计算机安全的项目管理

计算机及其处理的信息对于许多公司完成其使命和业务功能是至关重要的。因此高级管理人员通常将计算机安全视为管理问题，他们像保护其它任何有价资产那样寻求对机构计算机资源的保护。为了有效地进行保护就需要制定广泛全面的管理措施。

这里介绍整个机构范围的计算机安全措施并讨论其重要的管理功能。由于机构的规模、复杂程度、管理风格和文化各不相同，不可能描述出一种理想的计算机安全项目。但是这里还是描述了一些对于许多机构都通用的特性和问题。其中包括：

1. 计算机安全项目的架构

许多计算机安全项目被分配给整个机构中执行不同职能的不同部门来完成。这种方法有其优点，但是许多机构中计算机安全职能的分配是随意的，通常是基于历史原因（如机构在有工作需要时正好可以使用的人）。理想的情况是，计算机安全职能的分配应该有计划地按照整体的管理思路进行。

在多个层次进行计算机安全管理能够带来很多好处。每一个层次都能够为整体计算机安全项目提供不同的专门技术、权力和资源。通常，级别越高的官员对机构整体的了解越全面其权力也越大。另一方面，官员的级别越低（在计算机设施和应用级的官员）对具体需求就越熟悉，其中包括技术的和规程的需求，也包括系统和用户的问题。计算机安全项目管理的各级别应该互为补充，互相帮助会提高效率。

因为许多机构至少有两个计算机安全管理级别，所以本章将计算机安全管理分为两级：核心级和系统级（当然，每个机构可以有自己独特的架构）。核心级计算机安全项目可以被用于处理机构整体的或机构主要部分的计算机安全管理。系统级计算机安全项目处理特定系统的计算机安全管理。 2. 核心级计算机安全项目

核心级计算机安全项目的目的是处理机构内整体的计算机安全管理。 与所有的资源管理一样，可以使用多种手段和具有成本效益的方式来进行核心级计算机安全管理。良好管理的重要性是怎么强调也不过分的。对计算机安全项目的核心级管理也具有向下的趋势。特别应该引起注意的是，这造成了决策失误在整个机构中广泛传递的巨大风险。管理者在努力达成其目标时，需要考虑建立计算机安全项目的所有可能选择的全面影响。

核心计算机安全项目的益处核心安全项目应该提供两种不同类型的益处： 提高整个机构中的安全效率和经济性 • 提供集中式的执行和监督能力。

•

核心计算机安全项目帮助对整个机构中安全相关资源的有效使用进行协调和管理。这些资源中最重要的通常是信息和金融资源。

管理者需要良好和及时的信息以便有效完成其任务。但是，多数机构难以做到在金字塔式的资源架构中收集和有效处理信息并在机构中对信息进行分发。 计算机安全相关的信息可以从私营或公共机构得到。这些机构经常做为公共服务机构提供信息，当然也有一些私人组织提供付费信息。但是，既使是免费或便宜的信息，其信息收集人员的相关费用也可能很高。

内部的安全相关信息，如哪些规程是有效的、病毒的感染、安全问题和解决方案需要在机构中分享。通常，这些信息是针对机构的运行环境和企业文化的。 在机构级别进行管理的计算机安全项目为在整个机构范围内收集内部安全相关信息和根据需要对其进行分配提供了一种途径。有时机构也可以与外部组织分享这些信息。

有效导入信息的另一种方法是增强核心计算机安全项目影响外部和内部决策的能力。如果核心计算机安全项目人员能够体现整个机构的利益，那么其建议就更能够引起上层管理人员和外部机构的关注。但是，要有效地做到这一点，系统级计算机安全项目和机构级计算机安全项目之间就应该有很好的沟通。例如，如果一个机构考虑将其大型机整合到一个站点（或考虑将现在一个站点中的处理分布出去），核心项目的人员就可以对其所牵涉到的安全问题提出初步意见。但是，要想使其意见更具权威性，核心项目人员就要实际了解将要进行的系统级计算机安全项目预计进行的信息更改将会带来的安全影响。

除了能够帮助机构更经济有效地使用信息，计算机安全项目还能够帮助机构更好地使用本来就不多的安全经费。机构可以开发专门技术然后进行分享以减少重复为同一服务签订合同的需要。核心计算机安全项目可以协助进行信息分享。 位于核心计算机安全项目层次上的人员也可以开发他们自己领域的专门技术。例如，他们可以加强自己在应急计划和风险分析方面的技巧以协助整个机构完成其重要的安全任务。

除了允许机构分享专门技术以节约金钱以外，核心计算机安全项目可以利用其所处的地位整合需求以便机构可以基于对安全硬件和软件的批量采购来协商优

惠折扣率。它还可以协助诸如战略计划、整个机构范围的事件处理和安全趋势分析等活动。

除了协助机构提高计算机安全项目的经济效益和其效率，核心项目还可以包含独立的评估或执行职能以确保机构的分支单位更经济有效地保护资源和遵循既定策略。有多种理由需要在常规的管理管道中设立监督职能。首先，计算机安全是机构资源管理的重要部分。这是一项无法转嫁或放弃的责任。其次，进行有效的监督可以使机构在避免导致尴尬处境的前提下发现和解决问题。第三，机构可能发现外部机构无法发现的问题。机构比外部机构更了解其资产、威胁、系统和规程；人们与内部人员合作时更坦白。 3. 有效的核心级计算机安全项目的要素

为了使核心计算机安全项目发挥效用，应该将其做为机构管理的一部分。如果系统管理者和应用拥有者不需要与安全项目始终如一地相结合，那么它就会变成上层管理者“许诺安全”的华而不实的装饰。

稳定的项目管理职能 制定良好的项目都有一个做为核心级计算机安全项目经理的整个机构公认的项目管理人。项目应该拥有称职的人员，并且应该在项目管理职能与机构其它部门的计算机安全人员之间建立联系。计算机安全项目是一项复杂的职能，需要一个稳定的基础以便指挥对信息和经费等安全资源的管理。如果计算机安全项目在机构中没有给与适当的专家和授权支持，监督职能的优势就不能有效地发挥。

稳定的资源基础 制定良好的项目都有稳定的人员、经费和其它支持的资源基础。没有稳定的资源基础，就没有可能有效的制定和执行计划和项目。 策略的存在 策略为核心级计算机安全项目提供了基础，是记录和发布重要的计算机安全决策的手段。核心级计算机安全项目还应该公布协助策略执行和扩展策略的标准、规章和指导方针。

所发布的使命和职能描述 所公布的使命描述为核心计算机安全项目融入机构具体的运行环境提供了基础。这些描述明确地确定了计算机安全项目的职能并且定义了计算机安全项目以及其它相关项目和实体的责任。没有这些描述，就无法制定评估项目有效性的标准。

长期的计算机安全战略 建立适当的项目以便对长期战略进行探索和研究有助于将计算机安全综合到下一代信息技术中去。由于计算机和电信领域发展迅猛，所以对未来的运行环境作出规划是非常重要的。

遵守法规的计划 核心级计算机安全项目需要涉及到对国家政策和需求以及机构特定的需求的遵循。

机构内部的联系 机构中的许多人员能够影响到计算机安全。信息资源管理机构和物理安全人员是两个明显的例子。但是，计算机安全的职能经常与这些人员重叠，如人员安全、可靠性和质量保证、内部控制。有效的项目应该与这些团体建立关系以便将计算机安全整合到机构的管理中。这些关系不仅包括分享信息，而且包括人员之间的相互影响。

与外部团体的联系 所建立的项目应该对外部信息源有所了解并且善加利用。它还可以是信息的提供者。 4. 系统级计算机安全项目

核心级项目涉及到整个机构范围内的计算机安全，而系统级项目是确保每个系统具有适当和具有成本效益的安全性。这包括对实施何种控制、采购和安装技术性控制、日常计算机安全管理、评估系统缺陷和对安全问题的响应等具有影响力的决策。

系统级计算机安全项目人员是计算机安全的本地拥护者。系统安全经理／官员与管辖相关系统的管理人一起提出安全问题并协助制定安全问题的解决方案。例如，应用拥有者是否明确定义了系统的安全需求？新的功能的使用是否会影响安全，如果会，那么是怎样影响的？系统是否容易受到黑客和病毒的攻击？应急计划是否通过了测试？提出这些问题将迫使系统管理人和应用拥有者确定和解决其安全需求。 5. 有效的系统级项目的要素

正如核心级计算机安全项目一样，许多因素也影响着系统级计算机安全项目的成功与否。这些因素大多与核心项目的类似。这里涉及到一些额外的考虑。 安全计划 一些法律法规要求相关机构制定敏感系统的计算机安全和隐私计划。这些计划确保相关系统具有适当的和有成本效益的安全性。系统级安全人员应该能够制定和实施安全计划。

系统特定的安全策略 许多计算机安全策略需要涉及到特定系统的问题。不同的系统有不同的问题，但是访问控制和指定负责安全的人员大概对于每一个系统都是需要的。可以使用由安全目标导出安全规则的过程来制定始终如一和广泛全面的安全策略。

生存周期管理 在系统的整个生命周期中都必须进行安全管理。这特别包括在对系统的更改时确保其对安全的影响得到了关注并且完成了适当的审批手续。 集成到系统运行中 系统级计算机安全项目应该包括了解系统、系统的使命、技术和运行环境的人。有效的安全管理通常需要集成到系统管理中去。有效的集成将确保系统管理人和应用拥有者在计划和运行系统时将安全问题考虑进去。系统安全管理人／官员应该能够参与到选择和实施适当的技术性控制和安全规程的过程中并且了解系统的弱点。系统级计算机安全项目还应该具有对安全问题进行及时响应的能力。

对于大型系统，如大型机数据中心，安全项目经常包括如访问控制、用户管理和应急与灾难计划的管理人和职员。对于小系统，如办公室范围的局域网（LAN），这个LAN的管理员可能会兼有安全责任。

与运行相分离 计算机安全和运行部门之间经常存在固有的紧张关系。在许多场合中，运行部门要变得越来越大也就越来越有影响力，就通过将计算机安全项目并入计算机运行部门来寻求解决这种紧张关系。这种机构战略的典型结果就是计算机安全项目缺乏独立性、缺乏权威、很少引起管理层的注意并且缺少资源。

这种做为系统管理一部分的需求与独立性的需求之间的冲突可以有多种解决方案。许多解决方案的基础是在计算机安全项目和上层管理之间的联系，这种联系经常是通过核心级计算机安全项目建立起来的。建立这种联系的关键是要确立一个不包含系统管理的汇报体系。另一种可能是计算机安全项目完全独立于系统管理并直接向高层管理汇报。还有很多混合以及不同的方式，如计算机安全和系统管理人员在一起工作但是将其汇报（和监管）体系分开。 6. 核心级和系统级项目的相互作用

系统级项目要是不集成到机构级项目中就难以对机构重要领域的安全性产生影响。系统级计算机安全项目执行核心级计算机安全项目的策略、指导方针和规定。系统级的人员也通过核心项目发布的信息进行学习并利用整个机构的经验和专用资源。如果需要，系统级计算机安全项目进一步向系统管理提供信息。 但是，交流不能是单向的。系统级计算机安全项目将其需求、问题、事件和方案通知核心人员。对这些信息的分析可以使核心级计算机安全项目体现机构管理和外部机构的各种系统并且使项目和策略更有利于所有系统的安全。