信息安全相关理论技术

信息安全架构计算机和网络安全法则安全组织框架如何建立企业信息系统的安全架构 (1)信息安全涉及到信息的保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。

综合起来说，就是要保障电子信息的有效性。

保密性就是对抗对手的被动攻击，保证信息不泄漏给未经授权的人。

完整性就是对抗对手主动攻击，防止信息被未经授权的篡改。

可用性就是保证信息及信息系统确实为授权使用者所用。

作为一个企业我们通常通过这样的标准来划分信息的保密性，完整性，可用性。

可用性---------------主要通过信息的使用率来划分：1 非常低合法使用者对信息系统及资源的存取可用度在正常上班时达到25%2 低合法使用者对信息资源的存取可用度在正常上班时达到50％3 中等合法使用者对信息系统及资源的存取可用度在正常上班时达到100%4 高合法使用者对信息系统及资源的存取可用度达到每天95%以上。

5 非常高合法使用者对信息系统及资源的存取可用度达到每天99.9%以上。

完整性----------------通过信息应为修改对公司造成的损失的严重性来划分：1 非常低未经授权的破坏和修改不会对信息系统造成重大影响或对业务冲击可忽略2 低未经授权的破坏和修改不会对信息系统造成重大影响或对业务冲击可轻微3 中等未经授权的破坏和修改已对信息系统造成影响或对业务有明显冲击4 高未经授权的破坏和修改对信息系统造成重大影响或对业务冲击严重5 非常高未经授权的破坏和修改对信息系统造成重大影响且导致严重的业务中断机密性---------------通过信息使用的权限来划分：1 公开信息非敏感信息，公开的信息处理设施和系统资源2 内部使用非敏感但仅限公司内部使用的信息（非公开）3 限制使用受控的信息，需有业务需求方得以授权使用4 机密敏感信息，信息处理设施和系统资源只给比知者5 极机密敏感信息，信息处理设施和系统资源仅适用于少数比知者为什么要保证企业的安全?企业安全的核心就是保护企业财产。

企业的目标是什么？创造经济价值，而作为安全系统就是为了帮助企业创造经济价值。

安全追根究底的是一种投资，作为一种投资从安全系统的引入，员工的培训到最后安全系统的应用都是一种投资，作为投资的目的，就是为了回报。

保护公司的核心机密，使其不会外露这就是回报。

只有保护了资产，才能说这个安全系统有作用。

而判断安全系统是否起到了作用，则需要从保密性，可用性和完整性来做出判断。

作为信息安全服务它需要以下人员来负责它的安全运行企业管理人员作为一个企业的决策者，负责企业的整体运行。

他所关心的是信息安全所带来的效益，由于要对整个企业负责，所以我们需要他了解：重新获取或开发资产的费用、维护和保护资产的费用、资产对于所有者和用户的价值、资产对于对手的价值、知识产权的价值、其他人愿意为这些资产所付的价钱、丢失后更换资产所需的费用.、资产受损后的债务问题、资产受损后可能面临的法律责任，资产的价值有助于选择具体的对策、商业保险需要了解每项资产的价值、每项资产的价值可以帮助确定什么是真正的风险安全管理人员他所负责的是整个系统的网络运行，硬件支持，以及机房的安全措施。

他所服务的对象是企业的上层机构，他们的职责他就是维护好整个安全系统的正常运行。

制定好安全系统的运行的规划，使其能在运行中实现。

工程师他所关心的是整个系统的技术部分，保证系统在运行过程中不会因为数据丢失或是程序出现的错误而不能运行。

信息安全公式：信息安全＝先进技术＋防患意识＋完美流程＋严格的制度＋优秀的执行团队＋法律保障如何建立企业信息系统的安全架构 (2)作为一次完整的信息安全评估咨询，需要考虑到以下诸多条件：漏洞：它包含很多原因，如口令的安全，在一个大的企业中口令的泄漏是随时可能发生的，这对企业来说是很大的失误。

在一个企业里，信息的安全要体现在任何地方，所以再各自运行的PC机上要设有独立的口令，这些口令不能过于简单，我曾经尝试破解一个8位数的口令，共花去了6个小时，所以口令不但不能过于简单，而且还需要经常更换。

在优利公司，所有员工的口令不能是单一的数字，必须含有英文字母。

暴露如果没有好的安全防护措施，那么就会使企业机密暴露，至于财产也没有什么保护可言。

威胁：一套系统在运行过程中存在很多威胁，其中最为常见的威胁是人为错误对安全系统所造成的损坏。

人为错误一般是无意行为，但是这对系统的安全性来说是没有任何区别的。

2是物理损坏，这主要指的是事故的发生，非人力直接造成的损坏，比如：洪水，地震，失火，电力中断以及盗窃等等一系列突发事件，这些对企业的设备，数据以及商业机密都会够会造成巨大的损失，这在对企业安全系统的评估过程中是要考虑到的。

3 由于设备的故障而引起的系统不能正常的运行。

4受到攻击，这种攻击可以来自企业内部，也可以是来自于企业外部，外部攻击主要来自于黑客和病毒，他们的攻击大多是带有很强的目的性，比如获取公司信息，破坏公司数据等等，这种攻击无论是对公司的管理阶层，还是员工尤其是数据库都会造成严重的威胁，甚至会给公司代去长久的潜在威胁。

4 机密数据的滥用，在一个企业中机密是很重要的，它包括商业和管理上的机密。

这些数据只能被管理阶层或是专职部门所掌握，如果被太多的人所了解，那么再好的安全系统也不能保证这些机密不被泄漏出去。

5 数据的丢失，再安全系统的运行过程中可能会出现数据丢失的现象，而安全措施就是为了预防这些突发事故，在运行过程中做好备份系统，以防不测。

6 应用错误这种错误主要出现在计算错误和输入错误这些环节中。

而这一环界是可以通过措施避免的。

风险分析首先对风险进行确认。

要对公司的信息和资产做一个了解，告诉企业的负责人，这些资产对公司的价值是什么，存在什么样的危险性，哪里是公司的最需要保护的东西，为什么要维护。

否则在发生事故的时候为公司造成巨大的损失。

再这里我们不着重说这些。

我们今天针对的是企业的信息安全管理。

而这对一个企业的负责人来说，了解这些是至关重要的。

其次对风险的量化。

这一过程中我们要使企业了解这些风险一般会以什么方式发生，如物理损害。

使他们准确的了解到此事故会给公司造成多大的经济，人力和物品的损失。

如果机密由此泄漏那么对公司又会造成多大的损失。

一但被病毒攻击消除这种攻击需要的费用。

最后要对所有的风险进行一个综合，要收集以上所有危险发生可能性的数据，计算出发生这些危险的概率，并预算出每年发生这些事件的几率，一年大概发生几次这样的事故。

由以上信息推算出每向风险的潜在损失，和在一年中将对公司造成的经济损失。

资产的确定：即确定公司的资产，指定公司资产的价值、发展安全策略提供安全性，完整性和可用性，找到所需的资源和资金对策最后遇到这些风险后的对策。

我们主要通过降低损失，转移风险，和接受风险这三种方式解决风险的发生。

⑴降低风险：我们主要是通过安装防火墙，杀毒软件等方式减少风险的发生。

或是改善不规范的工作流程，再或者就是制定一个连续性的计划。

以此来降低损失。

⑵转移风险：企业可以通过买保险的方式来转移风险发生后所造成的损失，一但发生什么事故，一切都会由保险公司来负责赔偿。

⑶接受风险：企业再得知某些风险会对公司造成损失，但由于避免此项风险所花费的人力和物力的价值远远超过此项风险给公司所带来的损失时，我们建议接受风险。

完成以上相关内容的评估后，并不意味着评估的结束，我们还需要安全系统完整的运做一次，确保安全系统可以正常的工作。

一套完整的安全系统运行并不只是靠，一个部门几个人来维护的，它需要企业全体员工都了解，所以还需要对公司的员工进行培训，只有采取了这一系列的措施，一套完整的安全系统才可以顺利的运行信息安全管理体系（ISMS）信息安全管理体系（Information Securitry Management Systems）是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。

它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、核查表（Checklists）等要素的集合。

BS 7799-2是建立和维持信息安全管理体系的标准，标准要求组织通过确定信息安全管理体系范围、制定信息安全方针、明确管理职责、以风险评估为基础选择控制目标与控制方式等活动建立信息安全管理体系；体系一旦建立组织应按体系规定的要求进行运作，保持体系运作的有效性；信息安全管理体系应形成一定的文件，即组织应建立并保持一个文件化的信息安全管理体系，其中应阐述被保护的资产、组织风险管理的方法、控制目标及控制方式和需要的保证程度BS 7799-2:2002的PDCA过程模式BS 7799-2:2002所采用的过程模式如，“计划-实施-检查-措施”四个步骤可以应用于所有过程。

PDCA 过程模式可简单描述如下：◆策划：依照组织整个方针和目标，建立与控制风险、提高信息安全有关的安全方针、目标、指标、过程和程序。

◆实施：实施和运作方针（过程和程序）。

◆检查：依据方针、目标和实际经验测量，评估过程业绩，并向决策者报告结果。

◆措施：采取纠正和预防措施进一步提高过程业绩。

四个步骤成为一个闭环，通过这个环的不断运转，使信息安全管理体系得到持续改进，使信息安全绩效(performance)螺旋上升。

（其实和ISO9000, 14000等完全类似的。

）信息保护技术（from microsoft)入侵防护系统（IPS）入侵防护系统（IPS）是企业下一代安全系统的大趋势。

它不仅可进行检测，还能在攻击造成损坏前阻断它们，从而将IDS提升到一个新水平。

IDS和IPS的明显区别在于：IPS阻断了病毒，而IDS则在病毒爆发后进行病毒清除工作。

用黑客软件性质分类一、扫描类软件：二、远程监控类软件：“木马”三、病毒和蠕虫：四、系统攻击和密码破解：五、监听类软件：物理层安全网络安全架构信息安全架构网络周边保护与信息安全相关的6个主要活动是：政策制定——使用安全目标和核心原理作为框架，围绕这个框架制定安全政策；角色和责任——确保每个人清楚知道和理解各自的角色、责任和权力；设计——开发由标准、评测措施、实务和规程组成的安全与控制框架；实施——适时应用方案，并且维护实施的方案；控制——建立控制措施，查明安全隐患，并确保其得到改正；安全意识，培训和教育——安全意识的养成，宣贯保护信息的必要性，提供安全运作信息系统所需技巧的培训，提供安全评估和实务教育。

最后一点还要加上激励，因为人们可能有这种有意识，但需要激发其行动。

信息安全（INFOSEC）应包括以下六个方面：l 通信安全（COMSEC）l 计算机安全（COMPUSEC）l 符合瞬时电磁脉冲辐射标准（TEMPEST）l 传输安全（TRANSEC）l 物理安全（Physical Security）l 人员安全（Personnel Security）综上所述，信息安全的主要内容包括：机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）、真实性（Authenticity）和有效性（Utility）。