BS 7799-1 首发于 1995 年，它为信息安全提供了一套最佳综合的实践经验与控制措施，目的是在信息系统应用中为确定实施控制措施的范围提供参考依据，并且能够让各种规模的组织采用。

BS 7799从10个领域来关注信息安全的保障，共提供36个控制目标和127个控制措施。BS 7799-1被采纳为ISO标准，ISO 17799于2000年正式发行。2002年BS 7799进一步改版，引入PDCA的过程方法，与ISO 9001等标准采用同一框架。

1 问题的提出

遵循ISO17799规范的信息安全解决方案，是一个有机而相互依赖的统一体，是一个系统工程。

1、信息的主要载体是互联网。国家经贸委信息中心对国家重点企业和地方骨干企业的调查表明，有63.6%的企业建立了自己的内网（Intranet）并接入了互联网；2003年底，对中小企业信息化的调查表明，83.2%的企业建立了自己的内网。由此可以得出这样的结论，解决了网络安全问题，就基本上解决了信息安全问题。

2、内网安全是信息安全主题。据美国安全软件公司Camelot和eWEEK电子杂志联合进行的一项调查显示，网络安全问题在很多情况下都是由“内部人士”而非外来黑客所引起。因为鲜有针对内部安全隐患的防范工具与手段，内部安全已经开始成为网络安全的热点。

“真正的安全是可管理的安全”，也就是说内部安全达到了可信任和可控制的程度，信息安全管理系统才算落实到了实处。本文正是立足于内网，运用ISO17799规范提供的建议，结合目前内网的信息安全问题的实际，探讨信息安全解决之道。

2 基于ISO17799的内网安全问题分析

以下所分析的落实信息安全管理制度时，特别是内网安全落实时，必然会遇到的技术和管理问题，对于这些主要问题陈述，正是基于这个涵义来分析的。

2.1 节点接入控制

接入组织内网的计算机应该是专用于办公的计算机，其他外来用户随意接入内网网络，可能会造成重要机密数据泄露等危险。

在ISO17799第九章 访问控制中，9.4网络访问控制目标明确指出“保护网络化服务，应该控制对内外网络服务的访问”。

这是内网信息安全面临的首要防护问题：机密性问题，即怎样在内网中确保可让授权获取的人士访问，拒绝非授权人士的入侵和访问。

2.2 节点验证问题

采用计算机管理IP地址和用户信息，若管理项目不统一，不便于统一管理范围的扩大化和信息共享。在ISO17799第九章 访问控制中，9.4.4要求“节点验证”。

如果内部网络存在IP地址、计算机名乱用、冒用现象，但组织又缺乏有效的监控手段，使得上网设备的IP地址冲突现象时有发生，无法保证合法设备可用性，从而也不能保证授权人需要时可以获取信息和相应的资产。

怎样在内网中对合法节点进行监控，避免上述问题，保证授权人需要时可以获取信息和相应的资产的目的，从而达到信息安全中的“可用性”的目的？

2.3 非法外联问题

在ISO17799第八章 通讯与操作管理中，8.7信息和软件交换的目标明确指出“防止组织间交换信息时信息受损、修改或滥用。应控制组织间的信息和软件的交换，并且交换应符合有关立法”

非法外联是ISMS的大敌，它直接破坏了信息系统安全的保密性、完整性及可用性，是任何一个信息系统安全都必须考虑的问题。

2.4 资产管理问题

管理人员对所管辖内部网络的资源占用、用户情况、实际接入的计算机数量以及接入内网的计算机安装的软件资产情况难以准确掌握，对面临的危害难于做出动态的评估和有效的防范，从而也不能达到对于保护信息和处理方法的准确和完善。

在ISO17799第五章 资产分类管理中指出“编辑资产清单的过程是资产评估的一个重要方面”，其目的是达到“对组织资产进行适当的保护”。

2.5 硬件违规行为监控

内网中许多计算机保存着一些涉密的内部信息，这些信息不能够随意地传播，计算机的外围设备为各种信息在不同的计算机设备之间交流提供了一个方便的途径，通过它们可以将各种信息（包括病毒、木马等）复制到不同的计算机中。

在ISO17799第七章 实际和环境的安全中，7.3常规措施的目的是“防止信息或信息处理设施受损或被盗，防止将信息和信息处理设备暴露给未经授权的人，或被未经授权的人修改或偷窃，并应采取控制措施，将损失或损害最小化”。

因此有必要对外围设备的使用进行控制，不允许随意地使用外围设备拷贝机密数据。安全管理及监控系统应该实现对各客户机外围设备（包括软驱、光驱、USB盘、串口、并口、1394口等）的集中监视和控制，可禁止和启用各客户机的外围设备，有效地保护计算机上的信息。

2.6 软件违规行为监控

违规软件的使用是造成内网信息安全的重大隐患之一，因为违规软件的使用可以直接构成对信息安全的可用性和机密性造成威胁。

在ISO17799第八章 通讯与操作管理中，8.3防止恶意软件中指出其目标是“保护软件和信息的完整性”。

2.7 网络拓扑查看与安全事件定位困难

在安全事件发生时，往往管理人员最初仅能获取到事故计算机的IP地址和MAC地址等基本信息，无法迅速定位到其实际物理位置和用户，从而延误对重要安全事件的处理。

ISO17799规范中第六章规定了人员安全，其中详细谈论到了关于安全事故和故障处理等系列问题，其目标是“最大限度降低由于事故和故障而遭受的损失，对此类事故进行监控并吸取教训”。

2.8 服务器监控困难

随着计算机越来越渗入工作，计算机使用领域日益拓展，计算机相应提供服务逐渐增多，服务器也逐渐增多，服务器群越来越庞大。这些计算机、服务器上的服务对内网计算机工作日益重要，与此同时，对这些服务运行状况的监控变得日益困难。

在ISO17799第九章 访问控制中，9.3用户责任中指出“对于无人职守的设备应该确保对其进行保护。”

服务器的工作状况的好坏将直接影响到信息系统安全的可用性，服务器繁琐的巡检会消耗大量的工作人员的精力和时间，且因巡检方法本身的局限性，巡检的效率和效果总是不能令人满意。

因此，怎样在内网中对这些重要的服务器的工作状况进行实时监控，从而保证信息安全的可用性及完整性？

2.9 完整的授权认证问题

一个庞大的内网，往往采用分而治之的方法，对于不同的用户，系统应该区分对待，简单地说，就是完成解决“你是谁，可以做什么”这两个问题。

ISO17799规范中第九章讲述了网络访问安全等等事项，其中9.2用户访问控制目标是“防止对信息系统的非法访问”。

解决该问题，才可以比较充分地解决内网安全工具本身的使用信息保密性，从而维护整个内网信息系统的机密性和完整性。

3 内网安全问题解决方案

3.1 问题的解决方法

通过以上分析，我们发现，如果解决如上问题，就基本上达到建立一个可信并可控的内网的目的。目前国内也有很多公司在做一些这些工具中的一小部分，其中上海宝信软件股份有限公司的“宝信网络巡警eCop”能够实现如上功能要求。

Cop产是宝信研发部自行研发出产品，历时3年开发，已经取得网络安全产品销售的所有资质（包括军用产品资质），宝信网络巡警eCop包含有IP地址管理、客户端管理、网络拓扑、服务监视四大功能模块，并有完整的授权管理和日志审计功能。

宝信网络巡警eCop以Java、Web技术为架构，采用面向对象和Message Queue技术构建信息交换平台，使系统的各项功能构建于该平台之上，使整个系统具备灵活的扩展性。其总体特点如下：

1、立足于内网信息系统安全；

2、主动防御；

3、偏重于管理。

作为业界领先的成熟解决方案，eCop已经在上海宝钢集团、上海联通国脉股份有限公司、中国联通上海分公司、厦门市工商局、上海海关、浙江省建设银行等单位成功实施部署，并为这些单位内网安全发挥了至关重要的作用。

4总结展望

在信息高速发展的时代，一边是日新月异的现代化网络，而彼岸是和谐的信息安全社会，采用ISO17799规范的信息安全管理体系是联系两者的桥梁。在这座美丽的大桥上，宝信eCop是支撑这座桥梁的鲁班石。