【正文】 提供上（ ASP）控制；167。 數(shù)據(jù)庫信任編碼；167。 1實(shí)驗(yàn)室管理；167。 1服務(wù)器安全管理；167。他能夠解決合法性問題，尤其是考慮到出口法律條款時(shí)。2/2/2023 132信息 安全管理模擬 /ISDN線路和撥入訪問控制167。2/2/2023 133信息 安全管理防病毒流程167。 當(dāng)企業(yè)需要恰當(dāng)?shù)貙㈨?xiàng)目運(yùn)作放在企業(yè)外部進(jìn)行主機(jī)托管時(shí)，則可以定義確定大量敏感信息的規(guī)則。提供替換、重新映像或?qū)徍讼到y(tǒng)與網(wǎng)絡(luò)組件并重新建立 Inter連接的指南。 禁止未授權(quán)向外部系統(tǒng)轉(zhuǎn)發(fā)電子郵件。 定義了第三方如何訪問企業(yè) Inter的要求。為每個(gè)級別定義了適當(dāng)?shù)母袷降臄?shù)據(jù)存儲和分發(fā)。 對于具有開發(fā)實(shí)驗(yàn)室的企業(yè)來講，必須制定寬松的策略以進(jìn)行開發(fā)工作。2/2/2023 144信息 安全管理遠(yuǎn)程訪問和 VPN安全控制167。2/2/2023 145信息 安全管理路由器安全控制167。2/2/2023 147信息 安全管理第三方網(wǎng)絡(luò)連接協(xié)議167。2/2/2023 149信息 安全管理確定信息安全策略保護(hù)的對象167。 硬件和軟件是支撐商業(yè)運(yùn)行的平臺，它們應(yīng)該受到策略保護(hù)。 軟件：源程序、目標(biāo)程序、工具程序、診斷程序、操作系統(tǒng)、通信程序等。除此之外，還必須考慮到如何監(jiān)測數(shù)據(jù)的處理。策略對那些需要訪問的人授權(quán)直接訪問的權(quán)力，對那些不該訪問的人，策略則要限制他們訪問。 服務(wù)器口令的管理167。 口令要定期更換（視網(wǎng)絡(luò)具體情況），更換后系統(tǒng)管理員要銷毀原記錄，將新口令記錄封存；167。 在用戶由于責(zé)任人更換或忘記口令時(shí)要求查詢口令或要求更換口令的情況下，須向網(wǎng)絡(luò)服務(wù)管理部門提交申請單，由部門負(fù)責(zé)人或系統(tǒng)管理員核實(shí)后，對用戶檔案作更新記載；167。 不可將自己的偶像用于口令167。 保存口令唯一安全的地方是腦袋或上了鎖的保險(xiǎn)箱；167。 病毒防護(hù)策略必須具備下列準(zhǔn)則 ：167。 清除能力167。2/2/2023 160信息 安全管理病毒檢測能力167。 沒有一種辦法可以檢測出所有的病毒，一旦病毒進(jìn)入了系統(tǒng)，應(yīng)不讓病毒在系統(tǒng)中到處傳播。對于已知類病毒，可以使用專殺軟件；對于未知類病毒，在發(fā)現(xiàn)后使用軟件工具對他進(jìn)行分析，盡快編寫出消毒軟件。2/2/2023 164信息 安全管理替代操作167。這一準(zhǔn)則對于戰(zhàn)時(shí)的軍事系統(tǒng)是必要的。 負(fù)責(zé)信息安全運(yùn)行管理及維護(hù)的技術(shù)人員：重點(diǎn)是充分理解信息安全管理策略，掌握安全評估的基本方法，對安全操作和維護(hù)技術(shù)的合理運(yùn)用等。 數(shù)據(jù)和應(yīng)用所有權(quán)：167。 時(shí)時(shí)更新167。 管理機(jī)構(gòu)定期對安全教育和培訓(xùn)的成果進(jìn)行抽查和考核，檢驗(yàn)安全教育和培訓(xùn)活動(dòng)的效果。 AUP以終端用戶作為閱讀對象，具有簡短而突出重點(diǎn)的特點(diǎn)，被看作是一份信息安全策略的 “快速入門 ”文件。 術(shù)語說明： 將 AUP中涉及的術(shù)語名詞，以及 AUP簽署生效的有效時(shí)間進(jìn)行說明；167。所有制定好的安全策略、可接受使用策略以及保障策略執(zhí)行的制度，都要通過教育和培訓(xùn)，傳達(dá)給所有網(wǎng)絡(luò)和信息系統(tǒng)用戶。167。 二、通訊鏈路安全技術(shù)167。 引言 實(shí)體安全技術(shù)主要是指對計(jì)算機(jī)及網(wǎng)絡(luò)系統(tǒng)的環(huán)境、場地、設(shè)備和通信線路等采取的安全技術(shù)措施。 3）由于人為的錯(cuò)誤操作及各種計(jì)算機(jī)犯罪導(dǎo)致的安全問題。 3)設(shè)備安全 ：要保證硬件設(shè)備隨時(shí)處于良好的工作狀態(tài)，建立健全使用管理規(guī)章制度，建立設(shè)備運(yùn)行日志。 2）計(jì)算機(jī)機(jī)房的安全技術(shù)要求。 6）計(jì)算機(jī)設(shè)備及軟件、數(shù)據(jù)的防盜防破壞措施。 計(jì) 算機(jī)機(jī)房的溫度、濕度 等 環(huán) 境條件保持技 術(shù) 可以通 過 加裝通 風(fēng)設(shè)備 、排煙 設(shè)備 、 專業(yè) 空 調(diào)設(shè)備 來 實(shí)現(xiàn) 。防火 內(nèi)部裝修 + 防鼠害 + 計(jì)算機(jī)機(jī)房最好不要安排在底層或頂層，這是因?yàn)榈讓右话爿^潮濕，而頂層有漏雨、穿窗而入的危險(xiǎn)。 2/2/2023 181信息 安全管理機(jī)房防盜要求 ?視頻監(jiān)視 系 統(tǒng) 是一種更 為 可靠的防盜 設(shè)備 ， 能 對計(jì) 算機(jī)網(wǎng) 絡(luò) 系 統(tǒng) 的外 圍環(huán) 境、操作 環(huán) 境 進(jìn) 行 實(shí)時(shí) 全程 監(jiān) 控。 2/2/2023 182信息 安全管理 機(jī)房三度要求 溫度、濕度和潔凈度并稱為三度 ，為保證計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的正常運(yùn)行，對機(jī)房內(nèi)的三度都有明確的要求。 計(jì) 算機(jī)機(jī)房的水災(zāi)一般是由機(jī)房內(nèi)有滲水、漏水等原因引起的。 二類供電：需要建立帶備用的供電系統(tǒng)。 計(jì) 算機(jī)系 統(tǒng) 的 CPU、 ROM、 RAM等關(guān) 鍵 部件大都采用 MOS工 藝 的大 規(guī) 模集成 電路， 對 靜 電 極 為 敏感，容易因靜 電 而 損 壞。 2/2/2023 186信息 安全管理 接地與防雷要求 接地與防雷是保 護(hù)計(jì) 算機(jī)網(wǎng) 絡(luò) 系 統(tǒng) 和工作 場 所安全的重要安全措施。 計(jì) 算機(jī)房的接地系 統(tǒng) 要按 計(jì) 算機(jī)系 統(tǒng) 本身和 場 地的各種地 線 系 統(tǒng) 的 設(shè)計(jì) 要求進(jìn)行 具體 實(shí) 施。 4） 堅(jiān) 持 對設(shè)備進(jìn) 行例行 維護(hù) 和保養(yǎng)，并指定 專 人 負(fù)責(zé) 。 2）建立 設(shè)備 使用情況日志，并 嚴(yán) 格登 記 使用 過 程的情況。接地可以 為計(jì) 算機(jī)系 統(tǒng) 的數(shù)字 電路提供一個(gè) 穩(wěn) 定的 0V參考 電 位，從而可以保 證設(shè)備 和人身的安全，同 時(shí) 也是防止 電 磁信息泄漏的有效手段。 為 了防靜電 ，機(jī)房一般要安裝防靜 電 地板 。 2/2/2023 185信息 安全管理 防靜 電 措施 不同物體 間 的相互摩擦、接觸會 產(chǎn) 生能量不大但 電壓非常高的靜 電 。電源系統(tǒng)電壓的波動(dòng)、浪涌電流和突然斷電等意外情況的發(fā)生還可能引起計(jì)算機(jī)系統(tǒng)存儲信息的丟失、存儲設(shè)備的損壞等情況的發(fā)生，電源系統(tǒng)的安全是計(jì)算機(jī)系統(tǒng)物理安全的一個(gè)重要組成部分。重要的計(jì)算機(jī)系統(tǒng)安放處還應(yīng)配備專用的空調(diào)系統(tǒng)，它比公用的空調(diào)系統(tǒng)在加濕、除塵等方面有更高的要求。 ?在需要保 護(hù) 的重要 設(shè)備 、存 儲 媒體和硬件上 貼 上特殊 標(biāo)簽 （如磁性 標(biāo)簽 ），當(dāng)有人非法攜 帶這 些重要 設(shè)備 或物品外出 時(shí) ， 檢測 器就會 發(fā) 出 報(bào) 警信號。 外來人員進(jìn)入手續(xù)。場地選擇 防靜電 + 計(jì) 算機(jī)機(jī)房安全管理技 術(shù) 是指制定 嚴(yán) 格的 計(jì) 算機(jī)機(jī)房工作管理制度，并要求所有入機(jī)房的人 員嚴(yán) 格遵守管理制度，將制度落到 實(shí)處 。 物理環(huán)境安全的內(nèi)容2/2/2023 177信息 安全管理物理 環(huán) 境安全涉及的主要技 術(shù)標(biāo) 準(zhǔn) （ 1） GB/T 28872023 《 電 子 計(jì) 算機(jī) 場 地通用 規(guī) 范》 （ 2） GB/T 93611988 《 計(jì) 算站 場 地安全要求》 （ 3） GB/T 147151993 《 信息技術(shù)設(shè)備用 UPS通用技術(shù)條件 》 （ 4） GB 501741993 《 電 子 計(jì) 算機(jī)機(jī)房 設(shè)計(jì)規(guī) 范》 計(jì) 算機(jī)機(jī)房建 設(shè) 至少 應(yīng) 遵循國 標(biāo) GB/T 28872023和 GB/T 93611988， 滿 足防火、防磁、防水、防盜、防 電擊 、防蟲害等要求，并配 備 相 應(yīng) 的 設(shè)備 。 4）計(jì)算機(jī)設(shè)備及場地的防火與防水。 4)通信線路安全 ：包括防止電磁信息的泄漏、線路截獲，以及抗電磁干擾。 影響計(jì)算機(jī)網(wǎng)絡(luò)實(shí)體安全的主要因素如下：2/2/2023 175信息 安全管理 物理 環(huán) 境安全的內(nèi)容 1)環(huán)境安全 ：應(yīng)具備消防報(bào)警、安全照明、不間斷供電、溫濕度控制系統(tǒng)和防盜報(bào)警。 2/2/2023 174信息 安全管理 1）計(jì)算機(jī)及其網(wǎng)絡(luò)系統(tǒng)自身存在的脆弱性因素。 四、系統(tǒng)安全技術(shù)167。2/2/2023 172信息 安全管理第四節(jié) 信息安全技術(shù)167。 信息安全策略審查周期通常為 6個(gè)月或 1年 ，或者在企業(yè)、組織業(yè)務(wù)模式以及支撐業(yè)務(wù)實(shí)現(xiàn)的信息技術(shù)發(fā)生重大變化時(shí)進(jìn)行。2/2/2023 170信息 安全管理信息安全策略的執(zhí)行167。 概述 ：描述什么事 AUP，企業(yè)、組織發(fā)布 AUP的目的，制定 AUP的原則以及一些必要的法律聲明等；167。 在完成了大部分策略的編制工作后，需要對其進(jìn)行總結(jié)和提煉，產(chǎn)生的成果文檔被稱為 AUP。 建立專門的機(jī)構(gòu)和崗位，負(fù)責(zé)組織范圍內(nèi)安全教育與培訓(xùn)計(jì)劃的制定和執(zhí)行；167。 互聯(lián)網(wǎng)的使用：167。 用戶：重點(diǎn)是學(xué)習(xí)各種安全操作規(guī)程，了解和掌握與其相關(guān)的安全策略，包括自身應(yīng)承擔(dān)的安全職責(zé)等。 安全教育策略具體實(shí)施中應(yīng)有一定的層次：167。系統(tǒng)應(yīng)該提供一種替代操作方案。2/2/2023 163信息 安全管理恢復(fù)能力167。2/2/2023 162信息 安全管理清除能力167。除了檢測已知類病毒外，能否檢測未知病毒是一個(gè)重要指標(biāo)。 替代操作2/2/2023 159信息 安全管理拒絕訪問能力167。 病毒檢測能力167。 以合理的方式使用特殊字符、大寫字母和數(shù)字。 不要將口令文件保存在本地機(jī)器或共享網(wǎng)絡(luò)上。2/2/2023 156信息 安全管理創(chuàng)建口令時(shí)應(yīng)避免的幾個(gè)問題167。2/2/2023 155信息 安全管理用戶口令的管理167。 服務(wù)器的口令，由部門負(fù)責(zé)人和系統(tǒng)管理員商定確定，必須兩人同是在場確定；167。如：公司的運(yùn)作由法律保護(hù)嗎？對違反策略的員工有什么樣的紀(jì)律上的處罰？在法律上又能做些什么？2/2/2023 153信息 安全管理主要信息安全策略167。2/2/2023 152信息 安全管理人員保護(hù)167。 編寫策略的時(shí)候，有許多關(guān)于數(shù)據(jù)處理的事情是必須考慮的。167。 二、信息系統(tǒng)的數(shù)據(jù)167。2/2/2023 148信息 安全管理無線通訊控制167。2/2/2023 146信息 安全管理服務(wù)器安全管理167?？傮w來講，擴(kuò)展了所有相關(guān)的內(nèi)不策略覆蓋遠(yuǎn)程訪問。2/2/2023 143信息 安全管理口令保護(hù)167。 建立部署在企業(yè)專用網(wǎng)絡(luò)在非嚴(yán)格要求區(qū)域（ Demilitarized Zone, DMZ）所有設(shè)備所必須滿足的標(biāo)準(zhǔn)。2/2/2023 140信息 安全管理敏感信息控制167。 指定程序所使用的用戶名和口令登錄數(shù)據(jù)庫，并且應(yīng)該安全保存并可由程序源代碼外部調(diào)用。 通過增強(qiáng)安全小組的處理能力，在任何企業(yè)所有的計(jì)算機(jī)系統(tǒng)或組件中進(jìn)行安全性審核和風(fēng)險(xiǎn)評估。2/2/2023 135信息 安全管理引入評估控制167。雖然文檔中的信息僅作為指導(dǎo)使用（建議僅是推薦使用，并不具有強(qiáng)制性），但是許多企業(yè)然希望將其作為安全策略使用（所有要求都是在企業(yè)內(nèi)部必須采用的）。還可以通過與業(yè)務(wù)案例緊密聯(lián)系的批準(zhǔn)流程和嚴(yán)格的運(yùn)算要求，控制預(yù)定傳真和調(diào)制解調(diào)器線路的人員。 定義了什么是企業(yè)計(jì)算資源的可接收使用和不可接受使用的狀態(tài)，這些企業(yè)計(jì)算資源包括隱私、秘密信息、版權(quán)、主動(dòng)提供的通訊、防止硬件盜竊、自由言論和相關(guān)問題等。 1無線通信控制；2/2/2023 130信息 安全管理可接受的加密控制167。 1遠(yuǎn)程訪問和 VPN安全控制167。 1敏感信息控制；167。 審核和風(fēng)險(xiǎn)評估；167。 模擬 /ISDN線路和撥入訪問控制；167。2/2/2023 129信息 安全管理完整信息安全策略的覆蓋范圍167。2/2/2023 128信息 安全管理有效的信息安全策略的特點(diǎn)167。2/2/2023 126信息 安全管理商業(yè)伙伴、客戶關(guān)系策略167。2/2/2023 124信息 安全管理補(bǔ)丁管理規(guī)則167。2/2/2023 122信息 安全管理安全教育策略167。2/2/2023 120信息 安全管理災(zāi)難恢復(fù)策略167。2/2/2023 117信息 安全管理病毒防護(hù)策略167。2/2/2023 115信息 安全管理數(shù)據(jù)加密策略167。 1復(fù)查審計(jì)策略2/2/2023 112信息 安全管理物理安全策略 網(wǎng)絡(luò)安全策略 數(shù)據(jù)加密策略數(shù)據(jù)備份策略 病毒防護(hù)策略 系統(tǒng)安全策略身份認(rèn)證及授權(quán)策略 ‘災(zāi)難恢復(fù)策略 事故處理、緊急響應(yīng)策略安全教育策略 口令管理策略 補(bǔ)丁管理策略系統(tǒng)變更控制策略商業(yè)伙伴、客戶關(guān)系策略復(fù)查審計(jì)策略信息安全策略2/2/2023 113信息 安全管理物理安全策略167。 1口令管理策略167。 身份認(rèn)證及授權(quán)策略167。 數(shù)據(jù)加密策略167。 針對特定系統(tǒng)的具體策略，更為具體化和詳細(xì)化，闡明了特定系統(tǒng)與信息安全有關(guān)的使用和維護(hù)規(guī)則等內(nèi)容，如防火墻配置策略、電子郵件安全策略等等。 闡述指導(dǎo)性的戰(zhàn)略綱領(lǐng)文件，闡明了企業(yè)對與信息安全的看法和立場、信息安全的目標(biāo)和戰(zhàn)略、信息安全所涉及的范圍、管理組織架構(gòu)和責(zé)任認(rèn)定以及對與信息資產(chǎn)的管理辦法等內(nèi)容。 一個(gè)合理的信息安全策略體系包括 三個(gè)不同層次的策略文檔：167。 各計(jì)算機(jī)使用機(jī)構(gòu)、企業(yè)和單位應(yīng)建立相應(yīng)的網(wǎng)絡(luò)安全管理辦法，加強(qiáng)內(nèi)部管理，建立合適的網(wǎng)絡(luò)安全管理系統(tǒng)，加強(qiáng)用戶管理和授權(quán)管理，建立安全審計(jì)和跟蹤體系，提高整體網(wǎng)絡(luò)安全意識。 嚴(yán)格的管理是確保信息安全策略落實(shí)的基礎(chǔ)167。 風(fēng)險(xiǎn)評估 /分析或者審計(jì)167。 當(dāng)企業(yè)為政府或機(jī)關(guān)工作或與其合作時(shí)，一份安全策略應(yīng)該是首先引起注意的事項(xiàng)；167。167。 理想情況下，制定信息安全