信息安全(概念性知识)

一、名词解释：
1、资产：被组织赋予了价值、需要保护的有用资源。

2、资产的价值：资产对一个机构的业务的重要程度
3、威胁：可能对资产或组织造成损害的事故的潜在原因。

4、脆弱性：资产的弱点或薄弱点，这些弱点可能被威胁利用造成安全事件的发生，从而对资产造成损害。

5、安全风险：特定的威胁利用资产的一种或多种脆弱性，导致资产的丧失或损害的潜在可能性，即特定威胁事件发生的可能性与后果的结合。

6、风险评估：对信息和信息处理设施的威胁、影响和脆弱性及三者发生的可能性的评估。

7、风险管理：通过风险评估来识别风险大小，通过制定信息安全方针、采取适当的控制目标与控制方式对风险进行控制，使风险被防止、转移或降至一个可被接受的水平。

8、安全需求：组织对信息系统安全的要求。

9、安全控制：保护组织资产、防止威胁、减少脆弱性、限制安全事件影响的一系列安全实践、过程和机制。

10、剩余风险：采取了安全措施，提高了信息安全保障能力后，仍然可能存在的风险。

11、适用性声明：指对适用于组织需要的目标和控制的描述。

12、安全的信息系统：并不是指“万无一失”的信息系统，而是指残余风险可以被接受的安全系统。

13、信息安全策略：本质上来说是描述组织具有哪些重要信息资产，并说明这些信息资产如何被保护的一个计划。

14、应急响应：通常是指人们为了应对各种紧急事件的发生所做的准备以及在事件发生后所采取的措施。

15、基本风险评估：指应用直接和简易的方法到达基本的安全水平，就能满足组织及其业务环境的所有要求。

二、填空题
1、根据目标、系统类型以及系统服务对象的不同，信息系统主要分为业务处理系统、职能系统、组织系统、决策支持系统。

2、系统的整个开发过程可以划分为规划、分析、设计、实现和运行5个阶段。

3、系统面临的技术安全问题包括网络安全性、系统安全性、用户安全性、应用程序安全性、数据安全性、
4、信息安全策略分为信息安全方针和具体的信息安全策略两个层次。

5、系统安全管理的目标是确保系统运行过程中的安全性，主要包括可靠性、可用性、保密性、完整性、不可抵赖性、可控性等几个方面。

6、信息安全事件分类分级指南把信息安全划分为四个级别:特别重大事件,重大事件,较大事件和一般事件
1、等级保护的含义
信息安全等级保护是根据信息系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度，结合系统面临的风险，应对风险的安全保护要求和成本开销等因素，将其划分成不同的安全保护等级，采取相应的安全保护措施，以保障信息和信息系统的安全。

等级划分：
自我保护级；指导保护级；监督保护剂；强制保护级；专控保护级
实施阶段：
定级阶段：a系统识别与描述b等级确定
规划与设计阶段a系统分域保护框架建立b选择和调整安全措施c安全规划和方案设计
实施、等级评估与改良阶段：a安全措施的实施b评估与验收c运行监控与改良
2、信息安全管理体系
信息安全管理的内涵
信息安全管理是通过维护信息的机密性、完整性和可用性等，来管理和保护信息资产的一项体制，是对信息安全保障进行指导、标准和管理的一系列活动和过程。

信息安全管理是信息安全保障体系建设的重要组成部分。

信息安全管理的内容：
安全方针和策略；组织安全；资产分类与控制；人员安全；物理与环境安全；通信、运行与操作安全；访问控制；系统获取、开发与维护；安全事故管理；业务持续性；符合性。

3、信息安全管理体系
信息安全管理体系概念：
是组织在整体或特定范围内建立的信息安全方针和目标，以及完整这些目标所用的方法和手段所构成的体系。

信息安全管理体系的特点:
以预防控制为主的思想；强调合规性；强调全过程和动态控制；关注关键性信息资产。

建立ISMS的步骤：
信息安全管理体系的策划与准备;信息安全管理体系文件的编制;建立信息安全管理框架;信息安全管理体系的运行;信息安全管理体系的审核与评审
ISMS的作用:
强化职工的信息安全意识，标准组织信息安全行为；促使管理层贯彻信息安全保障体系；对关键信息资产进行全面系统的保护，维持竞争优势；确保业务持续开展并将损失降到最低
程度；使组织的生意伙伴和客户对组织充满信心；如果通过体系认证，可以提高组织的知名度与信任度。

4、信息安全策略
网络设备安全
服务器安全
信息分类
信息保密
用户账户与口令
远程访问
反病毒
防火墙及入侵检测
安全事件调查与响应
灾难恢复与业务持续性计划
风险评估
信息系统审计
5、基于SSE-CMM的信息安全管理体系
系统安全工程能力成熟度模型的提出是为了改善安全系统、产品和服务的性能、价格及可用性。

SSE-CMM的作用
工程组织包括系统集成商、应用开发者、产品厂商和服务供给商。

对于这些组织，SSE-CMM的作用包括：通过可重复和可预测的过程及实施来减少返工；获得真正工程执行能力的认可，特别是在资源选择方面；侧重于组织的资格〔成熟度〕度量和改良。

获取组织包括从内部/外部获取系统、产品和服务的组织以及最终用户。

对于这些组织，SSE-CMM的作用：可重用的标准语言和评定方法；减少选择不合格投标者的风险〔性能、成本和工期风险〕；进行基于工业标准的统一评估，减少争议；在产品生产和提供服务过程中建立可预测和可重复级的可信度。

评估机构包括系统认证机构、系统授权机构和产品评估机构。

对于这些机构，SSE-CMM的作用包括：可重用的过程评定结果，并与系统或产品变化无关；在安全工程中以及安全工程与其他工程集成中的信任度；基于能力的显见可信度，减少安全评估工作量。

SSE-CMM的基本概念
组织被定义为公司内部的单位、整个公司或其他实体项目是各种活动和资源的总和，这些活动和资源用于开发或维护一个特定的产品或提供一种服务。

提供某种能力用以满足一种需要或目标的人员、产品、服务和过程的综合；事物或部件的聚集形成了一个复杂或单一整体〔即用来完成某个特定或—组功能的组件的集合〕；功能相关的元素相互组合。

能力成熟度模型CMM ：CMM经过确定当前特定过程的能力和在一个特定域中识别出关键的质量和过程改良问题，来指导和选择过程改良策略。

通过SSE-CMM可以将复杂的信息系统安全工程管理成为严格的工程学和可依赖的体系。

SSE-CMM是一个评估标准，它定义了实现最终安全目标所需要的一系列过程，并对组织执行这些过程的能力进行等级划分。

其他资料：
1、信息保障的三大要素〔人员、技术、管理〕
2、认证过程：
认证的准备；认证的实施〔文件审核与初访；全面审核与评价〕；证书与标志；维持认证3、PDCA
P〔Plan〕——计划，确定方针、目标和活动计划；
D〔Do〕——实施，实现计划中的内容；
C〔Check〕——检查，检查并总结执行计划的结果；
A〔Action〕——行动，对检查总结的结果进行处理。

4、ISMS的PDCA
计划阶段: 确定信息安全方针;确定信息安全管理体系的范围;制定风险识别和评估计划;制定风险控制计划
实施阶段: 风险治理; 保证资源、提供培训、提高安全意识;检查阶段;自治程序;日常检查从其他处学习;内部信息安全管理体系审核;管理评审;趋势分析;行动阶段;不符合项;纠正和预防措施
PDCA循环是螺旋式上升和发展的。

5、三种基本测评方法：访谈Interview；检查Examine；测试Test
6、风险评估的分类基本风险评估；详细风险评估；联合风险评估。

7、安全审计的内涵
安全审计是指对安全活动进行识别、记录、存储和分析，以查证是否发生安全事件的一种信息安全技术。

安全审计
审计分析的基本方法
基于规则库的方法
基于数理统计的方法
基于模式匹配的方法
8、实施信息安全风险评估
对ISMS范围内的信息资产进行鉴定和估价
对信息资产面对的各种威胁和脆弱性进行评估
对已存在的或规划的安全控制措施进行鉴定
9、风险评估
基本风险评估，所需资源最少，简便易实施；基本风险评估的优点：同样或类似的控制能被许多信息安全管理体系所采用，不需要消耗很大的精力。

基本风险评估的缺点：安全基线水平难以设置；管理与安全相关的变更可能有困难。

详细风险评估
详细风险评估就是对资产、威胁及脆弱性进行详细的
识别和评估。

详细风险评估
具体程序：
对资产、威胁和脆弱性进行测量与赋值；
使用适当的风险测量方法完成风险计算和测量。

详细风险评估优点：可以获得一个更精确的对安全风险的认识，从而可以更为精确地识别出反映组织安全要求的安全水平；可以从详细的风险评估中获得额外信息，使与组织变
革相关的安全管理受益。

详细风险评估缺点：
需要花费相当的时间、精力和技术去获得可行的结果。

联合风险评估
联合风险评估首先使用基本风险评估，识别信息安全管理体系范围内具有潜在高风险或对业务运作来说极为关键的资产，然后根据基本风险评估的结果，将信息安全管理体系范围内的资产分成两类。

联合风险评估优点：
既节省评估所花费的时间与精力，又能确保获得一个全面系统的评估结果；组织的资源与资金能够被应用在最能发挥作用的地方，具有高风险的信息系统能够被预先关注。

风险评估的步骤
〔1〕资产的识别与评价
〔2〕威胁的识别与评价
〔3〕脆弱性评估
〔4〕确认现有安全控制
〔5 〕风险评价
10、信息安全管理组织的四个层次：
各部委信息安全管理部门，各省信息安全管理部门，各基层信息安全管理部门以及经营单位。

11、信息安全组织的基本任务是：
在政府主管部门的管理指导下，由与系统有关的个方面专家，定期或适时进行风险评估，根据本单位的实际情况和需要，确定信息系统的安全等级和管理总体目标，提出相应的对策并监督实施，使得本单位信息系统的安全保护工作能够与信息系统的建设，应用和发展同步前
进。

12、信息安全教育的内容：法规教育安全技术教育；安全意识教育
13、企业信息安全组织：由信息安全决策机构、信息安全管理机构和信息安全执行机构组成；
14、信息安全人员审查：人员的安全意识，法律意识和安全技能等几个方面。

15、环境与实体安全管理
环境安全就是要保证信息系统有一个安全的物理环境，充分考虑各种因素对信息系统造成的威胁并加以躲避。

物理安全边界是指在信息系统的实体和环境这一层次上建立某种屏障。

16、系统选型与购置系统选型时，应考虑以下几个方面：
系统的适用性；系统的开放性；系统的先进性；系统的商品化程度及使用的效果；系统的可靠性及可维护性；系统的性能价格比。

系统开发应遵循的原则
主管参与；化与创新；分利用信息资源；用和时效标准化；效安全控制；应发展变化系统开发生命周期：系统规划阶段；系统分析阶段；系统设计阶段；系统实现阶段；系统运行阶段
17、系统安全验证
安全验证，就是对系统的安全性进行测试验证，并评价其安全性所到达的程度的过程。

〔1〕系统鉴定
检测和发现任何形式的系统功能、逻辑或实现方面的错误；通过评审验证系统的需求；保证系统按预先定义的标准表示；保证已获得的系统是以科学有效的方式开发的；使系统更容易管理。

〔2〕破坏性分析
把一些在系统使用方面具有丰富经验的专家和一些富有设计经验的专家组织起来，对被测试的系统进行脆弱性分析，专门查找可能的弱点和漏洞。

系统安全原则：主要包括保护最薄弱的环节、纵深防御、保护故障、最小特权以及分隔等。

系统选购：通过版本控制、安全检测与验收等，保证所选购系统的安全性。

系统开发安全管理：通过可行性评估、项目管理、代码审查、程序测试、可靠性管理及版本管理等，保证系统开发的安全。

系统开发安全控制可行性评估：目标和方案的可行性；实现技术方面的可行性；社会及经济可行性；操作和进度可行性
18、系统的开发安全控制
可行性评估
项目管理
项目管理是在项目实施过程中对其计划、组织、人员及相关数据进行管理和配置，进行项目实施状态的监视和完成计划的反馈。

代码审查
保证代码的正确是一组程序员的共同责任。

发现这些不一致和逻辑错误；
程序测试
测试的目的有两个，一个是确定程序的正确性，另一个是排除程序中的安全隐患。

可靠性管理
版本管理
系统安全维护
改正性维护：诊断和改正在使用过程中发现的系统错误；
适应性维护：修改系统以适应环境的变化；
完善性维护：根据用户的要求改良或扩充系统使其更完善；
预防性维护：修改系统为将来的维护活动做准备。

19、信息安全策略从本质上来说是描述组织具有哪些重要信息资产，并说明这些信息资产如何被保护的一个计划。

安全策略是进一步制定控制规则和安全程序的必要基础。

安全策略本质上是非形式化的,也可以是高度数学化的。

安全策略将系统的状态分为两个集合:已授权的和未授权的。

制定信息安全策略的目的：如何使用组织中的信息系统资源；如何处理敏感信息；如何采用安全技术产品。

安全策略：保密性策略；可用性策略；完整性策略
信息安全方针：就是组织的信息安全委员会或管理机构制定的一个高层文件，是用于指导组织如何对资产，包括敏感性信息进行管理、保护和分配的规则和指示。

20、安全程序
安全程序是保障信息安全策略有效实施的、具体化的、过程性的措施，是信息安全策略从抽象到具体，从宏观管理层落实到具体执行层的重要一环。

信息安全管理程序包括：
实施控制目标与控制方式的安全控制程序；为覆盖信息安全管理体系的管理与运作的程序。

程序文件的内容包括：活动的目的与范围〔Why〕；做什么〔What〕；谁来做〔Who〕；何时〔When〕；何地〔Where〕；如何做〔How〕
程序文件应遵循的原则：
一般不涉及纯技术性的细节；针对影响信息安全的各项活动目标的执行做出的规定；应当简练、明确和易懂；应当采用统一的结构与格式编排
风险评估与选择安全控制
风险评估的结果是选择适合组织的控制目标与控制方式的基础，组织选择出了适合自己安全需求的控制目标与控制方式后，安全策略的制定才有了最直接的依据。

21、信息安全事故的定义
信息安全事故〔information security incident〕由单个的或一系列的有害或意外信息安全事件组成，它们具有损害业务运作和威胁
信息安全的极大的可能性。

信息安全事件〔information security event〕是指系统、服务或网络的一种可识别的状态的发生。

信息安全事故的报告
报告安全事件：采取适当的反馈机制；确定信息安全事件报告形式以支持报告行为
信息安全事件发生后应该采取正确的行为，立即向联系点报告
22、入侵检测系统〔Intrusion Detect System，IDS〕
它通过对信息系统中各种状态和行为的归纳分析，一方面检测来自外部的入侵行为，另一方面还能够监督内部用户的未授权活动。

误用检测〔Misuse Detection〕
误用检测也称为基于知识的入侵检测或基于签名的入侵检测。

该技术首先建立各种已知攻击的特征模式库，然后将用户的当前行为依次与库中的各种攻击特征模式进行比较。

异常检测〔Anomaly Detection〕
异常检测也称基于行为的入侵检测。

该技术通过为用户、进程或网络流量等处于正常状态时的行为特征建立参考模式，然后将系统当前行为特征与已建立的正常行为模
式进行比较。

异常检测的优点是其能够检测出未知攻击，然而存在误检测率较高的不足；误用检测虽然检测准确率较高，但其只能对已知攻击行为进行检测。

系统备份与灾难恢复技术
系统备份是灾难恢复的基础，其目的是确保既定的关键业务数据、关键数据处理系统和关键业务在灾难发生后可以恢复。

应急响应〔Emergency Response〕通常是指人们为了应对各种紧急事件的发生所做的准备以及在事件发生后所采取的措施。