年6月(下
)
1信息安全管理的相关概念
信息安全管理是信息安全的核心，它通过识别信息资产，评估信息资产的价值，制定和实施安全策略、安全标准、安全方针、安全措施，来保证信息资源的完整性、保密性和可用性。
信息安全管理一般包括制定信息安全政策、风险评估、控制目标与方式选择、制定规范的操作流程、对员工进行安全意识培训等一系列工作，通过在安全方针策略、组织安全、资产分类与控制、人员安全、物理与环境安全、通信与运营安全、访问控制、系统开发与维护、业务持续性管理、符合法律法规要求等10个领域内建立管理控制措施，组织建立一张完备的信息安全“保护网”，保证组织信息资产的安全与业务的连续性。
BS7799-2详细说明了建立、实施和维护信息安全管理体系的要
求，指出实施组织应该通过风险评估来鉴定最适宜的控制对象，并对自己的需求采取适当的控制，建立信
息安全管理体系的步骤如图1所示:
图1建立信息安全管理体系的步骤
在信息安全管理视野下，分布式数据库安全已不只是传统意义上的技术安全，而成为一种系统和全局的观念。作为分布式数据库应用中的信息资源中心，分布式数据库安全保证应当是使保存其中的信息资源避免一系列威胁，保障业务连续性，最大限度地减少业务损失，从而最大限度地获取投资回报。分布式数据库安全的涵义主要体现在3个方面，即保证数据库的完整性、保密性和可用性。所以说，分布式数据库安全不仅仅是一个技术问题，更重要的是一个管理问题。
为了对分布式数据库的安全进行有效的保护，应当为其建立一个完整、科学的面向管理的安全框架，这也是保障企业等应用组织安全的重要措施。建立这样的框架，可以为希望达到一定安全管理效果的组织提供一种实用参照。组织可以以此为参照建立自己的分布式数据库安全管理，还可以在一般经验基础上根据自己的实际情况进行设计、取舍，以达到对分布式数据库安全进行良好管理的目的。
单纯面向技术传统的分布式数据库安全管理体现为一种静态的、局部的、事后纠正式的管理方式，结果导致不能从根本上避免、降低各类风险，也不能降低安全故障导致的综合损失。面向管理的分布式数据库安全框架则应该基于管理的思想，指导组织建立分布式数据库安全保证体系。
分布式数据库安全框架应当是一个系统化、程序化的管理体系，基于对分布式数据库系统、全面、科学的安全风险评估，体现预防与控制为主的思想，强调遵守国家有关信息安全的法律法规及其它合同方要求，强调全过程和动态控制，合理选择安全技术与控制方法来保护组织
所拥有的关键信息资产，使信息风险的发生概率和结果降低到可接受的水平，确保信息的机密、完整和可用性，保持组织业务运作的持续性。
3基于P DCA 的分布式数据库安全框架构建
为了有效建立分布式数据库安全框架，本文采取PDCA 6模型作为开发方法。管理界普遍认为,P DCA 循环是管理的基本的科学工作方式，是改进任何一种管理工作的合乎逻辑的有效工作方式。
PDCA 四个字母及其在PDCA 循环中所代表的含义如下:P (Plan )———计划，确定方针和目标，确定活动计划;
D (Do )———实施，实际去做，实现计划中的内容;
C (Check )———检查，总结执行的结果，注意效果，出问题;A (Acti on )———处理，对总结检查的结果进行处理，成功的经验
加以肯定并适当推广、标准化；失败的教训加以总结，以免重视；未解决的问题放到下一个PDCA 循环。分布式数据库安全框架的PDCA 过程如图2所示:
图2分布式数据库安全框架的PD CA 过程
下面分别阐述分布式数据库安全框架的PDCA 各个阶段的特点。
3.1计划阶段
本阶段的主要任务是根据风险评估、法律法规要求、组织业务运营自身要求来确定控制目标与控制方式。目的是保证正确地建立分布式数据库安全框架的内容和范围、识别和评估所有安全风险，并开发合适的处理风险的计划。在计划阶段组织需要完成以下几方面工作:
1)确定分布式数据库的安全目标。在计划阶段要求组织和开发者
及管理者确定分布式数据库的安全目标，实现这些目标将能够保证分布式数据库的应用安全。
2)进行风险识别。识别分布式数据库所处的外界环境和面临的威
胁。包括识别威胁和脆弱点，识别威胁利用脆弱点对分布式数据库产生的影响。
3)确定风险控制方针。包括根据分布式数据库的安全需求，结合
面临的安全风险，确定分布式数据库系统所应当具备的安全能力，以及这些能力建设应当从哪些方面进行。
3.2实施阶段
本阶段的主要任务是实施组织所选择的控制目标与控制措施，具体有以下工作要做。
1)安全模型确定。安全模型是对安全需求的形式化描述，形式化
的安全模型有助于分布式数据库安全措施的准确实施。
2)安全实施。分布式数据库的建立和实施应当能够实现前面计划
阶段的要求，并识别出对分布式数据库而言的关键安全技术和方法。
3)备份和故障恢复。这项工作在分布式数据库建立以后，为了保
证其中存储的数据安全和系统运行安全而必需的。
基于
PDCA 的分布式数据库安全框架构建探析
邓美玲
曹温华
(江西省上饶职业技术学院，江西上饶
334109)
[摘要]信息安全管理是信息安全的核心，它通过识别信息资产，评估信息资产的价值，制定和实施安全策略、安全标准、安全方针、安
全措施，来保证信息资源的完整性、保密性和可用性。管理界普遍认为,PDCA 循环是管理的基本科学工作方式，是改进任何一种管理工作的合乎逻辑的有效工作方式。[关键词]
分布式数据库；安全框架；安全模型；信息安全管理
200878
表四各设备网络流量吞吐数据
5项目总结回顾与展望
方案在经过双方相关人员的努力后，圆满完成。整个系统使用至今，状态很稳定，完全达到了当时设计的要求。目前，在无线网桥和车间内部无线覆盖的网络基础上，借助网络技术公司对整个生产运作的信息化改造，实施了MES系统，结合原来的ERP系统，全面系统的对运作过程进行了优化重组。在订单的获取、生产计划的发放、生产人员的安排、总成发货、物流运输等各环节实现的信息化改造。安装在车间现场生产设备旁的WY S E终端(ThinCl ie nt瘦客户机)将生产数据第一时间通过传输到中心机房的服务器中，经过服务器按照预先设置的原则排程，生产过程的自动化程度、过程准确性、防错能力、应急反应能力都有了显著的提高，保证了排序生产即时供货的准确性、及时性。
激烈的市场竞争必然促使国内所有的汽车零部件厂商不断的降低成本，提高质量，企业若要在这样的竞争浪潮中大步向前，就要开拓出一条不断的持续改进，引进先进的JIT运作理念和信息化的管理机制增强企业核心竞争力的道路。在变化的市场中不断对业务流程，生产管理，物流链信息链的优化重组。在这股改革浪潮中精益生产和信息化管理代表了行业发展和技术革新的方向，特别是及时生产(JIT)和条形码技术将成为市场的热点。若想打造出崭新的“信息化排序生产和即时供货”生产运作管理模式，必然要有一套可全面实施的软硬件信息化系统的支持，我们要继续借鉴和效仿国外的成功经验，结合自身实际，学习创新，打造优越的信息化基础建设环境。
希望我们的实践经验能为国内其他想要持续改进，开拓创新的企业提供一种借鉴。虽然我们的企业情况和其他兄弟单位相比较有差异，但信息化管理方面的理念和目标还是有许多一致性的，而我们也希望通过进一步的交流能从其他单位获得更多的启发和帮助，为我们的实际工作带来更多的帮助，为国内汽车制造工业的发展尽更大的力量。
3.3检查阶段
本阶段的主要任务是进行现在运行状况与安全方针、标准的符合性检查，对存在的问题采取措施，予以改进。检查阶段的目的保证控制措施有效运行。另外，应该考虑检查对象及范围的变化情况，如果发现安全控制措施不够充分，就必须决定采取必要的纠正措施，此类活动的实行应在PDCA循环的行动阶段。检查活动应该对采用的控制措施与实施过程进行描述，包括对分布式数据库安全状态的不间断评审，在技术、威胁或功能不断变化的情况下，及时发现问题，以便对处理风险的方法和过程进行调整，关注新威胁和新脆弱点的出现。
在检查阶段采集的信息应该可以用来评估安全管理，判断是否符合组织的安全方针和控制目标的有效性。其中常用的检查措施之一就是自治程序，它是为了保证任何错误或失败在发生时能够被及时发现而建立的控制措施。例如，有违背分布式数据库安全策略的故障或错误发生，监控程序或监控设备可以自动报警，并采取必要的措施。
3.4改进阶段
本阶段的主要任务是对现有的分布式数据库安全框架进行评价，寻求改进的机会，采取相应的措施。为使安全管理持续有效，应以检查阶段采集的不符合项信息为基础，经常进行调整与改进。
对分布式数据库的实践来说，第4个阶段作为对分布式数据库安全框架的改进，必然基于前面3个过程的结果信息，而且也必然返回至前面3个阶段之一。因此本文并不将其单独列为分布式数据库安全框架的构造单元之一。
其次，虽然安全模型确定、安全实施和备份及故障恢复均属于PDCA的实施阶段。但是安全模型比较其他两个问题，具有更加一般的意义，安全实施阶段本文着重于关键技术和方法的识别和研究，而备份及故障恢复在数据库理论和实践中与其他技术相比，处于相对独立的地位。出于这个考虑，本文将分别把它们作为不同的构造单元来处理。
由于分布式数据库的安全评估需要安全检测的数据和信息，这样评估与检测就紧密地联系在一起，本文将其作为一个构造单元。
分布式数据库安全框架构建如图3所示。
3.55个基本构造单元的设计还基于以下考虑
首先,5个基本构造单元从内容上能够涵盖分布式数据库安全管理的全过程，同时又从较大力度上对分布式数据库安全的管理活动进行了划分，方便在应用中结合实际情况进行灵活扩展，有助于提高框架的复用比例;
其次，之所以不将其作为分布式数据库安全管理的过程组成部分而作为基本构造单元，是为了避免产生框架应用中必须从头开始且每个部分都必须承接上一过程的误解。在实践中，框架既可以在分布式数据库系统最开始构建时就进行应用，从安全需求与安全风险分析开始循环的安全管理活动，也可以指导现有分布式数据库系统的安全管理，根据实际情况从任一基本构造单元入手。
再次，每个基本构造单元以分布式数据库安全的动态控制为中心，可以根据实际需求动态地加以扩展和调整，避免了对固定过程的过分遵守而忽视环境的变化。
温华这样的设计反映了分布式数据库安全管理的主要需求，保证了分布式数据库安全中较大粒度的设计复用，从而为分布式数据库安全管理实践提供了有益的指导和参考。
4结束语
文章建立了由安全需求与安全风险分析、安全模型确定、安全实施、备份与故障恢复以及安全检测与评估等5个基本构造单元组成的可复用的安全框架。框架基本构造单元呈闭合环形分布，覆盖分布式数据库安全管理全过程，有助于实现对分布式数据库安全的全面动态控制。
个人简介：曹温华，男,1982年生，江西省上饶县上饶职业技术学院；江西农业大学，本科，研究方向为计算机科学与技术，初级助教。邓美玲，女,1980年生，江西省上饶县上饶职业技术学院；江西农业大学本科，研究方向为计算机软件工程，初级助教。
[参考文献]
[1]张福涛.分布式数据库的安全研究与实现[D].南京：南京工业大学,2004.
[2]孙强，陈伟，王东红.信息安全管理：全球最佳实务与实施指南[M].北京：清
华大学出版社,2004.
[3]IIS O/IEC17799:2000Information T echnology-Code of Practice for
Informa tion S ecurity Mana gement.
[4]孙强.信息系统审计-安全、风险管理与控制[M].北京：机械工业出版社,
2003.
(上接第75页)
应用科技
E C H E79
T NOLO GY TR N D
发布评论