信息安全体系整理

一、总论1.什么是信息安全管理，为什么需要信息安全管理？

信息安全管理是组织为实现信息安全目标而进行的管理活动，是组织完整的管理体系中的一个重要组成部分，是为保护信息资产安全，指导和控制组织的关于信息安全风险的相互协调的活动。信息安全管理是通过维护信息的机密性、完整性和可用性等，来管理和保护组织所有信息资产的一系列活动。

信息、信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产。信息的保密性、完整性和可用性对保持竞争优势、资金流动、效益、法律符合性和商业形象都是至关重要的。由于信息具有易传输、易扩散、易破损的特点，信息资产比传统资产更加脆弱，更易受到损害，信息及信息系统需要严格管理和妥善保护。

2.系统列举常用的信息安全技术？

密码技术、访问控制和鉴权；物理安全技术：环境安全、设备安全、人员安全；网络安全技术：防火墙、VPN、入侵检测/入侵防御、安全网关；容灾与数据备份

3.信息安全管理的主要内容有哪些？

信息安全需求是信息安全的出发点，它包括机密性需求、完整性需求、可用性需求、抗抵赖性、真实性需求、可控性需求和可靠性需求等。信息安全管理范围是由信息系统安全需求决定的具体信息安全控制点，对这些实施适当的控制措施可确保组织相应环节的信息安全，从而确保组织整体的信息安全水平。信息安全控制措施是指为改善具体信息安全问题而设置技术或管理手段，信息安全控制措施是信息安全管理的基础。

4.什么是信息安全保障体系，它包含哪些内容？(见一、3图)

5.信息安全法规对信息安全管理工作意义如何？

法律法规是组织从事各种政务、商务活动所处社会环境的重要组成部分，它能为信息安全提供制度保障。信息安全法律法规的保障作用至少包含以下三方面：

1.为人们从事在信息安全方面从事各种活动提供规范性指导

2.能够预防信息安全事件的发生

3.保障信息安全活动参与各方的合法权益，为人们追求合法权益提供了依据和手段

二、信息安全风险评估

1. 什么是信息安全风险评估？它由哪些基本步骤组成？

信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。

风险评估可分为四个阶段，第一阶段为风险评估准备；第二阶段为风险识别，第三阶段为风险评价，第四阶段为风险处理。

2. 信息资产可以分为哪几类？请分别举出一两个例子说明。

根据ISO/IEC 13335-1,资产是指任何对组织有价值的东西，资产包括：物理资产、信息/数据、软件、提供产品和服务的能力（注：供应能力）、人员、无形资产（商标等）。

3. 威胁源有哪些？其常见表现形式分别是什么？

4. 请解释以下名词：

（1）资产；资产是指任何对组织有价值的东西（二、2）

（2）威胁；威胁是可能对资产或组织造成损害的潜在原因。

（3）脆弱点；脆弱点是一个或一组资产所具有的，可能被威胁利用对资产造成损害的薄弱环节。

（4）风险；信息安全风险是指威胁利用利用一个或一组资产的脆弱点导致组织受损的潜在，并以威胁利用脆弱点造成的一系列不期望发生的事件（或称为安全事件）来体现

（5）影响。影响是威胁利用资产的脆弱点导致不期望发生事件的后果。这些后果可能表现为直接形式

5. 风险评估方法分为哪几种？其优缺点分别是什么？

常见的风险评估方法有三种：基线风险评估方法详细风险评估方法综合风险评估方法

基线评估的优点是：

(1) 风险分析和每个防护措施的实施管理只需要最少数量的资源，并且在选择防护措施时花费更少的时间和努力；

(2) 如果组织的大量系统都在普通环境下运行并且如果安全需要类似，那么很多系统都可以采用相同或相似的基线防护措施而不需要太多的努力。

基线评估的的缺点是：基线水平难以设置(2)风险评估不全面、不透彻，且不易处理变更。

详细评估的优点是：

(1) 有可能为所有系统识别出适当的安全措施；(2) 详细分析的结果可用于安全变更管理。详细评估的缺点：需要更多的时间、努力和专业知识。

综合评估方法将基线和详细风险评估的优势结合起来，既节省了评估所耗费的资源，又能确保获得一个全面系统的评估结果，而且，组织的资源和资金能够应用到最能发挥作用的地方，具有高风险的信息系统能够被预先关注。综合评估也有缺点：如果初步的高级风险分析不够准确，某些本来需要详细评估的系统也许会被忽略，最终导致某些严重的风险未被发现。6. 请写出风险计算公式，并解释其中各项所代表的含义。

风险可形式化的表示为R=(A,T,V)，其中R表示风险、A表示资产、T表示威胁、

V表示脆弱点。相应的风险值由A、T、V的取值决定，是它们的函数，可以表示为：VR=R(A,T,V)=R(L(A,T,V)，F(A,T,V))

其中，L(A,T,V)、F(A,T,V)分别表示对应安全事件发生的可能性及影响，它们也都是资产、威胁、脆弱点的函数，但其表达式很难给出。而风险则可表示为可能性

L和影响F的函数，简单的处理就是将安全事件发生的可能性L与安全事件的影响F相乘得到风险值，实际就是平均损失，即VR=L(A,T,V)×F(A,T,V)

7. 风险评估文件由哪些主要文档组成？

风险评估文件包括在整个风险评估过程中产生的评估过程文档和评估结果文档，这些文档包括：

(1)风险评估计划(2)风险评估程序(3)资产识别清单

(4)重要资产清单(5)威胁列表(6)脆弱点列表(7)已有安全措施确认表

(8)风险评估报告(9)风险处理计划(10)风险评估记录

8. 常用的综合评价方法有哪些，试进行比较。

常用的综合评价方法有综合指数法、功效评分法、TOPSIS法、层次分析法、主成份分析法、聚类分析法等。

(1)综合指数法是多指标系统的一种评价方法。综合指数法通过计算各评价对象对每个指标折算指数值来实现不同指标值的无量纲化，并通过加权平均方法计算综合指数值，

(2) 功效评分法通过功效系数来实现不同指标的无量纲化，然后在利用其他方法来确定功效权值，如均权法、层次分析法、离差权法等。

(3)TOPSIS法是通过检测评价对象与最优解、最劣解的距离来进行排序，若评价对象最靠近最优解同时又最远离最劣解，则为最好；否则不为最优。

(4) 层次分析法是将决策问题的有关元素分解成目标、准则、方案等层次，在此基础上进行定量和定性分析的一种决策方法。层次分析法的决策过程如下：

a)分析各影响因素间的关系，建立层次模型

b)构建两两比较判断矩阵

c)计算单个判断矩阵对应的权重向量