信息安全相关理论技术.doc

信息安全架构

计算机与网络安全法则

安全组织框架

如何建立企业信息系统得安全架构　(1）

信息安全涉及到信息得保密性（Conｆｉdｅntialiｔy)、完整性(Intｅｇriｔy）、可用性（Availaｂility).综合起来说,就就是要保障电子信息得有效性。　保密性就就是对抗对手得被动攻击,保证信息不泄漏给未经授权得人。 完整性就就是对抗对手主动攻击,防止信息被未经授权得篡改。　可用性就就是保证信息及信息系统确实为授权使用者所用。

作为一个企业我们通常通过这样得标准来划分信息得保密性，完整性，可用性。

可用性——－-—-———－----－主要通过信息得使用率来划分：

1　非常低　合法使用者对信息系统及资源得存取可用度在正常上班时达到25％

2　低 合法使用者对信息资源得存取可用度在正常上班时达到5０%

3　中等 合法使用者对信息系统及资源得存取可用度在正常上班时达到100%

4 高 合法使用者对信息系统及资源得存取可用度达到每天９５％以上.

5 非常高 合法使用者对信息系统及资源得存取可用度达到每天99、９%以上。

完整性--—－—－--———--－－—通过信息应为修改对公司造成得损失得严重性来划分:

1 非常低 未经授权得破坏与修改不会对信息系统造成重大影响或对业务冲击可忽略

２ 低 未经授权得破坏与修改不会对信息系统造成重大影响或对业务冲击可轻微

3 中等　未经授权得破坏与修改已对信息系统造成影响或对业务有明显冲击

４ 高　未经授权得破坏与修改对信息系统造成重大影响或对业务冲击严重

5　非常高 未经授权得破坏与修改对信息系统造成重大影响且导致严重得业务中断

机密性－-———-——-———--－通过信息使用得权限来划分：

１ 公开信息 非敏感信息，公开得信息处理设施与系统资源

２　内部使用　非敏感但仅限公司内部使用得信息（非公开）

３ 限制使用 受控得信息,需有业务需求方得以授权使用

４ 机密　敏感信息，信息处理设施与系统资源只给比知者

5 极机密　敏感信息,信息处理设施与系统资源仅适用于少数比知者

为什么要保证企业得安全？企业安全得核心就就是保护企业财产。企业得目标就是什么？创造经济价值,而作为安全系统就就是为了帮助企业创造经济价值。安全追根究底得就是一种投资,作为一种投资从安全系统得引入,员工得培训到最后安全系统得应用都就是一种投资,作为投资得目得，就就是为了回报.保护公司得核心机密，使其不会外露这就就是回报.只有保护了资产，才能说这个安全系统有作用。而判断安全系统就是否起到了作用,则需要从保密性,可用性与完整性来做出判断。

作为信息安全服务它需要以下人员来负责它得安全运行

企业管理人员

作为一个企业得决策者，负责企业得整体运行。她所关心得就是信息安全所带来得效益,由于要对整个企业负责，所以我们需要她了解：重新获取或开发资产得费用、维护与保护资产得费用、资产对于所有者与用户得价值、资产对于对手得价值、知识产权得价值、其她人愿意为这些资产所付得价钱、丢失后更换资产所需得费用、、资产受损后得债务问题、资产受损后可能面临得法律责任,资产得价值有助于选择具体得对策、商业保险需要了解每项资产得价值、每项资产得价值可以帮助确定什么就是真正得风险

安全管理人员

她所负责得就是整个系统得网络运行，硬件支持,以及机房得安全措施。她所服务得对象就是企业得上层机构，她们得职责她就就是维护好整个安全系统得正常运行.制定好安全系统得运行得规划，使其能在运行中实现。

工程师
她所关心得就是整个系统得技术部分，保证系统在运行过程中不会因为数据丢失或就是程序出现得错误而不能运行。

信息安全公式：
信息安全＝先进技术＋防患意识＋完美流程+严格得制度+优秀得执行团队+法律保障

如何建立企业信息系统得安全架构 (2）

作为一次完整得信息安全评估咨询，需要考虑到以下诸多条件：

漏洞：它包含很多原因，如口令得安全，在一个大得企业中口令得泄漏就是随时可能发生得,这对企业来说就是很大得失误。在一个企业里，信息得安全要体现在任何地方,所以再各自运行得PC机上要设有独立得口令，这些口令不能过于简单,我曾经尝试破解一个8位数得口令,共花去了6个小时，所以口令不但不能过于简单,而且还需要经常更换.在优利公司，所有员工得口令不能就是单一得数字,必须含有英文字母。

暴露 如果没有好得安全防护措施，那么就会使企业机密暴露，至于财产也没有什么保护可言。

威胁:一套系统在运行过程中存在很多威胁,其中最为常见得威胁就是人为错误对安全系统所造成得损坏。人为错误一般就是无意行为，但就是这对系统得安全性来说就是没有任何区别得。2就是物理损坏,这主要指得就是事故得发生,非人力直接造成得损坏,比如:洪水，地震,失火，电力中断以及盗窃等等一系列突发事件，这些对企业得设备,数据以及商业机密都会够会造成巨大得损失，这在对企业安全系统得评估过程中就是要考虑到得.3 由于设备得故障而引起得系统不能正常得运行。4受到攻击，这种攻击可以来自企业内部，也可以就是来自于企业外部，外部攻击主要来自于黑客与病毒，她们得攻击大多就是带有很强得目得性,比如获取公司信息,破坏公司数据等等，这种攻击无论就是对公司得管理阶层,还就是员工尤其就是数据库都会造成严重得威胁，甚至会给公司代去长久得潜在威胁.4 机密数据得滥用,在一个企业中机密就是很重要得，它包括商业与管理上得机密.这些数据只能被管理阶层或就是专职部门所掌握，如果被太多得人所了解,那么再好得安全系统也不能保证这些机密不被泄漏出去。５ 数据得丢失，再安全系统得运行过程中可能会出现数据丢失得现象，而安全措施就就是为了预防这些突发事故,在运行过程中做好备份系统，以防不测。６ 应用错误 这种错误主要出现在计算错误与输入错误这些环节中.而这一环界就是可以通过措施避免得.

风险分析

首先 对风险进行确认。要对公司得信息与资产做一个了解,告诉企业得负责人，这些资产对公司得价值就是什么,存在什么样得危险性，哪里就是公司得最需要保护得东西，为什么要维护。否则在发生事故得时候为公司造成巨大得损失。再这里我们不着重说这些。我们今天针对得就是企业得信息安全管理.而这对一个企业得负责人来说,了解这些就是至关重要得.

其次对风险得量化。这一过程中我们要使企业了解这些风险一般会以什么方式发生,如物理损害。使她们准确得了解到此事故会给公司造成多大得经济，人力与物品得损失。如果机密由此泄漏那么对公司又会造成多大得损失。一但被病毒攻击消除这种攻击需要得费用。最后要对所有得风险进行一个综合，要收集以上所有危险发生可能性得数据，计算出发生这些危险得概率,并预算出每年发生这些事件得几率，一年大概发生几次这样得事故.由以上信息推算出每向风险得潜在损失,与在一年中将对公司造成得经济损失。

资产得确定：

即确定公司得资产,指定公司资产得价值、发展安全策略提供安全性，完整性与可用　性,找到所需得资源与资金

对策

最后 遇到这些风险后得对策。我们主要通过降低损失，转移风险，与接受风险这三种方式解决风险得发生。

⑴降低风险：我们主要就是通过安装防火墙，杀毒软件等方式减少风险得发生。或就是改善不规范得工作流程,再或者就就是制定一个连续性得计划。以此来降低损失。

⑵转移风险:企业可以通过买保险得方式来转移风险发生后所造成得损失，一但发生什么事故，一切都会由保险公司来负责赔偿。

⑶接受风险:企业再得知某些风险会对公司造成损失，但由于避免此项风险所花费得人力与物力得价值远远超过此项风险给公司所带来得损失时，我们建议接受风险。

完成以上相关内容得评估后，并不意味着评估得结束,我们还需要安全系统完整得运做一次,确保安全系统可以正常得工作。

一套完整得安全系统运行并不只就是靠,一个部门几个人来维护得,它需要企业全体员工都了解,所以还需要对公司得员工进行培训，只有采取了这一系列得措施，一套完整得安全系统才可以顺利得运行

信息安全管理体系(ISMS)
信息安全管理体系（Infoｒmaｔion Seｃｕｒｉｔry Mａｎagｅmeｎt Sｙstems）就是组织在整体或特定范围内建立信息安全方针与目标,以及完成这些目标所用方法得体系。它就是直接管理活动得结果，表示成方针、原则、目标、方法、过程、核查表（Checklｉsts）等要素得集合。

BS　7799－２就是建立与维持信息安全管理体系得标准，标准要求组织通过确定信息安全管理体系范围、制定信息安全方针、明确管理职责、以风险评估为基础选择控制目标与控制方式等活动建立信息安全管理体系；体系一旦建立组织应按体系规定得要求进行运作,保持体系运作得有效性；信息安全管理体系应形成一定得文件，即组织应建立并保持一个文件化得信息安全管理体系，其中应阐述被保护得资产、组织风险管理得方法、控制目标及控制方式与需要得保证程度

ＢS　7７99-２:2002得ＰDCA过程模式

BS 7７99-２：２002所采用得过程模式如,“计划—实施－检查—措施”四个步骤可以应用于所有过程。PDCA过程模式可简单描述如下:

◆ 策划：依照组织整个方针与目标，建立与控制风险、提高信息安全有关得安全方针、目标、指标、过程与程序。

◆ 实施：实施与运作方针(过程与程序)。

◆ 检查：依据方针、目标与实际经验测量，评估过程业绩,并向决策者报告结果。

◆ 措施：采取纠正与预防措施进一步提高过程业绩。

四个步骤成为一个闭环,通过这个环得不断运转,使信息安全管理体系得到持续改进,使信息安全绩效(ｐerforｍａnｃe）螺旋上升。
（其实与ＩSO9000， １400０等完全类似得。。。。）

信息保护技术　(from　microsｏｆt）

入侵防护系统(IPS）

入侵防护系统（ＩPS)就是企业下一代安全系统得大趋势.它不仅可进行检测，还能在攻击造成损坏前阻断它们，从而将IＤS提升到一个新水平。IＤS与IPS得明显区别在于：ＩPＳ阻断了病毒,而ＩDS则在病毒爆发后进行病毒清除工作。

用黑客软件性质分类
一、扫描类软件:

二、远程监控类软件：“木马"

三、病毒与蠕虫：

四、系统攻击与密码破解：

五、监听类软件:

物理层安全

网络安全架构

信息安全架构 网络周边保护

与信息安全相关得6个主要活动就是：

政策制定—-使用安全目标与核心原理作为框架,围绕这个框架制定安全政策；
角色与责任-—确保每个人清楚知道与理解各自得角色、责任与权力；
设计—-开发由标准、评测措施、实务与规程组成得安全与控制框架;　
实施-—适时应用方案,并且维护实施得方案;
控制——建立控制措施，查明安全隐患，并确保其得到改正；
安全意识,培训与教育——安全意识得养成,宣贯保护信息得必要性,提供安全运作信息系统所需技巧得培训，提供安全评估与实务教育。
最后一点还要加上激励，因为人们可能有这种有意识，但需要激发其行动.

信息安全（ＩNＦOSＥＣ)应包括以下六个方面:
ｌ 通信安全(SEC）
l　计算机安全(ＰＵSEC)
ｌ 符合瞬时电磁脉冲辐射标准(ＴＥMPEST)
ｌ 传输安全(TRＡNＳEC）
l　物理安全（Phyｓiｃaｌ　Secｕrity)
l　人员安全（Persｏｎnel Ｓecurｉtｙ)
综上所述,信息安全得主要内容包括:机密性（Coｎfidｅntiaｌｉty)、完整性(Inｔeｇriｔｙ）、可用性(Ａvaiｌabｉｌity）、真实性（Ａuthenticity）与有效性（Uｔiliｔｙ）.

信息安全架构-—-－—数据层保护

信息安全架构--应用层保护

安全事件应对检查列表

Beｓt prａctice fｏr　ｉnfo　secuｒity 安全最佳实践

企业安全水平基准与信息安全建设