信息系统安全运维概述篇-内部培训使用

信息系统安全运维概述 - 内部培训

随着科学技术的发展，绝大多数运维服务工作逐渐暴露在越来越多的威胁中，并且一直处于很被动的状态，信息系统安全运维是用于长期从事信息安全服务和信息系统运维服务行业的作业规范，起到降低安全风险、保障运维安全的作用。我们会参照CISAW（信息安全保障人员认证）向各位同仁介绍安全运维的概念、安全运维的主体、对象、流程、支撑平台及运维活动的各个环节。

一、如何理解信息系统？

想要了解信息系统，需要从两个方面入手，“信息”和“系统”

1.1信息

➢在现在科学中，信息指事物发出的消息、指令、数据、符号等所包含的内容；

➢信息通过一定数据形式展现，这些数据是寄生于一定的存储和传输载体中的；

➢信息的生命周期包括信息的产生、存储、传输、处理和销毁等诸多环节；

➢诸位同事可以例举一下我们生活当中常见的信息表现形式有哪些。

1.2系统

➢钱学森认为：系统是由相互作用、相互依赖的若干组成部分结合而成的、具有特定功能的有机整体，而且这个有机整体又是它从属的更大系统的组成部分；

➢《辞海》对系统的定义为：同类事物按一定的秩序和内部联系组合而成的整体或由要素组成的有机整体。

1.3信息系统

➢信息系统是“由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统”；

➢从信息的角度来说，我们认为信息系统是为信息生命周期提供服务的各类软硬件资源的总称；

➢信息是信息系统的处理对象，信息系统是信息赖以生存的环境；

➢信息系统通常由计算机硬件系统、相关物理设备、网络设施等构成。

二、什么是系统运维？

2.1系统运维

➢运维是指对已经建立好的信息系统的运行和维护，信息系统的运行维护是系统生存的重要条件；

➢从管理的角度看，系统运维是指组织采用相关的方法、手段、技术、制度、流程和文档等，对信息系统运行环境、业务系统和运维人员进行的综合治理；

➢从服务的角度看，系统运维不再是纯技术工作，而是融合了系统管理、网络管理、系统开发管理等管理活动和变更管理、资产管理、问题管理等许多流程的服务

2.2信息安全运维

➢信息安全面临的最普遍三类风险是信息泄露、篡改和破坏，信息安全运维的基本目标就是信息的保密性、完整性和可用性；

➢信息系统安全运维服务是以流程为向导、以客户为中心、以绩效评估为动力、以保障信息系统基础设施整体可用和为组织业务提供可靠服务为目标的管理体系；

➢在运维环节中，要保证系统资源安全运行，保护信息的安全，实现计算机系统功能的正常发挥，以维护计算机信息系统的安全运行。所以，信息系统安全运行包括了物理安全、运行安全、信息安全和人员安全几个部分；

➢针对信息系统中信息存在的形式和运行特点，信息安全包括操作系统安全、数据库安全、网络安全、病毒安全、访问控制、加密和鉴别7个部分。

三、安全运维的模型是什么样？

➢模型中的资源具体包括人、财务、信息、技术4类资源，这些资源在管理的基础上服务于信息安全运维模型中的各个要素，而管理是整个模型的基础；

➢信息系统安全运维模型通过实现数据、载体、环境与边界4个实体对象全生命周期的可用性、完整性、真实性机密性、不可否认性等若干安全属性来支撑业务的正常进行；

➢安全运维活动通过对组织信息系统安全、稳定运行的保障工作来支撑业务的正常进行；

➢信息系统安全运维模型中，最本质的对象是业务，信息安全运维就是利用安全技术和措施，保障业务活动的稳定运行；

➢业务对象涉及数据、载体、环境与边界。在信息系统中，信息通过数据来展现，数据通过载体来承载，而载体的存在依赖于一定的环境，环境存在一定的界限，即边界；

➢模型中的安全属性包括：可用性、完整性、真实性、机密性、不可否认性、可控性、可靠性、可追溯性等。

四、安全运维有哪些模式？

信息系统安全运维有两种模式：“安全运维”和“运维安全”

4.1安全运维

➢安全运维是从面相业务的运维服务出发，重点在于运维，是对信息系统现有的安全保障措施和安全设备进行运维，从而使已部署的安全保障措施和安全设备有效进行；

➢安全运维的过程包含：运维准备、运维实施、运维评审与持续改进4个阶段，可细分为合规要求、安全策略、运维准备、运维实施、运维评审与持续改进6个环节；

➢安全运维准备阶段包含了合规要求、安全策略、运维准备三个环节，该阶段主要完成信息系统安全运维策略制定和安全运维前期的准备工作；

➢运维实施阶段重点解决安全策略落实和运维服务的实施；

➢运维评审主要是对安全运维服务的有效性进行评价；

➢持续改进是实现自我纠错、逐步提升的过程；

4.2运维安全

➢运维安全是“基于运维活动提供风险管控服务”，既针对安全运维活动中可能影响业务系统正常运行的安全风险进行处置，其重点在于安全（风险管理）；

➢运维安全包括：合规要求、风险评估、风险处置、过程监控、运维评审和持续改进6个环节；

➢合规要求、风险评估是安全需求的主要来源；合规要求是指运维的安全需求对国家相关法律法规、规章制度、标准规范的符合性。风险评估主要是对运维过程中的问题，运维过程自身的脆弱性、所面临的威胁以及其可能带来的损失进行评估；

➢风险处置是运维安全的技术主体阶段，通过制定控制风险的计划并实施控制，降低风险发生的可能性并减少其对信息系统的不良影响；

➢过程监控的主要工作是对运维过程的人员操作行为、设备运行状况、安全事件监控和已实施的风险处置进行有效监控，获取安全证据，保障系统安全；

➢运维评审的主要任务是依据安全论据及证据，对监控获取的运维状况进行安全运维服务实施有效性评价，从质量控制、全生命周期过程管控、运维费用控制等方面衡量当前安全运维服务；

➢持续改进环节是针对评审过程发现的问题进行修正和改进，调整风