浅谈信息系统运维外包的安全管理
摘要随着信息系统外包的逐步推广，做好信息系统运维外包的安全工作已成为信息化运维工作的重中之重，信息系统运维外包安全管理模式主要有简单管理模式、制度管理模式和混合管理模式三种，信息系统运维外包工作在日常开展中存在泄密、操作失误造成系统瘫痪、植入病毒或预留后门、对外包商过渡依赖等安全隐患，最后从强化运维过程管理、加强操作风险管理、降低系统运行隐患、增强事件处理能力等几个方面进行分析，发掘出信息系统运维外包安全管理的方法，用以提高信息系统运维外包安全管理水平。
【关键词】信息系统 外包安全 外包安全管理模式外
随着信息化技术在日常工作中的不断普及，信息系统运维已经成为信息化工作中最重要的组成之一，信息系统运维涉及数据库、中间件、硬件、存储等多个方面的专业知识，而企业内部信息化工作人员不足，专业技术能力欠缺，为保证信息系统良好、顺畅运转，需要专业化程度较高的运维服务，即信息系统运维外包服务，聘请专业技术人员对系统数据库、中间件等各个环节进行运维，随着信息系统运维外包范围的不断扩大，信息系统运维外包造成的信息安全隐患及信息安全事件不断增加，做好信息系统运维外包安全工作便成了信息化运维工作的重中之重。
1 信息系统运维外包安全管理模式分析
我们先简单分析一下常见的运维外包安全管理的模式，随着信息系统运维外包范围的不断扩大，信息系统运维外包安全管理主要由简单管理模式、制度管理模式和混合管理模式三种。
1.1 简单管理模式
主要依靠“人盯人”和运维工程师的自律实现，即指定专门人员陪同并监督运维工程师的具体操作，要求运维工程师严格遵守职业道德，达到信息系统运维外包安全管理的要求。
简单管理模式的优点是管理成本小，管理过程简单，不需要配备专门的技术人员；存在的问题主要有可操作性不强和管理效果不佳两方面：
（1）由于陪同人员的业务素养不足、技术深度不够、运维过程监管不足等原因，使得“人盯人”方法对信息系统运维外包安全管理可操作性下降，存在造成系统运维外包安全事件的隐患。
（2）信息系统运维外包工作开展过程中，基本依靠运维工程师的自律和职业操守来实现信息系统运维安全管理，难以达到信息系统运维外包安全管理要求，影响运维安全管理效果。
1.2 制度管理模式
通过运维安全制度规范运维商和运维工程师的行为，降低运维风险，实现信息系统运维外包安全管理。在运维合同签订过程中明确运维安全管理制度，并其签订运维保密协议，共同建立违反制度的处罚机制，明确约定处罚内容，在运维工程师入场工作之前先宣布管理制度和惩罚机制，用以约束其运维操作。
制度管理模式的优点是管理成本小，管理过程较为简单，管理体系相对成熟；存在的问题主要有管理可操作性不强和属于事后管理两个方面：
（1）运维管理制度的执行情况不易监控，可能造成管理制度、保密要求和惩罚机制形同虚设，不能够有效地发挥作用，降低运维系统安全管理的可操作性。
（2）制度管理模式属于事后管理范畴，即只能在事故发生后按照管理制度、保密协议和处罚机制进行追责，且追责过程中提取相关证据较为困难，追讨损失过程较为复杂。
1.3 混合管理模式
通过制度和运维安全管理设备（如堡垒机）相结合进行信息系统运维外包安全管理，即在制度管理模式的基础上，增加运维管理设备，该设备具有操作命令记录、操作过程录屏、操作权限管理、访问范围管理和访问时效管理等几个基本的功能，实现对信息系统运维外包安全的有效管理，
混合管理模式的优点是管理的可操作性强，管理体系较为成熟，属于对信息系统运维过程既有事前、事中管理，又有事后审计管理；存在的问题主要有管理成本较大和管理过程复杂两个方面：
（1）运维安全管理设备需要单独购买且需要专人进行维护，这加大了企业信息系统运维安全管理的成本。
（2）运维安全管理设备需要依据实际运维情况进行配置变更，要求设备管理人员充分了解企业网络架构、业务系统构成等内容，结合运维人员的实际情况进行操作权限、访问范围、访问时限等内容的管理，使得信息外包安全管理过程变得较为复杂。
2 信息系统运维外包安全隐患分析
依据对信息系统运维外包安全管理模式的分析，信息系统运维外包存在以下几点隐患：
2.1 信息系统运维外包造成泄密
随着企业日常工作对信息化的依赖不断加大，企业销售、财务、人力资源等重要信息均通过信息系统进行管理，如果对信息系统运维外包过程管理不严，极有可能造成重要数据泄密，对企业的发展壮大和日常工作开展造成影响。
2.2 外包工程师操作失误造成信息系统瘫痪
运维工程师技术水平良莠不齐，如不对外包工程师的运维操作进行严格规范，有可能由于操作不谨慎或误操作造成重要信息数据丢失、损坏，导致信息系统异常，甚至造成信息系统瘫痪，影响正常业务开展。
2.3 外包工程师在信息系统中植入病毒或预留后门
部分外包工程师由于利益驱动在信息系统中植入病毒或预留后门，方便其日后获取信息系统的各类资源和数据，造成信息系统运行隐患，甚至导致企业触犯国家相关法律、法规，给企业造成名誉或经济损失。
2.4 运维外包造成过度依赖
大量信息系统运维外包，造成企业内部信息化机构学习意愿下降，专业技术素养增长缓慢，发生突发事件且运维商无法及时到场，可能造成信息系统长时间停止服务，甚至长时间瘫痪，影响企业正常业务，给企业造成经济损失。
3 信息系统运维外包安全管理方法
针对信息系统运维安全隐患分析中提到的问题，我们从强化运维过程管理、加强操作风险管理、降低系统运行隐患、增强事件处理能力等四个方面进行分析，发掘出信息系统运维外包安全管理方法，用以提高信息系统运维外包安全管理水平。
3.1 完善制度管理，增加硬件保障，强化运维过程管理
（1）系统运维管理制度是信息系统运维外包安全管理工作的基础，只有拥有科学、完整、自成体系的管理制度，才有可能真正的做好信息系统运维外包安全管理工作，而制度的建立是一个长期的动态过程，即针对新的技术和管理要求要及时修订制度，将其纳入管理范畴，确保制度能够完全覆盖信息系统运维过程，同时认真落实制度，使其充分发挥规范运维商和运维工程师的作用，否则完善的制度仅仅是“一纸空文”。
（2）建立并认真执行安全事件惩罚机制，签订信息安全保密协议，加大对运维商运维过程中发生事故的处罚力度，提高运维商在出现事故后的处理成本，能够促使运维商主动加强对其人员的管理，减少信息系统运维安全事故的发生机率。
（3）引入运维安全管理类设备（如堡垒机），加强对运维人员运维过程的管理，该类设备能够全面记录运维操作、统一分配运维权限、细化管理访问范围和精确控制运维时效等方面的功能，属于信息系统运维事中管理和事后审计设备，充分利用该类设备的各项功能，对运维工程师运维操作情况进行有效规范、记录，确保对运维工程师的操作“有迹可寻”。
3.2 规范运维操作，拟定应急措施，加强操作风险管理
（1）运维工程师在进行重要操作（如数据库参数配置等）时必须出具书面告知书，经双方签字确认后方可进行操作，告知书中至少应包括操作内容、涉及信息系统、预计完成时间、可能出现的风险及风险等级预估。
（2）针对预估等级较高的风险应充分预估发生机率、影响范围等内容，拟定应急措施，确保及时解决。
（3）制定回退方案并预留充足的回退时间，针对运维过程中发生的不可预期或难以解决的问题，确保能够及时回退，保证信息系统正常运行。
3.3 测评系统安全，定期扫描漏洞，降低系统运行隐患
（1）运维工程师对信息系统进行升级后，及时聘请拥有安全评估资质的第三方进行应用系统安全评估，评估后出具有效的评估报告，依据评估结果要求运维商进行整改，直至所有问题被解决。
（2）定期对网络设备、服务器操作系统等进行漏洞扫描，有效防止系统被植入病毒或预留后门，针对新发现的漏洞及时联系运维商进行处理，确保信息系统安全运行。
3.4 提升业务素养，组织应急演练，增强事件处理能力
（1）通过专项业务培训、自主学习等方法，不断加强信息化工作人员业务素养，学习内容不仅包括数据库、信息化设备硬件维护等专业知识，还应包括管理学、统筹学、统计学等方面的知识，才能真正做到“管的高效、管的明白、管的合理”，才能促进信息系统运维外包安全管理工作朝着正确的方向发展。
（2）强化应急预案演练工作，定期组织信息化应急预案演练。演练前认真筹备，拟写演练方案，联系运维上进行应急演练技术支持；演练过程中严格按照方案进行演练，切实提高演练效果；演练后针对演练中发现的问题及时汇总、总结，逐步提高信息化工作人员处理突发事件的能力。
4 结束语
信息系统运维安全管理工作是信息系统运维工作的重要环节，做好此项工作，即能使得信息系统得到更专业、更良好的运维服务，又能最大限度的保证企业数据安全，系统稳定运行。
作者单位
内蒙古自治区烟草公司乌海市公司内蒙古自治区乌海市016000
