猎户攻防实验室猎户攻防实验室 安全视点安全视点 标准与课题标准与课题
信息安全策略,让信息安全建设更有效

一、信息安全建设的缺憾

   

信息化时代,信息安全事件频发,风险无处不在。我们从技术保障、管理控制、体系建设等方面,一直进行着不懈努力。然而,信息安全建设投入大、效果却不尽人意。

 

许多机构认为,信息安全就是安装部署硬件和软件,并作一些技术控制,但管理层往往失望地发现并没有达到预期目标。尽管他们作了一些防火墙策略、防病毒策略等,但不成体系,难以适应不同的产品和应用,往往导致重复建设。

 

我们常说:三分技术、七分管理。但实际上,信息安全管理很难真正落实到位。机构设置、岗位和角色划分、制度规定、执行与监督检查等,都存在落实问题。对于信息安全管理规定,业务人员嫌麻烦,也不愿承担责任,落实效果大打折扣。

 

在我国,普遍遵循信息系统安全等级保护、涉密信息系统分级保护、信息安全管理体系要求(GB/T22080 idt ISO27001)及信息安全控制实施细则(GB/T22081 idt ISO27002)等标准。然而,各种标准为保证普适性,很难规定得太过具体,这就给信息安全体系建设带来诸多困难,效果也参差不齐。

 

二、制定信息安全策略,指导信息安全建设

 

信息安全策略(Information Security Policy)是信息安全总体需求和具体措施的描述,其宗旨是明确信息安全目标、要求和实现途径,指导信息安全建设。信息安全策略是信息安全技术、管理、体系建设的指针。如同交通规则的重要性一样,信息安全策略同样重要。

 

信息安全策略应由信息安全管理人员编制,管理层应充分重视,协调和督导相关部门参与和执行。首先,应明确总体需求,制定总体安全策略。在此指导下,综合技术、管理、系统、业务、法规等,编制出文档化的信息安全策略。制定策略时,应采用“必须”、“不得”等措辞,避免含糊其辞,保证执行过程有章可循。

 

我们参考《信息安全策略编制指南》,随意选取一项“使用密码控制”为例:

 

首先,明确总体目标为:“应制定和执行一项使用密码控制的策略来保护信息的安全”。

 

其次,规定一系列具体策略:(1)除非得到信息安全经理批准,不得使用加密程序对数据信息加密,以防造成信息损坏、损毁或不能使用;(2)如使用加密技术,须采用政府批准的加密算法和实现方法,确保合规,并保证与其它系统的一致性;(3)不得将密钥保存在生产计算机的内存、缓冲区或寄存器中,而应保存在安全模块或其他专用设备等硬件设备,以预防黑客入侵窃取密钥。……

 

《信息安全策略编制指南》(Information Security Policies Made Easy)是一部信息安全策略工具书,通过1700多个策略和几十个实例,阐述了各种信息安全策略,极具参考价值。

Copyright @ 2005-2013, 北京江南天安科技有限公司, All Rights Reserved  京ICP备08012318号  技术支持博乐虎科技