被忽视的任务 如何鉴定企业网络风险级别

计算机系统风险级别标准 当前企业网络安全及信息数据的重要性越来越被企业管理人员所重视，鉴定的企业网络环境所面对的安全风险级别，也成为企业网络安全管理人员的首要工作。如何根据企业自身的信息安全需要及企业所面对的网络环境情况，制定出量体、可行的信息安全防护策略，是企业维护信息安全所要面对的重要问题。 目前在我国，计算机信息系统安全的保护能力被分为五个等级，分别是：用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级，不同的企业网络需求不同的防护级别，只有全面、正确的认识不同的信息系统保护级别，鉴定企业内网安全所面临的风险，才能设置出符合企业内网需求术业有专攻的"合体"企业内网架构。 一、企业计算机信息系统安全级别 第一级，"用户自主保护级"的计算机信息系统，是通过隔离用户与数据使用户具备自主安全保护的能力。它通过多种技术形式对用户实施访问控制，允许命名用户以设定的用户或用户组身份访问数据，阻止非授权用户读取敏感信息，从而避免其对数据的非法读写与破坏。 第二级，"系统审计保护级"，与第一级相比，本级的计算机信息系统通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。 "系统审计保护级"计算机在用户访问数据时，先要求用户标识自己的身份，并使用诸如口令等保护机制，通过为用户提供唯一标识来使用户对自己行为负责，通过自主完整性策略以阻止非授权用户访问、修改或破坏敏感信息。企业网络风险定位是完善网络架构的首要环节 第三级，"安全标记保护级"，本级的计算机信息系统提供有关安全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述，能够准确地标记输出信息的能力，消除通过测试发现的任何错误。 在用户登录方面，计算机信息系统以指定或默认方式，阻止非授权用户访问客体，没有存取权的用户只允许由授权用户指定对客体的访问权，对所有主体及其所控制的客体实施强制访问控制，为这些主体及客体指定敏感标记，并可控制访问权限扩散，在网络环境中，使用完整性敏感标记来确信信息在传送中未受损，阻止非授权用户读取、修改或破坏敏感信息。 企业网络系统风险分级 第四级，"结构化保护级"，本级的计算机信息系统建立于一个明确定义的形式化安全策略模型之上，它要求将第三级系统中的自主和强制访问控制扩展到所有主体与客体。此外，还要考虑隐蔽通道，加强了鉴别机制。基本的网络安全体系要素 计算机信息系统支持系统管理员和操作员的职能，增强了配置管理控制，具有相当的抗渗透能力。计算机信息系统根据用户指定方式或默认方式，阻止非授权用户访问客体，对外部主体能够直接或间接访问的所有资源实施强制访问控制，并为这些主体及客体指定敏感标记，这些标记是等级分类和非等级类别的组合，它们是实施强制访问控制的依据。在此信息级别下，系统开发者应彻底搜索隐蔽存储信道，并根据实际测量或工程估算，确定每一个被标识信道的最大带宽。企业网络风险分析矩阵 第五级，"访问验证保护级"，本级的计算机信息系统可满足本身具有抗篡改能力的访问监控器需求，在设计和实现时，从系统工程角度将对于实施安全策略来说的非必要代码复杂性降低到最小程度。 本机的计算机信息系统具有很高的抗渗透性能力，支持安全管理员职能，当发生与安全相关的事件时可以发出信号，信息系统的访问控制能够为每个命名客体指定命名用户和用户组，并规定他们对客体的访问模式。此外，计算机信息系统可信计算基能创建和维护受保护客体的访问审计跟踪记录，并能阻止非授权的用户对它访问或破坏，还能记录下述事件：使用身份鉴别机制、将客体引入用户地址空间、系统管理员或系统安全管理员实施的动作，以及其他与系统安全有关的事件，从而保证计算机信息系统失效或中断后，可以进行不损害任何安全保护性能的恢复。 二、企业制定网络风险分级的步骤 目前，网络安全市场上的网络安全产品类型大多是依照安全连接、周边安全和入侵防范三个主要物理安全层次进行分类防护的。现阶段，企业制定安全防护的关键步骤有以下几个： 目标、安全规范标准、安全架构、安全评估、安全测试、实施。 1、目标： 企业制定网络安全风险评级的目标是安全规范的剪影，不同的企业对于网络安全需求的标准也不完全相同，这需要企业网络管理人员进行量身定制，规划出详细可行的目标方案。确定企业网络风险级别的步骤 2、安全规范标准： 企业的网络安全风险评级，将针对企业的安全需求制定标准。一套完善的企业网络系统应达到以下标准：具有完整可行的网络安全与管理策略；将内部网络、公开服务器网络和外网进行有效隔离，避免与外部网络的直接通信；建立网络各主机和服务器的安全保护措施，保证其系统安全；加强合法用户访问认证，同时将用户访问权限控制在最低限度；及时发现和拒绝不安全的操作和黑客攻击行为；加强对各种访问的审计，记录访问行为，形成完整的系统日志；完善的容灾备份与灾难恢复系统，实现特殊问题下的快速恢复。 国家信息化安全教育认证管理中心提出的"安全是过程"的理念 3、安全评估： 企业网络风险评级首先需要进行评估的方面包括：公司资产、公司网络的潜在弱点及相关威胁、公司网络安全管理人员的专业技能、公司数据信息的重要程度、公司的后期维护成本、风险分析等等，目前，企业常见的易受网络风险有：黑客攻击风险、应用安全风险、数据泄密风险、人员管理风险、用户账号管理风险、信息安全监控管理风险、网络架构安全风险、重要信息系统安全风险、病毒恶意代码、安全策略执行风险等等。 4、安全测试 企业内网安全风险级别评估制定后，需要进行初步架构的安全测试，以确保企业的网络安全架构是否切实可行，真正符合企业网络需求特点。 5、实施 在以上步骤的基础上，企业网络安全管理人员应确定具体的实施方案，找出降低不同风险的必要措施，并对这些措施进行成本效益分析，以便高级管理层能够决定如何处理每个风险，实现风险级别确定后的网络安全管理实施。 为了确保企业内网安全的全面性，除了在客观上对企业内网安全需求有适当的风险级别评定、清晰的认识外，完善系统安全的保密措施，建立企业全员的安全管理规范也是网络安全管理人员所必须面对的。只有从技术上建立高效的管理平台、在制度管理上完善合理的规范，才能使企业网络风险评级有意义，才能真正保障企业内网安全。