信息的安全對(duì)于很多政企單位而言至關(guān)重要，那么政企單位如何管理好自己的重要消息與核心機(jī)密呢？
我們常說(shuō)用四分技術(shù)，七分管理來(lái)說(shuō)明信息安全的重要性。管理是貫穿信息安全整個(gè)過(guò)程的生命線。作為實(shí)施信息安全重要途徑的等級(jí)保護(hù)的管理 ,這種生命線的作用體現(xiàn)得就更為充分。
首先 ,信息安全等級(jí)保護(hù)制度的確立 ,需要有政策、法律、法規(guī)來(lái)保證。其次 ,信息安全等級(jí)保護(hù)的貫徹實(shí)施 ,需要有規(guī)范化的過(guò)程和制度 ,需要建立標(biāo)準(zhǔn)體系 ,進(jìn)行系統(tǒng)和產(chǎn)品的研究與開(kāi)發(fā) ,進(jìn)行系統(tǒng)和產(chǎn)品的測(cè)試與評(píng)估等。這些都需要有統(tǒng)一的管理和協(xié)調(diào)。另外 ,與技術(shù)相關(guān)管理更是無(wú)處不在。安全系統(tǒng)開(kāi)發(fā)過(guò)程需要進(jìn)行工程管理;安全系統(tǒng)的運(yùn)行過(guò)程需要進(jìn)行系統(tǒng)管理;甚至每一個(gè)安全功能的實(shí)現(xiàn)和正確使用 ,都離不開(kāi)管理。
與信息安全有關(guān)的人包括安全系統(tǒng)的開(kāi)發(fā)者、測(cè)試與評(píng)估者、運(yùn)行管理者、使用者以及對(duì)這些過(guò)程的實(shí)施進(jìn)行監(jiān)督檢查者。信息管理的目的是讓參與信息安全的所有人員都能夠按照確定的要求去行動(dòng)。對(duì)開(kāi)發(fā)者的管理是為了開(kāi)發(fā)出符合安全要求的系統(tǒng)或產(chǎn)品 ;對(duì)測(cè)試與評(píng)估者的管理是為了對(duì)開(kāi)發(fā)的系統(tǒng)和產(chǎn)品嚴(yán)格把關(guān) ;對(duì)運(yùn)行管理者的管理是為了確保運(yùn)行管理者對(duì)系統(tǒng)或產(chǎn)品的運(yùn)行進(jìn)行正確控制 ;對(duì)使用者的管理是為了讓使用者按規(guī)定合理使用系統(tǒng)或產(chǎn)品 ;對(duì)監(jiān)督檢查者的管理是為了讓執(zhí)法者嚴(yán)格執(zhí)法。不同安全等級(jí)的信息安全對(duì)管理有不同的要求。為達(dá)到高級(jí)別的安全要求 , 需要更嚴(yán)格的管理。
相應(yīng)的管理是許多安全技術(shù)和機(jī)制發(fā)揮作用的保證。如果沒(méi)有嚴(yán)格的權(quán)限管理 ,而是隨意授權(quán) ,訪問(wèn)控制就失去了應(yīng)有作用。如果沒(méi)有人員分工上的嚴(yán)格管理 ,對(duì)系統(tǒng)管理員、安全員、審計(jì)員實(shí)行權(quán)限分離的安全機(jī)制就不能發(fā)揮應(yīng)有作用。
類(lèi)似的情況在安全系統(tǒng)中隨處可見(jiàn)。最普遍的情況是 ,幾乎所有的安全機(jī)制都需要進(jìn)行正確的系統(tǒng)配置、操作和運(yùn)行控制 ,而且越是高級(jí)別的系統(tǒng)這種要求就越多、越嚴(yán)格 ,如果沒(méi)有按照要求進(jìn)行操作、配置和運(yùn)行控制 ,相應(yīng)的安全技術(shù)和機(jī)制就起不到應(yīng)有的作用 ,甚至成為攻擊的弱點(diǎn)和漏洞。與技術(shù)密切相關(guān)的管理要求應(yīng)在系統(tǒng)開(kāi)發(fā)過(guò)程中同時(shí)產(chǎn)生 ,并以文檔形式(包括安全員指南和用戶(hù)指南 )隨系統(tǒng)一起提交用戶(hù)。
信息管理的重要性還體現(xiàn)在領(lǐng)導(dǎo)的重視程度上。實(shí)踐證明 ,在我國(guó)信息系統(tǒng)建設(shè)階段 ,哪個(gè)單位沒(méi)有領(lǐng)導(dǎo)的重視與支持 ,哪個(gè)單位的信息系統(tǒng)建設(shè)就不會(huì)有好的發(fā)展。相反 ,得到了主要領(lǐng)導(dǎo)的重視和支持 ,單位信息系統(tǒng)的建設(shè)就會(huì)有好的發(fā)展。這已經(jīng)成為不爭(zhēng)的事實(shí)。
推薦閱讀：江西華能集團(tuán)IT運(yùn)維審計(jì)經(jīng)典案例
