搜索

[17164] 2021-08-18_浅谈如何规范有序地开展网络安全需求分析

文档创建者：s7ckTeam
浏览次数：113
最后更新：2025-01-18
2021-08-18_浅谈如何规范有序地开展网络安全需求分析 浅 谈 如 何 规 范 有 序 地 开 展 网 络 安 全 需 求 分 析 小 师 妹 的 大 师 兄   F r e e B u f   2 0 2 1 - 0 8 - 1 8 前 言 前 言 近 年 来 ， 部 分 大 型 企 业 尤 其 是 关 键 信 息 基 础 设 施 行 业 领 域 ， 随 着 网 络 安 全 形 势 日 益 严 峻 复 杂 ， 国 家 对 网 络 安 全 的 重 视 也 提 高 到 前 所 未 有 的 程 度 ， 网 络 安 全 监 管 政 策 趋 严 ， 最 近 滴 滴 接 受 网 络 安 全 审 查 就 是 最 直 接 的 明 证 。 那 么 对 于 大 型 企 业 来 说 ， 要 做 好 网 络 安 全 建 设 、 运 行 、 保 障 工 作 ， 首 先 要 知 道 面 临 的 具 体 风 险 和 安 全 问 题 ， 才 能 在 网 络 安 全 工 作 中 “ 有 所 为 有 所 不 为 ” ， 那 么 安 全 需 求 分 析 是 企 业 明 确 自 身 所 面 临 的 具 体 风 险 和 安 全 问 题 的 主 要 途 径 。 接 下 来 笔 者 就 结 合 自 己 在 安 全 咨 询 领 域 多 年 的 工 作 经 历 ， 谈 一 谈 如 何 规 范 有 序 的 开 展 网 络 安 全 需 求 分 析 。 本 文 适 用 于 非 密 信 息 系 统 开 展 网 络 安 全 需 求 分 析 ， 涉 密 信 息 系 统 可 根 据 国 家 相 关 要 求 ， 结 合 企 业 自 身 实 际 情 况 ， 参 照 本 文 ， 开 展 网 络 安 全 需 求 分 析 。 一 、 安 全 需 求 分 析 的 工 作 要 求 一 、 安 全 需 求 分 析 的 工 作 要 求 在 开 始 谈 如 何 开 展 网 络 安 全 需 求 分 析 前 ， 我 们 首 先 谈 一 下 安 全 需 求 分 析 的 主 要 工 作 要 求 。 1 、 开 展 安 全 需 求 分 析 工 作 不 应 影 响 信 息 系 统 业 务 的 正 常 运 行 ， 避 免 在 安 全 需 求 分 析 过 程 中 出 现 重 大 网 络 安 全 事 件 ， 如 涉 及 采 用 漏 洞 扫 描 方 式 评 估 系 统 漏 洞 的 ， 应 在 夜 间 或 业 务 非 高 峰 时 段 进 行 。 2 、 开 始 安 全 需 求 分 析 前 应 制 定 网 络 安 全 应 急 预 案 ， 确 保 在 安 全 需 求 分 析 过 程 中 一 旦 出 现 重 大 网 络 安 全 事 件 可 得 到 快 速 、 有 效 的 处 置 。 3 、 应 确 保 参 与 安 全 需 求 分 析 工 作 的 任 何 组 织 和 个 人 ， 不 得 将 安 全 需 求 分 析 过 程 中 了 解 到 的 信 息 系 统 存 在 的 安 全 问 题 如 漏 洞 、 风 险 等 向 任 何 非 授 权 方 透 露 或 炫 耀 、 进 行 炒 作 、 牟 取 不 正 当 利 益 或 从 事 不 正 当 商 业 竞 争 。 4 、 对 于 形 成 的 安 全 需 求 ， 应 分 析 其 急 迫 和 关 键 性 ， 结 合 企 业 自 身 网 络 安 全 和 信 息 化 建 设 的 中 长 期 发 展 规 划 ， 网 络 安 全 建 设 的 预 算 投 入 、 资 金 状 况 等 因 素 ， 对 安 全 需 求 进 行 优 先 级 排 序 ， 形 成 安 全 需 求 优 先 级 列 表 。 5 、 企 业 在 安 全 需 求 分 析 过 程 中 发 现 使 用 的 网 络 产 品 、 服 务 存 在 安 全 缺 陷 、 漏 洞 等 风 险 的 ， 应 当 根 据 安 全 需 求 优 先 级 列 表 ， 在 后 续 及 时 采 取 措 施 消 除 风 险 隐 患 。 6 、 应 组 织 安 全 管 理 部 门 、 业 务 和 使 用 部 门 ， 必 要 时 邀 请 外 部 专 家 ， 共 同 对 安 全 需 求 的 合 理 性 、 适 用 性 等 进 行 评 审 。 7 、 当 外 部 因 素 影 响 ， 关 键 业 务 发 生 变 化 、 新 技 术 新 应 用 、 技 术 升 级 等 因 素 导 致 安 全 需 求 发 生 变 化 ， 应 及 时 做 好 需 求 变 更 记 录 。 8 、 如 委 托 外 部 机 构 协 助 开 展 安 全 需 求 分 析 工 作 的 ， 应 与 外 部 机 构 签 订 保 密 协 议 。 二 、 安 全 需 求 分 析 的 主 要 步 骤 二 、 安 全 需 求 分 析 的 主 要 步 骤 安 全 需 求 分 析 主 要 步 骤 包 括 明 确 安 全 需 求 主 要 输 入 、 建 立 安 全 需 求 模 型 、 编 制 安 全 需 求 分 析 报 告 、 安 全 需 求 评 审 以 及 安 全 需 求 分 析 过 程 管 理 等 。
1 、 明 确 安 全 需 求 的 主 要 输 入 、 明 确 安 全 需 求 的 主 要 输 入 企 业 首 先 明 确 开 展 安 全 需 求 分 析 的 主 要 输 入 因 素 ， 根 据 主 要 输 入 启 动 安 全 需 求 分 析 工 作 。 安 全 需 求 分 析 的 主 要 输 入 包 括 外 部 输 入 和 内 部 输 入 两 个 方 面 。 （ （ 1 ） 外 部 输 入 ） 外 部 输 入 外 部 输 入 一 般 指 国 家 或 企 业 所 属 行 业 出 台 的 网 络 安 全 相 关 政 策 、 规 划 、 法 律 法 规 、 推 荐 性 或 强 制 性 的 标 准 规 范 等 ， 如 《 网 络 安 全 法 》 、 《 数 据 安 全 法 》 、 等 保 2 . 0 系 列 标 准 等 。 另 外 ， 企 业 因 国 际 化 经 营 或 海 外 上 市 等 ， 所 在 国 家 或 者 地 区 的 相 关 网 络 安 全 政 策 、 法 律 法 规 、 推 荐 性 或 强 制 性 标 准 规 范 ， 网 络 安 全 的 国 际 化 标 准 规 范 等 也 是 外 部 输 入 一 部 分 ， 如 I S O 2 7 0 0 1 。 （ （ 2 ） 内 部 输 入 ） 内 部 输 入 内 部 输 入 一 般 指 企 业 信 息 系 统 面 临 的 一 些 特 殊 安 全 问 题 而 导 致 的 安 全 需 求 ， 也 包 括 企 业 自 身 的 内 部 安 全 基 线 所 提 出 的 要 求 。 企 业 应 随 时 关 注 外 部 和 内 部 输 入 变 化 导 致 的 安 全 需 求 变 更 ， 建 立 外 部 和 内 部 安 全 需 求 输 入 的 跟 踪 矩 阵 机 制 。 2 、 建 立 安 全 需 求 模 型 、 建 立 安 全 需 求 模 型 可 通 过 采 用 文 字 、 图 形 化 、 表 格 化 、 公 式 化 的 方 式 ， 开 展 安 全 需 求 分 析 ， 对 安 全 需 求 进 行 可 视 化 描 述 。 可 从 安 全 合 规 和 风 险 管 理 两 个 角 度 开 展 安 全 需 求 分 析 。 在 本 文 第 三 章 将 重 点 阐 述 安 全 需 求 分 析 的 主 要 方 法 。 3 、 编 制 安 全 需 求 分 析 报 告 、 编 制 安 全 需 求 分 析 报 告 整 理 安 全 需 求 分 析 过 程 文 档 ， 编 制 安 全 需 求 分 析 报 告 。 安 全 需 求 分 析 报 告 是 企 业 后 续 开 展 网 络 安 全 建 设 、 运 行 与 保 障 等 工 作 的 依 据 。 安 全 需 求 分 析 报 告 一 般 包 括 概 述 ， 基 本 原 则 ， 工 作 要 求 ， 依 据 ， 网 络 安 全 和 信 息 化 现 状 描 述 ， 面 临 的 安 全 风 险 和 挑 战 描 述 ， 采 用 的 安 全 需 求 工 具 描 述 ， 安 全 需 求 列 表 ， 安 全 需 求 分 析 的 实 施 组 织 和 时 间 以 及 安 全 需 求 变 更 记 录 等 内 容 。
4 、 安 全 需 求 评 审 、 安 全 需 求 评 审 企 业 组 织 安 全 管 理 部 门 、 业 务 和 使 用 部 门 、 专 家 等 共 同 对 安 全 需 求 进 行 评 审 ， 做 好 评 审 记 录 ， 并 按 照 评 审 意 见 对 安 全 需 求 分 析 报 告 进 行 修 改 。 评 审 内 容 一 般 包 括 ： （ 1 ） 网 络 安 全 现 状 分 析 是 否 准 确 到 位 ； （ 2 ） 安 全 需 求 是 否 满 足 网 络 安 全 相 关 政 策 、 法 律 法 规 、 标 准 规 范 等 ； （ 3 ） 安 全 需 求 分 析 内 容 是 否 全 面 ； （ 4 ） 发 生 安 全 需 求 变 更 处 理 是 否 合 理 、 变 更 方 案 是 否 可 行 等 。 5 、 安 全 需 求 分 析 过 程 管 理 、 安 全 需 求 分 析 过 程 管 理 企 业 建 立 对 安 全 需 求 分 析 过 程 的 常 态 化 管 理 机 制 ， 对 安 全 需 求 的 输 入 、 变 更 、 过 程 监 控 等 进 行 常 态 化 管 理 。 当 安 全 需 求 发 生 变 更 时 ， 针 对 每 一 次 变 更 ， 遵 循 同 样 的 变 更 程 序 ， 即 相 同 的 文 字 报 告 、 相 同 的 管 理 办 法 、 相 同 的 监 控 过 程 。 三 、 安 全 需 求 分 析 的 主 要 方 法 三 、 安 全 需 求 分 析 的 主 要 方 法 前 面 我 们 谈 到 了 安 全 需 求 分 析 的 主 要 步 骤 ， 接 下 来 我 们 重 点 阐 述 一 下 安 全 需 求 分 析 的 主 要 方 法 。 1 、 从 安 全 合 规 角 度 开 展 需 求 分 析 、 从 安 全 合 规 角 度 开 展 需 求 分 析 安 全 合 规 是 指 企 业 开 展 网 络 安 全 保 护 工 作 要 符 合 国 家 或 行 业 出 台 的 相 关 网 络 安 全 政 策 、 规 划 、 法 律 法 规 、 推 荐 性 或 强 制 性 的 标 准 规 范 等 。 如 涉 及 国 际 化 经 营 或 海 外 上 市 等 ， 还 应 符 合 所 在 国 家 或 者 地 区 的 相 关 网 络 安 全 政 策 、 法 律 法 规 、 推 荐 性 或 强 制 性 标 准 规 范 ， 网 络 安 全 的 国 际 化 标 准 规 范 等 。 如 果 企 业 内 部 有 网 络 安 全 基 线 的 ， 从 安 全 合 规 角 度 开 展 安 全 需 求 分 析 时 也 应 一 并 考 虑 。 接 下 来 我 们 来 谈 谈 如 何 从 安 全 合 规 角 度 开 展 安 全 需 求 分 析 。 （ （ 1 ） 确 定 范 围 和 边 界 ） 确 定 范 围 和 边 界 在 开 始 安 全 合 规 需 求 分 析 之 前 ， 应 首 先 明 确 信 息 系 统 的 网 络 安 全 保 护 等 级 、 范 围 和 边 界 。 涉 及 多 个 信 息 系 统 的 ， 应 明 确 各 自 范 围 和 边 界 。 通 过 查 阅 资 料 或 调 查 的 方 式 ， 了 解 信 息 系 统 的 业 务 应 用 、 流 程 等 基 本 情 况 。 （ （ 2 ） 以 网 络 安 全 等 级 保 护 制 度 为 主 ， 开 展 安 全 合 规 需 求 分 析 ） 以 网 络 安 全 等 级 保 护 制 度 为 主 ， 开 展 安 全 合 规 需 求 分 析 根 据 信 息 系 统 的 网 络 安 全 保 护 等 级 ， 从 《 信 息 安 全 技 术   网 络 安 全 等 级 保 护 基 本 要 求 》 （ G B / T   2 2 2 3 9 - 2 0 1 9 ） 中 选 择 相 应 等 级 的 安 全 基 本 要 求 ， 进 行 安 全 差 距 分 析 ， 形 成 基 本 安 全 需 求 。 以 等 级 保 护 第 三 级 为 例 ， 企 业 可 参 照 下 表 ， 进 行 网 络 安 全 等 级 保 护 第 三 级 合 规 差 距 分 析 。


注 1 ： 本 表 只 列 出 网 络 安 全 保 护 第 三 级 的 基 本 安 全 控 制 点 名 称 。
注 2 ： “ 符 合 情 况 ” 列 选 填 不 符 合 、 部 分 符 合 、 符 合 。 注 3 ： 当 “ 符 合 情 况 ” 列 选 填 部 分 符 合 或 不 符 合 时 ， “ 差 距 描 述 ” 列 填 写 部 分 符 合 或 不 符 合 的 情 况 说 明 。 注 4 ： “ 备 注 ” 中 的 “ 云 计 算 ” 表 示 等 级 保 护 三 级 针 对 云 计 算 个 性 安 全 保 护 需 求 提 出 的 安 全 扩 展 要 求 ； “ 移 动 互 联 ” 表 示 等 级 保 护 三 级 针 对 移 动 互 联 个 性 安 全 保 护 需 求 提 出 的 安 全 扩 展 要 求 ； “ 物 联 网 ” 表 示 等 级 保 护 三 级 针 对 物 联 网 个 性 安 全 保 护 需 求 提 出 的 安 全 扩 展 要 求 ； “ 工 控 ” 表 示 等 级 保 护 三 级 针 对 工 业 控 制 个 性 安 全 保 护 需 求 提 出 的 安 全 扩 展 要 求 。 企 业 所 属 行 业 领 域 有 网 络 安 全 等 级 保 护 规 范 性 文 件 的 ， 还 应 按 照 行 业 网 络 安 全 等 级 保 护 规 范 性 文 件 ， 进 行 安 全 合 规 差 距 分 析 ， 安 全 合 规 差 距 分 析 方 法 如 上 所 述 。 （ （ 3 ） 按 照 其 他 安 全 合 规 类 要 求 或 规 范 ， 开 展 安 全 合 规 差 距 分 析 ） 按 照 其 他 安 全 合 规 类 要 求 或 规 范 ， 开 展 安 全 合 规 差 距 分 析 企 业 自 身 有 网 络 安 全 基 线 的 ， 还 应 对 标 企 业 自 身 的 网 络 安 全 基 线 ， 进 行 安 全 合 规 差 距 分 析 。 例 如 ： — — 某 企 业 建 立 了 《 X X X 系 统 安 全 基 线 》 ， 针 对 所 有 网 络 设 备 、 安 全 设 备 、 数 据 库 、 操 作 系 统 （ 如 U N I X / L i n u x 、 W i n d o w s 、 X X X 国 产 化 操 作 系 统 等 ） 、 应 用 软 件 （ 如 I I S 、 A p a c h e 、 T o m c a t 等 ） 提 出 了 安 全 配 置 要 求 ， 在 进 行 安 全 需 求 分 析 时 ， 某 企 业 应 对 标 《 X X X 系 统 安 全 基 线 》 进 行 安 全 合 规 差 距 分 析 。 安 全 合 规 差 距 分 析 方 法 如 上 所 述 。 企 业 因 国 际 化 经 营 或 海 外 上 市 等 ， 还 应 按 照 所 在 国 家 或 者 地 区 的 相 关 网 络 安 全 政 策 、 法 律 法 规 、 推 荐 性 或 强 制 性 标 准 规 范 （ 如 P C I   D S S   3 . 0 第 三 方 支 付 行 业 数 据 安 全 标 准 、 S O X 法 案 等 ） 等 开 展 安 全 合 规 差 距 分 析 。 如 企 业 有 关 键 信 息 基 础 设 施 ， 还 应 按 照 我 国 现 阶 段 提 出 的 关 键 信 息 基 础 设 施 保 护 的 相 关 政 策 、 法 律 法 规 要 求 等 进 行 安 全 合 规 差 距 分 析 。 2 、 从 风 险 管 理 角 度 开 展 需 求 分 析 、 从 风 险 管 理 角 度 开 展 需 求 分 析 安 全 合 规 体 系 是 构 建 安 全 保 障 体 系 ， 保 证 业 务 稳 定 、 持 续 运 行 的 基 础 ， 另 一 方 面 ， 网 络 安 全 也 是 一 个 持 续 的 、 动 态 的 风 险 管 理 过 程 。 基 于 此 ， 企 业 除 应 开 展 安 全 合 规 差 距 分 析 ， 明 确 安 全 合 规 需 求 外 ， 还 应 围 绕 安 全 风 险 管 理 ， 识 别 威 胁 、 脆 弱 性 、 已 有 安 全 控 制 措 施 及 主 要 安 全 风 险 点 ， 确 定 风 险 处 置 的 优 先 级 ， 形 成 特 殊 安 全 需 求 ， 进 而 在 后 续 采 取 相 应 的 安 全 控 制 措 施 ， 确 保 将 安 全 风 险 控 制 在 可 接 受 的 范 围 。 企 业 可 参 照 G B / T   2 0 9 8 4 开 展 网 络 安 全 风 险 分 析 。 在 完 成 了 业 务 识 别 、 资 产 识 别 、 威 胁 识 别 、 脆 弱 性 识 别 ， 以 及 对 已 有 安 全 措 施 确 认 后 ， 应 采 用 适 当 的 方 法 与 工 具 确 定
威 胁 利 用 脆 弱 性 导 致 安 全 事 件 发 生 的 可 能 性 。 综 合 安 全 事 件 所 作 用 的 资 产 价 值 及 脆 弱 性 的 严 重 程 度 ， 判 断 安 全 事 件 造 成 的 损 失 对 信 息 系 统 的 影 响 ， 即 安 全 风 险 ， 并 根 据 一 定 的 风 险 计 算 原 理 对 风 险 进 行 合 理 量 化 。 企 业 可 根 据 业 务 重 要 性 和 风 险 严 重 程 度 ， 结 合 自 身 风 险 承 受 能 力 来 确 定 可 接 受 的 风 险 级 别 ， 表 示 为 风 险 容 忍 度 ， 并 根 据 风 险 容 忍 度 确 定 关 键 业 务 链 的 风 险 处 置 的 优 先 级 ， 并 据 此 选 择 和 制 定 网 络 安 全 风 险 管 理 计 划 。 企 业 可 根 据 对 关 键 业 务 的 潜 在 影 响 选 择 不 同 的 方 法 来 处 理 风 险 ， 包 括 缓 解 风 险 、 转 移 风 险 、 避 免 风 险 和 接 受 风 险 。 企 业 可 参 考 下 表 根 据 风 险 分 析 的 结 果 描 述 特 殊 安 全 需 求 。 小 结 小 结 企 业 要 做 好 网 络 安 全 保 障 工 作 ， 不 仅 要 考 虑 安 全 合 规 体 系 建 设 ， 更 应 关 注 自 身 存 在 的 网 络 安 全 风 险 ， 并 采 取 控 制 措 施 ， 将 风 险 控 制 在 可 接 受 的 范 围 。 以 上 是 笔 者 关 于 如 何 规 范 有 序 的 开 展 网 络 安 全 需 求 分 析 的 一 些 想 法 ， 如 有 不 足 的 地 方 ， 敬 请 斧 正 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理