企業(yè)信息安全基礎(chǔ)架構(gòu)

1、企業(yè)信息安全基礎(chǔ)架構(gòu)一概述以下是人們需要了解的有關(guān)企業(yè)信息安全體系結(jié)構(gòu)以及如何開始實(shí)施 計(jì)劃的信息。企業(yè)安全的一大趨勢(shì)是創(chuàng)建和采用企業(yè)信息安全體系結(jié)構(gòu)。但是，關(guān)于這個(gè)主題的大部分內(nèi)容都非常含糊不清，可能讓IT專業(yè)人員想知道企業(yè)信息安全架構(gòu)究竟是什么，更不用說如何實(shí)現(xiàn)它了。在這種情況下，一些想嘗 試簡(jiǎn)化一些事情，以幫助企業(yè)了解構(gòu)成企業(yè)信息安全體系結(jié)構(gòu)的內(nèi)容以及 如何將其付諸實(shí)施。要了解企業(yè)信息安全體系結(jié)構(gòu)是什么以及它為何有益，有必要退后一 步，檢查傳統(tǒng)上在企業(yè)中完成IT安全的方式。從歷史上看，企業(yè)安全就是 為了使組織像IT預(yù)算所允許的那樣安全。IT專業(yè)人員將使用各種政策、程 序和產(chǎn)品來強(qiáng)化組織以

2、應(yīng)對(duì)感知到的威脅（或響應(yīng)監(jiān)管要求）。企業(yè)信息安全體系結(jié)構(gòu)試圖直接使IT部門的安全方法與組織的業(yè)務(wù)需求保 持一致。這種方法有兩個(gè)主要的好處。首先，實(shí)施企業(yè)信息安全架構(gòu)迫使IT部門將重點(diǎn)放在對(duì)業(yè)務(wù)影響最大 的安全挑戰(zhàn)上。它不再追求最新的安全趨勢(shì)，而是專注于對(duì)業(yè)務(wù)最重要的問 題。其次，企業(yè)信息安全架構(gòu)不僅僅涉及決定購買哪些安全產(chǎn)品或者要關(guān) 注哪些安全挑戰(zhàn)。該模型與業(yè)務(wù)緊密相連。它成為我們?nèi)绾巫鍪隆钡年P(guān)鍵部 分。這種思維方式強(qiáng)調(diào)了將安全作為業(yè)務(wù)決策過程一部分的權(quán)力。二、沒有一個(gè)萬能的解決方案當(dāng)然，這就提出了一個(gè)問題，即組織如何著手實(shí)施企業(yè)信息安全架構(gòu)。 要理解流程的重要一點(diǎn)是，“企業(yè)信息安全架構(gòu)是一個(gè)

3、有點(diǎn)通用的術(shù)語。沒 有一個(gè)單一的、固定的流程來定義組織實(shí)現(xiàn)模型的意義。那么，如果沒有明確的標(biāo)準(zhǔn)，安全意識(shí)組織如何實(shí)施企業(yè)信息安全架構(gòu) 呢?幸運(yùn)的是，有幾個(gè)框架可用。一些比較流行的框架包括 SABSA、COBIT 和 TOGAF。為了描述這些框架，需要花費(fèi)時(shí)間深入研究一些完全不相關(guān)的東西。如 果已經(jīng)在IT工作了一段時(shí)間，人們可能聽說過開放式系統(tǒng)互聯(lián) (OSI)模型。 開放式系統(tǒng)互聯(lián)(OSI)模模型定義構(gòu)成網(wǎng)絡(luò)堆棧的層。這些層包括應(yīng)用程序、 演示、會(huì)話、傳輸、網(wǎng)絡(luò)、數(shù)據(jù)鏈接和物理層。每個(gè)圖層都有一個(gè)特定的工 作要做，每個(gè)圖層都設(shè)計(jì)為與它上面的圖層和它下面的圖層接口。一般來說，前面提到的框架也采用分

4、層方法來定義安全體系結(jié)構(gòu)。例如，SABSA框架包括諸如場(chǎng)景、概念、邏輯、物理和組件安全體系結(jié)構(gòu)之類的 層。這些層共同構(gòu)成整體安全架構(gòu)?？偟膩碚f，各種框架提供了諸如架構(gòu)圖，流程圖和文檔之類的東西。這 些資源可用于驅(qū)動(dòng)組織內(nèi)企業(yè)信息安全體系結(jié)構(gòu)的實(shí)現(xiàn)。請(qǐng)記住，沒有規(guī)則規(guī)定一個(gè)組織必須嚴(yán)格遵守其中一個(gè)框架。 一個(gè)組織 可能會(huì)選擇設(shè)計(jì)自己的體系結(jié)構(gòu)，或者創(chuàng)建兩個(gè)或多個(gè)可用框架的混搭。無論組織如何選擇接近其企業(yè)信息安全體系結(jié)構(gòu)，目標(biāo)始終應(yīng)該是將 組織的安全工作與關(guān)鍵業(yè)務(wù)目標(biāo)聯(lián)系起來。例如，如果企業(yè)要聲明其在線商 店必須始終可供客戶使用，那么該流程的下一步將是識(shí)別可能影響該資源 可用性的風(fēng)險(xiǎn)。一些風(fēng)險(xiǎn)與安全性無關(guān)，而是以其他方式推動(dòng)IT決策。例如，組織數(shù) 據(jù)中心的電源故障可能會(huì)影響在線商店的可用性，因此 IT部門需要制定控 制風(fēng)險(xiǎn)的計(jì)劃。同樣，拒絕服務(wù)攻擊可能會(huì)阻止客戶訪問在線商店