信息系统安全规划框架及方法

信息系统平安规划框架与方法随着互联网的不断开展，全球信息化已成为人类开展的大趋势，我国信息化建立进程也全面加速，企业信息化在提高效劳水平、促进业务创新、提升核心竞争力等方面发挥着越来越重要的作用，信息系统已成为推动国民经济增长的重要力量。随着企业信息化工作的提高，我国各地区、各行业使用信息系统开展工作的比例越来越大，信息系统平安问题更为突显和日趋严重，平安问题也逐渐成为影响业务运行、制约生产力开展的重要因素之一。企业信息化的开展将面临着的信息平安方面的严峻考验，对信息系统平安进展全面的规划以适应形势开展的要求已经是一个不能回避的问题也成为了人们共同关注的一个保证信息平安的重要环节。一、信息系统平安规划的意义信息系统平安规划是一个涉及管理、法规和技术等多方面的综合工程。信息系统平安的总体目标是物理平安、网络平安、数据平安、信息容平安、信息根底设备平安与公共信息平安的总和。信息系统平安的最终目的是确保信息的性、完整性和可用性，以及信息系统主体包括用户、组织、社会和国家，对于信息资源的控制。信息系统平安规划是以企业信息化战略规划为指导，以企业的信息资源规划为根底，全面完整地规划信息系统应用和相关信息架构，确定信息系统的平安框架、管理模式与建立步骤。企业在信息系统平安规划的指导下建立的网络与信息环境，才可以在平安机制的控制与制约下，让各种业务解决方案、应用系统和数据都不受负面因素带来的威胁地在其上实现有效配合。信息系统平安规划不应该只是规划未来几个月，而是规划未来几年如何到达企业信息化远景规划指导下的平安建立目标的一个过程。信息系统平安规划比单独购置信息平安产品更重要，只有信息系统平安的整体布置有方案、有方向、有目的、有配合，才能构成真正意义上的信息平安。二、信息系统平安规划的围信息系统平安规划是在建和已建的信息系统中必须要考虑的重要容。信息系统平安规划主要是根据风险评估的结果和提取的平安需求描述实施相应的平安保障的目标、措施和步骤。按照“全网平安〞的思想，信息系统平安规划需要从管理、组织和技术等多方面进展综合考虑，所涉及到的应该是综合管理、技术规、运行维护等多个层面的控制措施。信息系统平安规划的围应该是多方面的涉及技术平安、规管理、组织构造。技术平安是以往人们谈论比拟多的话题，也是以往在平安规划中描述较重的地方，用的最多的是一些如：防火墙、入侵检测、漏洞扫描、防病毒、VPN、访问控制、备份恢复等平安产品。但是信息系统平安是一个动态开展的过程，过去依靠技术就可以解决的大局部平安问题，但是现在仅仅依赖于平安产品的堆积来应对迅速开展变化的各种攻击手段是不能持续有效的。信息系统平安建立是一项复杂的系统工程，要从观念上进展转变，要在平安产品的支持下建立全方位的平安策略，使之成为一个可持续的动态开展的有平安保障的渐进过程。因此，目前在平安设备有一定规模的情况下，规管理就成为了信息系统平安规划需要关注的核心容，在信息系统平安规划中一定要将规管理的规划放在首位。规管理包括风险管理、平安策略、规章制度和平安教育，这几个组件是信息系统平安规划的重要容。信息系统平安规划需要有规划的依据，这个依据就是企业的信息化战略规划，同时更需要有组织与人员构造的合理布局来保证，没有适宜的人员配合工作任何事情都是不可能完成的，因此在平安规划中不可以无视对组织构造建立和进展人员合理调配这个关键环节。三、信息系统平安规划框架与方法信息系统平安规划是一个非常细致和非常重要的工作，首先需要对企业信息化开展的历史情况进展深入和全面的调研，知道家底、掌握情况针对信息系统平安的主要容进展整体的开展规划工作。下面用图-1表示信息系统平安体系的框架。图-1信息系统平安体系从上图可以看出，信息系统平安体系主要是由技术体系、组织机构体系和管理体系三局部共同构成的。技术体系是全面提供信息系统平安保护的技术保障系统，该体系由物理平安技术和系统平安技术两大类构成。组织体系是信息系统的组织保障系统，由机构、岗位和人事三个模块构成。机构分为：领导决策层、日常管理层和具体执行层，岗位是信息系统平安管理部门根据系统平安需要设定的负责*一个或*几个平安事务的职位，人事是根据管理机构设定的岗位对岗位上在职、待职和离职的员工进展素质教育、业绩考核和平安监管的机构。管理体系由法律管理、制度管理和培训管理三局部组成。信息系统平安体系清楚了之后，就可以针对以上描述的容进展全面的规划。信息系统平安规划的层次方法与步骤可以有不同，但是规划容与层次应该是一样，规划的具体环节、相互之间的关系和具体方法用图-2表示：图-2信息系统平安规划框架图1、信息系统平安规划依托企业信息化战略规划信息化战略规划是以整个企业的开展目标、开展战略和企业各部门的业务需求为根底，结合行业信息化方面的需求分析、环境分析和对信息技术开展趋势的掌握，定义出企业信息化建立的远景、使命、目标和战略规划出企业信息化建立的未来架构，为信息化建立的实施提供一副完整的蓝图，全面系统地指导企业信息化建立的进程。信息系统平安规划依托企业信息化战略规划，对信息化战略的实施起到保驾护航的作用。信息系统平安规划的目标应该与企业信息化的目标是一致的，而且应该比企业信息化的目标更具体明确、更贴近平安。信息系统平安规划的一切论述都要围绕着这个目标展开和部署。2、信息系统平安规划需要围绕技术平安、管理平安、组织平安考虑信息系统平安规划的方法可以不同、侧重点可以不同，但是需要围绕技术平安、管理平安、组织平安进展全面的考虑。规划的容根本上应该涵盖有，确定信息系统平安的任务、目标、战略以及战略部门和战略人员，并在此根底上制定出物理平安、网络平安、系统平安、运营平安、人员平安的信息系统平安的总体规划。物理平安包括环境设备平安、信息设备平安、网络设备平安、信息资产设备的物理分布平安等。网络平安包括网络拓扑构造平安、网络的物理线路平安、网络访问平安，防火墙、入侵检测系统、VPN等等。系统平安包括：操作系统平安、应用软件平安、应用策略平安等。运营平安应在控制层面和管理层面保障包括备份与恢复系统平安、入侵检测功能、加密认证功能、漏洞检查及系统补丁功能、口令管理等。人员平安包括平安管理的组织机构、人员平安教育与意识机制、人员招聘及离职管理、第三方人员平安管理等。3、信息系统平安规划的影响力在信息系统与信息资源信息系统平安规划的最终效果应该表达在对信息系统与信息资源的平安保护上，因此规划工作需要围绕着信息系统与信息资源的开发、利用和保护工作进展，要包括蓝图、现状、需求、措施四个方面。首先，对信息系统与信息资源的规划需要从信息化建立的蓝图入手，知道企业信息化开展策略的总体目标和各阶段的实施目标，制定出信息系统平安的开展目标。第二，对企业的信息化工作现状进展整体的、综合、全面的分析，找出过去工作中的优势与缺乏；第三根据信息化建立的目标提出未来几年的需求，这个需求最好可以分解成假设干个小的方面，以便于今后的落实与实施；第四，要写明在实施工作阶段的具体措施与方法，提高规划工作的执行力度。信息系统平安规划效劳于企业信息化战略目标，信息系统平安规划做得好，企业信息化工作的实现就有了保障，信息系统平安规划是企业信息化开展战略的根底性工作不是可有可无而是非常重要。由于企业信息化的任务与目标不同，所以信息系统平安