信息系统网络安全评价指标的分析和建立

　　 【摘 要】建立的网络安全评价指标是否合理和科学，关系到能否发挥评价的作用和功能，即关系到能否通过评价来提高网络安全水平。指标选取的多少应合适，每一项指标都是从一个方面反映了评价对象的某些信息。欲想建立一套完善、合理、科学的评价指标，应遵循科学性、全面性、可行性和稳定性共5个指导原则去建立一个评价指标体系。本文着重探讨了信息系统网络安全评价指标的建立。
　　【关键词】信息系统 网络安全 评价指标
　　
　　根据国家网络和信息系统的安全性要求，结合多年的网络管理经验，从以下五个指标对信息系统网络安全进行评价：
　　
　　1.实体与环境安全
　　
　　实体与环境指计算机设备及计算机网管人员工作的场所，这个场所内外的环境条件必须满足计算机设备和网管人员的要求。对于各种灾害、故障要采取充分的预防措施，万一发生灾害或故障，应能采取应急措施，将损失降到最低限度。可以从以下几个方面来检查：
　　（1）机房周围环境
　　机房是否建在电力、水源充足、自然环境清洁、通讯、交通运输方便的地方。
　　（2）机房周围100m内有无危险建筑
　　危险建筑：指易燃、易爆、有害气体等存在的场所，如加油站、煤气站、煤气管道等。
　　（3）有无监控系统
　　监控系统：指对系统运行的外围环境、操作环境实施监控（视）的设施，及时发现异常，可根据使用目的不同配备以下监视设备，如红外线传感器、监视摄像机等设备。
　　（4）有无防火、防水措施
　　防火：指机房内安装有火灾自动报警系统，或有适用于计算机机房的灭火器材，如卤代烷1211和1301自动消防系统或灭火器。
　　防水：指机房内无渗水、漏水现象，如机房上层有用水设施需加防水层，有暖气装置的机房沿机房地面周围应设排水沟，应注意对暖气管道定期检查和维修。是否装有漏水传感器。
　　（5）机房有无环境测控设施（温度、湿度和洁净度），如温湿度传感器
　　温度控制：指机房有空调设备，机房温度保持在18—24摄氏度。
　　湿度控制：指相对湿度保持在40%—60%。
　　洁净度控制：机房和设备应保持清洁、卫生，进出机房换鞋，机房门窗具有封闭性能。
　　（6）有无防雷措施（具有防雷装置，接地良好）
　　计算机机房是否符合GB 157《建筑防雷设计规范》中的防雷措施。
　　在雷电频繁区域，是否装设有浪涌电压吸收装置。
　　（7）有无备用电源和自备发电机
　　（8）是否使用UPS
　　UPS：(Uninterruptible Power System)，即不间断电源，是一种含有储能装置，以逆变器为主要组成部分的恒压频的不间断电源。主要用于给单台计算机、计算机网络系统或其它电力电子设备提供不间断的电力供应。
　　（9）是否有防静电措施（采用防静电地板，设备接地良好）
　　当采用地板下布线方式时，可铺设防静电活动地板。
　　当采用架空布线方式时，应采用静电耗散材料作为铺垫材料。
　　通信设备的静电地板、终端操作台地线应分别接到总地线母体汇流排上定期（如一周）对防静电设施进行维护和检验。
　　（10）是否保证持续供电
　　设备是否采用双路市电供电，提供冗余备份，并配有实时告警监控设备。是否与空调、照明用电分开，专线供电。
　　（11）是否有防盗措施
　　中心有人值班，出入口安装防盗安全门，窗户安装金属防护装置，机房装有无线电遥控防盗联网设施。
　　
　　2.组织管理与安全制度
　　
　　（1）有无专门的信息安全组织机构和专职的信息安全人员
　　信息安全组织机构的成立与信息安全人员的任命必须有有关单位的正式文件。
　　（2）有无健全的信息安全管理的规章制度
　　是否有健全的规章制度，而且规章制度上墙；是否严格执行各项规章制度和操作规程，有无违章操作的情况。
　　（3）是否有信息安全人员的配备，调离有严格的管理制度
　　（4）设备与数据管理制度是否完备
　　设备实行包干管理负责制，每台设备都应有专人负责保管（包括说明书及有关附件）；在使用设备前，应掌握操作规程，阅读有关手册，经培训合格后方可进行相关操作；禁止在计算上运行与业务无关的程序，未经批准，不得变更操作系统和网络设置，不得任意加装设备。
　　（5）是否有登记建档制度
　　登记建档是做好网络安全工作的前提，一些技术资料对网络安全工作很重要，要注意收集和保存。可从以下几个方面检查相关文档：
　　策略文档（如，法规文件、指示）、系统文档（如，系统用指南、系统管理员手册、系统设计和需求文档、采购文档）、及安全相关的文档（如以前的审计报告、风险评估报告、系统测试结果、系统安全计划、安全策略）都可提供系统使用的或计划的安全控制方面的信息。任务影响分析或资产重要性评估可提供有关系统和数据重要性及敏感性的信息。
　　设计资料，如网络拓扑结构图，综合布线结构图等。
　　安装资料，包括安装竣工及验收的技术文件和资料。
　　设备升级维修记录等。
　　（6）是否有紧急事故处理预案
　　为减少计算机系统故障的影响，尽快恢复系统，应制定故障的应急措施和恢复规程以及自然灾害时的措施，制成手册，以备参考。
　　（7）是否有完整的信息安全培训计划和培训制度
　　开展网络安全教育是为了使所有人员了解网络安全的基本常识及网络安全的重要性，要坚持经常的、多样化的安全教育工作，广播、图片、标语、报告培训班都是可以采用的宣传教育方式。
　　（8）各类人员的安全职责是否明确，能否胜任网络安全管理工作
　　应对网络管理人员严格分工，使其职责分明，要对网络管理人员定期进行安全培训及考核，对关键岗位人员，应该持有相应的认证。
　　
　　3.安全技术措施
　　
　　（1）是否有灾难恢复的技术对策
　　是否为网络中断和灾难做好准备，以及如何快速反应将中断和损失降至最小。灾难恢复措施包括灾难预防制度、灾难演习制度及灾难恢复制度。
　　（2）是否有系统安全审计功能
　　安全审计功能主要是监控来自网络内部和外部的用户活动，侦察系统中存在现有和潜在的威胁，对与安全有关的活动的相关信息进行识别，记录，存储和分析，安全审计系统往往对突发事件进行报警和响应。
　　（3）是否有系统操作日志
　　系统操作日志：指每天开、关机，设备运行状况等文字记录。
　　（4）是否有服务器备份措施
　　服务器数据备份是预防灾难的必要手段。随着对网络应用的依赖性越来越强和网络数据量的日益增加，企业对数据备份的要求也在不断提高。许多数据密集型的网络，重要数据往往存储在多个网络节点上，除了对中心服务器备份之外，还需要对其他服务器或工作站进行备份，有的甚至要对整个网络进行数据备份，即全网备份。网络备份需要专业备份软件，Backup Exec就是其中的一种，是为中小企业提供的基于Windows平台的网络备份与恢复解决方案。
　　（5）是否有防黑客入侵设施
　　防黑客入侵设施主要是设置防火墙和入侵检测等设施。
　　防火墙是为了监测并过滤所有内部网与外部网之间的信息交换，保护着内部网络敏感的数据不被偷窃和破坏，并记录内外通讯的有关状态信息日志。防火墙有三种类型，包括过滤防火墙、代理型防火墙和状态监测型防火墙。
　　入侵监测系统处于防火墙之后对网络活动进行实时检测。许多情况下，由于可以记录和禁止网络活动，所以入侵监测系统是防火墙的延续。它们可以和防火墙和路由器配合工作。它通过对计算机网络或计算机系统中若干关键点收集信息并对其分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。
　　（6）是否有计算机病毒防范措施
计算机病毒防范措施：备有病毒预防及消除的软、硬件产品，并能定期的升级。设置客户端级防护、邮件服务器级防护和应用服务器级防护。
　　
　　4.网络与通信安全
　　
　　（1）放置通信设施的场所是否设有醒目标志
　　从安全防范的角度考虑，安装有关通信设备的地方不应加标志。配线架或MODEM柜应加锁，禁止无关人员入内。
　　（2）重要通信线路及通信控制装置是否均有备份
　　重要的通信线双重化以及线路故障时采用DDN通信线或电话线ISDN等后备功能；从计算中心连出的重要通信线路应采用不同路径备份方式。
　　（3）是否采取加密措施
　　数据加密技术是保护传输数据免受外部窃听的最好办法，其可以将数据变只有授权接收者才能还原并阅读的编码。其过程就是取得原始信息并用发送者和接收者都知道的一种特殊信息来制作编码信息形成密文。
　　（4）系统运行状态有无安全审计跟踪措施
　　安全审计是模拟社会检察机构在计算机系统中监视、记录和控制用户活动的一种机制。它是影响系统安全的访问和访问企图留下线索，以便事后分析和追查，其目标是检测和判定对系统的恶意攻击和误操作，对用户的非法活动起到威慑作用，为系统提供进一步的安全可靠性。
　　（5）网络与信息系统是否加有访问控制措施
　　访问控制措施：指能根据工作性质和级别高低，划分系统用户的访问权限。对用户进行分组管理，并且应该是针对安全性问题而考虑的分组。
　　
　　5.软件与信息安全
　　
　　（1）操作系统及数据库是否有访问控制措施
　　把整个系统的用户根据需要分为不同级别；不同级别的用户享有对系统的文件、数据、网络、进程等资源的权限，并进行记费管理；还可根据不同的用户设置不同的安全策略，将超级用户的权限细化（可分为系统管理员、安全管理员、数据库管理员、用户管理员等）。
　　（2）应用软件是否有防破坏措施
　　对应用程序安全的考虑可以遵循如下的方向：对通用应用，如消息传递、文件保护、软硬件交付等，制定通用技术要求；对于特定的复杂应用，可分解为通用应用，同时考虑互操作性问题。一般来讲，应用程序的安全机制应该包括以下内容：身份标识与鉴别、数据保密性、数据完整性、数据可用性、配置管理等。
　　（3）对数据库及系统状态有无监控设施
　　可以使用系统安全检测工具来定期扫描系统，查看系统是否存在各种各样的漏洞。
　　（4）是否有用户身份识别措施
　　身份认证与数字签名策略，身份认证是证明某人或某物身份的过程，当用户之间建立连接时，为了防止非法连接或被欺骗，就可实施身份确认，以确保只有合法身份的用户才能与之建立连接。
　　（5）系统用户信息是否采用备份
　　日常备份制度是系统备份方案的具体实施细则，应严格按照制度进行日常备份，否则将无法达到备份方案的目标。此外，还要认真完成一些管理工作，如：定期检查，确保备份的正确性；将备份磁带保存在异地一个安全的地方（如专门的磁带库）；按照数据增加和更新速度选择恰当的备份数据。系统备份不仅备份系统中的数据，还要备份系统中安装的应用程序、数据库系统、用户设置、系统参数等信息。
　　综上所述，利用科学的管理方法及以往的经验，从硬件、软件、内部、外部等方面对信息系统网络安全从五个指标进行评价分析。