网络信息系统安全建设、规划指导(doc 17页)

网络信息系统安全建设、规划指导(doc 17页)

某某石油管理局企业标准

网络信息系统安全建设、规划指南

1适用范围

本规定适用于某某油田管理局信息安全管理中心和下属各单位中心机房。

2规范解释权

规范解释权归某某油田管理局信息中心所有。

3网络信息系统安全建设、规划的概述：

网络信息系统安全建设和规划所要解决的主要问题是，如何在现有法规政策的允许下，综合考虑当前

网络信息系统的安全要求，长远规划，以及公司或者

单位的物力、财力等因素，设计和实施网络信息安全

工程。以及在系统工程过程中设计和实施网络信息系

统安全模块。

4网络信息安全工程过程描述

网络信息系统安全工程主要实施于以下情况：

➢描述信息保护需求；

➢根据系统工程的前期需要产生信息保护的具体需要；

➢在一个可以接受的信息保护风险下满足信息保护需求；

➢根据需求，构建一个信息保护需要的逻辑结构；➢根据物理结构和逻辑结构分派信息保护的具体功能；

➢设计系统用于实现信息保护的结构；

➢从整个系统的耗费、规划和执行效率综合考虑，在信息保护风险与其它问题之间进行权衡；

➢参与涉及其它信息保护和系统学科的综合研究；➢将网络信息安全工程与其它系统工程相结合；

➢以验证信息保护设计方案并确认信息保护的需求为目的，对系统进行测试；

➢根据用户需要对整个过程进行扩充和裁减，以此支持用户使用。为确保信息保护被纳入整个系统，必须在系统工程最开始进行设计时便考虑网络信息系统的安全。另外，要针对具体的情况，综合考虑信息保护的目标、需求、功用、结构、设计、测试和实际应用中所出现的系统工程设计情况。

5发掘信息保护需求

实施网络信息系统安全工程首先调查对用户需求、相关政策、规则、标准以及系统工程所定义的用

户环境中的信息所面临的威胁。然后识别信息系统中

的具体用户和信息，以及他们在信息系统中的相互关

系、规则及其在信息保护生命周期各阶段所承担的责

任。信息保护允许用户有自己的观点，不能局限于特

定的设计或者应用。

在信息保护政策中，应该使用通用语言来描述如何在一个综合的信息环境中获得所需要的信息安全

保护。当系统发现需要这种信息安全保护时，信息保

护将成为一个必须同时考虑的系统模块。下图解释了

系统任务、威胁和政策如何影响信息保护需求以及如

何进行分析。

图（3.1）系统任务、信息安全威胁和政策对确

定信息保护需求的影响

5.1 任务的信息保护需求

信息和信息系统在一个大型任务或特定组织中的作用应当受到足够的重视。实施网络信息系统安全

工程必须考虑组织元素（人和系统）的任务可能受到

的影响，即：无法使用所依赖的信息系统或信息，尤

其是丧失保密性、完整性、可用性、不可否认性及其

组合。在此意义上开始探讨用户信息保护需求问题。

为发现用户信息保护需求，必须了解遗漏、丢失或者修改什么信息会对总体任务造成危害。实施工程应该做到以下几点：

➢帮助用户对自己的信息管理建模；

➢帮助用户定义信息威胁；

➢帮助用户确立信息保护需求的优先次序；

➢准备信息保护策略；

➢获得用户许可。

工程中提供了识别用户需求的界面，以确保任务需求包含信息保护需求，并且保证系统功能包含信息保护功能。工程将安全规则、技术、机制相结合，并将其应用于解决用户信息保护的时间需求，从而建立了一个信息保护系统。该系统包含信息保护体系结构和机制，并能够依据用户所允许的耗费、功能和计划获得最佳的信息保护性能。

实施网络信息系统安全工程在设计信息系统时必须遵循用户的层次设置，这样才能使整个系统的性能达到预期指标。信息和信息系统在支持系统任务方面必须满足如下要求：

➢对信息的记录进行观察、更新、删除、初始化或者处理（机密信息、金融信息、产权信息、个人隐私信息等）。

➢授权谁观察、更新、删除、初始化和处理信息记录？

➢经授权的用户如何履行其责任？

➢经授权的用户使用何种工具（文档、硬件、软件、固件或者规程）履行其职责？

➢清楚地知道个人发送或者接收的一则消息或一个文件这件事具有怎样的重要性？

工程小组和系统用户将精诚合作，使信息系统更好的

满足用户总任务要求。

5.2 信息管理面临的威胁

从系统的组成上应能够识别信息系统的功能和它与外界系统边界的接口。该系统组成要明确信息系

统的物理边界和逻辑边界，以及系统输入/输出的一

般特性。它描述系统与环境之间或者系统与其它系统

之间信号、能量和物质的双向信息流。必须考虑系统

与环境之间或者系统与其它系统之间有以设定的或

自行存在的接口。其中，针对后者的部分描述涉及环

境和信息系统所面临的“威胁”（指某些人采取某种

行动，可能造成某个结果的事件或对系统造成危害的

潜在实事）。

对系统威胁的描述涉及到：

➢信息类型；

➢合法用户和用户信息；

➢威胁者的考虑、能力、意图、自发性、动机、对任务的破坏。

5.3 信息保护政策的考虑

对一个机构而言，在制定本组织的信息保护政策时必须考虑所有现有的信息保护策略、规则和标准

（如国家政策，执行级别的政策等）。

必须定义下面的信息保护最重要的内容：➢为什么需要信息保护？

➢需要什么样的保护?

➢怎样获得保护？

必须定义一个机构信息策略的以下最重要内容：

➢机构需要保护的资源/资产；

➢需要和这些资产发生关系的个人的角色和责任；

➢授权用户用到这些资产的合适方法。

为制订一个有效的信息保护策略，需要设立一个由系统工程专家、工程施工小组、

用户代表、权威认证机构、设计专家组成的

小组。该小组成员要共同合作，保证政策的

正确性、全面性以及和其它政策的连续性。

高层管理机构要颁布信息保护策略。该策略必须