手机网站设计标准,html代码表示什么,建站优化推广,泊头网站建设甘肃目录 第十八章 安全管理18.1 信息安全管理18.2 信息系统安全18.3 物理安全管理18.4 人员安全管理18.5 应用该系统安全管理18.6 信息安全等级保护18.7 拓展 上篇#xff1a;第十七章、变更管理 下篇#xff1a;第十九章、风险管理
第十八章 安全管理 18.1 信息安全管理 信息安… 目录 第十八章 安全管理18.1 信息安全管理18.2 信息系统安全18.3 物理安全管理18.4 人员安全管理18.5 应用该系统安全管理18.6 信息安全等级保护18.7 拓展 上篇第十七章、变更管理 下篇第十九章、风险管理
第十八章 安全管理 18.1 信息安全管理 信息安全定义保护信息的保密性、完整性、可用性另外也包括其它属性如真实性、可核查性、不可抵赖性和可靠性。
属性
保密性 概述是指信息不被授权给未授权的个人实体和过程或不被其使用的特征可实现的技术 1网络安全协议 2身份认证服务 3数据加密 完整性 概述是指保护资产的正确和完整的特性保证数据的一致性防止数据被非法用户篡改可实现的技术 1CA 认证2数字签名3防火墙系统4传输安全通信安全5入侵检测系统 保证完整性的方法 ① 协议② 纠错编码方法③ 密码校验和方法④ 数字签名⑤ 公证请求系统管理或中介机构证明信息的真实性 可用性 概述是指需要时授权实体可以访问和使用的特性可实现的技术 1磁盘和系统的容错2可接受的登陆及进程性能3可靠的功能性的安全进程和机制4数据冗余及备份 实现可用性应满足的要求 ① 身份识别与确认② 访问控制对用户的权限进行控制只能访问相应权限的资源防止或限制经隐蔽通道的非法访问。包括自主访问控制和强制访问控制。③ 业务流程控制利用均分负荷方法防止业务流量过度集中而引起网路阻塞。④ 路由选择控制选择那些稳定可靠的子网、中继线或链路等。⑤ 审计跟踪把应用系统中发生的所有安全事件情况存储在安全审计跟踪之中以便分析原因分清责任及时采取相应的措施。审计跟踪的信息主要包括事件类型、被管信息等级事件时间、事件信息、事件回答以及事件统计等方面的信息。 不可抵赖性 概述是指建立有效的责任机制防止用户否认其行为 可靠性 概述是指系统在规定的时间和给定的条件下无故障地完成规定功能概率通常用平均故障间隔时间 MTBF来度量
电子商务安全要求的四个方面
传输的安全性数据的完整性交易各方的身份认证交易的不可抵赖性 18.2 信息系统安全 信息系统安全是指信息系统及其所存储、传输和处理的信息的保密性、完整性和可用性的表征一般包括保障计算机及其相关的和配套的设备、设施含网络的安全运行环境的安全保障信息的安全以保障信息系统功能的正常发挥以维护信息系统的安全运行。
属性
保密性 概述保密性是应用系统的信息不被泄露给非授权的用户实体或过程。或供其利用的特性及防止信息泄露给非授权个人或实体信息指未授权用户使用的特性相关技术 1最小授权原则对信息的访问权限仅授权给需要从事业务的用户使用。2防暴露防止有用信息以各种途径暴露或传播出去。3信息加密用加密算法对信息进行加密处理非法用户无法对信息进行解密从而无法读懂有效信息。4物理保密利用各种方法如限制隔离掩蔽和控制等措施保护信息不被泄露。 完整性 概述完整性是信息未经授权不能进行改变的特性。 及应用系统的信息在存储或传输过程中保持不被偶然或蓄意地删除修改伪造乱序重放和插入等破坏和丢失的特性相关技术 1协议通过各种安全协议可以有效的检测出被复制的信息被删除的字失效的字段和被修改的字段。2纠错编码方法由此完成检错和纠错功能。最简单和常用的纠错编码方法是奇偶校验法。3密码校验和方法它是抗篡改和传输失败的重要手段。4数字签名保障信息的真实性。5公正请求系统管理或中介机构证明信息的真实性。 可用性 概述 可用性是应用系统信息可被授权实体访问并按需求使用的特性及信息服务在需要时允许授权用户或实体使用的特性或者是网络部分受损需要降级使用时仍能为授权用户提够有效服务的特性。可用性还应该满足以下要求身份识别与确认访问控制对用户的权限进行控制只能访问相应权限的资源防止或限制经隐蔽通道的非法访问。包括自主访问控制和强制访问控制业务流控制利用均分负荷方法防止业务流量过度集中而引起网络阻塞路由选择控制选择那些可靠的子网中继线或链路等审计跟踪把应用系统中发生的所有安全事件情况存储在安全审计跟踪之中以便分析原 因分清责任及时采取相应的措施。审计跟踪的信息主要包括时间类型被管信息等级事件时间事件信息事件回答以及时间统计等方面的信息。 不可抵赖性 概述不可抵赖性也称作不可否认性在应用系统的信息交互过程中确信参与者的真实同一性。及所有参与者都不可能否认或抵赖曾经完成的操作和承诺。利用信息源证据可以防止发信方不真实的否认已发送信息利用递交接收证据可以防止收信方事后否认已经接收的信息
信息系统安全管理体系
概述是对一个组织结构中信息系统的生存周期全过程实施符合安全等级责任要求的管理。管理体系建立步骤 1配置安全管理人员2建立安全职能部门3成立安全领导小组4主要负责人出任领导5建立信息安全保密管理部门 技术体系包括 1物理安全 (1环境安全。主要指中心机房的安全保护包括: 机房场地选择; 机房内部安全防护; 机房防火; ·机房供、配电; 机房空调、降温; 机房防水与防潮; 机房防静电; 机房接地与防雷击; 机房电磁防护。 (2设备安全。 设备的防盗和防毁; 设备的安全可用。 (3记录介质安全。 2运行安全 (1风险分析。 (2信息系统安全性检测分析。 (3信息系统安全监控。 (4安全审计。 (5信息系统边界安全防护。 (6备份与故障恢复。 (7恶意代码防护。 (8信息系统的应急处理。 (9可信计算和可信连接技术。 3数据安全 18.3 物理安全管理 计算机机房与设施安全
计算机机房 1机房场地选择2机房空调、降温3机房防水与防潮4机房接地和防雷击 电源计算机设备 1设备防盗与防毁2设备的安全可用 通信线路 1确保线路通畅2发现线路截获3及时发现线路截获4防止线路截获
技术控制
监测监视系统应建立门禁控制手段任何进出机房的人员应经过门禁设施的监控和记录应有防止绕过门禁设施的手段门禁系统的电子记录应妥善保存以备查进入机房的人员应佩戴相关证件未经批准禁止任何物理访问未经批准禁止任何人将移动计算机或相关设备带离机房。机房所在地应有专设警卫通道和入口处应设置视频监控点24 小时值班监视所有来访人员的登记记录门禁系统的电子记录以及监视录像记录应妥善保存以备查禁止携带移动电话电子记事本等具有移动互联功能的个人物品进入机房。人员进出机房和操作权限范围控制应明确机房安全管理 的责任人机房出入应由指定人员负责未经允许的人员不准进入机房获准计入机房的来访人员其活动范围应受限制并有接待人员陪同机房钥匙由专人管理未经批准不准任何人私自复制机房钥匙或服务期开机钥匙没有制定管理人员的明确准许任何记录介质文件材料及各种被保护品均不准带出机房与工作无关的物品均不准带入机房机房内严禁吸烟及带入火种和水源。所有来访人员需经过正式批准登记记录应妥善保存以备查获准进入机房的人员一般应禁止携带个人计算机等电子设备进入机房其活动范围和操作行为应受到限制并有机房接待人员负责陪同。
环境与人身安全
防火防漏水和水灾防静电防自然灾害防物理安全威胁
电磁兼容 对需要放置电磁泄露的计算机设备应配备电脑干扰设备在被保护的计算机设备工作时电磁干扰设备不准关机必要时可以采用屏蔽机房屏蔽机房应随时关闭屏蔽门不得在屏蔽墙上打钉钻孔不得在波导管以外或不经过过滤器对屏蔽机房内外连接任何线缆应经常测试屏蔽机房的泄漏情况并进行必要的维护。 18.4 人员安全管理 岗位安全考核与培训 对信息系统岗位人员那的管理应根据其关键程度建立相应的管理要求。 1对于安全管理员系统管理员数据库管理员网络管理员重要业务开发人 员系统维护人员和重要业务应用操作人员等信息系统关键岗位人员进行统一管理允许一人岗但业务应用操作人员不能有其他关键岗位人员兼任关键岗位人员应定期接受安全培训加强安全你意识和风险防范意识。 2兼职和轮岗要求业务开发人员和系统维护人员不能兼任或担负安全管理员系统管理员数据库管理员网络管理员和重要业务应用操作人员等岗位或工作必要时关键岗位人员应采取定期轮岗制度。 3权限分散要求在上述基础上应坚持关键岗位 “权限分散不得交叉覆盖”的原则系统管理员数据库管理员网络管理员不能相互兼任 岗位或工作。 4多人共管要求在上述基础上关键岗位人员处理重要事务或操作时应保持二人同时在场关键事务应多人共管。 5全面控制要求在上述基础上应采取对内部人员全面控制的安全保证措施对所有岗位工作人员实施全面安全管理。 离岗人员安全管理 对人员离岗的管理可以根据离岗人员的关键程度采取下列控制措施。 1基本要求立即终止被解雇的退休的辞职的或其他原因离开的人员的所有访问权限收回所有相关证件徽章密钥和访问控制标记等收回机构提供的设备等。 2调离后的保密要求在上述基础上管理层和信息系统关键岗位人员调离岗位必须经单位人事部门严格办理调离手续承诺其调离后的保密要求。 3离岗的审计要求在上述 基础上设计组织机构管理层和信息系统关键岗位的人员调离岗位必须进行离岗安全审查在规定的脱密期限后方可调离。 4关键部位人员的离岗要求在上述基础上关键部位的信息系统安全管理人员离岗应按照机要人员管理办法办理。 18.5 应用该系统安全管理 应用系统安全管理的实施
建立应用系统道德安全需求管理严格应用系统的安全检测与验收加强应用系统的操作安全控制规范变更管理防止信息泄露严格访问控制信息备份应用系统的使用监视
应用系统运行中的安全管理 应用系统运行中的安全管理 1.应用系统运行中涉及的安全和保密层次包括系统级安全资源访问安全功能性安全和数据域安全这四个层次安全按粒度从大到小的顺序是系统级安全 资源访问安全功能性安全数据域安全。 2.数据域安全包括两个层次其一是行级数据域安全即用户可以访问那些业务记录一般以用户所在单位为条件进行过滤其二是字段级数据域安全即用户可以访问业务记录的哪些字段。 3.用户权限的分配是否遵循 “最小特权”原则 4.企业要加强对应用系统安全进行管理工作的领导每年至少组织有关部门对系统运行工作进行一次检查部门每季度 进行一次自查要加强对所辖范围内应用系统运行工作的监督检查监察科采取普查抽查专项检查的方式定期或不定期的进行 。 5.安全等级可分为保密等级和可靠性等级两种系统的保密等级与可靠性等级可以不痛保密等级应按有关规定划为绝密机密和秘密。可靠性等级可分为三级对可靠性要求最高的为 A 级系统运行所要求的最低限度可靠性为 C 级介于中间的为 B 级。 系统运行安全检查和记录的范围 系统运行安全检查和记录的范围如下: (1应用系统的访问控制检查包括物理和逻辑访问控制是否按照规定的策略和程序进行访问权限的增加、变更和取消用户权限的分配是否遵循“最小特权”原则。 (2应用系统的日志检查包括数据库日志、系统访问日志、系统处理日志、错误日志及异常日志。 (3应用系统可用性检查包括系统中断时间、系统正常服务时间和系统恢复时间等。 (4应用系统能力检查包括系统资源消耗情况、系统交易速度和系统吞吐量等。 (5应用系统的安全操作检查。用户对应用系统的使用是否按照信息安全的相关策略和程序进行访问和使用。 (6应用系统维护检查。维护性问题是否在规定的时间内解决是否正确地解决问题解决问题的过程是否有效等。 (8恶意代码的检查。是否存在恶意代码如病毒、木马、隐蔽通道导致应用系统数据的丢失、损坏、非法修改、信息泄露等。 18.6 信息安全等级保护 《信息安全等级保护管理办法》将信息系统 的安全保护等级分为以下五级。
第一级信息系统受到破坏后会对公民法人和其他组织的合法权益造 成损害但不损害国家安全社会秩序和公共利益。第一级信息系统运营使用单位应当依据国家有关管理规范和技术标准进行保护。
第二级信息系统受到破坏后会对公民法人和其他组织的合法权益造成损害或者对社会秩序和公共利益造成损害但不损害国家安全。第二级信息系统运营使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行知道。
第三级信息系统受到破坏后会对社会秩序和公共利益造成严重损害或者对国家安全造成损害。第三级信息系统运营使用单位应当依据国家有 关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行监督检查。
第四级信息系统受到破坏后会对社会秩序和公共利益造成特别严重损害或者对国家安全造成严重损害。第四级信息系统运营使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行监督检查。
第五级信息系统受到破坏后会对国家安全造成特别严重损害。第五级信息系统运营使用单位应当依据国家管理规范技术标准和业务特殊安全需求进行保护。国家指定专门部门对该级信息系统信息安全等级保护工作进行监督检查。 18.7 拓展 计算机网络上的通信面临以下四种威胁
1截获——从网络上窃听他人的通信内容2中断——有意中断他人在网络上的通信3篡改——故意篡改网络上传送的报文4传递——伪造信息在网络上传递
截取属于被动攻击中断、篡改、传递属于主动攻击
应用系统运行中涉及的安全和保密层次包括按粒度从粗到细排序
系统级安全 概述企业应用系统越来越复杂因此制定得力的系统级安全策略才是从根本上解决问题的基础。应通过对现行系统安全技术的分析制定系统级安全策略策略包括敏感系统的隔离、访问IP地址段的限制、登录时间段的限制、会话时间的限制、连接数的限制、特定时间段内登录次数的限制以及远程访问控制等系统级安全是应用系统的第一道防护大门。 资源访问安全功能性安全数据域安全 包括 行级数据域安全用户可用访问哪些业务记录一般以用户所在单位为条件进行过滤。字段级数据域安全用户可用访问业务纪录的哪些字段。
用户的入网访问控制步骤
用户名的识别与验证用户口令的识别与验证用户账号的默认限制检查
电子信息系统机房根据使用性质、管理、经济和重要性划分为
A 级B 级C 级
安全等级
保密等级 绝密机密秘密 可靠等级 A 级对可靠性要求最高B 级介于中间C 级系统运行所要求的最低限度可靠性
物理访问管理包括
硬件设施在合理范围内是否能防止强制入侵计算机设备的钥匙是否有良好的控制以降低未授权者进入的风险职能终端是否上锁或有安全保护以防止电路板、芯片或计算机被搬移计算机设备在搬动时是需要设备授权通行的证明
MD5
概述是计算机广泛使用的杂凑算法之一又译摘要算法哈希算法用于确保信息传输完整一致。特点 压缩性容易计算抗修改性强抗碰撞
计算机系统安全保护能力等级
用户自主保护级系统审计保护级安全标记保护级结构化保护级访问验证保护级
算法
对称算法 概述加密、解密都使用同一个密钥优点 ① 加、解密快② 密钥管理简单③ 适合一对一传输 缺点 ① 加密强度不高② 不适宜一对多加密传输 常见算法SDBI 、IDEA 、RC4 、DES 、3DES 、Kerberos 非对称算法 概述加密用 “公钥”解密用 “私钥”优点 ① 安全性高体制安全② 密钥量小③ 算法灵活性好 缺点 ① 加、解密速度慢相对② 密钥管理复杂需要第三方认证 常见算法RSA 、ECC
对比对称密码算法相对于非对称加、解密快算法效率更高所以可以用于大量数据加密
对信息系统岗位人员的管理 对信息系统岗位人员的管理应根据其关键程度建立相应的管理要求。 (1)对安全管理员、系统管理员、数据库管理员、网络管理员、重要业务开发人员、系统维护人员和重要业务应用操作人员等信息系统关键岗位人员进行统一管理;允许一人多岗但业务应用操作人员不能由其他关键岗位人员兼任;关键岗位人员应定期接受安全培训加强安全意识和风险防范意识。 (2)兼职和轮岗要求:业务开发人员和系统维护人员不能兼任或担负安全管理员、系统管理员、数据库管理员、网络管理员和重要业务应用操作人员等岗位或工作;必要时关键岗位人员应采取定期轮岗制度。CC是错误的。 (3)权限分散要求:在上述基础上应坚持关键岗位“权限分散、不得交叉覆盖”的原则系统管理员、数据库管理员、网络管理员不能相互兼任岗位或工作。 (4)多人共管要求:在上述基础上关键岗位人员处理重要事务或操作时应保持二人同时在场关键事务应多人共管。 (5)全面控制要求:在上述基础上应采取对内部人员全面控制的安全保证措施对所有岗位工作人员实施全面安全管理。 上篇第十七章、变更管理 下篇第十九章、风险管理
