信息安全策略體系結(jié)構(gòu)組成及具體內(nèi)容-文庫吧在線文庫
【正文】 以確定可能造成信息丟失和破壞的潛在因素，確定威脅的類型。 RFC 1044 列出了以下需要定義的網(wǎng)絡(luò)資源： ? (1) 硬件 處理器、主板、鍵盤、終端、工作站、個人計(jì)算機(jī)、打印機(jī)、磁盤、通信數(shù)據(jù)、終端服務(wù)器與路由器。 需要注意的是：在網(wǎng)絡(luò)安全策略上，一般采用第一種方法，即明確地限定用戶在網(wǎng)絡(luò)中訪問的權(quán)限與能夠使用的服務(wù)。內(nèi)容包括： ? 進(jìn)行安全需求分析 ? 對網(wǎng)絡(luò)系統(tǒng)資源進(jìn)行評估 ? 對可能存在的風(fēng)險進(jìn)行分析 ? 確定內(nèi)部信息對外開放的種類及發(fā)布方式和訪問方式 ? 明確網(wǎng)絡(luò)系統(tǒng)管理人員的責(zé)任和義務(wù) ? 確定針對潛在風(fēng)險采取的安全保護(hù)措施的主要構(gòu)成方面，制定安全存取、訪問規(guī)則 制定安全策略的原則 ? 適應(yīng)性原則 ：在一種情況下實(shí)施的安全策略到另一環(huán)境下就未必適合 ? 動態(tài)性原則 ：用戶在不斷增加，網(wǎng)絡(luò)規(guī)模在不斷擴(kuò)大，網(wǎng)絡(luò)技術(shù)本身的發(fā)展變化也很快 ? 簡單性原則 ：安全的網(wǎng)絡(luò)是相對簡單的網(wǎng)絡(luò) ? 系統(tǒng)性原則 ：應(yīng)全面考慮網(wǎng)絡(luò)上各類用戶、各種設(shè)備、各種情況，有計(jì)劃有準(zhǔn)備地采取相應(yīng)的策略 ? 最小特權(quán)原則 ：每個用戶并不需要使用所有的服務(wù)；不是所有用戶都需要去修改系統(tǒng)中的每一個文件；每一個用戶并不需要都知道系統(tǒng)的根口令，每個系統(tǒng)管理見也沒有必要都知道系統(tǒng)的根口令等 制定安全策略的思想方法 在制定網(wǎng)絡(luò)安全策略時有以下兩種思想方法： ? 凡是沒有明確表示允許的就要被禁止?！? 這個敘述沒有談及加密算法和密鑰長度，所以當(dāng)舊的加密算法被替換，新的加密算法被公布的時候，無須對信息安全策略進(jìn)行修改。信息安全策略必須有清晰和完全的文檔描述，必須有相應(yīng)的措施保證信息安全策略得到強(qiáng)制執(zhí)行。 什么是信息安全策略？ ? 信息安全策略的意義 信息安全策略（ Information Security Policy）是一個組織機(jī)構(gòu)中解決信息安全問題最重要的部分。 ? 人 —— 核心 ? 政策（包括法律、法規(guī)、制度、管理） —— 橋梁 ? 技術(shù) —— 落實(shí)在 WPDRRC六個環(huán)節(jié)的各個方面，在各個環(huán)節(jié)中起作用 WPDRRC模型 Warning： 采用多檢測點(diǎn)數(shù)據(jù)收集和智能化的數(shù)據(jù)分析方法檢測是否存在某種惡意的攻擊行為，并評測攻擊的威脅程度、攻擊的本質(zhì)、范圍和起源，同時預(yù)測敵方可能的行動。不過， P2DR也有不夠完善或者說不夠明確的地方，那就是對系統(tǒng)恢復(fù)的環(huán)節(jié)沒有足夠重視。因此，只要在參考模型的任何一個層面發(fā)現(xiàn)安全漏洞，就可以對網(wǎng)絡(luò)通信實(shí)施攻擊。 信息安全體系結(jié)構(gòu)的意義 信息安全體系結(jié)構(gòu)的意義 無論是 OSI參考模型還是 TCP／ IP參考模型，它們在設(shè)計(jì)之初都沒有充分考慮網(wǎng)絡(luò)通信中存在的安全問題。近十年來，該模型被普遍使用。 WPDRRC模型 人員 策略 技術(shù) 響應(yīng) R 恢復(fù) R 保護(hù) P 預(yù)警 W 檢測 D 反擊 C WPDRRC安全體系模型 我國 863信息安全專家組博采眾長推出 該模型全面涵蓋了各個安全因素，突出了人、策略、管理的重要性，反映了各個安全組件之間的內(nèi)在聯(lián)系。 信息安全策略的組成 信息安全策略的基本概念 安全策略的制定 執(zhí)行信息安全策略的過程 信息安全策略的基本概念 ? 信息安全策略的目的 ? 什么是信息安全策略 ? 信息安全策略的基本組成 ? 信息安全策略的層次 信息安全策略的目的 ? 制定安全策略的目的是保證網(wǎng)絡(luò)安全、保護(hù)工作的整體性、計(jì)劃性及規(guī)范性，保證各項(xiàng)措施和管理手段的正確實(shí)施，使網(wǎng)絡(luò)系統(tǒng)信息數(shù)據(jù)的機(jī)密性、完整性及可用性受到全面、可靠的保護(hù)。 功能策略描述如何解決所關(guān)心的問題，包括制定具體的硬件和軟件配置規(guī)格說明、使用策略以及雇員行為策略。比如一個涉及對敏感信息加密的信息安全策略條目可以這樣描述： 條目 1 “任何類別為機(jī)密的信息，無論存貯在計(jì)算機(jī)中，還是通過公共網(wǎng)絡(luò)傳輸時，必須使用本公司信息安全部門指定的加密硬件或者加密軟件予以保護(hù)。 信息安全策略的層次 安全策略是指某個安全區(qū)域內(nèi)用于所有與安全有關(guān)的活動的規(guī)則，分三級： ? 安全策略目標(biāo) ? 機(jī)構(gòu)安全策略 ? 系統(tǒng)安全策略 安全策略的制定 制定安全策略的內(nèi)容 制定安全策略的原則 制定安全策略的思想方法 安全策略的設(shè)計(jì)依據(jù) 需要保護(hù)什么資源 必須防范什么威脅 需要什么級別的安全 制定安全策略的內(nèi)容 制定安全策略的目的是保證網(wǎng)絡(luò)安全保護(hù)工作的整體、計(jì)劃性及規(guī)范性，保證各項(xiàng)措施和管理手段的正確實(shí)施，使網(wǎng)絡(luò)系統(tǒng)信息數(shù)據(jù)的機(jī)密性、完整性及可使用性受到全面、可靠的保護(hù)。因此，在一種新的網(wǎng)絡(luò)應(yīng)用出現(xiàn)時，對于第一種方法，如允許用戶使用，就將明確地在安全策略中表述出來；而按照第二種思想方法，如果不明確表示禁止，就意味著允許用戶使用。 需要保護(hù)什么資源 在完成網(wǎng)絡(luò)安全策略制定的過程中，首先要對所有網(wǎng)絡(luò)資源從安全性的角度去定義它所存在的風(fēng)險。設(shè)計(jì)網(wǎng)絡(luò)安全策略的第一步工作是研究這些問題，并將研究結(jié)果用網(wǎng)絡(luò)資源調(diào)查表的形式記錄下來。它可以被視為是一個弱點(diǎn)。 每級包括它下級的所有特性 ， 從最簡單的系統(tǒng)安全特性直到最高級的計(jì)算機(jī)安全模型技術(shù) ， 不同計(jì)算機(jī)信息系統(tǒng)可以根據(jù)需要和可能選用不同安全保密程度的不同標(biāo)準(zhǔn) 。 它描述了一種典型的用在 UNIX系統(tǒng)上的安全級別。 需要什么級別的安全 需要什么級別的安全 3） C2級 使用附加身份認(rèn)證就可以讓一個 C2系統(tǒng)用戶在不是根用戶的情況下有權(quán)執(zhí)行系統(tǒng)管理任務(wù) 。 即在這一級別上 ， 對象 (如盤區(qū)和文件服務(wù)器目錄 )必須在訪問控制之下 ， 不允許擁有者更改它們的權(quán)限 。 需要什么級別的安全 7)A級 A級也稱為驗(yàn)證保護(hù)或驗(yàn)證設(shè)計(jì) (Verity Design)級別 ， 是當(dāng)前的最高級別 ， 它包括一個嚴(yán)格的設(shè)計(jì) 、控制和驗(yàn)證過程 。先從管理層獲得足夠的承諾有很多好處，可以為后面的工作鋪平道路，還可以了解組織總體上對安全策略的重視程度，而且與管理層的溝通也是將安全工作進(jìn)一步導(dǎo)向更理想狀態(tài)的一個契機(jī)。 開展策略評估 ? 在之前已經(jīng)與管理層及與安全策略執(zhí)行相關(guān)
研究報告相關(guān)推薦
鄂ICP備17016276號-1