信息安全管理系统模型设计与实现
|
摘要
随着社会信息化时代的来临,信息资源对信息化社会的重要程度越来越大。从人们的日常工作生活、企业管理到国家管理,信息资源都是必不可少的关键资源,现代社会的发展,都需要各种信息资源的支持。但是信息在信息化社会发展中的作用越来越重要的同时,随之而来的信息安全问题也变得日益严重,亟需对信息加以安全保护及安全管理。目前,许多标准化组织都提出了各自的信息安全管理的体系标准和模型,这些标准在某些行业,例如电信行业等,得到了很好的应用；并且目前,许多公司已经将信息安全管理工作纳入到了公司的日常管理中,信息安全管理得到了很多企业的高度重视。但是,如果企业仅仅按照信息安全管理标准中的规定,建设了所需的所有文档,而没有信息安全管理系统支撑信息安全管理体系,那么企业是无法有效进行信息安全管理。信息安全管理系统在信息安全管理中占有非常重要的作用,为信息安全管理提供支撑及实施的落地。
本文首先调研分析国内的主要信息安全管理系统,发现这些信息安全管理系统普遍存在的问题包括以下四点：(1)资产和资产所承载的业务之间没有关联,这些信息安全管理系统都仅仅反应了单独资产的安全状况,没有反映出将资产所承载的整体业务系统的安全状况。(2)目前国内的信息安全管理系统多为被动式安全管理,当安全事件已经发生时,才能检测出来,无法做到提前预防。(3)缺乏拓扑管理。(4)缺乏对整个生命周期的资产风险的动态跟踪分析,缺乏对资产风险的增加,消减,规避的动态跟踪。然后本文设计了一种新的信息安全管理系统模型,新的模型能够解决目前主流信息安全管理系统存在的问题。根据设计的信息安全管理系统模型,本文设计实现了一个信息安全管理系统,然后验证实现的信息安全管理系统解决了目前主流信息安全管理系统中存在的问题。但是上述的信息安全管理系统的风险管理是基于传统的以评估资产脆弱性为核心的风险评估结果。将信息安全管理系统应用在大型分布式信息系统中,例如工控系统,电力系统等时,并不是十分合适。本文首先阐述了传统风险评估方式应用在工业控制系统上的问题,然后设计了一种针对工业控制系统的面向业务的风险评估方式及隐患主机识别方法,并且通过一个应用实例验证了本方法的可行性。当信息安全管理系统应用在工业控制系统下时,其风险评估方式及资产识别方法要相应变化。
As the coming of the information society, information resources are more and more important. Information resources are essential to daily lives of people, operations of organizations and management of countries, which are supporting development of modern societies. However, the security of Information resources is more and more critical. Nowadays, many organizations have published their information security management system standards and models, which are used efficiently by many business companies. Many business companies have put information security management crucial position. However, if a company only builds documents of information security management according information security management system standards, information security management does not execute efficiently without the support of information security management platform. The effect of information security management platform is very crucial to information security management executed efficiently.
First, the paper analyzes characteristics of security management systems in China and finds four general problems existing in security management systems in China:(1) There has no relationship with properties and business system, all security management systems are able to reflect security levels of properties, however, only few security management systems are able to reflect security levels of business system as a whole.(2) Nowadays, many security management systems in China are executed passively, only when accidents happens, can systems detect threats, which cannot managed actively.(3) Many security management systems are lack of topology management, which do not support creation, deletion, modification and viewing of topology.(4) Many security management systems are lack of dynamic risk management, which cannot support creation, deletion and modification of risks through system life cycle. Second, according to these four general problems, the paper designs a new model of security management system that can solve the problems. Third, according to the new model of security management system, the paper implements a new information security management system and verifies how the new information security managefnent system can solve the problems existing in security management systems in China. However, the new information security management system is based on traditional methods of risk evaluation, when it is used by complex information systems, such as industrial control systems, electrical systems and so on, the new information security management system is not effective and appropriate. Forth, the paper analyze the reason why traditional methods of risk evaluation are not appropriate to complex information systems, and then, the paper introduces a new method of riks evaluation and vulnerable systems identification for industrial control system under lack of risk evaluation methods and lack of simulation platform for industrial control system environment. The new method of risk evaluation identifies system vulnerabilities from a kind of documents such as system requirements specification, system safety requirements and so on in order to solve the problems that industrial system can not be scanned by vulnerability scanning tool. The new methods of risk system identification can identify the most vulnerable systems efficiently using bayesian networks in order to solve the problems that the most vulnerable systems cannot be identified by huge vulnerability scanning tool results efficiently. At last, this paper gives an example to verify the effectiveness of the new methods of risk evaluation and vulnerable systems identification.
本文首先调研分析国内的主要信息安全管理系统,发现这些信息安全管理系统普遍存在的问题包括以下四点：(1)资产和资产所承载的业务之间没有关联,这些信息安全管理系统都仅仅反应了单独资产的安全状况,没有反映出将资产所承载的整体业务系统的安全状况。(2)目前国内的信息安全管理系统多为被动式安全管理,当安全事件已经发生时,才能检测出来,无法做到提前预防。(3)缺乏拓扑管理。(4)缺乏对整个生命周期的资产风险的动态跟踪分析,缺乏对资产风险的增加,消减,规避的动态跟踪。然后本文设计了一种新的信息安全管理系统模型,新的模型能够解决目前主流信息安全管理系统存在的问题。根据设计的信息安全管理系统模型,本文设计实现了一个信息安全管理系统,然后验证实现的信息安全管理系统解决了目前主流信息安全管理系统中存在的问题。但是上述的信息安全管理系统的风险管理是基于传统的以评估资产脆弱性为核心的风险评估结果。将信息安全管理系统应用在大型分布式信息系统中,例如工控系统,电力系统等时,并不是十分合适。本文首先阐述了传统风险评估方式应用在工业控制系统上的问题,然后设计了一种针对工业控制系统的面向业务的风险评估方式及隐患主机识别方法,并且通过一个应用实例验证了本方法的可行性。当信息安全管理系统应用在工业控制系统下时,其风险评估方式及资产识别方法要相应变化。
As the coming of the information society, information resources are more and more important. Information resources are essential to daily lives of people, operations of organizations and management of countries, which are supporting development of modern societies. However, the security of Information resources is more and more critical. Nowadays, many organizations have published their information security management system standards and models, which are used efficiently by many business companies. Many business companies have put information security management crucial position. However, if a company only builds documents of information security management according information security management system standards, information security management does not execute efficiently without the support of information security management platform. The effect of information security management platform is very crucial to information security management executed efficiently.
First, the paper analyzes characteristics of security management systems in China and finds four general problems existing in security management systems in China:(1) There has no relationship with properties and business system, all security management systems are able to reflect security levels of properties, however, only few security management systems are able to reflect security levels of business system as a whole.(2) Nowadays, many security management systems in China are executed passively, only when accidents happens, can systems detect threats, which cannot managed actively.(3) Many security management systems are lack of topology management, which do not support creation, deletion, modification and viewing of topology.(4) Many security management systems are lack of dynamic risk management, which cannot support creation, deletion and modification of risks through system life cycle. Second, according to these four general problems, the paper designs a new model of security management system that can solve the problems. Third, according to the new model of security management system, the paper implements a new information security management system and verifies how the new information security managefnent system can solve the problems existing in security management systems in China. However, the new information security management system is based on traditional methods of risk evaluation, when it is used by complex information systems, such as industrial control systems, electrical systems and so on, the new information security management system is not effective and appropriate. Forth, the paper analyze the reason why traditional methods of risk evaluation are not appropriate to complex information systems, and then, the paper introduces a new method of riks evaluation and vulnerable systems identification for industrial control system under lack of risk evaluation methods and lack of simulation platform for industrial control system environment. The new method of risk evaluation identifies system vulnerabilities from a kind of documents such as system requirements specification, system safety requirements and so on in order to solve the problems that industrial system can not be scanned by vulnerability scanning tool. The new methods of risk system identification can identify the most vulnerable systems efficiently using bayesian networks in order to solve the problems that the most vulnerable systems cannot be identified by huge vulnerability scanning tool results efficiently. At last, this paper gives an example to verify the effectiveness of the new methods of risk evaluation and vulnerable systems identification.
引文
[1]尚程电信行业信息安全管理体系研究与实践[学位论文],北京邮电大学,2011年12月。
[2]武彬,张玉清,毛剑信息安全风险管理系统的设计与实现计算机工程第33卷第21期2007年11月。
[3]周倩面向业务流程的信息安全风险评估研究和实现[学位论文],国防科学技术大学,2007年11月。
[4]徐菲电信行业内网信息安全管理体系的研究与实现[学位论文],北京邮电大学,2010年5月17日。
[5]朱广延信息系统安全评估管理系统[学位论文],太原理工大学,2012年5月。
[6]高文涛国内外信息安全管理体系研究Computer Security2008年12月。
[7]NIST Special Publication 800系列.美国国家标准和技术委员会.
[8]王闪闪IS027000与等级保护系列标准对比研究[学位论文],陕西师范大学,2010年6月。
[9]齐雅楠信息系统等级保护实施流程研究与实践[学位论文],北京邮电大学,2011年12月30日。
[10]ISO 27000系列标准.ISO国际标准化组织.
[11]Information technology-- Security techniques -- Code of practice for information security management. ISO/IEC17799.
[12]《计算机信息系统安全保护等级划分准则》.中华人民共和国国家标准.国家质量技术监督局发布.1999年
[13]Information technology-Security techniques-Information security management systems-Requirements. ISO/IEC 27001:2005。
[14]Information technology-Security techniques- Code of practice for information security management. ISO/IEC 27002:2007。
[15]Control Objectives for Information & related Technology(信息及相关技术的控制目标).美国信息系统审计与控制协会(1SACA)和1T治理委员会.
[16]The Standard of Good Practice for Information Security:2012. Information Security Forum(ISF).
[17]Information Technology Infrastructure Library, ITIL,信息技术基础架构库..英国商务部OGC(Office of Government Commerce).
[18]张浩,詹辉红基于ISO/IEC27001的信息安全体系与国家电网公司现有体系的比较研究第7卷第5期Electric power it 2009年
[19]庞霞对电力系统信息安全管理的探讨电力科技科技创新与应用2012年3月。
[20]王皓然省级电网公司信息安全管理体系参考架构设计Electric power it文章编号：1672-4844(2011)08-0082-05第9卷第8期2011年。
[21]王志强,李建刚电网企业信息安全管理体系建设Electric Power IT第6卷第3期2008年。
[22]苏力电力系统信息安全风险管理体系的研究与应用现代计算机2011年9月。
[23]张滨中国移动信息安全管理与实战电子工程技术与标准化第10期2011年。
[24]徐菲电信行业内网信息安全管理体系的研究与实现[学位论文],北京邮电大学,2010年5月17日。
[25]李雪梅,王健敏工业系统信息安全管理体系的构建微计算机信息文章编号：1008-0570(2007)01-3-0063-022007年。
[26]陈福莉,谭兴烈信息安全管理平台及其应用信息安全与通信保密2006年12月。
[27]李伟伟面向业务的安全管理平台研究与实现[学位论文],曲阜师范大学,2012年4月。
[28]笋大伟一种新型信息安全管理平台的设计与实现[学位论文],北京邮电大学,2008年3月20日。
[29]魏丽丽基于IS017999标准的信息安全管理系统风险分析模型的研究[学位论文],重庆工学院,2008年5月20日。
[30]信息安全风险评估指南.中华人民共和国国家标准.国家质量技术监督局发布.GB/T20984-2007。
[31]熊琦彭勇戴忠华工业控制系统的安全风险评估中国信息安全2012年3月57-59页。
[32]付娟电网SCADA系统的脆弱性分析与可生存性评估研究[学位论文],北京邮电大学,2012年12月30日。
[33]Zhang Hong Integrtaed Analysis of Software FMEA and FTA in Information Technology and Computer Science 2009 2:184-187.
[34]Paul Baybutt Major hazards analysis:An improved method for process hazard analysis in Process Safety Progress 2003 21(1):21-26.
[35]HeadQuarters,Department of The Army,TM 5-698-4.FAILURE MODES, EFFECTS AND CRITICALITY ANALYSES (FMECA) FOR COMMAND, CONTROL, COMMUNICATIONS, COMPUTER,INTELLIGENCE, SURVEILLANCE, AND RECONNAISSANCE (C4ISR),2006 FACILITIES.
[36]K. Wojtek Przytula, Richard Milford An Efficient Framework for the Conversion of Fault Trees to Diagnostic Bayesian Network Models in IEEE Aerospace Conference 2006.
[37]张帅工业控制系统安全风险分析《信息安全与通信保密》2012-03-10。
[2]武彬,张玉清,毛剑信息安全风险管理系统的设计与实现计算机工程第33卷第21期2007年11月。
[3]周倩面向业务流程的信息安全风险评估研究和实现[学位论文],国防科学技术大学,2007年11月。
[4]徐菲电信行业内网信息安全管理体系的研究与实现[学位论文],北京邮电大学,2010年5月17日。
[5]朱广延信息系统安全评估管理系统[学位论文],太原理工大学,2012年5月。
[6]高文涛国内外信息安全管理体系研究Computer Security2008年12月。
[7]NIST Special Publication 800系列.美国国家标准和技术委员会.
[8]王闪闪IS027000与等级保护系列标准对比研究[学位论文],陕西师范大学,2010年6月。
[9]齐雅楠信息系统等级保护实施流程研究与实践[学位论文],北京邮电大学,2011年12月30日。
[10]ISO 27000系列标准.ISO国际标准化组织.
[11]Information technology-- Security techniques -- Code of practice for information security management. ISO/IEC17799.
[12]《计算机信息系统安全保护等级划分准则》.中华人民共和国国家标准.国家质量技术监督局发布.1999年
[13]Information technology-Security techniques-Information security management systems-Requirements. ISO/IEC 27001:2005。
[14]Information technology-Security techniques- Code of practice for information security management. ISO/IEC 27002:2007。
[15]Control Objectives for Information & related Technology(信息及相关技术的控制目标).美国信息系统审计与控制协会(1SACA)和1T治理委员会.
[16]The Standard of Good Practice for Information Security:2012. Information Security Forum(ISF).
[17]Information Technology Infrastructure Library, ITIL,信息技术基础架构库..英国商务部OGC(Office of Government Commerce).
[18]张浩,詹辉红基于ISO/IEC27001的信息安全体系与国家电网公司现有体系的比较研究第7卷第5期Electric power it 2009年
[19]庞霞对电力系统信息安全管理的探讨电力科技科技创新与应用2012年3月。
[20]王皓然省级电网公司信息安全管理体系参考架构设计Electric power it文章编号：1672-4844(2011)08-0082-05第9卷第8期2011年。
[21]王志强,李建刚电网企业信息安全管理体系建设Electric Power IT第6卷第3期2008年。
[22]苏力电力系统信息安全风险管理体系的研究与应用现代计算机2011年9月。
[23]张滨中国移动信息安全管理与实战电子工程技术与标准化第10期2011年。
[24]徐菲电信行业内网信息安全管理体系的研究与实现[学位论文],北京邮电大学,2010年5月17日。
[25]李雪梅,王健敏工业系统信息安全管理体系的构建微计算机信息文章编号：1008-0570(2007)01-3-0063-022007年。
[26]陈福莉,谭兴烈信息安全管理平台及其应用信息安全与通信保密2006年12月。
[27]李伟伟面向业务的安全管理平台研究与实现[学位论文],曲阜师范大学,2012年4月。
[28]笋大伟一种新型信息安全管理平台的设计与实现[学位论文],北京邮电大学,2008年3月20日。
[29]魏丽丽基于IS017999标准的信息安全管理系统风险分析模型的研究[学位论文],重庆工学院,2008年5月20日。
[30]信息安全风险评估指南.中华人民共和国国家标准.国家质量技术监督局发布.GB/T20984-2007。
[31]熊琦彭勇戴忠华工业控制系统的安全风险评估中国信息安全2012年3月57-59页。
[32]付娟电网SCADA系统的脆弱性分析与可生存性评估研究[学位论文],北京邮电大学,2012年12月30日。
[33]Zhang Hong Integrtaed Analysis of Software FMEA and FTA in Information Technology and Computer Science 2009 2:184-187.
[34]Paul Baybutt Major hazards analysis:An improved method for process hazard analysis in Process Safety Progress 2003 21(1):21-26.
[35]HeadQuarters,Department of The Army,TM 5-698-4.FAILURE MODES, EFFECTS AND CRITICALITY ANALYSES (FMECA) FOR COMMAND, CONTROL, COMMUNICATIONS, COMPUTER,INTELLIGENCE, SURVEILLANCE, AND RECONNAISSANCE (C4ISR),2006 FACILITIES.
[36]K. Wojtek Przytula, Richard Milford An Efficient Framework for the Conversion of Fault Trees to Diagnostic Bayesian Network Models in IEEE Aerospace Conference 2006.
[37]张帅工业控制系统安全风险分析《信息安全与通信保密》2012-03-10。