1.3 信息安全管理基础

一.大纲要求

1.3.1 信息安全管理制度与政策
* 熟悉我国计算机信息系统等级保护制度
* 了解我国涉及国家秘密的信息系统分级保护制度
* 了解我国密码管理政策
* 了解我国信息安全产品管理政策
* 了解我国互联网信息服务管理政策

1.3.2 信息安全风险评估与管理
* 了解风险分析、评估和风险管理的基本知识

二.思维导图

三.备考知识要点

1.信息安全：是保护信息系统的硬件，软件及相关数据，使之不因为偶然或恶意的侵犯而遭受破坏，更改和泄露；保证信息系统中信息的机密性（Confidentiality），完整性（Integrity）和可用性（Availability）。从更广义的概念来看，当前信息安全的主要内容或目标可能还包括不可否认性（Non-Repudiability），可控性(Controllability)，真实性(Authenticity)和有效性(Utility)等。

信息安全管理：为通过维护信息的机密性、完整性和可用性等来管理和保护信息资产的一项体制，是对信息安全保障进行指导、规范和管理的一系列活动和过程。信息安全管理应当涉及信息安全的各个方面，包括制定信息安全策略、风险评估、控制目标与方式选择、制定规范的操作流程、对人员进行安全培训等一系列工作。

信息安全管理体系是组织在整体或特定范围内建立的信息安全方针和吕标，以及完善这些目标所采用的方法和手段所构成的体系。信息安全管理体系是信息安全管理活动的直结果，可表示为策略，原则，目标，方法，程序和资源等总的集合。

2.密码管理，密码除了用于信息加密外，也用于数据信息签名和安全认证。

我国的商用密码管理原则，在中共中央办公厅1996年27号文中，明确了我国发展和管理商用密码实行”统一领导，集中管理，定点研制，专控经营，满足使用“的 20字方针。

《商用密码管理条例》中所称商用密码，是指对不涉及国家秘密内容的信息进行加密保护或者安全认证所使用的密码技术和密码产品。商用密码技术是商用密码的核心，国家将商用密码技术列入国家秘密，任何单位和个人都有责任和义务保护商用密码技术的秘密。

国家密码管理局公布了无线局域网产品须使用的系列密码算法，包括
对称密码算法：SMS4
签名算法：ECDSA
密钥协商算法：ECDH
杂凑算法：SHA-256
随机数生成算法；自行选择
其中ECDSA和ECDH密码算法须采用国家密码管理制定的椭圆曲线和参数。
这是国内官方公布的第一个商用密码算法系列。

3.网络管理

网络管理从功能上讲一般包括配置管理，性能管理，安全管理，故障管理等。

管理管理最突出的特点是对网络组成成分管理的统一性和远程性。这是以保证网络传输的性能和安全性为前提的。

比较理想的网络管理需要建立一种新型的整体网络安全管理解决方案一一统一安全管理平台，总体配置、调控整个网络多层 、分布式的安全系统，实现对各种网络安全资源的集中监控、统一策略管理、智能审计及多种安全功能模块之间的互动，从而有效简化网络安全管理工作，提升网络的安全水平和可控制性、可管理性，降低用户的整体安全管理开销。

网络管理体系结构包括以下四个方面：协议，表示，安全和对象。
网络管理的4个确定性特征是：统一化，智能化，安全化和主动化。
网络管理的几个主要开发方向：网管系统，应用性能管理，桌面管理，员工行为管理，安全管理

4.设备管理
设备安全管理包括设备的选型，检测，安装，等级，使用，维护和存储管理等多方面的内容。

5.人员管理

人始终是影响信息系统安全的最大因素，人员管理也就成为信息系统安全管理的关键。
有效的安全计划是管理层为保护其关键信息资源雨采取的最为有效的办法。

所有人员应明确其在安全系统中的职责和权限。所有人员的工作、活动范围应当被限制在完成其任务的最小范围内。人员管理的第一关要求加强人员审查，主要从人员的安全意识、法律意识和安全技能等几个方面进行审查。

信息安全教育和培训的具体内容和要求因对象不同而不同，主要包括法规教育，安全技术教育和安全意识教育等。

法规教育是信息安全教育的核心。

常用的信息安全技术包括加密技术、防火墙技术、入侵检测技术、漏洞扫描技术、备份技术、计算机病毒防御技术和反垃圾邮件技术等。

安全意识教育主要包括:组织信息安全方针与控制目标；安全职责、安全程序及安全管理规章制度；适用的法律法规；防范恶意软件以及其他与安全有关的内容等。

安全意识计划的实施要覆盖到所有层次的所有员工。信息安全人员管理的安全教育对象，应当包括信息安全相关的所有人员，可能包括:领导和管理人员:信息系统的工程技术人员，包括系统研发和维护人员:一般用户:其他相关人员等。

6.信息安全等级保护管理办法
《信息安全等级保护管理办法》将信息系统的安全保护等级分为以下五级：
第一级：信息系统受到破坏后，会对公民，法人和其他组织的合法权益造成损害，但不损害国家安全，社会秩序和公共利益。
第二级：信息系统受到破坏后，会对公民，法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级：信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级：信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级：信息系统受到破坏后，会对国家安全造成特别严重损害。

7.信息安全等级保护管理办法

《信息安全等级保护管理办法》明确规定，在信息系统建设过程中，运营，使用单位应当按照《计算机信息系统安全保护等级划分准则》
GB17859-1999标准规定了计算机系统安全保护能力的五个等级
第一级：用户自主保护级，通过隔离用户与数据，使用户具备自主安全保护的能力。
第二级：系统审计保护级，通过登录规程，审计安全性相关事件和隔离资源，使用户对自己的行为负责
第三级：安全标记保护级，具有系统审计保护级所有功能，还提供有关安全策略模型，数据标记以及主体对客体强制性访问控制的非形式化描述，具有准确地标记输出信息的能力，消除通过测试发现的任何错误
第四级：结构化保护级，要求将第三级系统中的自主和强制访问控制扩展到所有主体与客体。此外，还要考虑隐蔽通道。
第五级：访问验证保护级，满足访问监控器需求。访问监控器仲裁主体对客体的全部访问。

8.涉密信息系统安全分级保护

涉密信息系统安全分级保护可以划分为秘密级，机密级和机密级（增强），绝密级三个等级
秘密级：不低于国家信息安全等级保护三级的要求
机密级：不低于国家信息安全等级保护四级的要求
属于下列情况之一的机密级信息系统应选择机密级（增强）的要求
副省级以上的党政首脑机关，以及国防，外交，国家安全，军工等要害部门。
机密级信息含量较高或数量较多。
使用单位对信息系统的依赖程度较高。
绝密级：信息系统中包含有最高为绝密级的国家秘密，不低于国家信息安安等级保护五级的要求。

9.涉密信息系统分级保护的管理过程分为八个阶段，即系统定级阶段，安全规划方案设计阶段，安全工程实施阶段，信息系统测评阶段，系统审批阶段，安全运行及维护阶段，定期评测与检查阶段和系统隐退终止阶段等。

涉密信息系统定级遵循“谁建设，谁定级”的原则

10.隔离技术

目前国内外的趋势都是用网络隔离这个概念来代替物理隔离或安全隔离等
隔离技术
第一代隔离技术：完全地隔离
第二代隔离技术：硬件卡隔离
第三代隔离技术：数据传播隔离
第四代隔离技术：空气开关隔离
第五代隔离技术：安全通道隔离

防火墙是最常用的网络隔离手段
防火墙有一个很显著的缺点：就是防火墙只能做网络四层以下的控制，对于应用层内的病毒、蠕虫都没有办法。对于安全要求初级的隔离是可以的。

11.网闸的设计形象的借鉴了船闸的概念，设计采用“代理+摆渡”。不在河上架桥，可以设摆渡船，摆渡船不直接连接两岸，安全性当然要比桥好，即使是攻击，也不可能一下就进入，在船上总要收到管理者的各种控制。
网络隔离技术的安全要点
要具有高度的自身安全性
要确保网络之间是隔离的
要保证网间交换的只是应用数据
要对网闸的访问进行严格的控制和检查
要在坚持隔离的前提下保证网络畅通和应用透明

网络隔离的关键是在于系统对通信数据的控制，即通过不可路由的协议来完成网闸的数据交换。

交换网络的模型来源于银行系统的 Clark-Wilson 模型，主要是通过业务代理与双人审计的思路保护数据的完整性。

12.安全监控可以分为网络安全监控和主机安全监控两大类。

13.信息安全风险评估，则是指依据有关信息安全技术标准，对信息系统及由其处理，传输和存储的信息的保密性，完整性和可用性等安全属性进行科学评价的过程，它要评估信息系统的脆弱性，信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。
任何系统的安全性都可以通过风险的大小来衡量

风险评估：指确定在计算机系统和网络中每一种资源缺失或遭到破坏对整个系统造成的预计损失数量。

风险评估具体评估过程

确定资产

脆弱性和威胁分析

制定及评估控制措施

决策

沟通与交流

监督实施

14.风险评估的方法分为三大类：定量评估方法，定性评估方法，定性与定量相结合的评估方法。

典型的定量分析方法有因子分析法，聚类分析法，时序模型，回归模型，等风险图发，决策树法等
典型的定性分析方法有因素分析法，逻辑分析法，历史比较法，德尔菲法。
定性与定量相结合的综合评估方法

典型的风险评估方法：层次分析法，它的基本步骤是
（1）系统分解
（2）构造判断矩阵
（3）层次总排序

15.风险管理就是以可以接受的费用识别，控制，降低或消除可能影响信息系统的安全风险的过程。

风险管理是一个动态持续的过程

降低风险的途经：避免风险，转移风险，减少威胁，减少脆弱性，减少威胁可能的影响，检测意外事件。

风险接受是一个对残留风险进行确认和评价的过程。

四.历年真题分布

第一章信息安全基础真题分布统计

本文固定链接: https://www.moondream.cn/?p=521 | 月梦工作室