信息安全服务(Assurance Services)
目录 |
信息安全服务是指适应整个安全管理的需要，为企业、政府提供全面或部分信息安全解决方案的服务。信息安全服务提供包含从高端的全面安全体系到细节的技术解决措施。
目前，国内政府和企业中信息安全建设多处在较初级的阶段，缺乏信息安全的合理规划，也普遍缺乏相应的安全管理机制，这些问题受到整体管理水平和信息化水平的限制，在短期内很难根本改变。当前国内的信息安全服务商纷纷提出了自己的安全服务体系，一般都包括信息安全评估、加固、运维、教育、风险管理等。这些西方背景的先进的理念在吸引用户的同时，给用户造成了很大的迷茫，很多用户购买安全服务的直接动机是应付当前的安全事件、满足管理层的意志或减轻来自内外的舆论压力，服务形式内容和现实需求之间存在较大落差。
必须承认当前信息安全服务对用户的帮助主要在技术方面，对管理的影响是有限的。用户普遍遇到的最大问题是自身资源不足，实际是“安全管理员”的缺位，其次是对基本管理体系探索的需求。从用户的角度来看，信息安全服务能带来的实际好处包括：弥补用户人力的不足，弥补用户技术的不足，弥补用户信息的不足，弥补用户管理思想的不足。这些服务内容主要通过服务团队特别是一线人员传递到用户的手中，服务人员的技术技能和态度将直接决定用户的收益。
1、谨慎选择厂商和服务内容
用户在选择服务商的时候，遇到的困惑之一是服务厂商的服务内容的同质化，市场排名或成本因素往往成了选择的主要标准，这是不理性的。真正重要因素是服务商的安全现状和安全目标的理解和认可程度，并能否针对性地提出合理的服务内容和方案；服务人员的技能考察非常重要，取得安全服务资格的厂商并不一定能具有真正的服务能力，用户方的负责人员和实际服务人员的深入交流一般会提供鉴别的依据；服务商的服务管理能力和信用等也是考察的要点。
2、引导与监控安全服务进程
在安全服务的实施过程中，需要用户的积极参与。虽然在服务契约签订时，双方已经初步确定了服务的内容和目标，但这些内容和目标往往是抽象的，高素质的服务人员会依此主动发现问题，提供合理的建议，普通服务人员常常不具备这种能力。但无论哪种情况，用户的引导和监控都是必要的，服务商对用户的信息系统的认识程度是有限的，能够介入的范围也很狭窄，用户应当用需求或目标来引导和监控服务的实施，甩手掌柜式的用户会导致安全服务的效力无法发挥和自身能力的停滞。
3、善于放大安全服务的效力
信息安全服务是一项借用外脑的活动，一般用户更情愿在软硬件系统的购买上投入资金，却对安全服务比较质疑，原因是认为服务既是无形的，又不创造经济效益。其实，用户是可以将安全服务的效力放大的，如果仅把安全服务看作是仅对it部门的服务，那效力就仅限于一个部门，如果为更大的范围服务，就会取得更大的效力，如安全预警。另外创造性的服务也可带来经济上的效益，一个合理的安全建设方案可能会带来实际的成本的节约，一个安全管理的认可，可能会带来企业形象的提升，甚至一项安全增值业务可能会带来直接的收益。
信息安全的特点决定了对信息安全服务商有较高的要求，我们将之分为管理要求、技术要求和高级要求，其中管理原则和技术原则主要基于实践应急反应层面，高级要求主要针对安全管理、安全策略和发展层面。
管理要求
技术要求
高级要求
国内每个信息服务商都有自己的生存方式，站在用户的角度考虑，认为有两个问题不能回避：
1、服务能力建设。
安全服务的根本意义在于帮助用户以较低的成本实现高效的信息安全体系。缺乏具有合格技能和创造性的队伍，这是信息安全服务面临的最大问题。虽然安全服务这个市场的坚冰已经撬动，但对安全服务的评价仍在进行中。大量的服务项目在照搬概念、教条式地开展，服务人员不能发现、解决用户的实际问题，更不说为用户提供个性化的服务。在安全服务行业刚刚萌芽之际，遭遇用户的集体遗弃将会是致命的。
2、观念更新。
信息安全服务商如果要赢得用户的认可，就必须具备两个基本观念：一个是信息安全是为信息化服务的，不能离开对用户信息化脉搏的把握。从“安全就是防火墙”，到“安全三大件”，到“三分技术七分管理”用户和服务商都在思索信息安全建设的途径。因为“提升安全管理水平”似乎在中国实行困难后，安全服务惨淡的困守在网络安全、主机安全这两个孤岛上，随着信息化基础设施的渐入尾声，这两个领域能为用户带来的价值日渐式微。应用的安全日益成为用户关注的重点，身份认证、信息防扩散、电子签章、电子交易等成为一个个热点领域，安全服务商需要革新观念，将服务进一步专业化和细化，才能在有所作为，打破目前安全服务市场的同质化局面。另一个基本观念是每个用户的安全需求是个性化的，没有放之四海皆准的定律，经验的积累和再利用是必要的，但必须创造性地使用。
通过对国家标准、政策法规的研究与知识的积累；通过对各行业特点及业务流程特点的研究及工程经验的总结分析；通过对新技术的研究与运用；通过对市场发展动态的统计分析，预计我国未来安全服务市场将会有广阔的发展前景。与此同时，通过对安全服务市场发展趋动因素的分析，安全服务体系将包括安全咨询、等级测评、风险评估、安全审计、运维管理、安全培训等几个重点方向，用户更需要的是有针对性的、个性化的、模块化的、可供用户任意选择的、周全的安全服务体系。
安全咨询服务
安全咨询服务的发展趋势将向行业化的方向发展，针对性更强，咨询服务内容更细。具体会体现在政府、银行、企业等几个重点领域。咨询服务的内容将以行业特点为核心，从技术、运维、管理、策略等方面提供具有针对性的安全技术与管理咨询服务。
例如：针对企业提供信息安全管理体系ISMS建设咨询、IT服务管理体系ITSM建设咨询与企业IT内审咨询；针对国家政府信息化建设提供等级保护建设相关咨询服务，包括政务系统定级、系统规划、系统建设及运维管理的咨询等。
等级测评服务
针对国家政务信息系统的等级测评服务将会向自动化的方向快速发展。利用新技术开发自动化的等级测评工具，以降低测评难度、加快测评速度、提高测评准确性。利用自动化的专业等级测评系统对政务信息系统进行等级测评是未来技术的发展方向也是等级测评服务的发展方向。
风险评估服务
风险评估服务可帮助用户了解自身网络信息系统的安全状况：通过资产重要性分析明确需要重点保护的资产信息；通过系统弱点分析、威胁分析、安全措施的有效性分析确定各项资产所面临的真实安全威胁问题。
由于风险评估的流程复杂、技术难度大、历时久、周期长等问题，严重困扰着行业用户风险评估工作的实施。因此，开展针对性强、自动化、模块化的风险评估工具是未来风险评估服务发展的主要方向。它可以降低风险评估的难度，提升风险评估的效率，保障风险评估的准确性，更便于用户实施网络信息系统的自评估工作，降低风险管理成本。
安全审计服务
安全审计服务将严格以安全政策或标准为基础，用于测定现行保护措施整体状况，同时检验是否妥善执行现有的保护措施。安全审计的目的在于了解现有环境是否已根据既定的安全策略得到妥善的保护。安全审计服务可能使用安全审计工具和不同的审核手段，以找出安全问题漏洞，因此安全审计需要多种技术作为支持。安全审计是需要反复进行的检查程序，以确保适当的安全措施已切实执行。因此，安全审计的进行次数会比安全风险评估的周期性更强，是风险评估服务的有效补充。
信息系统安全审计服务可协助用户确保系统安全策略运行在有效控制措施之下。从技术、管理和人员等多个方面，帮助客户加强内部控制，建立合规性机制，应对合规性审查，预计安全审计服务是未来信息安全服务行业发展的重点方向。
运维管理服务
应急响应是运维管理中的典型服务之一，可有效降低用户因突发安全事件造成的损失，可有效帮助用户及时准确定位安全事件并对安全事件进行处置，降低用户损失。应急响应主要针对突发的网络故障、病毒爆发、网络入侵、主机故障、软件故障等事件。目前，运维管理服务已逐渐将应急响应和系统维护、安全加固、安全检查等工作融为一体。
运维管理服务将保持快速增长的发展态势，2005年市场整体规模已达到23.32亿元。运维管理服务已成为推动市场增长的强劲动力。2005-2009年，中国运维管理服务市场的年均复合增长率将达到20.3%。2009年的整体市场规模将接近80亿元。针对广阔的市场前景，驻地安全运维服务、周期性巡检服务、渗透评估服务、安全加固服务将成为安全运维管理服务的重点方向。
安全培训服务
随着信息安全行业的发展，越来越多的企业开始注重企业员工的安全意识培训与网络运维服务人员的安全技术培训。据相关报告，我国74.9%的企业把“信息化人才培训”列为工作重点，企业在实施安全解决方案的同时，其中的一个重点将是帮助企业培训员工树立必要的安全观念。安全培训可使企业员工提高安全意识，增强安全技能与突发安全事件的应对能力，保障信息系统的安全。针对用户需求，向用户提供适合自身特点的模块化的专向安全服务培训将是未来培训服务业发展的重点方向。