网络信息安全人因失误发现纠正框架

[摘 要]网络信息安全人因失误发现是人因失误分析及其纠正的起点,人因失误发现的重要途径是通过4个方面的比较实现：预计效果与实现结果；设备失效与自身的失误效果；计划行为与执行行为；意图与计划,从它们之间的失配,发现信息安全人因失误.论文提出一种网络信息安全人因失误纠正框架,主要从人因失误分析与确定、纠正计划及其实施三个方面展开.失误分析与确定是通过调查研究,对人因失误原因进行说明与辨识；通过构建纠正框架,期望及时发现并纠正人因失误,从而有效控制并相应减少人因失误的发生.

[关 键 词]信息安全人因失误失误发现与纠正

[分类号]G203TP393

随着信息安全技术的发展,信息安全人因失误事件越来越令人担忧.据中国公共信息网络安全监察局调查,至2007年5月,我国信息网络安全事件发生比例已高达65.7％,较2006年上升11.7％,且连续三年呈上升趋势.美国计算机技术工业联合会(TheComputingTechnologyIndustryAssociation)首席操作员BrianMcCarthy也报导,2006年美国人因失误引起的网络信息安全事件已由2005年的47％上升至59％.他认为信息安全保障正在下降,原因在于人因失误不断发生.人因失误是对网络信息安全重要的、严重的威胁,但却常常被人们忽略,要想完全消除网络信息安全中的人因失误是非常困难的,是因为它很难被预测,即使有先进的信息安全技术也无计于事,毕竟人是最难以控制和预测的.因此,人因工程专家指出,防止人因失误的一种明智的方法就是对人因失误及时发现,并纠正.著名信息安全顾问CharlesCressonWood等也强调,正确地运用安全专业的补救办法,完全可以纠正或明显地减少网络信息安全人因失误.因此,本文从感知、判断与决策到行动的一般发展规律,认为网络信息安全人因失误发现是人因失误分析及其纠正的起点,研究了信息人员人因失误发现的4种重要途径,且构建基于人因失误发现的人因失误纠正框架,为减少网络信息安全人因失误,保障信息安全提供一种主动性预防措施.

1　网络信息安全人因失误发现

信息人员的敏感度、怀疑与好奇性是网络信息安全人因失误发现的基本素养,而引发人因失误发现的重要途径是“比较”.运用TomKontogiannis提出的人因失误发现的4个方面：预计效果与实现结果；设备失效与自身的失误效果；计划行为与执行行为和意图与计划.根据它们之间的失配,可以发现网络信息安全中的人因失误：

1.1　实现结果与预计效果之间的比较

在信息安全结果阶段,信息人员感觉或留意真实信息行为结果,比较“实际结果”与“预计效果”之间的失配,从中发现失误.表面上看,这种失误很容易发现,其实不然,尤其是在信息安全处理的复杂行为序列中.这是因为信息人员要记忆信息行为的执行路径,使得他们可能忘记已产生的行为结果,或可能不留意前面的行为结果.还由于信息系统设计问题,如不良的信息系统界面,或安全逻辑干扰掩饰,或信息操作人员本身的行动,掩盖了信息操作人员对信息行为真实结果的判断.

1.2　设备失效与人因失误之间效果比较

通过比较设备失效与自身的人因失误两者的不同结果,能够准确区分信息安全事故哪些是由于人的行为引起的,从而发现人因失误原因,及时纠正失误.值得注意的是,在信息安全复杂系统中,会出现设备失效和逻辑安全干扰等现象,但不能因此,就把不理想的信息安全结果全部归结于设备原因,从而阻碍人因失误的发现,导致人因事故再次发生.这种“把失误搪塞过去”的态度是人因失误难以发现的一种原因.

1.3　执行行为与计划行为之间的比较

这种比较出现在信息安全计划的执行阶段,是一种基于行为的失误发现,通常属于出错失误发现.在信息安全执行阶段,信息人员注意到执行行为与计划中规定行为之间的失配,从而发现人因失误.

1.4　意图与计划之间的比较

在信息安全计划阶段,比较意图与计划之间的失配,可能出现人因失误原因弄错的现象.造成这种失误原因主要是由于信息安全计划行为与意图之间出现的认知失误.指定意图与制定计划通常不是同一个人,制定计划的人不仅要充分理解网络信息安全目的与意图,同时还要考虑该计划执行者的行为,因此给意图与计划之间达到一致增加了难度.

2　网络信息安全人因失误纠正框架

在网络信息安全领域,人因失误纠正过程是随着人因失误类型、信息人员特征及安全目标的变化而变化的.因此,基于网络信息安全特点及信息人员的认知行为,参考VanDerSchaaf学者提出的人因失误纠正三个阶段,以认知行为规律为主线,构建基于人因失误发现的网络信息安全人因失误纠正框架.

它包含人因失误分析(感知)、人因失误纠正计划制定(判断与决策)、人因失误纠正计划实施(行动)三个阶段.在该框架中,基于失误发现的网络信息安全失误分析是失误纠正的基础及纠正计划制定的理论根据,失误纠正计划实施落实在网络信息安全计划阶段、执行阶段和结果阶段,因此采取人因失误前纠正、失误后纠正和补偿纠正三种措施.

2.1　网络信息安全人因失误分析

网络信息安全人因失误原因往往不只是简单的错误操作(出错失误),还包括信息人员对所处情景的错误认知和判断(弄错失误),因此,网络信息安全人因失误分析包括信息系统安全事件调查与人因失误原因确定两个环节.

在网络信息安全人因失误分析中,失误说明与辨识、失误类型确定均源于对人因事件的调查,其中包括对网络信息安全目标或计划、行为序列规范中的人因失误、情况说明中的人因失误等调查.调查对象涉及信息安全主管、信息系统、网络与数据库管理人员及信息系统操作人员等人员.

运用人因失误原因分析方法,如事件与原因因素分析、变更分析、屏障分析、追溯分析法等,对网络信息安全人因失误影响因子进行描述、说明与辨识,找出人因失误可能原因、具体原因及根本原因,分析并确定人因失误类型.其中弄错失误不是发生在网络信息安全人因失误问题解释、建立高级目标阶段,就是发生在信息安全行为计划制定阶段,它需要信息人员具有渊博知识与丰富的实际经验,才能辨识其根本原因.相比而言,出错信息安全人因失误,只要将信息操作人员的执行行为、实际结果与制定的计划、目标与结果进行比较,基本就能确定其影响因子了.

2.2　网络信息安全人因失误纠正计划

通常,专家们把更多的精力花费在评价系统上,而不是在选择最佳纠正计划上.因为网络信息安全人因失误纠正计划必须建立在对当前环境认真、细致分析的基础上,对重要的人因失误因素还需要严肃认真的调查核实,不可仅凭经验、检测定与参考资料,草率地做出纠正计划,只有充分考虑了信息安全事件工作环境、
信息人员自身的能力以及信息安全技术的人因失误纠正计划,修正现有的网络信息安全计划或制定新的计划,才能从根本上纠正、预防和减少人因失误的发生.

网络信息安全人因失误纠正计划针对失误环境、失误对象、失误类型及严重度等不同因素,有不同的纠正计划.而这些计划的实施与实现需要得到信息人员、信息系统或环境即信息技术、信息组织三者配合与支持.因此,网络信息安全人因失误纠正计划归根结底信息人员策略、信息安全组织管理策略与信息系统安全设计策略三种策略的综合运用.

2.3　网络信息安全人因失误纠正措施及其实施

2.3.1　网络信息安全人因失误纠正措施根据人因失误特性、人因失误发生的阶段(计划阶段、执行阶段和结果阶段)、信息安全系统结果和可用的失误纠正时间等因素,信息人员可以采取不同人因失误纠正计划措施.本研究借鉴Mo和cmuzet提出的人因失误处理常用措施,作为网络信息安全人因失误纠正措施：

失误后纠正：当信息安全人因事故发生后,信息人员运用已掌握的信息安全处理方法,如取消规定的某个操作指令；停止某个正在运用的信息操作程序或启动相关备用程序等,力争将信息系统恢复到事故前的状态.

失误前纠正：信息人员已感觉或察觉到某种失误将要发生,但还未发生,此时信息人员应积极采取措施将信息系统带入一种相似度检测稳定状态,争取更多的时间,去发现好的解决办法.这种纠正措施主要适用于关键设备已存在危险,人因失误后果暂时未显现或人因失误行为后续行为还未发生,且有充足响应时间的情况.

补偿纠正：信息人员激活备用操作程序及多余设备,采取各种可能使用的补偿措施,将系统带进一个所希望的信息安全状态.

2.3.2　网络信息安全人因失误纠正实施阶段　不同的网络信息安全失误,有不同的发现途径,需要运用不同的失误纠正措施,在不同网络信息安全人因失误纠正阶段进行实施,它们之间的关系.

网络信息安全人因失误纠正因不同的计划实施分别发生在信息安全计划、执行与结果三个阶段.结果阶段人因失误纠正实施是在“事实之后”,而其他两种人因失误纠正实施则在失误结果之前.所有措施的正确实施需要依赖于信息人员自身捕获失误的监控能力.

结果阶段纠正弄错失误与出错失误两类人因失误.此时发现的弄错失误大多数是难以解释与纠正的,因为失误的直接原因是状态评价或制定计划失误所造成的.在执行阶段失误纠正中,采取补偿纠正措施,重点纠正网络信息安全执行过程中伴随行动的出错人因失误.计划阶段失误纠正是将人因失误防范或消除在人因失误发生前,侧重纠正信息安全计划,包括信息安全意图与目标及计划行为中的错误理解人因失误,即弄错人因失误.

3　结语

网络信息安全人因失误是可以预防与减少,但是却不可避免的.人因失误发生,关键是要及时发现并予以纠正.通过对网络信息安全人因失误发现的4种途径及其纠正框架的研究,发现了人因失误发现在信息安全人因失误分析与纠正中的重要性.今后再有人因失误,只要深入分析,制定正确的纠正计划,采取合适的纠正措施,网络信息安全人因失误事故造成的重大损失同样是可以避免或减少.此外,通过对人因失误发现与纠正过程的确认,为人因失误纠正提供了一些思路,如从人因失误角度,加强信息人员安全技能培训、优化信息系统和管理因素.加强对这类问题的研究,希望形成完整的网络信息安全人因失误纠正理论体系,有效控制并相应减少信息安全人因失误的发生.