浅谈企业信息系统安全结构的建立

《浅谈企业信息系统安全结构的建立》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、浅谈企业信息系统安全结构的建立　　论文摘要:改善企业信息系统的安全需要从结构着手。该文介绍了信息系统安全系统结构的现状和对安全系统结构进行了标准化的分析，它描述了在满足安全需求方面各安全元素之间的关系，提出了企业信息安全系统结构的模型，为指导企业安全标准系统的制定提供了参考。　　企业信息系统安全结构是计算机X络安全系统结构的扩展。20世纪80年代末、90年代初，信息系统安全系统结构的重要性开始引起发达国家关注。如，美国国家安全局(NAS)20世纪90年代公布的国防信息系统安全计划(DISSP)，是由安全特性、系统组成部分、扩一展的ISO协议层等三维构成，它不仅考虑了信息传输安全、

2、X络安全，还考虑了信息处理安全、端系统及接口安全问题;此外，还增加了互操作性、质量保证、性能等安全特性。2001年美国国家安全局(NAS)制定了信息技术保证框架(IATF)，是从整体、过程的角度看待信息安全问题，它强调以人、技术、操作这三个核心原则，关注四个信息安全保障领域:保护X络和基础设施、保护边界、保护计算环境、支撑基础设施，并在4个重点技术领域实施诸如应用层护卫、电路代理、文件加密等多种安全技术手段。再如，美国国防部所属的国防信息系统局(DISA)19%年制定了防御目标安全系统结构框架(DGSAV3.0)，从系统单元构成的角度，提出了信息系统中各单元分的安全服务配置框架，

3、目的是要从安全系统结构的高度对信息统的安全保护提出技术上和管理上的规范要求等。　　在信息系统安全系统结构理论研究领域，有人提出开放分布式系统的安全结构;有人对X络及信息系安全系统结构进行了初步的探讨和研究，提出了计算机X络实体安全系统结构和基于智能协作技术的信息系统安全系结构概念模型等。通过对上述的研究分析，可以看到国内外己有的安全系统结构和框架都描述了信息系统相关的安全系统结构及模型等安全要素，它们各不相同，实现方法等也并且都不完备。由于研究问题的层次和角度不同，对安全系统结构的具体含义的理解也同，从而导致信息系统安全系统结构在概念上、类型上及结构上的不一致，因此，为使信息系统

4、安全系统结构研究和应用共同的概念依据和构建基础，需要加强对信息系统安全结构的一些基本间题，诸如安全结构的类型及特征、构成要素及构建步骤等内容的学习研究，以引导企业安全系统的建立。　　1信息系统安全系统结构组成要素　　实现信息安全系统结构的安全，要从多个方面考虑，通常定义的包括安全属性、系统组成、安全策略、安全模型、安全机制等5个方面。在每一个方面中，还可以继续划分多个层次;对于一个给定的层次，包括着多种安全要素。　　1.1安全属性　　安全本身是对信息系统一种属性要求，信息系统通过安全服务来实现安全性。基本的安全服务包括标识与鉴别、保密性、完整性、可用性等。在1507498一2中对

5、安全服务和安全机制的对应关系给予了描述。它的核心内容是将5大类安全服务:身份鉴别、访问控制、数据保密、数据完整性、不可否认性及提供这些服务的8类安全机制及其相应的OSI安全管理等放置于OSI模型的7层协议中，以实现端系统信息安全传送的通信通路。这样从安全性到安全服务机制到具体安全技术手段形成了安全属性的不同层次。　　1.2系统组成　　系统组成描述信息系统的组成要素。对于信息系统的组成划分，有不同的方法。可以分为硬件和软件，在硬件和软件中又可以进一步地划分。对于分布的信息系统，可以将信息系统资源分为用户单元和X络单元，即将信息系统的组成要素分为本地计算环境和X络，以及计算环境边界。

6、本地计算环境和X络都还可以进一步划分等。例如本地计算环境可以分为端系统、中继系统和局部通信系统。端系统作为信息处理单元，可以继续分为应用平台和应用软件;应用平台包括操作系统、软件工程服务、分布式服务、数据管理等:应用软件中包括消息处理、web应用等。　　1.3安全策略　　在安全系统结构中，安全策略指用于限定一个系统、实体或对象进行安全相关居劝的规则。即要表明在安全范围内什么是允许的，什么是不允许的。它直体现了安全需求，井且也有面向不同层次、视图及原理的安全策略。其描述内容和形式也各不相同。对于抽象型和一般型安全系统结构而言，安全策略主要是对加密、访问控制、多级安全等策略的通用规定

7、，不涉及具体的软硬件实现;而对于具体型安全系统结构，其安全策咯则是要对实现系统安全功能的主体和客体特性进行具体的标识和说明，亦即要描述允许或禁止系统和用户何时执行哪些动作，井要能反射到软硬件安全组件的具体配置，如，X络操作系统的帐户策略用户权限策略和审计策略等安全策略就最终体现为发全功能的各种选项等。　　1.4安全模型　　安全模型用于准确描述系绞在功能和结构上的安全特性，它反映了一定的支个策略，是引影、验证安全系统开发设计的概念模型要求。对安全策略及形式化模型的研究起源于美国军方