信息安全相关理论技术

信息安全架构

计算机和网络安全法则

安全组织框架

如何建立企业信息系统的安全架构 (1)

信息安全涉及到信息的保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。综合起来说，就是要保障电子信息的有效性。保密性就是对抗对手的被动攻击，保证信息不泄漏给未经授权的人。完整性就是对抗对手主动攻击，防止信息被未经授权的篡改。可用性就是保证信息及信息系统确实为授权使用者所用。

作为一个企业我们通常通过这样的标准来划分信息的保密性，完整性，可用性。

可用性---------------主要通过信息的使用率来划分：

1 非常低合法使用者对信息系统及资源的存取可用度在正常上班时达到25%

2 低合法使用者对信息资源的存取可用度在正常上班时达到50％

3 中等合法使用者对信息系统及资源的存取可用度在正常上班时达到100%

4 高合法使用者对信息系统及资源的存取可用度达到每天95%以上。

5 非常高合法使用者对信息系统及资源的存取可用度达到每天99.9%以上。

完整性----------------通过信息应为修改对公司造成的损失的严重性来划分：

1 非常低未经授权的破坏和修改不会对信息系统造成重大影响或对业务冲击可忽略

2 低未经授权的破坏和修改不会对信息系统造成重大影响或对业务冲击可轻微

3 中等未经授权的破坏和修改已对信息系统造成影响或对业务有明显冲击

4 高未经授权的破坏和修改对信息系统造成重大影响或对业务冲击严重

5 非常高未经授权的破坏和修改对信息系统造成重大影响且导致严重的业务中断

机密性---------------通过信息使用的权限来划分：

1 公开信息非敏感信息，公开的信息处理设施和系统资源

2 内部使用非敏感但仅限公司内部使用的信息（非公开）

3 限制使用受控的信息，需有业务需求方得以授权使用

4 机密敏感信息，信息处理设施和系统资源只给比知者

5 极机密敏感信息，信息处理设施和系统资源仅适用于少数比知者

为什么要保证企业的安全?企业安全的核心就是保护企业财产。企业的目标是什么？创造经济价值，而作为安全系统就是为了帮助企业创造经济价值。安全追根究底的是一种投资，作为一种投资从安全系统的引入，员工的培训到最后安全系统的应用都是一种投资，作为投资的目的，就是为了回报。保护公司的核心机密，使其不会外露这就是回报。只有保护了资产，才能说这个安全系统有作用。而判断安全系统是否起到了作用，则需要从保密性，可用性和完整性来做出判断。

作为信息安全服务它需要以下人员来负责它的安全运行

企业管理人员

作为一个企业的决策者，负责企业的整体运行。他所关心的是信息安全所带来的效益，由于要对整个企业负责，所以我们需要他了解：重新获取或开发资产的费用、维护和保护资产的费用、资产对于所有者和用户的价值、资产对于对手的价值、知识产权的价值、其他人愿意为这些资产所付的价钱、丢失后更换资产所需的费用.、资产受损后的债务问题、资产受损后可能面临的法律责任，资产的价值有助于选择具体的对策、商业保险需要了解每项资产的价值、每项资产的价值可以帮助确定什么是真正的风险

安全管理人员

他所负责的是整个系统的网络运行，硬件支持，以及机房的安全措施。他所服务的对象是企业的上层机构，他们的职责他就是维护好整个安全系统的正常运行。制定好安全系统的运行的规划，使其能在运行中实现。

工程师

他所关心的是整个系统的技术部分，保证系统在运行过程中不会因为数据丢失或是程序出现的错误而不能运行。

信息安全公式：

信息安全＝先进技术＋防患意识＋完美流程＋严格的制度＋优秀的执行团队＋法律保障

如何建立企业信息系统的安全架构 (2)

作为一次完整的信息安全评估咨询，需要考虑到以下诸多条件：

漏洞：它包含很多原因，如口令的安全，在一个大的企业中口令的泄漏是随时可能发生的，这对企业来说是很大的失误。在一个企业里，信息的安全要体现在任何地方，所以再各自运行的PC机上要设有独立的口令，这些口令不能过于简单，我曾经尝试破解一个8位数的口令，共花去了6个小时，所以口令不但不能过于简单，而且还需要经常更换。在优利公司，所有员工的口令不能是单一的数字，必须含有英文字母。

暴露如果没有好的安全防护措施，那么就会使企业机密暴露，至于财产也没有什么保护可言。

威胁：一套系统在运行过程中存在很多威胁，其中最为常见的威胁是人为错误对安全系统所造成的损坏。人为错误一般是无意行为，但是这对系统的安全性来说是没有任何区别的。2是物理损坏，这主要指的是事故的发生，非人力直接造成的损坏，比如：洪水，地震，失火，电力中断以及盗窃等等一系列突发事件，这些对企业的设备，数据以及商业机密都会够会造成巨大的损失，这在对企业安全系统的评估过程中是要考虑到的。3 由于设备的故障而引起的系统不能正常的运行。4受到攻击，这种攻击可以来自企业内部，也可以是来自于企业外部，外部攻击主要来自于黑客和病毒，他们的攻击大多是带有很强的目的性，比如获取公司信息，破坏公司数据等等，这种攻击无论是对公司的管理阶层，还是员工尤其是数据库都会造成严重的威胁，甚至会给公司代去长久的潜在威胁。4 机密数据的滥用，在一个企业中机密是很重要的，它包括商业和管理上的机密。这些数据只能被管理阶层或是专职部门所掌握，如果被太多的人所了解，那么再好的安全系统也不能保证这些机密不被泄漏出去。5 数据的丢失，再安全系统的运行过程中可能会出现数据丢失的现象，而安全措施就是为了预防这些突发事故，在运行过程中做好备份系统，以防不测。6 应用错误这种错误主要出现在计算错误和输入错误这些环节中。而这一环界是可以通过措施避免的。

风险分析

首先对风险进行确认。要对公司的信息和资产做一个了解，告诉企业的负责人，这些资产对公司的价值是什么，存在什么样的危险性，哪里是公司的最需要保护的东西，为什么要维护。否则在发生事故的时候为公司造成巨大的损失。再这里我们不着重说这些。我们今天针对的是企业的信息安全管理。而这对一个企业的负责人来说，了解这些是至关重要的。

其次对风险的量化。这一过程中我们要使企业了解这些风险一般会以什么方式发生，如物理损害。使他们准确的了解到此事故会给公司造成多大的经济，人力和物品的损失。如果机密由此泄漏那么对公司又会造成多大的损失。一但被病毒攻击消除这种攻击需要的费用。最后要对所有的风险进行一个综合，要收集以上所有危险发生可能性的数据，计算出发生这些危险的概率，并预算出每年发生这些事件的几率，一年大概发生几次这样的事故。由以上信息推算出每向风险的潜在损失，和在一年中将对公司造成的经济损失。

资产的确定：

即确定公司的资产，指定公司资产的价值、发展安全策略提供安全性，完整性和可用性，找到所需的资源和资金

对策

最后遇到这些风险后的对策。我们主要通过降低损失，转移风险，和接受风险这三种方式解决风险的发生。

⑴降低风险：我们主要是通过安装防火墙，杀毒软件等方式减少风险的发生。或是改善不规范的工作流程，再或者就是制定一个连续性的计划。以此来降低损失。

⑵转移风险：企业可以通过买保险的方式来转移风险发生后所造成的损失，一但发生什么事故，一切都会由保险公司来负责赔偿。

⑶接受风险：企业再得知某些风险会对公司造成损失，但由于避免此项风险所花费的人力和物力的价值远远超过此项风险给公司所带来的损失时，我们建议接受风险。

完成以上相关内容的评估后，并不意味着评估的结束，我们还需要安全系统完整的运做一次，确保安全系统可以正常的工作。

一套完整的安全系统运行并不只是靠，一个部门几个人来维护的，它需要企业全体员工都了解，所以还需要对公司的员工进行培训，只有采取了这一系列的措施，一套完整的安全系统才可以顺利的运行

信息安全管理体系（ISMS）