关于信息保障(整理)

关于信息保障(整理)

信息保障

一、概念

“信息保障”(information assurance，IA)概念是美国国防部于20世纪90年代率先提出的，后经多次修改、完善，已得到世界范围的广泛认可。就其本质来说，信息保障是一种保证信息和信息系统能够安全运行的防护性行为，是信息安全在当前信息时代的新发展。信息保障的对象是信息以及处理、管理、存储、传输信息的信息系统；目的是采取技术、管理等综合性手段，使信息和信息系统具备机密性、完整性、可用性、可认证性、不可否认性，以及在遭受攻击后的可恢复性。

随着技术的不断发展和认识的不断深入，美军“信息保障”概念的内涵和外延也在实践中不断扩充和延伸，已经从最初的一套简单的纯技术防护措施，发展到现在由“人”、“技术”和“操作”三个范畴共同构成的一个综合体系，包括了政策管理、组织实施、运行使用、基础设施建设等方方面面的内容，成了指导美军构建信息安全体系的重要战略思想。

二、发展演变

信息安全问题始终伴随着信息技术的发展而发展，先后经历了早期的“通信保密”(COMSEC)、“信息系统安全”(1NFOSEC)和目前的“信息保障”三个阶段。

20世纪40、50年代，信息安全以通信保密为主体，要求实现信息的机密性。这一时期的信息安全需求基本来自军政指挥体系方面的“通信保密”要求，主要目的是要使信息即使在被截获的情况下也无法被敌人使用，因此其技术主要体现在加解密设备上。

20世纪60、70年代，随着小规模计算机组成的简单网络系统的出现，网络中多点传输、处理以及存储的保密性、完整性、可用性问题成为关注焦点；计算机之间的信息交互，要求人们必须采取措施在信息存储、处理、传输过程中，保护信息和信息系统不被非法访问或修改，同时不能拒绝合法用户的服务请求，其技术发展主要体现在访问控制上。这时，人们开始将“通信安全”与“计算机安全”合并考虑，“信息系统安全”(INFOSEC)成为研究热点。

进入20世纪90年代，随着网络技术的进一步发展，超大型网络迫使人们必须从整体安全的角度去考虑信息安全问题。网络的开放性、广域性等特征把人们对信息安全的需求，延展到可用性、完整性、真实性、机密性和不可否认性等更全面的范畴。同时，随着网络黑客、病毒等技术层出不穷、变化多端，人们发现任何信息安全技术和手段都存在弱点，传统的“防火墙+补丁”这样的纯

技术方案无法完全抵御来自各方的威胁，必须寻找一种可持续的保护机制，对信息和信息系统进行全方位的、动态的保护。因此，为了保障信息安全，除了要进行信息的安全保护，还应该重视提高安全预警能力、系统的入侵检测能力，系统的事件反应能力和系统遭到入侵引起破坏的快速恢复能力。区别于传统的加密、身份认证、访问控制、防火墙、安全路由等技术，信息保障强调信息系统整个生命周期的防御和恢复，同时安全问题的出现和解决方案也超越了纯技术范畴。1989年美国卡内基·梅隆大学计算机应急小组开始研究如何从静态信息安全防护向动态防护转变。之后，美国防部在其信息安全及网络战防御理论探索中吸收了这一思想，并于1995年提出了“信息保障”概念。信息安全进入信息保障时代。美国国家安全局制定的《信息保障技术框架》（IATF）则是这个时代的一个典型标志。

三、美国信息保障技术框架（IATF）

信息保障技术框架（IATF）是美国国家安全局（NSA）制定的，为保护美国政府和工业界的信息与信息技术设施提供技术指南。IATF从整体、过程的角度看待信息安全问题，其代表理论为“深度防御战略（Defense-in-Depth）”。IATF强调人、技术、操作这三个核心原则，关注四个信息安全保障领域：保护网络和基础设施、保护边界、保护计算环境、支撑基础设施（图1）。

（图1信息保障技术框架）

IATF是由美国国家安全局组织专家编写的一个全面描述信息安全保障体

系的框架，它提出了信息保障时代信息基础设施的全套安全需求。IATF创造性的地方在于，它首次提出了信息保障依赖于人、技术和操作来共同实现组织职能/业务运作的思想，对技术/信息基础设施的管理也离不开这三个要素。IATF

认为，稳健的信息保障状态意味着信息保障的策略、过程、技术和机制在整个组织的信息基础设施的所有层面上都能得以实施。

IATF规划的信息保障体系包含三个要素：

人（People）：人是信息体系的主体，是信息系统的拥有者、管理者和使用者，是信息保障体系的核心，是第一位的要素，同时也是最脆弱的。正是基于这样的认识，安全管理在安全保障体系中就愈显重要，可以这么说，信息安全保障体系，实质上就是一个安全管理的体系，其中包括意识培训、组织管理、技术管理和操作管理等多个方面。

技术（Technology）：技术是实现信息保障的重要手段，信息保障体系所应具备的各项安全服务就是通过技术机制来实现的。当然，这里所说的技术，已经不单是以防护为主的静态技术体系，而是防护、检测、响应、恢复并重的动态的技术体系。版权申明：本站文章均来自网络。

操作（Operation）：或者叫运行，它构成了安全保障的主动防御体系，如果说技术的构成是被动的，那操作和流程就是将各方面技术紧密结合在一起的主动的过程，其中包括风险评估、安全监控、安全审计、跟踪告警、入侵检测、响应恢复等内容。

三、信息保障与信息安全的比较

与以前的信息安全概念相比，信息保障概念的范围更加宽泛。

从理念上看，信息安全强调的是“规避风险”，即防止发生并提供保护，破坏发生时无法挽回；而信息保障强调的是“风险管理”，即综合运用保护，探测、反应和恢复等多种措施，使得信息在攻击突破某层防御后，仍能确保一定级别的可用性、完整性、真实性、机密性和不可否认性，并能及时对破坏进行修复。

再者，以前的信息安全通常是单一或多种技术手段的简单累加，而信息保障则是对加密，访问控制、防火墙、安全路由等技术的综合运用，更注重入侵探测和灾难恢复技术。

四、信息保障的核心思想

信息保障的核心思想是深层防御战略（Defense in Depth）。所谓深层防御战略就是采用一个层次化的、多样性的安全措施来保障用户信息及信息系统的安全。

（图2深层防御战略）

如图2所示，在深层防御战略（Defense in Depth）中，人、技术和操作是三个主要核心因素，要保障信息及信息系统的安全，三者不可或缺；从技术上讲深层防御战略体现为在包括主机、网络、系统边界和支撑性基础设施等多个网络环节之中如何实现预警、保护、检测、反应和恢复（WPDRR）这五个安全内容。

深层防御战略的含义是多方面的，它试图全面覆盖一个层次化的、多样性的安全保障框架。深层防御战略的核心目标就是在攻击者成功地破坏了某个保护机制的情况下，其它保护机制依然能够提供附加的保护。

五、信息保障体系

信息保障的目的是为保障对象提供可用性、机密性、完整性、不可抵赖性、可授权性的安全服务，它的实现不是仅仅依靠安全防护措施对保障对象（信息和信息系统）进行安全防护就可以实现的，它的实现是基于信息保障体系，即安全循环体系和完整的实施体系，最终实现对于信息和信息系统持续安全性的保证。

信息保障体系包括风险分析、安全防护、安全检测、安全测试与评估、应急响应、恢复、实施体系。

风险分析（Risk）：包括确定系统资源清单，进行脆弱性评估，分析系统风险级别等。风险分析是了解信息系统各方面状态的关键步骤。

安全防护（Protect）：采用相关安全技术、安全机制、安全产品，实现安全防护方案。安全防护是保障信息安全性的重要静态措施。

安全检测（Detect）：使用实时监控、入侵检测、漏洞扫描等技术，对系统进行安全检测，形成资源数据库。

测试与评估（Test and Evaluate）：定期对系统的安全机制、安全产品、安全状态进行测试和评估，及时发现其存在的安全脆弱性，并进行公正的评估。测试评估与安全检测是保障信息安全性的关键动态措施。

应急响应（React）：对突发事件进行快速反应，尽可能减少突发事件对系统的影响，保证系统安全的最小资源集合可用。

恢复（Restore）：当系统遭受毁坏时，评估系统损失情况，在最短时间内恢复系统数据和系统服务，使系统迅速恢复基本的服务并重建。应急响应能力和恢复能力是信息系统生存性、抗毁性的重要衡量标准。

IA实施体系：IA的实施体系是IA有效实施的有力保障和基础，它包括相关组织机构体系构筑、相关政策颁布、相关标准制订、资金支持、信息安全专家及相关人员的培养计划、人员信息安全意识的提高、IA的实施与管理等。

由此可见，信息保障是针对信息安全的一个多层次的体系结构，通过信息保障的体系可以实现信息关键基础设施、信息、信息系统的安全持续性提升，在一个风险、检测、评估、响应的循环体系和完备的实施体系中保证良好的安全性。

六、我国关于加强信息安全保障工作的意见

《关于加强信息安全保障工作的意见（中办发[2003]27号）》要求，加快推进信息化，必须立足当前，放眼长远。要着力抓好四个方面：

一是大力推广应用信息技术。抓紧在经济和社会发展的重要领域和关键环节率先应用信息技术。积极运用信息技术改造和提升传统产业、调整和改造东北等老工业基地、加快企业信息化步伐。继续促进金融、财税、商贸等领域信息化，推进电子商务。加快农业信息化步伐。大力发展互联网，提高互联网应用水平。

二是加强信息资源开发利用。以政府信息资源开发利用为突破口，带动全社会信息资源的开发利用。加快发展信息服务业。进一步加强信息基础设施建设，防止盲目投资和重复建设。

三是抓紧推行电子政务。按照统一规划、突出重点、整合资源、统一标准、保障安全的原则，逐步建成电子政务体系的基本框架。

四是切实加强信息安全保障工作。坚持积极防御、综合防范的方针，在全面提高信息安全防护能力的同时，重点保障基础网络和重要系统的安全。完善信息安全监控体系，建立信息安全的有效机制和应急处理机制。

七、我国电子政务的信息安全保障

信息安全建设是电子政务建设不可缺少的重要组成部分。电子政务信息系统承载着大量事关国家政治安全、经济安全、国防安全和社会稳定的数据和信息；网络与信息安全不仅关系到电子政务的健康发展，而且已经成为国家安全保障体系的重要组成部分。缺乏安全保障的电子政务信息系统，不可能实现真正意义上的电子政务。

具体来讲，应做好：

（一）正确界定涉密网络，做好政务内网和政务外网的划分。

政府部门在建设电子政务时，普遍遇到的问题是：对于本地区、本部门政务内网和政务外网的划分难于把握。即涉密网（政务内网）要不要建，要建多大才既有利于保密又方便工作。过去有一种误区，认为：网络划分是政务部门的事，只要你划为涉密网了，保密工作部门再按涉密网的要求去管理。这样的结果往往造成对上网的业务信息资源涉密程度界定不清，网络划分不够合理，造成先天不足，增加了安全保密管理的难度。保密工作部门在电子政务建设的规划阶段，应协助政务部门，结合实际需求，正确界定涉密网络，做好政务内网与政务外网的划分。

（二）重点抓好政务内网建设与应用中的安全保密管理。

政务内网是涉密网，就要按照中央保密委员会以及国家保密局的一整套对涉密网的要求去管理。保密工作部门对电子政务安全保密管理的重点就是抓好政务内网的安全保密管理。安全保密管理要贯穿政务内网建设与应用的始终。（三）加强政务外网和政务网站的保密管理

政务外网规模大，用户多且与互联网逻辑隔离，存在较大的安全风险。保密工作部门对于政务外网的保密管理主要体现在明确要求，督促检查，确保国家秘密信息不在政务外网上处理，确保政务外网与政务内网和其它涉密网络物理隔离。