论系统防控如何为信息安全保驾护航

1、论系统防控如何为信息安全保驾护航业务支撑中心 赵磊【摘要】近年来，安全生产在企业中的地位越来越高，对于通信行业单位信息安全尤为重要。随着全国范围4G业务的开放，4G时代已然来临,同时带来了新业务的飞速发展，中国移动也面临了前所未有的机遇和挑战。在信息飞速发展的时代，信息安全和通信行业单位息息相关，如何做到运营系统安全防控是现阶段亟需解决的问题。本文分析了中国移动运营支撑系统安全防控现状及面临的挑战，我们必须建立全新运营支撑系统风险管控体系，我们通过网络安全域规划、信息资产保护、数据安全防控体系建立等方面阐述了如何建立全新的运营支撑系统风险管控体系，进而实现系统防控为信息安全保驾护航。关键词:安

2、全生产，系统防控，信息安全，运营支撑目录一、安全生产管理的重要性21 运营生产安全重要性22 信息安全重要性33 运营支撑系统安全重要性5二、现代运营支撑系统安全防控面临的挑战5三、建立全新运支系统成为信息安全卫士73.1 全新运支系统搭建策略83.2 全新运营支撑系统风险管控体系103.3 全新安全管理一体化14四、结束语15【引言】安全生产管理作为现代企业文明生产的重要标志之一，在企业管理中的地位与作用日趋重要。从一定意义上说，安全生产管理的成败直接关系到企业的生存与发展。如何搞好安全生产，提高企业管理水平，是大家共同关心的大事。因此，正确理解与认识安全文化建设在安全生产管理中的重要作用，

3、通过加强安全文化建设，促进安全生产管理的有效开展，具有十分重要的现实意义。一、 安全生产管理的重要性安全生产管理1是避免企业财产损失、环境免遭破坏、人员免受伤害，实现稳定生产，利益最大化和创造良好社会效益的重要手段。安全生产管理作为现代企业文明生产的重要标志之一，在企业管理中的地位与作用日趋重要。从一定意义上说，安全生产管理的成败直接关系到企业的生存与发展。如何搞好安全生产，提高企业管理水平，是大家共同关心的大事。因此，正确理解与认识安全防控建设在安全生产管理中的重要作用，通过加强生产安全建设，完善信息安全体系，促进安全生产管理的有效开展，具有十分重要的现实意义。1 运营生产安全重要性企业管理

4、的重要组成部分就是安全管理，随着社会的发展和进步，企业形态也逐步向现代型企业转变，安全越来越被社会和企业所重视，安全管理在企业发展过程中的地位也原来越高了。一个企业要实现良性的、持续的发展，安全工作就不可忽视，不管是从建立企业的健康形象，还是从保护员工的生命财产安全着想，企业安全管理工作的重要性和必要性都是不言而喻的。2 信息安全重要性对于通信行业的安全生产，信息安全才是安全生产的重中之重。信息安全指的是信息的保密性、完整性、可用性和可控性的保持。是一个关系国家安全和主权、社会稳定、民族文化继承和发扬的重要问题。其重要性，正随着全球信息化步伐的加快越来越重要。具体到一个企业内部的安全管理，受业

5、务发展迅速、人员流动频繁、技术更新快等因素的影响，安全管理也非常复杂，经常出现人力投入不足、安全政策不明等现象。随着信息产业的高速发展，众多企业、单位都利用互联网建立了自己的信息系统，以充分利用各类信息资源。但是我们在享受信息产业发展带给我们便利的同时，也面临着巨大的安全风险。我们的系统随时可能遭受病毒的感染、黑客的入侵，这都可以给我们造成巨大的损失。图1 信息安全风险信息安全的重要性体现在4个重要性，即保密性、完整性、可用性和可控性。保密性是指数据不泄露给未授权的用户、实体和过程，或利用其特性。完整性是数据未经授权就不能进行改变的特性.存储器中的数据或经网络传输后的数据，必须与传输前的数据在

6、内容与形式上保持一致，保证信息系统上的数据保持完整、未受损的状态，使数据不会因为有意或无意的事件所改变和破坏。可用性是指非授权访问的攻击者不能占用所有资源而阻碍授权者的工作，需要时就可以取得数据、访问资源，是网络设计和安全的基本目标。我们员工有各自的账号，密码，在登陆系统是都是需要自己手机短信验证码，确保密码遗失，他人无短信验证码，无法登陆，同时也确保了账号的安全性。可控性指可以控制授权范围内的信息流向及行为方式,首先，员工的岗位不同所拥有的系统访问，操作权限就有所不同，这就通过访问控制和授权来实现的。其次，每个员工都有固定的工号，在员工离职后就会立即收回此工号的所有权限，防止资料外泄。随着计

7、算机技术的飞速发展，信息安全已经成为社会发展的重要保证。信息安全的实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性，信息的安全关系着我们每个人。3 运营支撑系统安全重要性运营支撑系统是通信行业软实力的重要组成部分，其安全运行已经成为整个企业战略目标能够顺利实现的重要保障。因此，如何保证各运营支撑系统中网络架构的安全性、健壮性，数据信息的保密性、完整性、可用性、真实性，安全事件的可控性，是企业实现运营支撑系统安全的首要任务。二、 现代运营支撑系统安全防控面临的挑战在通信行业信息安全体系中，运营支撑系统安全防控是至关重要的。随着信息化进程的逐步深入，信

8、息安全已成为大家的关注点，整体基础防控已初步形成，但运营支撑系统的安全依然存在不少问题。运营支撑系统漏洞，各类变异病毒的黑客入侵等安全威胁会因为支撑系统的升级、调整而更加频繁地出现。换句话说，整合调整后的支撑系统如果不解决安全问题，就必然会导致安全事件的发生。在新支撑系统的安全体系建设上可能会出现以下四个问题：1. 安全体系的整体规划缺乏 由于通信行业的不断、快速发展会导致通信行业的支撑系统不断改造、升级，其功能需求、网络组织、技术架构都可能发生改变。各个部门都会提出大量的需求，而更多的厂家会提供无数的解决方案。这期间也可能会针对某项功能提出一些安全要求，但缺乏对安全体系的整体规划，没有制订一

9、个全面可靠的安全实施计划。 多数人会误认为安全体系的建设应该是随需而动，这种认识是缺乏对安全体系规划必要性的认知，缺少主动防控意识。往往制度安全防控方案的主管都不是安全专职主管，还要兼职其他工作，因此制定的安全解决方案常常是仅考虑局部效果和工期，安全系统的实际效果，扩展性、稳定性不能尽如人意，管理部门不得不加班加点，弄出很多临时方案或者补丁方案，反过来使得整个安全体系更加复杂难以整改。2. 安全设备分散，安全维护成本高 在支撑系统不断改造、升级过程中，针对某些安全问题或者应用会匹配安全设备。在安全设备部署时，分散在各部门，各自使用，没有统一管理。在制订计划时，很少认真衡量、预估安全体系的建设管

10、理成本和维护成本，随着支撑系统安全需求的不断增加，成本也在年年攀升，而安全防控质量并没有本质改变。3. 缺少第三方权威机构的安全评估 目前，安全方案的预评估工作在安全方案设计中的地位越来越高。多数支撑部门或者安全部门往往在考虑安全项目时，没有做好对安全需求、安全现状评估的前期工作，就提出了所谓的安全解决方案。提出的安全解决方案最常见的方式就是在自身与外界的边界配置防火墙，仿佛有了这些安全设备就等于躲进一间堡垒之中，可以高枕无忧了，这实际上是对防火墙等设备应用场合和能力认识上的误区。 把大多数精力和预算都放在了方案和设备上，没有意识聘请第三方安全权威机构进行安全评估，出现事倍功半的情况。4. 重

11、技术防控、轻人员管理 部分企业花大钱引进了良好的技术设施，但并不等于降低了对安全体系管理制度和维护人员的要求。恰恰相反，任何一个安全体系是不可能独立于企业管理体系之外，进一步讲，安全体系建设应该永远围绕技术是为管理服务这一根本来展开的。如果不能切实提高所有员工，尤其是管理层在安全方面的警惕性，不花大力气培训安全部门的人员以便他们有能力实施、操作和维护，系统重组后必然会造成安全体系的建设与维护滞后，不能及时满足新支撑系统对于安全能力与质量的需求。当前，我们面临的安全问题大多是因为没做好人员安防导致的，即内部员工利用合法权限、通过合法渠道做非法的事。客户和员工的隐私数据、技术财务方面的公司机密，都

12、会因为人员大量且频繁流动而存在泄漏可能，更不用说在支撑系统的调整、升级过程中，大量厂家技术人员的参与。如果把心力与预算都用在建立严密的周边安全和阻挡外部攻击上，必然会造成安全防护能力的先天缺失。三、 建立全新运支系统成为信息安全卫士4G时代业务竞争环境下，建设一套打破旧有格局、全新的支撑业务安全运营的新一代运营支撑系统，对企业的信息安全管理至关重要。3.1 全新运支系统搭建策略各运营商在搭建支撑系统安全体系时，会由于运营支撑系统的系统策略、安全体系的技术架构、未来发展规划的不同而有一定差别。因此应该对调整后的运营支撑系统安全体系的建设原则和应对策略进行深入分析，将安全风险扼杀在摇篮里。1. 整

13、体规划策略 在安全建设过程中，常会提到“木桶理论”2，就是说最容易发生安全事件的地方就是安全措施最薄弱的地方。假如我们依照这一理论去指导支撑系统的安全建设，必然会有出现一个安全漏洞就去修补一个安全漏洞的现象。 安全隐患是多层次多维度存在的，安全保护的对象不仅涉及设备、数据，还涉及人员、制度等，还有安全需求也是多方面的。因此，只有从客观与综合的角度去审视、对待和分析，才可能制订行之有效的方案。2. 整合分散策略 因为运营支撑系统的模型复杂，涉及部门较多，不同时期侧重点也不同，企业可能采用阶段实施、逐步整合的建设原则，改变原有安全系统部署，出现各自实施的局面。 整合与集中的安全设备部署方式，一方面

14、可以从整体统一新支撑系统的安全策略，降低进而避免现有分散建设模式下出现安全漏洞的可能性。另一方面，也解决了安全策略不能及时贯彻全局的问题，在提高安全管理效率的同时降低设备采购和维护成本。3. 预估安全策略 随着信息时代的不断发展，安全隐患的威胁也越来越大，对运营支撑系统的安全要求也越来越高。安全需求不仅会时常变化，而且要求安全响应的时间也越来越短，所以，我们的支撑系统安全体系的网络架构、应用功能、处理能力应该具备较强的扩展升级能力。这就要求在进行安全体系的规划和建设时，应该充分对系统安全策略进行定性分析，对可能承担的风险进行提前预估，并适当超前当前系统的规模和风险控制能力。只有这样，才能有效避

15、免安全体系不断地更换升级和被动响应，从而对安全策略、安全制度的落实提供有力保障。4. 完善安全策略 运营支撑系统安全体系的建设不可能一步到位，它是一个逐步完善逐步深入的过程。在行业内经常采用的P2DR安全模型3，可以完全说明了这个问题。P2DR是可适应网络安全理论（动态信息安全理论）的主要模型，主要包含四个主要部分：Policy（安全策略），Protection（防护）、Detection（检测）和Response（响应）组成了一个完整的、动态的安全循环，在安全策略的整体指导下保证信息系统的安全。也就是说，我们在安全体系建设完成后，应该对安全体系进行有效监控、定期测试和不断改进，并遵照安全模型

16、来调整安全策略和完善安全体系，以应对不断出现的新安全威胁，使安全策略能够长期有效。3.2 全新运营支撑系统风险防控体系 在支撑系统部署防火墙、防病毒、入侵检测、萨班斯、安全审计、终端管理、4A、ISO9000.的过程中，在人员和资金都不是问题的情况下，哪些是应该先做的？哪些可以稍微推后，都是安全管理部门、安全主管经常思考的问题。如何围绕主线，抓住重点，分主次，是解决安全体系规划和建设的首要问题。 引用经济学家帕累托的“80/20”法则3来回答这个问题，即80%的基础安全问题可以通过20%的代价来解决，剩余的20%安全问题需要付出80%的代价来解决，所以在重组初期，安全体系呢。规划和建设首先要用

17、小的代价来解决大部分安全问题。 运营商需要明确验证安全体系的三条标准。标准一，能够应对大多数的安全威胁，在遭遇较为严重的安全事件时，能够准确定位、多维监视、及时应对。标准二，能够将安全现状和历史事件以数据形式表示，进而为安全体系的调整和完善提供依据。标准三，各个组成部分能够在安全策略的统一指挥下协同响应，共同工作。 同时，运营商还必须要掌握安全体系建设方法论，也就是搭建一个合理完善安全体系的正确方法与途径。图2 安全体系能力成熟度模型4 从安全体系能力成熟度模型4（如图1所示）来看，模型的纵轴表示在安全体系建设中所采用的技术手段或者部署的安全设备，模型的横轴表示配置不同安全技术手段能够使安全体

18、系能力达到的不同阶段。从模型中可以看出，必要和基础的技术手段，如物理安全、边界防护、病毒防护、访问控制、AAAA，对于迅速提升安全能力是非常有效的。可当需要达到冗余安全、可视安全、自动安全时，就需要付出相当的代价。 当然，无论是纵轴上的各种技术手段还是横轴上的能力阶段，都存在重叠或者空缺的可能性。但是，安全体系能力成熟度模型还是在总体上反映出技术手段与安全能力之间的对应关系，同时也提出了规 划和建设安全体系的基本步骤，以及在支撑系统整合和重构的初期应该配置的基本安全手段。根据安全体系能力成熟度模型，基础安全和有效安全是支撑系统对安全体系的最基本要求。明确目标以后，运营商就应该分阶段地开展安全防

19、护建设，并优先解决最基本最普遍的安全威胁。1. 实现网络安全域全面规划 在运营支撑系统不断调整、升级过程中，往往会优先考虑支撑系统自身的功能实现，而对新用户接入，系统间信息交互，内外网互联考虑不足，存在多方面安全隐患。如何防患于未然，第一步应该做好网络安全域的全面规划。 做好网络安全域的全面规划有着极其重要的意义。首先，可以全面了解企业安全域的概况，使安全域的边界清晰；其次，可以有效加强安全域安全策略的控制力，提高应对安全突发事件的能力；最后，可以明确安全域安全设备的部署需求，提高工作效率。实现安全域的划分，理清支撑系统中不同安全级别的工作角色与安全需求，对将来边界安全设备，如防火墙、防病毒软

20、件、接入管理平台等的统一部署、整体效能发挥和统一管理奠定良好的安全架构基础。2. 加强信息资产保护现代运营支撑系统的系统种类繁多，有BOSS营业系统、经营分析系统、需求管理系统、客服系统等等，使用群体复杂，支撑系统中的关键应用和重要信息一旦发生安全问题，其后果是非常严重。现使用统一的4A安全管理平台可以对运营支撑系统的各种应用资源、各类用户进行集中管理、集中权限分配、集中审计。4A安全管理平台做为各支撑系统的防盗门，从技术上保证了支撑系统应用的各方面安全。4A安全管理平台的应用使各支撑系统有效的进行了整合，对于安全威胁进行统一防范，实现了安全管理创新。图3 4A安全管理平台另外，建立切实可行的

21、安全管理制度、流程、岗位和考核机制，对于整个新安全体系的建设也是同等重要的。换句话说，安全管理体系与安全技术体系是同等重要的，企业应该以技术手段来促进管理，以管理手段来完善技术，而不是用某一种手段来固化甚至代替另外一种手段。3. 大数据背景下的建立数据安全防护体系 随着信息技术的迅猛发展，运营系统的规模迅速扩大，业务数据呈爆炸性增长。在大数据的背景下，敏感数据越发为安全防护的重点。通过建立敏感数据安全防护体系5，使敏感信息处于可管、可控、可追溯的防护环境，确保各项业务的正常运营。对于运营支撑系统业务数据中，针对含有敏感信息的业务数据的访问、使用、传输、转换、维护过程中对操作行为动机、身份、权限

22、、渠道的管控尤为重要。如何做到敏感数据防护是亟待解决的问题。敏感数据防护应该从应用数据安全防护、数据库安全防护、主机数据安全防护、文档安全管理与数据安全审计这几方面入手，即可达到全面防护。以敏感业务信息防护为重点的数据安全越发成为信息安全建设的重中之重，提升数据安全防护手段，可以有效保障运营支撑系统的数据安全。图4 敏感数据安全防护体系5运营商整体的业务发展战略对于支撑系统的规划与建设影响深远。而支撑系统的发展战略对于安全体系的规划与建设也起着决定性作用。只要梳理好新支撑系统的安全要求，利用好当前已有的安全防护能力，从整体上规划新安全体系，在建设中不断完善，那么新安全体系的建设就一定能够最终取

23、得成功。3.3 全新安全管理一体化建立健全信息安全管理体系对企业的安全管理工作和企业的发展意义重大。信息安全管理体系（ISMS）6是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立需要基于系统、全面、科学的安全风险评估。此体系的建立将提高员工信息安全意识，提升企业信息安全管理的水平，增强组织抵御灾难性事件的能力，是企业信息化建设中的重要环节，必将大大提高信息管理工作的安全性和可靠性，使其更好地服务于企业的业务发展。1.安全管理制度普及化安全管理规章制度是企业信息安全管理的基础工具，没有管理制度，安全管理体系的根基就没打好，更别说形成安全防控堡垒。近年来，众多企业已经有了自己

24、的安全管理制度，但是始终在做冷板凳。企业不仅要有管理制度，而且还要使管理制度普及化，可通过管理制度手册化实现管理制度普及化，还可通过管理制度电子有奖答题方式普及安全管理知识，多种渠道、多种方式进行安全培训教育，真正是员工意识到安全管理制度的意义，激发员工安全防控潜在意识。2.安全垂直化管理有了安全管理制度一定要有人去管理，有人去组织。没有组织，安全管理就是口号，就是散沙，无法真正贯彻、落实。众多企业并没有设立专门的安全管理部门，没有专职安全管理员，多数为综合部门兼职管理。这样会导致制度成为摆设，制度无人执行的局面。我们应以安全管理员为切入点，确立专职，企业各部门安全管理员形成树状组织架构，明确工作意义和工作职责。实现接口化管理，达到端到端支撑，以最高效的方式为信息安全保驾护航。图5 垂直管理组织架构3.优化应急反应机制应急反应机制大部分企业无相关流程，存在潜