1信息安全管理绪论

1、信息安全管理信息安全管理 （第二版）（第二版） 信 息 安 全 管 理 信息安全管理 全面地了解信息安全管理体系；全面地了解信息安全管理体系； 掌握信息安全管理的内涵、体系、内容和实施过程；掌握信息安全管理的内涵、体系、内容和实施过程； 掌握信息安全管理的基本理论和手段；掌握信息安全管理的基本理论和手段； 理解信息安全管理体系的构建过程；理解信息安全管理体系的构建过程； 了解民航信息安全方法、实例；了解民航信息安全方法、实例； 熟悉民航信息安全行业标准。熟悉民航信息安全行业标准。 第1章 绪论 （闭卷）。（闭卷）。 第1章 绪论 信息安全管理信息安全管理（第（第2 2版）徐国爱版）徐国爱 北邮

2、出版社北邮出版社 信息安全管理信息安全管理张红旗张红旗 人民邮电出版社人民邮电出版社 目录目录 v1 绪论绪论 v2 信息安全管理体系信息安全管理体系 v3 信息安全风险评估信息安全风险评估 v4 系统与网络安全系统与网络安全 v5 物理安全物理安全 v6 信息系统安全审计信息系统安全审计 v7 灾难恢复与业务连续性计灾难恢复与业务连续性计 v8 信息系统安全标准信息系统安全标准 v9 信息安全法律法规信息安全法律法规 第1章 绪论 1.1 信息安全信息安全 1.2 信息安全技术信息安全技术 1.3 信息安全管理信息安全管理 1.4 信息安全发展趋势信息安全发展趋势 1.1.1信息安全的现状信

3、息安全的现状 由于信息具有易传输、易扩散、易破损的特点，信息资产由于信息具有易传输、易扩散、易破损的特点，信息资产 比传统资产更加脆弱，更易受到损害，信息及信息系统需比传统资产更加脆弱，更易受到损害，信息及信息系统需 要严格管理和妥善保护要严格管理和妥善保护 n全球平均全球平均20秒就发生一次计算机病毒的入侵；互联网上的防秒就发生一次计算机病毒的入侵；互联网上的防 火墙大约火墙大约25被攻破被攻破 n窃取商业信息的事件平均以每月窃取商业信息的事件平均以每月260的速度增加的速度增加 n约约70的网络主管报告因机密信息泄露而受到损失的网络主管报告因机密信息泄露而受到损失 国家与国家之间的信息战问

4、题更是关系到国家的根本安全国家与国家之间的信息战问题更是关系到国家的根本安全 问题问题 信息安全已成为信息社会重要的研究课题信息安全已成为信息社会重要的研究课题 1.1信息安全 1.1.2信息安全的概念信息安全的概念 信息安全的信息安全的传统传统内涵内涵： 机密性、完整性、可用性机密性、完整性、可用性 1.1信息安全 国际标准化组织（ISO）对信息安全的定义 保密性保密性 完整性完整性 可用性可用性 CONFIDENTIALATY INTEGRITY AVAILABILITY 1.1.2信息安全的概念信息安全的概念 1.1信息安全 保密性：保密性：confidentiality confide

5、ntiality 确保信息只能由那些被授权使用的人获取确保信息只能由那些被授权使用的人获取 完整性：完整性：integrity integrity 保护信息及其处理方法的准确性和完整性保护信息及其处理方法的准确性和完整性 可用性：可用性：availability availability 确保被授权使用人在需要时可以获取信息确保被授权使用人在需要时可以获取信息 和使用相关的资产和使用相关的资产 1.1信息安全 1.1.2信息安全的概念信息安全的概念 信息安全的基本要素信息安全的基本要素 可审查性可审查性 可控性可控性 可用性可用性 完整性完整性 机密性机密性 对出现的网络对出现的网络 安全问题

6、提供安全问题提供 依据和手段依据和手段 可以控制授权范围内的可以控制授权范围内的 信息流向及行为方式信息流向及行为方式 确保信息不暴露给未授权的实体或进程确保信息不暴露给未授权的实体或进程 只有得到允许的人才能修改数据，并只有得到允许的人才能修改数据，并 且能够辨别数据是否已被修改且能够辨别数据是否已被修改 得到授权的实体在需要时可得到授权的实体在需要时可 以访问数据，既攻击者不能以访问数据，既攻击者不能 占用所有资源而阻碍授权者占用所有资源而阻碍授权者 的工作的工作 1.1信息安全 1.1.2信息安全的概念信息安全的概念 信息安全的内涵扩展，安全属性定义：信息安全的内涵扩展，安全属性定义：

7、机密性：信息不泄露给非授权的用户、实体或过程机密性：信息不泄露给非授权的用户、实体或过程 完整性：数据未经授权不能进行改变，即信息在存储或传输过程中保持不完整性：数据未经授权不能进行改变，即信息在存储或传输过程中保持不 被修改、不被破坏和丢失被修改、不被破坏和丢失 可用性：可被授权实体访问并按需求使用，及当需要时应能存取所需信息可用性：可被授权实体访问并按需求使用，及当需要时应能存取所需信息 真实性：内容的真实性真实性：内容的真实性 可核查性：对信息的传播及内容具有控制能力可核查性：对信息的传播及内容具有控制能力 可靠性：系统的可靠性可靠性：系统的可靠性 1.1信息安全 1.1.2信息安全的概

8、念信息安全的概念 信息安全在技术发展和应用过程中，表现出以下重要信息安全在技术发展和应用过程中，表现出以下重要 特点：特点： （1）必然性。当今的信息系统日益复杂，其中必然存）必然性。当今的信息系统日益复杂，其中必然存 在系统设计、实现、内部控制等方面的弱点。如果不采取在系统设计、实现、内部控制等方面的弱点。如果不采取 适当的措施应对系统运行环境中的安全威胁，信息资产就适当的措施应对系统运行环境中的安全威胁，信息资产就 可能会遭受巨大的损失甚至威胁到国家安全可能会遭受巨大的损失甚至威胁到国家安全 发达国家高度重视，在发达国家高度重视，在该该领域投入了大量的人力、物力、领域投入了大量的人力、物力

9、、 财力，以期提高本国的信息安全水平财力，以期提高本国的信息安全水平 1.1信息安全 （2）配角特性。信息安全建设在信息系统建设中角色应）配角特性。信息安全建设在信息系统建设中角色应 该是陪衬，安全不是最终目的，得到安全可靠的应用和该是陪衬，安全不是最终目的，得到安全可靠的应用和 服务才是安全建设的最终目的服务才是安全建设的最终目的 不能为了安全而安全，安全的应用是先导不能为了安全而安全，安全的应用是先导 （3）动态性。信息安全威胁会随着技术的发展、周边应）动态性。信息安全威胁会随着技术的发展、周边应 用场景的变化等因素而发生变化，新的安全威胁总会不用场景的变化等因素而发生变化，新的安全威胁总

10、会不 断出现断出现 不能指望一项技术、一款产品或一个方案就能一劳永逸地解不能指望一项技术、一款产品或一个方案就能一劳永逸地解 决组织的安全问题决组织的安全问题 信息安全是一个动态、持续的过程，必须能根据风险变信息安全是一个动态、持续的过程，必须能根据风险变 化及时调整安全策略化及时调整安全策略 1.1信息安全 1.1.3信息安全威胁信息安全威胁3 3信息安全威胁安全的信息安全威胁安全的 所谓所谓信息安全威胁信息安全威胁就是指某个人、物、时间或概念对信息资就是指某个人、物、时间或概念对信息资 源的保密性、完整性、可用性或合法使用所造成的危险。对源的保密性、完整性、可用性或合法使用所造成的危险。对

11、 安全威胁的深入分析，是安全防范的基础安全威胁的深入分析，是安全防范的基础。 1.常见安全威胁：常见安全威胁： （1）有害程序：计算机病毒、蠕虫、木马程序、僵尸网络、网页内）有害程序：计算机病毒、蠕虫、木马程序、僵尸网络、网页内 嵌恶意代码等嵌恶意代码等 （2）网络攻击：拒绝服务攻击、后门攻击、漏洞攻击、网络扫描窃）网络攻击：拒绝服务攻击、后门攻击、漏洞攻击、网络扫描窃 听、干扰等听、干扰等 （3）信息破坏：信息篡改、信息假冒、信息泄漏、信息窃取、信息）信息破坏：信息篡改、信息假冒、信息泄漏、信息窃取、信息 丢失等。丢失等。 （4）信息内容安全）信息内容安全 （5）设备设施故障）设备设施故障

12、（6）环境灾害）环境灾害 1.1信息安全 2.信息安全威胁的根源信息安全威胁的根源 信息安全威胁源于以下三方面：信息安全威胁源于以下三方面： （1）系统的开放性）系统的开放性 开放、共享是信息系统的基本目的和优势，但是随着开放规模开放、共享是信息系统的基本目的和优势，但是随着开放规模 变大、开放对象的多种多样、开放系统应用环境的不同，简单变大、开放对象的多种多样、开放系统应用环境的不同，简单 的开放显然不切实际。相当一部分信息安全威胁由此产生的开放显然不切实际。相当一部分信息安全威胁由此产生 （2）系统的复杂性）系统的复杂性 硬件的规模、软件系统的规模都比一般传统工艺流程大很多，硬件的规模、软

13、件系统的规模都比一般传统工艺流程大很多， 规模庞大特性本身就意味着存在设计隐患，而设计环境和应用规模庞大特性本身就意味着存在设计隐患，而设计环境和应用 环境的差异更是不可避免导致设计过程不可能尽善尽美环境的差异更是不可避免导致设计过程不可能尽善尽美 （3）人的因素）人的因素 信息系统最终为人服务，人与人之间的各种差异、人在传统生信息系统最终为人服务，人与人之间的各种差异、人在传统生 活中表现出来的威胁行为（诸如各种犯罪行为）是信息安全威活中表现出来的威胁行为（诸如各种犯罪行为）是信息安全威 胁出现的根本原因。各种计算机犯罪是其有力的表现胁出现的根本原因。各种计算机犯罪是其有力的表现 1.1信息

14、安全 1.1信息安全 人，特别是内部人员，是信息安全最大的威胁人，特别是内部人员，是信息安全最大的威胁 3.信息安全威胁趋势信息安全威胁趋势 （1）攻击手段的智能化）攻击手段的智能化 （2）针对基础设施、安全设备的攻击）针对基础设施、安全设备的攻击 （3）业务与内容安全威胁）业务与内容安全威胁 （4）攻击手段与传统犯罪手段的结合）攻击手段与传统犯罪手段的结合 （5）攻击组织的战争倾向）攻击组织的战争倾向 1.1信息安全 1.2信息安全技术 1.2.1 密码技术、访问控制和鉴权密码技术、访问控制和鉴权(认证认证) 密码技术密码技术仍然是信息安全技术的核心。对称加密算法标准的提仍然是信息安全技术的

15、核心。对称加密算法标准的提 出和应用、公钥加密思想的提出是其发展的重要标志。数字签出和应用、公钥加密思想的提出是其发展的重要标志。数字签 名和各种密码协议则从不同的需求角度将密码技术进行延伸名和各种密码协议则从不同的需求角度将密码技术进行延伸 访问控制访问控制目的是防止对信息资源的非授权访问和非授权使用。目的是防止对信息资源的非授权访问和非授权使用。 它允许用户对其常用的信息库进行一定权限的访问，限制他随它允许用户对其常用的信息库进行一定权限的访问，限制他随 意删除、修改或复制信息文件；还可以使系统管理员跟踪用户意删除、修改或复制信息文件；还可以使系统管理员跟踪用户 在网络中的活动，及时发现并

16、拒绝在网络中的活动，及时发现并拒绝“黑客黑客”的入侵的入侵 鉴权（认证）鉴权（认证）是信息安全的基本机制是信息安全的基本机制，通信的双方之间应相互，通信的双方之间应相互 认证对方的身份，以保证赋予正确的操作权利和数据的存取控认证对方的身份，以保证赋予正确的操作权利和数据的存取控 制。网络也必须认证用户的身份，以保证合法的用户进行正确制。网络也必须认证用户的身份，以保证合法的用户进行正确 的操作并进行正确的审计。的操作并进行正确的审计。 1.2.2 物理安全技术物理安全技术 为了保证信息系统安全、可靠地运行，确保信息系统在信息进为了保证信息系统安全、可靠地运行，确保信息系统在信息进 行采集、传输

17、、处理、显示、分发和利用的过程中，免遭人为行采集、传输、处理、显示、分发和利用的过程中，免遭人为 或自然因素的危害，物理安全通过对计算机及网络系统的环境或自然因素的危害，物理安全通过对计算机及网络系统的环境 、场地、设备和通信线路等采取的相应安全技术措施，实现对、场地、设备和通信线路等采取的相应安全技术措施，实现对 信息系统设备、设施的保护信息系统设备、设施的保护 1.环境安全：环境安全：技术要素包括机房场地选择、机房屏蔽、防火、防雷、防鼠、技术要素包括机房场地选择、机房屏蔽、防火、防雷、防鼠、 防盗、防毁、供配电系统、空调系统、综合布线、区域防护等防盗、防毁、供配电系统、空调系统、综合布线、

18、区域防护等 2. 设备安全：设备安全：技术要素包括设备的标志和标记、防止电磁信息泄露、抗电磁技术要素包括设备的标志和标记、防止电磁信息泄露、抗电磁 干扰、电源保护以及设备振动、碰撞、冲击适应性等方面。此外，还包括媒干扰、电源保护以及设备振动、碰撞、冲击适应性等方面。此外，还包括媒 体安全保管、防盗、防毁、防霉，媒体数据防拷贝、防消磁、防丢失等体安全保管、防盗、防毁、防霉，媒体数据防拷贝、防消磁、防丢失等 3.人员安全：人员安全：人员安全管理的核心是确保有关业务人员的思想素质、职业道人员安全管理的核心是确保有关业务人员的思想素质、职业道 德和业务素质，因此，人员安全要加强人员审查和人员安全教育德

19、和业务素质，因此，人员安全要加强人员审查和人员安全教育 1.2信息安全技术 1.2.3 网络安全技术网络安全技术 随着因特网在全世界的迅速发展和普及，因特网中出现随着因特网在全世界的迅速发展和普及，因特网中出现 的信息泄密、数据篡改、服务拒绝等网络安全问题也越的信息泄密、数据篡改、服务拒绝等网络安全问题也越 来越严重，因此网络安全技术在互联网中的地位愈发重来越严重，因此网络安全技术在互联网中的地位愈发重 要，主要包括：要，主要包括： 防火墙、防火墙、VPN、入侵检测、入侵检测/入侵防御、安全网关入侵防御、安全网关 1.2信息安全技术 1.2.4 容灾与数据备份容灾与数据备份 只要发生数据传输、

20、数据存储和数据交换，就可能产生数据故只要发生数据传输、数据存储和数据交换，就可能产生数据故 障，如果没有采取数据备份和灾难恢复手段和措施，就会导致障，如果没有采取数据备份和灾难恢复手段和措施，就会导致 数据的丢失。数据的丢失。 灾难恢复主要涉及的技术和方案由数据的复制、备份和恢复，灾难恢复主要涉及的技术和方案由数据的复制、备份和恢复， 本地高可用性方案和远程集群等。本地高可用性方案和远程集群等。 1.2信息安全技术 1.3.1 信息安全管理的概念信息安全管理的概念 信息安全管理是组织为实现信息安全目标而进行的管理活信息安全管理是组织为实现信息安全目标而进行的管理活 动，是组织完整的管理体系中的

21、一个重要组成部分，是为动，是组织完整的管理体系中的一个重要组成部分，是为 保护信息资产安全，指导和控制组织的关于信息安全风险保护信息资产安全，指导和控制组织的关于信息安全风险 的相互协调的活动的相互协调的活动 信息安全管理是通过维护信息的机密性、完整性和可用性信息安全管理是通过维护信息的机密性、完整性和可用性 等，来管理和保护组织所有信息资产的一系列活动等，来管理和保护组织所有信息资产的一系列活动 1.2信息安全技术 1.3信息安全管理 1.3.2信息安全管理的主要内容信息安全管理的主要内容 从信息系统的安全需求出发，结合组织的信息系统建从信息系统的安全需求出发，结合组织的信息系统建 设情况，

22、引入适当的技术控制措施和管理体系，形成设情况，引入适当的技术控制措施和管理体系，形成 综合的信息安全管理架构综合的信息安全管理架构 1.3信息安全管理 实体安全实体安全 运行安全运行安全 信息安全信息安全 管理安全管理安全 1.3.2信息安全管理的主要内容信息安全管理的主要内容 1.3信息安全管理 技术技术管理管理人员人员 1.3.2信息安全管理的主要内容信息安全管理的主要内容 1.3信息安全管理 信息安全管理是信息安全管理是信息安全保障体系建设信息安全保障体系建设的重要的重要 组成部分组成部分 。 1.3.2 信息安全管理的主要内容信息安全管理的主要内容 信息安全管理的内容：信息安全管理的内

23、容： p安全方针和策略；安全方针和策略； p组织安全；组织安全； p资产分类与控制；资产分类与控制； p人员安全；人员安全； p物理与环境安全；物理与环境安全； p通信、运行与操作安全；通信、运行与操作安全； p访问控制；访问控制； 1.3信息安全管理 1.3.2 信息安全管理的主要内容信息安全管理的主要内容 1.3信息安全管理 信息安全管理的内容：信息安全管理的内容： p系统获取、开发与维护；系统获取、开发与维护； p安全事故管理；安全事故管理； p业务持续性；业务持续性； p符合性。符合性。 1.3.2 信息安全管理的主要内容信息安全管理的主要内容 1.3信息安全管理 1.3.2 信息安全

24、管理的主要内容信息安全管理的主要内容 信息安全需求是信息安全的出发点，信息安全需求是信息安全的出发点，包括： 机密性需求、完整性需求、可用性需求、机密性需求、完整性需求、可用性需求、 抗抵赖性、真实性需求、可控性需求、可靠性需求等抗抵赖性、真实性需求、可控性需求、可靠性需求等 1.3信息安全管理 1.3.2 信息安全管理的主要内容信息安全管理的主要内容 信息安全管理范围是由信息系统安全需求决定的具体信息安 全控制点，对这些实施适当的控制措施可确保组织相应环节 的信息安全，从而确保组织整体的信息安全水平 信息安全控制措施是指为改善具体信息安全问题而设置技术 或管理手段，信息安全控制措施是信息安全

25、管理的基础 1.3信息安全管理 1.3.2 信息安全管理的主要内容信息安全管理的主要内容 1.3信息安全管理 安全威胁安全威胁 1.3.3信息安全管理的重要性信息安全管理的重要性 外部、内部；外部、内部； 个人、企业、国家。个人、企业、国家。 1.3信息安全管理 1.3.4信息安全管理现状信息安全管理现状 1.3信息安全管理 1.3.4信息安全管理现状信息安全管理现状 1.3信息安全管理 v国外现状国外现状 u制订信息安全发展战略和计划；制订信息安全发展战略和计划； u加强信息安全立法，实现统一和规范管理；加强信息安全立法，实现统一和规范管理； u步入标准化与系统化管理时代。步入标准化与系统化

26、管理时代。 1.3.4信息安全管理现状信息安全管理现状 1.3信息安全管理 v国内现状国内现状 1.3.4信息安全管理现状信息安全管理现状 微观方面微观方面 缺乏安全意识与缺乏安全意识与 方针方针 重技术，轻管理重技术，轻管理 缺乏系统管理的缺乏系统管理的 思想思想 宏观方面宏观方面 法律法规问题法律法规问题 管理问题管理问题 国家信息基础设国家信息基础设 施建设问题施建设问题 1.3信息安全管理 1.3.4信息安全管理现状信息安全管理现状 1.3信息安全管理 v 管什么管什么 传统明确的：保密 上级抓得紧的：信息内容 领导交办的： 不得不办的：事件事故处理 1.3.4信息安全管理现状信息安全

27、管理现状 1.3信息安全管理 1.3.4信息安全管理现状信息安全管理现状 v 怎么管怎么管 IT技术部门： 上信息安全技术手段 应用服务部门： 上项目，快开通 其它相关部门： 无事不登三宝殿、有事登殿也无奈 缺乏协调协同 1.3信息安全管理 1.3.4信息安全管理现状信息安全管理现状 v 怎么才算管得好怎么才算管得好 没凭据 1.3.5信息安全管理体系信息安全管理体系 信息安全管理体系信息安全管理体系 （ISMS：Information Security Management System） 概念：概念： 是组织在整体或特定范围内建立的信息安全方针和目是组织在整体或特定范围内建立的信息安全方针

28、和目 标，以及完成这些目标所用的方法和手段所构成的体标，以及完成这些目标所用的方法和手段所构成的体 系。系。 1.3信息安全管理 1.3.5信息安全管理体系信息安全管理体系 信息安全管理体系信息安全管理体系 是基于业务风险方法，来建立、实施、运行、监视、评审、是基于业务风险方法，来建立、实施、运行、监视、评审、 保持和改进信息安全的一套管理体系保持和改进信息安全的一套管理体系，是整个管理体系的一是整个管理体系的一 部分部分 管理体系包括组织结构、方针策略、规划活动、职责、实践管理体系包括组织结构、方针策略、规划活动、职责、实践 、程序、过程和资源、程序、过程和资源 BS7799 ISO27001 SSE-CMM 1.3信息安全管理 1.3信息安全管理 1.3.5信息安全管理体系信息安全管理体系 信息安全信息安全 管理体系管理体系 1.3. 5信息安全法规信息安全法规 法律法规是组织从事各种政务、商务活动所处社会环境的重法律法规是组织从事各种政务、商务活动所处社会环境的重 要组成部分，它能为信息安全提供制度保障。要组成部分，它能为信息安全提供制度保障。 信息安全法律法规的保障作用至少包含以下三方面：信息安全法律法规的保障作用至少包含以下三方面： 1. 1.为人们从事在信息安全方面从事各种活动提