1，系统安全管理应包括哪几个方面简答题

计算机安全：包含以下几个方面，计算机系统的安全和稳定，计算机信息的安全和不被窃取，计算机上所保存的文件的安全。（1）物理安全。物理安全主要包括环境安全、设备安全、媒体安全等方面。处理秘密信息的系统中心机房应采用有效的技术防范措施，重要的系统还应配备警卫人员进行区域保护。（2）运行安全。运行安全主要包括备份与恢复、病毒的检测与消除、电磁兼容等。涉密系统的主要设备、软件、数据、电源等应有备份，并具有在较短时间内恢复系统运行的能力。应采用国家有关主管部门批准的查毒杀毒软件适时查毒杀毒，包括服务器和客户端的查毒杀毒。（3）信息安全。确保信息的保密性、完整性、可用性和抗抵赖性是信息安全保密的中心任务。（4）安全保密管理。涉密计算机信息系统的安全保密管理包括各级管理组织机构、管理制度和管理技术三个方面。

系统安全管理应包括哪几个方面简答题

2，高软之十二信息系统安全管理

信息系统安全策略是针对本单位的计算机业务应用信息系统的安全风险（安全威胁）进行有效的识别、评估后，所采取的措施、手段，以及建立的各种管理制度。 1、安全策略的核心内容是“七定”：定方案、定岗、定位、定员、定目标、定制度、定工作流程。 2、安全策略需要处理好的关系 ①安全与应用的依存关系：安全与应用是矛盾统一的。没有应用就不会产生相应的安全需求；发生安全问题，就不能更好地开展应用； ②风险度的观点：信息系统的安全目标定位于“系统永不停机、数据永不丢失、网络永不瘫痪、信息永不泄密”； ③适度安全的观点； ④木桶效应的观点； ⑤信息系统安全等级保护概念。 a、第一级：用户自主保护级：通过隔离用户与数据，使用户具备自主安全保护的能力； b、第二级：系统审计保护级：适用于通过内网或国际网进行商务活动，需要保密的非重要单位； c、第三级：安全标记保护级：具有系统审计保护级的所有功能。适用于地方各级国家机关、金融单位机构、邮电通信、能源与水源供给部门、交通运输、大型工商与信息技术企业、重点工程建设邓单位； d、第四级：结构化保护级：建立于一个明确定义的形式安全策略模型之上，要求将第三级中的自主和强制访问控制扩展到所有主体与客体。适用于中央级国家机关、广播电视部门、重要物资储备单位、社会应急服务部门、尖端科技企业集团、国家重点科研单位和国防建设部门； e、访问验证保护级：满足访问控制器需求。访问控制器本身是抗篡改的，必须足够小，能够分析和测试。适用于国防关键部门和依法需要对计算机信息系统实施特殊隔离的单位。 安全保护等级由2个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。 3、信息安全系统：是信息系统的一部分，用于保证“业务应用信息系统”正常运营。用三维空间来反映信息安全系统的体系架构及其组成： ①X轴是“安全机制”。安全机制可以理解为提供某些安全服务，利用各种安全技术和技巧，所形成的一个较为完善的结构体系； ②Y轴是“OSI网络参考模型”。信息安全系统的许多技术、技巧都是在网络的各个层面上实施的，包括物理层、数据链路层、网络层、传输层、会话层、表示层和应用层； ③Z轴是“安全服务”，从网络中的各个层次提供给信息应用系统所需要的安全服务支持。 X、Y、Z三个轴形成的信息安全系统三维空间就是信息系统的“安全空间”。包含“认证、权限、完整、加密和不可否认”五大要素，也叫作“安全空间”的五大属性。 4、安全服务：分为对等实体认证服务（对对方实体的合法性、真实性进行确认，以防假冒）、数据保密服务、数据完整性服务、数据源点认证服务、截止否认服务、犯罪证据提供服务。 5、安全技术：加密技术、数字签名技术、访问控制技术、数据完整性技术、认证技术、数据挖掘技术。 6、信息安全系统架构体系 ①MIS+S系统：初级信息安全保障系统或基本信息安全保障系统，其特点包括：业务应用系统基本不变、硬件和系统软件通用、安全设备基本不带密码； ②S-MIS系统：标准信息安全保障系统，其特点包括：硬件和系统团建通用，PKI/CA安全保障系统必须带密码、业务应用系统必须根本改变、主要的通用的硬件、软件也要通过PKI/CA认证； ③S2-MIS系统：超安全的信息安全保障系统：其特点为硬件和系统软件都专用，PKI/CA安全基础设施必须带密码，业务应用系统必须根本改变。 7、ISSE过程：工程过程、风险过程（一个有害事件由外部威胁、内部脆弱性和影响三个部分组成）和保证过程。 8、PKI（公钥基础设施）：以不对称秘钥加密技术为基础，以数据机密性、完整性、身份认证和行为不可抵赖性为安全目的，来实施和提供安全服务的具有普适性的安全基础设施，PKI的基本构件包括： ①数字证书：由认证机构经过数字签名后发给网上信息交易主体的一段电子文档校验对方的身份真伪，保证交易信息的真实性、完整性、机密性和不可否认性。数字证书是PKI的基础； ②认证中心：CA是PKI的核心，由公正、权威、可信的第三方认证机构，负责数字证书的签发、撤销和生命周期的管理，还提供秘钥管理和证书在线查询等服务； ③数字证书注册审批机构：RA系统是CA的数字证书发放、管理的延伸； ④其它：数字签名、密钥和证书管理工具、双证书体系、PKI的体系架构、PKI信任服务体系、PKI密钥管理中心。 9、X.509证书标准：版本号、序列号、签名算法标识符、认证机构、有效期限、主题信息、认证机构的数字签名、公钥信息。 10、PKI/CA对数字证书的管理：按照数字证书的生命周期实施的，包括证书的安全需求确定、证书申请、证书登记、分发、审计、撤回和更新。 11、CA是一个受信任的机构，为了当前和以后的事务处理，CA给个人、计算机设备和组织机构颁发证书，以证实他们的身份，并为他们使用证书的一切行为提供信誉的担保。 12、PMI即权限管理基础设施或授权管理基础设施。PMI授权技术的核心思想是以资源管理为核心，将对资源的访问控制权统一交由授权机构进行管理，即由资源的所有者来进行访问控制管理。 13、PMI与PKI的区别：PMI主要进行授权管理，证明这个用户有什么权限，能干什么；PKI主要进行身份鉴别，证明用户身份。 14、访问控制的基本概念：信息安全保证机制的核心内容之一。访问控制是为了限制访问主体对访问客体的访问权限，从而使计算机信息应用系统在合法范围内使用；访问控制机制决定用户以及代表一定用户利益的程序能做什么及做到什么程度，有两个重要过程： ①认证过程：通过“鉴别”来检验主体的合法身份； ②授权管理：通过“授权”那赋予用户对某项资源的访问权限。 15、访问控制机制分类：强制访问控制（MAC，用户不能改变他们的安全级别或对象的安全属性）和自主访问控制（DAC-允许对象的属主来制定针对该对象的保护策略，那限定哪些主体针对哪些客体可以执行什么操作）。 16、访问控制的应用：有以下4种： ①DAC，自主访问控制方式：针对每个用户指明能够访问的资源，对不在指定资源列表总的对象不允许访问； ②ACL，访问控制列表方式：目标资源拥有访问权限列表，指明允许哪些用户访问； ③MAC，强制访问控制方式：目标具有一个包含等级的安全标签（不保密、限制、秘密、机密等）；访问者拥有包含等级列表的许可，其中定义了可以单温哪个级别的目标。多用于军事和安全部门； ④RBAC，基于角色的访问控制方式：首先定义一些组织内的角色，如局长、科长、职员；再根据管理规定给这些角色分配相应的权限，最后对组织内的每个人根据具体业务和职位分配一个或多个角色。 17、安全审计：记录、审查主体对客体进行访问和使用情况，保证安全规则被正确执行，并帮助分析安全事故产生的原因。 ①安全审计的内容：采用网络监控与入侵防护系统，识别网络各种违规操作与攻击行为，即时相应并进行阻断；对信息内容和业务流程进行审计，可以防止内部机密或敏感信息的非法泄露和单位资产的流失。 ②信息安全审计系统就是业务应用信息系统的“黑匣子”。即使在整个系统遭到灭顶之灾的破坏后，“黑匣子”也能安然无恙，并确切记录破坏系统的各种痕迹和“现场记录”。 ③信息安全审计系统就是业务应用信息系统的“黑匣子监护神”。随时对一切现行的犯罪行为、违法行为进行监视、追踪、抓捕，同时对暗藏的、隐患的犯罪倾向、违法迹象进行“堵漏”、铲除。 ④安全审计的作用：对潜在的攻击者起到震慑或警告作用；对于已经发生的系统破坏行为提供有效的追究证据；为系统安全管理员提供有价值的系统使用日志，从而帮助系统安全管理员及时发现系统入侵行为或潜在的系统漏洞；为系统安全管理员提供系统运行的统计日志，使系统安全管理员能够发现系统性能上的不足或需要改进与加强的地方。 ⑤安全审计功能：CC标准将安全审计功能分为6个部分： a、安全审计自动响应功能：定义被测事件指示出一个潜在的安全攻击时做出的响应，他是管理审计事件的需要，这些需要包括报警或行动； b、安全审计数据生成功能：要求记录与安全相关的事件的出现，包括鉴别审计层次、列举可被审计的事件类型，以及鉴别由各种审计记录类型提供的相关审计信息的最小集合； c、安全审计分析功能：定义了分析系统和审计数据来寻找可能的或真正的安全违规操作（分为潜在攻击分析、基于模板的异常检测、简单攻击试探、复杂攻击试探）； d、安全审计浏览功能：要求审计系统能够给使授权的用户有效地浏览审计数据，包括审计浏览、有限审计浏览、可选审计浏览。 e、安全审计事件选择功能：要求系统管理员能够维护、检查或修改审计事件的集合； f、安全审计事件存储功能：要求审计系统将提供控制措施，以防止由于资源不可用丢失审计数据。 18、重要应用系统运行情况审计：包括基于主机操作系统代理、基于应用系统代理、基于应用系统独立程序、基于网络旁路监控方式。 19、分布式审计系统：由审计中心（对整个审计系统的数据进行集中存储和管理）、审计控制台（提供给管理员用于对审计数据进行查阅）和审计Agent（直接同被审计网络和系统连接的部件，不同的审计Agent完成不同的功能）组成。

高软之十二信息系统安全管理

3，信息系统安全管理

一、内容概述在信息化建设中进行信息系统安全管理，是一个新的课题，已经引起各国地调组织的高度重视。信息系统安全管理不单单是管理体制或技术问题，而是策略、管理和技术的有机结合。从安全管理体系的高度来全面构建和规范信息安全，将有效地保障信息系统安全。要利用网络和信息技术及时有效地为用户提供综合、客观的地质信息服务，就需要重视包括网络服务在内的自动信息系统安全管理。自动信息系统安全管理是指用来保护自动信息系统资源免于丢失、破坏或滥用所做的管理控制和保卫工作。美国地质调查局在自动信息系统安全管理方面积累了大量经验，这对我国相关部门制定有针对性的安全管理方法具有重要的借鉴和指导作用。二、应用范围及应用实例美国地质调查局将提供地质信息列入其战略计划或工作计划，强调要利用网络和信息技术及时有效地为用户提供综合、客观的地质信息服务，同时非常重视其包括网络服务在内的自动信息系统安全管理。自动信息系统安全管理是指用来保护自动信息系统资源免于丢失、破坏或滥用所做的管理控制和保卫工作（张翠光等，2009）。1.美国地质调查局自动信息系统安全管理方针保护美国地质调查局所有信息技术设施，避免被损失、破坏、偷窃和滥用；保护所有美国地质调查局自动信息系统所处理的数据，避免发生未被授权的信息被泄露、修改或破坏；自动信息系统所产生、处理、存储或传输信息受保护的等级与其敏感等级相一致；对违反联邦、部门或局关于自动信息系统安全法规者将受到相应的行政、法律制裁。2.美国地质调查局自动信息系统敏感等级分类敏感自动信息系统是指运行处理敏感数据的计算机应用程序的自动信息系统（设施、硬件、操作系统软件、通信系统等），其中敏感数据是指由于数据的故意或意外泄露、更改或破坏会导致损失或危害的风险及数量较大而要求保护的数据。美国地质调查局为了给每一个信息系统采取相应的保护措施，对其给定了相应的敏感等级，并要求一、二级敏感信息系统应到美国地质调查局信息系统管理中备案，而0级敏感信息系统不需备案。0级敏感信息相当于公开信息；一、二级信息系统的信息不属于美国国家规定的保密信息，是根据其工作任务、商业目的及其价值大小等而设定；三级敏感信息系统的信息才是真正的保密信息。0级（非敏感性）自动信息系统：自动信息系统上的信息不准确、更改、泄露或不能利用对美国地质调查局的任务、功能、形象或荣誉的影响可以忽略不计。即使有影响，影响也是微不足道，或者导致仅仅很小的有形资产或资源的损失。一级敏感自动信息系统：自动信息系统上的信息不准确、更改、泄露或不能利用对美国地质调查局的任务、功能、形象或荣誉影响较小。系统安全方面出现问题可能对有形资产或资源的损失造成潜在的不利影响。二级敏感自动信息系统：自动信息系统上的信息不准确、更改、泄露或不能利用对美国地质调查局的任务、功能、形象或荣誉可能产生重要的不利影响。系统安全出现问题可能导致美国地质调查局不能完成其1个或多个计划任务或商业功能，或者导致重大的有形资产和资源损失。系统生命周期的开支一般超过1000万美元。三级敏感自动信息系统：自动信息系统处理机密信息。一般由提供美国地质调查局机密信息的联邦机构制定自动信息处理要求。根据机密信息提供者建立的要求，系统的鉴定及认可应备案。根据其敏感性再分为类似于秘密、机密、绝密3个等级。自动信息系统安全规划构成确定潜在的威胁和薄弱点，并建立全面的安全保护制度减少威胁和薄弱点，才能使自动信息系统安全计划有效，为此美国地质调查局建立了自动信息系统安全规划。A.安全规划美国地质调查局认为全面的安全规划是任何一个自动信息系统安全管理的重要部分。美国地质调查局支持美国地质调查局所有自动信息系统活动，认为安全规划是安全管理实施过程不可分割的部分：①安全规划为年度预算的一部分，保证所有自动信息资源有经费支持，使自动信息系统资源得到充分的保护；②处理敏感信息的所有自动信息系统（设施和应用程序）应有正式安全规划。在新的敏感自动信息系统开发阶段必须准备初始计划和原系统升级年度计划，以反映系统安全执行情况和/或主要变化。在计划中提供的内容要反映系统的大小和复杂性，规定系统的基本内容和格式应遵守当前最流行的美国国家管理和预算局所提供的指导方针。B.风险管理所有拥有或管理自动信息系统的美国地质调查局机构必须执行和维护风险管理计划，以帮助相应的安全保护措施到位以保护好所有的信息资源。规定管理人员应知道他们信息资源的潜在威胁和薄弱点。一旦知道潜在威胁、薄弱点和潜在的安全保护选项，管理上就应确定各种安全保护选项的必要措施和经费/利益。风险管理一般包括风险分析、安全措施的实施和风险分析频率3个方面的内容：一是风险分析。风险分析是设施或敏感应用程序定期检查或应急计划处理的组成部分。美国地质调查局要求在现存的计算机设施或敏感应用程序发生主要变化时或在批准敏感自动信息系统设计之前作风险分析。风险分析的范围、复杂性和频率与自动信息系统处理数据的敏感性和被保护资源的价值相称。风险分析过程步骤如下：①估计自动信息系统（硬件、软件、数据、设备、人员）资产（现存的或计划的）和系统资源相关的费用（价值），包括数据敏感性的确定；②识别和评定自动信息系统的潜在威胁，包括破坏正常操作、导致系统资产破坏或损失，或其他自然灾害或危险因素和人为因素。并根据每一个潜在威胁产生的可能性分出威胁等级；③找出脆弱点，包括确定或找出在敏感应用程序、自动信息系统或信息技术设备中可能导致安全威胁的弱点或缺点；④评估潜在损失，在确定威胁和脆弱点之后，还应将包括恢复损失和破坏数据的潜在损失定量化；⑤根据遇到的威胁和脆弱点，确定可能的安全保护措施及其相关费用。确定的安全保护费用应与未实施安全保护措施所造成的预期损失的费用相比较。如果安全保护措施花费超过了预期保护利益，那么不应采取安全保护措施。二是安全措施的实施。在风险分析完成之后，管理部门必须决定是否执行成本核算的安全保护或接受这种风险。如果风险分析表明接受这种风险不符合联邦、部门或美国地质调查局的有关规定，那么必须采取必要的保护措施以最低限度符合这些规定：①利用风险分析结果，设备拥有者和敏感应用程序拥有者应选择具体的最大限度保护设施和数据的安全措施；②除违反法规问题外，管理部门可以选择接受与找出威胁或脆弱点相关的风险。如果这样，自动信息系统所有者必须签订一个声明，承认他们了解不执行正确的推荐行动相关的风险。三是风险分析频率。美国地质调查局对风险分析的次数做了相应的规定：对美国地质调查局所有计算机设施至少5年1次；对敏感应用程序和敏感计算机设施至少3年1次；在敏感应用程序或任何计算机设施进行实质性改变时应进行风险分析；在计划一个新的系统或设施开发时，应进行风险分析。C.信息资源的保护为了使美国地质调查局信息资源从风险分析中确定的风险和脆弱点得到合理的保护，自动信息系统所有者必须采取具体的保护措施。一般考虑如下类型的安全保护措施保护信息资源：①物理安全：采取适当的操作和规程减少自动信息系统受到的诸如偷盗、意外或故意破坏、非授权或非法访问或非授权信息泄露等威胁；②技术安全：使用适当的保护措施（如：密码、个人ID识别装置、杀毒软件、访问利用控制表、用户活动监测软件、加密术或回拨调制解调器）防止非授权的访问或非法的自动信息系统软件或数据的使用；③管理安全：制定或分发详细的指导规程使所有自动信息系统得到正确的保护。3.应急计划为了使服务中断等故障最小，应对每个计算机设备和敏感应用程序开发一个应急计划。定期评估每一个应急计划，确定是否需要对其修改以反映系统或人员情况变化。任何应急计划的复杂性和范围要与自动信息系统所处理数据的敏感等级相称。应急计划至少包括下列项目：①数据和软件的备份存储器和恢复规程；②与紧急事件相对应的处理规程、可选处理能力的说明，在必要情况下转移操作到另外一个可选择操作的程序等恢复操作的过程；③计算机设施应急计划与任何敏感应用程序应急计划应具一致性；④定期检查应急计划。4.敏感应用程序安全美国国家管理和预算局A 130通告要求，负责开发和维护处理敏感数据的美国地质调查局计算机应用程序的管理者应建立管理控制方法，对所有新的应用程序和现存应用程序的重大变化应采取相应的物理、技术和管理安全保护措施。敏感应用程序管理控制至少包括：①安全技术条件：根据预先的风险分析结果，在应用程序获取或正式开发之前，应规定或批准安全要求和安全技术条件。为一个应用程序规定和批准安全规程时，应把对处理敏感应用程序的计算机设施进行的风险分析和管理控制检查的结果考虑进去；②设计审查和系统测试。在执行敏感应用程序之前应进行设计评审和系统测试，使安全保护符合批准的安全技术条件。③认证：在执行应用程序之前，新的或实质性改进的敏感应用程序的所有者或管理者应向美国地质调查局自动信息系统安全行政主管书面证明，证明其符合所有现行的自动信息系统方针、法规、标准，同时系统测试的结果证实配备的安全保护措施充分。认证过程包括对应用程序管理和安全控制的评价。④定期重新认证：所有敏感应用程序必须每3年认证1次。5.计算机安全知识培训活动对所有涉及在美国地质调查局之内或监督之下的每一个敏感联邦信息系统管理、使用或操作的职员，美国地质调查局为他们提供定期计算机安全知识强制性的培训和公认的计算机安全锻炼。所有使用、管理和操作敏感自动信息系统的新职员在他们上岗60天之内必须接受计算机安全知识培训。培训用来增强职员了解计算机系统的威胁和薄弱点，强调保护美国地质调查局自动信息资源和正确使用他们的资源的责任。计算机安全培训应有证明文件，并保留在每一个职工的正式个人档案中。计算机安全知识培训包括：①基本知识培训：使职工对威胁和薄弱点产生敏感性，认识保护数据、信息的必要性和处理他们的方法；②高级培训：为敏感自动信息系统所有者/管理者、管理员、信息技术人员和计算机安全管理员提供相关能力，使他们能履行风险分析、制定自动信息系统保护计划、执行安全措施或评价现存安全系统的有效性。6.报告安全事故对造成自动信息系统技术、数据和服务设施网的破坏，或导致敏感自动信息系统欺骗、或非授权的泄露等安全事故，所有职员和协议人员有责任向上级报告相关事故：①包括自动信息系统设备的偷窃或恶意破坏、欺骗、扰乱国家安全或其他滥用自动信息资源的事故必须立即依据所处环境和位置向美国地质调查局安全官员和/或其他地方执法人员报告；②包括试图非法访问利用任何美国地质调查局自动信息资源、恶意密码事故或敏感信息的非法泄露等事故必须立即向自动信息系统安全管理人员和向美国地质调查局自动信息系统安全行政主管官员报告。7.人事安全美国地质调查局规定各部门建立方针或规程，屏蔽所有参与敏感计算机系统设计、开发、操作或维护人员及可以使用敏感数据的人员。屏蔽等级根据数据敏感等级以及由个人造成的风险等级、损失或危害大小而定。所有负有管理、设计、开发、操作、维护或使用美国地质调查局任何计算机系统的任何职位的人员必须赋予与数据敏感等级、风险大小及由个人导致的损失或危害程度大小相匹配的风险责任。美国地质调查局所有计算机系统使用者必须有适当的背景调查，所要求的调查必须与所设定岗位的敏感等级相匹配。8.年度报告制度美国地质调查局规定了自动信息安全管理规定的年度报告制度。每一个分机构自动信息系统安全官员每年应向美国地质调查局自动信息系统安全管理行政官员报告现行设备及敏感应用程序安全职员名单。对每一个设施或敏感应用程序至少必须提供以下信息：安全职员及候选人姓名和电话号码、设施和敏感应用程序的名称及地址、每一职员所要求安全培训的水平。这些最新列表每年9月交给美国地质调查局自动信息系统安全行政管理官员。人事人员要向美国地质调查局自动信息系统安全行政管理者提供以经济年度为基础的美国地质调查局安全知识培训情况。报告将包括如下信息：在财政年度期间，接受基本知识和/或全面计算机安全培训的职员和协议人员（非管理）的数量，在财政年度期间接收计算机安全知识培训的管理人员数量。另外，每分机构自动信息安全官员应向美国地质调查局自动信息系统安全管理者提供下一个财政年度里在上述类目中需要接受培训职员和协议人员的数量。每年九月一日将报告交到美国地质调查局自动信息系统安全行政管理部门。敏感自动信息系统所有者有责任维护他们的敏感信息系统安全规划。敏感自动信息系统所有者每年对他们分机构自动信息系统安全管理人员的更新材料及信息系统更新情况上报美国地质调查局自动信息系统安全管理部门。更新计划应反映自动信息系统硬件、软件或功能的主要变化、安全执行情况，系统认证或重新认证计划、应急计划的检查计划。三、资料来源张翠光，小平等.2009.美国地质调查局自动信息系统安全管理及其对国家地质资料数据中心建设的启示.现代情报，29（3）：212～215

信息系统安全管理


文章TAG：系统安全管理系统  系统安全  系统安全管理  
下一篇