欢迎来到天天文库
浏览记录
ID:56790962
大小:15.00 KB
页数:3页
时间:2020-07-11
《系统整体安全解决方案.doc》由会员上传分享,免费在线阅读,更多相关内容在教育资源-天天文库。
1、IT系统整体安全解决方案(一)(AMT研究院袁磊)2004-9-1410:03:54【作者】畅享网一、信息系统安全的含义信息系统安全包括两方面的含义,一是信息安全,二是网络安全,涉及到的试信息化过程中被保护信息系统的整体的安全,是信息系统体系性安全的综合。具体来说,信息安全指的是信息的保密性、完整性和可用性的保持;网络安全主要从通信网络层面考虑,指的是使信息的传输和网络的运行能够得到安全的保障,内部和外部的非法攻击得到有效的防范和遏制。 信息系统安全概括的讲,根据保护目标的要求和环境的状况,信息网络和信息系统的硬件、软件机器数据需要受到可靠
2、的保护,通信、访问等操作要得到有效保障和合理的控制,不受偶然的或者恶意攻击的原因而遭受到破坏、更改、泄漏,系统连续可靠正常的运行,网络服务不被中断。信息化安全的保障涉及网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论,涉及到安全体系的建设,安全风险的评估、控制、管理、策略指定、制度落实、监督审计、持续改进等方面的工作。 信息化安全与一般的安全范畴有许多不同的特点,信息化安全有其特殊性,首先,信息化安全使不能完全达到但有需要不断追求的状态,所谓的安全是相对比较而言的。其次,信息化安全是一个过程,是前进的方向,不是静止不变的。
3、只有将该过程针对保护目标资源不断的应用于网络和其支撑体系,才可能提高系统的安全性。第三,在信息系统安全中,人始终是一个重要的角色,由于人的动机、素质、品德、责任、心情等因素,在管理、操作、攻击等方面有不同表现,可能造成信息系统的安全问题。第四,信息系统安全是一个不断对付攻击的循环过程,攻击和防御是循环中交替的矛盾性角色。防御攻击的技术、策略和管理并不是一劳永逸的,需要更新适应性的发展需求。第五,信息系统安全是需要定期进行风险评估的,风险存在和规避风险都是不断变化的。 信息系统安全涉及的内容既有技术方面的问题,更重要的是管理方面的问题,两方面
4、相互补充,缺一不可。技术方面主要侧重于防范、记录、诊断、审计、分析、追溯各种攻击,管理方面侧重于相应于技术实现采取的人员、流程管理和规章制度。因此,从某种意义上讲,信息系统安全不仅是技术难题,而且也是管理问题。二、信息系统涉及的内容信息系统安全所涉及到的主要内容包括:·系统运行的安全: 主要侧重于保证信息处理和通信传输系统的安全。其安全的要求是保证系统正常运行,避免因为系统的崩溃和损坏而对系统存储、处理和传输的信息造成破坏和损失,避免物理的不安全导致运行的不正常或瘫痪,避免由于电磁泄露而产生信息泄漏,干扰他人或受他人干扰。·访问权限和系统信
5、息资源保护:对网络中的各种软硬件资源(主机、硬盘、文件、数据库、子网等)进行访问控制,防止未授权的用户进行非法访问,访问权限控制技术包括口令设置、身份识别、路由设置、端口控制等。系统信息资源保护包括身份认证、用户口令鉴别、用户存取权限控制、数据库存取权限控制、安全审计、计算机病毒防治、数据保密、数据备份、灾难恢复等。·信息内容安全:侧重与保护信息的保密性、真实性和完整性。避免攻击者利用系统的漏洞进行窃听、冒充、诈骗等有损合法用户的行为。信息内容安全还包括信息传播产生后果的安全、信息过滤等,防止和控制非法、有害的信息进行传播后的后果。·作业和交易的安全
6、:网络中的两个实体之间的信息交流不被非法窃取、篡改和冒充,保证信息在通信过程中的真实性、完整性、保密性和不可否认性。作业和交易安全的技术包括数据加密、身份认证。数字签名等,其核心是加密技术的应用。·人员和安全的规章制度保障:重大的信息化安全事故通常来自单位阻止的内部,所以对于人员的管理、确定信息系统安全的基本方针和相应的规章管理制度,是信息系统安全不可缺少的一个部分。在人员角色、流程、职责、考察、审计、聘任、解聘、辞职、培训、责任分散等方面,建立可操作的管理安全防范体系。·安全体系整体的防范和应急反应功能:对于信息系统涉及到的安全问题,建立系统的防范
7、体系,对可能出现的安全威胁和破坏进行预演,对出现的灾难、意外的破坏能够及时的恢复。三、现有信息系统存在的突出问题1、信息系统安全管理问题突出信息系统安全管理包括三个层次的内容:组织建设、制度建设和人员意识。组织建设问题是指有关信息安全管理机构的设立。信息安全的管理包括安全规划、风险管理、应急反应计划、安全教育培训、安全策略制定、安全系统的评估和审计等多方面的内容。安全管理虽然有一些机构成立,但是各个机构的职责并不是很明确,建立的规章制度可落实性差,甚至没有规章制度。对人的管理,还需要解决多人负责、责任到人、任期有限的问题。领导对信息化还不够重视,没有
8、形成群防群治的意识。信息安全的教育和培训还不够。2、缺乏信息化安全意识与对策 管理层新在对信息资产
此文档下载收益归作者所有