Day37-12｜18.3.3 信息系统安全规划框架：把安全目标组织成可评审、可实施的体系

对应教材：第 18 章安全架构设计理论与实践——18.3.3 信息系统安全规划框架
学习定位：掌握信息系统安全规划框架的组成、层次、工作流程和成果形式，理解战略层、治理层、业务层、技术层、运营层和保障层之间的关系，能够在案例分析中给出完整的安全规划框架。

一、规划框架与规划路线的区别

上一节关注“从现状差距到分阶段建设路线”，本节进一步回答“安全规划应该如何组织”。规划路线强调先做什么、后做什么，规划框架则强调安全规划由哪些层次、哪些对象、哪些过程和哪些成果构成。

如果没有框架，规划容易变成一份项目清单；如果只有框架没有路线，规划又可能停留在原则和口号。一个完整的信息系统安全规划应当同时具备结构和行动：

安全愿景与目标 → 治理与责任 → 业务和数据范围 → 风险与合规 → 安全能力架构 → 项目和资源 → 实施路线 → 运营度量 → 复评改进

二、安全规划框架的总体组成

2.1 战略目标层

战略目标层确定组织希望达到的安全状态。例如保障关键业务连续性、保护客户和重要数据、满足监管要求、支持云化和全球化、提升事件响应能力等。

战略目标要避免只写“建设一流安全体系”，应明确服务对象、时间范围、业务结果和评价方法。例如，在三年内使关键业务达到指定可用性，关键资产纳入统一身份和日志管理，高危事件得到规定时间内发现和处置。

2.2 治理与组织层

治理层规定安全责任、决策机构、制度体系、风险接受、审计、供应商、预算和例外处理。它解决“谁负责、谁批准、谁执行、谁监督、谁承担风险”的问题。

安全治理通常需要业务委员会、信息安全负责人、架构评审组织、数据保护责任人、系统负责人、运维团队、安全运营团队和审计团队。职责不能只写在制度中，还要映射到项目、平台和流程。

2.3 业务与信息层

该层识别业务流程、业务重要性、数据分类、数据流、服务等级、合规边界和业务依赖。它把业务语言转换为安全约束，例如“支付不能被重复执行”“客户信息不能跨客户共享”“生产控制不能被办公终端直接访问”。

2.4 风险与合规层

该层管理资产、威胁、脆弱性、风险、法律法规、标准、客户合同和审计问题。风险清单应有责任人、优先级、处置方式、到期时间和剩余风险，不能只在项目初期完成一次。

2.5 安全能力层

安全能力层描述组织需要具备的身份、网络、终端、应用、数据、密码、云、供应链、运营、响应和恢复能力。能力描述比产品描述更稳定，可以支持不同厂商和技术演进。

2.6 技术架构层

技术架构层将安全能力落实到平台、组件、接口、数据、策略和部署位置，例如统一身份平台、PAM、WAF、EDR、SIEM、KMS、DLP、云安全平台、备份平台和安全编排平台。

2.7 实施与运营层

实施层描述项目、阶段、依赖、预算和验收；运营层描述监控、告警、响应、漏洞、权限、配置、备份、演练和持续改进。安全规划必须通过运营让架构长期有效。

三、安全规划的对象模型

3.1 资产对象

包括业务、系统、数据、设备、账号、接口、网络、云资源、代码、镜像、证书、密钥和备份。每项资产应关联价值、责任人、位置、依赖、敏感性和生命周期。

3.2 主体对象

包括员工、客户、供应商、管理员、服务、设备、应用和自动化任务。主体需要有身份、角色、权限、认证方式、生命周期和风险状态。

3.3 控制对象

包括策略、流程、技术组件、管理措施和人员操作。每项控制应关联目标风险、实施位置、责任人、有效期、证据和验证方法。

3.4 事件对象

包括登录、访问、配置变化、漏洞、告警、攻击、故障、权限提升、数据导出和恢复。事件要关联主体、资产、时间、来源、结果和处置过程。

3.5 证据对象

包括配置、日志、测试报告、审批、演练、扫描结果、签名、版本、恢复记录和审计结论。没有证据，安全规划很难证明已经落地。

四、安全规划的工作流程

4.1 明确范围和边界

首先明确组织、业务、系统、数据中心、云区域、第三方和地域范围。范围不清会导致资产遗漏、责任争议和预算失真。

4.2 识别关键业务与资产

通过业务影响分析确定关键业务、关键数据、关键依赖和最低服务等级，形成资产及责任清单。不能只从技术资产出发，要识别 DNS、身份、时间、密钥、消息和人员等隐性依赖。

4.3 进行威胁和风险分析

分析外部攻击、内部越权、供应链、配置错误、自然灾害和服务商故障，评估可能性、影响和现有控制，形成风险优先级和处置建议。

4.4 评估现状能力

从治理、人员、流程、技术、数据、运营和恢复等方面建立基线，采用访谈、配置检查、平台数据、漏洞扫描、事件记录、审计报告和演练结果进行交叉验证。

4.5 设计目标框架

根据风险、业务和合规要求设计目标能力、组织、流程、技术架构、数据流和运营模型，明确建设原则和边界。目标不能超出组织实际资源和可运营能力。

4.6 建立差距与项目组合

将现状与目标比较，形成差距；把差距归并为项目或能力提升任务，明确依赖、成本、收益、风险和验收指标。

4.7 制定路线和治理机制

安排阶段、里程碑、责任、预算、采购、上线、迁移、试点和回滚，建立评审、例外、审计和变更机制。

4.8 运行、度量和复评

项目上线后跟踪覆盖率、有效性、响应、恢复、成本和用户体验；根据新业务、新技术、新威胁和事件结果调整框架和路线。

五、规划框架中的能力域

5.1 安全治理与风险管理

包括安全政策、责任、风险台账、例外、合规、审计、供应商和安全意识。该域为技术控制提供方向和责任。

5.2 身份与访问管理

包括人员、设备和服务身份，认证、授权、MFA、PAM、权限治理、临时访问和异常行为。它是零信任、数据保护和审计的基础。

5.3 资产、配置和漏洞管理

包括资产发现、责任、版本、配置基线、补丁、漏洞、暴露面和修复验证。它支撑风险排序和事件影响判断。

5.4 网络与通信防护

包括安全域、边界、防火墙、入侵防御、远程接入、DDoS、无线、云互联、微隔离和流量分析。

5.5 主机、终端和运行时防护

包括服务器、终端、移动、物联网、虚拟机、容器和编排平台的基线、检测、隔离、可信启动和运行时防护。

5.6 应用和供应链安全

包括威胁建模、安全开发、代码和依赖扫描、API、镜像、CI/CD、发布、第三方和软件物料清单。

5.7 数据、隐私和密码安全

包括数据发现、分类、访问、脱敏、加密、密钥、隐私、共享、备份和销毁。应特别关注数据副本和跨域流动。

5.8 安全运营与业务恢复

包括日志、SIEM、威胁情报、事件响应、自动化、取证、灾备、恢复、演练和复盘。该域将其他能力转化为持续运行能力。

六、规划框架中的架构视图

6.1 业务视图

描述业务、用户、服务等级、关键流程和不可接受的影响。用于解释安全投资为什么与业务相关。

6.2 信息视图

描述数据分类、数据流、主体、存储、共享、备份和生命周期。用于确定加密、访问、脱敏和审计要求。

6.3 应用视图

描述应用、服务、接口、依赖、身份和安全控制。用于确定 API、服务间认证、业务权限和开发治理。

6.4 技术视图

描述网络、主机、云、容器、设备、密码、日志和安全组件。用于落地部署、配置和容量规划。

6.5 运营视图

描述监控、告警、工单、响应、恢复、演练、指标和责任。用于验证系统上线后是否能够持续安全运行。

不同视图必须一致。例如业务视图中的关键数据流要能在信息视图找到，在技术视图有安全路径，在运营视图有日志和监控。

七、安全规划成果物

规划成果通常包括：

安全规划范围和原则。
业务、资产、数据和责任清单。
威胁、风险和合规要求清单。
现状能力和成熟度评估报告。
差距分析与风险处置建议。
目标安全能力地图和技术体系架构。
组织、流程、责任和运营模型。
项目组合、依赖关系和分期路线图。
预算、人员、采购和供应商计划。
指标、验收、审计和持续改进机制。

每份成果物都应有版本、责任人、评审记录和更新时间。规划文件不是静态蓝图，重大业务、架构和威胁变化后要重新评估。

八、依赖关系与架构决策

安全规划中常见的依赖关系包括：

资产发现是漏洞、日志和事件关联的前置；统一身份是零信任、权限治理和审计的前置；数据分类是加密、脱敏和 DLP 的前置；日志标准化是 SIEM 和自动化响应的前置；备份与责任清单是恢复演练的前置。

对于每项重要架构决策，应记录背景、目标、候选方案、约束、选择理由、风险、影响和后续评估点。这样当业务和技术发生变化时，可以判断是否需要重新做决策，而不是依赖个人记忆。

九、规划框架的评审方法

9.1 完整性评审

检查是否覆盖关键业务、资产、数据、主体、边界、威胁、控制、运营和恢复，是否存在明显空白。

9.2 一致性评审

检查业务、数据、应用、技术和运营视图是否一致；目标能力是否有项目，项目是否有责任和指标。

9.3 可实施性评审

检查组织、人员、预算、技术、供应商、迁移窗口和运维能力是否支持目标；对复杂项目是否有试点、灰度和回退。

9.4 风险与收益评审

检查控制是否真正降低高优先级风险，是否引入性能、可用性、隐私和供应商锁定风险，是否有补偿措施和剩余风险接受。

9.5 可运营性评审

检查上线后谁监控、谁处理、谁维护规则、谁复核权限、谁执行恢复和谁承担指标；没有责任人的能力不能算完成规划。

十、案例分析：大型园区安全规划框架

某园区包含办公、生产、实验室、数据中心、访客无线和物联网系统。企业希望在两年内达到统一身份、关键数据保护、网络分区、集中运营和业务恢复目标，同时不能影响生产连续性。

第一，明确战略目标。保护生产和实验数据，控制办公到生产的访问，降低共享账号和高危漏洞风险，关键业务具备规定的恢复能力。

第二，划分规划范围。覆盖人员、设备、网络、应用、数据库、云、物联网、供应商、机房、备份和运营团队；明确生产控制设备不直接接受高风险扫描，采用被动监测和受控维护。

第三，建立视图。业务视图确定生产、实验、办公和访客服务等级；信息视图绘制生产数据、实验数据、客户数据和日志流；应用视图识别 ERP、MES、实验平台和移动应用；技术视图设计安全域、身份、网络、终端、数据和密码控制；运营视图定义告警、响应、恢复和演练。

第四，确定分期。第一阶段建立资产、统一身份、MFA、生产与办公边界、关键日志和不可变备份；第二阶段建设漏洞和配置管理、数据分类和审计、SIEM 与事件响应；第三阶段推进微隔离、零信任远程访问、物联网安全和自动化响应。

第五，设置治理。由业务、安全、生产、IT、数据和审计共同评审；重大变更和例外由委员会审批；每个阶段有业务验收、故障演练、审计证据和回滚方案。

第六，建立指标。关键资产纳管率、MFA 覆盖率、生产边界策略命中、日志接入率、高危漏洞修复时限、告警处置时间、恢复演练成功率和生产业务可用性共同构成评价体系。

十一、常见失分点

只写目标架构，不写范围、对象、视图和成果物。
只列安全域，不写业务、数据、应用和运营关系。
只写项目路线，不写治理、责任、依赖和评审。
规划没有指标、审计证据和持续改进。
忽略不可扫描工业设备、云共享责任和供应商边界。
将规划框架写成一次性文档，没有版本和变化管理。

十二、今日必背清单

规划框架描述安全规划的层次、对象、过程、成果和治理机制。
主要层次包括战略、治理、业务与信息、风险合规、能力、技术、实施和运营。
关键对象包括资产、主体、控制、事件和证据。
工作流程是范围、资产、风险、现状、目标、差距、项目、路线、运营和复评。
架构视图包括业务、信息、应用、技术和运营，必须保持一致。
规划成果应包括目标、能力地图、项目组合、路线、资源、指标和责任。
评审要关注完整性、一致性、可实施性、风险收益和可运营性。
安全规划是动态体系，必须持续更新和复盘。

十三、课后练习

练习一：单项选择

信息系统安全规划框架中，最能连接业务目标和技术控制的是（）。

A. 单个安全设备型号
B. 业务、信息、应用、技术和运营视图之间的一致性
C. 一份没有责任人的采购清单
D. 只保存网络拓扑图

练习二：判断题

安全规划框架只需要描述目标技术架构，不需要描述组织、责任和运营流程。（）

练习三：简答题

请说明为什么安全规划成果必须包含责任、指标和证据。

练习四：案例题

某企业目标规划中写着“建设零信任和智能安全运营”，但没有资产清单、身份目录、数据流、项目依赖和验收指标。请指出规划框架缺陷并给出补充内容。

十四、参考答案

练习一答案

答案：B。

解析：不同架构视图的一致性可以把业务目标、数据和应用关系映射到技术控制和运营验证，避免技术架构脱离业务。

练习二答案

答案：错误。

解析：安全规划是组织、业务、技术和运营的整体规划。没有责任、流程、人员和运营，技术控制上线后可能无人维护、无人响应或无法审计。

练习三答案

参考答案：责任明确谁设计、实施、审批、运行、监控和承担风险，避免控制无人负责；指标把抽象目标转化为可度量的覆盖、有效性、响应和恢复要求，支持验收和持续改进；证据包括配置、日志、测试、审批、演练和审计记录，用于证明控制已落地并支持事件追踪。三者共同形成可执行、可验证、可追责的规划闭环。

练习四答案

参考答案：缺陷包括目标过于抽象，没有定义业务范围、资产、主体、数据、信任边界和风险；没有现状基线和差距，无法判断优先级；没有说明零信任和智能运营依赖统一身份、资产、设备状态、日志和事件数据；没有项目组合、分期、责任、预算、故障模式、验收和回滚。

应补充业务和系统范围、关键业务和资产目录、数据流与安全域、主体和权限模型、威胁与风险清单、现状成熟度、目标能力地图、技术和运营视图、基础项目与高级项目依赖、分阶段路线、组织和责任矩阵、预算和供应商计划，以及资产覆盖率、MFA 覆盖率、日志接入率、检测时间、响应时间和恢复达标率等指标。

十五、今日复盘

请尝试用“战略—治理—业务—风险—能力—技术—实施—运营”八个词，给一个企业建立安全规划目录，并为每一层写出至少一项成果物。这个目录就是后续进行安全体系评审和案例答题的骨架。

下一篇进入 Day37-13：18.4.1 WPDRRC 信息安全体系架构模型。