一、内网安全管理软件如何对信息资产进行安全管理

信息资产还具有很强的时间特性，它的价值和安全属性都会随着时间的推移发生变化，所以应该根据时间变化的频度制订资产相关的评估和安全策略的频度。例如，某些重要的市场活动策划方案（数据资产），在活动开始之前，为达成市场目标，需要对该数据资产进行机密性、完整性和可用性方面的保护。但是在该活动之后，策划已经基本上都传达给了大众，所以资产价值已经大部分消失，相关的安全属性也失去保护意义。在信息安全的资产管理系统中一个重要的概念是业务单元（BU）。BU是组织业务的重要组成部分，是各个资产的组合。资产管理中，BU的视图是展示的一个重点。另外，资产管理的定位是为风险管理和业务视图提供一个坚实的基础。所以，风险管理需要提供相关的属性也是资产管理中要考虑的。

信息资产管理模块将建立安全管理的整体安全视图。信息资产管理模块实现对综合网络安全风险分析系统所管辖的设备和系统对象的管理。它将其所辖IP设备资产与风险的重要程度关联，遵从ISO 27001标准的基于资产CIA属性，按照资产信息、漏洞、补丁与备件分类导入或登记入库。信息资产管理模块维护信息资产的所有信息，为风险管理提供分析依据。系统应提供权限管理、资产维护、信息查询和报表、资产审计等功能。系统可以根据其他功能模块的数据和信息对资产的进行评估，及时掌握资产的安全状况和其他资源管理系统互连，能够进行数据转换，实现资产的数据共享，并能支持查询和导入功能。

二、内网安全管理中进行安全平台建设的三观论思想

为保障信息安全，企业必须要做好内网安全管理，必须进行安全平台的建设。集成、协同和统一是内网安全管理平台的目标。集成指对不同种类不同厂商的内网安全管理设备提供互连和管理；协同指对不同种类的内网安全管理机制提供协作，实现多种内网安全管理机制和内网安全管理产品的联动；统一指建立一个安全体系保证各安全实体的行为和全局的安全目标完全一致。按照三观论思想，安全管理的3个目标对应着安全管理平台的3个层次即实现层、运营层和决策层。决策层面向最终用户，提供3个一致即安全需求与安全策略的一致，安全策略自身的一致以及安全实体和安全策略的一致。3个一致保证了整个安全体系的高度统一。运营层通过建立整体安全模型，监视安全状态，明确安全实体的组织关系和服务能力，使各安全实体协同工作。实现层通过建立通信标准和渠道，集中实现安全设备/系统的信息交换，实现层是安全管理平台的基础，直接与多种设备/系统打交道，自成体系，也可称为集成安全管理平台。

首先，从范围大小来看，宏观、中观和微观分别对应着全局、局部及单点。涉及组织整体的问题是全局性的，属于宏观问题；局部问题主要涉及的是组织的一些部门或者业务；如果只要涉及单个或几个的个体或者业务的部件，这是微观范畴，就没有必要调动宏观资源来解决这些单点问题。为了能够用最少的资源达到理想效果，平台的设计要做到统筹兼顾。

其次，从实体化程度方面来讲，“三观”又有另外一种感觉。宏观比较务虚、模型化，而微观比较实在、物理化。从这个思路来看安全事件，如果问题发生在安全设备、检测功能、资源、系统等方面，是微观层面；如果是流程、制度、大系统等出现了问题，结构性就显现出来了，这些内容更抽象、更模型化，已经属于中观层面了；再向上就是宏观层面的价值观、使命和业务等。众所周知，安全永远存在潜在性，在没有出现问题时，安全往往得不得足够的重视，业务繁忙起来或许还会被放弃，用户出现问题才想起应该重视安全这个现象非常普遍。如果不能把要做的安全工作与决策和组织使命、业务价值连接起来的话，这个工作一定不会成功，如何上达到决策是应该重点考虑的问题；当然，还必须实现一点就是必须要下达到的微观。因此，设计平台时一定要突出中观的纽带作用。

第三，如果从信息安全事件角度分析，对普通服务器的入侵事件就是一个具体、微观的事情，而蠕虫、洪流事件、破坏高影响服务器等事件已经上升到中观层面，全面/关键业务问题就属于宏观层面的事件。平台要能够及时判断出哪种事件属于哪个层次，才能够更快地、有针对性地解决问题。

第四，对于信息安全产品来讲，也可以从“三观”中看到其分布状况。像防火墙、入侵检测、防病毒、加密等产品，实现的是某一具体功能。比如说防火墙实现网络防护功能，加密是解决信道加密、数据加密，实现保密功能，这些都是具体的微观方式。如果再上一个层次，把一些方式结合起来，比如安全管理平台的整体方案就是设想将各种安全功能结合在一起，这种结合、组合、匹配已经具有结构性在里面。宏观层面的高层工具包括决策支持、风险管理、知识管理等，当领导关心某个数据时，要能够马上连到具体数据时，要能够马上连到具体数据上，给领导正确的决策支持。实际上，现在业界的产品大部分处于微观层面，中观层面的组合功能和平台产品也慢慢地受到关注，但宏观层面还远远没有实现。

总之，在平台体系结构设计上，应根据被广泛认可和接受的安全模型，遵循相关安全标准，深入分析各种内网安全管理措施之间的内在联系，灵活运用。