1、NIST信 息 技 术 安 全 服 务 指 南鸣 谢感 谢 NIST（ the National Institute of Standards and Technology） 的 作 者 Tim Grance 和 Joan Hash， 以 及 BAH（ Booz Allen Hamilton） 的 Marc Stevens， Kristofor ONeal 和 Nadya Bartol， 感 谢 他 们 的 同 事 为 他 们 核 对 有 关 这 篇 文 件 的 草 稿 以 及 相关 的 技 术 内 容 。 同 时 ， 我 们 也 相 当 感 谢 我 们 所 收 到 的 那 些 来 自 于 公
2、 众 的 或 私 人的 读 者 群 体 对 我 们 的 评 价 。 他 们 的 意 见 让 我 们 对 本 文 的 品 质 和 用 处 做 了 相 应 的改 进 。 本 文 的 作 者 们 还 尤 其 要 对 那 些 对 本 文 的 发 展 给 予 实 质 上 的 丰 厚 回 馈 的 主要 的 机 构 表 示 感 谢 ， 这 些 机 构 包 括 有 ： 环 境 保 护 代 理 、 Treasury 部 门 、 田 纳 西 山谷 的 地 方 政 府 以 及 电 子 数 据 系 统 。 本 文 的 作 者 们 还 要 感 谢 NIST 的 Ron Ross、 Gary Stoneburner、 C
3、urtis Barker、 Ron Tencati、 Marianne Swanson 和 Bill Burr， 还 有 BAH 的 Alexis Feringa、 Don Ottinger、 Skip Hirsh、 Robert Young 和Shirley Radack。 感 谢 他 们 为 本 文 的 发 展 提 供 了 全 面 的 审 核 、 评 价 以 及 周 到 而 细 致的 辅 助 工 作 。实 施 概 要组 织 机 构 必 须 经 常 评 估 选 择 一 种 IT 安 全 部 门 去 维 持 和 改 进 它 们 全 面 的 IT 安全 问 题 以 及 事 业 体 系 。 IT
4、安 全 部 门 是 有 安 全 政 策 部 门 管 理 的 ， 可 能 由 机 构 内 部的 一 个 IT 组 来 提 供 或 者 由 一 群 发 展 中 的 小 公 司 群 提 供 。 组 织 可 以 在 服 务 与 服 务提 供 者 的 激 烈 竞 争 并 为 市 场 带 来 创 新 的 时 候 得 到 收 益 。 然 而 ， 决 定 一 个 服 务 提供 者 的 能 力 是 十 分 困 难 和 具 有 挑 战 性 的 ， 服 务 可 靠 性 的 度 量 是 驾 御 在 许 多 涉 及复 杂 的 安 全 服 务 协 定 的 基 础 上 的 。 个 别 对 选 择 贯 彻 对 付 IT 安
5、全 服 务 负 责 的 人 必须 在 选 择 将 要 被 委 托 见 到 他 们 特 殊 的 IT 安 全 问 题 需 求 的 资 源 前 仔 细 评 估 它 们 的选 项 。对 于 选 择 贯 彻 IT 安 全 服 务 要 考 虑 的 因 素 包 括 ： 服 务 安 排 的 类 别 ； 服 务 提 供者 的 条 件 ； 服 务 提 供 者 雇 员 的 操 作 要 求 和 能 力 ， 经 验 和 创 新 力 和 可 信 任 程 度 ；还 有 服 务 提 供 者 对 组 织 体 系 应 用 及 信 息 提 供 足 够 保 护 的 能 力 。 这 些 考 虑 因 素 可以 （ 从 不 同 的 程
6、度 上 ） 实 施 到 依 靠 于 被 考 虑 的 大 小 ， 类 型 ， 复 杂 程 度 ， 开 销 和关 键 性 的 各 个 服 务 或 是 对 服 务 中 组 织 的 工 具 或 合 同 有 具 体 的 需 求 的 服 务 中 去 。本 文 中 提 供 了 机 构 通 过 不 同 得 服 务 流 程 运 转 的 指 南 来 进 行 选 择 实 行 管 理 IT安 全 服 务 的 辅 助 参 考 。 这 种 流 程 运 转 提 供 了 使 IT 安 全 决 策 者 能 自 始 至 终 地 组 织好 IT 安 全 效 率 的 一 个 框 架 。 这 种 对 IT 安 全 服 务 成 体 系
7、的 管 理 是 特 别 重 要 的 。 对许 多 失 误 的 设 计 问 题 考 虑 以 及 管 理 组 织 的 风 险 会 严 重 地 影 响 到 IT 安 全 决 策 者 必须 考 虑 到 的 涉 及 成 本 和 根 本 的 安 全 需 求 ， 以 及 对 组 织 的 任 务 处 理 战 略 部 署 全 体职 员 和 服 务 提 供 安 排 决 策 的 潜 在 影 响 。任 何 一 个 被 提 及 是 商 业 化 的 产 品 或 者 是 参 考 资 料 对 于 商 业 机 构 而 言 都是 唯 一 的 信 息 ， 它 不 仅 意 味 着 对 NIST 的 推 荐 与 认 可 ， 也 是 一
8、 种 对 产 品 最 有利 的 必 要 的 介 绍 。IT 安 全 流 程 运 转 的 六 个 阶 段 是 ： 第 1 阶 段 ： 初 始 机 构 需 要 决 定 如 果 其 进 行 调 查 ， 是 否 能 够 使 一 个 完整 的 计 算 机 安 全 服 务 改 善 其 计 算 机 安 全 程 序 的 效 率 。 第 2 阶 段 ： 评 估 机 构 使 用 度 量 决 定 当 前 环 境 安 全 的 安 全 状 态 并 确 定需 求 及 可 行 的 解 决 方 法 。 第 3 阶 段 ： 解 决 决 策 者 评 估 潜 在 的 解 决 方 案 ， 发 展 交 易 事 务 并 详 细说 明 来
9、 自 可 得 的 选 项 组 合 的 可 接 受 的 服 务 配 置 属 性 。 第 4 阶 段 ： 执 行 机 构 选 择 并 决 定 服 务 供 给 者 ， 发 展 服 务 配 置 及 解 决方 案 的 落 实 。 第 5 阶 段 ： 操 作 机 构 确 保 连 贯 的 监 听 服 务 提 供 者 和 机 构 的 安 全 运 行的 操 作 上 成 功 ， 定 期 的 评 估 风 险 变 化 及 威 胁 情 况 ， 确 保 机 构 安 全 解 决 方 案 以 维护 安 全 状 态 的 方 式 的 调 节 。 第 6 阶 段 ： 终 止 退 出 一 旦 服 务 结 束 或 停 止 时 ， 机
10、构 确 保 一 个 平 滑 的转 变 过 渡 。这 个 引 导 指 南 描 述 了 一 个 生 命 周 期 ， 该 生 命 周 期 提 供 一 个 帮 助 机 构 管 理 IT安 全 服 务 事 务 的 文 档 。 然 而 ， 指 南 没 有 规 定 或 推 荐 任 何 的 IT 安 全 服 务 、 IT 安 全服 务 配 置 、 IT 安 全 服 务 协 议 ， 或 IT 安 全 服 务 供 给 者 。 每 个 机 构 组 织 必 须 运 行 它所 需 的 分 析 、 估 定 、 选 择 、 实 现 ， 且 监 督 所 需 的 最 好 的 IT 安 全 服 务 地 址 。该 引 导 指 南
11、应 连 同 其 他 的 关 注 IT 系 统 取 得 的 NIST 特 别 出 版 (SP)一 起 使 用 ，它 们 包 括 NIST SP 800-64 Security Considerations in the Information System Development Life Cycle, 和 NIST SP 800-36: Guide to Selecting Information Technology Security Products。 NIST SP 800-55, Security Metrics Guide for Information Technology Sys
12、tems 会 帮 助 组 织 了 解 使 用 和 发 展 度 量 值 的 重 要 性 。其 他 的 NIST 特 别 的 出 版 可 能 对 提 供 特 殊 服 务 和 技 术 信 息 有 用 ， 他 们 包 括 ：SP 800-30: 信 息 技 术 系 统 风 险 管 理 指 南SP 800-32: 大 众 技 术 和 联 邦 PKI 构 造 的 介 绍SP 800-33: 信 息 技 术 安 全 的 技 术 模 型SP 800-34: 信 息 技 术 系 统 的 意 外 事 故 计 划SP 800-41: 防 火 墙 和 防 火 墙 政 策 的 介 绍SP 800-42: 网 络 安 全
13、 测 试 上 的 指 导 方 针SP 800-48: 无 线 网 络 安 全 ： 802.11,Bluetooth, 和 手 持 式 装 置SP 800-50: 建 立 信 息 技 术 安 全 意 识 和 测 试 程 序SP 800-53: 联 邦 信 息 系 统 的 安 全 控 制 推 荐NIST 告 诫 希 望 实 现 IT 安 全 服 务 的 机 构 应 ： 仔 细 的 发 展 客 观 交 易 事 件 。 IT 安 全 服 务 的 要 求 应 该 以 机 构 的 业 务 需 求 为支 撑 。 交 易 情 形 包 含 解 决 方 案 、 费 用 估 计 、 利 益 分 析 和 对 其 他
14、选 择 性 评 价 的 分析 ， 这 些 分 析 应 提 供 对 需 求 的 描 述 及 支 持 的 充 足 的 文 件 内 容 。 发 展 强 大 的 、 特 殊 的 服 务 协 议 从 而 为 每 个 需 要 的 安 全 控 制 定 义 所 期 望 的表 现 ， 描 述 预 测 输 出 ， 和 识 别 补 救 方 法 及 需 求 回 应 。 整 个 IT 安 全 生 命 周 期 中 使 用 度 量 值 。 度 量 值 会 为 评 估 阶 段 中 服 务 基 线水 平 的 评 估 以 及 为 运 行 阶 段 的 服 务 提 供 者 表 现 评 估 ， 提 供 客 观 的 数 据 。 任 何
15、可能 的 地 方 ， 度 量 被 选 择 来 指 示 安 全 环 境 的 成 功 和 维 护 进 程 ， 来 满 足 潜 在 的 机 构的 需 求 。 发 展 程 序 和 进 程 能 有 效 地 追 踪 的 无 数 的 服 务 协 议 和 度 量 值 ， 这 些 服 务 协议 和 度 量 值 将 会 应 用 在 整 个 生 命 周 期 中 的 机 构 的 各 种 或 不 同 的 IT 安 全 服 务 中 。 确 保 存 在 一 个 已 有 的 服 务 供 给 者 与 新 的 服 务 供 给 者 之 间 的 适 当 的 转 变 时期 。 维 持 技 术 专 家 对 已 提 供 的 安 全 服 务
16、 的 必 要 了 解 和 管 理 及 保 护 机 构 的 重 要数 据 。 特 别 关 注 六 个 事 件 ： 策 略 /任 务 ， 预 算 /资 金 ， 技 术 /建 筑 体 系 ， 组 织 ， 人事 和 政 策 /进 程 。目 录1. 介 绍 .71.1. 权 威 性 .71.2. 目 的 .71.3. 限 制 .81.4. 有 意 向 的 读 者 .81.5. 证 明 机 构 82. 角 色 与 职 责 .92.1. 主 要 的 信 息 事 务 92.2. 合 约 人 员 92.3. 合 约 人 员 的 技 术 代 表 CONTRACTING OFFICER S TECHNICAL RE
17、PRESENTATIVE(COTR) .92.4. IT 投 资 部 （ 或 等 价 物 ） .92.5. IT 安 全 程 序 管 理 员 92.6. IT 系 统 安 全 事 务 .92.7. 程 序 管 理 员 （ 数 据 拥 有 者 ） /获 得 创 始 人 .102.8. 机 密 事 务 102.9. 其 余 的 参 与 者 103. IT 安 全 服 务 .113.1. IT 安 全 服 务 概 述 .113.2. IT 安 全 服 务 安 排 的 概 述 .113.3. IT 安 全 服 务 管 理 工 具 概 述 123.4. 安 全 服 务 问 题 的 概 述 123.5.
18、IT 安 全 服 务 的 大 意 133.6. 机 构 的 利 害 冲 突 154. IT 安 全 服 务 生 命 周 期 .164.1. 第 1 阶 段 起 始 .164.2. 第 2 阶 段 ： 评 估 .174.2.1. 基 线 存 在 环 境 174.2.2. 分 析 机 会 与 障 碍 .194.2.3. 识 别 选 项 及 危 险 .194.3. 第 3 阶 段 ： 解 决 方 案 194.3.1. 发 展 业 务 事 件 194.3.2. 发 展 安 全 配 置 204.3.3. 发 展 执 行 计 划 204.4. 第 4 阶 段 ： 执 行 214.4.1. 识 别 服 务
19、提 供 者 和 确 定 服 务 协 议 214.4.2. 定 案 及 实 施 执 行 计 划 234.4.3. 管 理 期 望 .234.5. 第 5 阶 段 ： 运 行 234.5.1. 监 控 服 务 提 供 者 的 运 行 .234.5.2. 监 控 和 测 量 机 构 组 织 的 运 行 状 况 244.5.3. 评 估 和 进 化 244.6. 第 6 阶 段 ： 终 止 退 出 244.6.1. 选 择 合 适 的 退 出 策 略 244.6.2. 执 行 合 适 的 退 出 策 略 241. 介 绍1.1. 权 威 性国 家 标 准 和 技 术 学 会 （ NIST） 在 200
20、2 联 邦 数 据 安 全 管 理 行 为 (FISMA Public Law 107-347)的 法 定 职 权 内 发 表 此 篇 文 章 。NIST 负 责 发 展 标 准 及 指 南 ， 包 括 需 求 的 最 小 化 ， 为 所 有 的 代 理 控 制 和 财 产提 供 足 够 的 信 息 安 全 ， 且 这 些 标 准 及 指 南 无 需 向 国 家 安 全 系 统 提 出 申 请 。 所 有 指南 与 管 理 同 预 算 办 公 室 （ OMB） 要 求 相 一 致 。该 引 导 指 南 已 为 联 邦 代 理 的 使 用 做 好 了 准 备 。 它 可 能 以 自 动 的 方
21、式 被 无 政 府组 织 使 用 ， 并 且 无 关 版 权 。在 这 份 文 档 中 没 有 任 何 内 容 与 标 准 相 驳 ， 而 且 指 导 方 针 使 在 法 令 的 权 威 之 下的 商 务 秘 书 的 联 邦 代 理 变 得 有 强 制 性 。 这 些 指 导 方 针 不 该 被 解 释 成 改 变 或 替 代商 务 秘 书 、 OMB 的 指 导 者 、 或 任 何 其 他 的 联 邦 官 员 现 有 的 权 威 。1.2. 目 的机 构 时 常 进 行 评 估 ,选 择 ,而 且 雇 用 不 同 的 IT 安 全 服 务 用 来 维 护 和 改 善 他 们 的IT 安 全
22、程 序 。 IT 安 全 服 务 (例 如 ： 安 全 政 策 发 展 等 .) 可 能 由 IT 组 织 ， 或 成 长 中的 厂 商 提 供 。 那 些 负 责 为 机 构 选 择 ,实 现 , 和 管 理 IT 安 全 服 务 的 个 人 必 需 仔 细 的检 查 必 要 的 进 程 和 手 续 ， 确 定 主 机 的 可 用 选 项 ， 及 选 择 能 最 佳 被 信 赖 的 、 符 合 IT安 全 程 序 需 求 的 资 源 。在 选 择 ,实 现 ,和 管 理 IT 安 全 服 务 是 要 考 虑 的 因 素 包 括 ： 服 务 配 置 的 类 型 ； 服务 供 给 者 资 格 、
23、 需 求 、 经 验 和 能 力 ； 服 务 供 给 者 工 作 人 员 的 可 信 度 ； 和 机 构 系统 的 保 护 性 、 应 用 软 件 和 数 据 . 这 些 考 虑 因 素 的 应 用 (在 改 变 程 度 方 面 ) 仰 赖 服务 的 大 小 ， 类 型 ， 复 杂 ， 费 用 和 服 务 的 关 键 性 。本 指 南 的 目 的 是 藉 由 指 导 机 构 在 IT 安 全 服 务 生 命 周 期 各 种 不 同 的 时 期 中 ，提 供 协 助 于 选 择 ,实 现 ,管 理 IT 安 全 服 务 。 IT 安 全 服 务 生 命 周 期 提 供 框 架 ， 该 框架 使
24、得 IT 安 全 决 策 者 的 对 组 织 IT 安 全 性 从 复 杂 变 得 简 单 。 IT 安 全 服 务 处 理 的 系统 分 类 的 管 理 有 批 判 的 重 要 性 。 无 法 考 虑 和 管 理 复 杂 的 问 题 会 严 重 的 影 响 到 机构 。 IT 安 全 决 策 者 必 需 考 虑 费 用 和 安 全 的 需 求 ， 以 及 组 织 上 的 任 务 和 策 略 功 能 、人 事 和 服 务 供 给 者 配 置 。该 指 南 讨 论 了 IT 安 全 服 务 生 命 周 期 的 每 个 时 期 ， 为 评 估 和 选 择 健 全 的 安 全练 习 提 供 一 个
25、出 发 点 。 讨 论 针 对 一 个 有 着 相 异 的 IT 安 全 需 求 的 广 泛 多 样 性 的 机构 。 讨 论 了 例 如 发 展 协 议 的 重 要 性 一 般 的 主 题 ， 为 服 务 供 给 者 定 义 服 务 水 平 ；然 而 ， 没 有 规 定 最 符 合 机 构 需 求 的 服 务 及 服 务 水 平 。 当 程 序 应 用 和 指 南 中 呈 现 观念 时 ， 每 个 机 构 的 特 定 需 求 应 该 被 考 虑 。 最 后 ， 在 本 出 版 中 ， NIST 为 决 策 者 和其 他 有 关 政 党 提 供 信 息 和 建 议 。1.3. 限 制这 份 文
26、 件 的 第 5 节 讨 论 了 可 能 的 IT 安 全 服 务 的 抽 样 本 但 是 不 代 表 是 一 本 无遗 漏 的 目 录 列 表 。 除 了 清 楚 地 识 别 IT 安 全 服 务 ， 机 构 组 织 也 希 望 获 得 服 务 ， 例如 系 统 管 理 这 样 的 包 含 重 要 安 全 的 成 份 。 指 南 中 没 提 及 这 些 服 务 类 型 ； 但 ， 指 南中 所 包 含 的 信 息 能 被 延 伸 且 适 应 掩 盖 其 他 相 关 的 服 务 。本 指 南 不 主 张 为 发 展 安 全 服 务 支 持 或 反 对 外 部 配 置 (例 如 外 源 )。 读
27、 者 应 该 参照 OMB Circular A-76， Performance of Commercial Activities， 为 决 策 建 立 的 基 础 ，活 动 是 否 应 建 立 在 契 约 的 基 础 上 或 使 用 政 府 设 备 和 人 事 。1.4. 有 意 向 的 读 者本 指 南 是 为 提 供 IT 安 全 服 务 的 机 构 而 不 管 服 务 是 否 是 机 构 提 供 的 或 来 自 一个 外 部 提 供 者 。 目 标 要 帮 助 IT 安 全 决 策 者 和 管 理 者 实 现 并 且 处 理 最 适 当 的 IT 安全 服 务 、 服 务 水 平 ，
28、及 使 服 务 配 置 能 最 好 的 满 足 机 构 的 目 标 及 需 求 。1.5. 证 明 机 构这 份 文 件 内 容 如 下 所 列 ：第 2 章 讨 论 角 色 与 责 任 ， 是 针 对 IT 安 全 周 期 中 选 择 、 实 现 及 管 理 的 各 种 不同 的 人 们 。第 3 章 提 供 对 IT 安 全 服 务 的 介 绍 , 包 括 安 全 服 务 周 期 精 选 IT 安 全 服 务 的 概述 。 这 章 讨 论 了 安 全 服 务 周 期 的 框 架 结 构 ， 周 期 中 地 址 分 配 问 题 的 概 述 ， IT 安全 决 策 者 考 虑 的 各 种 不
29、同 的 服 务 配 置 ， 及 对 IT 安 全 决 策 者 有 用 的 工 具 。第 4 章 提 供 了 关 于 IT 安 全 服 务 更 深 入 的 讨 论 。 在 描 述 安 全 服 务 周 期 的 文 中 ，这 章 讨 论 了 安 全 服 务 如 何 开 始 ， 服 务 配 置 应 包 括 些 什 么 ， 及 服 务 协 议 应 该 如 何结 束 或 被 停 止 。第 5 章 提 供 了 更 详 细 的 IT 安 全 服 务 的 面 貌 描 述 ， 服 务 如 先 前 的 数 据 应 用 的例 子 .除 了 这 些 章 节 ， 还 三 分 附 录 ：附 录 A 提 供 参 考 列 表
30、。附 录 B 提 供 简 称 列 表 。附 录 C 提 供 一 个 IT 安 全 服 务 提 供 者 服 务 配 置 大 纲 例 本 。附 录 D 为 机 构 服 务 协 议 的 使 用 提 供 语 言 。 这 种 语 言 ， 为 机 构 的 特 殊 需 求 定制 ， 可 用 于 在 服 务 配 置 写 作 方 面 ， 及 像 SOW 或 协 议 备 忘 录 (MOA/MOU)的 契 约文 件 。附 录 E 是 常 问 问 题 列 表 。2. 角 色 与 职 责用 来 选 择 、 执 行 以 及 管 理 一 个 已 有 的 服 务 参 与 者 的 列 表 会 依 赖 于 服 务 的 类型 及
31、范 围 ， 服 务 的 执 行 和 组 织 的 类 型 /大 小 。 一 个 大 型 的 联 合 代 理 正 寻 找 外 部 机构 的 伙 伴 ， 这 是 为 了 使 他 的 IT 安 全 功 能 会 有 不 同 的 需 求 ， 这 样 比 起 一 个 小 型 的交 易 寻 找 有 限 范 围 的 IT 安 全 训 练 程 序 有 更 广 泛 的 参 与 者 。 接 下 去 的 角 色 是 对 于普 通 的 不 同 种 类 的 服 务 。 实 际 的 参 与 者 列 表 可 能 要 比 所 提 供 的 多 或 少 。 例 如 ，如 果 一 个 机 构 内 的 国 家 团 体 提 供 了 安 全
32、 服 务 ， COTR 可 能 会 没 有 角 色 。2.1. 主 要 的 信 息 事 务CIO 对 机 构 的 IT 计 划 编 制 ， 预 算 ， 投 资 ， 执 行 以 及 获 得 负 责 。 例 如 ， CIO检 查 高 级 的 机 构 人 员 来 获 得 直 接 有 效 的 IT 安 全 部 门 。2.2. 合 约 人 员他 有 着 登 录 、 管 理 、 和 /或 终 止 联 系 以 及 进 行 相 关 决 定 查 询 的 职 权 。2.3. 合 约 人 员 的 技 术 代 表 Contracting Officer s Technical Representative(COTR)
33、COTR 是 一 个 合 约 人 员 指 定 的 资 格 要 求 ， 用 来 表 现 他 技 术 上 有 代 表 性 的 管理 特 殊 技 术 问 题 的 合 同 。2.4. IT 投 资 部 （ 或 等 价 物 ）它 负 责 管 理 资 本 计 划 及 投 资 控 制 进 程 。2.5. IT 安 全 程 序 管 理 员IT 安 全 程 序 管 理 员 负 责 发 展 或 申 请 对 IT 安 全 的 计 划 标 准 。 他 单 独 扮 演 了 领导 的 角 色 ， 为 帮 助 机 构 识 别 、 评 估 及 最 小 化 IT 安 全 隐 患 ， 介 绍 了 一 个 适 当 的 ，结 构 方
34、 法 学 。 IT 安 全 程 序 管 理 员 整 理 、 执 行 系 统 危 险 分 析 ， 分 析 出 缓 解 危 机 的对 策 ， 为 了 获 得 适 当 的 安 全 解 决 方 法 ， 建 立 交 易 事 件 ， 当 面 对 真 实 世 界 中 的 威胁 时 ， 来 确 保 使 命 的 完 成 。 他 们 也 支 持 高 级 管 理 来 确 保 安 全 管 理 行 为 是 依 照 机构 的 要 求 执 行 的 。2.6. IT 系 统 安 全 事 务用 来 保 证 一 个 信 息 系 统 永 久 的 安 全 性 。2.7. 程 序 管 理 员 （ 数 据 拥 有 者 ） /获 得 创
35、始 人它 在 IT 安 全 服 务 的 一 生 中 表 现 了 主 题 的 影 响 性 。 程 序 管 理 员 在 安 全 性 中 扮演 了 一 个 必 须 的 角 色 ， 因 为 他 们 已 经 被 牵 涉 入 IT 安 全 服 务 的 主 动 战 略 计 划 中 而且 他 们 密 切 关 注 着 功 能 的 服 务 需 求 。2.8. 机 密 事 务确 保 了 服 务 及 服 务 安 排 符 合 现 有 的 关 于 保 护 、 分 发 （ 信 息 共 享 及 交 换 ） 的机 密 方 针 和 信 息 泄 漏 。2.9. 其 余 的 参 与 者服 务 获 得 中 的 角 色 列 表 可 以
36、随 着 IT 系 统 的 管 理 的 复 杂 性 的 介 入 而 增 长 。 非常 重 要 的 是 ， 所 有 的 获 得 者 的 成 员 要 确 保 一 个 成 功 的 获 得 被 完 成 了 。 由 于 系 统管 理 员 会 在 采 购 进 程 的 最 后 做 出 关 键 性 的 决 定 ， 这 有 助 于 在 过 程 中 将 他 们 拉 得更 近 使 得 关 键 性 的 问 题 可 以 较 早 被 标 解 决 。 系 统 用 户 通 过 帮 助 程 序 管 理 员 决 定 、提 炼 需 求 和 检 查 、 接 受 递 送 系 统 而 在 获 得 的 过 程 中 起 到 辅 助 的 作 用
37、 。 参 与 者 也包 含 全 体 职 员 ， 他 们 代 表 了 信 息 技 术 、 配 置 管 理 、 设 计 和 配 置 组 群 。3. IT 安 全 服 务本 章 节 提 供 了 对 IT 安 全 服 务 的 概 述 、 服 务 安 排 、 服 务 问 题 以 及 服 务 管 理 工具 。 这 些 概 述 是 作 为 第 四 章 节 中 所 讨 论 的 IT 安 全 服 务 的 一 生 的 介 绍 。 IT 安 全 服务 的 一 生 与 机 构 的 抉 择 无 关 ， 使 用 国 家 资 源 或 外 部 服 务 提 供 者 来 执 行 服 务 。 最终 ， 机 构 将 余 留 责 任
38、而 且 受 到 任 何 安 全 破 裂 的 影 响 ， 并 不 顾 是 谁 执 行 安 全 服 务 。3.1. IT 安 全 服 务 概 述安 全 服 务 分 为 三 类 （ 表 3-1）管 理 服 务 技 术 及 关 系 通 常 被 机 构 的 计 算 机 安 全 程 序 所 管 理 分 配 地 址 ， 他 们 主 要 管 理 计算 机 安 全 程 序 和 机 构 中 的 风 险 。操 作 服 务 该 服 务 主 要 控 制 人 们 已 贯 彻 实 施 的 系 统 。 他 们 常 需 要 技 术 或 专 业 的 专 家 队 伍 ，而 且 依 靠 管 理 活 动 及 技 术 控 制 。技 术
39、服 务 技 术 服 务 只 要 关 注 于 安 全 控 制 一 台 计 算 机 系 统 的 执 行 。 为 有 成 效 这 些 服 务 是依 赖 于 适 当 的 系 统 功 能 。安 全 部 门 的 一 生 应 用 于 任 何 安 全 服 务 而 无 关 于 他 属 于 那 种 种 类 ， 而 且 甚 至应 用 于 整 个 IT 安 全 类 别 。 作 为 管 理 者 决 定 哪 个 IT 安 全 部 门 需 要 被 贯 彻 、 估 价 、或 中 断 ， 他 们 需 要 考 虑 对 其 他 IT 安 全 部 门 的 影 响 。第 五 章 节 中 对 IT 安 全 部 有 更 详 细 的 描 述
40、 。 NIST Special Publication (SP) 800-12, An Introduction to Computer Security: The NIST Computer Security Handbook 也 提 供 了 对计 算 机 安 全 及 安 全 控 制 和 服 务 的 概 述 及 介 绍 。3.2. IT 安 全 服 务 安 排 的 概 述选 择 最 适 当 的 服 务 ,混 合 服 务及 服 务 水 平 是 一 个 复 杂 的 决 择 , 如 同 正 在 决 定 谁 应 该 提 供 。 大 多复 杂 的 决 定 源 于 广 泛 的 筹 备 、 源于 可 能
41、选 择 的 机 构 ， 尽 管 组 织 上的 、 人 事 上 的 和 其 他 在 第 3.4 节讨 论 到 的 问 题 也 同 样 使 得 选 择 变得 不 简 单 还 增 加 了 复 杂 度 。有 一 个 广 范 围 的 可 能 的 服 务配 备 存 在 。 一 个 组 织 可 以 选 择 它的 内 部 职 员 和 队 伍 来 提 供 必 需 的服 务 ， 或 选 择 完 全 输 出 服 务 到 一操 作 上 的 例 子 一 个 机 构 组 织 里 保 有 程序 监 视 的 防 火 墙 ， 但 这 引 进 了 一 个 外 部 的团 体 来 处 理 每 日 检 查 的 监 听 。 这 个 安
42、全 配备 可 能 看 起 来 不 同 ， 它 仰 赖 一 个 人 的 角 色 。在 这 个 例 子 中 ， 防 火 墙 管 理 员 可 以 将 配备 看 做 是 一 个 外 部 的 配 备 因 为 有 外 面 的 团体 运 行 检 查 服 务 。 机 构 的 最 高 阶 层 业 务 管理 员 可 以 将 它 看 做 是 内 部 的 配 备 因 为 防 火墙 服 务 是 实 现 在 内 部 的 。 由 于 内 在 的 防 火墙 服 务 和 它 的 外 部 稽 查 检 讨 成 份 ， 机 构 的IT 安 全 人 员 可 以 将 它 看 做 连 续 区 中 间 的 某部 分 ， 一 种 混 合 算
43、法 。处 外 部 的 服 务 供 给 者 。 这 处 外 部 维 修 供 给 者 可 能 是 任 何 的 组 织 因 为 这 个 术 语 不 表示 只 有 一 个 外 部 的 商 业 服 务 供 给 者 。 举 例 来 说 ， 一 个 机 构 团 体 可 以 选 择 雇 用 一 个来 自 辅 助 机 构 的 团 体 、 一 生 意 单 位 、 或 一 个 商 业 的 服 务 提 供 者 。3.3. IT 安 全 服 务 管 理 工 具 概 述由 于 潜 在 的 危 害 源 于 薄 弱 的 安 全 性 能 ， 安 全 管 理 员 和 决 策 者 需 要 使 用 有 效的 管 理 工 具 来 增
44、加 成 功 的 可 能 。 有 两 个 重 要 的 工 具 即 度 量 值 和 服 务 协 议 。度 量 值 的 概 述度 量 值 通 过 对 实 际 的 和 有 关 的 数 据 收 集 、 数 据 分 析 和 表 现 数 据 报 告 ， 是 一个 帮 助 决 策 和 责 任 的 管 理 工 具 。 度 量 值 的 重 要 性 在 NIST SP 800-55, Security Metrics Guide for Information Technology Systems 有 所 讨 论 。 对 计 算 机 安 全 度 量 的全 面 、 完 整 的 论 述 是 超 越 了 这 篇 文 档
45、的 讨 论 范 围 ； 然 而 ， IT 安 全 安 全 服 务 管 理员 应 该 了 解 什 麽 是 度 量 值 以 及 什 么 时 候 该 用 。 举 例 来 说 ， 对 于 一 个 管 理 服 务 来说 度 量 值 ， 就 象 是 训 练 和 意 识 规 划 ， 可 能 是 那 些 新 职 员 在 他 们 的 前 30 天 工 作 中接 受 安 全 训 练 的 百 分 比 。 重 复 的 把 这 些 数 据 累 积 起 来 ， 而 后 ， 管 理 者 会 估 定 出如 今 有 多 好 的 训 练 服 务 提 供 者 执 行 着 它 的 工 作 ， 从 而 在 将 来 为 服 务 提 供
46、者 设 定目 标 ， 然 後 估 计 它 有 多 符 合 期 望 的 目 标 。 度 量 值 进 程 在 下 个 章 中 有 所 讨 论 。服 务 协 议 的 概 述服 务 协 议 视 为 在 服 务 供 给 者 和 机 构 组 织 请 求 之 间 的 协 议 服 务 。 当 服 务 配 置变 得 更 复 杂 而 且 雇 用 商 业 的 服 务 供 给 者 ， 协 议 的 正 式 性 应 该 增 加 。 一 个 完 全 外部 服 务 配 置 伴 随 着 商 业 的 实 体 ， 举 例 来 说 ， 将 会 需 要 一 份 正 式 的 契 约 以 便 管 理者 能 控 制 服 务 供 给 者 的
47、行 为 。 一 个 完 全 内 部 的 服 务 配 置 可 能 需 要 一 份 较 不 正 式的 协 议 ， 也 许 是 一 份 同 意 报 告 书 或 一 个 MOA。 无 论 如 何 ， 所 有 人 都 应 该 意 识 到他 们 角 色 和 职 责 . 第 4.4.1 节 讨 论 了 服 务 协 议 的 重 要 性 。3.4. 安 全 服 务 问 题 的 概 述实 现 一 个 安 全 服 务 和 服 务 配 置 可 能 是 复 杂 的 。 每 个 安 全 服 务 有 它 的 费 用 和危 险 ， 每 个 服 务 配 置 也 一 样 。 决 策 是 基 于 该 问 题 对 其 他 领 域 的
48、 机 构 组 织 能 有 关键 的 应 用 。 决 定 的 决 策 者 将 会 不 得 不 平 衡 近 期 花 费 /价 值 与 潜 在 的 长 期 的 危 险 ，有 关 新 的 易 损 性 、 磨 损 、 潜 在 的 职 员 生 产 力 /士 气 和 内 部 功 能 技 术 的 损 失 ， 以 及其 他 的 影 响 。 那 些 因 素 的 完 全 的 程 度 和 被 考 虑 的 问 题 将 会 藉 着 机 构 组 织 而 改 变 ；这 些 因 素 和 问 题 概 括 在 图 3-2 中 的 六 个 种 类 。表 3-2 IT 安 全 服 务 问 题 分 类战 略 /目 的 当 想 到 任 何
49、 的 决 定 含 意 的 时 候 ,决 策 者 一 定 会 问 他 们 自 己 从 策 略 的 观 点 来 看 什么 是 对 机 构 组 织 是 最 好 的 和 什 么 能 最 好 地 帮 助 机 构 组 织 达 到 它 的 目 的 。 适 当的 应 用 ， 安 全 服 务 应 能 提 高 效 率 ， 而 不 减 少 了 目 的 的 性 能 。预 算 /资 金 当 考 虑 到 费 用 时 ， 应 该 关 注 的 是 价 值 和 全 过 程 的 费 用 。技 术 /体 系 结构IT 服 务 ， 甚 至 是 管 理 服 务 ， 有 着 技 术 的 含 义 。 整 个 循 环 中 ， IT 安 全 管 理 者 必需 考 虑 对 技 术 问 题 和 机 构 事 业 体 系 结 构 的 影 响 。组 织 上 的 这 些 问 题 有 关 一 个 机 构 组 织 的 难 以 明 了 的 元 素 ， 例 如 对 机 构 形 象 和 名 誉 的 损害 ， 核 心 力 焦 点 的 改 变 ， 及 机 构 的 弹 性 。 在 许 多 情 况 下 ， 由 于 自 然 的 业 务 单元 分 配 或 管 制 的 需 要 ， 而 过 度 长 期 接 受 内 部 控 制 和 业 务 练 习 ， 可 能 不 得 不 被重 新 考 虑 。人 事 上 的
