信息系统安全策略综述

《信息系统安全策略综述》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息系统安全策略综述摘要本文通过对信息安全系统策略相关问题的讨论，借鉴引入两种制定策略的思考规范并通过基于网络信息系统安全策略制定实例指导读者在具体实践中体会多种策略结合的好处，同时更好的帮助读者建立起对信息安全系统策略的总体映像，方便进一步学习。1引言在信息技术高速发展的今天，解决信息安全问题，不仅要靠良好的信息安全管理体系，更应对信息安全的要求落实到具体的信息系统管理中。而制定并实施信息系统的安全策略就是落实信息安全要求的必要技术措施。本文将根据个人对信息安全技术标准、管理规范的肤浅理解，结合相关专业人士研究成果，对

2、信息系统安全策略的提出背景，定义与内容，然后结合基于网络信息系统安全策略制定实例对信息系统安全策略进行初步探讨。2引入背景--------计算机信息系统面临的威胁据美国联邦航空局向外界透露，该局一个航班排序中心的电脑系统当天下午因故障而瘫痪，导致全国20多个机场出现航班延误。此前，黑客攻陷美国国家安全部门信息系统，造成损失的报道屡见报端。类似事件在我国也有发生。某银行的信息终端出现问题，客户非法提现，最终招致一场轰动全国的诉讼案件。层出不穷的这类事件和事故，都在向我们昭示，信息系统风险无时无处不在，加强安全防范，构筑安全

3、堤坝已经是刻不容缓。按一般信息处理过程来看，计算机信息系统所面对的威胁可以归结为三大类，一是对信息系统设备的威胁，二是对业务处理过程的威胁，三是对数据的威胁。因为信息系统与人们的现实经济生活关系日益密切，这些威胁，或早或晚、或大或小，都会转化为对人们现实经济生活的威胁。3信息系统安全策略定义与内容为了保证信息系统安全保护工作的整体、计划性及规范性，保证各项措施和管理手段的正确实施，使信息系统信息数据的机密性、完整性及可使用性受到全面、可靠的保护，我们往往需要制定信息系统安全策略。3.1信息安全策略定义参照相关论文，我们可

4、以得出以下几种定义：信息安全策略是单位内指导本单位及其信息系统如何管理、保护积分发，包括敏感信息在内的资产的规则、指南和惯例。信息安全策略(InformationSecurityPolicies)也叫信息安全方针，是组织对信息和信息处理设施进行管理，保护和分配的原则，它告诉组织成员在日常的工作中什么是可以做的，什么是必须做的，什么是不能做的，哪里是安全区，哪里是敏感区，就像交通规则之于车辆和行人，信息安全策略是有关信息安全的行为规范。3.2信息安全策略分类按照它们的关键思想把这些策略分为了4类：第一类，通过改进信息系统开

5、发过程中的系统安全部分，达到解决信息系统安全目的。第二类，通过仔细观察组织中各项工作的职责后发现安全需求，以解决信息系统安全问题。第三类，通过改进业务处理过程，尝试构建一个模型来描述业务过程模型中的安全约束以解决信息系统安全。第四类，从数据模型的安全方面入手，通过扩展数据库安全领域的现有研究结果，达到解决信息系统安全目的。3.3信息安全策略内容3.3.1物理安全策略旨在保护计算机服务器、数据存贮、系统终端、网络交换等硬件设备免受自然灾害、人为破坏，确保其安全可用。制定物理安全策略，要重点关注存放计算机服务器、数据存贮设备

6、、核心网络交换设备的机房的安全防范。其选址与规划建设要遵循GB9361计算机场地安全要求和GB2887计算机场地技术条件，保证恒温、恒湿，防雷、防水、防火、防鼠、防磁、防静电，加装防盗报警装置，提供良好的接地和供电环境，要为核心设备配置与其功耗相匹配的稳压及UPS不间断电源。3.3.2网络安全策略旨在防范和抵御网络资源可能受到的攻击，保证网络资源不被非法使用和访问，保护网内流转的数据安全。访问控制是维护网络安全、保护网络资源的重要手段，是网络安全核心策略之一。访问控制包括入网访问控制、网络授权控制、目录级安全控制、属性安

7、全控制、网络服务器安全控制、网络监测和锁定控制、网络端口和节点的安全控制以及防火墙控制。安全检查（身份认证）、内容检查也是保护网络安全的有效措施。网络加密手段包括链路加密、端点加密和节点加密，链路加密是保护网络节点之间的链路数据安全，端到端加密是对从源端用户到目的端用户之间传输的数据提供保护，节点加密是对源节点到目的节点之间的传输链路提供保护。另外，数字认证在一定程度上保证了网上交易信息的安全。3.3.3数据安全策略旨在防止数据被偶然的或故意的非法泄露、变更、破坏，或是被非法识别和控制，以确保数据完整、保密、可用。数据安

8、全包括数据的存储安全和传输安全两个方面。数据的存储安全系指数据存放状态下的安全，包括是否会被非法调用等，可借助数据异地容灾备份、密文存储、设置访问权限、身份识别、局部隔离等策略提高安全防范水平。3.3.4软件安全策略旨在防止由于软件质量缺陷或安全漏洞使信息系统被非法控制，或使之性能下降、拒绝服务、停机。软件安全策略分