事实证明，信息安全并不仅仅 是技术上的问题，更大程度的依赖于人员的管理等方面。国内目前在信息安全方 面注重安全防护技术的应用，忽视管理的作用，对信息安全系统进行风险管理的 研究刚丌始起步，缺乏一个比较系统的信息安全管理保障模式。因此，如何构建 一个有效的电信企业信息安全管理保障体系成为全球电信企业需要不断深入研究 的课题。 为此，本文选择电信企业信息安全管理策略的研究作为论文的选题，首先深 入研究我国电信企业在信息安全管理方面所存在问题，并从中吸取信息安全对电 信企业带来的经验和教训，运用先进的信息安全管理理论和技术，提出信息安全 建设的目标，制定信息安全管理策略框，规划信息安全建设实施步骤，为电信企 业信息安全管理保障体系提出全面的信息安全管理解决方案。并且通过某电信企 业信息网现状和信息安全管理保障体系的深入研究，从而构建一个比较完善的电 信企业信息安全管理保障体系，该信息安全管理保障体系包括防火墙系统、病毒 防治系统、入侵检测系统、网络分析与流量监控系统、安全管理系统、终端安全 管理平台、账号和口令集中管理体系、安全服务体系和s o c 管理平台。 本文研究的最终目的是，为我国电信企业构建一个比较完善的“积极防御、 综合防范”的信息安全管理保障体系，保证电信企业信息系统安全、高效和稳定 持续地运行，从而充分发挥信息系统在电信行业竞争中的价值，同时为信息安全 管理提供理论上的准备，强化中国电信市场乃至全球电信市场的信息安全管理、 不断提高我国电信市场信息安全管理的水平，以促进我国各行业的和谐发展，从 而也助于我国经济更好的发展。 关键词：电信；信息系统；信息安全；管理策略 a b s t r a c t w i t ht h er a p i dd e v e l o p m e n to fc o m p u t e rt e c h n o l o g ya n de x t e n s i v ea p p l i c a t i o n ， e s p e c i a l l yt h ee m e r g e n c eo fd a t a b a s et e c h n o l o g yh a sg r e a t l ya c c e l e r a t e dt h es p e e do f i n f o r m a t i o np r o c e s s i n gt oi m p r o v et h eq u a l i t yo ft h ei n f o r m a t i o np r o c e s s i n g ，c o m p u t e r a p p l i c a t i o n sf o rs c i e n t i f i cc o m p u t i n gf r o mt h es i m p l et o i n f i l t r a t et h ei n d u s t r i a la n d a g r i c u l t u r a lp r o d u c t i o n ，f i n a n c e ，c o m m e r c i a l ，t r a n s p o r t a t i o n ，a sw e l la sn a t i o n a lm i l i t a r y a n dp o l i t i c a l ，s u c ha sa l la s p e c t so fs o c i e t y , m a n yo ft h ee n t e r p r i s e sa n di n s t i t u t i o n sa n d r e g u l a t o r yb o d i e sh a v es e tu pt h e i ro w nm a n a g e m e n ti n f o r m a t i o ns y s t e m h o w e v e r , w i d e l yu s e di nt h ec o m p u t e ra tt h es a m et i m e ，i ta l s ob r i n g saw i d er a n g eo fs e c u r i t y i s s u e s f a c t sh a v ep r o v e dt h a ti n f o r m a t i o ns e c u r i t yi sn o tj u s tat e c h n i c a lp r o b l e m ，a g r e a t e rd e g r e eo fd e p e n d e n c eo np e r s o n n e lm a n a g e m e n t d o m e s t i cs e c u r i t yi nt h e i n f o r m a t i o ns e c u r i t y - o r i e n t e dt e c h n o l o g y , t oi g n o r et h er o l eo ft h em a n a g e m e n to f i n f o r m a t i o ns e c u r i t ya n dr i s km a n a g e m e n ts y s t e m so ft h es t u d yw a ss t a r t e d ，t h el a c ko f as a f e t ym a n a g e m e n ti n f o r m a t i o ns y s t e ms u p p o r tm o d e t h e r e f o r e ，h o wt ob u i l da n e f f e c t i v ee n t e r p r i s ei n f o r m a t i o ns e c u r i t ym a n a g e m e n to ft e l e c o m m u n i c a t i o n ss e c u r i t y s y s t e ma st h ew o r l d st e l e c o m m u n i c a t i o n sc o m p a n i e sn e e dt ok e e pt h es u b j e c ti n d e p t h s t u d y i nt h i sp a p e r , c h o i c eo ft e l e c o me n t e r p r i s ei n f o r m a t i o ns e c u r i t ym a n a g e m e n t s t r a t e g y a sat h e s i st o p i c ，t h ef i r s ti n - d e p t h s t u d yo fc h i n a st e l e c o m m u n i c a t i o n s e n t e r p r i s e si nt h ei n f o r m a t i o ns e c u r i t ym a n a g e m e n tp r o b l e m s ，a n dd r a wo ni n f o r m a t i o n s e c u r i t ya n dt e l e c o m m u n i c a t i o n sb u s i n e s se x p e r i e n c ea n dl e s s o n s ，u s eo fa d v a n c e d i n f o r m a t i o ns e c u r i t ym a n a g e m e n tt h e o r ya n dt e c h n o l o g y , p u tf o r w a r dt h eg o a lo f b u i l d i n gi n f o r m a t i o ns e c u r i t y , i n f o r m a t i o ns e c u r i t ym a n a g e m e n ts t r a t e g yt od e v e l o pt h e b o x ，p l a n n i n gt h ei m p l e m e n t a t i o no fi n f o r m a t i o ns e c u r i t y - b u i l d i n gs t e p sf o rt e l e c o m e n t e r p r i s e i n f o r m a t i o n s e c u r i t ym a n a g e m e n ts e c u r i t ys y s t e m a n dp u tf o r w a r d c o m p r e h e n s i v ei n f o r m a t i o ns e c u r i t ym a n a g e m e n ts o l u t i o n s x xt e l e c o m m u n i c a t i o n s a n de n t e r p r i s ei n f o r m a t i o nt h r o u g ht h en e t w o r ks t a t u sa n dp r o t e c t i o no fi n f o r m a t i o n s e c u r i t ym a n a g e m e n ts y s t e mi n - d e p t hr e s e a r c h ，t ob u i l dam o r ec o m p l e t ee n t e r p r i s e i n f o r m a t i o ns e c u r i t ym a n a g e m e n to ft e l e c o m m u n i c a t i o n ss e c u r i t ys y s t e ms o l u t i o n s ，t h e i n f o r m a t i o ns e c u r i t ym a n a g e m e n ts o l u t i o n si n c l u d i n gf i r e w a l ls y s t e m s ，v i r u sp r e v e n t i o n s y s t e m s ，i n t r u s i o nd e t e c t i o ns y s t e m s ，n e t w o r ka n a l y s i sa n dt r a f f i cm o n i t o r i n gs y s t e m s ， j e 塞銮适本堂童些亟土堂位途塞旦墨i 丛盟 s e c u r i t ym a n a g e m e n ts y s t e m s ，e n d p o i n ts e c u r i t ym a n a g e m e n tp l a t f o r mt oc e n t r a l l y m a n a g ea c c o u n t a n dp a s s w o r ds y s t e m ，s e c u r i t ys y s t e ma n ds e r v i c em a n a g e m e n t p l a t f o r ms o c t h eu l t i m a t eg o a lo ft h i sp a p e ri st h a tf o rc h i n a st e l e c o m m u n i c a t i o n sc o m p a n i e s t ob u i l dam o r ep e r f e c t ”a c t i v ed e f e n s e ，ac o m p r e h e n s i v ep r e v e n t i o n ，t h ep r o t e c t i o no f i n f o r m a t i o ns e c u r i t ym a n a g e m e n ts y s t e mt oe n s u r et h a tt e l e c o m m u n i c a t i o n se n t e r p r i s e i n f o r m a t i o ns y s t e ms e c u r i t y e f f i c i e n ta n ds t a b l ea n ds u s t a i n a b l em a n n e r , t om a x i m i z e t h ei n f o r m a t i o ns y s t e m ，c o m p e t i t i o ni nt h et e l e c o m m u n i c a t i o n si n d u s t r yt h ev a l u eo f i n f o r m a t i o ns e c u r i t ya tt h es a m et i m ef o rt h ep r e p a r a t i o no fm a n a g e m e n tt h e o r y , a n d s t r e n g t h e nc h i n a st e l e c o m m u n i c a t i o n sm a r k e t a n dt h eg l o b a lt e l e c o m m u n i c a t i o n s m a r k e t ，i n f o r m a t i o ns e c u r i t ym a n a g e m e n t ，a n dc o n t i n u o u s l ye n h a n c et h ec o u n t r y s t e l e c o m m u n i c a t i o n sm a r k e t ，t h el e v e lo fi n f o r m a t i o ns e c u r i t ym a n a g e m e n t ，i no r d e rt o p r o m o t et h ei n d u s t r yi n c h i n ah a r m o n i o u sd e v e l o p m e n t ，w h i c hi sa l s oc o n d u c i v et o b e t t e rc h i n a se c o n o m i cd e v e l o p m e n t k e y w o r d s ：t e l e c o m m u n i c a t i o n ；i n f o r m a t i o ns y s t e m s ：i n f o r m a t i o ns e c u r i t y ； m a n a g e m e n ta n ds t r a t e g y v 独创性声明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作和取得的研 究成果，除了文中特别加以标注和致谢之处外，论文中不包含其他人已经发表或 撰写过的研究成果，也不包含为获得北京交通大学或其他教育机构的学位或证书 而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作 了明确的说明并表示了谢意。 学位敝储龋彳体签字嗍1 年多月舯 4 5 学位论文版权使用授权书 本学位论文作者完全了解北京交通大学有关保留、使用学位论文的规定。特 授权北京交通大学可以将学位论文的全部或部分内容编入有关数据库进行检索， 并采用影印、缩印或扫描等复制手段保存、汇编以供查阅和借阅。同意学校向国 家有关部门或机构送交论文的复印件和磁盘。 ( 保密的学位论文在解密后适用本授权说明) 一虢彳字献 签字嗍1 年月7 日 导师签 签字同期同 致谢 本论文的工作是在我的导师陈学东副教授的悉心指导下完成的，陈学东副教 授严谨的治学态度和科学的工作方法给了我极大的帮助和影响。在此衷心感谢三 年来 陈学东 老师对我的关心和指导。 陈学东副教授悉心指导我们完成了实验室的科研工作，在学习上和生活上都 给予了我很大的关心和帮助，在此向陈学东老师表示衷心的谢意。 陈学东副教授对于我的科研工作和论文都提出了许多的宝贵意见，在此表示 衷心的感谢。 在实验室工作及撰写论文期间，南文洪、张广磊等同学对我论文中的论据研 究工作给予了热情帮助，在此向他们表达我的感激之情。 另外也感谢家人常荣兴、朱德芳、姜婷，他们的理解和支持使我能够在学校 专心完成我的学业。 序 随着信息技术的迅速发展和互联网的广泛普及，网络和信息安全问题与同激 增，尤其在电信企业中变现更为严重。 随着电信业务的发展，本人所在单位承建的电信企业信息化工程的要求不断 的扩展和深化，企业的信息网变的越来越庞大而复杂，信息安全问题同益突出， 企业信息网面临系统误用和滥用、外部入侵、计算机病毒等威胁，同时存在信息 安全管理弱点和技术弱点，如何保障电信企业信息网的安全成为迫切的问题。 本文通过对我国电信企业信息安全市场的认识和分析，j 下视信息安全对我国 电信企业的重要性，从而进一步思考如何吸取信息安全对及电信企业带来的经验 和教训，深入研究我国电信企业在信息安全管理方面所存在问题，并提出相关的解 决措施，为我国电信企业构建一个比较完善的“积极防御、综合防范”的信息安 全管理体系，保证电信企业信息系统安全、高效和稳定持续地运行，从而充分发 挥信息系统在电信行业竞争中的价值，同时为信息安全管理提供理论上的准备， 强化中国电信市场乃至全球电信市场的信息安全管理、不断提高我国电信市场信 息安全管理的水平，以促进我国各行业的和谐发展，从而也助于我国经济更好的 发展。 1 1 论文研究背景 1 引言 随着计算机技术的迅速发展和广泛应用，特别是数据库技术的出现，大大加 快了信息处理的速度，提高了信息处理的质量，计算机应用已从单纯用于科学计 算渗透到工农业生产，金融、商业、交通运输以及国家军政等社会的各个方面， 全球各大电信企业也都建立了自己的管理信息系统。然而在计算机得到广泛应用 的同时，也带来各种各样的安全问题。 大量的数据信息存储在大型的计算机数据库中，并通过各大电信运营商的通 信网在主机与终端设备之间传送，由于信息在传送过程中易被截获，或通过复制 造成保密信息泄密，或通过恶意修改，使存储的数据被破坏；甚至计算机系统合 法用户也可能有意或无意破坏数据信息。目前国内外见诸报端的计算机安全问题 案例屡见不鲜，给用户带来巨大经济损失，有些事件甚至对社会安全构成了重大 威胁，信息系统的安全保密成为迫切需要解决的问题，所以在管理信息系统的开 发设计过程中，安全性应该放在首要地位。 在考虑管理信息系统的安全性时，不仅要注重系统的外部安全，同时也要重 视系统内部安全，防止信息从内部流失。一个内部系统，既要不同部门之间相互 协作，又要不相关的部门不能获得其它部门的信息，也不能超越权限进行操作。 访问控制是实现系统内部及外部安全的有效途径，即只授权给有资格的用户访问 的权限，并能以令人信服的方式证明这一保证的程度，同时，让所有未正常授权 的人无法访问。在一个多用户的系统中，识别授权用户身份是安全控制机制中最 重要的一环，也是安全防线的第一个环节。数据的存储安全和传输安全也非常重 要，这一点可以通过数据库加密和数据传输加密来实现，这样即使数掘不幸泄露 或丢失，也难被人破译。 信息安全的内涵还有与“人 有关的其他因素。从法律的高度看，有各项法 规、政策等；从组织角度考虑有安全方针政策程序、安全管理，安全教育与培训、 组织文化、应急计划和业务持续性管理等问题；从个人角度来看有职业要求、个 人隐私、行为学、心理学等问题。对人的管理包括法律、法规与安全政策的约束， 安全指南的帮助，安全意识的提高，安全技能的培训，人力资源管理措施以及企 业安全文化熏陶，这些是建立成功的信息安全体系的基础。 1 2 论文研究目的 本文主要研究电信企业信息网的信息安全管理问题。 随着电信业务的发展，本人所在单位承建的电信企业信息化工程的要求不断 的扩展和深化，电信企业的信息网变的越来越庞大而复杂，信息安全问题同益突 出，电信企业信息网面临系统误用和滥用、外部入侵、计算机病毒等威胁，同时 存在信息安全管理弱点和技术弱点，如何保障电信企业信息网的安全成为迫切的 问题。 为此，本文通过对我国电信企业信息安全市场的认识和分析，正视信息安全 对我国电信企业的重要性，从而进一步思考如何吸取信息安全对及电信企业带来 的经验和教训，深入研究我国电信企业在信息安全管理方面所存在问题，并提出相 关的解决措施，为我国电信企业构建一个比较完善的“积极防御、综合防范”的 信息安全管理保障体系，保证电信企业信息系统安全、高效和稳定持续地运行， 从而充分发挥信息系统在电信行业竞争中的价值，同时为信息安全管理提供理论 上的准备，强化中国电信市场乃至全球电信市场的信息安全管理、不断提高我国 电信市场信息安全管理的水平，以促进我国各行业的和谐发展，从而也助于我国 经济更好的发展。 1 3 论文研究意义 保障信息安全是国家安全的需要、企业持续发展的需要和保护个人隐私与财 产的需要。同时，信息安全不是一劳永逸的，由于新的威胁不断出现，信息安全 是一个相对的、动态的过程，企业能做到的就是要不断改进自身的安全状态，将 信息安全风险控制在企业可接受的范围之内，获得企业现有条件下最大程度的安 全。这个对信息安全风险进行识别、分析、采取措施将风险降到可接受水平并维 2 持该水平的过程就是信息安全风险管理的过程。 事实证明，信息安全并不仅仅是技术上的问题，更大程度的依赖于人员的管 理等方面。国内目前在信息安全方面注重安全防护技术的应用，忽视管理的作用， 对信息安全系统进行风险管理的研究刚开始起步，缺乏一个比较系统的信息安全 管理保障模式。因此，电信企业的信息安全风险如何识别和分析? 采取的控制措 施如何选择? 用什么手段维持风险水平? 如何应对突发状况? 具体的信息安全项 目应该如何操作，方方面面的关系如何调整? 这些都是电信企业信息安全实践中 迫切需要解决的问题。 电信企业信息安全的价值主要体现在以下几个方面： 1 电子商务顺利开展：电子商务是当今世界商务活动运作发展的主流方向。 在信息化的过程中，越来越多的企业在大规模地用电子商务来取代传统的商务活 动方式，以达到全面提高其市场竞争力的目的。然而，电子商务目前主要是以电 子数据交换和i n t e m e t 方式来实现的。企业必须防止电子商务中的欺诈行为，合同 争议和信息泄露或篡改的现象发生。在网上进行商务活动会涉及许多企业的商业 秘密与个人隐私，这需要保护；另一方面，任何商务活动是建立在交易双方相互 信任的基础上，如何确定要进行交易的交易方j 下式所期望的交易方，并防止抵赖 情况发生是保证电子商务顺利进行的关键，企业丌展电子商务活动必须建立在安 全交易的基础上。 2 保障业务持续运转：像地震，火灾，爆炸，洪水等自然灾害，系统软件与 硬件故障，网络病毒，人员欺诈与恶意行为等威胁，都会造成企业商务活动的中 断，甚至企业的破产，例如，如果通信网络因为故障造成用户数据丢失且没有用 户数据备份，短时间内无法恢复，这将给通信运营商造成很大的经济与信誉损失。 因为企业数据的毁灭，造成很多公司业务长时间的中断，甚至公司的灭顶之灾。 为防止企业经营或商务活动的中断，保护关键商务过程免受重大故障或灾难的影 响，建立安全强壮的信息系统及其管理必不可少。 3 信息安全是企业持续发展的需要：现代企业的正常运作离不丌信息资源的 支持，这包括组织的知识产权，各种重要数据，信息处理设施，关键人员等。企 业的商业秘密被泄露会使企业丧失竞争优势，失去市场；系统故障会造成j 下常的 业务运作中断。因此，企业要保持可持续性发展，信息安全是基本的保证之一。 1 4 国内外研究综述 1 4 1 国外研究综述 英国于1 9 9 5 年首次提出b s 7 7 9 9 1 ：1 9 9 5 信息安全管理实施细则，随后美 国和欧洲等一些国家也提出了相关的信息安全管理标准。1 9 9 6 年，信息系统审计 与控制基金会i s a c f 颁布了c o b i t 标准的第一版，随后又颁佰了第二版，现在使 用的是由信息技术管理研究所颁布的c o b i t 第三版。从1 9 9 6 年到2 0 0 0 年，i s o 提出了完整的g m i t s ( i t 安全管理方针) 。1 9 9 9 年，美国和加拿大共同提出了一 个用于系统可靠性的原则与标准s y st r u s ts m 。1 9 9 9 年，国际信息安全基金会提 出g a s s p ( 普遍接受的系统安全准则) 。 安全策略是安全系统设计、实施、管理和评估的依据。针对具体的信息和网 络的安全，应保护哪些资源，花费多大代价，采取什么措施，达到什么样的安全 强度，都是由安全策略决定的。2 0 0 0 年，英国i m p e r i a l 大学的n d a m i a n o u 等人提 出了一种p o n d e r 策略规范语言用于表示分布式系统安全和管理策略。2 0 0 3 年，希 腊a e g e a n 大学的s p y r o sk o k o l a k i s 等人提出了一个用于安全策略管理的基于知识 的存储模型。1 9 9 3 年，a n d r e w s 和m o s s 提出了用于风险评估的f t a 方法。1 9 9 6 年，e j h e n l e y 和h k u m a m o t o 提出了用于风险评估的c c a 法和e t a 法。1 9 9 9 年 6 月，美国卡内基梅隆大学的c h r i s t o p h e ra l b e r t s 和a u d r e yd o r o f e e 提出了一种信 息安全风险评估规范o c t a v e 框架。2 0 0 2 年，挪威能源技术协会的r u n ef r e d r i k s e n 等人提出了用于风险管理过程c o r a s 框架。2 0 0 3 年，墨西哥g u s t a v oa s a n t a n a t o r r e l l a s 提出了一个用于安全评估的a g e n t 系统。2 0 0 3 年，y o n gc h e n 等人提出了 一个基于聚类的风险可能性评估系统。2 0 0 4 年，美国斯坦福大学的a 0 e nl e n s t r a 和t i mv o s s 提出了一种用于信息安全风险评估、聚合、缓解的方法。 安全测评是依据安全标准对安全产品或信息系统进行安全性评定。早在1 9 7 0 年美国就有了计算机保密模型( b e l l & p a d u l a 模型) 。1 9 8 5 年，美国制定了基于 b e l l & l a 模型的“可信计算机系统安全评估准则( t c s e c ：t r u s t e d c o m p u t e r s e c u r i t y e v a l u a t i o nc r i t e r i a ) 。1 9 8 7 年和1 9 9 1 年，又先后制定了关于网络 系统、数据库管理系统方面的系列安全解释( t n i 和t d i ) ，形成了计算机信息系 4 统安全体系的早期准则。1 9 9 1 年，英、法、德、荷四国针对t c s e c 准则的局限性， 联合提出了安全的信息系统的较完整的概念，并推出了“信息技术安全评价准则 ( i t s e c ) 。同年，美国政府出台了联邦评测准则( f c ) 草案。1 9 9 9 年5 月，i s o 采纳了美、加、英、法、德、荷等国提出的“信息技术安全评价公共标准”( c o m m o n c r i t e r i af o ri t s e c ) 。在信息安全管理体系上，还没有人提出相应的评估模型和评 估方法。因此，如何对现有的几种信息安全管理模型进行量化的评估还有待于进 行研究。 1 4 2 国内研究综述 信息系统是个新兴行业，也是个朝阳产业。人们对信息安全的认识和管理的 过程是在实践中不断摸索前进的过程。真j 下把信息安全提到工作同程是在提出计 算机网络这一概念之后的事情。信息安全建设按时问一般来看分为三个阶段：第 一阶段是1 9 9 5 年f j ；第二阶段是1 9 9 5 年至2 0 0 0 年；第三阶段是2 0 0 0 年至今。 第一阶段建设的信息系统对信息安全问题基本没有考虑，没有必要的防火墙 和防病毒软件等安全设备和软件，人们对信息安全没有太多的认识，而且工作中 对网络中有关存取安全也没有太多的要求。 第二阶段建设的信息系统考虑到了信息安全问题，但没有实质性的投入。基 本上是先建设，遇到信息安全问题，再购置信息安全所需要设备和软件，以解决 遇到的安全问题，属于被动防御。随着电信广域网的建设日益普及，远距离传送 数据提出了准确性、安全性的需求。而此时，黑客、计算机犯罪经常出现于网络， 病毒更是通过网络大面积传播。为了保证信息安全就得重新购置设备，搞重复建 设，造成极大的浪费。 第三阶段建设的信息系统，信息化建设和信息安全建设被置于同等地位，变 被动防御为主动防御，相关人员对信息安全认识加强，但信息安全的管理不到位。 这个阶段建设的信息系统配置了防火墙、网关等设备和防病毒软件，而且选型、 配置得也非常合理，但也存在着重建设，轻管理，重“硬件 轻“软件 的问题， 比如防火墙、网关这些设备出厂时都会有个“出厂设置”的问题。般来说，这 些设备专业性比较强，我们的专业技术人员对这些设备的参数都不是太熟悉，厂 商的技术工作人员会负责安装调试，没有问题就算验收了，这样就存在着信息安 全的问题，因为没有及时更改相关的数据，就为同后的信息安全留下了隐患。 近期，中国加快了安全标准的制定步伐，1 9 9 9 年9 月，中国制定了计算机 信息系统安全保护等级划分准则( g b l 7 8 5 9 1 9 9 9 ) 。2 0 0 0 年1 2 月，b s 7 7 9 9 1 ： 1 9 9 9 信息安全管理实施细则通过了国际标准化组织i s o 认可，正式成为国际 标准i s o i i e c1 7 7 9 9 1 ：2 0 0 0 信息技术信息安全管理实施细则。但该国际标准 只被英国、荷兰、丹麦、澳大利亚等几个国家使用，美国、德国等国家对该标准 持反对态度。2 0 0 4 年9 月，完成信息安全风险评估指南、信息安全风险管理 指南二个规范草案的初稿；2 0 0 5 年9 月，出台电子政务信息安全等级保护实 施指南( 试行) ；2 0 0 6 年的上半年，公安部连续出台了信息安全等级保护管理 办法( 试行) ，信息系统安全等级保护测评准则( 送审稿) 、信息系统安全等 级保护定级指南( 试用稿) 等一系列规范，但这些标准也缺乏必要的安全控制技 术措施。因此，如何在现有的信息安全管理标准的基础上制定出实用的信息安全 管理标准还需要作进一步的研究。 信息安全策略方面，2 0 0 2 年，南京师范大学的钱钢提出了一种基于s s e c m m 的信息系统安全风险评估方法。2 0 0 4 年，北京邮电大学信息安全中心的朱而刚和 张素英提出了一个基于灰色评估的信息安全风险评估模型。但这些研究成果只适 用于访问控制策略的制定和管理，不适用于构建层次化的信息安全策略。因此， 如何依据组织的信息安全需求制定出最优的安全策略并对其进行灵活有效的实施 与管理还需要进一步的研究。 1 5 论文的框架 第一章是引言，主要说明了论文研究背景、研究目的、研究意义和国内外研 究综述。 第二章对信息安全管理进行概述，主要说明信息安全的涵义、特征和评估和 信息安全管理的内涵、意义，阐述了我国电信企业信息安全管理的现状和存在的 主要问题。 第三章是信息安全管理在我国电信企业中的综合应用，先介绍了信息安全管 6 理策略制定思路，然后分别从物理层、物理安全接口层、安全策略实现保障层进 行现状研究和策略分析，对电信企业信息安全管理系统风险与控制的特征、原则 和控制方法进行了说明。其中控制方法里说明了：文化控制是信息安全风险控制 的源动力；技术控制是信息安全风险控制的基础；管理控制是信息安全风险控制 的推动力；人员控制是信息安全风险控制的保证力。然后提出信息安全风险控制 策略。 第四章是电信企业信息安全管理保障体系解决方案，以某电信企业信息网为 对象，深入研究电信企业的信息安全管理保障体系解决方案。根据电信企业信息 网的安全现状，遵循统一规划、分布实施的原则，围绕企业信息安全目标的具体 要求。以策略为中心，有序地组织部署安全技术措施以及安全产品，同时加强企 业员工安全意识的培训，构建一个动态的电信企业网络安全综合防范体系。 第五章是结论，对全文进行了概括总结。 7 2 1 信息安全简介 2 信息安全管理概述 信息安全是指防止信息财产被故意的或偶然的泄露、更改、破坏或使信息不 可用的系统辨识、控制、策略和过程。其要旨应当是向合法的服务对象提供准确、 j 下确、及时、可靠的信息服务；而对其它任何人员和组织包括内部、外部乃至于 敌对方，都要保持最大限度的信息的不透明性、不可获取性、不可接触性、不可 干扰性、不可破坏性，而且不论信息所处的状态是静态的、动态的，还是传输过 程中的。因此，信息安全的目的是保护在信息系统中存储、处理的信息的安全。 信息安全具有以下五个方面的特点： 完整性，即信息在存储或传输过程中保持不被修改、破坏和丢失的特性； 可用性，指信息可被合法用户访问并按要求的特性使用，即当需要时能否存 取所需信息； 保密性，即信息不泄密给非授权的个人和实体或者供其利用的特性； 可控性，指可以控制授权范围内的信息流向及行为方式，对信息的传播及内 容具有控制能力； 不可否认性，指信息的行为人要对自己的信息行为负责，不能抵赖自己曾有 过的行为，也不能否认曾经接受到对方的信息。 于是对于信息安全我们可以从三个方面考虑：安全攻击、安全机制和安全服 务： 安全攻击：网络面临的安全威胁多种多样，网络中的主机可能会受到非法入 侵者的攻击，网络中的敏感数据有可能泄露或被修改，从内部网向公网传送的信 息可能被他人窃听或篡改等等，造成网络安全的攻击的原因是多方面的，有来自 外部，也有可能来自企业网络内部。 安全服务：在网络通信中，主要的安全防护措施被称作安全服务。国际标准 化组织1 5 0 在网络安全体系设计标准( 1 5 0 7 4 9 8 2 ) 中，提出了层次型的安全体系结 构，并定义了五大安全服务功能：身份认证服务，访问控制服务，数据保密性服务， 数据完整性服务，不可否认性服务。 安全机制：安全机制是实现安全服务的技术手段，表现为操作系统、软硬件 功能部件、管理程序以及他们的任意组合。网络信息系统的安全是一个系统的概 念，为了保障整个系统的安全可以采用多种机制。 2 2 信息安全管理的内涵、意义 2 2 1 信息安全管理的内涵 信息作为一种资源的必要条件是对其进行有效的安全管理。对信息及其相关 活动因素进行科学的计划、组织、控制和协调是管理活动的必然要求。信息安全 管理作为组织安全体系的上层建筑，是指导和控制组织的关于信息安全风险的相 互协调的活动。 2 2 2 信息安全管理的意义 对安全技术和产品的选择运用只是信息安全实践活动中的一部分，只是实现 安全需求的手段。信息安全更广泛的内容，还包括制定完备的安全策略，通过风 险评估来确定需求，根据需求选择安全技术和产品，并按照既定的安全策略和流 程规范来实施、维护和审查安全控制措施。归根到底，信息安全并不是技术过程， 而是管理过程。之所以有这样的认识误区，原因是多方面的，从安全产品提供商 的角度来看，既然侧重在于产品销售，自然从始至终向客户灌输的都是以技术和 产品为核心的理念。而从客户角度来看，只有产品是有形的，是看得见摸得着的， 对决策投资来说，这是至关重要的一点，而信息安全的其他方面，比如无形的管 理过程，自然是遭致忽略。 于是我们就经常看到：许多组织使用了防火墙、i d s 、安全扫描等设备，但却 没有制定一套以安全策略为核心的管理措施，致使安全技术和产品的运用非常混 乱，不能做到长期有效和更新。即使组织制定有安全策略，却没有通过有效的实 施和监督机制去执行，使得策略空有其文成了摆设而未见效果。实际上对待技术 和管理的关系应该有充分理性的认识：技术是实现安全目标的手段，管理是选择、 9 实施、使用、维护、审查包括技术措施在内的安全手段的整个过程，是实现信息 安全目标的必由之路。 2 3 我国电信企业信息安全管理 2 3 1 我国电信企业信息安全管理的现状 电信运营商内部的信息系统也有自身的特点。国内电信运营商均起源于传统 的邮电行业。经过多年的发展和市场的割据。四大运营商( 电信、联通、网通、移 动) 均发展了庞大的用户，形成了庞大且分布宽广的网络。目前国内省级运营商拥 有各自庞大的用户数量，和近几年来电信运营商在自身的基础建设上累计投入。 就广泛而言，通常情况下，电信运营商系统内已经建成并投入运行的包括有网管、 计费、数据和办公四大业务营运支撑系统，以及周边的一些业务系统，这些系统 构成了庞大宽广网络应用系统，我们称之为巨系统的安全体系。 但是，通常这四大业务系统的安全建设从规划、设计、立项到实施却基本是 以分系统各自为政进行建设的，并没有从巨系统全网的安全体系来进行总体规划， 也没有对全网的业务应用系统进行总体的安全评估和规划，缺乏总体的安全风险 监管体系的建设。伴随着业务系统的发展，其巨系统应用的r 常维护形成了严重 依赖于厂商的现状，这就不可避免的造成各系统的相关安全管理权限分散控制到 各个厂商手里，省公司无法从整体上把握全应用系统的安全态势和风险情况，从 而容易形成省网各业务系统之间安全保障的协调指挥失控，并会在系统的突发事 件产生时无法及时预警及处理，这样会产生省网巨系统的应用在出现安全风险时 发生失控的巨大风险。实际上，这样庞大网络的运营出现了大小各种安全事故。 随着对业务整合和集中化的经营要求，系统越来越趋于整合和网络化，对全 网整体安全的重视也随之被提升到了一个前所未有的高度。因此必须做出一个不 同于各网对设备漏洞的评估分析，确定这种网络特点下的信息安全策略和信息安 全管理体系模型。以达到提高安全投资效率、提高全网安全体系建设的效果。 l o 2 3 2 我国电信企业信息安全管理存在的主要问题 在上市之前，由于传统国有企业文化与西方管理文化的差异等原因，国内运 营商在企业管理上相对粗放，只注重目标考核，对过程缺乏控制。i t 系统不分明， 缺乏以预防为主的安全机制和统一的安全管理安排和规划。 国内各组织和企业的信息安全技术发展和信息安全管理水平普遍存在起步 晚，发展滞后的情况。部分企业仍处在安装防病毒软件和设置防火墙为主要安全 手段的阶段。各种威胁，包括病毒、黑客、计算机系统漏洞、管理漏洞、人员失 职等各种因素对存储于计算机系统的信息资产造成越来越大的破坏，而且越来越 隐蔽。 经过近几年的高速发展和国内电信企业市场的不断发展和重新分配，企业i t 系统安全问题越发平凡和严重。小至个人通话记录的非法泄漏，大到大量充值卡 密码被盗取等事件不断发生。由于信息安全管理跟不上步伐，很多有效的技术资 源无法整合，各种各样的资料都显示：各类令企业损失惨重的安全违规事件追究 到最后大多数是人所造成的，并且发展成为物理安全和人员的问题。同时随着新 的市场格局的逐步稳定，企业的决策者不得不将全部注意力从获取更高的利润和 更大的市场分散到安全问题上。随着几家运营商在美国上市和萨班斯法案的实行， 企业客户数、a p r u 值、网络指标以及各项财务指标的准确性和安全性落实到i t 系统的准确性和安全性上。企业急需建立符合自身特点且满足萨班斯法案要求的 信息安全体系。 3 信息安全管理在我国电信企业中的综合应用 3 1 信息安全管理策略 目前，我国信息安全防护与保障能力，还处于发展阶段，众多信息化领域， 特别在电信企业，实际上是未设防状念存在着广泛的事故隐患，因此，加强企业 信息安全管理策略的部署刻不容缓。从现有的信息安全策略来看，信息安全管理 策略包括加密策略、使用策略、访问策略、职责策略、反病毒策略、审计策略、 备份策略、数据库策略、日志管理策略、i n t e m e t 接入策略、口令防护策略、远程 访问策略、v p n 安全策略、无线通讯策略。 3 2 信息安全管理策略制定思路 考虑电信运营商信息系统的网络特点具有安全域划分的特点，结合安全域概 念，在对系统分层分域的控制的要求下，结合电信运营商的信息系统特点，结合 安全技术和安全管理的“三分技术，七分管理”的参考意见，基于相关安全标准， 本文按照以下三个层次进行安全策略分析：物理层、物理接口层、安全策略保障 层。 3 3 物理层安全策略 物理安全层是安全体系的最底层，也是安全体系的物理实现，最初阶段的安 全建设都是在此基础上搭建起来，并通过物理安全设备或者软件产品来保障实现 的。因此，物理安全层应从安全防护、安全检测、安全内容与行为控制、安全审 计以及安全恢复来建立策略管理。 3 3 1 现状分析 目前的防护体系以防火墙+ i d s 的模式为主，二级城市地区系统以防火墙为主 1 2 要边界防护手段。四大业务系统在通往省网外的网络边界上，均部署了不同性能 的防火墙，对外向内的访问连接实施了相应的控制策略。对系统内各分系统之间 的业务关联访问，基本依靠系统i 日j 的信任关系，在边界的防火墙上也仅仅进行了 必要的i p 和端口限制( 甚至有些分系统的外联边界防火墙上采用缺省配置) ，对外 部进入本系统内的内容和行为操作普遍缺乏认证和跟踪手段。 从现有防火墙上的安全策略来