三.  基于业务的安全评估

    全面、系统地分析业务系统面临的风险，能很好的为设计符合业务特点的安全方案打下良好基础，但基于业务实施安全评估历来是一个难点——如何将业务的安全需求转换为对技术、组织、管理方面的安全需求。而解决这个难点的关键就在于业务系统的识别，即对业务流程的梳理和分析。

    业务系统的识别，首先需要以业务系统为中心，梳理系统的架构，包括逻辑架构和物理架构，而物理架构还有可能是在多个地方分布，因此都需要进行考虑。接着是调研系统中的资产，分析组成架构，也就是我们常提的各种软件资产、硬件资产、数据资产等，再定位到各自资产的功能和作用，比如说有业务系统服务器、中间件服务器、后台数据库服务器、接口服务器、测试服务器、应用平台等，以及构建网络的路由器、交换机等。待分析完系统的组成架构和各自功能后，即可开始对系统的相关业务进行梳理和分析了。下面从业务系统的处理流程入手分析：

    第一，业务系统处理数据的获取。是来自于内部支撑网、各种生产网中的端局，还是来自于其他业务系统的数据库；这些数据的类型是什么，是基础数据，还是已经分析完成、格式化完成的数据等；采用什么方式输入数据，PUT OR GET；通过专网传输还是应用支撑网进行承载等。
    
    第二，业务系统完成的功能。是处理话单数据还是直接处理用户业务，数据输入以后是遵循怎样的流程在进行处理；系统获取数据以后是直接进入核心数据库系统，还是有对应的接口主机进行数据标准化、过滤再进入数据库；完成功能过程中是否需要跨区域或者网络进行数据交换等。

    第三，业务系统处理结果的输出。是通过UI界面直接呈现给业务用户，还是通过邮件发送给操作用户，或是直接提交给下一个中间应用系统等。输出的方式是什么，专网传输还是应用支撑网进行承载等；输出的数据是加密数据还是明文数据等。

    第四，业务系统处理流程中用户的角色。上面介绍了业务系统的功能、处理流程等内容，在这些过程中都有哪些用户参与的这些工作。是系统的维护管理用户、业务用户，还是第三方的代维用户等；这些用户是通过B/S、C/S，还是命令行进行控制，这些角色的用户是否为同一人；用户对系统的操作是本地操作还是远程跨公网进行；用户对系统可以执行哪些操作等。

    通过对业务系统的梳理和分析，能将业务系统的主要流程进行重现，然后对这个流程中存在的安全威胁进行识别，分析出在业务系统各个层面的安全风险。并以风险管理为核心、围绕业务系统，确定各个环节中的安全策略要求、人员岗位要求、技术手段要求，逐步形成网络与信息安全的运维体系、组织体系、技术体系，构建相适应的安全保障体系。

    安全保障体系中，组织体系、运维体系是安全工作全面落实的根本保证，不存在理论上的难点，重在扎扎实实的落实。在技术体系方面，根据业务系统的安全需求，选择合适的安全控制措施，防止系统的脆弱性被外部威胁所利用。那么，系统可能存在哪些脆弱性？如何为不同系统建立一个快速检查机制就成为一个关注的焦点，下面将针对业务系统的脆弱性展开对基线安全的讨论。