企業信息安全技(jì)術(shù)是當前行(xíng)業內(nèi)最熱門(mén)的話(huà)題之一。然而，以往我們對信息安全研究的側重點往往都放在不同的分支學科，諸如網絡安全、應用程序安全、栅格安全、Web安全、防火(huǒ)牆和(hé)整體(tǐ)入侵檢測等，但(dàn)在對綜合企業信息安全體(tǐ)系結構、信息安全關鍵屬性以及信息安全管理(lǐ)等方面的研究相對較弱。

随着信息技(jì)術(shù)的普及，當前信息安全體(tǐ)系結構已經成為(wèi)了信息體(tǐ)系結構的一個(gè)重要的分支學科，信息安全體(tǐ)系結構在當今的企業信息技(jì)術(shù)中起着越來(lái)越重要的作(zuò)用。企業信息安全體(tǐ)系結構是跨學科的信息安全技(jì)術(shù)與信息體(tǐ)系結構，但(dàn)在這方面的研究重心仍然隻是局限于應用研究。少(shǎo)數(shù)信息安全公司已經開(kāi)始涉足對企業信息安全體(tǐ)系結構的利用，但(dàn)他們提出的解決方案隻是強調在日志(zhì)管理(lǐ)和(hé)（或）事件管理(lǐ)的基礎上(shàng)提供一種商用的綜合安全管理(lǐ)平台，而不是考慮将信息安全體(tǐ)系結構與企業信息體(tǐ)系結構相集成。

本文在分析了信息安全體(tǐ)系結構的基礎上(shàng)，對一種分層和(hé)面向服務的智能企業信息安全體(tǐ)系結構進行(xíng)了研究，有(yǒu)助于構建一個(gè)模型來(lái)系統和(hé)智能地對企業信息安全活動進行(xíng)管理(lǐ)，并與整體(tǐ)信息管理(lǐ)活動相結合；還(hái)着重對信息安全中最關鍵的屬性以及信息安全管理(lǐ)等方面進行(xíng)了研究，并探討(tǎo)了采用最新的國際ISO/IEC 27001标準的信息安全和(hé)風險控制(zhì)服務。必須“技(jì)術(shù)”與“管理(lǐ)”并重，才能保障企業的信息安全，這将有(yǒu)助于提升企業信息安全管理(lǐ)和(hé)風險控制(zhì)活動的效率。

計(jì)算(suàn)機網絡信息安全體(tǐ)系結構是一個(gè)動态化的概念，是在計(jì)算(suàn)機技(jì)術(shù)、互聯網技(jì)術(shù)、信息通(tōng)信技(jì)術(shù)、密碼技(jì)術(shù)、軟件技(jì)術(shù)、安全協議等多(duō)學科領域的基礎上(shàng)建立起來(lái)的，其結構要确保系統中的硬件、軟件受到雙重保護，不被更改、洩露和(hé)破壞，能夠使整個(gè)網絡系統持續穩定地運行(xíng)，并且有(yǒu)必要實施控制(zhì)戰略來(lái)保持信息的完整性、保密性和(hé)可(kě)用性。

所有(yǒu)的信息安全體(tǐ)系結構都包括了以下組成部分：組織和(hé)基礎設施安全；策略、标準和(hé)程序安全；基線和(hé)風險評價安全；感知與訓練項目安全。

目前常用的幾個(gè)計(jì)算(suàn)機網絡信息安全基礎技(jì)術(shù)包括:SNMP協議、VLAN虛拟局域網、邊界防火(huǒ)牆、網絡用戶身份認證、路由訪問控制(zhì)以及入侵檢測等。

計(jì)算(suàn)機網絡的應用及推廣，使得(de)越來(lái)越多(duō)的計(jì)算(suàn)機病毒、網絡黑(hēi)客的惡意襲擊、網絡軟件漏洞等問題不斷湧現，加上(shàng)網絡本身具有(yǒu)的複雜性、開(kāi)放性和(hé)共享性，同時(shí)網絡信息本身具有(yǒu)較低(dī)的安全性，緻使網絡信息安全的風險比較大(dà)。這是構建網絡安全體(tǐ)系有(yǒu)待解決的問題。

（1）信息安全體(tǐ)系結構的設計(jì)

構建堅固的信息安全體(tǐ)系結構是企業自動、系統和(hé)智能地管理(lǐ)信息安全活動的基礎。研究人(rén)員已經設計(jì)出了一種智能企業信息安全體(tǐ)系結構。其中，它的底層基于數(shù)據倉庫/數(shù)據集市，安全服務總線用作(zuò)集線器(qì)。其設計(jì)的目的是要通(tōng)過利用業務過程管理(lǐ)（BPM）、規則引擎和(hé)業務情報（BI）技(jì)術(shù)為(wèi)企業信息安全活動提供綜合的前瞻性管理(lǐ)和(hé)有(yǒu)效控制(zhì)。它還(hái)使企業公司能夠将其信息安全管理(lǐ)提升至需要的水(shuǐ)平，還(hái)在相同層中嵌入了一個(gè)PDCA（規劃-實施-檢查-處置）适配器(qì)來(lái)确保信息安全管理(lǐ)與風險控制(zhì)活動能夠提高(gāo)其自身優化的能力。

①安全數(shù)據庫層。體(tǐ)系結構的底層是整個(gè)體(tǐ)系結構的基礎層。這是因為(wèi)安全數(shù)據更易用于其他應用和(hé)服務。在該層的數(shù)據被分成兩個(gè)部分：操作(zuò)數(shù)據和(hé)分析數(shù)據（決策支持）。操作(zuò)數(shù)據不僅包括了戰略企業數(shù)據，諸如CMDB（配置管理(lǐ)數(shù)據庫）和(hé)EIF（企業信息文件），還(hái)包括了應用操作(zuò)數(shù)據庫。這兩部分之間(jiān)的差異是，應用數(shù)據庫僅由應用來(lái)使用。建立了戰略企業數(shù)據在各應用之間(jiān)共享數(shù)據。分析數(shù)據包括了數(shù)據倉庫、數(shù)據集市和(hé)維立方體(tǐ)。在定義好的規則的基礎上(shàng)，由操作(zuò)環境近乎實時(shí)地或以批處理(lǐ)模式通(tōng)過ETL（提取、轉換和(hé)加載）過程來(lái)提供分析數(shù)據。

②安全應用層。應用層包含了各種應用的混合，并且該層包括了所有(yǒu)信息安全系統，像防火(huǒ)牆、IPS（入侵防護系統）、反病毒系統以及受保護的設備，諸如網絡設備、服務器(qì)和(hé)桌面設備。它還(hái)包括了通(tōng)過這些(xiē)設備建立的不同操作(zuò)系統。

③安全服務總線。在該層定義了SOA服務總線結構和(hé)所需的不同信息安全服務。在面向服務的信息安全體(tǐ)系結構中，我們可(kě)以将當前和(hé)未來(lái)的安全需求作(zuò)為(wèi)安全服務來(lái)定義，但(dàn)這些(xiē)服務的實施是隐藏的，對新的安全服務來(lái)說易于重用當前的服務。“通(tōng)過提出一種全新的解決方案來(lái)解決信息安全有(yǒu)關的所有(yǒu)問題”是不可(kě)行(xíng)的，因此研究人(rén)員已經嘗試對企業信息技(jì)術(shù)與安全技(jì)術(shù)進行(xíng)集成。至于SOA體(tǐ)系結構的嵌入的安全性，可(kě)以通(tōng)過正确的訪問控制(zhì)和(hé)授權來(lái)實現某種控制(zhì)。可(kě)以用一種能保證所傳輸信息完整性的方式來(lái)完成各項服務之間(jiān)信息的加密傳輸，确保在此交互活動中僅有(yǒu)發送方和(hé)接收方參與。

④集成與智能層。該層是體(tǐ)系結構區(qū)域，其中數(shù)據、過程和(hé)應用被維系在一起用來(lái)解決業務問題，以适應快速變化的環境。設計(jì)了四個(gè)模型：BPM（用來(lái)完成不同安全過程之間(jiān)的管理(lǐ)和(hé)配置）；業務情報模型（提供了各種服務，諸如報告、查詢、數(shù)據挖掘和(hé)多(duō)維分析）；規則引擎（屬于工作(zuò)流的一部分，可(kě)以整合進BPM模型中）；PDCA适配器(qì)（采用人(rén)工智能的一種特殊工具，有(yǒu)助于企業在信息安全管理(lǐ)中實現持續進步與自我優化目标）。

⑤信息安全門(mén)戶。信息安全門(mén)戶層提供了與安全人(rén)員、風險分析員以及管理(lǐ)團隊的交互。它包括了交互設備、交互機制(zhì)、交互接口（諸如SMS（短(duǎn)報文服務）接口）和(hé)電(diàn)郵連接器(qì)等。它還(hái)提供了一個(gè)門(mén)戶以及關鍵風險指示器(qì)和(hé)IT風險與控制(zhì)的控制(zhì)面闆。必要時(shí)，它可(kě)以提供在線平衡記分卡，用于管理(lǐ)審查。

概括地講，這種智能企業信息安全體(tǐ)系結構具有(yǒu)集成、可(kě)重用性、面向服務、集成數(shù)據環境、業務情報和(hé)開(kāi)放式體(tǐ)系結構等特征。

信息可(kě)用性是信息安全的重要支柱之一，也是信息安全中最關鍵的屬性。信息可(kě)用性指的是經過授權的用戶擁有(yǒu)享受網絡信息服務的權力。

在計(jì)算(suàn)機科學、信息技(jì)術(shù)和(hé)應用中，可(kě)用性含義是各不相同的。在過去幾十年裏，研究人(rén)員已經在其功能性和(hé)性能方面（即計(jì)算(suàn)機網絡、信息處理(lǐ)系統、數(shù)據庫、文件系統和(hé)數(shù)據存儲等）做(zuò)了大(dà)量研究，而最終确認了一個(gè)事實就是，可(kě)用性是提供信息安全的一個(gè)關鍵支柱，并且都認同了以下共同目标。

（1）允許那(nà)些(xiē)需要的人(rén)對授權信息或資源的訪問。

（2） 授權用戶及時(shí)、可(kě)靠地訪問數(shù)據和(hé)信息服務。

（3）不應阻止一個(gè)授權方對他/她可(kě)以合法訪問的對象進行(xíng)訪問。

（4）需要保證系統能夠立即工作(zuò)并且不會(huì)對授權用戶拒絕服務。

但(dàn)人(rén)們在探討(tǎo)信息系統安全的時(shí)候并未對信息可(kě)用性引起足夠的重視(shì)。當今的拒絕服務（DoS）攻擊通(tōng)過對信息安全造成威脅來(lái)持續以更大(dà)和(hé)更具破壞性的DoS形式來(lái)構成威脅。DoS攻擊的主要目标是使一個(gè)信息資源變得(de)不可(kě)用，或用更簡明(míng)的術(shù)語來(lái)描述其主要的威脅目标就是“信息可(kě)用性”。由于DoS威脅的存在，需要對信息可(kě)用性進行(xíng)研究與分析，以便更好地将“可(kě)用性”作(zuò)為(wèi)一個(gè)安全屬性來(lái)加以理(lǐ)解。

事實上(shàng)，信息可(kě)用性在确定信息安全的其他屬性（保密性和(hé)完整性）的過程中起着重要的作(zuò)用，因為(wèi)這兩個(gè)屬性直接是由可(kě)用性來(lái)決定的。

由保密性、完整性和(hé)可(kě)用性組成的CIA三元組是信息安全的心髒。信息安全中的每個(gè)領域都是圍繞着這三個(gè)安全屬性來(lái)解決的，但(dàn)保密性和(hé)完整性都取決于可(kě)用性。可(kě)用性構成了其他兩個(gè)安全屬性的基礎，沒有(yǒu)它就無法應用安全屬性。

信息可(kě)用性所依賴的各種因素，從信息（和(hé)有(yǒu)關資源）的角度來(lái)看，一個(gè)組織中信息可(kě)用性相比所有(yǒu)其他資源來(lái)說有(yǒu)多(duō)麽的重要。我們重點關注的是資源在4級和(hé)2級發生(shēng)了什麽，而對其他資源的關注點是“這些(xiē)資源可(kě)以對4級和(hé)2級資源的可(kě)用性産生(shēng)影(yǐng)響”。這兩個(gè)級别在一個(gè)組織推動勞動力向前發展的過程中起到了骨幹作(zuò)用。

在保障信息安全時(shí)，安全利益相關者應根據三個(gè)安全屬性各自适用的領域來(lái)對這三個(gè)安全屬性（即保密性、完整性和(hé)可(kě)用性）進行(xíng)平等處理(lǐ)。可(kě)用性是三個(gè)屬性中最為(wèi)關鍵的屬性，其他兩個(gè)屬性直接依賴于可(kě)用性。沒有(yǒu)信息系統/資源可(kě)用性的話(huà)，就好比沒有(yǒu)可(kě)用信息的話(huà)，就無法應用保密性和(hé)完整性方法。由于可(kě)用性依賴軟件、硬件和(hé)網絡，可(kě)以在所有(yǒu)這三種情況中完成有(yǒu)關系統可(kě)用性的系統級和(hé)獨立部件級測量。關鍵信息處理(lǐ)系統往往會(huì)嘗試實現持續可(kě)用性，這是非常難以維持的。基礎可(kě)用性是可(kě)實現可(kě)用性的最低(dī)級别的形式。

信息安全管理(lǐ)尋求建立控制(zhì)與措施來(lái)最大(dà)程度地降低(dī)丢失信息和(hé)系統資源、數(shù)據崩潰，破壞數(shù)據訪問以及未經授權的信息洩露等風險。通(tōng)過有(yǒu)效的策略、标準和(hé)步驟來(lái)實現安全管理(lǐ)，确保授權用戶的信息、應用、系統和(hé)網絡的保密性、完整性和(hé)可(kě)用性。

信息安全管理(lǐ)系統包括：風險管理(lǐ)，基于保密性、完整性和(hé)可(kě)用性度量；應用的總體(tǐ)質量管理(lǐ)（TQM），基于效率和(hé)有(yǒu)效性度量；一個(gè)監控與報告模型，基于抽象層；一種架構的方法，包含了人(rén)、過程和(hé)技(jì)術(shù)；一種擴展的框架，通(tōng)過該框架對信息安全依從性進行(xíng)管理(lǐ)。

信息安全被确定為(wèi)保護信息和(hé)信息資源的過程，目的是要保持信息的保密性、完整性和(hé)可(kě)用性。

（1）信息安全管理(lǐ)系統（ISMS）組成部分

ISMS包括了以下基本的組成部分：管理(lǐ)原則、資源、人(rén)員、信息安全過程。

（2）信息安全管理(lǐ)系統領域

信息安全管理(lǐ)系統标準包含了11個(gè)安全領域、39個(gè)控制(zhì)目标和(hé)133個(gè)控制(zhì)。

（3）風險管理(lǐ)

風險管理(lǐ)被定義“在組織框架內(nèi)對脆弱性和(hé)威脅進行(xíng)确認的過程，以及生(shēng)成某些(xiē)對策來(lái)最大(dà)程度減少(shǎo)對信息資源産生(shēng)影(yǐng)響的過程”。風險評估是風險管理(lǐ)過程的一部分。風險管理(lǐ)是一項複雜性活動，對實施的測量和(hé)執行(xíng)的安全策略的分析、規劃、實施、控制(zhì)與監控進行(xíng)處理(lǐ)。相反，風險評估是在離散時(shí)間(jiān)點上(shàng)執行(xíng)的（例如，按需一年一次等），并且在下一次評估實施之前提供已評估的風險的臨時(shí)視(shì)圖，同時(shí)用參數(shù)來(lái)表示整個(gè)風險管理(lǐ)過程。

風險管理(lǐ)包含了兩個(gè)過程：

①風險分析：确認對信息安全産生(shēng)的影(yǐng)響因素的過程。

②風險評估包含了四種結果：确定威脅；根據風險級别對這些(xiē)威脅進行(xíng)優先化；定義控制(zhì)與防護措施；這些(xiē)措施實施的開(kāi)發計(jì)劃。

企業通(tōng)過信息安全風險管理(lǐ)的實施，能夠确定長時(shí)間(jiān)的安全風險管理(lǐ)計(jì)劃，并且可(kě)以有(yǒu)效緩解企業信息系統中的安全風險，提高(gāo)工作(zuò)人(rén)員對信息安全風險的認識。建議企業在實施風險管理(lǐ)的同時(shí)，及時(shí)建立信息安全風險預警系統，特别要加強網絡與信息系統安全管理(lǐ)，充分發揮技(jì)術(shù)支撐、機制(zhì)保障等，有(yǒu)效預防和(hé)減少(shǎo)信息系統安全事故的發生(shēng)。

（4）ISO/IEC 27001

ISO 27001是一個(gè)信息安全管理(lǐ)系統（ISMS），它有(yǒu)助于各組織對資源的安全性進行(xíng)管理(lǐ)。ISO 27001是為(wèi)信息安全管理(lǐ)系統（ISMS）提供需求的最著名的标準。

ISO/IEC 27001引入了“規劃-實施-檢查-處置”（PDCA）模型，旨在建立、實現、監控并提高(gāo)組織的ISMS的效率。

實際上(shàng)，信息安全管理(lǐ)體(tǐ)系建設最核心和(hé)最關鍵的部分，就是把建立（P規劃）、實施和(hé)運行(xíng)（D實施）、監視(shì)和(hé)評審（C檢查）以及保持和(hé)改進（A處置）四個(gè)重要環節形成PDCA的動态閉環的管理(lǐ)流程，這種管理(lǐ)方法就是PDCA循環。隻有(yǒu)按照P-D-C-A的順序持續循環，體(tǐ)系才能高(gāo)效運轉和(hé)不斷完善。

計(jì)算(suàn)機網絡信息安全體(tǐ)系結構的建設是一項複雜而系統的工程，不僅涉及較多(duō)的學科，而且知識的延伸性較強。對比傳統的信息安全體(tǐ)系結構設計(jì)，我們所介紹的體(tǐ)系結構設計(jì)具備多(duō)個(gè)優勢，包括開(kāi)放、集成、可(kě)重用性、面向服務、集成數(shù)據平台和(hé)業務情報等。這些(xiē)都有(yǒu)益于企業通(tōng)過建立有(yǒu)效的智能信息安全體(tǐ)系結構、集成衆多(duō)安全應用、消除人(rén)工操作(zuò)等來(lái)簡化安全管理(lǐ)，并提供更為(wèi)有(yǒu)效的風險控制(zhì)。與此同時(shí)，我們注重對相關領域（信息安全中最重要的屬性以及信息安全管理(lǐ)系統等）的研究。我們相信這些(xiē)将有(yǒu)助于企業信息安全管理(lǐ)和(hé)風險控制(zhì)的實施。