搜索
天威诚信依据BS7799建设安全可靠的PKI/CA认证中心北京天威诚信电子商务服务有限公司2004年5月10日1天威诚信公司简介北京天威诚信电子商务服务有限公司（iTruschina）是经信息产业部批准的全国性PKI/CA企业，是专门从事数字信任服务、PKI/CA建设服务、PKI/CA应用服务、PKI/CA运营管理咨询服务和PKI/CA体系整体规划服务的专业化信息安全技术与服务公司。天威诚信依照我国国情和密码管理政策，借鉴国外先进技术及管理方法，依据BS7799建设和运营政府认可的、权威、可信、公正的PKI/CA认证中心，研制了具有自主知识产权的PKI产品及应用，对外提供全面的数字信任服务。公司在开展自身业务的同时，参与了国家有关PKI/CA体系规划、建设和运营管理等方面的工作，并积极参与中国电子签名法立法。天威诚信正以其领先的技术、先进的管理方法和全面而精湛的产品与服务，为中国的信息安全服务。2为什么要依据BS7799建设天威诚信PKI/CA认证中心安全对于今天数字环境下的每一种经营业务来说都是至关重要的，而对于PKI/CA认证中心来说，安全则是其对外提供数字信任服务的基石。PKI/CA认证中心作为第三方机构，专门负责发放并管理所有参与网上业务的实体所需的数字证书，数字证书是网络世界中的身份证，可以在网络世界中为互不见面的用户建立安全可靠的信任关系，而这种信任关系的建立则源于PKI/CA认证中心，构建安全的PKI/CA认证中心是至关重要的。因为，如果PKI/CA认证中心安全性不够，非法用户可能入侵PKI/CA认证中心，窃取CA密钥，假冒认证中心签发数字证书，整个PKI/CA认证中心的信任体系将崩溃，将直接影响认证中心的利益，影响顾客的利益，甚至会给国家带来巨大的损失。顾客将期望PKI/CA认证中心在各个方面都展示出最高水平的安全，但由于影响安全的要素众多，从具体的物理安全到抽象的逻辑安全，其中既有人为因素也有非人为因素的影响，要解决这些问题，一个信息系统需实现包括信息系统安全、数据通信安全、密钥管理安全、证书管理、安全审计、物理安全和人员安全等等方面的安全防御体系，需要制定出详细的策略并遵照执行，而目前我国还没有专门针对PKI/CA认证中心的安全性建设制订一套有效的策略和规范。在当前环境下，为了让用户切实感到天威诚信所提供的服务是安全可信的，从而推动电子政务、电子商务等对信任机制要求较高的网上业务的发展，天威诚信只有从加强信息安全管理并向用户展示安全管理水平方面才能切实获得用户的信任，消除用户残余的安全忧虑。为了实现这个目标，天威诚信通过认真学习和研究BS7799，认为BS7799对安全管理方面的定义和描述完全满足PKI/CA认证中心的安全性要求，并且该标准已经可以作为国际公认的可用于认证、认可的安全管理标准。因此，为了保证认证中心的建设能够在有效的、成熟的标准指导下进行，同时有可通过该国际公认的标准进行检验并获得认证，从而实现向用户展示公认的安全管理水平的目标，天威诚信决定依据BS7799定义的安全管理活动中的目标和措施来制定了天威诚信PKI/CA认证中心的各项安全管理策略及具体措施，在实施后的长期运行过程中取得了良好的效果，现已形成了可持续改进的良性运转的安全管理体系。3天威诚信如何结合BS7799建设PKI/CA认证中心下面我们从BS7799定义的十个安全管理领域出发，分别阐述CA中心的运营安全管理体系是如何与其控制点进行结合的。3.1安全方针【信息安全方针的建设要点】：BS7799定义安全方针是为信息安全活动提供管理的方向以及所需的支持手段和管理层的承诺，同时安全方针还应该明确定义企业机构中安全策略的维护责任。典型的安全方针包含内容非常广泛，包括信息安全的定义和目的，以及在信息共享运转机制中安全防范的领域和重要性；管理意图的阐述，信息安全目标和原则的支持；安全策略、原则和标准的简要说明以及对机构尤其重要的规范实施条件的解释；阐述信息安全的职责；等等。【实施方法与形式】：天威诚信公司结合认证机构的建设特点，结合自身业务要求及运营风险，依据认证中心不同运营控制域分别制定了六个方面的安全策略，分别是人员安全策略、物理安全策略、逻辑安全策略、通讯安全策略、密钥安全策略以及安全与审计策略。在实际运营建设中，天威诚信参照BS7799建议的控制措施，对安全策略进行文档化控制，在企业范围内最大化的让广大用户及内部员工所了解和接受，并指导各种规定制度、操作程序的制定及实施，并定期进行评审和评估。3.2安全组织【安全组织的建设要点】：安全组织包含三个控制目标：企业信息基础架构、第三方访问安全以及外包。安全组织要求定义企业机构内部与信息安全有关的组织和协作，如何落实安全责任，与安全有关的授权过程，同时，要求管理者能够识别第三方合作和外包过程中的风险，并通过相关的合同控制安全风险。【实施方法与形式】：天威诚信设定了专职安全组织－安全管理部，并任命该部门的负责人安全经理来负责及协调与安全相关的所有活动。另外，考虑到责任范围及知识域全面性，天威诚信还组织高层安全管理小组以及跨部门安全小组这两个非常设性的行政组织来实现不同信息安全管理的控制需要。在实际运行管理中，天威诚信参照BS7799建议的控制措施对于三个控制目标进行多方面的管理控制：z定期、不定期的组织信息安全专题会议来改进、批准企业内部各种安全计划，监视、评审企业内部信息安全活动及涉及信息安全的业务流程的执行，讨论、降低安全事件给企业带来的安全风险等等。z进行全员化企业安全文化的建设，将安全责任落实到各业务部门、各负责人身上，例如信息维护人员必须熟知逻辑安全策略的要求，并切实将逻辑安全策略落实到具体业务工作中。z组织跨部门安全小组会议，进行各种信息安全活动的交流。必要时聘请外部专家给与信息安全管理工作指导性的建议及意见。z采用合理技术手段及管理措施来控制第三方对公司物理及逻辑方面的访问，并采用不同形式与第三方进行保密要求的约定。z对于外包，在进行外包活动前，天威诚信会组织专业人员进行严格的人员考察、讨论，满足认证中心的安全条件是外包活动的必要条件，另外在实施外包活动中，天威诚信会依据外包合同进行各种必要的审计工作。3.3资产分类及控制【资产分类及控制的建设要点】：资产分类及控制包括两个控制目标：资产责任和信息分类。资产责任要求建立起翔实、全面的资产目录；而信息分类则要求建立企业的信息分类原则，通过信息标准和相关处理来确保信息资产能够得到适当等级的保护。【实施方法与形式】：天威诚信作为专业的认证中心，除了针对资产的价值进行相应保护外，针对可提供各种不同功能、服务的设备、设施对其重要性也进行了判断分类，并配合物理方面安全保护措施，对各种资产进行了分区域的保护。如：对与密钥生成有关的服务器要设定四个层级以上的物理保护，还要提供UPS电源、恒温恒湿等物理条件。另外，对于文件、信息资料等，天威诚信进行四个保密等级（机密、秘密、敏感、公开四个等级）的标示及管理控制。对于内部信息的传输，天威诚信更是利用自身的技术、管理优势进行了证书管理机制。3.4人员安全【资产分类及控制的建设要点】人员安全包括三个控制目标：工作职责定义和资源中的安全、用户培训、对安全事件和故障的响应。该部分与安全组织一道，构成了企业安全管理的基础。“工作职责定义和资源中的安全”要求采取有效措施减少人员失误、盗窃、欺诈以及对设施的滥用。“用户培训”要求确保员工知晓和理解安全策略、制度、安全威胁等，有效地支持企业安全策略的执行。“对安全事件和故障的响应”要求采取措施将安全事件和故障造成的损害降低到最低水平，对此类事件进行监控并从中汲取知识和吸取经验。安全响应需要有效的流程体系和工具来保障其质量。【实施方法与形式】：根据认证中心实际业务运营风险，天威诚信针对人员安全控制管理重点制定了《人员安全策略》，针对三个控制目标分别制定了《可信雇员政策》、《职责分离政策》、《安全应急管理办法》等子策略，并结合《安全管理规范》进行实际运营过程中的人员安全管理。参照BS7799建议的控制措施对于三个控制目标，天威诚信进行多方面的管理控制：z“可信雇员政策”是人员安全系统的基础。所有有权访问天威诚信敏感CA操作的人员必须是值得信任的。可信人员是指必须接受并通过特定的背景调查，表明他们有能力维持进行关键操作，并且具有必要的信任级别。可信人员是指所有参与CA中心工作的人员——CA中心工作员和非CA中心工作员z根据可信雇员政策，天威诚信制定了相应的可信人员调查评估标准与审查标准，以及调查、审查程序。z“职责分离政策”针对天威诚信认证中心每个职能的功能领域制定了相应的责任范围及物理安全要求。并配合物理区域设定及访问控制系统来共同管理天威诚信认证中心中的各种职能的成员。z天威诚信针对每一名员工（正式、非正式）及第三方用户都签署不同形式的保密协议，以约束保密行为。对于正式员工除了在劳动合同中给与保密活动特殊的约定外，还针对员工离职后在一段时间内不允许就职于相同职位进行了经济补偿的约定。z所有新员工都必须经过相应的安全培训，涉及到安全管理、技术、实施的员工还必须经过相应考核。z对于运营中出现的安全事件、安全事故，天威诚信进行了明确的界定。对于普通的安全事件由各业务部门进行记录上报或由安全管理部直接查明后记录归档；针对于不同业务领域的安全事故，天威诚信组织成立了不同知识结构的安全应急响应小组进行及时的相应处理工作。z天威诚信对于所有影响业务运行的事件、事故都进行了存档工作，并定期整理、学习，纳入到新的安全策略制定讨论中。z为了维持安全策略的正常实施，防范安全事件、事故的再次发生，天威诚信还制定《违规处罚办法》以确保公正、有效处理安全事件、事故。3.5物理和环境安全【物理和环境安全的建设要点】物理和环境安全包括三个控制目标：安全区域、设备安全和一般控制措施。“安全区域”目的是防止业务设施和信息受到未经授权的物理访问、损害和干扰。而“设备安全”的控制措施可以防止资产丢失、受损和受到威胁，防止业务活动受到干扰，包括电信供应和线路安全等等。“一般控制措施”包括清理桌面和屏幕、以及资产迁移等。【实施方法与形式】：物理和环境安全是认证中心最基础的安全保障。天威诚信针对物理和环境安全管理重点制定了《物理安全策略》，物理安全不仅在于其对认证中心资产的有明显保护作用，而且还为认证中心提供了一种安全的管理方法。天威诚信针对认证（CA）中心制定了完善的物理安全系统。具体包括：CA设施的物理建设措施、CA设施的分层访问控制措施、物理侵入检测系统建设措施，设备、设施保障措施，运营管理措施等：天威诚信对建筑物制定详细安全措施要求：特征特殊安全性要求整体建筑所有的CA设施必须使用能够阻止和检测隐蔽性穿透的材料来建造。墙壁、地板和天花板·建筑物的外墙、地板和天花板都属于永久性建造，并互相联结。·所有建造必须做到能够使未经过授权的穿透是明显可见的。·敏感区域的墙壁必须加固，在其双层干饰面内墙之间，应采用160毫米以上的镀钢夹层，或者采用具有相同强度和抵抗力的同等材质。·墙壁必须是从地板直接到屋顶的构造，而不采用吊顶。入口门·只使用一个门作为敏感区域的常规入口。·门必须坚固，足以抵制用力的进入。门应该是从内部加固的空心金属工业门，并且是外包金属或至少厚度为4.5厘米的固体硬木门。·门框必须安全地固定在设施上，并装配重型的/高安全性的抗击碎板，以及用螺丝钉固定的铰链，其长度要足以防止通过窥探将其移走。·门的安装结构要求，将铰链销子的位置设在设施内，或将铰链销子用螺丝钉固定或焊接在适当的位置上，以便防止铰链销子被移走。其它门除作为紧急出口或为了移动大体积的物品而设置的门外，不应建设其他的门。·这些门必须达到主入口门的构造标准，而且必须设计为只能从里面打开。·所有的门，除了供那些经过授权的人员或材料通过而打开之外，其余门必须保持关闭。窗口敏感区域不应设有窗口。其他孔口通风孔、管道口或任何类似的通向敏感区域的孔口，如果超过619平方厘米，则必须采用硬金属条或安装侵入检测系统来保护。天威诚信针对C