资产管理需求.doc

1 引言1.1 背景针对最近的几起事件分析来看，资产管理不健全是影响事件响应和应急处置的一个关键因素。由于目前主机操作系统、网络、应用和安全分别由各部门分别负责，致使服务器所在机房、机架位置、主机的IP地址、安装的操作系统、数据库、应用软件、域名等信息分别掌握在各个部门之内，但缺少一种机制能够直观的，从整体层面展现这些资产的安全状态，具体到某一台服务器时这些信息也无法完整的呈现，无法快速定位故障点。这些信息的变更也无法及时传达给其它部门，发生安全事件后无法快速联系相关责任人去处理安全事件。1.2 目的信息安全资产管理是信息安全管理中最基础的工作，通过对信息资产的管理，实现和保持对组织资产的适当保护，使所有资产实现可核查的，且责任人是明确的。通过资产管理平台，实现全面的、系统的掌握信息资产从采购、安装部署、变更管理、维护保养、安全状况、运行状态、以及各资产的维护人员或责任人等信息。从而为深入、细致的开展信息安全管理工作提供有力的支撑。1.3 范围本平台仅涉及信息安全资产管理中的部分软硬件资产进行管理，并非全面的资产管理，不涉及资产如：l 信息资产：数据文件、合同协议、系统文件、用户手册、培训材料、操作规程、业务连续性计划、归档信息等；l 软件资产：开发工具和实用小工具等；l 物理资产：可移动存储介质、通讯线缆等；l 服务：计算和通讯服务、共用设施，例如，供暖、照明、能源、空调；l 人员：人员资格、技能和经验；l 无形资产：例如组织的声誉和形象。本平台管理的资产范围仅包括支撑应用系统运行直接相关的计算机硬件和软件资产，以及对这些软硬件资产的运维记录进行管理。l 计算机硬件：计算机服务器，网络设备；l 软件资产：操作系统、数据库系统、Web应用服务器、FTP、电子邮件、以及其它对外提供网络服务的软件。1.4 术语1. 资产(Asset)：风险评估的对象，宏观上的资产定义为组织内任何需要保护的对象，包括有形资产和无形资产。2. 业务(Business)：由若干系统和人员构成的单位，完成组织重要业务功能。3. 系统(System)：由若干设备构成的系统完成特定的目标功能，一个或者多个系统完成组织的某项业务功能。4. 区域(Region)：通过某种方式划分的资产范围，分为逻辑区域（Logical Region，通常以逻辑隔离单位划分）和物理区域（Physical Region，通常以资产所处的物理位置进行划分）。5. 资产价值(Asset Value)：以量化或者非量化形式表示资产对组织的重要性。6. CIA价值赋值方法(CIA Evaluation Method)：通过对C(Confidentiality, 机密性)、I(Integrity, 完整性)、A(Availability, 可用性)三个子查的安全属性对资产价值进行描述。1.5 参考资料l GB/T 22080-2008 (ISOIEC 27001-2005)信息技术 安全技术 信息安全管理体系 要求l GB/T 22081-2008 (ISOIEC 27002-2005)信息技术 安全技术 信息安全管理实用规则l GB/T 22239-2008信息安全技术 信息系统安全等级保护基本要求2 项目概述2.1 平台功能资产管理平台，将信息资产评估的内容和资产分类、风险评估的结果导入到安全信息库，并且在将来能够实现对风险信息持续不断的监控和升级能力。安全信息库是基于资产的、以风险为核心的系统，这个系统能够充分体现现有业务系统和信息资产存在的资产价值、风险、漏洞、威胁等重要的安全属性，不断跟踪各个业务系统的风险变化，实现对风险的管理和控制，该系统要求至少实现以下功能：l 支持对计算机和网络设备、操作系统、应用软件、应用系统等资产的集中管理；l 支持记录对上述资产进行的安装部署、版本更新、补丁升级、设备巡检、故障处理、设备重用、安全评估等维护工作信息；l 支持从机房物理位置、主机、应用系统、资产所属部门或责任人等多个角度进行逐层分析和展现资产信息；l 支持对资产责任人的设置、调岗或离职后的变更管理；l 支持对细致的权限管理，不同部门、不同人员可浏览和变更资产信息是受控的；l 支持对资产信息的浏览和变更等操作行为进行安全审计，避免越权访问无法追查；l 支持提醒设备保修、软件许可协议即将到期；l 支持提醒补丁升级、设备巡检、安全评估工作；l 支持分析和统计资产信息不完整，设备长期闲置不用，设备故障未及时修理或处置，补丁升级、设备巡检、安全评估等运行维护工作不及时的情况。l 支持web界面，客户端的访问支持https。2.2 用户特点系统使用人员为组织中各网络设备、主机、数据库、应用系统的管理员，组织内与信息安全相关的人员或领导。l 分权管理：根据用户的行政级别在系统中有不同的访问权限。l 分级管理：根据业务、系统和资产的管理员属主特点，设定业务、系统、资产的数据权限。l 支持系统上线处理流程、设备巡检维护流程、补丁管理流程、安全检查处理流程、设备报废或重用处理流程等。3 具体需求3.1 输入系统平台输入信息包括：l 硬件信息：硬件设备资产种类名称、所在机房或节点名称、机架位置、产品序列号、固定资产管理序号、硬件资产负责人、业务、硬件基本信息（CPU,内存，硬盘等）、采购时间、保质期、设备状态（完好、故障中、修理中、报废）；l 网络信息：主机的IP、子网掩码、网关、MAC地址、对应交换机端口、网络区段名称或编号；l 系统信息：安装的操作系统名称、版本号、主机维护负责人、系统运行状态（开机/关机，可以通过ping、http、ssh等方式测试）、最后一次处于连通状态的时间；l 软件信息：SSH、数据库、应用软件、商业软件许可协议序号和有效期等（所有软件需要端口号信息）；l 应用信息：部署的应用系统（CMS、VMS、HR、CRM或Web应用的域名）,应用系统维护负责人，应用系统部署时间；l 更新信息：何人、何时对主机和设备进行过系统安装部署、版本更新、补丁升级、设备巡检、安全检查、故障处理、设备重用等变更信息的维护（更新信息需要有历史记录）；l 资产的价值信息：资产的CIA属性值，软硬件资产的采购成本。（这部分功能是为了配合等级保护和ISO27001的要求对资产重要性进行赋值，以进行风险评估并选择适当的控制措施；采购成本可以为设备折旧和报废处理提供管理依据。这两部分功能可以考虑后期再扩充。）3.2 任务记录资产的初始化信息和历史变更记录。3.3 输出根据用户在Web界面上的操作，进行响应和输出。输出形式包括：l 3.1中描述的资产信息和运行状态的统计汇总；l 3.1中描述的资产的历史变更和运行维护记录；l 数据库记录更新；l 用户要求的格式化Html页面；l 文档生成和下载；l 日志。4 环境此部分内容最终由架构设计者来具体考虑。4.1 设备环境这里是指系统的设备环境要求。l 处理器：性能在Intel core 3以上。由于系统本身无多少计算功能，对CPU的个数无特别要求。l 内存：建议2G以上l 存储媒体容量：50G以上l 输入/输出设备：无特殊要求l 通信网络：基于TCP/IP的网络环境，系统本身对线路速度无特殊要求，数据导入和用户交互操作会增加一些网络流量，高速的网络更有利于增加系统的实时性，减少网络阻塞。4.2 支持软件环境这里是指系统的支持软件环境。l 操作系统：有后期的开发平台来确定，如果为Windows可以考虑在Windows 2003 Server上