谈企业信息系统安全结构的建立.docVIP

谈企业信息系统安全结构的建立 　　摘要:改善企业信息系统的安全需要从结构着手。该文介绍了信息系统安全系统结构的现状和对安全系统结构进行了标准化的分析,它描述了在满足安全需求方面各安全元素之间的关系,提出了企业信息安全系统结构的模型,为指导企业安全标准系统的制定提供了参考。 　　 　　中图分类号:TP393文献标识码:A文章编号:1009-3044(2010)06-1317-02 　　On Security Architecture for Enterprise Information Systems to Establish 　　LI Yu-lu 　　(Changzhou, Jiangsu Electric Power Company Power Company Information Center, Changzhou 213003, China) 　　Abstract: To improve the security of enterprise information systems that needs to start from the structure. This article describes the system structure of information system security status and structure of the standardized safety systems analysis, which describes the security requirements to meet the various security elements in the relationship between the proposed enterprise information security architecture model, in order to guide enterprise the development of safety standards, the system provides a reference. 　　Key words: enterprise information security; architecture; safety standard system 　　企业信息系统安全结构是计算机网络安全系统结构的扩展。20 世纪80 年代末、90 年代初,信息系统安全系统结构的重要性开始引起发达国家关注。如,美国国家安全局(NAS) 20 世纪90 年代公布的国防信息系统安全计划(DISSP) ,是由安全特性、系统组成部分、扩展的IS0 协议层等三维构成,它不仅考虑了信息传输安全、网络安全,还考虑了信息处理安全、端系统及接口安全问题;此外,还增加了互操作性、质量保证、性能等安全特性。2001 年美国国家安全局(NAS )制定了信息技术保证框架(IATF),是从整体、过程的角度看待信息安全问题,它强调以人、技术、操作这三个核心原则,关注四个信息安全保障领域:保护网络和基础设施、保护边界、保护计算环境、支撑基础设施,并在4 个重点技术领域实施诸如应用层护卫、电路代理、文件加密等多种安全技术手段。再如,美国国防部所属的国防信息系统局(DISA)1996 年制定了防御目标安全系统结构框架(DGSA V3.0),从系统单元构成的角度,提出了信息系统中各单元分的安全服务配置框架,目的是要从安全系统结构的高度对信息统的安全保护提出技术上和管理上的规范要求等。 　　在信息系统安全系统结构理论研究领域,有人提出开放分布式系统的安全结构;有人对网络及信息系安全系统结构进行了初步的探讨和研究,提出了计算机网络实体安全系统结构和基于智能协作技术的信息系统安全系结构概念模型等。通过对上述的研究分析,可以看到国内外己有的安全系统结构和框架都描述了信息系统相关的安全系统结构及模型等安全要素,它们各不相同,实现方法等也并且都不完备。由于研究问题的层次和角度不同,对安全系统结构的具体含义的理解也同,从而导致信息系统安全系统结构在概念上、类型上及结构上的不一致,因此,为使信息系统安全系统结构研究和应用共同的概念依据和构建基础,需要加强对信息系统安全结构的一些基本问题,诸如安全结构的类型及特征、构成要素及构建步骤等内容的学习研究,以引导企业安全系统的建立。 　　1 信息系统安全系统结构组成要素 　　实现信息安全系统结构的安全,要从多个方面考虑,通常定义的包括安全属性、系统组成、安全策略、安全模型、安全机制等5 个方面。在每一个方面中,还可以继续划分多个层次;对于一个给定的层次,包括着多种安全要素。 　　1.1 安全属性 　　安全本身是对信息系统一种属性要求,信