第2章信息安全保障體系-全文預覽
【正文】 證保護級 （ 相當于 B3－ A1級 ） 等級保護 ?國家公安部制定的信息安全相關標準 ?GA/T3872023《 計算機信息系統(tǒng)安全等級保護網(wǎng)絡技術要求 》 ?GA/T3882023《 計算機信息系統(tǒng)安全等級保護操作系統(tǒng)技術要求 》 ?GA/T3892023《 計算機信息系統(tǒng)安全等級保護數(shù)據(jù)庫管理系統(tǒng)技術要求 》 ?GA/T3902023《 計算機信息系統(tǒng)安全等級保護通用技術要求 》 ?GA/T3912023《 計算機信息系統(tǒng)安全等級保護管理要求 》 等級保護 ?國家四局辦 [2023]66號 《 關于信息安全等級保護工作的實施意見的通知 》 等級 安全功能 保障 /有效性 國家管理 程度 對象 管理 技術 一級 基本 用戶自主保護 基本保障 自主 中小企業(yè) 二級 必要 系統(tǒng)審計保護 計劃跟蹤 指導 一般信息系統(tǒng) 三級 體系化 安全標記保護 良好定義 監(jiān)督 基礎信息網(wǎng)絡、政府、 大型企業(yè) 四級 結構化保護 持續(xù)改進 強制 國家機關重要部門信息 系統(tǒng) 五級 驗證保護 嚴格監(jiān)控 專控 國家核心部門專用系統(tǒng) 風險評估 ?風險評估是安全建設的出發(fā)點 ， 遵循 成本 /效益平衡 原則 ， 通過對用戶關心的 重要資產(chǎn) （ 如信息 、 硬件 、 軟件 、 文檔 、 代碼 、服務 、 設備 、 企業(yè)形象等 ） 的分級 ， 對 安全威脅 （ 如人為威脅、 自然威脅等 ） 發(fā)生的可能性及嚴重性分析 ， 對系統(tǒng)物理環(huán)境、 硬件設備 、 網(wǎng)絡平臺 、 基礎系統(tǒng)平臺 、 業(yè)務應用系統(tǒng) 、 安全管理 、 運行措施等方面的 安全脆弱性 （ 或稱薄弱環(huán)節(jié) ） 分析 ，以及已有安全控制措施的確認 ， 借助定量 、 定性分析的方法 ，推斷出用戶關心的重要資產(chǎn)當前的 安全風險 ， 并根據(jù)風險的嚴重級別制定風險處理計劃 ， 確定下一步的安全需求方向 。 ?系統(tǒng)恢復是指修補安全事件所利用的系統(tǒng)缺陷 ， 如系統(tǒng)升級 、 軟件升級和打補丁等方法去除系統(tǒng)漏洞或后門 。 ?檢測是對已部署的系統(tǒng)及其安全防護進行檢查測量 ，是動態(tài)響應和加強防護的依據(jù) ， 是強制落實安全策略的手段 。 ?策略體系的建立包括安全策略的制訂 、 評估 、 執(zhí)行等 。 制度 依據(jù)部門的實際安全需求，具體化法律法規(guī)，制定規(guī)章制度，規(guī)范相關主體的行為。 執(zhí)行層：按照管理層的要求和規(guī)定執(zhí)行某一個或某幾個特定安全事務。 管理 技術管理策略、系統(tǒng)安全管理、安全機制管理、安全服務管理、安全審計管理、安全恢復管理等。 2023/3/3 14 信息安全屬性 ?可控性（ Controlability） 指對信息和信息系統(tǒng)實施有效的安全監(jiān)控管理，防止非法利用信息和信息系統(tǒng) ?保障（ Assurance） 為在具體實現(xiàn)和實施過程中，保密性、完整性、可用性和可追究性等得到足夠滿足提供信心基礎，這種信心基礎主要通過認證和認可來實現(xiàn)。 ?不可否認性（不可抵賴性， NonRepudiation） 建立有效的責任機制，防止用戶否認其行為，這一點在電子商務中極為重要。 2023/3/3 10 信息安全屬性 如何刻畫信息及信息系統(tǒng)的安全性？ IS Attributes? 2023/3/3 11 信息安全屬性 ?保密性（也稱機密性， Confidentiali
教學課件相關推薦
鄂ICP備17016276號-1