浅析信息安全管理体系在大型企业的应用

　　以信息安全管理为基础对大型企业中出现的问题进行了研究，提出信息安全系统化的评估模型，设计了整体性的信息安全管理体系，为大型企业的信息安全管理打下基础。

　　1、 引言

　　随着信息化建设的发展，信息安全越来越多的受到人们的重视，企业信息安全重点面临的问题主要表现在[1]：1)网络受到外部的恶意攻击，部分单位无终端接入控制措施，使企业的正常业务无法开展或相关重要数据被盗取;2)网站受到黑客攻击，由于部分掌握网络技术的不法人员查询到破解网站所存在的漏洞，加以利用并篡改网站信息及获取网站管理权限，使得网站陷入瘫痪;3)信息发布的监管不利产生不良的影响，通常情况下信息发布没有主管部门负责审核导致监管不到位，那么不良信息就可能由于工作人员的疏忽而上传到网站上，造成不良影响;4)计算机病毒的危害，相关系统不及时更新补丁和升级，受到病毒入侵并加以利用，篡改应用系统信息或获取管理权限，使得应用系统丢失重要信息。

　　当前，有关信息系统的安全评价虽然存在着多种多样的具体实践方式，但在目前还没有形成系统化和形式化的评价理论和方法。评价模型基本是基于灰色理论(Gray Theory)或者模糊(Fuzzy)数学，而评价方法基本上用层次分析法AHP[2](Analytic Hierarchy Process)或模糊层次分析法Fuzzy AHP[3]将定性因素与定量参数结合，建立了安全评价体系，并运用隶属函数和隶属度确定待评对象的安全状况。上述各种安全评估思想都是从信息系统安全的某一个方面出发，如技术、管理、过程、人员等，着重于评估网络系统安全某一方面的实践规范。在操作上主观随意性较强，其评估过程主要依靠测试者的技术水平和对网络系统的了解程度，缺乏统一的、系统化的安全评估框架，很多评估准则和指标没有与被评价对象的实际运行情况和信息安全保障的效果结合起来。

　　大型企业信息安全管理体系的研究，就是为了寻找一个科学、合理的管理体系，并根据该体系和方法对大型企业的信息安全状况和水平进行评价，对信息安全管理绩效进行考核。

　　2、 大型企业信息安全管理体系的内涵

　　通过管理体系的应用，将对大型企业信息安全产生非常重要的作用。一是可以对企业信息安全的水平做出客观的反应，认识企业信息安全存在的不足之处，发挥考评体系的指导作用，引导企业“信息安全”工作健康科学发展;二是可以为企业信息安全的建设指明方向，为信息安全的发展提供有力支撑;三是可以帮助企业管理者建立起一套科学的信息安全管理系统，有效控制信息化活动的进程，提高信息安全级别，减少因信息安全事件引起的损失，有利于正确引导和规范企业的信息化建设，指导企业科学发展具有重要的意义。

　　3、 大型企业信息安全管理体系的主要做法

　　为了大型企业信息安全管理体系的建立，提出了管理体系的目标：对于信息安全方面出现的问题，达到防范目的;对于信息安全工作进行查漏补缺，加强管理;通过评估体系的考核，落实相关信息安全文件、推进信息安全工作，为企业信息安全的建设指明方向，同时注重管理体系整体的时效性，根据信息安全发展的不同阶段进行及时更新。

　　1) 建立大型企业信息安全体系

　　信息安全体系总体设计。信息安全体系设计共分为三级，包含9个一级指标，14个二级指标，27个三级指标。一级指标和二级指标为共性指标，三级指标为数据采集项。一级指标包括：网络安全管理、环境安全管理、应用系统安全管理、数据安全管理、终端安全管理、操作安全管理、网络信息发布安全、移动信息化安全、服务器扫描情况。一级和二级指标结构图如下：

　　2)信息安全考评指标的权重设计

　　指标权重理论思路。具体权重根据德尔菲法[4]、层次分析法，结合政策导向确定。

　　管理体系的指标权重确定方法设计过程中，选取两组技术、管理等方面的专家，其中一组专家根据各指标在企业信息化中的重要程度，确定各指标的相对重要性，采用层次分析法确定各指标的权重。另外一组专家根据各指标在企业信息化中的重要程度，对各指标按百分制进行赋值，确定各指标的权重。综合两组专家的意见，初步确定各指标的权重，再组织专家研讨会，最终确定各指标的权重。

　　企业信息安全考评指标总分计算方法：

　　I=Σ(Pi*Wi) (1)

　　I表示指标体系的总得分;Pi表示第i个指标的得分，各指标得满分都是100分;Wi表示第i个指标的权重，所有指标权重的和为100%。

　　3)建设大型企业信息化评价管理系统

　　为了实施信息安全措施体系，以信息安全体系、信息安全文件和考评制度为基础，研发包括信息安全在内的大型企业信息化评价管理系统。通过使用该系统，将减轻信息化管理部门的负担，填报和汇总数据的效率显著提高，最为突出的是以上报数据为基础，可以自动、实时地形成各种统计、分析图表，从而完成以往需要信息化管理人员几天才能完成的大量统计工作，大大减轻了信息化管理部门的工作强度，增加了信息化管理部门对新情况快速反应能力。

　　系统整体架构由数据库层、框架服务层、应用逻辑层、界面表现层组成，系统部署了tomcat下运行的I@Report和BI@Report作为框架服务层，并在此基础上开发了业务系统。

　　系统主要实现了如下功能：

　　编码同步、基层权限管理、评价初始化、基层初评、数据提交、部门权限管理(含单位、指标项)、管理部门复评、信息稽核、数据计算、统计管理、查询管理、决策模型。

　　建立统一的数据报送平台，提高企业信息整合水平。

　　建立在线交流及公告发布平台。

　　系统根据建立的数学模型进行综合分析，可自动、实时地形成各种统计分析图表、报告等，例如：信息化评级、信息化水平评测报告。

　　4、 结束语

　　通过大型企业信息安全管理体系的实施，使企业信息化水平评估体系更加完善，在考评信息化建设水平的同时，又对信息安全水平等级有所提升。

　　作者：阎朋举 来源：中国科技博览 2016年21期