信息安全规划设计

1、信息安全规划设计随着信息技术的不断发展，全球业务链已经越来越依赖 信息技术。与信息技术相关的安全问题成为威胁业务链的重 要构成部分。传统的信息安全保护在“木桶原理”的指导下， 不断修补短板，却缺乏全面、系统的安全规划设计。CISP的核心在于将保障贯穿于整个知识体系。保障应覆盖整个信息系统生命周期，通过技术、管理、工程过程和人 员，确保每个阶段的安全属性得到有效控制，使组织业务持 续运行。IT作为保障业务的重要手段和工具成为传统保障目 的的核心。由于风险会影响业务的正常运行，因此，降低风 险对业务的影响是保障的主要目标。在建立保障论据的过程 中，首先应该考虑的是组织业务对IT的依赖程度；其次要考

2、虑风险的客观性；第三要考虑风险消减手段的可执行度。 CISP从体系结构上提供了信息安全规划设计的良好思路和 方法论，在整个课程体系中涵盖了从政策到模型、标准、基 线的纵向线条，同时在兼顾中国国情的情况下，系统介绍国 际常用评估标准、管理标准和国家相关信息安全标准与政 策。安全规划是信息安全生命周期管理的起点和基础，良好 的规划设计可以为组织带来正确的指导和方向。根据国家网络安全法“第三十三条建设关键信息基础设施应当确 保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用信息安全规划设计可以根据美国信息保障技术框架ISSE过程建立需求，本阶段可对应ISSE中发掘信

3、息保护需求阶段。根据“信息安全保障基本内容”确定安全需求，安 全需求源于业务需求，通过风险评估，在符合现有政策法规 的情况下，建立基于风险与策略的基本方针。因此，安全规 划首先要熟悉并了解组织的业务特性，在信息安全规划背景 设计中，应描述规划对象的业务特性、业务类型、业务范围 以及业务状态等相关信息，并根据组织结构选择适用的安全 标准，例如国家关键基础设施的信息安全需要建立在信息安 全等级保护基础之上、第三方支付机构可选CISP知识域简图择PCI-DSS作为可依据的准则等。信息系统保护轮廓是根 据组织机构使命和所处的运行环境，从组织机构的策略和风 险的实际情况出发，对具体信息系统安全保障需求和

4、能力进 行具体描述。传统的风险评估可以基于GB/T20984信息安全风险评估规范执行具体的评估，评估分为技术评估与管 理评估两部分。从可遵循的标准来看，技术评估通过 GB/T22240 XX信息安全等级保护技术要求中物理安全、 网络安全、系统安全、应用安全及数据安全五个层面进行评 估；管理安全可以选择ISO/IEC27001 : XX信息技术信息安 全管理体系要求进行，该标准所包含的14个控制类113个控制点充分体现组织所涉及的管理风险。在工作中，可以根据信息系统安全目标来规范制定安全方案。信息系统安全 目标是根据信息系统保护轮廓编制、从信息系统安全保障的 建设方角度制定的信息系统安全保障方案

5、。根据组织的安全 目标设计建设目标，由于信息技术的飞速发展以及组织业务 的高速变化，一般建议建设目标以1-3年为宜，充分体现信息安全规划设计的可实施性，包括可接受的成本、合理的进 度、技术可实现性，以及组织管理和文化的可接受性等因素。概要设计的主要任务是把背景建立阶段中所获得的需 求通过顶层设计进行描述。本阶段可对应ISSE中定义信息保护系统，通过概要设计将安全规划设计基于GB/T20274-1 :XX信息安全技术信息系统安全保障评估框架第一部分：简 介和一般模型进行模块化划分，并且描述安全规划设计的 组织高层愿景与设计内涵；在概要设计中，还应该描述每个 模块的概要描述与设计原则。设计思路是从

6、宏观上描述信息 安全规划设计的目的、意义以及最终目标并选择适用的模型 建立设计原则。本部分主要体现信息安全保障中信息系统安 全概念和关系。根据网络安全法相关规定，顶层设计可 以建立在信息安全等级保护的基础上，综合考虑诸如建立安 全管理组织、完善预警与应急响应机制、确保业务连续性计 划等方面GB/T20274-1 : XX信息安全技术信息系统安全保 障评估框架第一部分：简介和一般模型提供了一个优秀的 保障体系框架。该标准给出了信息系统安全保障的基本概念 和模型，并建立了信息系统安全保障框架。该标准详细给出 了信息系统安全保障的一般模型，包括安全保障上下文、信 息系统安全保障评估、信息系统保护轮廓

7、和信息系统安全目 标的生成、信息系统安全保障描述材料；信息系统安全保障 评估和评估结果，包括信息系统保护轮廓和信息系统安全目 标的要求、评估对象的要求、评估结果的声明等。信息系统 安全保障是在信息系统的整个生命周期中，通过对信息系统 的风险分析，制定并执行相应的安全保障策略，从技术、管 理、工程和人员等方面提出安全保障要求，确保信息系统的 保密性、完整性和可用性，降低安全风险到可接受的程度， 从而保障系统实现组织机构的使命。策略体现的是组织的高 层意旨，模型与措施作为战术指标分别为中层和执行层提供 具体的工作思路和方法，以完成设计的具体实现。当信息安 全满足所定义的基本要素后，为每个层面的设计

8、提出概要目 标，并在具体的设计中将其覆盖整个安全规划中。通用设计可对应ISSE中设计系统体系结构，本阶段是 整个安全规划设计的核心部分，本阶段必须全面覆盖背景建 立阶段所获得的安全需求，满足概要设计阶段所选择的模型 与方法论，全面、系统的描述安全目标的具体实现。通用安 全设计是建立在宏观角度上的综合性设计，设计首先将各个 系统所产生的共同问题及宏观问题统一解决，有效降低在安 全建设中的重复建设和管理真空问题。在通用设计中，重点 针对组织信息安全管理体系和风险管理过程的控制元素，从 系统生命周期考虑信息安全问题。在通用设计中，可以基于组织平均安全水平建立规划设 计，而本阶段主要为满足不同等级化业务系统的强化安全保 护要求。层面间设计可以基于系统的具体特征有针对性地对 系统安全性进行深度分析。本阶段的设计可以建立在信息安 全等级保护的符合性原则之上。5.合理安排工程实施计划工程实施计划必须根据背景建立阶段中的建设目标，将信息安 全规划设计根据组织风险优先级及成本投入等因素分期实 施。安全规划设计通过技术、管理、工程过程及人员四个方 面设计，在每个阶段可根据组织实际情况分期实施，并合理 分配工程预算。信息安全规划设计不用拘泥于某一种模式或 者类型，CISP知识体系建立基于生命周期的信息安全保障体 系，为信息系统安全规划设计提供了良好的