第章信息系统的安全策略

第10章信息系统的安全策略10.1信息系统安全策略的内涵10.2信息系统安全策略的方案10.3信息系统安全管理的实施10.4系统备份和恢复10.5审计与评估

10.1信息系统安全策略的内涵安全策略是安全管理的指导原则安全策略的目的与内容安全策略的基本流程安全策略的特征与信息安全策略有关的名词简介

10.1信息系统安全策略的内涵信息安全策略（InformationSecurityPolicies）是对信息安全管理系统（informationsecuritymanagementsystemISMS

）的目的和意图的高层次描述。安全策略应符合业务需求和相关法律、法规，应能提供管理的方向和支持。安全策略形成的文件应获得管理层的批准，应与内外部相关的团体、部门沟通并向所有员工发布，应按计划或变化进行评审和改进，确保策略的持续性、稳定性、充分性与有效性。概括地讲，安全策略为确保ISMS的“安全”，提供ISMS“资源与现状”的“需求”、提出ISMS“目标与原则”的“要求”。实际上的安全管理都是分级、分层次的，所以可以有各级、各层次的安全策略。安全策略是安全管理的指导原则信息安全策略是组织对信息系统安全进行管理、保护的指导原则。在安全策略的指导下开展安全技术项目、订立安全管理制度、组织协调实施、监督、检查与改进，并形成为对系统安全的要求和目标进行详细描述的高层的管理文档。信息安全策略陈述信息安全系统应该做什么以及如何去做。信息系统的安全策略是信息安全管理的重要组成部分。没有一个好的安全策略，就可能对信息安全的指挥发生漏洞与混乱，对安全造成极大的危害，对社会与经济带来极大的损失。10．1．2安全策略的目的与内容

安全策略的目的是提供建立、实施、运作、监控、评审、维护和改进信息安全管理体系（ISMS）的规范，实现信息安全的机密性、完整性和可用性。制定安全策略的目的，是为了保证网络安全保护工作的整体、计划性及规范性，保证各项措施和管理手段的正确实施，使网络系统信息数据的机密性、完整性及可使用性受到全面、可靠的保护。内容主要是确定所保护的对象是什么、要防范的对象是什么、在安全防范上能投入多少等。10．1．3安全策略的基本流程1、进行安全需求分析2、对网络系统资源进行评估、3、对可能存在的风险进行分析4、确定内部信息对外开放的种类5、明确网络系统管理人员的责任与义务6、确定针对潜在风险才去的安全保护措施的主要构成方面10．1．4安全策略的特征网络的安全问题不是单纯的技术问题，安全管理在整个网络安全保护工作中的地位十分重要。任何先进的网络安全技术都必须在有效、正确的管理控制下才能得到较好的实施。安全策略具有下列一些基本特征：1.全面性：安全策略的全面性是指它能够适用于系统的所有情况，具有不用修改就可以适用于出现的新情况。2.持久性：安全策略的持久性是指它能够较长时间地适用于系统不断发展变化的情况。为了保持持久性，在制定安全策略时可将可能发生变化的部分单列，允许有权限的人员在将来系统变化时修改。10．1．4安全策略的特征3.现实性：安全策略的现实性是指它能够适用于系统所采用的现有技术实现。4.预见性：安全策略的预见性是指它能够适用于系统的5.有效性：安全策略的有效性是指对于系统的有关人员都是可用的。10．1．5与信息安全策略有关的名词简介1.资产(asset)：具有价值的信息与相关财产；2.保密性(confidentiality

)：资产不能被未授权的个人、实体、流程访问披露。3.完整性(integrity

)：资产的真实、可靠、准确、可确认和不可否认性。

4.可用性(availability

)：信息与相关资产可保证被授权的使用者访问。5.信息安全(informationsecurity

)：信息的保密性、完整性、可用性及其他属性受到安全保护；6.管理系统(managementsystem)：包括组织结构、策略、指导、职责、实践、程序、流程和资源的整体。7.信息安全管理系统（informationsecuritymanagementsystemISMS

）：建立在信息安全的基础上，以开发、实施、运行、评审、维护和改进信息安全的管理系统。8.风险分析(riskanalysis

)：系统化地使用信息识别来源和估计风险。10．2信息系统安全策略的方案制定信息系统安全策略方案的参考标准信息系统安全策略需要考虑的范围制定信息系统安全策略方案的重点和原则信息系统安全策略的文档格式电子商务安全策略方案设计模拟

制定信息息系统安安全策略略方案的的参考标标准1.ISO/IEC27000系列标准准：国际标准准化组织织（ISO）与国际际电工委委员会（（IEC）从2005年起，陆陆续修订订出信息息安全管管理系统统的ISO/IEC27000标准族，，成为为国际信信息安全全领域的的重要标标准，目目前已发发布和待待发布的的部分标标准简介介如下：：●ISO/IEC27000：概述信信息安全全管理系系统的原原测与术术语。●ISO/IEC27001：2005信息安全全管理系系统-规范与实实用指南南。●ISO/IEC27002：2005-信息安全全实践规规则。（（ISO/IEC17799)）●ISO/IEC27003：将提供供附加指指导。●ISO/IEC27004：将提供供评估测测试标准准。●ISO/IEC27005：信息安安全风险险管理标标准。10．2．2信息系统统安全策策略需要要考虑的的范围ISO/IEC27001:2005附录A（引用自自ISO/IEC17799）中列举举了信息息安全管管理体系系的控制制目标和和控制措措施，主主要涉及及11个领域的的39个控制目目标,133个控制要要点。这这些内容容涵盖了了制定信信息系统统安全策策略的内内容时需需要考虑虑的范围围。信息安全全管理系系统（ISMS）的控制制目标和和控制措措施涉及及11个领域简简介如下下：1.安全策略略(SecurityPolicy)2.信息安全全的组织织(Organizationofinformationsecurity)3.资产管理理(Assetmanagement)4.人力资源源安全(Humanresourcessecurity)5.物理与环环境安全全(Physicalandenvironmentalsecurity)6.通信与运运作管理理(Communicationsandoperationsmanagement)10．2．2信息系统统安全策策略需要要考虑的的范围7.访问控制制(Accesscontrol)8.信息系统统采集、、开发与与维护(Informationsystemsacquisition,developmentandmaintenance)9.信息安全全事件管管理(Informationsecurityincidentmanagement)10.营运持续续性管理理(Businesscontinuitymanagement)11.符合性(Compliance)10．2．3制定信息息系统安安全策略略方案的的重点和和原则1.信息系统统安全策策略的重重点在全面考考虑信息息系统安安全策略略需要考考虑的范范围的基基础上，，突出重重点：（1）建立信信息系统统安全的的目标框框架、整整体的方方向和原原则。（2）业务及及法律法法规的要要求，承承担合同同的安全全义务。。（3）建立组组织战略略、风险险管理和和维护信信息安全全管理体体系。（4）建立风风险评价价标准。。（5）获取管管理层的的批准。。10．2．3制定信息息系统安安全策略略方案的的重点和和原则2.制定具体体方案的的原则（1）以“信信息系统统安全策策略需要要考虑的的范围””为参考考。（2）以本组组织的信信息系统统的需求求、运行行实践与与风险分分析为根根据。（3）权衡安安全投资资与风险险损失的的利弊。。（4）兼顾有有关各方方的权益益。（5）考虑法法律、规规定的要要求。10．2．4信息系统统安全策策略的文文档格式式安全策略略形成的的文件是是一个高高层的计计划方案案,是对安全全策略的的全面说说明与部部署，信信息系统统安全策策略的文文档格式式如下：：1.企业电子子商务系系统概况况。2.企业网络络架构、、设备、、信息资资产现状状，运行行实践与与风险分分析。3.提供信息息安全管管理系统统（ISMS）“资源源与现状状”的““需求””；提出ISMS对各项管管理的““目标与与原则””的“要要求”。。4.ISMS所要求的的保存在在各种介介质中的的记录。。5.文档发布布、沟通通与保管管的流程程安排。。6.申报审批批等有关关说明与与补充。。10．2．5电子商务务安全策策略方案案设计模模拟通过一个个模拟的的中小企企业“信信控电子子有限责责任公司司”进行行综述。。（一）企企业电子子商务安安全概况况、网络络架构与与设备现现状1.企业概况况中小型型企业业，人人数约约500人，年年营业业额约约6亿，电电子产产品制制造与与营销销。预预计税税后年年利润润1000万。组织与与人员员：董董事会会5人（兼兼总经经理、、副总总经理理），，人事事财务务约10人，设设计约约35人，生生产制制造约约300人，营营销约约100人，采采购、、保管管约20人，保保安10人，网网站编编程约约10人，与与网管管维护护约10人；10．2．5电子商商务安安全策策略方方案设设计模模拟2.企业电电子商商务概概况环境：：公司司处于于高新新开发发区，，办公公室10间（经经理、、人事事财务务、设设计、、营销销、保保管与与仓库库），，生产产车间间20间，计计算机机网络络机房房3间，场场地1000平方米米。网络：：三层层结构构的服服务器器与企企业电电子商商务网网站。。3.网络架架构与与设备备现状状（1）网络络架构构与设设备电子商商务的的基础础是信信息化化和网网络化化。电子商商务的的安全全主要要采用用数据据加密密和身身份认认证技技术。。电子商商务安安全要要以安安全管管理为为中心心，做做好是是保护护、监监控、、响应应和恢恢复工工作。。本公司司电子子商务务网络络可采采用（（Web服务器器层-应用服服务器器层-数据库库服务务器层层）三三级结结构，，图10.2表示如如下：：10．2．5电子商商务安安全策策略方方案设设计模模拟图10.2电子商商务安安全策策略方方案10．2．5电子商商务安安全策策略方方案设设计模模拟4.风险分分析该公司司的的的物理理环境境、计计算机机网络络设施施、信信息资资源构构建、、电子子交易易、数数据存存取、、访问问及组组织人人事等等方面面都存存在安安全风风险，，需要要加以以保护护。5.审批与与发布布方案经经各部部门讨讨论、、研究究制定定后将将向各各主管管部门门申报报审批批。批批准后后，将将由人人事组组织部部门组组织全全体人人员学学习并并实施施。同同时由由人事事组织织部门门向有有关方方面通通报、、沟通通。10．3信息系系统安安全管管理的的实施施建立信信息安安全管管理体体系（（ISMS）制定实实施方方案安全管管理的的实施施建立信信息安安全管管理体体系（（ISMS）1.根据业业务的的性质质、组组织、、位置置、资资产和和技术术定义义ISMS范围和和界限限，以以及被被排除除范围围的详详细理理由。。2.根据业业务的的性质质、组组织、、位置置、资资产和和技术术定义义ISMS策略。。3.定义组组织风风险评评估的的方法法。4.识别风风险。。5.分析和和评估估风险险。6.识别和和评价价处置置风险险的选选项。。7.选择风风险处处置的的控制制目标标和控控制措措施。。8.管理层层批准准建议议的残残余风风险。。9.获得管管理层层授权权实施施和运运作的的ISMS。10.准备适适用性性声明明。10．3．2制定实实施方方案根据已已确定定的安安全策策略，，还要要制定定安全全体系系实施施方案案，以以具体体实现现安全全策略略。1．实施施方案案的主主要内内容在方案案中要要提出出具体体安全全防护护措施施，如如系统统标识识与认认证、、资源源存取取控制制、密密码加加密措措施、、数字字签名名与认认证、、完整整性控控制、、多层层防御御措施施、网网络防防火墙墙、隐隐藏内内部信信息、、网络络系统统平台台安全全、数数据库库安全全、防防杀病病毒、、紧急急恢复复、设设立安安全监监控中中心、、备份份(包括关关键设设备设设施、、系统统软件件、信信息数数据的的备份份)等。在在确定定网络络总体体设计计方案案的基基础上上选择择安全全防火火墙的的类型型，从从安全全性、、开放放性及及系统统开销销、通通信效效率多多方面面综合合考虑虑选择择采用用包过过滤网网关、、电路路层网网关、、应用用层网网关等等形式式。此此外，，制定定实施施方案案要考考虑资资金投投入等等实际际情况况，以以后还还要在在“计计划一一执行行一维维修””的循循环中中不断断完善善安全全策略略。10．3．2制定实实施方方案2．选择择安全全技术术正确评评价、、选用用安全全技术术对于于安全全方案案的实实施非非常重重要。。为做做到选选择较较佳方方案组组合，，可制制作详详细的的征询询意见见计划划，向向安全全技术术专家家和安安全产产品供供应商商征询询意见见。征征询意意见表表中至至少应应包括括以下下问题题说明明：1)内部部网网与与外外部部网网的的连连接接关关系系，，如如是是单单个个主主机机相相连连还还是是整整个个内内部部网网系系统统相相连连，，希希望望以以什什么么方方式式接接入入外外部部网网络络(如拨拨号号灵灵敏敏度度、、专专线线接接入入等等)。2)内部部网网的的类类型型(如Novell、SNA、DECnet、WindowsNT)，网网络络种种类类的的不不同同将将影影响响到到安安全全方方案案接接口口的的选选择择。。10．3．2制定定实实施施方方案案3)内部部网网是是否否为为所所有有用用户户都都提提供供访访问问外外部部网网的的服服务务，，以以及及都都提提供供哪哪些些服服务务，，或或者者只只是是建建立立一一个个““虚虚拟拟专专用用网网””(如VPN)并限限制制对对特特定定的的网网址址进进行行存存取取s内部部网网中中使使用用外外部部网网的的用用户户是是固固定定的的还还是是移移动动的的(如有有大大批批移移动动用用户户的的单单位位可可采采取取智智能能卡卡与与堡堡垒垒主主机机式式防防火火墙墙相相结结合合的的方方式式)。4)是否否有有加加密密要要求求，，以以及及被被加加密密信信息息的的性性质质(国家家机机密密、、企企业业或或个个人人敏敏感感数数据据)、类类型型(文字字、、图图片片、、电电子子邮邮件件等等)；加加密密是是针针对对国国内内的的还还是是针针对对国国际际的的等等，，以以便便使使被被咨咨询询机机构构或或人人员员能能够够做做出出正正确确的的反反应应。。10．3．3安全全管管理理的的实实施施1安全全管管理理的的类类型型按OSI的安安全全体体系系结结构构标标准准定定义义的的四四种种安安全全管管理理类类型型：：1)系统统安安全全管管理理(systemsecudtymanagement)，主主要要是是管管理理整整个个网网络络环环境境的的安安全全。。2)安全全服服务务管管理理(Securityservicemanagement)，对对单单个个的的安安全全服服务务进进行行管管理理。。3)安全机制制管理(securitymechanismmanagement)，即管理理安全机机制中的的有用信信息，这这些安全全机制支支持有效效的安全全服务，，安全机机制包括括密钥管管理、加加密、数数字签名名及访问问控制等等。4)OSI管理的安安全(securrityofOSImanagement)，所有OSI网络管理理函数、、控制参参数和管管理信息息的安全全都是OSI安全的核核心，其其安全管管理能确确保OSI的管理协协议和信信息被很很好地保保护起来来。根据这四四种类型型，网络络管理部部门可选选择适当当的工作作平台，，建立有有效的网网络安全全体系。。10．3．3安全管理理的实施施2安全管理理的行政政原则系统的安安全管理理在行政政安排上上遵循三三个原则则，从以以下可以以看出遵遵守这些些原则并并不困难难，关键键在于始始终坚持持。(1)多人负责责原则每项事关关系统安安全的工工作在进进行时应应有两人人以上在在场，并并且这些些人员应应是经过过考核的的，以确确保这些些人员忠忠诚可靠靠；另一一方面，，不能将将系统安安全维系系在某个个人的身身上，至至少应有有两人能能掌握、、控制网网络系统统安全。。(2)系统管理理岗位任任期有限限原则在一般情情况下，，系统管管理特别别是安全全管理的的职务不不能长期期由某个个人担任任，这样样一是防防止别有有用心的的人利用用长期的的工作机机会，从从事损害害单位或或他人的的利益却却不容易易暴露：：二是防防止误认认为该职职务是永永久的，，一旦被被调离岗岗位便心心怀不满满而损害害系统安安全。10．3．3安全管理理的实施施(3)职责有限限、分离离原则系统管理理人员拥拥有管理理网络安安全的权权力，但但这种特特权不能能随便使使用，要要规定须须经领导导批准才才能使用用的权力力。网络络各用户户有不应应打听、、掌握或或参与超超越本人人业务范范围以外外的与安安全有关关的事务务。10．3．3安全管理理的实施施3安全管理理基础1)根据安全全等级，，确定安安全管理理的范围围，分别别进行安安全管理理。对安安全等级级要求较较高的系系统，要要实行分分区控制制，限制制工作人人员出入入与己无无关的区区域。2)制定安全全制度和和操作规规程，如如机房出出入管理理制度、、设备管管理制度度、软件件管理制制度、系系统维护护制度、、备份制制度等；；制定严严格的操操作规程程，操作作规程要要遵循职职责分离离和多人人负责的的原则，，各负其其责，事事事有人人管，各各人不越越权。3)重视系统统维护的的安全管管理，维维护前要要报领导导批准，，并有安安全管理理人员在在场，要要详细记记录故障障原因、、维护内内容和系系统在维维护前后后的状况况等。10．3．3安全管理理的实施施4数据管理理由于网络络安全的的最终目目的是保保护数据据的安全全、完整整和可用用，但在在一个网网络系统统中存储储的信息息数据，，依据使使用者和和数据本本身的性性质具有有不同的的重要和和机密程程度，如如何保护护这些数数据是一一个非常常重要的的工作。。目前，业业内人士士感到数数据安全全和管理理方面的的问题很很多。比比如，分分布式计计算环境境的发展展取代了了原来的的集中式式的主机机系统，，导致数数据分布布存储在在微机(PC)、服务器器、小型型机等主主机上。。10．3．3安全管理理的实施施5实施和运运作ISMS1.制定风险险处理计计划，制制定风险险处理计计划，为为信息系系统安全全管理指指出适当当的管理理措施、、资源、、职责、、优先级级。同时时要做到到：“八八定”：：定方案案、定岗岗、定位位、定时时间、定定员、定定目标、、定制度度、定流流程。2.明确风险险识别的的要求，，明确风风险识别别的控制制目标、、对资金金的需求求、安全全岗位和和职责分分配。3.实施控制制措施和和目标，，实施在在信息系系统安全全管理计计划中的的控制措措施以达达到控制制目标。。10．4系统备份份和恢复复系统备份份数据备份份紧急恢复复系统备份份通常，人人们说起起备份一一般是指指数据备备份，但但是从网网络系统统和整体体安全考考虑，全全面地说说，除了了数据备备份外，，需要备备份的对对象还有有其他与与网络系系统安全全运行有有关的设设备和部部件。如如网卡故故障、服服务器和和交换机机故障、、线路故故障等。。1．系统备备份的主主要对象象1)数据备份份。2)关键设备备及部件件，如主主机、路路由器、、调制解解调器、、网卡、、驱动器器等。3)电源备份份，如使使用UPS电源、发发电机、、双回路路供电等等。4)外部设备备及空调调设备备备份。5)通信线路路备份等等。系统备份份2.设备备份份方式1)在同一部部位使用用两台完完全相同同或基本本相同的的处理机机，其中中一台作作为备份份。2)在本单位位附近的的某一地地点安装装相同的的处理机机作为备备份，备备份机地地点应拉拉开较大大的距离离，以增增加其安安全程度度。3)建立专门门后备服服务单位位，专门门提供备备用设备备和部件件。13．4．2数据备份份数据备份份是指将将计算机机系统中中硬盘上上的一部部分数据据通过适适当的形形式转录录到可脱脱机保存存的介质质(如磁带、、软盘和和光盘)上，以便便需要时时再输入入计算机机系统使使用。数数据备份份可防止止因天灾灾人祸致致使计算算机系统统中的数数据丢失失，或由由于硬件件故障、、误操作作、病毒毒等造成成联机数数据丢失失而带来来的损失失，它对对计算机机网络的的安全性性、可靠靠性十分分重要。。在当前前信息技技术快速速发展、、信息量量日益膨膨胀的时时代，数数据备份份更加显显示出了了其突出出的地位位。脱机机保存数数据的另另一个原原因，是是计算机机中硬盘盘上许多多数据并并不经常常使用，，这些数数据长期期存储在在硬盘上上，既占占用了宝宝贵的存存储空间间增加存存储成本本，又降降低了存存储设备备的存取取速度。。因此，，为了能能更有效效地利用用、管理理信息数数据，只只把经常常使用的的数据放放在计算算机中的的硬盘或或联机的的磁盘阵阵列等设设备上，，而常使使用的、、但又不不能失去去的数据据放在联联机的后后备设备备如磁带带库、光光盘库上上，大量量的长期期不用的的信息则则保存在在脱机介介质上。。13．4．3紧急恢复复不论从技技术、管管理、环环境等各各方面做做了多少少工作，，采取了了多少措措施，还还是有可可能出现现一些会会造成危危害网络络安全的的紧急事事件，或或称灾难难事件。。紧急恢恢复又称称灾难恢恢复，是是指灾难难产生后后迅速采采取措施施恢复网网络系统统的正常常运行。。为在发发生灾难难事件以以后对网网络系统统进行快快速的恢恢复，以以减少由由此而产产生的非非直接损损失，管管理部门门有必要要制定一一个万一一发生灾灾难事件件的紧急急恢复计计划。该该计划应应建立对对这类事事件多长长时间发发生一次次的估计计和对现现有保护护能力的的评估等等内容。。10．5审计与与评估估安全审审计网络安安全评评估安全审审计网络系系统安安全审审计，，是指指在网网络系系统中中模拟拟社会会的监监察机机构对对网络络系统统的活活动进进行监监视和和记录录的一一种机机制。。1．安全全审计计的目目的利用审审计机机制可可以有有针对对性地地对网网络运运行的的状况况和过过程进进行记记录、、跟踪踪和审审查，，以从从中发发现安安全问问题。。比如如，通通过跟跟踪审审计，，网络络管理理员不不断地地收集集和积积累有有关的的安全全事件件记录录并加加以分分析，，有选选择地地对其其中的的某些些站点点或用用户进进行进进一步步跟踪踪审计计，以以便为为可能能产生生的破破坏性性行为为提供供有力力的证证据。。此外外，审审计还还能为为制定定网上上信息息过滤滤规则则提供供依据据，如如发现现有害害信息息的网网站将将其加加入路路由过过滤列列表，，通过过信息息过滤滤机制制拒绝绝接收收一切切来自自过滤滤列表表上IP地址的的信息息，将将网上上的某某些站站点产产生的的信息息垃圾圾拒之之门外外。安全审审计2．安全全审计计的主主要功功能1)记录、、跟踪踪系统统运行行状况况。利利用审审计工工具，，监视视和记记录系系统的的活动动情况况，如如记录录用户户登录录账户户、登登录时时间、、终端端以及及所访访问的的文件件、存存取操操作等等，并并放入入系统统日志志中保保存在在磁盘盘上，，必要要时可可打印印输出出，提提供审审计报报告，，使影影响系系统安安全性性的存存取以以及其其他非非法企企图留留下线线索，，以便便查出出非法法操作作者。。2)检测各各种安安全事事故。。审计计工具具能检检测和和判定定对系系统的的攻击击，如如多次次使用用错误误口令令登录录系统统的尝尝试，，及时时提供供报警警甚至至自动动处理理，使使系统统安全全管理理人员员能够够了解解系统统的运运行情情况，，及时时堵住住非法法入侵侵者。。审计计工具具还能能识别别合法法用户户的误误操作作等。。3)保存、、维护护和管管理审审计日日志。。网络安安全评评估网络安安全评评估是是运用用系统统的方方法，，对各各种网网络安安全保保护措措施、、管理理机制制以及及结合合所产产生的的客观观效果果，对对网络络系统统做出出是否否安全全的结结论。。网络络是否否安全全有时时并不不是网网络所所有者者自己己完全全清楚楚的，，所以以国外外许多多公司司要请请第三三方评评估机机构或或专家家来对对本部部门的的网络络安全全进行行评估估，以以对自自己网网络安安全状状况有有更加加客观观的认认识，，从而而有利利于把把未来来可能能的风风险降降到最最小。。此外外，还还可使使用网网络安安全扫扫描。。第一一种是是基于于服务务器的的安全全扫描描器，，主要要用于于与扫扫描服服务器器有关关的安安全漏漏洞，，如口口令文文件、、目录录和文文件权权限、、共享享文件件系统统、敏敏感服服务、、软件件及系系统漏漏洞等等；第第二种种是基基于网网络的的安全全扫描描器，，主要要用于于扫描描服务务器、、路由由器、、网桥桥、交交换机机、访访问服服务器器、防防火墙墙等的的安全全漏洞洞，并并要设设定模模拟攻攻击，，通常常是在在技术术上限限制其其使用用范围围(如IP地址或或路由由器跳跳数)。网络安安全评评估评估的的主要要内容容：1)环境控控制，，分为为三个个部分分：实实体的的、操操作系系统的的及管管理的的。2)应用安安全，，主要要内容容有输输出输输入控控制、、系统统内部部控制制、责责任划划分、、输出出的用用途、、程序序的敏敏感性性和脆脆弱性性、用用户满满意度度等。。3)管理机机制，，如规规章制制度、、紧急急恢复复措施施、人人事制制度(如防止止工作作人员员调入入、调调离对对安全全的影影响)等。4)远程通通信安安全，，如加加密、、数据据签名名等。。5)审计机机制，，即系系统审审计跟跟踪的的功能能和成成效。。9、静夜四四无邻，，荒居旧旧业贫。。。12月-2212月-22Sunday,December25,202210、雨中黄黄叶树，，灯下白白头人。。。22:16:4522:16:4522:1612/25/202210:16:45PM11、以我独沈久久，愧君相见见频。。12月-2222:16:4522:16Dec-2225-Dec-2212、故人江海别别，几度隔山山川。。22:16:4522:16:4522:16Sunday,December25,202213、乍见见翻疑疑梦，，相悲悲各问问年。。。12月月-2212月月-2222:16:4522:16:45December25,202214、他乡乡生白白发，，旧国国见青青山。。。25十十二二月202210:16:45下下午午22:16:4512月月-2215、比比不不了了得得就就不不比比，，得得不不到到的的就就不不要要。。。。。。十二二月月2210:16下下午午12月月-2222:16December25,202216、行行动动出出成成果果，，工工作作出出财财富富。。。。2022/12/2522:16:4522:16:4525December202217、做前，，能够环