资产安全管理范例

【摘要】

保证业务系统正常运行是信息安全的重要因素。部署桌面安全管理系统，实现电源管理、补丁管理、外设控制、资产管理、软件分发和远程支持等服务功能，达到对终端工作站的行为监控、审计和管理，解决存在安全隐患，提升信息安全管理水平和工作效率。

【关键词】

桌面管理；移动储存；软件分发；远程控制

随着计算机技术的飞速发展，医院网络日趋复杂，信息系统多样化，网络信息安全面临诸多问题，如何保障主机安全、应用软件安全、物理环境安全、终端安全成为医院信息化建设的重中之重[1]。但是，由于医院客户端设备数量的不断增加、信息系统的深入应用，使得客户端安全管理面临着更大的挑战。如何最大程度地保障终端设备地正常运行，降低故障发生率，缩短故障处理时间，提升信息安全水平，成为医院信息管理部门所面临的重要挑战。

1、桌面管理中存在安全隐患

客户端任意接入，没有统一的安全策略控制，对医院资产信息采集的统计不全面，远程监控手段不足，用户行为得不到有效的控制等等，存在引发信息安全事件的风险[2]。终端能否正常工作，便成了医院业务能否正常开展的关键因素[3]。同时，终端维护成本高等问题也制约和影响着医院信息化的健康持续发展。

摘要：中国的核安全事业进入安全高效发展的新时期，核电企业为了准确把握新时代对信息安全工作的新要求，必须深入思考和谋划信息安全工作，信息安全管理要从局部思维朝着系统性、体系化的方向发展。核电厂DCS系统信息安全管理体系从在役核电厂DCS系统信息安全现状出发，开展对国内外工控领域较成熟的信息安全标准ISO／IEC27001和GB／T22239－2019的研究，并将其中适用的内容用于指导核电厂工控系统，构建信息安全管理体系，能够解决在役核电厂及新建核电厂DCS信息安全管理方面的不足，提升DCS信息安全防范能力和应急处置能力，在构建完备的核电DCS信息安全管理体系方面具有示范、引领借鉴作用。

关键词：信息安全；核电；体系建设

0引言

数字化仪控系统（DCS）是核电厂的信息神经和控制中枢，对保证核电厂安全可靠运行起着至关重要的作用。中国在役核电厂DCS系统的信息安全工作尚处于探索阶段，管理体系亟待完善。技术手段和管理措施没有有效地结合，导致管理和技术脱钩或偏重现象，或技术手段应用过于复杂，或管理手段没有统一遵照执行的标准，尤其在设计阶段几乎未考虑或较少考虑信息安全防护设计。传统的信息安全管理体系架构的设计充分参考和借鉴ISMS（IS027001），技术上参考国际信息安全保障技术框架IATF对信息安全状况进行分析。国内电力企业遵循电力行业信息安全等级测评基本要求、电力监控系统安全防护规定、信息系统风险评估规范等信息安全管理标准和工作实践，采用PDCA的过程模型建设良性循环，持续改进的闭环管理模式，形成一套标准化的安全管理体系［ie］。但传统信息系统与工控系统在生命周期、实时性要求、设备、运行维护等方面都存在较大差异，无法直接照搬照抄信息系统管理体系。针对核电厂DCS系统的信息安全管理体系（以下简称“管理体系”），国内外尚未形成直接可参考借鉴的标准规范。

1信息安全面临的挑战

近年来，核电领域信息安全事件频发，见表1。特别是针对工业控制系统的安全事件数量呈明显上升趋势，并呈现出攻击工具专业化、行为组织化、目的政治化的特点。尤其是2010年6月“震网”病毒攻击伊朗核设施，控制了?30％的纳坦兹设施的计算机，伊朗暂时关闭了核设施和核电厂。为此，中国在工业控制系统信息安全方面也发布了相关指导文件，如国务院发布的《关于大力推进信息化发展和切实保障信息安全的若干意见》（国发［2012］23号）；电监信息［2012］62号电力行业信息系统安全等级保护基本要求等？，均对重点领域工业控制系统信息安全的管理提出了意见与要求。

2存在风险及漏洞

摘要:互联网的发展能够为金融企业带来更加完善的投资环境、能够优化金融资源配置情况以及提升金融体系的发展，但同时也会给金融企业带来信息安全风险及问题。本文就金融企业中信息安全风险问题进行研究，并总结出相应的对策。

关键词:互联网金融;信息安全风险;综合事件分析平台;防范措施

1引言

企业经营信息对于企业来说是十分重要的东西，对于企业自身的发展具有重要的意义，企业需要妥善进行信息内容的处理，保障信息的安全。近年来企业的发展开始着重于互联网业务的发展，所以，网络方面的风险为企业的信息管理工具增添了更多的挑战。许多的企业已经开始通过各种各样的手段进行制度及安全建设方面的改革，安全工作的重心放也由合规转向信息安全建设和防护上，并且将企业的信息安全管理以及风险控制相连接，以此来稳定企业的平稳发展。

2互联网时代企业所面临的信息安全威胁

2.1传统防护难以抵御新型威胁

金融企业信息安全建设借助于等级保护和相关监管机构工作的推力，企业的信息系统在物理安全、运行安全、安全保密管理等方面取得了一定的成效，具备了一定的防护能力，但是，随着信息技术的飞速发展和广泛应用，信息安全防护已有主动变为被动。现如今随着业务的扩展，信息系统的应用需求在不断增加，涉及各个业务领域，网络规模不断增长，信息系统体系结构更加复杂。但是，由于信息安全的木桶效应，再加上难以控制的技术漏洞和管理不当，必然会导致不可避免的安全攻击和灾难，也就造成信息系统存在高度的脆弱性和风险性。其次，随着信息化的不断推进，信息系统规模不断扩大，组成信息系统的各类硬件、软件、系统，以及各类人员都有可能成为威胁主体，软硬件的后门、漏洞、缺陷，包括对人员的诱惑都是攻击信息系统的常用手段。正是由于攻击源的多样性和防范对象的不确定性导致了传统安全防护手段失效，无法发现和检测新型的威胁和攻击。

信息安全管理体系（InformationSecurityManagementSystem，以下简称为ISMS）和能力成熟度模型集成（CapabilityMaturityModelIntegration，以下简称为CMMI），是当前较为流行的并被大多数软件企业普遍接受和引入的认证体系。其中ISMS是按照ISO/IEC27001标准《信息技术安全技术信息安全管理体系要求》的要求进行建立的，要求组织机构单位制定信息安全管理方针和策略，采用风险管理的方法进行信息安全管理计划、实施、评审检查、改进的信息安全管理执行的工作体系；CMMIDEV2.0是美国卡耐基梅隆大学软件工程研究所（SoftwareEngineeringInstitute，SEI）在2018年推出的最新软件过程改进模型，着力强调高层全程参与以提升企业能力，涵盖了软件研发过程的20个实践域，是一个软件、产品和系统开发的优良实践过程改进模型，能够全方位指导组织提升绩效。当前组织在导入这两个体系时，往往将其视为独立的系统分别实施，一方面加大了企业导入的工作量和成本，另一方面也不利于组织在企业中推广和实施。但事实上ISMS中关于权责分离与访问控制、外包管理、安全需求分析、安全设计与研发、安全测试与验收，变更控制等条款的要求都与CMMI的部分实践高度相关。如何将这两个体系更好的进行融合，既能满足ISMS的审计要求，同时也能达成CMMI实践的要求并同时提升组织流程的一致性是业界一直关注的焦点问题，也是本文会阐述的重点。

1ISMS与CMMI的对应关系

按照ISMS管理体系的要求，本文整理了CMMI相关条款与之对应的实践域，从软件研发的角度而言，我们把两者之间的对应关系分为需求、设计编码与集成、测试与验收、配置管理与变更、外包管理、风险管理、治理（GOV）和过程资产开发共八个大类，如表1所示。

2基于ISMS要求的CMMI研发流程调整

2.1行动能力域。（1）ISO27000的条款4.2理解相关方的需求和期望和A.14.1.1安全需求分析和规范这两个条款要求识别信息安全管理体系的相关方及他们对信息安全相关的要求（其中包括法律，法规要求和合同义务），在当前CMMI2.0体系的实践域需求开发和管理（RDM）中有挖掘需求的实践要求，需要在需求开发和管理的过程中增加识别信息安全需求的活动，并在输出的模板调研记录和需求规格说明书中增加信息安全的需求章节的描述。（2）ISO27000的条款A.14.2开发和支持过程中的安全要求确保在整个信息系统生命周期中的信息安全设计与实施。在当前CMMI2.0体系的实践域技术解决方案（TS）中的活动中增加安全设计活动，并在输出的模板概要设计、详细设计增加基于信息安全需求进行设计的章节，在开发管理过程中增加安全编码规范和编码过程中对代码进行安全审计。（3）ISO27000的条款A.14.2.7外包开发中要求组织宜管理和监视外包系统开发活动，在当前CMMI2.0体系的实践域供方协定管理（SAM）中有针对供应商和供应商的绩效进行监视和评价，需要增加对供应商的安全管理的监控，对供应商的项目管理过程中的安全性进行监控。（4）ISO27000的条款A.14.2.8系统安全测试、A.14.2.9系统验收测试要求在开发的过程中，必须测试功能的安全性、在建立新系统，升级系统和更新版本时，必须建立验收测试程序和相关标准。在当前CMMI2.0体系的实践域验收和确认（VV）中需要增加独立的安全测试规范与安全测试模板。并输出：安全测试方案，安全测试用例，安全测试报告。（5）ISO27000的条款A.14.3测试数据要求确保测试数据的安全,需要根据数据的保密级别进行相应的处理。如需要保密的数据需要进行脱敏处理。当前CMMI2.0体系的实践域验收和确认（VV）中测试管理规范中增加对测试数据的管理规则。

2.2管理能力域。在ISO27000的条款8.2和8.3条款是针对信息安全的风险进行评估和处理，在A.6.1.5项目管理中的信息安全中特别强调在项目研发过程中要在项目管理中考虑信息安全的风险。在信息安全管理体系中识别风险需要考虑：资产价值，弱点、威胁。资产价值：首先识别资产，软件类别（重要软件、一般软件），处理的数据（绝密，机密、内部数据、公开数据）等。再次识别资产的（完整性，保密性和可用性）来计算出资产价值以识别重要资产。弱点库：例如缺乏软件分发管理机制、缺乏软件开发/采购安全保障机制、程序设计漏洞、缺乏漏洞管理机制威胁：例如蓄意破坏/篡改、非授权访问/使用、数据丢失、操作失误当前CMMI2.0体系要求中，并未对安全风险进行明确要求，为了满足ISMS的审计要求，需要在风险与管理机会实践域中定义流程时，将对安全风险的识别作为必需的选项，并在模板中明确标识需要识别安全相关的风险，修改对应风险评估参数为：资产价值、弱点、威胁以此来计算风险值，其计算公式为：风险值=资产价值×弱点值×威胁值。

2.3实现能力域。ISO27000的条款的A.14.2.3运行平台变更后对应用的技术评审、A.14.2.2系统变更控制规程、A.14.2.4软件包变更的限制要求针对变更管理有流程来进行控制、A.14.2.3运行平台变更后对应用的技术评审都要要求对变更进行影响分析并执行适当的评审。当前CMMI2.0体系的实践域配置管理（CM）要求过程已经明确定义了变更的管理过程和CCB组织的建立。需要特别指明CCB的成员应该包括公司的信息安全管理员，以平衡变更是否会引起信息安全方面的问题。ISO27000的条款A.8.2信息分类、A.9.4.5程序源码的访问控制要求按照不同的信息分类级别来进行文件和源代码的访问管理。当前CMMI2.0体系的实践域配置管理（CM）有目录角色的访谈权限列表，需要增加基于文档的秘级来进行权限列表的分配，以控制未授权的访问。

摘要：介绍了高速公路联网收费系统网络安全攻防演练的背景和实施方案，说明网络安全攻防演练对高速公路联网收费系统网络安全具有积极的保障作用。详细介绍了网络安全攻防演练的指挥保障、工作机制及实施方案。防守方的启动阶段对全员进行动员和培训明确了各部门的安全职责和协作机制，备战阶段的全面自查加固提升了整体安全防护能力；实战阶段的全面监测和实时感知做到了重保及时响应；总结阶段的全面总结梳理分析了演练的经验和不足之处。高速公路联网收费系统网络安全攻防演练达到了既定目标，取得了较好的社会效益和经济效益，对全国高速公路运行起到了重要的现实意义。

关键词：高速公路；联网收费系统；网络安全；攻防演练

1网络安全攻防演练的应用背景

自2020年1月1日取消高速公路省界收费站全国并网接入后，实现了高速公路全国“一张网”，在实现不停车快捷收费，减少拥堵，便利群众的同时，也增加了网络安全风险［1］。作为国内重要基础设施，做好网络安全防护、确保高速公路稳定运行尤为重要。因此，自2020年以来，全国联网收费系统就作为了网络安全攻防演练的重点系统之一。

2网络安全攻防演练的方案

2.1网络安全攻防演练的指挥保障

（1）成立攻防演练领导小组

1网络终端管理面临的问题

1.1终端安全管理问题

在终端使用U盘，尤其是外来U盘等移动介质比较容易把计算机病毒带进内网，终端管理员对移动介质的安全使用无法有效管控。有一些办公计算机非法使用违规软件，安装使用与办公无关的软件，管理员无法对软件的安装过程及软件执行所启动的进程进行控制，对于其他不安全的进程以及服务也没办法加以监控。管理员无法快捷知晓单位到底有多少台联网终端，桌面终端是否已经全部安装公司统一版本的防病毒系统，重要补丁的安装率是否已经达到公司的安全管理要求等。

1.2非法外联问题

虽然每年都进行全员的信息安全知识培训宣传，但是供电企业依然存在有内网终端用户通过拨号或3G上网卡等形式私自接入外部网络的情况。这种情况等于给黑客开了一个后门，黑客极可能通过该主机进而对内部网络的其他主机进行攻击，直接威胁供电企业信息网络的安全性，更为严重的会导致内部资料的泄露，给单位造成无法逆转的严重损失。

1.3IT资产管理问题

对于一个创建国际先进国内领先的电网公司来讲，资产全生命周期管理尤为重要。在信息领域，IT资产的精细化管理将是非常重要的一个组成部分。但是目前IT资产的管理现状是基本上是手工登记资产，资产的变更统计更新不及时，信息管理员不能全面的掌握终端计算机的软硬件资产，对于终端上硬件的变化就无从知晓，可能造成单位硬件资产的流失。

摘要：中国的核安全事业进入安全高效发展的新时期，核电企业为了准确把握新时代对信息安全工作的新要求，必须深入思考和谋划信息安全工作，信息安全管理要从局部思维朝着系统性、体系化的方向发展。核电厂DCS系统信息安全管理体系从在役核电厂DCS系统信息安全现状出发，开展对国内外工控领域较成熟的信息安全标准ISO／IEC27001和GB／T22239－2019的研究，并将其中适用的内容用于指导核电厂工控系统，构建信息安全管理体系，能够解决在役核电厂及新建核电厂DCS信息安全管理方面的不足，提升DCS信息安全防范能力和应急处置能力，在构建完备的核电DCS信息安全管理体系方面具有示范、引领借鉴作用。

关键词：信息安全；核电；体系建设

0引言

数字化仪控系统（DCS）是核电厂的信息神经和控制中枢，对保证核电厂安全可靠运行起着至关重要的作用。中国在役核电厂DCS系统的信息安全工作尚处于探索阶段，管理体系亟待完善。技术手段和管理措施没有有效地结合，导致管理和技术脱钩或偏重现象，或技术手段应用过于复杂，或管理手段没有统一遵照执行的标准，尤其在设计阶段几乎未考虑或较少考虑信息安全防护设计。传统的信息安全管理体系架构的设计充分参考和借鉴ISMS（IS027001），技术上参考国际信息安全保障技术框架IATF对信息安全状况进行分析。国内电力企业遵循电力行业信息安全等级测评基本要求、电力监控系统安全防护规定、信息系统风险评估规范等信息安全管理标准和工作实践，采用PDCA的过程模型建设良性循环，持续改进的闭环管理模式，形成一套标准化的安全管理体系［ie］。但传统信息系统与工控系统在生命周期、实时性要求、设备、运行维护等方面都存在较大差异，无法直接照搬照抄信息系统管理体系。针对核电厂DCS系统的信息安全管理体系（以下简称“管理体系”），国内外尚未形成直接可参考借鉴的标准规范。

1信息安全面临的挑战

近年来，核电领域信息安全事件频发，见表1。特别是针对工业控制系统的安全事件数量呈明显上升趋势，并呈现出攻击工具专业化、行为组织化、目的政治化的特点。尤其是2010年6月“震网”病毒攻击伊朗核设施，控制了.30％的纳坦兹设施的计算机，伊朗暂时关闭了核设施和核电厂。为此，中国在工业控制系统信息安全方面也发布了相关指导文件，如国务院发布的《关于大力推进信息化发展和切实保障信息安全的若干意见》（国发［2012］23号）；电监信息［2012］62号电力行业信息系统安全等级保护基本要求等？，均对重点领域工业控制系统信息安全的管理提出了意见与要求。

2存在风险及漏洞

摘要：网络安全直接关系到网络系统内软件设备、硬件设备以及内部系统的安全。只要确保网络安全，在运行过程中就不会出现信息泄露、信息篡改、信息遗失等现象，系统可连续作业，网络服务器不发生中断现象。在信息化发展的背景下，油田企业需要不断提升自身信息管理水平，加强网络安全防范力度，确保企业内部信息得到有效保护，为企业的可持续发展提供全方位服务。

关键词：油田企业；网络安全；可行性

0引言

在新形势下，网络技术被广泛应用到社会发展的各个领域，网络信息安全建设随之成为各大中小企业的重要关注热点。石油产业作为我国社会经济发展的重要支柱，石油企业对网络信息安全问题尤为关注，如何提升网络安全水平，落实网络环境保护工作，成为了油田企业的发展重点[1]。

1油田企业的网络信息安全管理目标

石油企业网络信息安全管理目标主要涉及三个方面的内容，即业务领域、信息领域、IT领域。

1.1业务安全目标