運(yùn)營(yíng)商數(shù)據(jù)業(yè)務(wù)系統(tǒng)的安全域劃分-資料下載頁(yè)
2025-04-09 12:12本頁(yè)面
【正文】 下要點(diǎn)：216。 詳細(xì)的系統(tǒng)調(diào)研通過(guò)全面、深入、細(xì)致的調(diào)研，客觀、準(zhǔn)確地了解現(xiàn)網(wǎng)狀況，系統(tǒng)的掌握其業(yè)務(wù)承載情況及提供的業(yè)務(wù)功能和服務(wù)。216。 數(shù)據(jù)流梳理根據(jù)系統(tǒng)提供的業(yè)務(wù)服務(wù)及功能，對(duì)其業(yè)務(wù)數(shù)據(jù)流、管理和控制數(shù)據(jù)流進(jìn)行分析和梳理，并深入分析貫穿整個(gè)數(shù)據(jù)流的關(guān)鍵數(shù)據(jù)處理活動(dòng)。216。 安全需求基于系統(tǒng)提供的業(yè)務(wù)服務(wù)，明確可接受的安全基線。基于數(shù)據(jù)流及貫穿數(shù)據(jù)流的關(guān)鍵數(shù)據(jù)處理活動(dòng)分析系統(tǒng)受到的潛在安全威脅及可能的影響，歸納出系統(tǒng)的安全需求。216。 安全域劃分按照安全域劃分的指導(dǎo)思想，沿?cái)?shù)據(jù)流進(jìn)行垂直分層，形成縱深的防護(hù)體系。并對(duì)不同的數(shù)據(jù)通信流進(jìn)行水平隔離，防止互相干擾和侵害，同時(shí)按照OSI模型進(jìn)行立體分層。216。 安全防護(hù)體系設(shè)計(jì)根據(jù)安全需求，明確所需的安全防護(hù)措施及其部署位置和策略，覆蓋預(yù)警、防護(hù)、檢測(cè)、響應(yīng)、恢復(fù)等安全防護(hù)的各個(gè)環(huán)節(jié)。216。 系統(tǒng)割接根據(jù)安全域劃分和防護(hù)方案，制定科學(xué)、合理的安全域改造方案，并針對(duì)系統(tǒng)的客觀情況，擬定縝密的實(shí)施計(jì)劃，做好實(shí)施工作中的風(fēng)險(xiǎn)控制，并在割接完畢后進(jìn)行各種業(yè)務(wù)服務(wù)的測(cè)試。其中，關(guān)鍵要保證所測(cè)試業(yè)務(wù)服務(wù)的完備性，這可以通過(guò)在調(diào)研階段所做的業(yè)務(wù)數(shù)據(jù)流程分析，歸納出各種業(yè)務(wù)服務(wù)及具有不同業(yè)務(wù)數(shù)據(jù)流程的同一業(yè)務(wù)服務(wù)的詳細(xì)列表，明確測(cè)試內(nèi)容和方法。216。 策略落實(shí)安全策略不可能一步到位，應(yīng)按由松入嚴(yán)的方式，對(duì)安全策略逐步細(xì)化落實(shí)。而且，安全策略的設(shè)計(jì)可能存在遺漏和差錯(cuò)，因此應(yīng)通過(guò)監(jiān)聽(tīng)、監(jiān)控手段對(duì)安全策略進(jìn)行預(yù)先檢查和驗(yàn)證。五、系統(tǒng)安全域管理和審計(jì)安全保障要“管理與技術(shù)并重”。通過(guò)安全域劃分和邊界整合改造可以基本上建立起一個(gè)有效的安全技術(shù)防護(hù)體系。但為了使安全技術(shù)防護(hù)發(fā)揮最大的效能，同時(shí)使安全技術(shù)防護(hù)持續(xù)有效，必須采用管理手段加以制度化管理。安全域管理目的是保證信息系統(tǒng)的運(yùn)營(yíng)期和改擴(kuò)建過(guò)程中，有效貫徹和落實(shí)安全域的相關(guān)規(guī)范。安全域管理內(nèi)容包括：(1)設(shè)立相應(yīng)的管理崗位，明確其管理職責(zé)、任務(wù)和權(quán)利。(2)制定安全域的相關(guān)管理辦法和規(guī)范，并將其融入已有的安全管理體系。一般制定的管理制度包括：216。 《安全域管理員規(guī)定》216。 《安全域工程設(shè)計(jì)規(guī)范》216。 《安全域工程建設(shè)驗(yàn)收規(guī)范》216。 《安全域運(yùn)維管理規(guī)范》審計(jì)的目的是客觀的獲取數(shù)據(jù)業(yè)務(wù)系統(tǒng)安全域劃分和安全防護(hù)信息，并與既定的安全域防護(hù)規(guī)范或要求進(jìn)行對(duì)比，分析存在的差距與不足，提出相應(yīng)的整改建議，以將業(yè)務(wù)信息系統(tǒng)維持在正確的安全保護(hù)等級(jí)或者組織能夠接受的安全風(fēng)險(xiǎn)程度內(nèi)。對(duì)安全域進(jìn)行審計(jì)，主要包括三個(gè)方面的內(nèi)容：(1)評(píng)估安全域劃分和邊界整合、安全域的防護(hù)策略與既定標(biāo)準(zhǔn)規(guī)范的符合程度，以及安全防護(hù)效果。(2)評(píng)估安全域管理、控制過(guò)程與既定規(guī)章制度的符合程度以及管理績(jī)效。(3)對(duì)發(fā)現(xiàn)的偏離或不足之處給出糾正或改進(jìn)建議。一般制定的審計(jì)制度或文件包括：n 《審計(jì)指標(biāo)體系》,建立科學(xué)的審計(jì)指標(biāo)體系及評(píng)分辦法。n 《審計(jì)檢查列表》,檢查系統(tǒng)的安全域劃分情況與記錄是否，各個(gè)安全域的防護(hù)是否滿足相關(guān)要求。六、展望安全域劃分和改造是一項(xiàng)艱巨的工作，內(nèi)容涉及安全域劃分服務(wù)、設(shè)備采購(gòu)和部署、系統(tǒng)改造、安全策略調(diào)整等等內(nèi)容。且隨著該運(yùn)營(yíng)商數(shù)據(jù)業(yè)務(wù)的蓬勃展開(kāi)及安全形勢(shì)的日益嚴(yán)峻，安全建設(shè)任務(wù)已迫在眉睫。對(duì)于數(shù)據(jù)業(yè)務(wù)系統(tǒng)的直接管理方來(lái)說(shuō)，抓緊做好自身數(shù)據(jù)業(yè)務(wù)系統(tǒng)的普查工作，選擇一家有實(shí)力、有能力、有經(jīng)驗(yàn)、易溝通、信得過(guò)的安全服務(wù)商提供相應(yīng)的咨詢服務(wù)，明確工作的先后順序，制定明確的行動(dòng)方案，將是一個(gè)十分可行的工作方法。通過(guò)對(duì)數(shù)據(jù)業(yè)務(wù)系統(tǒng)進(jìn)行安全域劃分和改造，可以推動(dòng)安全防護(hù)技術(shù)體系的建設(shè)，提升安全技術(shù)防護(hù)效果。但安全保障需要依賴“管理和技術(shù)”兩種手段，在進(jìn)行數(shù)據(jù)業(yè)務(wù)系統(tǒng)安全域劃分和改造工作的同時(shí)，盡快開(kāi)展信息安全管理制度、流程建設(shè)工作，建立強(qiáng)有力的安全管理組織結(jié)構(gòu)，明確安全責(zé)任，理順管理流程，強(qiáng)化落實(shí)執(zhí)行，加強(qiáng)協(xié)同配合，定能起到事半功倍的效果
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1