涉密计算机信息安全管理体系设计

1、涉密计算机信息安全管理体系设计科技部 马安庆 信息中心 温萍萍 摘要:详细分析了涉密计算机信息系统安全防护中存在的主要问题，参照涉密计算机信息系统安全保密防护规范和准则，研究了信息安全管理体系多层次多方面的防护技术措施，提出了一种全面可靠的信息安全管理体系设计和实现方法。实验结果表明了体系设计的安全性和有效性，为同类系统的信息安全管理体系设计提供了有益的参考。关键词：涉密计算机信息系统; 信息安全管理体系; 加密保护; 集中控管引言目前，信息安全保密日益成为影响信息化效能的重要问题，特别是用来处理和传输国家秘密信息的涉密计算机信息系统，如果安全保密防范不力，就会危及国家的安全和利益。信息安全是

2、个复杂的系统问题，必须以系统的方法来解决，而建立管理体系是系统解决复杂问题的有效方法。为了保证信息安全管理的有效性、充分性和适宜性，组织需要建立信息安全管理体系(ISMS)1。文中通过对内部涉密信息系统的信息安全管理中出现的重点问题的分析，参照实际保密评估准则，提出一种高效合理的安全防护体系框架，在此框架之下详细阐述了相互依赖、交叉、联动的具体安全防护技术及实现方法，最后给出了实施效果总结。1 信息安全管理的重点内容涉密计算机信息系统安全保密方案应根据脆弱性分析、威胁分析和风险分析的结果，依据国家有关信息安全保密标准、法规和文件进行安全保密系统设计，提出安全保密系统设计的目标、原则、安全策略和

3、安全保密功能结构，特别要根据涉密系统所能承受的风险确定涉密系统的防护重点1。根据对应用环境和防护目标等因素的综合考虑，涉密计算机信息系统在信息安全管理工作中面对以下几方面的主要问题：(1)物理安全：物理安全主要涉及工作环境的周边安全、网络的布线系统、安全设备的可靠管理4，重点是如何高效集中完成重点部位和重要数据的集中管制和防护。(2)网络安全：网络安全在安全防护中涉及内容较多，主要包括涉密内部网物理隔绝、对网络的防毒措施、审计措施、传输加密措施以及对用户的监控和管理措施等3。(3)文件交互：涉密文件交互问题是保密的薄弱环节，贯穿安全防护的始末。文件的交互主要分为对外和内部交互两种情况，每种情况

4、都涉及到文件的产生、复制、传输、输出、保存等几个关键的环节。(4)终端防护：终端防护是体系中细粒度的控制，也是安全防护中短板效应的敏感区。终端主要有固定终端和移动终端两种，对于这两种终端的管控行为主要包括使用行为控制和审查两个主要部分。(5)加密保护：随着对计算机的依赖程度的提高，计算机上的数据重要性不言而喻5。涉密数据是安全防护中的重中之重。对内对外的介质传输应该有加密保护措施。对本地涉密数据的存储也需要加密保护措施。网络上信息系统的传输也需要加密保护措施。(6)病毒和黑客攻击：内网对于病毒防护、漏洞扫描和入侵检测应该有集中控管的系统，这样可以实现病毒码和扫描引擎的更新，实现系统漏洞自动扫描

5、和更新，实现多网段全面入侵检测报警和阻断。(7)安全审计：安全审计针对计算机信息系统中的所有资源(包括数据库、主机、操作系统、安全设备等)和行为的审计，审计记录所有发生的事件，提供给系统管理员作为系统维护以及安全防范的依据。一旦有突发事件可以快速的查阅进出记录和行为记录，确定问题所在，以便采取相应的处理措施。(8)管理制度的健全：安全管理的技术措施和防护手段只能作为监管的技术支持，没有严格的管理规章制度和操作规程，依然不能使安全防护系统稳定有效地长期运行。同时，应急响应机制也占有重要地位。2 信息安全管理体系设计与实现2.1 体系结构国内通常对计算机信息安全的认识是要保证计算机信息系统中信息的

6、机密性、完整性、可控性、可用性和不可否认性(抗抵赖)，简称“五性”3。信息安全管理体系建设应以“规范定密，准确定级，依据标准，同步建设，突出重点，确保核心，明确责任，加强监督”的指导思想进行总体规划。根据信息安全管理中面临的主要问题分析，可以看出，体系建设中待解决的问题涉及面广，甚至在许多方面有相互交叉、重复防护的问题。同时防护涉及技术多，主要包括数据加密技术、访问控制技术、安全认证技术(数字签名技术)、防病毒与反入侵技术、信息泄漏防护技术终端防护技术、安全评估技术与审计追踪技术等3，涉及到多种安全管理产品的应用，如防火墙、认证网关、入侵检测、网络脆弱性扫描等。因此，设计和实现一个全面高效的防

7、护体系是一项综合的工程，需要认真分析和论证，理清防护层次和技术路线，特别在选用安全产品上应分析相互能否建立联动关系，避免形成防护孤岛，综合运用可靠的安全产品，高效集成，结合多种安全防护技术手段使其相互协调工作，才能构建一个多方位、多层次的立体安全防护体系7。参照国家关于涉密计算机信息系统安全防护标准2-3，信息安全管理体系主要分为七大部分，分别为：物理安全、网络安全、系统软件安全、数据安全、应用安全、用户安全、安全管理。各部分根据防护重点均应采用相应的防护产品和技术措施，形成相对独立的分系统，其中主要包括：身份认证系统、终端安全防护系统、终端安全管理系统、入侵检测系统、安全网关系统以及病毒防护

8、系统等。涉密计算机信息安全管理体系结构框图如图1 所示。2.2 主要技术措施2.2.1 物理安全防护考虑到应用成本和安全管理的便捷，应将分布式防护变为集中式防护，将各部门的重要涉密数据库和信息系统服务器集中放置在数据中心机房，并在机房安装大型UPS设备、精密机房专用空调、进行电源和环境温湿度控制。同时，机房应具有良好的接地和防雷电措施，部署机房环境监控系统，对机房漏水、温湿度和电源情况时刻进行监视。在核心设备的安全距离低于200m时增加防电磁辐射以及电源滤波设备，保证设备的电磁辐射安全。2.2.2 网络安全防护鉴于目前外联的主要手段是通过有线或无线网卡、红外、蓝牙、PCMCIA、USB 端口进

9、行互联，因此，最有效的防护是在终端进行阻断非法外联行为。终端安全管理系统固定网络设置，进行端口屏蔽，对于非法外联，终端安全管理系统联动网络交换机实时搜索非法用户，一旦检测到没有安装终端安全管理软件的客户端试图连接网络，在交换机端口上对非法接入机器进行阻断。整个网络应基于IP 网段划分为不同的安全等级，进行分层分级保护，这样可以形成分区实施不同级别的防护手段，更为有效，方便管理。分部门或等级的VLAN 之间不能相互访问，所有的资源访问必须通过核心交换机访问重要服务区，以便在集中管理区域施加有效的安全防护技术手段。在重要服务器区设置防火墙，利用防火墙完成应用层的访问控制，将不必要的访问区域和端口进

10、行屏蔽，增加重点区域的安全访问控制能力。在核心交换机上将各端口转发的数据包镜像到入侵检测系统上，而入侵检测和防火墙设备联动，以产生自动阻断识别的攻击行为并实时阻断的效果，这样即实现了各网段黑客攻击行为的检测，也及时对重要服务器区的攻击行为进行阻断。不可否认，身份认证系统是网络安全管理的基础，建立基于PKI 体系的身份认证系统，实现访问控制、数据加密。在重要服务器区部署安全认证网关，认证网关和CA认证系统进行联动，主要实现两大安全管理功能：用户安全访问控制和传输通道加密。对于局域网的病毒防护，应部署集中控管的网络版病毒防护系统，在服务器上统一设置病毒查杀策略，通过服务器对各个客户端进行自动定期更

11、新病毒防护程序和系统补丁，以达到最佳的防护效果。2.2.3 系统软件安全系统软件安全是指操作系统、数据库等系统软件的安全。无论哪种操作系统，其体系结构本身就是一种不安全因素8。终端的操作系统应采用统一版本，便于管理和维护。用户登录和加密依靠专用部件设备(USBKey)和pin码，形成双因素安全登录强制访问控制保护。终端安全管理系统不仅能够对系统的应用软件远程监控管理，还能够对不允许安装或运行的软件进行屏蔽，对不安全的端口进行屏蔽。终端安装统一的病毒防护程序和系统补丁自动更新系统，便于在进行集中控管，定时对客户端操作系统进行防毒程序和系统补丁自动更新。服务器和数据库的重要数据通过安全备份软件进行

12、完全或增量备份，以便进行应急恢复。2.2.4 数据安全对于本地的涉密数据，用户可以存储到终端安全管理软件所设置的“安全加密文件夹”中，文件夹的文件依照用户的身份证书进行透明加解密，即使丢失，其它人也无法解密。对于移动存储介质，进行统一的认证加密，没有安装安全终端管理软件的设备无法识别该加密文件格式。这种可信的移动存储介质仅可以在内部网的可信终端(安装终端安全管理系统)上使用。在安全防护客户端设置USB 端口的安全管理策略，对没有内部认证的移动存储介质可以设置为只读或完全禁止。对于对外交流的数据文件通过集中管理终端制作加密存储的文件格式，该格式只能在用户输入密码时才可看到明文，并记录差旅复制的日

13、志。2.2.5 应用安全应用安全主要完成单点登录、CA 和OA 的身份认证相结合、信息系统的访问控制等功能，同时要完成对于安全管理设备以及应用的日志审计功能。在这部分主要依靠身份认证系统、防火墙系统、入侵检测系统以及ACL 控制完成多层次的访问控制，依靠各系统的审计控制台进行行为审计。2.2.6 用户安全用户的应用安全也称作“端点安全”，这部分主要完成用户终端可控、可审计的功能。依靠终端安全管理系统及各个客户端部署安装的终端安全管理软件，通过集中控管的终端安全管理服务器统一下发终端安全管理策略，并远程监控客户端系统的各种操作行为，根据需要随时进行策略更改和下发。终端安全管理策略主要包括：管理计

14、算机系统及网络的应用程序和协议，控制终端使用的计算机系统外设端口(如USB端口、打印端口)，用户所有的打印行为、USB端口复制文件行为、网络传输等行为均可进行记录和综合审计。为便于各个计算机数据文件通过内部网络进行交互，在内部网中结合用户身份设置文件安全传输子系统，实现点对点的加密传输。同时对用户的传输行为进行记录。2.2.7 安全保密管理技术和制度永远是相辅相成的，在建立技术措施的同时，应修订、完善相关的制度和规程，设置专门的管理机构，健全组织，定期检查，抓好落实。具体措施以实际工作结合保密制度来制定，如：可信保密移动存储介质应存放保密柜，领取和归还应登记；文件的打印、传送和销毁应有专门部门

15、或人员管理；指定专门人员进行安全审计、系统维护和安全检查督促等。3 结束语文中所提出的关于企业内网信息安全管理体系设计结合实际需求和标准要求，从物理安全、网络安全、系统软件安全、数据安全、应用安全、用户安全以及安全保密管理等多层次、多方位保障信息安全，采用多种安全产品相互联动、相互作业的动态结合方式，更为有效地提高了信息安全监控和防御能力9。从信息安全管理的观点来看，技术与管理必须相互结合，安全管理组织机构应当结合审计制度，通过综合审计发现系统安全漏洞，并不断地跟踪、采用新的管理理念和技术手段，调整体系的防护目标、管理策略和技术防护手段等，才可以实现持续的信息安全管理。参考文献:1 BS 7799-2,2002 信息安全管理体系规范S.2 曾陈萍.基于多主体信息安全管理系统研究与实现J.计算机工程与设计,2008,29(19):5143-5145.3 GB 17859-1999,计算机信息系统安全保护等级划分准则S.4 郭振平.信息安全发展策略的思考J.微电子学与计算机,2002(4):63-64.5 冯登国,卿斯汉.信息安全-核心理论与实践M.北京:国防工业出版社,2000:7-9.6 李涛.网络安全概论M.北京:电子工业出版社,