Network security mechanism of enterprise management informationsystem based on ISO27001
-
摘要:
为保障铁路企业管理信息化系统建设项目的信息安全，围绕ISO27001信息安全管理体系，从网络安全体系、信息化建设和网络安全技术这3个方面开展网络安全机制建设，完善网络安全管理制度、制定信息化建设管理机制并建立网络安全技术联动机制。基于ISO27001信息安全管理体系的网络安全机制已在企业管理信息化系统建设项目中得到应用，有效提升企业管理信息化系统主动防御能力，满足铁路企业网络安全管理要求，为铁路企业网络安全工作提供参考。
Abstract:To ensure the information security of the railway enterprise management information system construction project, this paper focused on the ISO27001 information security management system and carried out network security mechanism construction from three aspects: network security system, information construction, and network security technology. The paper improved the network security management system, formulated the information construction management mechanism, and established a network security technology linkage mechanism. The network security mechanism based on ISO27001 information security management system has been applied in the construction project of enterprise management information system, which effectively enhances the proactive defense capability of enterprise management information system, meets the requirements of railway enterprise network security management, and provides reference for railway enterprise network security work.
-
近年来，铁路设计企业稳步推进数字化转型，从发展战略上，对企业管理信息化、移动办公提出了更高的要求。因此，企业大力开展管理信息化升级建设工作，力求打破信息孤岛，将分散的企业管理信息化系统进行集成重构，实现企业流程和业务数据的有机结合。然而，异构应用集成和数据整合使得企业管理信息化系统内部结构变得复杂，各业务系统间形成了密集的调用关系，导致安全风险升高。主要存在如下问题[1-3]。
（1）网络安全管理制度不健全，未建立可度量的年度运行指标，既有规章制度无法给予具体管理场景有效的指导，需要统筹规划、分层次制定网络安全管理制度。
（2）信息化建设管理机制有待完善，在信息化系统建设和运营过程中缺乏有效的网络安全管理，缺乏面向组织、人员、环境和技术的风险评估及风险管控措施，导致相同的网络安全隐患反复出现。
（3）网络安全技术装备缺乏系统性联动，不同品牌型号的网络安全系统分散管理，未将威胁情报采集、威胁攻击分析、风险隔离和自动化处置等全过程技术能力进行技术整合，导致信息安全事件响应周期过长。
ISO27001标准是国际公认的信息安全管理体系标准[4]，采用了“计划−实施−检查−改进”（PDCA）模型，建立信息安全管理体系框架，目的是提供建立、实施、运作、监控、评审、维护和改进企业信息安全管理的标准。通过完备的控制措施，帮助企业更有效地管理业务活动中的信息安全风险[5]。
本文围绕铁路设计单位的企业管理信息化系统建设项目[6]，提出了铁路设计行业基于ISO27001信息安全管理体系的网络安全机制，通过完善网络安全管理规章制度、制定信息化系统上下线管理机制、加强信息安全风险评估和风险防范，建立网络安全技术联动机制，有效提升企业管理信息化系统主动防御水平。
1 基于ISO27001的网络安全机制建设
为落实中国国家铁路集团有限公司网络安全相关制度要求，支撑企业管理信息化业务发展，在管理信息化系统建设及运营各阶段，基于ISO27001信息安全管理体系要求，从网络安全管理体系、信息化建设管理机制和网络安全技术联动机制这3方面进行建设。网络安全管理体系以管理制度、标准规范、检查考核等为主要内容，提高企业网络安全管理的标准化、规范化[7]；信息化建设管理机制对信息系统测试、上线、运营等全生命周期进行规范和安全管控；网络安全技术联动机制以加强安全管理中心作用为目标，整合各类安全设备形成联防联控，具有从情报获取到威胁处置的自动化能力。
1.1 网络安全管理体系
本文制定的网络安全管理体系遵循PDCA模式，基于风险管控执行，进行持续监视测量和定期评审，以适应不断变化的内外部情况，持续改进管理体系，有效提升信息安全管理水平。网络安全管理体系模型如图1所示。
根据相关方的信息安全要求及期望、企业安全目标和标准控制措施，制定和完善网络安全管理制度。根据管理制度重要性及其对体系的影响程度，本文将网络安全管理文件分为3个级别，其中，一级文件（最高级）主要是纲领性和指导性文件；二级文件主要是具体的管理办法、管理流程等规范性文件；三级文件主要是操作和技术性文件。网络安全管理制度如表1所示。
表 1 网络安全管理制度文件级别 文件名称 一级 信息技术服务与信息安全体系管理手册 二级 有效性测量及数据分析控制程序 内部审核管理程序 管理评审程序 纠正措施和改进措施控制程序 管理流程角色与职责权限定义 信息资产安全管理规定 风险评估与风险处置管理办法 信息安全事件管理规定 访问控制管理规定 服务连续性管理流程 供应商管理办法 物理与环境安全管理规定 系统与网络安全管理规定 数据安全管理规定 信息安全基线和安全加固管理规定 恶意软件防护管理规定 三级 资产与配置管理流程 需求和容量管理流程 开发安全管理规定 备份与恢复管理细则 日志管理实施细则 系统开发测试规范 专项应急预案与应急演练管理规定 1.2 信息化建设管理机制
本文设计了针对企业管理信息化系统的信息化建设管理机制及相关流程，对其上线投产的过程进行规范化管控，降低其带病上线风险。
信息化建设过程涉及的相关方包括企业职能管理部门、项目建设单位及信息化单位。其中，职能管理部门负责企业管理信息化项目建设归口管理；项目建设单位负责组织研发、测试试用、推广实施和验收工作；信息化单位负责企业管理信息化项目日常管理及参与技术评审、安全测评等，负责组织开展技术调研并搭建测试、生产基础环境，组织运营维护（简称：运维）交接。
企业管理信息化系统建设过程包括设计开发、测试测评、信息系统上线、信息系统运维及信息系统下线这5个阶段，其中，测试测评、信息系统上线、信息系统运维是安全管控的关键阶段。
1.2.1 测试测评阶段
此阶段涉及信息化单位和项目建设单位。由项目建设单位发起资源申请，信息化单位组织项目建设单位和运维团队开展信息系统技术调研、制定实施方案并搭建信息系统测试环境。当测试环境通过信息化单位安全技术检测、履行等保测评等合规性手续后，进入投产上线阶段。流程如图2所示。
主要输出物：信息机房资源申请；信息系统调研表；测试环境搭建实施方案；信息系统功能测试报告；信息系统网络安全检查报告；信息系统等保测评报告；铁路互联网网站（应用）备案标识评审材料。
1.2.2 信息系统上线阶段
此阶段涉及职能管理部门、信息化单位和项目建设单位。职能管理部门组织信息系统上线评审；通过评审后，信息化单位组织项目建设单位和运维团队制定开展信息系统技术调研、制定实施方案并搭建生产环境。当生产环境通过安全技术复测后，项目建设组织制定上线后信息系统维护材料，进入信息系统运维阶段。信息系统上线阶段流程如图3所示。
主要输出物：信息系统上线评审材料；信息机房资源申请；信息系统调研表；生产环境搭建实施方案；系统维护相关材料（如服务目录和服务水平协议（SLA）、数据分级分类清单、信息系统运维账号清单、信息系统操作咨询常见问题解答（FAQ）、常见故障处置标准作业程序（SOP）等）。
1.2.3 信息系统运维阶段
此阶段涉及职能管理部门、信息化单位和项目建设单位。信息系统上线初期，信息化单位会同项目建设单位建立过渡时期合作运维模式，当完成运维培训及材料移交后，信息化单位正式承接信息系统维护工作、定期开展风险评估及风险处置。最后由职能管理部门组织项目验收。信息系统运维阶段流程如图4所示。
主要输出物：过渡时期运维方案；项目验收材料；运维材料（服务目录和SLA、数据分级分类清单、数据接口清单、信息系统运维账号清单、信息系统日志清单、系统操作咨询FAQ、常见故障处置SOP、备份策略、监控策略等）；安全风险评估报告。
1.3 网络安全技术联动机制
ISO27001信息安全管理体系规定了企业应满足的安全技术控制策略，如技术脆弱性管理、恶意软件等威胁防范管理。网络安全设备能够提供情报搜集、网络隔离、威胁分析及阻断拦截等功能，为落实管理体系技术控制策略提供有效保证。然而，企业中不同品牌型号的网络安全设备未统一管理，导致安全事件的监测、分析及响应过程需要分别排查不同设备，耗时较长且缺乏系统性。因此，研究建立网络安全技术联动机制，整合各类安全设备形成联防联控，具有从情报获取到威胁处置的自动化能力。
网络安全技术联动机制依托于企业安全态势感知平台[8]，既与企业威胁情报系统、安全分析类系统和安全审计类系统进行数据接口联通，实现威胁数据的集中采集、存储及分析；又与网络内安全防护系统进行接口联动，实现对威胁的定向自动化阻断。该联动机制架构如图5所示。
（1）数据采集层针对业务应用、中间件、数据库、操作系统、网络安全设备、物理网络设备及网络流量等安全数据进行采集。
（2）数据存储层由日志审计设备、数据库审计设备和流量审计设备组成。其中，日志审计设备存储操作系统日志、各网络安全系统日志及物理设备日志；数据库审计设备存储数据库查询日志；流量审计设备存储网络镜像流量。数据采集及存储示意如图6所示。
（3）威胁分析层是对数据进行加工处理，包括数据解析、数据聚合、数据关联及分析告警，集中分析数据存储层原始数据，识别安全威胁，对高危行为进行告警。
（4）威胁响应层根据威胁分析层识别到的威胁来源（互联网、局域网），基于预先设定的威胁响应剧本，通过安全防护设备接口联动方式进行定向自动化威胁处置，最终实现威胁发现到处置自动闭环。威胁分析及响应示意如图7所示。
2 网络安全机制建设成效
基于ISO27001的企业管理信息化系统网络安全机制已在某铁路设计单位的企业管理信息化项目建设及运营过程中得到应用，成效如下。
2.1 提升安全管理的指导作用
（1）制定年度工作计划，监督并推动管理运行。针对企业管理信息化系统容量、连续性、应急预案、日志审计及备份恢复管理均提出规划目标。
（2）建立和完善信息安全分类控制策略开展全面的信息安全管控。严格落实物理环境安全、访问控制安全、数据安全及恶意代码防护相关要求。
（3）建立并动态维护企业管理信息化系统配置信息管理库，涵盖企业管理信息化系统相关网络设备、服务器、操作系统、数据库、中间件、应用系统和系统服务等软硬件资产信息。
（4）识别、评估和管理信息安全风险。在测试测评阶段开展漏洞扫描、基线核查、渗透测试及代码审计；在运维阶段定期开展企业管理信息化系统风险评估，及时消除隐患。
（5）建立并维护系统信息资产清单、数据资产清单、网络安全问题动态库、配置项管理库，以及运行过程中的其他记录。
（6）建立供应商人员登记表，要求供应商签订网络安全责任书和保密协议，定期对供应商服务进行评价并对供应商级别进行相应调整。
2.2 加强项目建设安全管控
在企业管理信息化系统建设测试测评阶段，该铁路设计单位通过对企业管理信息化系统及其运行环境实施漏洞扫描、基线核查、人工渗透测试和代码审计等安全技术检测，提前发现并消除SQL注入、配置错误、敏感信息泄露等安全漏洞37项，降低了其带病上线风险。在企业管理信息化系统建设运维阶段，对其相关的人员、软硬件、数据和物理环境开展风险评估，共识别风险
1362 个，经评审确定，需要进行处置的风险24个，集中表现为“特权账号滥用”，其余风险予以接受。针对上述问题，该铁路设计单位组织开展2项整改措施。
（1）严格限制特权账号使用范围，管理信息化业务应用系统严禁运行在root、admin等特权账号上，全部迁移到普通账号下运行。
（2）持续加强内控，建立特权账号使用申请流程，所有特权账号使用均须得到审批；同时，定期开展堡垒机使用审计，通报未经授权使用root、admin等特权账号情况。
通过主动实施风险评估，特权账号滥用的风险得到有效控制。
2.3 提高主动防御的覆盖面和处置效率
通过网络安全技术联动机制建设，对企业网内安全设备集中管理。以态势感知平台为核心，对企业网内共6家安全产品实现协同联动，将集中管理范围由之前的互联网边界扩展到几乎所有重要网络区域，主动防御覆盖率由之前的12%提升至87.5%。
自动化威胁响应大幅缩短了安全威胁处置时间，平均威胁处置时间由1天缩短到1 min内，提升了防御时效性，让值守人员有更多精力开展事件回溯及分析工作。
3 结束语
本文基于ISO27001信息安全管理体系开展网络安全机制建设，并在某铁路设计单位的企业管理信息化系统建设项目上得到应用。将网络安全机制充分融入到企业管理信息化系统建设项目中，为网络安全与信息化深度融合打下了良好基础，可为铁路企业网络安全工作提供参考借鉴。
信息安全体系建设和运营任重道远，未来将继续贯彻ISO27001标准，坚持用PDCA管理不断改进完善安全机制，切实做到将ISO27001标准与等级保护、铁路安全管理要求相融合。
-
表 1 网络安全管理制度
文件级别 文件名称 一级 信息技术服务与信息安全体系管理手册 二级 有效性测量及数据分析控制程序 内部审核管理程序 管理评审程序 纠正措施和改进措施控制程序 管理流程角色与职责权限定义 信息资产安全管理规定 风险评估与风险处置管理办法 信息安全事件管理规定 访问控制管理规定 服务连续性管理流程 供应商管理办法 物理与环境安全管理规定 系统与网络安全管理规定 数据安全管理规定 信息安全基线和安全加固管理规定 恶意软件防护管理规定 三级 资产与配置管理流程 需求和容量管理流程 开发安全管理规定 备份与恢复管理细则 日志管理实施细则 系统开发测试规范 专项应急预案与应急演练管理规定 
下载: 导出CSV
-
[1] 刘 刚,杨轶杰. 基于等级保护2.0的铁路网络安全技术防护体系研究[J]. 铁路计算机应用,2020,29(8):19-23,27. DOI: 10.3969/j.issn.1005-8451.2020.08.006 [2] 司 群,魏长水,王震华. 新时期铁路网络空间安全防御技术架构研究[J]. 铁路计算机应用,2023,32(11):20-24. DOI: 10.3969/j.issn.1005-8451.2023.11.05 [3] 丁 智,孙 雨,苏奕豪. 铁路企业网络安全常态化管理机制的创建[J]. 铁路计算机应用,2023,32(11):25-29. DOI: 10.3969/j.issn.1005-8451.2023.11.06 [4] ISO/IEC. Information security, cybersecurity and privacy protection-information security management systems-requirements: ISO/IEC 27001: 2022[S]. Geneva: ISO/IEC, 2022.
[5] 艳 阁,陈文娥,王 钢. 基于新版ISO27000对软件行业信息安全的解读[J]. 信息安全与技术,2015(11):11-13. DOI: 10.3969/j.issn.1674-9456.2015.11.002. [6] 刘 峰,韩 寓. 铁路设计企业管理信息化系统网络安全关键技术研究[J]. 铁路计算机应用,2023,32(11):68-72. DOI: 10.3969/j.issn.1005-8451.2023.11.14 [7] 王 彦. 对具有“软件设计开发”范围的企业进行ISO27001审核的思考[J]. 中国认证认可,2019(4):37-41. [8] 刘 峰,韩 寓. 铁路设计企业安全态势感知技术研究与实践[J]. 铁路计算机应用,2021,30(11):68-72.
计量
- 文章访问数: 71
- HTML全文浏览量: 30
- PDF下载量: 21
