鐵路行業(yè)信息安全論文

1、鐵路行業(yè)信息安全論文 1鐵路信息安全管理面臨的挑戰(zhàn) 鐵路行業(yè)信息安全檢查工作一直都作為一個(gè)常態(tài)化的管理機(jī)制運(yùn)行，在一定時(shí)間間隔內(nèi)定期或不定期開展，但大部分單位對(duì)檢查工作認(rèn)識(shí)不足，需要?jiǎng)佑眉夹g(shù)力量對(duì)系統(tǒng)進(jìn)行掃描、滲透并部署采集設(shè)備時(shí)，各單位普遍有畏難情緒，運(yùn)行維護(hù)部門又擔(dān)心會(huì)影響正常的業(yè)務(wù)使用?？傮w來(lái)看，檢查工作本身所能提供的信息有限，從而無(wú)法真實(shí)并準(zhǔn)確反應(yīng)單位信息系統(tǒng)及信息安全現(xiàn)狀，也就無(wú)法對(duì)系統(tǒng)進(jìn)行有針對(duì)性的信息安全加固及整改。. 2應(yīng)對(duì)措施 建立良好的信息安全管理模式是鐵路信息系統(tǒng)安全穩(wěn)定運(yùn)行的根本保障，有利于鐵路行業(yè)信息系統(tǒng)的發(fā)展。針對(duì)上述鐵路信息安全管理面臨的挑戰(zhàn)，建立鐵路行業(yè)信息安全

2、管理新模式，結(jié)合鐵路行業(yè)現(xiàn)有組織管理架構(gòu)，借鑒已有的信息安全管理制度，明確信息安全工作的地位、目標(biāo)、原則以及策略，從組織管理、制度及應(yīng)急管理、運(yùn)行維護(hù)管理和等級(jí)保護(hù)管理幾個(gè)方面來(lái)深入考慮和分析，采用體系化管理方式保障信息系統(tǒng)的安全穩(wěn)定運(yùn)行。 2.1健全組織管理機(jī)構(gòu) 信息安全組織管理方面，建立并逐步健全一套自上而下的安全組織機(jī)構(gòu)，成立鐵路信息系統(tǒng)安全管理領(lǐng)導(dǎo)機(jī)構(gòu)，作為系統(tǒng)安全管理的常設(shè)組織。同時(shí)，采用分層結(jié)構(gòu)，以適應(yīng)鐵路行業(yè)鐵路總公司、鐵路局、站段3級(jí)管理機(jī)制。鐵路總公司領(lǐng)導(dǎo)機(jī)構(gòu)作為全路信息系統(tǒng)安全管理的常設(shè)領(lǐng)導(dǎo)機(jī)構(gòu)，負(fù)責(zé)制定全路信息系統(tǒng)安全管理制度及辦法，發(fā)布鐵路信息系統(tǒng)安全防護(hù)技術(shù)的標(biāo)準(zhǔn)，制

3、定安全管理制度。區(qū)域安全管理機(jī)構(gòu)主要職責(zé)有：負(fù)責(zé)各鐵路局的信息安全管理中心的日常管理工作，及時(shí)與安全專家協(xié)商討論安全執(zhí)行方案，執(zhí)行安全響應(yīng)中心制定的具體安全策略，定期向上級(jí)匯報(bào)信息安全管理相關(guān)工作，下設(shè)多個(gè)安全管理決策小組和管理執(zhí)行小組，管理執(zhí)行小組主要負(fù)責(zé)監(jiān)督和協(xié)調(diào)鐵路局下設(shè)各車站的信息安全管理執(zhí)行工作。車站級(jí)信息安全執(zhí)行分組包括安全監(jiān)督員、安全檢查員、安全執(zhí)行員3類安全工作人員。 2.2強(qiáng)化制度建設(shè)及工作流程管理 2.2.1管理制度 鐵路信息系統(tǒng)安全不僅要強(qiáng)化系統(tǒng)建設(shè)，更要做好內(nèi)部安全管理建設(shè)，具體要做好以下工作： （1）建立專門的安全防御組織：針對(duì)鐵路信息系統(tǒng)整體安全，鐵路總公司應(yīng)成立專

4、門的機(jī)構(gòu)，負(fù)責(zé)網(wǎng)絡(luò)的安全管理和應(yīng)急響應(yīng)。鐵路局、基層站段相應(yīng)的部門，對(duì)鐵路基礎(chǔ)網(wǎng)實(shí)施自頂向下的實(shí)時(shí)監(jiān)控與管理。 （2）建立健全安全保密制度：各部門應(yīng)制定嚴(yán)格的安全保密條例，杜絕不必要的人員接觸和了解鐵路核心網(wǎng)絡(luò)設(shè)備與技術(shù)，防止敏感信息泄露。對(duì)有權(quán)了解、處理關(guān)鍵信息的內(nèi)部人員制定更嚴(yán)格、更詳細(xì)的安全責(zé)任制度，明確個(gè)人在信息安全方面應(yīng)該承擔(dān)的職責(zé)以及發(fā)生責(zé)任事故后的處罰。 （3）建立健全數(shù)據(jù)安全保護(hù)措施：針對(duì)鐵路核心業(yè)務(wù)系統(tǒng)的關(guān)鍵數(shù)據(jù)，需要建立完備的本地和異地備份制度，同時(shí)，采用雙機(jī)備份、物理隔離的技術(shù)方案，定時(shí)增量備份。 （4）定期實(shí)施漏洞掃描和系統(tǒng)補(bǔ)丁升級(jí)：系統(tǒng)管理人員需定期對(duì)網(wǎng)絡(luò)進(jìn)行掃描，以

5、檢測(cè)和評(píng)估網(wǎng)絡(luò)漏洞。檢測(cè)范圍包括所有的網(wǎng)絡(luò)設(shè)備和終端設(shè)備，同時(shí)掃描網(wǎng)絡(luò)內(nèi)所有主機(jī)系統(tǒng)的配置及安全漏洞。 （5）定期實(shí)施計(jì)算機(jī)安全檢查：針對(duì)處理關(guān)鍵數(shù)據(jù)的計(jì)算機(jī)，應(yīng)建立完善的日志，記錄所有與安全有關(guān)的事件。安全日志不僅要完整的記錄安全事件，而且需要具備防篡改、抗抵賴功能。 2.2.2標(biāo)準(zhǔn)制度 以信息安全相關(guān)管理和技術(shù)規(guī)范及不同層次的信息安全制度為重點(diǎn)，構(gòu)建科學(xué)嚴(yán)謹(jǐn)、有效適用、系統(tǒng)規(guī)范的信息安全管理標(biāo)準(zhǔn)制度體系。制定相應(yīng)的技術(shù)標(biāo)準(zhǔn)、作業(yè)辦法等，明確工作標(biāo)準(zhǔn)，流程，落實(shí)管理責(zé)任，規(guī)范作業(yè)行為。按照信息安全風(fēng)險(xiǎn)管理的要求，對(duì)各項(xiàng)管理規(guī)章制度進(jìn)行全面的清理和完善，不斷加強(qiáng)鐵路信息安全標(biāo)準(zhǔn)制度體系建設(shè)，使

6、鐵路信息安全風(fēng)險(xiǎn)管理工作制度化、規(guī)范化和標(biāo)準(zhǔn)化。 2.2.3工作流程管理 信息安全管理流程包括信息安全培訓(xùn)工作流程、信息安全運(yùn)行維護(hù)工作流程、信息安全風(fēng)險(xiǎn)控制流程、信息安全應(yīng)急處置流程、信息安全監(jiān)督檢查與改進(jìn)流程等各項(xiàng)管理工作流程。應(yīng)根據(jù)工作實(shí)際情況，建立健全、持續(xù)改進(jìn)、推廣應(yīng)用先進(jìn)的信息安全管理工作流程，使鐵路信息安全管理和運(yùn)行維護(hù)工作專業(yè)化、標(biāo)準(zhǔn)化、規(guī)范化。 2.3建立信息安全運(yùn)行維護(hù)管理體系 2.3.1安全風(fēng)險(xiǎn)管理 鐵路信息系統(tǒng)安全管理中心采用風(fēng)險(xiǎn)評(píng)估的方法，分析和評(píng)估系統(tǒng)的風(fēng)險(xiǎn)源和安全威脅源，并根據(jù)各類信息資產(chǎn)的重要程度和價(jià)值，選擇適當(dāng)?shù)目刂拼胧p緩風(fēng)險(xiǎn)。鐵路局要組織建立安全風(fēng)險(xiǎn)管理體

7、系，進(jìn)行信息資產(chǎn)風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理。從理論上，風(fēng)險(xiǎn)只能降低或減少而不能完全消除。選擇控制措施的原則是既能使鐵路信息系統(tǒng)受到與其價(jià)值和保密等級(jí)相符的保護(hù)，將其所受的風(fēng)險(xiǎn)降低到可接受的水準(zhǔn)，又能使所需要的費(fèi)用在預(yù)算范圍之內(nèi)，使鐵路行業(yè)能夠保持良好的競(jìng)爭(zhēng)力和成功運(yùn)作的狀態(tài)。另外，系統(tǒng)的風(fēng)險(xiǎn)是動(dòng)態(tài)的，風(fēng)險(xiǎn)評(píng)估活動(dòng)應(yīng)定期進(jìn)行，特別是在系統(tǒng)的核心功能及技術(shù)發(fā)生重大變化和內(nèi)外環(huán)境發(fā)生重大變化時(shí)，風(fēng)險(xiǎn)評(píng)估應(yīng)重新進(jìn)行。 2.3.2安全運(yùn)行維護(hù) 鐵路信息系統(tǒng)安全運(yùn)行維護(hù)管理依托安全管理中心實(shí)現(xiàn)系統(tǒng)的安全運(yùn)行維護(hù)。鐵路總公司信息系統(tǒng)安全管理中心運(yùn)行維護(hù)平臺(tái)可實(shí)現(xiàn)對(duì)系統(tǒng)中的網(wǎng)絡(luò)、主機(jī)、安全系統(tǒng)、數(shù)據(jù)庫(kù)、中間件、存儲(chǔ)備

8、份設(shè)備和應(yīng)用系統(tǒng)的可視、可控、可管理，協(xié)助運(yùn)行維護(hù)人員監(jiān)控系統(tǒng)和及時(shí)發(fā)現(xiàn)問(wèn)題。各鐵路局安全管理部門運(yùn)行維護(hù)人員應(yīng)通過(guò)使用運(yùn)行維護(hù)平臺(tái)，積極開展運(yùn)行維護(hù)管理工作，實(shí)現(xiàn)鐵路局安全監(jiān)管監(jiān)察部門與鐵路總公司安全運(yùn)行維護(hù)工作的有效連接。對(duì)各地區(qū)安全管理部門能夠處理的事件，按照路局區(qū)域內(nèi)管理流程執(zhí)行，并定時(shí)向鐵路總公司安全管理中心上報(bào)故障情況并提交運(yùn)行維護(hù)處理單。 2.3.3安全應(yīng)急響應(yīng) 鐵路信息系統(tǒng)安全應(yīng)急響應(yīng)體系的建立應(yīng)做好以下5個(gè)階段工作。 （1）保護(hù)階段：制定應(yīng)急反應(yīng)工作流程計(jì)劃、確定預(yù)警和報(bào)警的方法、建立備份的體系和流程、建立安全的系統(tǒng)、進(jìn)行應(yīng)急反應(yīng)事件處理的預(yù)演。 （2）預(yù)警與報(bào)警：識(shí)別和發(fā)現(xiàn)

9、各種安全的緊急事件。在緊急情況發(fā)生前，產(chǎn)生安全的預(yù)警報(bào)告，在緊急情況發(fā)生時(shí)，產(chǎn)生安全警報(bào)給應(yīng)急反應(yīng)中心。應(yīng)急反應(yīng)中心將根據(jù)事件的級(jí)別，采取相應(yīng)措施。 （3）牽制與反饋：在確認(rèn)緊急事件發(fā)生的情況下，應(yīng)急反應(yīng)中心將根據(jù)預(yù)先制定的反應(yīng)計(jì)劃，進(jìn)入應(yīng)急反應(yīng)流程。同時(shí)，應(yīng)急反應(yīng)系統(tǒng)本身將根據(jù)預(yù)先制定的規(guī)則，采取相應(yīng)的措施，把緊急事件的影響降到最小。 （4）消除階段：對(duì)于系統(tǒng)內(nèi)部病毒，應(yīng)該采用最新的病毒專殺工具清除。對(duì)于系統(tǒng)的外部入侵和非法授權(quán)訪問(wèn)等，應(yīng)該通過(guò)專用的漏洞掃描工具發(fā)現(xiàn)系統(tǒng)存在哪些漏洞，然后采用相應(yīng)的手段消除漏洞安全隱患。對(duì)于入侵攻擊或超量訪問(wèn)要采用有效的攔截和限量訪問(wèn)措施，使系統(tǒng)資源處于可控范

10、圍。 （5）恢復(fù)階段：在數(shù)據(jù)或者系統(tǒng)被破壞，無(wú)法修復(fù)的情況下，應(yīng)進(jìn)行系統(tǒng)的恢復(fù)，且恢復(fù)要依據(jù)預(yù)先制定的恢復(fù)流程嚴(yán)格進(jìn)行。 2.3.4安全策略優(yōu)化 制定有效的安全策略，當(dāng)原有安全策略無(wú)法滿足現(xiàn)有系統(tǒng)的安全需求時(shí)，要結(jié)合實(shí)際情況對(duì)系統(tǒng)安全管理策略進(jìn)行調(diào)整優(yōu)化，以適應(yīng)新的安全管理制度。制定出符合鐵路信息系統(tǒng)的安全管理策略，以確保系統(tǒng)的信息安全保密性為主，采用多層次保護(hù)、最小授權(quán)、綜合保護(hù)和嚴(yán)格管理等措施。 2.3.5安全檢查審計(jì) 安全檢查審計(jì)依托安全管理平臺(tái)，通過(guò)對(duì)鐵路信息系統(tǒng)中相關(guān)信息的收集、分析和報(bào)告，判定現(xiàn)有系統(tǒng)安全控制手段的有效性，檢查系統(tǒng)的誤用和濫用行為，統(tǒng)計(jì)系統(tǒng)的安全事件，并按照安全事件

11、的影響和危害程度進(jìn)行等級(jí)劃分，從而驗(yàn)證當(dāng)前安全策略的合規(guī)性，為以后的歸納總結(jié)，安全系統(tǒng)的進(jìn)一步改善提供依據(jù)。安全管理平臺(tái)根據(jù)從專項(xiàng)的日志審計(jì)產(chǎn)品、終端審計(jì)產(chǎn)品、數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品和應(yīng)用審計(jì)產(chǎn)品中收集上來(lái)的信息進(jìn)行關(guān)聯(lián)分析，進(jìn)行審計(jì)規(guī)則匹配，發(fā)現(xiàn)違規(guī)行為并進(jìn)行告警和響應(yīng)。通過(guò)安全審計(jì)與安全管理平臺(tái)的融合，使得安全審計(jì)體系的建設(shè)與安全管理平臺(tái)的建設(shè)目標(biāo)達(dá)成了一致，有助于鐵路信息系統(tǒng)整體安全體系的形成和完善，并通過(guò)對(duì)安全事件的分析，把握系統(tǒng)安全威脅的發(fā)展趨勢(shì)，形成日?qǐng)?bào)告或周報(bào)告進(jìn)行定期安全信息通報(bào)，為系統(tǒng)的安全策略優(yōu)化提供決策性指導(dǎo)。 2.4建立等級(jí)保護(hù)管理制度 為切實(shí)做好信息安全管理工作，鐵路行業(yè)需要

12、借助等級(jí)保護(hù)這一安全抓手，將等級(jí)保護(hù)與信息安全日常管理緊密結(jié)合，將信息安全管理全面納入鐵路運(yùn)輸安全生產(chǎn)管理體系，按照“誰(shuí)主管誰(shuí)負(fù)責(zé)、誰(shuí)運(yùn)行誰(shuí)維護(hù)”和屬地化管理原則，逐級(jí)落實(shí)信息安全責(zé)任，建立地方與總公司信息化發(fā)展相適應(yīng)的信息安全監(jiān)督管理機(jī)制。同時(shí)，為了在縱向上實(shí)現(xiàn)對(duì)等級(jí)保護(hù)的控制，鐵路行業(yè)主管部門在國(guó)家文件政策指導(dǎo)下，應(yīng)制定符合本行業(yè)安全需求的等級(jí)保護(hù)行業(yè)標(biāo)準(zhǔn)、行業(yè)等級(jí)保護(hù)實(shí)施方法等文件，用以指導(dǎo)本行業(yè)的等級(jí)保護(hù)工作，保障鐵路運(yùn)輸及生產(chǎn)安全管理。 2.5建設(shè)鐵路信息安全綜合管理平臺(tái) 為保證鐵路信息安全等級(jí)保護(hù)工作的有序展開，需要建設(shè)信息安全綜合管理平臺(tái)，旨為鐵路總公司及下屬單位開展與信息安全管

13、理相關(guān)工作的綜合工作平臺(tái)，功能將覆蓋鐵路總公司及其下屬單位的信息安全管理工作的主要內(nèi)容，并支持公安部等級(jí)保護(hù)管理工作。平臺(tái)主要提供以下3類功能： （1）以信息系統(tǒng)定級(jí)、備案、整改、測(cè)評(píng)和檢查等規(guī)定步驟為主線，實(shí)現(xiàn)等級(jí)保護(hù)工作任務(wù)的下發(fā)、執(zhí)行、進(jìn)度監(jiān)控和督辦； （2）風(fēng)險(xiǎn)管理、應(yīng)急管理、安全檢查和事故通報(bào)等專項(xiàng)管理功能；（3）日常辦公的綜合管理、培訓(xùn)教育、標(biāo)準(zhǔn)管理等。 3結(jié)束語(yǔ) 鐵路行業(yè)信息安全問(wèn)題更多來(lái)源于內(nèi)部，這就不僅要在安全性技術(shù)上下功夫，而且更應(yīng)該從信息安全管理模式和方法上入手。本文從組織管理、制度及應(yīng)急管理、運(yùn)行維護(hù)管理和等級(jí)保護(hù)管理幾個(gè)方面詳細(xì)探討了如何健全和強(qiáng)化管理制度，并通過(guò)建立信息安全綜合管理平臺(tái)，實(shí)現(xiàn)信息安全工作的規(guī)范化管理，促