1、构建在cisp知识体系下的信息安全规划设计构建在cisp知识体系下的信息安全规划设计引言随着信息技术的不断发展，全球业务链已经越来越依赖信息技术。与信息技术相关的安全问题成为威胁业务链的重要构成部分。传统的信息安全保护在“木桶原理”的指导下，不断修补短板，缺乏全面、系统的安全规划设计。本文的目的是通过CISP的知识体系架构建立基础的信息安全规划设计模型，为组织提供一套有效的参考和依据。二、理解CISP知识体系CISP的核心在于将保障贯穿于整个知识体系。保障应覆盖整个信息系统生命周期，通过技术、管理、工程过程和人员确保每个阶段的安全属性（保密性、完整性和可用性）得到有效的控制，使组织业务持续运行
2、。IT作为保障业务的重要手段和工具成为传统保障目的的核心。由于风险会影响业务的正常运行，因此降低风险对业务的影响是保障的主要目标。（如图）CISP 知识域简图在建立保障论据的过程中，首先应该考虑的是组织业务对IT的依赖程度；其次要考虑风险的客观性；第三要考虑风险消减手段的可执行度。CISP从体系结构上提供了信息安全规划设计的良好思路和方法论，在整个课程体系中涵盖了从政策（战略层）到模型、标准、基线（战术层）的纵向线条，同时在兼顾中国国情的情况下系统的介绍了国际常用评估标准、管理标准和国家相关信息安全标准与政策。三、利用CISP知识体系建立安全规划设计安全规划是信息安全生命周期管理的起点和基础，
3、良好的规划设计可以为组织带来一个正确的指导和方向。根据国家网络安全法“第三十三条 建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。”通过保障的思想建立安全规划背景信息安全规划设计可根据美国信息保障技术框架（IATF）ISSE过程建立需求，本阶段可对应ISSE中发掘信息保护需求阶段。根据“信息安全保障基本内容”确定安全需求，安全需求源于业务需求，通过风险评估与政策法规的符合性建立基于风险与策略的基本方针。因此，安全规划首先要熟悉并了解组织的业务特性，在信息安全规划背景设计中应描述规划对象的业务特性、业务类型、业务范围以及业务状态等相
4、关信息，并根据组织结构选择适用的安全标准，如：国家关键基础设施的信息安全需要建立在信息安全等级保护基础之上、第三方支付机构可选择PCI-DSS作为可依据的准则等。信息系统保护轮廓是根据组织机构使命和所处的运行环境，从组织机构的策略和风险的实际情况出发，对具体信息系统安全保障需求和能力进行具体描述。风险的获取必须通过风险评估，传统的风险评估可以基于GB/T 20984信息安全风险评估规范执行具体的评估，评估分为技术评估与管理评估两部分，从可遵循的标准而言，技术评估通过GB/T 222402008信息安全等级保护技术要求中物理安全、网络安全、系统安全、应用安全及数据安全五个层面进行评估；管理安全可
5、以选择ISO/IEC 27001：2013信息技术 信息安全管理体系 要求进行，该标准所包含的14个控制类113个控制点充分体现组织所涉及的管理风险。在工作中，可以根据信息系统安全目标来规范制定安全方案。信息系统安全目标是根据信息系统保护轮廓（ISPP）编制、从信息系统安全保障的建设方（厂商）角度制定的信息系统安全保障方案。我们根据组织的安全目标设计建设目标，由于信息技术的飞速发展以及组织业务的高速变化，一般建议建设目标以1-3年为宜，充分体现信息安全规划设计的可实施性，包括可接受的成本、合理的进度、技术可实现性，以及组织管理和文化的可接受性等因素。2. 基于信息系统安全保障评估框架下的概要设
6、计概要设计的主要任务是把背景建立阶段中所获得的需求通过顶层设计进行描述。本阶段可对应ISSE中定义信息保护系统，通过概要设计将安全规划设计基于GB/T 20274-1：2006 信息安全技术信息系统安全保障评估框架第一部分：简介和一般模型进行模块化划分，并且描述安全规划设计的组织高层愿景与设计内涵；在概要设计中还应该描述每个模块的概要描述与设计原则。设计思路是从宏观上描述信息安全规划设计的目的、意义以及最终目标并选择适用的模型建立设计原则。本部分主要体现信息安全保障中信息系统安全概念和关系。根据网络安全法相关规定，顶层设计可以建立在信息安全等级保护的基础上，综合考虑诸如：建立安全管理组织、完善
7、预警与应急响应机制、确保业务连续性计划等方面GB/T 20274-1：2006 信息安全技术信息系统安全保障评估框架第一部分：简介和一般模型提供了一个优秀的保障体系框架。该标准给出了信息系统安全保障的基本概念和模型，并建立了信息系统安全保障框架。该标准详细给出了信息系统安全保障的一般模型，包括安全保障上下文、信息系统安全保障评估、信息系统保护轮廓和信息系统安全目标的生成、信息系统安全保障描述材料；信息系统安全保障评估和评估结果，包括信息系统保护轮廓和信息系统安全目标的要求、评估对象的要求、评估结果的声明等。信息系统安全保障是在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的
8、安全保障策略，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。策略体现的是组织的高层意旨；模型与措施作为战术指标分别为中层和执行层提供具体的工作思路和方法，以完成设计的具体实现。当信息安全满足所定义的基本要素后，为每个层面的设计提出概要目标并在具体的设计中将其覆盖整个安全规划之中。3. 实现合规性通用设计通用设计可对应ISSE中设计系统体系结构，本阶段是整个安全规划设计的核心部分，本阶段必须全面覆盖背景建立阶段所获得的安全需求，满足概要设计阶段所选择的模型与方法论，全面、系统的描述安全目标的具体实
9、现。通用安全设计是建立在宏观角度上的综合性设计，设计首先将各个系统所产生的共同问题及宏观问题统一解决，有效的降低在安全建设中的重复建设和管理真空的问题。在通用设计中重点针对组织信息安全管理体系和风险管理过程的控制元素；从系统生命周期考虑信息安全问题。（1） 管理设计在信息安全管理体系ISMS过程方法论中，我们可遵循的过程方法是PDCA四个阶段，首先，我们需要在P阶段解决信息系统安全的目标、范围的确认，并且获得高层的支持与承诺。安全管理的实质就是风险管理，管理设计应紧紧围绕风险而建立，所以本阶段首要的任务是为组织建立适用的风险评估方法论；其次，管理评估中我们所识别的不可接受风险是本阶段中主要设计
10、依据。通过D环节，我们需要解决风险评估的具体实施以及风险控制措施落实，风险评估仅能解决当前状态下的安全风险问题，因此，我们必须建立风险管理实施规范，当组织在一定周期（如：1年）或者组织发生重大变更时重新执行风险评估，风险评估可以是自评估，也可以委托第三方进行。本环节的设计必须涵盖管理风险中所有不可接受风险的具体处置，从实现而言，重点关注管理机构的设置与体系文件的建立和落实。第三个环节是建立有效的内审机制和监测机制，没有检测就没有改进，通过设计审计体系完成对信息安全管理体系的动态运行。A环节是在完成审计之后针对组织是否有效执行纠正措施的落实设计审计跟踪和风险再评估过程，A环节既是信息安全管理体系
11、的最后一个环节，也是新的PDCA过程的推动力。（2）技术设计本环节技术设计主要是建立在组织平均安全水平基础上，应可适用于组织所有的系统和通用的技术风险。设计可遵循多种技术标准体系，在本例中，首先建立基于信息安全等级保护下的五个层面的技术设计要求。通过美国信息保障技术框架（IATF）建立“纵深防御”原则，其具体涉及在访问控制技术和密码学技术支撑下的物理安全、网络安全、系统安全、应用安全和数据安全。技术设计中可在原有的技术框架下建立云安全、大数据安全等专项技术安全设计，也可在网络安全中增加虚拟网络安全设计等方式应对新技术领域的安全设计；技术设计可以分为两个主要手段：技术配置：技术配置是在现有的技术
12、能力下通过基于业务的安全策略和合规性基线进行安全配置；常见的手段如：补丁的修订、安全域的划分与ACL的设计、基于基线的系统配置等手段；技术产品：技术产品是在现有产品不能满足控制能力时通过添加新的安全产品结合原有的控制措施和产品统一部署，统一管理。在技术设计中，必须明确的原则是产品不是安全的唯一，产品也不是解决安全问题的灵丹妙药，有效的安全控制是通过对产品的综合使用和与管理、流程、人员能力相互结合，最终形成最佳的使用效果。（3）工程过程设计工程过程设计重点考虑基于生命周期每个阶段的基于安全工程考虑的流程问题，在信息系统生命周期的五个层面。信息安全问题应该从计划组织阶段开始重视，在信息系统生命周期
13、每个阶段建立有效的安全控制和管理。工程过程包括计划组织、开发采购、实施交付、运行维护和废弃五个阶段，本阶段的设计主要通过在每个阶段建立相应的流程，通过流程设计控制生命周期各个阶段的安全风险。例如：在计划组织（需求分析）阶段，体现信息安全工程中明确指出的系统建设与安全建设应“同步规划、同步实施”，体现网络安全法中三同步的要求；在开发采购阶段通过流程设计实现软件安全开发的实现和实现供应链管理；实施交付阶段，关注安全交付问题，应设计安全交付流程和安全验收流程；运行维护阶段要体现安全运维与传统运维差异化，安全运维起于风险评估，应更多关注预防事件的发生，事前安全检查的基线设计、检查手段及工具的选择和使用
14、根据设备的不同重要程度建立不同的检查周期；当系统产生缺陷或者漏洞时，设计合理的配置管理、变更管理及补丁管理等流程解决事中问题；当事件已经产生影响时可以通过预定义的应急响应机制良好的抑制事件并处置事件；当事件造成系统中断、数据丢失以及其他影响业务连续性后果时，能够通过规划中的灾难恢复及时恢复业务；废弃阶段通过流程控制用户系统在下线、迁移、更新过程中对包含有组织敏感信息的存储介质建立保护流程和方法，明确废弃过程中形成的信息保护责任制，并根据不同的敏感采取不同的管理手段和技术手段对剩余信息进行有效处置。（4）人员设计人员安全是信息安全领域不可或缺的层面，长期以来，过于关注IT技术的规划设计而忽略了人
15、的安全问题，长期以来，内部人员安全问题构成了组织安全的重要隐患，人为的无意失误往往造成的损害远大于人为的恶意行为。人员设计重点关注人员岗位、技术要求、背景以及培训与教育。充分体现最小特权、职责分离及问责制等原则。根据网络安全法第四章要求，关键基础设施应建立信息安全管理机构，并设置信息安全专职人员。在人员设计中还应充分考虑到第三方代维人员的管理及供应商管理等新的问题的产生。4. 构建等级化保护的层面间设计在通用设计中，我们基于组织平均安全水平建立规划设计，而本阶段主要为满足不同等级化业务系统的强化安全保护要求。层面间设计可以基于系统的具体特征有针对性的对系统安全性进行深度分析。本阶段的设计可以建
16、立在信息安全等级保护的符合性原则之上建立。5. 合理安排工程实施计划工程实施计划必须根据背景建立阶段中建设目标将信息安全规划设计根据组织风险优先级及成本投入等因素分期实施。安全规划设计是通过技术（技术产品、技术配置）、管理（组织建设与、体系文件建设）、工程过程（流程建设、流程梳理与流程控制）及人员（岗位设置、岗位原则、职责划分）四个方面设计，因此在每个阶段可根据组织实际情况分期实施，并合理分配工程预算。四、总结信息安全规划设计不用拘泥于某一种模式或者类型，CISP知识体系建立在基于生命周期的信息安全保障体系为信息系统安全规划设计提供了良好的参考和依据，灵活运用课程中所介绍的各种标准与模型，充分
17、融合技术与技术产品，坚持技术与管理并重的原则，通过流程有效控制工程过程并合理部署和利用人员，实现人、技术和操作的有机结合。同时综合运用CISP知识体系不但可以丰富信息安全规划设计的具体实现，也可以为日常运维工作提供必要的参考。附表 信息安全规划参考标准一览表阶段可参考标准/模型需求分析GB/T 17859：1999计算机信息系统安全保护等级划分准则GB/T 20984：2007信息安全风险评估规范SDL-STRIDE威胁建模网络安全法总体规划设计GB/T 20274信息安全技术 信息系统安全保障评估框架通用性设计管理设计注1ISO/IEC 27001：2013 信息安全管理体系 要求GB/T
18、20269：2006信息安全技术 信息系统安全管理要求GB/Z 24364:2009 信息安全风险管理指南技术设计IATF 信息保障技术框架GB/T 25070：2010 信息安全技术 信息系统等级保护安全设计 技术要求工程过程计划组织网络安全法IATF 信息保障技术框架（第三章）ISO/IEC 27001：2013 信息安全管理体系 要求GB/T 20282：2006信息安全技术 信息系统安全工程管理要求开发采购GA/T 7112007信息安全技术 应用软件系统安全等级保护通用技术指南OWASP SAMM 软件安全能力成熟度模型ISO/IEC 27001：2013 信息安全管理体系 要求实施
19、交付ITIL IT基础架构库GB/T 20269：2006信息安全技术 信息系统安全管理要求ISO/IEC 27001：2013 信息安全管理体系 要求运行维护ITIL IT基础架构库ISO/IEC 27001：2013 信息安全管理体系 要求GB/Z 20986：2007信息安全技术 信息安全事件分类分级指南国家网络安全事件应急预案废弃ISO/IEC 27001：2013 信息安全管理体系 要求人员ISO/IEC 27001：2013 信息安全管理体系 要求层面间设计GB/T 20271：2006信息安全技术 信息系统安全通用技术要求注1：实际操作中，有专家提出，技术控制使用国家等级保护标准，管理部分必须使用国家等级保护相关标准，而不应引入ISMS标准体系。笔者认为，标准之间本身可以相互融合，取长补短，规划设计的目的是为了实现安全目标，而不是一味的迎合某个标准而撰写；注2：本标准对应表为通用标准，针对行业标准可自行参考本行业标准要求，此处不做累述。
