1 概述
近年來，燃?xì)馄髽I(yè)不斷提高其信息化水平以支撐業(yè)務(wù)的高速發(fā)展，提升企業(yè)工作效率并優(yōu)化業(yè)務(wù)運(yùn)作模式，向公眾提供高質(zhì)量的服務(wù)。但是，作為傳統(tǒng)能源行業(yè)，燃?xì)馄髽I(yè)在利用信息技術(shù)帶來的優(yōu)勢時也必然需要承受先進(jìn)技術(shù)帶來的風(fēng)險——信息安全問題。
2010年6月，“震網(wǎng)”病毒悄然襲擊伊朗核設(shè)施的工業(yè)系統(tǒng)，“震網(wǎng)”是第一個被發(fā)現(xiàn)用于針對于政府的網(wǎng)絡(luò)戰(zhàn)爭武器。2012年，美國國土安全部應(yīng)急響應(yīng)小組報告了198起針對重要基礎(chǔ)設(shè)施的攻擊，而2011年的攻擊數(shù)量為l30起(上升了52％)。據(jù)歐洲網(wǎng)絡(luò)與信息安全局統(tǒng)計的數(shù)據(jù)，在2012年遭受攻擊最多的行業(yè)為能源行業(yè)，占41％，其次為供水，占15％[2]。
燃?xì)馄髽I(yè)本身存在的信息安全問題、外部嚴(yán)峻的安全形勢以及各種監(jiān)管的壓力都要求燃?xì)馄髽I(yè)盡快建設(shè)信息安全體系。本文將對北京燃?xì)庑畔踩w系建設(shè)過程中的經(jīng)驗、方法進(jìn)行整理，供燃?xì)庑袠I(yè)其他企業(yè)構(gòu)建信息安全體系參考。
下文的“燃?xì)馄髽I(yè)”泛指國內(nèi)絕大部分燃?xì)馄髽I(yè)，代表著國內(nèi)燃?xì)庑袠I(yè)的主要情況。
2 燃?xì)庑袠I(yè)信息化現(xiàn)狀及信息安全問題
2．1 燃?xì)庑袠I(yè)信息化現(xiàn)狀
國內(nèi)燃?xì)馄髽I(yè)的生產(chǎn)運(yùn)營信息化建設(shè)開始于1996年左右，目前北京、上海、長春等多個大城市的管道燃?xì)馄髽I(yè)均成功完成生產(chǎn)運(yùn)營信息化項目的建設(shè)，使企業(yè)運(yùn)營過程控制程序化、模型化、智能化、集成化、網(wǎng)絡(luò)化，監(jiān)測、控制過程實(shí)現(xiàn)可視化和遠(yuǎn)程化，以期達(dá)到進(jìn)一步理川頁管理流程、提升管理水平和提高工作效率的日標(biāo)。國內(nèi)燃?xì)庑袠I(yè)信息化具有以下特點(diǎn)：
(1)企業(yè)的信息化建設(shè)已覆蓋主要業(yè)務(wù)，但信息化缺乏有效整合，信息化的“孤島效應(yīng)”明顯，企業(yè)信息資源沒有得到有效利用。
(2)信息化管控能力薄弱，企業(yè)缺乏有效IT治理機(jī)制和行業(yè)的信息化標(biāo)準(zhǔn)規(guī)范指導(dǎo)，信息化在企業(yè)管理應(yīng)用有待提高。
(3)信息化技術(shù)力量薄弱，企業(yè)的信息化建設(shè)嚴(yán)重依賴于第三方服務(wù)。
(4)工業(yè)體系安全核心正在轉(zhuǎn)變，由傳統(tǒng)的物理安全正在向信息安全轉(zhuǎn)移。
國內(nèi)燃?xì)馄髽I(yè)已經(jīng)基本完成了信息化“建設(shè)”的初期任務(wù)，已經(jīng)建成了涵蓋SCADA、GIS、OA、ERP、EAM以及用戶管理系統(tǒng)等信息系統(tǒng)，而為了支撐燃?xì)鈽I(yè)務(wù)的高速發(fā)展，更有效的、安全的利用信息化體系，實(shí)現(xiàn)信息化的整合和管控必然成為企業(yè)未來信息化發(fā)展的主題，企業(yè)信息化發(fā)展路線也逐步由偏重建設(shè)轉(zhuǎn)向偏重管控。信息安全作為信息化管控的主要組成部分，已成為企業(yè)必須面對的現(xiàn)實(shí)問題。
2．2燃?xì)庑袠I(yè)信息安全問題
作為傳統(tǒng)的能源行業(yè)，大部分燃?xì)馄髽I(yè)對信息安全比較陌生，缺乏主動有效的信息安全保障機(jī)制。下面從組織、策略和技術(shù)3個層面分析燃?xì)庑袠I(yè)信息安全存在的問題。
2．2．1組織層面
燃?xì)馄髽I(yè)的信息安全組織力量薄弱且定位較低，企業(yè)沒有形成自上而下的信息安全組織體系。
(1)企業(yè)信息化隊伍并不完善，信息安全隊伍嚴(yán)重匱乏，無法有效支撐企業(yè)的信息化建設(shè)和業(yè)務(wù)安全。
(2)企業(yè)對信息安全的認(rèn)知度偏低，依然注重于傳統(tǒng)的物理安全，并忽視信息安全問題與業(yè)務(wù)安全之間的重要性。
(3)企業(yè)各部門的信息安全職責(zé)不清，缺乏各部門和分子公司等單位的參與。
(4)缺乏信息安全的培訓(xùn)和意識提升機(jī)制，員工的信息安全意識薄弱。
(5)企業(yè)的信息化建設(shè)主要依賴于第三方，但是對第三方的管控薄弱且明顯落后于信息化的建設(shè)速度。
2．2．2策略層面
燃?xì)馄髽I(yè)基本沒有成體系的信息安全策略，主要包括：
(1)事件驅(qū)動型，信息安全策略都是基于已發(fā)生的信息安全事件制定，缺乏體系化的制度流程支撐，信息安全策略側(cè)重于應(yīng)急響應(yīng)機(jī)制。
(2)缺乏對信息系統(tǒng)和敏感信息的安全控制體系、技術(shù)規(guī)范以及安全基線。
(3)缺乏信息安全策略推廣手段，信息安全策略難以落地實(shí)行。
(4)業(yè)務(wù)為先，較難平衡信息安全的控制以及業(yè)務(wù)效率之間的關(guān)系，信息安全策略要求更多“屈從”于業(yè)務(wù)要求。
(5)監(jiān)督和考核機(jī)制不足，缺乏明確的策略要求，信息安全控制無法得到有效的落實(shí)。
2．2．3技術(shù)層面
燃?xì)馄髽I(yè)已經(jīng)部署基本的信息安全防護(hù)設(shè)施，如防火墻、入侵檢測、流量監(jiān)測等設(shè)施，但是存在以下問題：
(1)信息安全系統(tǒng)“孤島”效應(yīng)嚴(yán)重，無法形成有效合力。
(2)系統(tǒng)和網(wǎng)絡(luò)的邊界控制能力薄弱，不同的系統(tǒng)和網(wǎng)絡(luò)間的資源訪問控制顆粒度較粗，缺乏有效的監(jiān)控和審計能力。
(3)企業(yè)業(yè)務(wù)復(fù)雜，第二三方廠商技術(shù)水平參差不齊，安全技術(shù)能力薄弱。
(4)工控系統(tǒng)由于在網(wǎng)絡(luò)中的互聯(lián)性增加，導(dǎo)致多種途徑可訪問這些系統(tǒng)，從而導(dǎo)致更多潛在攻擊的可能性。
(5)系統(tǒng)的建設(shè)和部署缺乏信息安全考慮，信息系統(tǒng)自身存在大量漏洞，這些問題極易被黑客所利用，嚴(yán)重影響到信息系統(tǒng)的運(yùn)行安全。
2．3 燃?xì)庑袠I(yè)信息安全成熟度
越來越多的燃?xì)馄髽I(yè)高層管理人員認(rèn)識到信息安全的重要性，但是無法了解企業(yè)自身信息安全所處的位置，不知道企業(yè)的信息安全未來發(fā)展之路如何走。參考信息安全控制最佳實(shí)踐CoBIT[3]，可定義燃?xì)馄髽I(yè)信息安全成熟度級別為初始級、可重復(fù)級、已定義級、可管理級和已優(yōu)化級5個級別。初始級指企業(yè)信息安全管理流程不存在，或信息安全工作流程缺乏統(tǒng)籌安排；可重復(fù)級指信息安全管理流程遵循同定的模式；已定義級指信息安全體系已建立標(biāo)準(zhǔn)化的書面程序；可管理級指信息安全體系流程可監(jiān)控、可度量；已優(yōu)化級指信息安全工作流程自動化且持續(xù)優(yōu)化。
國內(nèi)絕大部分燃?xì)馄髽I(yè)信息安全現(xiàn)狀與北京燃?xì)庠谶M(jìn)行信息安全體系建設(shè)之前的狀況一樣，處于第一級即初始級；燃?xì)馄髽I(yè)的信息安全要達(dá)到一定的程度則信息安全成熟度必然要達(dá)到持續(xù)優(yōu)化的第4級，即已管理級。通過信息安全成熟度模型，企業(yè)能夠準(zhǔn)確的找到當(dāng)前所處的位置，未來企業(yè)信息安全期望達(dá)到的目標(biāo)，以及企業(yè)未來信息安全的具體發(fā)展路線。
3 企業(yè)建立信息安全體系的思路和方法
3．1 傳統(tǒng)信息安全管理存在的誤區(qū)
為實(shí)現(xiàn)組織的信息安全，各廠商、各標(biāo)準(zhǔn)化組織都基于各自的角度提出了各種信息安全管理的體系標(biāo)準(zhǔn)，這些基于產(chǎn)品、技術(shù)與管理層面的標(biāo)準(zhǔn)在某些領(lǐng)域得到了很好的應(yīng)用，但從組織信息安全的各個角度和整個生命周期來考察，現(xiàn)有的信息安全管理體系與標(biāo)準(zhǔn)是不夠完備的，特別是忽略了組織中最活躍的因素——人的作用。
考察國內(nèi)外的各種信息安全事件，發(fā)現(xiàn)在信息安全事件表象后面其實(shí)都是人的因素在起決定作用。不完備的安全體系是不能保證日趨復(fù)雜的組織信息系統(tǒng)安全性的。因此，組織為達(dá)到保護(hù)信息資產(chǎn)的目的，應(yīng)在“以人為本”的基礎(chǔ)上，充分利用等級保護(hù)、IS027000、IS020000、CoBIT等信息化控制標(biāo)準(zhǔn)與最佳實(shí)踐，制定出周密的、系統(tǒng)的、適合組織自身需求的信息安全管理體系。
3．2 信息安全管理體系模型
信息安全的建設(shè)是一個系統(tǒng)工程，需要對信息系統(tǒng)的各個環(huán)節(jié)進(jìn)行統(tǒng)一的考慮、規(guī)劃和構(gòu)架，并要時時兼顧組織內(nèi)不斷發(fā)生的變化，任何環(huán)節(jié)上的安全缺陷都會對系統(tǒng)構(gòu)成威脅。
從宏觀的角度來看，信息安全可以由以下HTP模型來描述：人員與管理(Human and management)、技術(shù)與產(chǎn)品(Technology and products)、流程與體系(Process and frahiework)。
其中人是信息安全最活躍的因素，人的行為是信息安全保障最主要的方面。人特別是內(nèi)部員工既可以是對信息系統(tǒng)的最大潛在威脅，也可以是最可靠的安全防線。統(tǒng)計結(jié)果表明，在所有的信息安全事故中，只有20％～30％是由于黑客入侵或其他外部原因造成的，70％～80％是由于內(nèi)部員工的疏忽或有意泄密造成的。站在較高的層次上來看信息和網(wǎng)絡(luò)安全的全貌就會發(fā)現(xiàn)安全問題實(shí)際上都是人的問題，單憑技術(shù)是無法實(shí)現(xiàn)從“最大威脅”到“最可靠防線”轉(zhuǎn)變的。
以往的各種安全模型，其最大的缺陷是忽略了對人的因素的考慮，在信息安全問題上，要以人為本，人的因素比信息安全技術(shù)和產(chǎn)品的因素更重要。與人相關(guān)的安全問題涉及面很廣，從國家的角度考慮有法律、法規(guī)、政策問題；從組織角度考慮有企業(yè)信息安全治理結(jié)構(gòu)、安全方針政策程序、安全管理、安全教育與培訓(xùn)、組織文化、應(yīng)急計劃和業(yè)務(wù)持續(xù)性管理等問題；從個人角度來看有職業(yè)要求、個人隱私、行為學(xué)、心理學(xué)等問題。
在信息安全的技術(shù)防范措施上，可以綜合采用商用密碼、防火墻、防病毒、身份識別、網(wǎng)絡(luò)隔離、可信服務(wù)、安全服務(wù)、備份恢復(fù)、PKI服務(wù)、取證、網(wǎng)絡(luò)入侵陷阱、主動反擊等多種技術(shù)與產(chǎn)品來保護(hù)信息系統(tǒng)安全，但不應(yīng)把通過部署所有安全產(chǎn)品與技術(shù)而達(dá)到信息安全的零風(fēng)險為目標(biāo)，安全成本太高，安全也就失去其意義。組織實(shí)現(xiàn)信息安全應(yīng)采用“適度防范”(Rightsizing)的原則，就是在風(fēng)險評估的前提下，引入恰當(dāng)?shù)目刂拼胧菇M織的風(fēng)險降到可以接受的水平，保證組織業(yè)務(wù)的連續(xù)性和商業(yè)價值最大化就達(dá)到了安全的目的。
信息安全不是一個孤立靜止的概念，信息安全是一個多層面、多因素的、綜合的、動態(tài)的過程，管理學(xué)上的木桶原理能夠很好的說明信息安全各個環(huán)節(jié)之間的作用。
一方面，如果組織憑著一時的需要，想當(dāng)然去制定一些控制措施和引入某些技術(shù)產(chǎn)品，都難免存在掛一漏萬、顧此失彼的問題，使得信息安全這只“木桶”出現(xiàn)若干“短木塊”，從而無法提高安全水平。正確的做法是遵循信息安全標(biāo)準(zhǔn)與最佳實(shí)踐過程，考慮組織對信息安全各個層面的實(shí)際需求，在風(fēng)險分析的基礎(chǔ)上引入恰當(dāng)控制，建立合理安全管理體系，從而保證組織賴以牛存的信息資產(chǎn)的安全。
另一方面，這個安全體系還應(yīng)當(dāng)隨著組織環(huán)境的變化、業(yè)務(wù)發(fā)展和信息技術(shù)提高而不斷改進(jìn)，不能一勞永逸，一成不變。因此，實(shí)現(xiàn)信息安全是一個需要一個完整的體系來保證的持續(xù)過程。
3．3 建立信息安全管理HTP體系的方法[4]
此方法論由國內(nèi)著名的信息安全專家和IT治理專家陳偉提出，已被國內(nèi)許多銀行和央企采用。
3．3．1 HTP方法論框架
根據(jù)自頂向下，逐步求精的原則，根據(jù)組織的業(yè)務(wù)目標(biāo)與安全要求，首先要在組織中建立信息安全治理結(jié)構(gòu)，對信息安全做出制度保證；然后綜合考察業(yè)務(wù)環(huán)境與IT環(huán)境，進(jìn)行風(fēng)險評估，做出信息安全計劃，建立并運(yùn)行信息安全管理體系，初步達(dá)到粗粒度的信息安全；在完整的信息安全管理體系之上，建立“人力防火墻”與“技術(shù)防火墻”，在細(xì)粒度上保證信息安全；實(shí)施階段性的信息系統(tǒng)審計，在持續(xù)不斷的改進(jìn)過程中保證信息的安全性、完整性、可用性及有效性，從而建立一套完整的、健壯的信息安全防御體系。
3．3．2建立HTP體系的步驟
(1)在充分理解組織業(yè)務(wù)目標(biāo)、組織文件及信息安全的條件下，通過IS013335風(fēng)險分析方法，建立組織的信息安全基線(Security Baseline)，對組織的安全現(xiàn)狀有一個清晰的了解，并可以為以后進(jìn)行安全控制績效分析提供一個評價基礎(chǔ)。
(2)根據(jù)安全基線分析報告，制定組織信息安全計劃，包括組織建設(shè)計劃、預(yù)算計劃和投資回報計劃。
(3)按照IS027000標(biāo)準(zhǔn)建立信息安全管理框架，完善粗粒度的信息安全過程。建立框架后，冉通過這種細(xì)粒度的安全措施一“技術(shù)防火墻”和“人力防火墻”，就有可能建立起完備的信息安全管理體系。
(4)重視信息安全中最活躍的因素——“人”，建立“人力防火墻”，實(shí)現(xiàn)從信息安全“最大威脅”到“最可靠防線”轉(zhuǎn)變，這樣才能真正調(diào)動組織中實(shí)現(xiàn)長治久安的內(nèi)在動力。
(5)根據(jù)風(fēng)險評估的結(jié)果，綜合利用各種信息安全技術(shù)與產(chǎn)品，以“適度防范”為原則，建立有效的“技術(shù)防火墻”，這是實(shí)現(xiàn)信息安全管理的可靠外部保證措施。
(6)實(shí)施階段性的信息系統(tǒng)審計，在持續(xù)不斷的改進(jìn)過程中保證信息安全性、完整性、可用性及有效性。
3．4 燃?xì)庑袠I(yè)信息安全體系建設(shè)方法
根據(jù)國內(nèi)燃?xì)庑袠I(yè)信息安全的現(xiàn)狀與特點(diǎn)，結(jié)合HTP信息安全體系建設(shè)方法論，下面提出燃?xì)庑袠I(yè)信息安全體系的建設(shè)方法。
3．4．1燃?xì)庑袠I(yè)信息安全體系建設(shè)方法
根據(jù)燃?xì)馄髽I(yè)的戰(zhàn)略目標(biāo)和風(fēng)險現(xiàn)狀，結(jié)合信息安全最佳實(shí)踐，滿足上級單位的監(jiān)管要求，兼顧燃?xì)馄髽I(yè)生產(chǎn)安全和信息安全的結(jié)合點(diǎn)——工控安全，在確保外包服務(wù)安全的前提下設(shè)計燃?xì)馄髽I(yè)的信息安全架構(gòu)，并綜合燃?xì)馄髽I(yè)的戰(zhàn)略目標(biāo)和安全風(fēng)險規(guī)劃信息安全實(shí)施路線矧，此藍(lán)圖作為未來信息安全體系建設(shè)的指南。
在此基礎(chǔ)上考慮組織、制度、技術(shù)體系的建設(shè)，實(shí)現(xiàn)HTP理論中“人力防火墻”和“技術(shù)防火墻”的目標(biāo)，先試點(diǎn)運(yùn)行并最終全面推廣，在此過程中應(yīng)充分結(jié)合當(dāng)前的環(huán)境推進(jìn)信息安全意識教育，樹立企業(yè)正確的信息安全文化。
在體系的建設(shè)和運(yùn)行過程中應(yīng)充分考慮企業(yè)的風(fēng)險現(xiàn)狀，不斷提升和改進(jìn)企業(yè)的風(fēng)險管控措施，實(shí)現(xiàn)燃?xì)馄髽I(yè)的信息安全管理體系PDCA循序漸進(jìn)的過程。在整個體系的設(shè)計、規(guī)劃、建設(shè)以及運(yùn)行過程中應(yīng)保持各部門各單位之間的有效溝通和協(xié)調(diào)，保證體系的正常運(yùn)行，并不斷監(jiān)控體系實(shí)施過程中的狀況，防止與業(yè)務(wù)目標(biāo)的偏離，提升燃?xì)馄髽I(yè)信息安全體系的保障能力。
3．4．2燃?xì)庑袠I(yè)信息安全體系建設(shè)步驟
燃?xì)庑袠I(yè)信息安全體系的建設(shè)建議按以下5個步驟進(jìn)行：
(1)現(xiàn)狀調(diào)研和風(fēng)險評估；
(2)架構(gòu)設(shè)計和藍(lán)圖規(guī)劃；
(3)信息安全體系建設(shè)；
(4)信息安全意識培訓(xùn)；
(5)信息安全體系優(yōu)化。
3．4．3燃?xì)庑袠I(yè)信息安全架構(gòu)設(shè)計
信息安全架構(gòu)是對信息安全治理機(jī)制的高度概括，從信息安全目標(biāo)和方針、信息安全策略，到信息安全管理工作的分解，再到信息安全管理工作如何開展，提出了方向性和原則性指導(dǎo)意見。
在信息安全架構(gòu)中，設(shè)置信息安全目標(biāo)和信息安全方針作為安全架構(gòu)的核心；為實(shí)現(xiàn)信息安全目標(biāo)和方針，需要構(gòu)建信息安全域，不同企業(yè)構(gòu)建的信息安全域的情況可能會不一樣；最后再通過3個體系來保證信息安全域的實(shí)施和落地。
在構(gòu)建燃?xì)庑袠I(yè)的信息安全架構(gòu)時應(yīng)充分利用等級保護(hù)、ISO27000、ISO20000、CoBIT等信息化控制標(biāo)準(zhǔn)與最佳實(shí)踐，制定出周密的、系統(tǒng)的、適合組織自身需求的信息安全架構(gòu)。
燃?xì)馄髽I(yè)在構(gòu)建信息安全架構(gòu)時除了吸收最佳實(shí)踐標(biāo)準(zhǔn)外，還應(yīng)充分考慮風(fēng)險評估、戰(zhàn)略驅(qū)動以及監(jiān)管要求等內(nèi)容，最終將國際國內(nèi)信息安全最佳實(shí)踐標(biāo)準(zhǔn)裁剪成符合燃?xì)馄髽I(yè)的信息安全體系架構(gòu)。
3．4．4燃?xì)庑袠I(yè)信息安全體系構(gòu)建
燃?xì)庑袠I(yè)在信息安全體系的建設(shè)過程中為保障信息安全體系有效性，一般會遵從“組織體系定職責(zé)、策略體系定依據(jù)、技術(shù)體系定手段”的原則構(gòu)建“事前防御、事中控制、事后響應(yīng)”的信息安全體系，推進(jìn)信息安全體系的執(zhí)行和落地。
(1)組織體系
燃?xì)馄髽I(yè)應(yīng)建立和完善信息安全決策、管理、執(zhí)行以及監(jiān)管的機(jī)構(gòu)，明確企業(yè)所有單位的信息安全角色與職責(zé)以及總部和分公司之間的關(guān)系。信息安全組織體系處于信息安全戰(zhàn)略的核心，是信息安全戰(zhàn)略落實(shí)的基礎(chǔ)和保障。
(2)策略體系
策略體系主要包含信息安全策略／方針、各信息安全管理域的安全管理要求等，為燃?xì)馄髽I(yè)提供信息安全控制依據(jù)。
(3)技術(shù)體系
燃?xì)馄髽I(yè)的信息安全技術(shù)體系應(yīng)整合各種成熟的信息安全技術(shù)與產(chǎn)品，對企業(yè)各類信息資產(chǎn)形成有效的差異化和精細(xì)化保護(hù)。依據(jù)縱深防御的原則，結(jié)合“橫向隔離，縱向認(rèn)證”的要求，采用不同層次的防護(hù)技術(shù)，如身份認(rèn)證、訪問控制、內(nèi)容安全、監(jiān)控審計和備份恢復(fù)等，實(shí)現(xiàn)信息資產(chǎn)的安全防護(hù)。
4 北京燃?xì)庑畔踩w系建設(shè)實(shí)踐及應(yīng)用
北京燃?xì)饧瘓F(tuán)于2012年10月份啟動了信息安全體系建設(shè)項日，于2013年6月底結(jié)項。整個項目的建設(shè)基本遵循燃?xì)庑袠I(yè)信息安全體系建設(shè)方法，是對燃?xì)庑袠I(yè)信息安全體系建設(shè)方法的實(shí)踐和應(yīng)用，同時根據(jù)實(shí)踐的結(jié)果再返回去對燃?xì)庑袠I(yè)信息安全體系的建設(shè)方法進(jìn)行了完善。
4．1 建設(shè)目標(biāo)
(1)通過現(xiàn)狀調(diào)研和風(fēng)險評估，全方位了解北京燃?xì)庑畔踩ぷ鳜F(xiàn)狀和存在的風(fēng)險。
(2)設(shè)計北京燃?xì)獾男畔踩w系架構(gòu)，完善信息安全組織與管理策略，編寫信息安全制度與標(biāo)準(zhǔn)；并推進(jìn)信息安全管理體系的落地運(yùn)行。
(3)建立信息安全管理體系實(shí)施藍(lán)圖，使北京燃?xì)饽軌蚶?年到5年時間，建立起較為完善的信息安全管理體系。
(4)培育一批具備信息安全專業(yè)水平的技術(shù)人員和管理人員，并全面提升員工的信息安全意識。
4．2 現(xiàn)狀調(diào)研和風(fēng)險評估
為全面梳理北京燃?xì)庑畔⑾到y(tǒng)安全現(xiàn)狀，項目組對北京燃?xì)庑畔⒒M織結(jié)構(gòu)、物理環(huán)境安全、人力資源、信息資產(chǎn)、信息系統(tǒng)的開發(fā)和運(yùn)行以及北京燃?xì)飧鲗I(yè)機(jī)構(gòu)和分子公司的信息化建設(shè)和管理過程做了全面細(xì)致的了解，形成了北京燃?xì)庑畔踩F(xiàn)狀調(diào)研報告。
依據(jù)ISO27001國際標(biāo)準(zhǔn)，對北京燃?xì)獾男畔踩F(xiàn)狀進(jìn)行了對標(biāo)，查找與國際信息安全最佳實(shí)踐之間的差距，并通過風(fēng)險評估和分析進(jìn)行分類和匯總，形成了包括應(yīng)用系統(tǒng)風(fēng)險、訪問控制風(fēng)險、外包服務(wù)風(fēng)險、人員環(huán)境風(fēng)險、組織安全風(fēng)險等11個類別的風(fēng)險。為將信息安全風(fēng)險降低到北京燃?xì)饪梢越邮艿乃剑椖拷M為各類風(fēng)險選擇了恰當(dāng)?shù)娘L(fēng)險處置措施并制定了從近期到長期詳細(xì)的風(fēng)險處置計劃。
4．3 架構(gòu)設(shè)計和藍(lán)圖規(guī)劃
依據(jù)前期調(diào)研發(fā)現(xiàn)的問題和風(fēng)險、遵照國際國內(nèi)最佳實(shí)踐標(biāo)準(zhǔn)、結(jié)合北京燃?xì)獾?ldquo;十二五”規(guī)劃設(shè)計完成了北京燃?xì)獾男畔踩軜?gòu)，并規(guī)劃了北京燃?xì)馕磥?年至5年的信息安全建設(shè)路線。
4．3．1架構(gòu)設(shè)計
北京燃?xì)庑畔踩w系依照北京燃?xì)庑畔踩w目標(biāo)，圍繞“構(gòu)建信息安全體系、保障信息系統(tǒng)安全”的方針制定了北京燃?xì)獾男畔踩軜?gòu)(如圖4所示)，通過組織體系定職責(zé)、制度體系定依據(jù)、技術(shù)體系定手段，涵蓋了包括體系管控、建設(shè)安全、運(yùn)維安全、應(yīng)急保障和基礎(chǔ)保障在內(nèi)的五大信息安全域，全面覆蓋北京燃?xì)庑畔踩母鱾€方面。
北京燃?xì)獾奈宕笮畔踩蛑饕菂⒖糏SO27001信息安全管理體系中的11個信息安全域，并結(jié)合燃?xì)庑袠I(yè)信息安全工作的特點(diǎn)和北京燃?xì)庖延械男畔踩A(chǔ)，重新進(jìn)行劃分和歸并而得。
4．3．2藍(lán)圖規(guī)劃
信息安全藍(lán)圖規(guī)劃日的是明確北京燃?xì)馕磥硇畔踩慕ㄔO(shè)路線，經(jīng)過3年乃至5年信息安全規(guī)劃的實(shí)施，可以逐步改變目前信息安全的現(xiàn)狀，為北京燃?xì)庑畔⑾到y(tǒng)的平穩(wěn)運(yùn)行和業(yè)務(wù)的持續(xù)開展提供強(qiáng)有力的保障。
北京燃?xì)馕磥?年信息安全藍(lán)圖規(guī)劃如下，分為以下3個階段：
(1)信息安全管理體系建立階段(2013年)。北京燃?xì)庥?013年上半年建立信息安全管理體系，通過信息安全管理體系的建設(shè)，建立了信息安全組織、完善了信息安全制度；通過持續(xù)進(jìn)行風(fēng)險評估，使北京燃?xì)庠谛畔踩矫婢哂辛俗晕彝晟频哪芰Α?/div>
(2)IT風(fēng)險精細(xì)化管理階段(2014年—2015年)。從2014年開始，進(jìn)行IT綜合管控體系的建設(shè)，建立完善的IT治理機(jī)制、IT綜合管理流程(項目管理、外包管理、數(shù)據(jù)管理等)、IT服務(wù)管理流程、軟件開發(fā)管理流程和IT績效管理體系等；通過部署安全管理中心(SOC)開展敏感信息泄漏防護(hù)工作，試點(diǎn)關(guān)鍵用戶信息安全績效測評工作，推動信息安全工作的深人開展。
(3)安全與業(yè)務(wù)融合階段(2016年—2017年)。從2016年開始，北京燃?xì)獾男畔踩珜⑦M(jìn)入安全與業(yè)務(wù)融合階段，主要表現(xiàn)為，通過精細(xì)化信息安全管控體系的建立、IT內(nèi)控體系建設(shè)，完善業(yè)務(wù)領(lǐng)域的信息安全工作，結(jié)合敏感信息防護(hù)工作的開展，實(shí)現(xiàn)安全與業(yè)務(wù)的深度融合，為IT支持業(yè)務(wù)運(yùn)行與業(yè)務(wù)創(chuàng)新而奠定基礎(chǔ)。
4．4 體系構(gòu)建
4．4．1組織保障體系
北京燃?xì)獾男畔踩M織體系(見圖5)包括領(lǐng)導(dǎo)層、管理層、執(zhí)行層以及監(jiān)督層。領(lǐng)導(dǎo)層由集團(tuán)的信息化工作委員會擔(dān)任。管理層由集團(tuán)信息安全管理小組擔(dān)任，下設(shè)信息安全管理辦公室，成員包括總部相關(guān)部門的信息安全協(xié)調(diào)員。執(zhí)行層由信息檔案中心、運(yùn)營調(diào)度中心以及集團(tuán)其他所屬各單位組成。監(jiān)督層由集團(tuán)法審部和第三方審計機(jī)構(gòu)組成。
通過信息安全組織體系的建立，明確了集團(tuán)各屬單位信息安全角色與職責(zé)，以及總部和分公司之間信息安全接口與互動關(guān)系。信息安全組織保障體系處于信息安全戰(zhàn)略的核心，是信息安全戰(zhàn)略落實(shí)的基礎(chǔ)和保障，同時，信息安全制度保障體系的建立和執(zhí)行、信息安全運(yùn)行相關(guān)工作以及信息安全技術(shù)在北京燃?xì)鈨?nèi)的運(yùn)用也需要信息安全組織保障體系相關(guān)機(jī)構(gòu)和角色去具體落實(shí)。
4．4．2制度保障體系
制度保障體系主要包含北京燃?xì)獾男畔踩呗裕结槨⒏餍畔踩芾碛虻陌踩芾硪?guī)定、細(xì)則和表單類的文檔，為北京燃?xì)馓峁┬畔踩罁?jù)。在制度體系中明確了信息安全技術(shù)類各種標(biāo)準(zhǔn)、安全規(guī)范、配置基線等；制定了信息安全運(yùn)行保障機(jī)制以及總部和分公司的信息安全協(xié)作機(jī)制。
目前制定的制度規(guī)范共32個，其中二級規(guī)定1個、三級辦法6個、四級細(xì)則l2個、技術(shù)規(guī)范l3個，覆蓋了系統(tǒng)建設(shè)、系統(tǒng)運(yùn)行、應(yīng)急保障、體系管控、基礎(chǔ)保障五大領(lǐng)域。
4．4．3技術(shù)保障體系
北京燃?xì)饨⒘?ldquo;五縱五橫”的技術(shù)保障體系(見圖6)，實(shí)現(xiàn)從物理環(huán)境到終端數(shù)據(jù)的安全控制，建立了事前預(yù)防、事中監(jiān)控以及事后恢復(fù)的相關(guān)機(jī)制。
北京燃?xì)獾募夹g(shù)保障體系將重點(diǎn)關(guān)注和解決：完善安全域的綜合規(guī)劃和整改、建立信息系統(tǒng)基本等級防護(hù)技術(shù)體系、建立PKI體系、建立4A平臺、建立終端防護(hù)體系、建立信息安全監(jiān)控體系和建立災(zāi)備中心。
4．5 信息安全意識的宣貫和提升
北京燃?xì)庠谛畔踩w系的建設(shè)過程中考慮了各個層面“人”的要素，從管理層到普通員工，從專業(yè)人員到非專業(yè)人員，充分保障了各層面人員所需的信息安全意識和技能的培養(yǎng)。
在構(gòu)建自身的信息安全宣貫體系的同時，考慮了自身企業(yè)文化和企業(yè)特點(diǎn)，在借助傳統(tǒng)的宣傳媒介的同時引入社會化媒體進(jìn)行企業(yè)內(nèi)部員工信息安全意識的宣傳，建立多維度全方位的信息安全宣傳渠道。
5 燃?xì)庑袠I(yè)信息安全體系建設(shè)成功因素
信息安全風(fēng)險是應(yīng)用信息技術(shù)過程所必須面對的問題，因此建立信息安全體系是保障燃?xì)馄髽I(yè)業(yè)務(wù)和信息化持久發(fā)展的基礎(chǔ)。結(jié)合北京燃?xì)庑畔踩w系建設(shè)的過程和經(jīng)驗，總結(jié)幾點(diǎn)燃?xì)庑袠I(yè)信息安全體系成功實(shí)施的要素：
(1)來自企業(yè)高層明確的支持和承諾，尤其對于相對傳統(tǒng)的燃?xì)庑袠I(yè)而言這是信息安全體系有效推進(jìn)的保障。
(2)注重體系落地，依據(jù)“總體規(guī)劃、分步實(shí)施”的戰(zhàn)略，信息安全體系建設(shè)要從全局的觀念出發(fā)組建系統(tǒng)，制定具體的且可實(shí)現(xiàn)的計劃。
(3)信息安全部門的定位問題以及與信息化之間的關(guān)系，明確信息安拿與信息化是相互交叉又彼此區(qū)別的關(guān)系。
(4)加大信息安全的培訓(xùn)并建立自己的信息安全隊伍，同時借助多種手段向所有管理者和員工有效的宣貫安全意識，注重持續(xù)性和時效性，減少信息安全在實(shí)施過程中的阻力。
(5)完善信息安全架構(gòu)體系，增加信息安全縱深，整合現(xiàn)有信息安全設(shè)施，形成信息安全合力，避免不必要的資源浪費(fèi)。
6 結(jié)束語
北京燃?xì)獾男畔踩ㄔO(shè)才剛剛起步，燃?xì)庑袠I(yè)其他企業(yè)的信息安全建設(shè)也即將開始，本文將在北京燃?xì)庑畔踩w系建設(shè)過程中的經(jīng)驗、方法進(jìn)行整理，在國內(nèi)首次提出燃?xì)庑袠I(yè)的信息安全體系建設(shè)方法，供燃?xì)庑袠I(yè)其他企業(yè)構(gòu)建信息安全體系參考。燃?xì)馄髽I(yè)信息安全的發(fā)展必然是不斷變化和前進(jìn)的過程，北京燃?xì)獗容^注重信息安全體系建設(shè)落地的實(shí)際效果，不斷夯實(shí)信息安全的基礎(chǔ)，關(guān)注信息安全未來的發(fā)展方向，持續(xù)優(yōu)化已建立的信息安全體系架構(gòu)，使之符合燃?xì)馄髽I(yè)自身的安全需求并保障燃?xì)鈽I(yè)務(wù)的安全運(yùn)行。
