信息系統(tǒng)的安全策略教材(已修改)
2025-03-06 16:59 本頁面
【正文】 第 10章信息系統(tǒng)的安全策略 ? 信息安全策略（ Information Security Policies）是對(duì)信息安全管理系統(tǒng)（ information security management system ISMS ）的目的和意圖的高層次描述。 ? 安全策略應(yīng)符合業(yè)務(wù)需求和相關(guān)法律、法規(guī)，應(yīng)能提供管理的方向和支持。安全策略形成的文件應(yīng)獲得管理層的批準(zhǔn)，應(yīng)與內(nèi)外部相關(guān)的團(tuán)體、部門溝通并向所有員工發(fā)布，應(yīng)按計(jì)劃或變化進(jìn)行評(píng)審和改進(jìn)，確保策略的持續(xù)性、穩(wěn)定性、充分性與有效性。 ? 概括地講，安全策略為確保 ISMS的“安全”，提供 ISMS“資源與現(xiàn)狀”的“需求”、提出 ISMS“目標(biāo)與原則”的“要求”。 ? 實(shí)際上的安全管理都是分級(jí)、分層次的，所以可以有各級(jí)、各層次的安全策略。 ? 信息安全策略是組織對(duì)信息系統(tǒng)安全進(jìn)行管理、保護(hù)的指導(dǎo)原則。在安全策略的指導(dǎo)下開展安全技術(shù)項(xiàng)目、訂立安全管理制度、組織協(xié)調(diào)實(shí)施、監(jiān)督、檢查與改進(jìn)，并形成為對(duì)系統(tǒng)安全的要求和目標(biāo)進(jìn)行詳細(xì)描述的高層的管理文檔。信息安全策略陳述信息安全系統(tǒng)應(yīng)該做什么以及如何去做。信息系統(tǒng)的安全策略是信息安全管理的重要組成部分。沒有一個(gè)好的安全策略，就可能對(duì)信息安全的指揮發(fā)生漏洞與混亂，對(duì)安全造成極大的危害，對(duì)社會(huì)與經(jīng)濟(jì)帶來極大的損失。 10． 1． 2 安全策略的目的與內(nèi)容 ? 安全策略的目的是提供建立、實(shí)施、運(yùn)作、監(jiān)控、評(píng)審、維護(hù)和改進(jìn)信息安全管理體系（ ISMS）的規(guī)范，實(shí)現(xiàn)信息安全的機(jī)密性、完整性和可用性。 ? 制定安全策略的目的，是為了保證網(wǎng)絡(luò)安全保護(hù)工作的整體、計(jì)劃性及規(guī)范性，保證各項(xiàng)措施和管理手段的正確實(shí)施，使網(wǎng)絡(luò)系統(tǒng)信息數(shù)據(jù)的機(jī)密性、完整性及可使用性受到全面、可靠的保護(hù)。內(nèi)容主要是確定所保護(hù)的對(duì)象是什么、要防范的對(duì)象是什么、在安全防范上能投入多少等。 10． 1． 3安全策略的基本流程 ? 進(jìn)行安全需求分析 ? 對(duì)網(wǎng)絡(luò)系統(tǒng)資源進(jìn)行評(píng)估、 ? 對(duì)可能存在的風(fēng)險(xiǎn)進(jìn)行分析 ? 確定內(nèi)部信息對(duì)外開放的種類 ? 明確網(wǎng)絡(luò)系統(tǒng)管理人員的責(zé)任與義務(wù) ? 確定針對(duì)潛在風(fēng)險(xiǎn)才去的安全保護(hù)措施的主要構(gòu)成方面 10． 1． 4 安全策略的特征 ? 網(wǎng)絡(luò)的安全問題不是單純的技術(shù)問題，安全管理在整個(gè)網(wǎng)絡(luò)安全保護(hù)工作中的地位十分重要。任何先進(jìn)的網(wǎng)絡(luò)安全技術(shù)都必須在有效、正確的管理控制下才能得到較好的實(shí)施。 ? 安全策略具有下列一些基本特征： ? 1. 全面性：安全策略的全面性是指它能夠適用于系統(tǒng)的所有情況，具有不用修改就可以適用于出現(xiàn)的新情況。 ? 2. 持久性：安全策略的持久性是指它能夠較長時(shí)間地適用于系統(tǒng)不斷發(fā)展變化的情況。為了保持持久性，在制定安全策略時(shí)可將可能發(fā)生變化的部分單列，允許有權(quán)限的人員在將來系統(tǒng)變化時(shí)修改。 10． 1． 4 安全策略的特征 ? 3. 現(xiàn)實(shí)性：安全策略的現(xiàn)實(shí)性是指它能夠適用于系統(tǒng)所采用的現(xiàn)有技術(shù)實(shí)現(xiàn)。 ? 4. 預(yù)見性：安全策略的預(yù)見性是指它能夠適用于系統(tǒng)的 ? 5. 有效性：安全策略的有效性是指對(duì)于系統(tǒng)的有關(guān)人員都是可用的。 10． 1． 5與信息安全策略有關(guān)的名詞簡介 ? 1. 資產(chǎn) (asset )：具有價(jià)值的信息與相關(guān)財(cái)產(chǎn)； ? 2. 保密性 (confidentiality ) ：資產(chǎn)不能被未授權(quán)的個(gè)人、實(shí)體、流程訪問披露。 ? 3. 完整性 (integrity )：資產(chǎn)的真實(shí)、可靠、準(zhǔn)確、可確認(rèn)和不可否認(rèn)性。 ? 4. 可用性 (availability )：信息與相關(guān)資產(chǎn)可保證被授權(quán)的使用者訪問。 ? 5. 信息安全 (information security )：信息的保密性、完整性、可用性及其他屬性受到安全保護(hù)； ? 6. 管理系統(tǒng) (management system)：包括組織結(jié)構(gòu)、策略、指導(dǎo)、職責(zé)、實(shí)踐、程序、流程和資源的整體。 ? 7. 信息安全管理系統(tǒng)（ information security management system ISMS ）：建立在信息安全的基礎(chǔ)上，以開發(fā)、實(shí)施、運(yùn)行、評(píng)審、維護(hù)和改進(jìn)信息安全的管理系統(tǒng)。 ? 8. 風(fēng)險(xiǎn)分析 (risk analysis )：系統(tǒng)化地使用信息識(shí)別來源和估計(jì)風(fēng)險(xiǎn)。 10． 2 信息系統(tǒng)安全策略的方案
化學(xué)相關(guān)推薦
鄂ICP備17016276號(hào)-1