信息系统安全管理概述

信息安全管理

信息安全的定义

保护信息的保密性、完整性、可用性

另外也包括其他属性，如：真实性、可核查性、不可抵赖性和可靠性。

信息安全属性及目标

信息安全管理内容

ISO/IEC 27000系列标准中，将信息安全管理内容主要概括为以下14个方面：

信息系统安全

信息系统安全概念

信息系统：指由计算机及其相关和配套的设备、设施构成的、按照一定的应用目标和规则对信息进行存储、传输、处理的系统或网络。

信息系统安全：指信息系统及其所存储、传输、处理的信息的保密性、完整性、可用性的表征，一般包括保障计算机及其相关和配套的设备、设施的安全，运行环境安全、保障信息的安全。

信息系统安全属性

信息系统安全属性：保密性、完整性、可用性、不可抵赖性。

保密性

是应用系统的信息不被泄露给非授权的用户、实体或过程，或供其利用的特性。即防止信息泄漏给非授权个人或实体，信息只为授权用户使用的特性。

应用系统常用保密性技术：

① 最小授权原则； ② 防暴露； ③ 信息加密； ④ 物理保密。

① 最小授权原则：对信息的访问权限仅授权给需要从事业务的用户使用。

② 防暴露：防止有用信息以各种途径暴露或传播出去。

③ 信息加密：用加密算法对信息进行加密处理，非法用户无法对信息进行解密从而无法读懂有效信息。

④ 物理保密：利用各种物理方法，如限制、隔离、掩蔽和控制等措施，保护信息不被泄露。

完整性

是信息未经授权不能进行改变的特性。即应用系统的信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放和插入等破坏和丢失的特性。完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成及正确存储和传输。

保障应用系统完整性的主要方法如下：

• 协议：通过各种安全协议可以有效地检测出被复制的信息、被删除的字段、失效的字段和被修改的字段。
• 纠错编码方法：由此完成检错和纠错功能。最简单和常用的纠错编码方法是奇偶校验法。
• 密码校验和方法：它是抗篡改和传输失败的重要手段。
• 数字签名：保障信息的真实性。
• 公证：请求系统管理或中介机构证明信息的真实性。

不同安全等级的安全管理机构按下列顺序建立自己的信息系统安全组织机构管理体系：

• 配备安全管理人员；
• 建立安全职能部门；
• 成立安全领导小组；
• 主要负责人出任领导；
• 建立信息安全保密管理部门。

信息系统安全的5个层面包括：

物理安全、网络安全、系统安全、应用系统安全、管理措施。

物理安全管理

物理安全管理内容

物理安全管理包括：安全区域的管理、设备设施的安全管理、对环境威胁的防范以及电磁辐射的管理等。

计算机机房与设施安全

机房场地选择

根据对机房安全保护的不同要求，机房场地选择分为如下几种：

电源

根据对机房安全保护的不同要求，机房供、配电分为如下几种：

计算机设备

计算机设备的安全保护包括设备的防盗和防毁以及确保设备的安全可用：

技术控制：技术控制包括检测监视系统、人员进出机房和操作权限范围控制。

电磁兼容：电磁兼容包括计算机设备防泄漏、计算机设备的电磁辐射标准和电磁兼容标准。

环境与人身安全

环境与人身安全主要是防火、防漏水和水灾、防静电、防自然灾害以及防物理安全威胁等。

人员安全管理

人员安全管理内容

安全组织

目的在于通过建立管理框架，以启动和控制组织范围内的信息安全的实施。

1 ．信息安全领导小组：

( 1 ）安全管理的领导职能；( 2 ）保密监督的管理职能。

2 ．信息安全职能部门：

( 1 ）基本的安全管理职能； ( 2 ）集中的安全管理职能。

信息系统关键岗位人员

安全管理员、系统管理员、数据库管理员、网络管理员、重要业务开发人员、系统维护人员和重要业务应用操作人员等。

岗位安全考核与培训

对信息系统岗位人员的管理，应根据其关键程度建立相应的管理要求。

1. 信息系统关键岗位人员进行统一管理；允许一人多岗，但业务应用操作人员不能由其他关键岗位人员兼任；关键岗位人员应定期接受安全培训，加强安全意识和风险防范意识。
2. 兼职和轮岗要求：业务开发人员和系统维护人员不能兼任或担负安全管理员、系统管理员、数据库管理员、网络管理员和重要业务应用操作人员等岗位或工作；必要时关键岗位人员应采取定期轮岗制度。
3. 权限分散要求：在上述基础上，应坚持关键岗位“权限分散、不得交叉覆盖”的原则，系统管理员、数据库管理员、网络管理员不能相互兼任岗位或工作。
4. 多人共管要求：在上述基础上，关键岗位人员处理重要事务或操作时，应保持二人同时在场，关键事务应多人共管。
5. 全面控制要求：在上述基础上，应采取对内部人员全面控制的安全保证措施，对所有岗位工作人员实施全面安全管理。

离岗人员安全管理

对人员离岗的管理，可以根据离岗人员的关键程度，采取下列控制措施：

1. 基本要求：立即中止被解雇的、退休的、辞职的或其他原因离开的人员的所有访问权限；收回所有相关证件、徽章、密钥和访问控制标记等；收回机构提供的设备等。
2. 调离后的保密要求：在上述基础上，管理层和信息系统关键岗位人员调离岗位，必须经单位人事部门严格办理调离手续，承诺其调离后的保密要求。
3. 离岗的审计要求：在上述基础上，涉及组织机构管理层和信息系统关键岗位的人员调离单位，必须进行离岗安全审查，在规定的脱密期限后，方可调离。
4. 关键部位人员的离岗要求：在上述基础上，关键部位的信息系统安全管理人员离岗，应按照机要人员管理办法办理。

应用系统安全管理

应用系统安全管理的实施

1. 建立应用系统的安全需求管理
2. 严格应用系统的安全检测与验收
3. 加强应用系统的操作安全控制
4. 规范变更管理
5. 防止信息泄露
6. 严格访问控制
7. 信息备份
8. 应用系统的使用监视

严格访问控制

严格控制对应用系统的访问，包括：

应用系统运行中的安全管理

1. 组织管理层在系统运营安全管理中的职责；
2. 系统运行安全的审查目标；
3. 系统运行安全与保密的层次构成；
4. 系统运行安全检查与记录；
5. 系统运行安全管理制度。

组织管理层在系统运行安全管理中的职责

管理层对应用系统的安全负有全部责任。安全管理包括：

系统运行安全与保密的层次构成

应用系统运行中涉及的安全和保密层次包括：系统级安全、资源访问安全、功能性安全和数据域安全。这 4 个层次的安全，按粒度从大到小的排序是：系统级安全、资源访问安全、功能性安全、数据域安全。程序资源访问控制安全的粒度大小界于系统级安全和功能性安全两者之间，是最常见的应用系统安全问题。

系统安全等级保护

专家判断是有关专家根据自己的知识与经验对问题做出判断。

《 信息安全等级保护管理办法 》 将信息系统的安全保护等级分为五级：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

计算机系统安全保护能力的五个等级（补充）