一、信息安全体系的设计
    就像建造一座大厦需要事先设计蓝图一样，进行信息安全建设，也需要有一个实施依据，这就是整体上考虑的信息安全体系。信息安全要做成什么“模样”？信息安全建设应该考虑到哪些方面？到底什么才是全面而完整的信息安全？这些问题都需要通过安全体系的设计来回答。只有在整体的安全体系指导下，信息安全建设所需的技术、产品、人员和操作等材料才能真正发挥各自的效力。

    设计安全体系的目的是指导信息安全建设工作，包括确定安全建设的目标、制定和实施安全解决方案、检验安全实施效果等，基于这样的认识，我们可以得出这样的结论：一个真正适合信息安全现实发展状况的安全体系，绝不应该是将需求、过程和结果融为一体的大而全的东西，而只是一种能够清晰描述信息安全目标形态和构成要素的模型或者框架，在这个模型或框架中，信息安全的特点能够得以展现，技术和管理的关系也应该清晰明了。至于如何构建这样的体系（过程和方法），则应该通过其他途径来描述，比如完善的安全工程和服务体系。

    这里，我们提出了一种新的安全体系模型，即P-POT-PDRR模型（可以简称为PPP模型）。实际上这是一个将IATF核心思想与PDRR基本形态结合在一起的安全体系模型，符合我们对信息安全体系设计的基本要求。

P-POT-PDRR，即Policy（策略）、People（人）、Operation（操作）、Technology（技术）、Protection（保护）、Detection（检测）、Response（响应）和Recovery（恢复）的首字母缩写。其中单个环节所代表的意义与PDRR模型和IATF中的相同，但正是因为将这些环节分布到安全体系的不同层次，体系模型所代表的整体意义就有了很大变化。

    P-POT-PDRR分为三个层次，最核心的部分就是安全策略，安全策略在整个安全体系的设计、实施、维护和改进过程中都起着重要的指导作用，是一切信息安全实践活动的方针和指南，这和P2DR、PDRR是一致的。模型的中间层次体现了信息安全的三个基本要素，即人员、技术和操作，这构成了整个安全体系的骨架，从本质上讲，安全策略的全部内容就是对这三个要素的阐述，当然，三个要素中，人是唯一具有能动性的，是第一位的。在模型的外围，是构成信息安全完整功能的PDRR四个环节，信息安全三要素在这四个环节中都有渗透，并最终表现出信息安全完整的目标形态。

    概括来说，P-POT-PDRR模型各层次间的关系是：在策略核心的指导下，三个要素紧密结合协同作用，最终实现信息安全的四项功能，构成完整的信息安全体系。P-POT-PDRR模型的核心思想在于：通过人员组织、安全技术以及运行操作三个支撑体系的综合作用，构成一个完整的信息安全管理体系。

    虽然只是简单的演绎归纳，但新的安全体系模型能够较好地体现信息安全的各个特点，因而具有更强的目标指导作用。从全面性来看，P-POT-PDRR模型对安全本质和功能的阐述是完整的、全面的；模型的层次关系也很清晰；外围的PDRR四个环节本身就是对动态性很好的诠释；无论是人员管理、技术管理还是操作管理，都体现了信息安全可管理性的特点；至于过程性和相对性，在对模型的建设和实现过程（安全服务和工程过程）中可以充分体现。图1所示即P-POT-PDRR模型：

图1  P-POT-PDRR安全体系模型 

    在P-POT-PDRR模型中，安全策略处于核心地位，是组织让人借助技术手段通过一系列操作过程去实现安全目标的规则和约定。安全策略本身的制定是需要具备层次性的，从最高层的总体方针，到针对特定问题的策略，再到针对特定系统的策略。为了让策略有效实施，组织还应该通过标准、指南和程序等方式来部署策略。有一点很重要，安全策略的制定和实施，一定要符合相关法律法规的要求，也应该符合行业规范、合同条约和协议的要求。

    在构成信息安全的三个要素中，人是起着决定性作用的，当然，这里所说的人是个宽泛的概念，不单指组织的个人，还包括其组织架构、角色和责任、意识和培训、人员管理等方面的内容。技术要素，除了包括ISO 7498-2体系中定义的各种静态防护技术外，还包括检测、响应和恢复环节所必须依托的各种技术手段，当然，对这些技术内容的管理也是很重要的。至于操作要素，主要是指那些人和技术手段相结合的流程和过程，包括评估过程、监视和检测过程、审计过程、应急响应过程，当然，所有这些过程都需要通过完善的管理来协调。按照P-POT-PDRR模型的定义，人员、操作和技术三个要素所包含的内容完整地构成了实现信息安全目标所需的四项功能（或者服务），具体的实现方式，可以是技术产品，也可以是管理过程和操作流程。需要注意的是，无论是人员管理，还是技术管理和操作管理，都应该建立起完备的文档化体系，一方面让安全活动有所依据，另一方面也便于追溯和审查，这和BS 7799标准所要求的建立文档化ISMS的思想是一致的。

    P-POT-PDRR模型的外围就是经典的PDRR，防护、检测、响应和恢复这四个环节共同构成了完整的信息安全体系所能提供的功能和服务。就防护来说，ISO 7498-2所定义的传统的安全技术可以建立起信息安全的第一道防线，包括物理安全措施、操作系统安全技术、身份认证技术、访问控制技术、数据加密技术、完整性保护技术等；在检测环节，病毒检测、漏洞扫描、入侵检测、安全审计都是典型的技术和操作手段；在响应环节，包括突发事件处理、应急响应、犯罪辨析等技术和操作；而在恢复环节，备份和恢复则是最重要的内容。当然，在这四个环节中，无论是采用怎样的措施，都能够通过人、操作和技术三者的结合来共同体现安全策略的思想，最终实现信息安全的目标和要求。图2所示是对P-POT-PDRR模型所包含内容的的框架性描述：

图2  P-POT-PDRR安全体系框架 

二、如何建设信息安全体系
    设计良好的信息安全体系只是一张蓝图，要想让蓝图成为现实，信息安全实践者还需要建立起一套行之有效的方法论，并照此将安全体系落实成真。应该注意，在建设信息安全体系时，信息安全的动态性、过程性、相对性（均衡性）和生命周期等特点会得以充分展现。

    和信息安全体系的发展一样，信息安全建设方法的演变也经过了一段过程。起初，人们对信息安全体系的认识还停留在静态的防护技术上，安全建设更多采用的是以点概面和就事论事的方法。比如说要保护机密数据，需要采用某种加密技术，再根据这样的技术要求去选择合适的产品。这样的信息安全建设方法常常是基于经验来进行，只对简单封闭的系统可行。随着信息系统的开放化、网络化、复杂化发展，人们对信息安全的要求也在逐渐深化和加强，这时候的信息安全建设不再局限于单个的技术产品，而是需要综合考虑的一个体系，比如防火墙、IDS、访问控制、认证授权等技术措施的综合运用和协调管理，对此类体系的建设，沿用了系统集成的思想和方法，当然，安全系统集成的核心仍然是以技术产品选型为主的解决方案，虽然也包括设计、实施和后期支持这样的过程，但并不完整和全面。随着人们对信息安全管理和完整的信息安全体系认识的加强，信息安全建设也在朝着工程过程化和生命周期的方向发展，并且和组织信息系统其他方面的建设紧密结合，构成了组织业务生存和发展的完备的支撑体系，这方面，IATF的信息系统安全工程（ISSE）方法、BS 7799提出的PDCA信息安全管理体系建设方法都值得借鉴。

    IATF认为，信息安全并不是纯粹的技术问题，而是一项复杂的系统工程，表现为具体实施的一系列过程，这就是信息系统安全工程（ISSE）。通过完整实施的ISSE过程，组织应该能够建立起有效的信息安全体系。

    与IATF的思想一致，SSE-CMM（系统安全工程能力成熟度模型）也对系统安全工程的过程给予了明确的定义。SSE-CMM是美国国家安全局组织开发的用于评估系统安全工程过程成熟性的标准。SSE-CMM将整个系统安全工程分成三类彼此联系的过程：风险过程、工程过程和保证过程。风险过程识别产品或系统面临的风险，并对这些风险进行优先级排序；针对风险问题，工程过程阶段要确定和实施解决方案；而安全保证过程则负责建立解决方案的可信性，并向用户转达这种安全的可信性。这三个过程共同实现了系统安全工程过程结果所要满足的安全目标。图3所示就是SSE-CMM定义的系统安全工程的过程。

图3 SSE-CMM定义的系统安全工程过程

    与将信息安全建设过程作为工程来描述不同，BS 7799标准要求建立信息安全管理体系（ISMS）的方法是基于风险管理来展开的，不过，尽管侧重不同，但ISMS建设过程与ISSE或者SSE的过程还是比较一致的，只是ISMS沿用的PDCA模型更能体现生命周期和动态发展的特性。

    PDCA（Plan、Do、Check和Act）是管理学惯用的一个过程模型，在很多管理体系中都有体现，比如质量管理体系（ISO 9000）和环境管理体系（ISO 14000），因为BS 7799和ISO 9000及ISO 14000同都出自BSI之手，为了保持一致，BS 7799所要求的信息安全管理体系也采用PDCA这样的过程模式。

    为了实现ISMS，组织应该在计划（Plan）阶段通过风险评估来了解安全需求，然后根据需求设计解决方案；在实施（Do）阶段将解决方案付诸实现；解决方案是否有效？是否有新的变化？应该在检查（Check）阶段予以监视和审查；一旦发现问题，需要在措施（Act）阶段予以解决，以便改进ISMS。通过这样的过程周期，组织就能将确切的信息安全需求和期望转化为可管理的信息安全体系。图4 所示即ISMS的建设过程。

图4信息安全管理体系（ISMS）的建设过程

    从以上分析可见，信息安全体系建设，无论采用怎样的方法论，其过程都表现出可反馈可发展的周期过程，每次周期都起于新的安全需求的发掘，止于体系复归平衡和稳定，这期间，风险评估、方案设计、工程实施、监视和审查等过程都是必不可少的。

    需要注意的是，本文提出的P-POT-PDRR安全体系只是一个理想的模型，是否符合组织自己的实际情况，还需要通过完整的信息安全体系建设过程来充实、完善和检验。一般来说，组织在安全需求的提取过程中就应该对最终的安全体系有个较为明确的认识，只有这样，之后的活动和过程才可以依据体系的设计蓝图来进行。

    针对P-POT-PDRR模型，建立一套可行的信息安全建设方法论是很有必要的，我们的目的，就是将设计中理想的体系模型最终付诸实践。