浅析信息网络系统建设中的安全保密设计

浅析信息网络系统建设中的安全保密设计摘要：随着网络的普及，安全保密在信息网络系统工程建设中成为一个重要需求，在信息网络系统工程建设中应根据用户系统需求分析和实际应用作出风险评估，提出符合用户需求的安全保密设计方案。

关键词：安全保密；信息网络建设；风险评估

中图分类号： tn711 文献标识码： a 文章编号：

一、前言:

当前，随着我国信息网络化的深入发展，电子商务和电子政务不断普及，信息网络系统的安全保密工作显得尤为重要，尤其是在涉及国防安全、政府公务和电力、水利和重要金融等信息网络系统工程建设中，如果没有在信息网络系统工程建设方案的设计中有针对安全保密方面进行考虑，轻则对社会经济造成重大损失、重则危害国计民生，甚至会危及国家的安全和利益。

因此信息网络工程的方案设计中应充意识到安全保密的重要性，对承建的信息网络系统做出风险评估报告，同时许多单位信息网络系统也越来越意识的信息网络系统安全的重要性，在对于信息网络系统建成后应达到的安全保密水平提出相应需求，这就要求在信息网络系统建设中从设计到最后的应用都必须树立的风险保密意识，结合工作实际，本人就信息网络系统建设中的安全保密设计谈一些自己的看法。

二、信息网络系统工程建设中的保密安全设计思路

针对信息网络系统工程，在建设方案中要明确对涉密系统和非涉密系统的划分，针对涉密系统要严格按照国家保密局的涉密系统保密管理的原则来建设，并根据信息系统的安全等级不同而采取不同等级的硬件和应对方案。因此在信息网络系统工程方案设计中首先要调研信息网络系统的应用需求，掌握信息网络系统的详细情况；然后要客观分析承建的信息网络系统存在软硬件脆弱性、发生安全保密风险的概率进行评估，确定安全保密设计的重点方向；通过客户对信息网络系统的定位和需求，参照国家有关信息安全保密的相关文件、标准以及客户对信息网络系统的信息系统安全等级定级情况进行安全保密设计，从而确定信息网络系统工程方案中应采取的安全保密技术、措施和符合要求的产品，提供恰当的配置方案，提出安全保密管理方案，提出安全保密建设的计划和经费概算。

因此，对于信息网络系统建设中安全保密设计应该包含以下内容：系统的应用和需求分析；信息系统的风险评估（通过对资产、脆弱性、威胁和风险分析）；信息网络系统的安全设计；信息网络系统采取的安全保密技术措施；安全保密产品、设施的选型和采用依据；信息网络系统的安全保密管理措施。

1、系统的应用和需求分析

信息网络系统在建设中应充分听取和采用客户对建成后的信息网络系统在应用需求，确认信息网络系统的功能，所处理的业务是否涉密，所处理的信息的密级，对应的信息安全等级定级情况。

2、信息系统的风险评估分析

针对信息网络系统的安全保密设计方案应当基于对信息系统的风险评估后制定，应包括资产分析、脆弱性分析、威胁性分析和风险分析，通过对信息系统的风险评估分析结果作出相应的安全保密设计方案。

（1）资产风险分析

应通过对信息网络系统的应用情况和涉及业务的资料收集，作出该信息网络系统资产的风险分析，以资产的风险分析结果作为信息网络系统在安全保密设计中所采取的方案和力度的参考。

（2）脆弱性和威胁性分析

信息网络系统在设计、实施、操作和控制过程中存在的可能被攻击者利用从而造成系统安全危害的缺陷称为脆弱性，如信息网络系统的脆弱性既有软硬件两方面，系统安全受到各种安全威胁的根本原因是系统中存在脆弱性。例如，信息网络系统中如果采用了无线网络传输模式，既存在数据因电磁干扰而中断的威胁，同时也存在被蹭网的风险，甚至数据被截断窃听的风险。此外，根据信息网络存在的脆弱性，系统还存在诸如电磁干扰、自然灾害、黑客、误操作等安全威胁。

（3）风险分析

在对信息网络系统的安全保密进行设计时，应根据资产风险、脆弱性和威胁性分析结果，分析系统发生安全保密问题的可能性，对当安全保密事故后产生的后果和损失作出评估，根据信息网络系统所能承受的风险来确定安全保密设计的重点。不同的信息网络系

统所能承担的风险不同，例如涉密系统，信息的保密性应该作为安全保密设计的重点，对于电子商务系统，那么数据库服务器和认证服务器应该作为安全保密设计的重点，如果是电信等数据提供商，在信息网络系统设计时候就应当考虑到数据线路的双备份以及异地备份等技术措施，将安全风险带来的破坏降低到可控水平。

3、信息网络系统的安全设计

根据对信息网络系统的风险评估结果，依据国家有关信息安全保密标准、法规和文件，信息系统的安全等级对信息网络系统进行安全保密设计，提出信息网络系统建设中安全保密设计的目标、原则、安全策略和实施细则。

4、信息网络系统的安全保密技术措施

信息网络系统的安全保密技术措施通常采取以下几种。

（1）防病毒技术

（2）介质（媒体）安全管理技术

（3）数据库安全技术

（4）鉴定技术

（5）访问控制技术

（6）环境控制技术

（7）备份恢复技术

（8）信息加密技术

5、安全保密产品、设施的选型和采用依据

信息网络系统的安全保密产品、设施的选择首先应当明确信息

网络系统是否涉密，对于涉密信息网络系统，必须严格按照国家保密局的要求，根据涉密等级选择相应的通过国家认证的产品，原则上应选用通过国家相关主管部门授权的安全测评机构检测通过的国产设备。对于非涉密的设备也应在客户经费概算范围选择经过国家相关主管部门授权测评机构检测通，安全性能指标高的产品。在同类产品中，应通过对比，以安全保密产品、设施的生产厂家、性能指标、售后服务和是否通过相关部门检测作为选型采用的依据。

6、安全保密管理措施

在信息网络系统建设中的安全保密管理措施和安全保密技术措施密不可分，没有严格的安全保密管理措施有再好的安全保密技术也是一纸空谈，在信息网络系统建设方案应强调管理制度措施对于安全保密的重要性，技术的一些不足可以通过严格的管理制度来弥补，而忽视管理即使再好的技术也不安全。因此，在信息网络系统建设方案中应该强调管理和技术相结合的安全保密解决方案。

参考文献

[1]张世永．网络安全原理与应用[m]．科学出版社．

[2]李明之．网络安全与数据完整性指南[m]．机械工业出版社

[3]张仕斌．网络安全技术[m]．清华大学出版社．

注：文章内所有公式及图表请用pdf形式查看。