信息安全管理中的安全系统开发生命周期设计阶段之二

信息安全项目的另一个组成部分是安全教育、培训以及意识提升( SETA，security education、training and awareness)项目。作为CISO的责任，SETA项目是用来降低员工对安全系统造成意外破坏的一种控制措施。如上所述，员工的失误是对信息资产的最大威胁之一，所以投入各种资源来解决这个问题是很值得的。设计SETA项目的目的是用来补充已经到位的普通信息安全教育和训练项目。良好的实践要求在系统开发生命周期的实施阶段中包括用户培训。员工培训必须确保所有员工都得到了恰当的培训。

SETA项目由3个部分组成：安全教育、安全培训和安全意识。一个机构也许没有能力或者不愿意执行所有的部分，所以他们可能将这个任务外包给本地教育机构。SETA的目标是通过下面的方法来加强安全：

①增强保护系统资源的意识；②加强计算机使用者的技能和知识，使他们能更安全地完成工作；③建立必需的深入的知识体系，来设计、实施或者操作一个机构和系统的安全项目。

随着设计阶段的继续，我们把注意力转向控制机制和防卫机制的设计，以保护信息免受攻击。控制和防卫这两个词经常被混用，控制分为3类：管理控制、操作控制以及技术控制。

管理控制是由战略策划者设计并由机构的安全管理部门执行的安全过程。 他们设定了安全过程的方向以及范围，并提供详细的行动指南。管理控制专注于安全计划过程和安全项目管理的设计和实施。这类控制也同样重视风险管理和安全控制检查（在第7章和第8章有详细的讨论.）。管理控制更深入的描述了遵守法律法规的重要性及其相关内容和整个安全生命周期的维护。

操作控制用来处理机构中安全的可操作功能。它包括管理功能和低层计划， 比如说灾难恢复和事故响应计划。另外，这些控制专注于个人安全、物理安全以及对结果输入输出的保护。操作控制也涉及计划的可操作性结构，用来开发针对用户、管理员的管理教育、培训和意识提升项目。最后，它还注重于硬件和软件系统的维护和数据的完整性。

技术控制则关注那些如何设计和实施安全的战术性、技术性问题，检查和选择保护信息所需的技术。操作控制着重于某些操作层面上的问题，比如发展各种控制手段并将它们融合到机构的各种业务之中，而技术控制却把重点放在技术选择以及获取（制造或者购买）特定技术组件的细节问题上，包括逻辑访问控制（诸如识别、授权和审计）。同时，技术控制还负责用户的账户和密码使用审计的制定和实施，以保护信息在存储和传输过程中的安全，它包括资产和用户的分类，从而可以更容易地对资产和用户进行分级授权。

对于用作安全系统开发生命周期分类的扩展类别，我们加入了另一个量来反应数据存储、传输以及那些处理数据的设备的敏感性和安全优先级。这种数据分类的例子包括机密数据、内部数据以及公共数据。相反的数据分类方法是人事安全许可结构，它根据信息个体需要知道什么来确定其被授予的观察权级别。

设计阶段的另一个部分是创建基本的准备文档。IT和信息安全团体中的管理者通常被要求提供战略计划来保障该机构可以持续访问信息系统。处理攻击、 灾难或其他类型的事故有计划很多名字：业务连续性计划、灾难恢复计划、事故响应计划或者仅仅是应急计划。在大型机构中，上述计划中每一个都可能是单独的但又互相联系的计划功能，这些功能在范围、可用性和设计上都不相同。在一个小的机构中，安全管理员（或者系统管理员）可能会有一个简单的计划，由一个简单的介质备份、恢复策略和一些其他公司提供的服务构成，不幸的是很多机构都有许多无法完成的计划。

事故响应、灾难恢复以及业务连续性计划都是应急计划的组成部分。应急计划(CP，contingency planning)是一个机构遇到威胁信息资产的安全的事件时实施的所有计划，用来对事故的发生做好准备、对事故做出反应以及恢复事故发生前的状态，并且为后来恢复到正常的业务操作做好准备。机构需要制定灾难恢复计划、事故响应计划以及业务连贯性计划来做为整个应急计划的组成部分。事故响应计划(IRP，incident response planning)是一个与事故的识别、分类、响应和恢复相联系的计划程序。灾难恢复计划( DRP，Disaster recoveiy planning)是一个与对灾难的准备和从灾难中恢复相联系的计划程序，无论该灾难是自然造成的还是人为的。业务连续性计划（BCP，business continuity planning）是当灾难性事故或灾祸发生时，确保关键业务功能持续工作的计划程序，这些响应计划的关键组成部分将在第3章介绍。

随着设计阶段的进展，我们又把注意力转向了物理安全。物理安全着重于对策的设计、实施和维护，用以保护一个机构的物理资源。物理资源包括与管理信息的传输、存储和处理有关的人员、硬件以及系统组成支持元素和资源。如果一 个攻击者获得对受控资源的物理访问权，很多基于技术的控制都将遭到攻击。例如，当员工保护服务控制台失败时，运行在该计算机上的操作系统在面对攻击时会显得非常脆弱。有一些计算机系统的构造使得窃取硬盘驱动器上信息变得很容易。这样得出的结论是，在安全开发生命周期中，物理安全应该受到与逻辑安全同等的重视。有很多不错的相关文章、普及图书、参考书籍，都对物理安全有进一步的讨论，若想对此深入了解，请参阅相关资料。