很多企事业单位已经具备了比较完善的安全基础设施，但各个安全设备之间还是处于一种离散的、独立“作战”的状态，因此必须通过对业务系统安全防护的建模，从安全防护、安全监控、安全运维三个维度，融合人员、流程、平台于一体，构建立体化的安全保障体系，才能够提升企事业单位信息系统安全防护水平，满足业务系统对安全的需求。

    设计思路

    具体来说，企事业单位需求通过详细的调研，基于现有的安全基础设施，通过为业务系统安全防护建模，整合业务系统自身安全防护、边界安全防护、网络访问控制、动态监控为一体，实现信息系统安全的可管、可视、可信。

    其中，可管分为三个方面，第一方面是技术的可管，包括KPI指标的管理、基线的管理等；第二方面是人员的可管，包括人员的调度、绩效等；第三方面是设备的可管。可视主要指系统可用性和安全事件的可视化。可信是指以业务系统安全为单位的一体化安全防护。

    实现方法与步骤

    企事业单位构建信息系统安全保障体系的核心思想是：基于业务系统安全建模，构建一体化的安全防御体系，实现可信、可视、可管的安全保障体系。具体来说，可以通过以下三个步骤来实现。

    第一步：通过对业务系统的梳理，明确业务系统的性质，理清业务系统之间的关系。

    清晰描述业务系统的作用、功能、使用单位、使用范围、第一责任人、安全等级。

    清晰统计组成业务系统的IT资产，包括：服务器、网络设备、安全设备、操作系统、中间件、数据库等。

    清晰描述业务系统物理连接与逻辑连接之间的关系。

    清晰描述此业务系统与其他业务系统之间的关系，包括彼此之间的访问关系、资产共用关系等。

    第二步：通过对业务系统安全诊断，明确业务系统的安全防护状态与安全监控状态。

    业务系统自身安全状况，包括：身份认证、审计、访问控制、保密性、完整性、物理安全。

    业务系统边界防护状况，包括：访问控制、安全审计、协议过滤、边界完整性。

    网络通信安全状况，包括：通信认证、审计、保密性、完整性。

    业务系统安全监控状况，包括：业务系统运行状态监控、业务系统自身安全状况监控、边界安全监控、通信安全监控。

    第三步、通过安全运维管控平台，呈现安全防护与监控状态，实现“两个融合”。

    构建一体化运维体系，实现两个融合，即构建基于业务的可管、可视、可信的安全保障体系，实现静态防护与动态监控的融合，实现安全管理与安全技术的融合。

    1.通过安全运维管控平台，呈现业务系统的安全防护状态

    a） 业务系统自身安全防护状态，包括：身份认证、审计、访问控制、保密性、完整性。

    b） 业务系统边界安全防护状态，包括：访问控制、安全审计、协议过滤、边界完整性。

    c） 网络通信安全状况，包括：通信认证、审计、保密性、完整性。

    通过安全运维管控平台，呈现业务系统的安全运行状态

    a） 业务系统安全监控状况，包括：业务系统运行状态监控、业务系统自身安全状况监控、边界安全监控、通信安全 监控。

    b） 从另一个角度来衡量，即业务系统可用性监控、业务系统基础设施监控、业务访问行为监控、异常行为监控、运 维行为监控。

    通过安全运维管控平台，实现“两个融合”

    a） 实现安全技术与安全管理的融合

    * 安全技术包括安全监控与安全防护技术；

    *安全运维管控平台承载安全运维流程，安全流程由安全管理演变而来；

    *通过安全运维管理平台，响应安全监控事件，触发安全运维流程，执行安全防护策略。

    b） 实现安全监控与安全防护的融合

    *通过数据采集点，对信息系统进行全面监控，将采集数据上传安全运维管控平台，安全运维管控平台将海量数据进行关联分析，实现安全事件准确呈现；

    *安全运维管控平台响应安全监控事件，执行安全运维流程，下发安全防护策略。

    总之，通过为业务系统安全建模，明确业务系统安全防护、安全监控、安全管理的现状，以及它们之间的联系。以安全运维管控平台为载体，呈现业务系统的安全防护、监控、管理的现状，并通过梳理，在平台上构建三者之间的逻辑关系。从而实现PDCA闭环流程，即安全运维管控平台→响应安全监控事件→触发安全运维流程→执行安全防护策略→安全监控→安全运维管控平台，达到业务系统安全防护的持续优化。

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。