信息安全保障步入“面向服務(wù)”的時代

申請免費試用、咨詢電話：400-8352-114

信息安全保障進入面向服務(wù)的階段，是針對業(yè)務(wù)服務(wù)的用戶，對用戶提供服務(wù)支持的保障，是企業(yè)業(yè)務(wù)支撐的保障，它與用戶業(yè)務(wù)從開發(fā)到運營的生命周期更加結(jié)合緊密，滲入到業(yè)務(wù)流程的每一個環(huán)節(jié)，伴隨著信息流動的全過程。很顯然，這個“服務(wù)”不同于安全技術(shù)人員的建議與咨詢服務(wù)。開篇先回顧信息安全發(fā)展歷程中的安全理念變化，然后詳細探討下從“服務(wù)”到“服務(wù)”，重點是面向服務(wù)的含義變化。

回顧信息安全發(fā)展歷程中的安全理念變化

信息安全的概念的出現(xiàn)遠遠早于計算機的誕生，但計算機的出現(xiàn)，尤其是網(wǎng)絡(luò)出現(xiàn)以后，信息安全變得更加復(fù)雜，更加“隱形”了?，F(xiàn)代信息安全區(qū)別于傳統(tǒng)意義上的信息介質(zhì)安全，是專指電子信息的安全。

隨著IT技術(shù)的發(fā)展，各種信息電子化，更加方便地獲取、攜帶與傳輸，相對于傳統(tǒng)的信息安全保障，需要更加有力的技術(shù)保障，而不單單是對接觸信息的人和信息本身進行管理，介質(zhì)本身的形態(tài)已經(jīng)從“有形”到“無形”。在計算機支撐的業(yè)務(wù)系統(tǒng)中，正常業(yè)務(wù)處理的人員都有可能接觸、獲取這些信息，信息的流動是隱性的，對業(yè)務(wù)流程的控制就成了保障涉密信息的重要環(huán)節(jié)。

從信息安全的發(fā)展歷程來看，安全保障的理念分為下面幾個階段：

1、面對信息的安全保障

計算機網(wǎng)絡(luò)剛剛興起時，各種信息陸續(xù)電子化，各個業(yè)務(wù)系統(tǒng)相對比較獨立，需要交換信息時往往是通過構(gòu)造特定格式的數(shù)據(jù)交換區(qū)或文件形式來實現(xiàn)，這個階段從計算機誕生一直延續(xù)到互聯(lián)網(wǎng)興起的九十年代末期。

面對信息的安全保障，體現(xiàn)在對信息的產(chǎn)生、傳輸、存儲、使用過程中的保障，主要的技術(shù)是信息加密，保障信息不外露在“光天化日”之下。因此，信息安全保障設(shè)計的理念是以風險分析為前提，如ISO13335風險分析模型，找到系統(tǒng)中的“漏洞”，分析漏洞能帶來的威脅，評估堵上漏洞的成本，再“合理”地堵上 “致命”漏洞，威脅也就消失了。

然而風險的大小，漏洞的危害程度是隨著攻擊技術(shù)的進步而變化的，在大刀長矛的冷兵器時代，敵人在幾十米外你就是安全的，到了大炮、機槍的火器年代，幾白米、幾十公里都可能成為攻擊的對象，而到了激光、導(dǎo)彈的現(xiàn)代，即使你在地球的另一端，也可能隨時成為被攻擊的對象。所以面向信息的安全，分析的漏洞往往是隨著攻擊技術(shù)發(fā)展、入侵技術(shù)進步而變化的，一句話，就是被動地跟著攻擊者的步調(diào)，建立自己的防御體系，是被動的防護。更為嚴酷的是：隨著攻擊技術(shù)的發(fā)展，你與敵人的“安全距離”越來越大，需要你的眼睛具有越發(fā)強大的目力---因為監(jiān)控不到敵人的動向，你就無從談起安全。

在信息安全的階段，安全技術(shù)一般采用防護技術(shù)，加上人員的安全管理，出現(xiàn)的最多的是防火墻、加密機等，但大多邊界上的防護技術(shù)都屬于識別攻擊特征的“后升級”防護方式，也就是說，你在攻擊者來之前升級自己了，就可能防止他的入侵，若沒有來得急升級，或者沒有可升級的“補丁”，你的系統(tǒng)就危險了。面對加密技術(shù)的暴力破解也隨著計算機的速度發(fā)展，讓加密系統(tǒng)的密鑰長度越來越長。

2、面向業(yè)務(wù)的安全保障

如果說對信息的保護，主要還是從傳統(tǒng)安全理念到信息化安全理念的轉(zhuǎn)變過程中，那么面對業(yè)務(wù)的安全，就完全是從信息化的角度考慮信息的安全。到了04、 05年，互聯(lián)網(wǎng)已經(jīng)深入到社會的各個角落，網(wǎng)絡(luò)成了人們工作與生活的“信息神經(jīng)”，人們發(fā)現(xiàn)各種工作已經(jīng)脫離傳統(tǒng)的管理模式，進入到世紀初還是夢想的“無紙化”辦公時代，此時計算機的故障、網(wǎng)絡(luò)的中斷已經(jīng)不再是IT管理部門的小事件，往往是整個企業(yè)的大故障，有些金融、物流、交通等企業(yè)，網(wǎng)絡(luò)的故障完全可以導(dǎo)致企業(yè)業(yè)務(wù)的中斷，企業(yè)的停業(yè)。

此時，需要保護的信息不再只是某些文件，或者某些特殊權(quán)限目錄的管理，而是用戶的訪問控制、系統(tǒng)服務(wù)的提供方式，此時要保障的不再只是信息，而是整個業(yè)務(wù)系統(tǒng)，以及業(yè)務(wù)的IT支撐環(huán)境，業(yè)務(wù)本身的安全需求，超過了信息的安全需求，安全保障自然也就從業(yè)務(wù)流程的控制角度考慮了，這個階段我們稱為面向業(yè)務(wù)的安全保障。