丞昊信息：信息安全的基本內(nèi)容
信息安全管理主要包括信息安全風(fēng)險(xiǎn)管理、設(shè)備安全管理、信息安全管理和運(yùn)行安全管理。
1、信息安全風(fēng)險(xiǎn)管理。
信息安全管理是一個(gè)過(guò)程，不是產(chǎn)品，其本質(zhì)是風(fēng)險(xiǎn)管理。信息安全風(fēng)險(xiǎn)管理可以看作是一個(gè)不斷降低安全風(fēng)險(xiǎn)的過(guò)程，最終目的是將安全風(fēng)險(xiǎn)降低到一個(gè)可接受的程度，使用戶和決策者能夠接受的風(fēng)險(xiǎn)。信息安全風(fēng)險(xiǎn)管理貫穿信息系統(tǒng)生命周期的全過(guò)程。信息系統(tǒng)的生命周期包括計(jì)劃、設(shè)計(jì)、實(shí)施、運(yùn)輸和廢棄五個(gè)階段。每個(gè)階段都有相關(guān)的風(fēng)險(xiǎn)，需要采用相同的信息安全風(fēng)險(xiǎn)管理方法來(lái)控制。
信息安全風(fēng)險(xiǎn)管理是為了保護(hù)信息及其相關(guān)資產(chǎn)，指導(dǎo)和控制組織信息安全風(fēng)險(xiǎn)的協(xié)調(diào)活動(dòng)。我國(guó)《信息安全風(fēng)險(xiǎn)管理指南》指出，信息安全風(fēng)險(xiǎn)管理包括對(duì)象確立、風(fēng)險(xiǎn)評(píng)價(jià)、風(fēng)險(xiǎn)管理、審查批準(zhǔn)、監(jiān)視與審查、交流與咨詢6個(gè)方面，前4個(gè)是信息安全風(fēng)險(xiǎn)管理的4個(gè)基本步驟，監(jiān)視與審查與交流與咨詢貫穿于這4個(gè)步驟。
2、設(shè)施安全管理。
設(shè)施安全管理包括網(wǎng)絡(luò)安全管理、保密設(shè)備安全管理、硬件設(shè)施安全管理、現(xiàn)場(chǎng)安全管理等。
信息化管理網(wǎng)絡(luò)是用于收集、傳輸、處理和存儲(chǔ)相關(guān)信息系統(tǒng)和網(wǎng)絡(luò)的維護(hù)、運(yùn)行和管理信息、高度自動(dòng)化網(wǎng)絡(luò)化的綜合管理系統(tǒng)，包括性能管理、配置管理、故障管理、收費(fèi)管理、安全管理等功能。安全管理包括系統(tǒng)安全管理、安全服務(wù)管理、安全機(jī)制管理、安全事件處理管理、安全審計(jì)管理、安全恢復(fù)管理等。
硬件設(shè)施的安全管理主要考慮配置管理、使用管理、維護(hù)管理、存儲(chǔ)管理、網(wǎng)絡(luò)連接管理。常見(jiàn)的網(wǎng)絡(luò)設(shè)備需要防止電磁輻射、電磁泄漏和自然老化。對(duì)于集線器、開(kāi)關(guān)、網(wǎng)關(guān)設(shè)備或路由器，我們還需要防止受到拒絕服務(wù)、訪問(wèn)控制、后門缺陷等威脅。傳輸介質(zhì)需要防止電磁干擾、電線竊聽(tīng)和人為破壞，衛(wèi)星通道、微波接力通道等需要防止通道竊聽(tīng)和人為破壞。保密設(shè)備主要包括保密性能指標(biāo)的管理、工作狀態(tài)的管理、保密設(shè)備的類型、數(shù)量、分配、用戶狀況的管理、密鑰的管理。網(wǎng)站設(shè)施的安全管理。機(jī)械室和現(xiàn)場(chǎng)設(shè)施的安全管理需要滿足防水、防火、防靜電、防雷、防輻射、防盜等國(guó)家標(biāo)準(zhǔn)。人員進(jìn)出控制需要根據(jù)安全等級(jí)和關(guān)系范圍采取必要的技術(shù)和行政措施，登記人員進(jìn)出時(shí)間和進(jìn)出理由等。電磁輻射防護(hù)需要根據(jù)技術(shù)可行性和經(jīng)濟(jì)合理性，采用設(shè)備防護(hù)、建筑防護(hù)、區(qū)域防護(hù)、磁場(chǎng)防護(hù)。
3、信息安全管理。
根據(jù)信息化建設(shè)的發(fā)展需要，信息包括在網(wǎng)絡(luò)和系統(tǒng)中收集、傳輸、處理、存儲(chǔ)的對(duì)象，如技術(shù)文件、存儲(chǔ)介質(zhì)、各種信息等3個(gè)層次的內(nèi)容，第二是使用的各種軟件，第三是安全管理手段的密鑰和密碼等信息。軟件設(shè)施的安全管理。軟件設(shè)施的安全管理主要考慮配置管理、使用和維護(hù)管理、開(kāi)發(fā)管理、病毒管理。軟件設(shè)施主要包括操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、應(yīng)用軟件、網(wǎng)絡(luò)管理軟件、網(wǎng)絡(luò)協(xié)議等。操作系統(tǒng)是整個(gè)計(jì)算機(jī)系統(tǒng)的基石，由于其安全等級(jí)不高，需要提供不同的安全等級(jí)保護(hù)。數(shù)據(jù)庫(kù)系統(tǒng)需要加強(qiáng)數(shù)據(jù)庫(kù)的安全性，采用加密技術(shù)加密數(shù)據(jù)庫(kù)中的敏感數(shù)據(jù)。目前使用最廣泛的網(wǎng)絡(luò)通信協(xié)議是TCP/IP協(xié)議。由于安全設(shè)計(jì)存在許多缺陷，經(jīng)常面臨許多威脅。網(wǎng)絡(luò)管理軟件是安全管理的重要組成部分，常用的有HP公司OpenView、IBM公司NetView、SUN公司NetManager等，還需要額外的安全措施。
?、俅鎯?chǔ)介質(zhì)的安全管理。存儲(chǔ)介質(zhì)包括紙質(zhì)介質(zhì)、磁盤、磁盤、磁帶、錄音/視頻等，其安全對(duì)信息系統(tǒng)的恢復(fù)、信息的保密、病毒的預(yù)防起著非常重要的作用。不同類別的存儲(chǔ)介質(zhì)，安全管理要求也不同。存儲(chǔ)介質(zhì)的安全管理主要考慮存儲(chǔ)管理、使用管理、復(fù)印和銷毀管理、涉密介質(zhì)的安全管理。
②技術(shù)文檔的安全管理。技術(shù)文檔是系統(tǒng)或網(wǎng)絡(luò)在設(shè)計(jì)、開(kāi)發(fā)、運(yùn)行和維護(hù)中所有技術(shù)問(wèn)題的文字描述。技術(shù)文檔按其內(nèi)容涉密度進(jìn)行分級(jí)管理，一般分為絕密級(jí)、機(jī)密級(jí)、秘密級(jí)和公開(kāi)級(jí)。技術(shù)文檔的安全管理主要考慮文檔的使用、備份、借用、銷毀等方面，需要建立嚴(yán)格的管理制度和相關(guān)負(fù)責(zé)人。
?、勖荑€和密碼的安全管理。密鑰是加密解密算法的關(guān)鍵，密鑰管理是密鑰的生成、檢查、分配、保存、使用、注入、更換和銷毀等過(guò)程的管理。密碼是管理設(shè)備的有效手段，密碼的產(chǎn)生、傳輸、使用、存儲(chǔ)、更換需要有效的管理和控制。
4、運(yùn)行的安全管理。
信息系統(tǒng)和網(wǎng)絡(luò)在運(yùn)行過(guò)程中的安全狀態(tài)也是一個(gè)需要考慮的問(wèn)題，目前常常關(guān)注安全審計(jì)和安全恢復(fù)兩個(gè)安全管理問(wèn)題。
安全審計(jì)是指記錄、分析和分析系統(tǒng)或網(wǎng)絡(luò)運(yùn)行中的安全情況和事件，采取相應(yīng)措施的管理活動(dòng)。目前主要審計(jì)操作系統(tǒng)和各種重要應(yīng)用程序。安全審計(jì)工作應(yīng)由各級(jí)安全機(jī)構(gòu)負(fù)責(zé)實(shí)施管理，安全審計(jì)可采用人工、半自動(dòng)或自動(dòng)智能三種方式。人工審計(jì)一般由審計(jì)人員看、分析、處理審計(jì)記錄的半自動(dòng)審計(jì)一般由計(jì)算機(jī)自動(dòng)分析處理，由審計(jì)人員決定和處理的自動(dòng)智能審計(jì)一般由計(jì)算機(jī)完成分析處理，通過(guò)專家系統(tǒng)進(jìn)行判斷，可以滿足不同的應(yīng)用環(huán)境需求。
安全恢復(fù)是指網(wǎng)絡(luò)和信息系統(tǒng)在到災(zāi)害性的打擊或破壞時(shí)，為了使網(wǎng)絡(luò)和信息系統(tǒng)迅速恢復(fù)正常，將損失降到最低而進(jìn)行的一系列活動(dòng)。安全恢復(fù)的管理主要包括安全恢復(fù)戰(zhàn)略的確立、安全恢復(fù)計(jì)劃的制定、安全恢復(fù)計(jì)劃的測(cè)試和維護(hù)、安全恢復(fù)計(jì)劃的執(zhí)行。
