基于等级保护的多级互联信息系统安全策略研究

摘要：信息安全等级保护是国家信息安全保障工作的基本制度、基本策略、基本方法，它的全面实施对多级互联信息系统的安全问题提出了新挑战。本文在基于等级保护的信息系统体系结构的基础上，研究了多级互联信息系统的安全策略问题，并且探讨了策略制定时应遵循的原则，这对于全面推开信息系统等级保护工作，具有重要的指导意义。

关键词：等级保护 信息系统 安全策略

中图分类号：TP391.41 文献标识码：A 文章编号：1007-9416（2015）12-0000-00

随着我国信息化建设的高速发展，信息技术水平的日益提高，众多单位、组织都建立了自己的信息系统，以充分利用各类网络信息资源。与此同时，各种非法入侵和盗窃、计算机病毒、拒绝服务攻击、机密数据被篡改和窃取、网络瘫痪等安全问题也时刻威胁着我国网络的安全。因此，维护网络信息安全的任务异常艰巨、繁重。信息安全等级保护制度的建立，可以有效地解决我国网络信息安全面临的威胁及存在的问题。

随着信息安全等级保护工作的深入开展，不同等级信息系统之间的互联、互通、互操作是当前研究的热点和难点，其中，如何制定有效的安全策略，确保信息在多级互联信息系统间安全流通，是亟待解决的关键问题。

1信息安全等级保护

信息安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

等级保护环境下的信息系统一般由安全计算环境、安全区域边界、安全通信网络和安全管理中心构成。其中，安全计算环境是对信息系统的信息进行存储、处理的相关部件；安全区域边界是对信息系统的各个区域之间实现连接并实施访问控制的相关部件；安全通信网络是保障信息在系统内安全传输及安全策略实施的相关部件；安全管理中心是对信息系统的安全策略及安全计算环境、安全区域边界和安全通信网络上的安全机制实施统一管理的平台。

2多级互联信息系统

我国信息安全等级保护标准将信息系统按照安全保护能力划分为五个安全等级，一些重要、大型的信息系统中可能存在多个不同等级的子系统，不同等级信息系统之间要实现可信互联，由于信任体系和运行模式不尽相同，互联互通会导致安全风险的进一步增加，尤其是低等级信息系统可能通过恶意授权给高等级信息系统带来权限失控风险。

因此，需要建立一个总体的安全管理中心，将不同安全等级的子系统连接在一起，通过协同合作，实现特定的功能服务，这就是多级互联信息系统。在多级互联信息系统中，各个子系统和互联系统本身，都需要实施信息分级分类保护，从而确保系统间的交互协作及信息流动，保障系统的安全。

本文将在信息安全等级保护的要求下，研究多级互联信息系统安全策略的制定，从而较好地解决多级互联系统的安全风险问题，确保系统安全。

3多级互联信息系统安全策略的制定

安全策略是为规范网络安全防护工作，保证网络正常使用、发挥网络效能所必须强制执行的一系列要求、规范或操作。其主要作用是针对被保护对象面临的主要威胁，围绕安全防护目标，提出网络安全防护具体要求，指导安全管理行动。确定并实施网络安全策略是对网络进行有效安全管理的基础和依据，是网络信息系统安全保障的核心和起点，是实现网络安全管理和技术措施的前提。因此，为了确保多级互联信息系统安全有效地运行，制定明确和合理的安全策略就成为了关键。

3.1指导思想

根据不同应用类别和安全等级防护目标的需求，给出安全防护策略的框架，研究制定各类网络相应的安全防护策略，并保证制定的安全策略具有较高的规范性、完备性和有效性。安全策略的制定与实施应当遵循“局部策略符合全局策略、下级策略符合上级策略”的原则。同时，随着信息技术的发展以及系统的升级、调整，安全策略也应该随之进行重新评估和制定，随时保持策略与安全目标的一致性，确保信息系统安全有效地运行。

3.2基本原则

基于以上思想，制定多级互联信息系统安全策略时应遵循以下原则：

（1）统一领导，分级负责。针对系统、数据、用户等保护对象，按照同类、同级集中的原则进行等级保护级别的划分，确定安全保护等级对应的适用范围及具体组织实施单位。（2）广域监察，局域管控。依托总体安全管理中心，建立多级互联系统广域安全监察机制，监督、检查各安全域网络节点和用户网络安全策略的配置执行情况，监测重要骨干网络流量，预警网络攻击和入侵行为，形成网络安全实时态势；在各安全域网络节点和用户网络建立局域安全管控机制，依托各级安全管理中心，对网络节点和用户网络的安全设备、主机系统的安全策略和安全事件进行集中统一管理，实现网内各类资源的可控可管，提高系统整体防护能力和维护管理效率。（3）分区分域，适度防护。根据等级保护的思想，在划分的安全域中，一方面要遵循等级保护要求，加强主动防范措施；另一方面要针对各安全域业务特点的保护强度，在不影响系统整体安全性的前提下，进一步对各域的安全策略进行设置，并确保这些策略的相对性、独立性及关联性。（4）区域自治，联防联动：各安全域根据总体安全管理中心下发的安全策略，结合自身特定的安全需求，实施本区域内的安全防护和管理。依托总体安全管理中心，建立广域网上下一体的预警响应和联防联动机制；依托各级安全管理中心，建立局域网内各安全设备之间的检测响应和联防联动机制；并在各级安全管理中心、重要骨干节点、用户网络之间建立安全事件响应和应急协调机制。

4结语

信息安全等级保护是提高信息安全保障能力，维护国家安全和社会安全，促进信息化健康发展的基本政策。在等级保护环境下，多级互联信息系统复杂的环境特性对安全策略的制定提出了新的要求，如何制定有效的多级互联系统安全策略，确保信息的安全流通，是亟需解决的关键问题之一。本文在基于等级保护的信息系统体系结构的基础上，研究了多级互联信息系统的安全策略问题，提出了相应的策略制定原则，这对于全面推行信息安全等级保护制度，具有重要的意义。