三同步

曾弘瑞

安全工作年年做，安全問題年年有

一份來自某客戶企業內網的安全加固統計數據反映：發現問題5447個，修補漏洞3323個，總體加固率為61%。這還是在亞運會大背景下各部門共同推動，各系統維護方、服務廠家積極配合的結果。這種客戶網絡不但存在大量安全風險問題，而且存在的問題和已處置解決的問題之間存在較大差距的現狀，不禁讓人擔憂。

為什么安全工作年年做，問題年年有，還總有些問題年年存在卻總也解決不了，應該如何去推動安全工作真正落實下去，而不是把問題和風險懸在那里？

據此，華為在客戶處開展調研和咨詢工作，并歸納四大典型安全風險：即IT系統自身安全性不強；安全加固無法根除所有隱患；安全工作開展存在明顯短板；安全支撐手段不夠，安全要求難以落地。

如何去解決這些疑難雜癥，華為提出安全三同步的工作思路，希望從機制上用系統的方法推動網絡與信息安全問題的解決，統籌規劃從前端到運維末端各階段各部門安全工作。

遵循同步規劃、同步建設、同步運行的指導思想

關鍵業務相關系統的穩定和安全運行是安全工作的核心，應當著重從系統全生命周期、全流程角度來同步考慮安全工作，使安全建設需要符合業務發展需要。

安全三同步以“同步規劃、同步建設、同步運行”為指導思想，本著“誰主管、誰負責”工作原則落實執行，在系統生命周期各階段明確責任部門及安全職責，在全過程中推行安全同步開展，強化安全工作前移，降低運維階段的服務壓力。在過程中建立和推行一套工作機制，包括從規劃到驗收階段統一的管理制度、技術規范、運作、實施細則和工作流程，并在過程中梳理支撐手段。統籌規劃從前端到運維末端各階段各部門安全工作的一體化開展，最終推動系統生命周期安全目標的落實。

三大架構共鑄安全三同步工作模型

筆者通過工作架構、組織架構、體系架構三方面來具體介紹安全三同步工作模型。

所謂安全三同步是指圍繞系統的規劃、建設和運行三過程同步開展和落實各階段安全要求。這個過程又可細化為5個可操作階段，分別是規劃設計、立項采購、開發實施、上線驗收以及運行維護。對應到三同步中，即安全規劃是對規劃設計階段的安全管理，安全建設是對立項采購、開發實施、上線驗收的安全管理，安全運行是對運行維護的安全管理。安全貫徹整個系統生命周期，保證了系統由最初的需求到最終的安全運維整個過程的安全。通過做好各階段的安全管理工作，促進系統自身安全性和防護能力提升，推動安全工作中的短板。

安全三同步組織結構則按角色定義，由安全統籌部門以及規劃、采購、建設、維護這四個階段主管部門組成，使得安全工作有一個歸口部門進行統一管理，從而使管理工作系統化、統一化。真正做到誰主管誰負責。

安全三同步文件體系架構分為4層，這與目前主流的安全體系諸如ISO27001、ISO20000等體系結構一致。一級文件是管理辦法，指導性文件；二級文件是管理細則文檔，明確提出各階段安全工作要點以及各階段安全主管部門的職責；三級文件是操作指引文檔，詳細的描述完成安全管理工作的步驟以及關鍵環節工作要點、工作輸入輸出等，規范并指導工作開展；四級文件為安全三同步工作各相關記錄文件以及各類配置規范和標準。

工作流轉過程：標準統一、環環相扣、責任明確

圖3是安全三同步的工作流轉過程示意圖，從總體上說明了系統各個階段的安全工作。在規劃設計時識別安全需求，明確安全目標；在立項采購確保安全要求以具備法律效應的書面形式被明確；在開發實施時落實前期已明確的安全要求；在上線驗收時確保系統滿足系統安全驗收評判要求，而在運維階段確保業務連續性，杜絕信息安全事件，做到安全可控、安全運維。

系統安全工作整個過程是在一個統一標準下進行的，各個環節環環相扣緊密結合，以《系統入網安全設計標準》為參照，進行安全需求分析，確立最終的安全設計要求。在立項采購時，會以安全設計要求為依據，進行招標采購工作。在系統開發階段會以安全設計要求作為依據，開展系統的開發實施。系統實施完成后，依照系統入網驗收安全標準對系統進行入網驗收，而入網驗收安全標準的制定又與系統入網安全設計標準是相互關聯的。

在各階段的工作落實上，我們定義了各階段的必要環節以及規范相應環節的輸入輸出要求和責任部門。以規劃階段為例，規劃設計的安全要求是識別安全需求，明確安全目標。為此我們定義了安全規劃的必要環節即安全需求收集、安全規劃設計、規劃評審，規劃部門作為明確的責任部門在設計時要求遵循安全設計規范要求并最終在技術規范書輸出中包含安全功能定義，如圖4所示。

工作展望：攜手客戶，推進安全工作落地化

運用安全三同步的理念，把安全管理的工作做落地化推進是開展安全咨詢的新嘗試。在新的工作模式下需要管理、技術、人員、流程各方面支撐，安全工作會涉及原有流程的調整，各部門適應新的流程也需要一個過程，工作的開展會遇到以往沒有碰到的問題。因此，工作開展會經歷體系的建立、體系的試點再到體系推廣和例行化開展這樣階段化漸進的過程。總之，用創新的方法，實踐的態度，最終一定能建立和完善一套可落地的安全工作機制，提升安全能力和管理水平。

（作者單位：華為技術有限公司）