第十七章 信息系统安全管理

信息系统安全

信息系统安全的概念

信息系统是指由计算机及其相关和配套的设备、设施构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的系统或者网络。而信息系统安全是指信息系统及其所存储、传输和处理的信息的保密性、完整性和可用性的表征，一般包括保障计算机及其相关的和配套的设备、设施（含网络）的安全，运行环境的安全，保障信息的安全，以保障信息系统功能的正常发挥，以维护信息系统的安全运行。

信息系统安全属性

保密性

保密性是应用系统的信息不被泄露给非授权的用户、实体或过程，或供其利用的特性。即防止信息泄漏给非授权个人或实体，信息只为授权用户使用的特性。保密性是在可用性基础之上，是保障应用系统信息安全的重要手段。应用系统常用的保密技术如下。①最小授权原则：对信息的访问权限仅授权给需要从事业务的用户使用。②防暴露：防止有用信息以各种途径暴露或传播出去。③信息加密：用加密算法对信息进行加密处理，非法用户无法对信息进行解密从而无法读懂有效信息。④物理保密：利用各种物理方法，如限制、隔离、掩蔽和控制等措施，保护信息不被泄露

完整性

完整性是信息未经授权不能进行改变的特性。即应用系统的信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放和插入等破坏和丢失的特性。完整性是一种面向信息的安全性，它要求保持信息的原样，即信息的正确生成及正确存储和传输。保障应用系统完整性的主要方法如下。①协议：通过各种安全协议可以有效地检测出被复制的信息i 被删除的字段、失效的字段和被修改的字段。②纠错编码方法：由此完成检错和纠错功能。最简单和常用的纠错编码方法是奇偶校验法。③密码校验和方法：它是抗篡改和传输失败的重要手段。④数字签名：保障信息的真实性。⑤公证：请求系统管理或中介机构证明信息的真实性。

可用性

可用性是应用系统信息可被授权实体访问并按需求使用的特性。即信息服务在需要时，允许授权用户或实体使用的特性，或者是网络部分曼损或需要降级使用时，仍能为授权用户提供有效服务的特性。可用性还应该满足以下要求：身份识别与确认、访问控制（对用户的权限进行控制，只能访问相应权限的资源，防止或限制经隐蔽通道的非法访问。包括自主访问控制和强制访问控制）、业务流控制（利用均分负荷方法，防止业务流量过度集中而引起网络阻塞）、路由选择控制（选择那些稳定可靠的子网、中继线或链路等）、审计跟踪（把应用系统中发生的所有安全事件情况存储在安全审计跟踪之中，以便分析原因，分清责任，及时采取相应的措施。审计跟踪的信息主要包括事件类型、被管信息等级、事件时间、事件信息、事件回答以及事件统计等方面的信息）。

不可抵赖

不可抵赖性也称作不可否认性，在应用系统的信息交互过程中，确信参与者的真实同一性。即所有参与者都不可能否认或抵赖曾经完成的操作和承诺。利用信息源证据可以防止发信方不真实地否认已发送信息，利用递交接收证据可以防止收信方事后否认己经接收的信息。

信息系统安全管理体系

信息系统安全管理概念

子主题

人员安全管理

第十七章 信息系统安全管理

信息安全管理

信息安全含义及目标

信息安全定义

现代信息社会对于信息的安全提出了更高的要求，对信息安全的内涵也不断进行延伸和拓展。国际标准ISO/IEC27001: 2005《信息技术．安全技术．信息安全管理体系．要求》标准中给出目前国际上的一个公认的信息安全的定义：“保护信息的保密性、完整性、可用性；另外也包括其他属性，如：真实性、可核查性、不可抵赖性和可靠性。”

信息安全属性及目标

信息安全三元组：保密性：是指”信息不被泄露给未授权的个人、实体和过程或不被其使用的特性。“数据的保密性可以通过下列技术来实现：网络安全协议、网络认证服务、数据加密服务。②完整性：是指“保护资产的正确和完整的特性。”相应的技术包括：消息源的不可抵赖、防火墙系统、通信安全、入侵检测系统③可用性：是指“需要时，授权实体可以访问和使用的特性。”可用性确保数据在需要时可以使用。（拒绝服务攻击的逐渐盛行，凸显可用性的关键），相应技术：磁盘和系统的容错及备份、可接受的登录及进程性能、可靠的功能性的安全进程和基址其他属性及目标：真实性一般是指对信息的来源进行判断，能对伪造来源的信息予以鉴别。可核查性是指系统实体的行为可以被独一无二地追溯到该实体的特性，这个特性就是要求该实体对其行为负责，可核查性也为探测和调查安全违规事件提供了可能性。不可抵赖性是指建立有效的责任机制，防止用户否认其行为，这一点在电子商务中是极其重要的。而可靠性是指系统在规定的时间和给定的条件下，无故障完成规定功能的概率，通常用平均故障间隔时间(Mean Time Between Failure，MTBF)来度量。

信息安全管理的内容

ISO/IEC27000 系列标准是由国际标准组织与国际电工委员会共同发布的国际公认的信息安全管理系列标准，它包括ISO/IEC27001《信息技术．安全技术．信息安全管理体系．要求》、ISO/IEC27002《信息技术一安全技术信息安全管理体系贩实践准则》等系列标准。在ISO/IEC27000 系列标准中，它将信息安全管理的内容主要概括为如下1 1 个方面。

信息安全方针与策略

为信息安全提供管理指导和支持，并与业务要求和相关的法律法规保持一致。

组织信息安全

要建立管理框架．以启动和控制组织范围内的信息安全的实施。同时要保持被外部组织访问、处理、通信或受其管理的组织信息及信息处理设施的安全。

资产管理

要对组织资产实现并维持适当的保护。所有资产均应有人负责，并有指定的所有者。

人力资源安全

要确保员工、合同方和第三方用户了解他们的责任并适合于其岗位，从而减少盗窃、滥用或设施误用的风险。

物理和环境安全

应防止对组织办公场所和信息的非授权物理访问、破坏和干扰。应防止资产的丢失、损坏、被盗和破坏，以及对组织业务活动的中断。应保护设备免受物理和环境的威胁。

通信和操作安全

确保信息处理设施的正确和安全操作。应建立所有信息处理设施的管理和操作的职责与程序，包括建立适宜的操作程序。适宜时，应实施职责分离，以减少疏忽或故意误用系统的风险。应按照第三方服务交付协议的要求实施并保持信息安全和服务交付的适宜水平。应最小化系统失效的风险。为确保足够能力和资源的可用性以提烘所需的系统性能，需要预先的策划和准备。应保持信息和信息处理设施的完整性和可用性。应建立例行程序来执行商定的针对数据备份以及及时恢复演练的备份策略和战略。应确保网络中的信息和支持性基础设施得到保护。网络安全管理可能会跨越组织边界，需要仔细考虑数据流动、法律要求、监视和保护。在数据通过公共网络进行传输时要提供额外的保护。应防止对资产的未授权泄漏、修改、移动或损坏，及对业务活动的中断。应控制介质，并对其实施物理保护。应确保电子商务的安全及其安全使用。应探测未经授权的信息处理活动。应监视系统并记录信息安全事件。应使用操作员日志和故障日志以确保识别出信息系统的问题。

访问控制

应控制对信息的访问。对信息、信息处理设施和业务过程的访问应基于业务和安全需求进行控制防止对网络服务未经授权的访问。对内部和外部网络服务的访问均应加以控制。访问网络和网络服务的用户不应损害网络服务的安全，应确保：①在本组织的网络和其他组织拥有的网络或公共网络之间有合适的分界。②对用户和设备采用合适的认证机制。③对用户访问信息服务的控制。应防止对操作系统的未授权访问。应采用安全设施来限制授权用户访问操作系统。这些设施应能：(1)按照确定的访问控制策略认证授权用户。(2)记录成功和失败的系统认证尝试。(3)记录专用系统特权的使用。(4)当违背系统安全策略时发布警报。(5)提供合适的认证手段。(6)适宜时可限制用户的连接时间。应防止对应用系统中信息的未授权访问。应采用安全设施限制对应用系统的访问以及应用系统内部的访问。对应用软件和信息的逻辑访问应只限于授权的用户。应用系统应限于：(1)按照定义的访问控制策略，控制用户访问信息和应用系统功能。(2)防止能够越过系统控制或应用控制的任何实用程序、操作系统软件和恶意软件进行未授权访问。(3)不损坏与其共享信息资源的其他系统的安全。应确保在使用移动计算和远程工作设施时信息的安全。所要求的保护应与那些特定工作方法引起的风险相匹配。当使用移动计算时，应考虑不受保护的环境中的工作风险，并且要应用合适的保护。在远程工作的情况下，组织要把保护应用于远程工作场地，并且对这种工作方式提供合适的安排。

信息系统的获取、开发和保持

应确保安全成为信息系统的一部分。信息系统包括操作系统、基础设施、业务应用、非定制的产品、服务和用户开发的应用软件。支持业务过程的信息系统的设计和实施对安全来说是至关重要的。

信息安全事件管理

确保与信息系统有关的安全事件和弱点以一种能够及时采取纠正措施的方式进行沟通。

业务持续性管理

应防止业务活动的中断，保护关键业务流程不会受到重大的信息系统失效或灾难的影响并确保它们的及时恢复。

符合性

应避免违反法律、法规、规章、合同要求和其他的安全要求。信息系统的设计、运行、使用和管理都要受到法律法规要求的限制，以及合同安全要求的限制。

物理安全管理

应用系统安全管理