安全运行分析

3.5　安全运行分析

安全运行分析将影响产品，特别是过程、系统安全需求的解决方案。通过反复地进行安全运行分析，并结合安全设计支持功能，将定义出“过程”的安全解决方案。安全运行概念的分析和定义是系统工程和信息安全工程过程整体的一个组成部分，是导入安全C&A的关键条件。

如果客户正在使用这一分析工具，那么将安全运行分析文档包括在客户的运行概念（Concept of Operations，CONOP）文档中是合适的。如果客户没有一个系统的CONOP，那么，本节描述的运行分析、信息和活动仍然极端重要，仍然需要针对整个系统运行上下文关系中的安全问题（即并不是严格意义上地围绕安全问题）执行运行分析。大量的项目文档可能使用运行概念信息、成本和运行效能分析（Cost and Operational Effectiveness Analysis，COEA）就是其中一例。有时候除了使用已编写好的CONOP文档外，在整个工程项目生命期，运行分析也可按下列形式形成文档并提交评审：设计评审说明、培训材料和文件、人类接口需求、系统环境假设规范和条款式的“程序和策略”文档。

系统运行用户是确定安全运行信息的优选资源，用户代表实际上就是一个初级分析员。信息安全工程小组将帮助用户代表考虑安全运行、支持和管理概念，以及正在开发的系统所出现的问题。

安全运行概念、理论和过程解决方案的开发，起始于概念阶段，并作为可选择系统概念开发和折中研究的一部分；这一开发持续到配置审计阶段，验证该系统的理论与前面几个阶段开发、提练并形成基线概念的一致性；在系统进入其运行期后，这一开发仍将继续并进一步演变，理论分析最终就变成了实际的运行模式。

在系统生命期内反复进行的安全运行分析应集中在：

①定义人、自动化联结和其他与该系统进行交互的环境元素一一交互是直接进行的，还是经过整个系统与业务环境内部的远程/外部接口进行的。

②用户扮演的角色（例如人的角色可能包括系统用户、系统维护人员、系统管理者和主管以及假定的威胁者）上。而自动化的角色可能是数据源，数据集散点，远程应用功能的操作员或网络服务命令的发出者等。

③确定在其业务环境中用户与运行系统交互的方式和模式。

通常，运行分析将不包括任何与系统行为和结构有关的内容，也不包括人类直接不可见的现象或外部自动化接口。计算机存储器和磁盘空间的精确配置通常与运行分析无关。运行分析与定义和审核系统运行梗概有关。自动仿真和建模的工具通常在定义、分析和提交运行梗概时很有帮助。

需要考虑的典型运行情况包括：

①在正常和不正常条件下，系统启动和关机。

②系统、人和对错误条件的环境反应或安全事件。

③系统/组成单元失灵时，在一个或多个预先计划的备用方式下维持运行。

④在和平时期和战争时期/其他敌对模式下维持运行。

⑤安全事件或自然灾祸的响应/恢复模式（例如，与病毒事件有关的系统冲突以及响应/恢复）。

⑥系统对关键性和常见的外部和内部事件的反应。

⑦若配置多个系统，那么对每个系统唯一的环境/场所梗概。

⑧在整个正常业务应用期间，系统行为、环境与人的相互影响以及与外部自动化的接口。

上述运行梗概，通常可采用叙述的形式——说明系统原理和正常、非正常运行活动的流程——加以说明。提炼的运行案例和程序可以包括在培训教材和系统手册中，或者其他形式中。它们也可包括在出版的标准操作程序（SOPS）中，或包括在对现场和商业企业的本地政策中，或包括在信息/基础设施域中。

为了实施关键性的安全分析，包括所有运行概念在内的因素都应考虑到。这些因素至少应包括：

①希望系统处理数据的敏感等级。

②在每个等级上大约有多大的数据处理量。

③在任何适用的主要角色（即首席操作员、业务监督员和网络系统官员等）级别上，与系统用户相关的许可证等级（包括对分区、特殊访问程序或其他需知的常规授权）、功能性权力和与系统用户有关的特权（人工的和自动的）。

④系统用户的身份。

⑤与其他系统接口有关的敏感性等级和业务重要性程度。

⑥技术的和非技术的（“产品”和“过程”）安全执行机制的相互作用，来自信息系统安全和任何其他被施加的科目（如物理安全和人事安全）联合承担日常安全的系统运行责任。