【正文】 ② 應依靠專業(yè)人才保障安全 ?涉及意識 (what)、培訓 (how)、教育 (why) ③ 安全意識、安全觀念是核心 ?承認系統(tǒng)漏洞客觀存在 ?正視安全威脅和攻擊 ?面對安全風險實施適度防護 人是信息安全的第一位因素 信息安全保障體系的基本框架 2023/2/25 68 管理是信息安全的保證 ① 道德規(guī)范 —— 基礎 ?促進信息共享、尊重道德隱私、承擔社會責任 ?國家利益為重、公共利益優(yōu)先 ② 政策 —— 指導 ?技術應用、社會管理 ?科技發(fā)展、產業(yè)發(fā)展 ③ 法律 —— 準繩 ?國家的法令 ④ 單位要強調制度落實 ?所謂“三分技術七分管理” 信息安全保障體系的基本框架 2023/2/25 69 技術是信息安全的核心 ① 風險評估規(guī)范化 :要按照國家有關技術標準和規(guī)范，科學進行風險評估。 ?其時代標志是 1949年 Shannon發(fā)表的 《 保密通信的信息理論 》 和 1977年美國國家標準局公布的數(shù)據加密標準（ DES）。 因此一個被修改了的文件不可能有同樣的 “ 摘要 ” 。 發(fā)送實體給數(shù)據單元附加一個鑒別信息 ， 這個信息是該數(shù)據單元本身的函數(shù) 。 ?非授權的訪問：包括未經授權的使用、泄露、修改、銷毀以及頒發(fā)指令等。 ?面向系統(tǒng)的安全需求與屬性 ：可用性、可控性、可再生性、可生存性 17 2023/2/25 18 目的 通信類型 ?資源共享：機器 — 機器 ?信息共享：人 — 機器 ?知識共享：人 — 人 信息安全需求與屬性隨著信息系統(tǒng)發(fā)展而變化 ?機密性、完整性 、可用性 ?真實性、授權、訪問控制 ?抗抵賴、可控、隱私、知識產權、可恢復、整體性 信息安全內涵 2023/2/25 19 目的 通信類型 ?資源共享：機器 — 機器 ?信息共享：人 — 機器 ?知識共享：人 — 人 ?通信保密 ?信息安全 ?信息安全保障 信息安全內涵 2023/2/25 信息安全的概念隨著信息系統(tǒng)發(fā)展而變化 信息安全服務 ?安全服務包括 ： 數(shù)據機密性服務、完整性服務、不可否認服務、認證服務 和 訪問控制服務 。我國的 163網站也陷入困境。 《 信息科學原理 》 鐘義信教授 “客觀世界在認知世界的映射和表示” ？ ? 數(shù)據：信息的載體，以不同形式、在不同的系統(tǒng)、載體上存在。 典型案例－病毒與網絡蠕蟲 ? 紅色代碼 2023年 7月 ，直接經濟損失超過 26億美元 ? 2023年 9月， 尼姆達蠕蟲，約 ? 熊貓病毒”是 2023年中國十大病毒之首。 ?可控性 :指信息在整個生命周期內都可由合法擁有者加以安全的控制。 ?如帶照片的身份卡、身份證等。 如果這個實體試圖使用非授權資源 ， 或以不正當方式使用授權資源 ， 那么訪問控制機制將拒絕這一企圖 ， 另外 ， 還可能產生一個報警信號或記錄作為安全審計的一部分來報告這一事件 。 ? 消息認證碼 MAC(Message Authentication Code)：使用 HASH函數(shù)計算信息的 “ 摘要 ” ， 將它連同信息發(fā)送給接收方 。 解決 “ 你能干什么？ ” 的問題 信息安全基礎設施 2023/2/25 53 ?密鑰管理基礎設施 KMI：主要解決在網絡安全中存儲加密、傳輸加密、安全認證等密碼應用的密鑰管理問題，是確保密碼安全的關鍵要素。 ?縱深防御策略：層層設防、分級防護。 2023/2/25 70 ④ 體系設計整體化：堅持“全面防護、縱深防御”的安全策略， 需要一個整體解決方案，防止出現(xiàn)木桶效應。主要保障措施是安全操作系統(tǒng)(TCB)、防火墻、防病毒軟件、漏洞掃描、入侵檢測、 PKI、 VPN和安全管理等。 ? 簽名隨文本而變化，并且與文本不可分。用于鑒別交換的方法主要有： ?使用鑒別信息，如，口令，由請求鑒別的實體發(fā)送，進行驗證的實體接收。一種安全服務的實施可以使用不同的機制，或單獨使用，或組合使用，取決于該服務的目的以及使用的機制。 業(yè)務流保密：防止攻擊者通過觀察網絡的業(yè)務流來獲得敏感信息。 ?2023年 12月 31日 中國工商銀行被黑 ?2023年 8月底 清華網站被黑 捏造清華大學校長言論 ?2023年 810月，黑客侵入美國電子郵箱和選舉文件，獲得美國政策立場文件和選舉出行計劃。 2023中國互聯(lián)網絡發(fā)展狀況統(tǒng)計報告 ? 截至 2023年 12 月 30 日，中國網民規(guī)模達到 億人，年增長率為 %。 ? 計算機系統(tǒng)成為不法分子的主要攻擊目標。 15 2023/2/25 信息安全內涵 ?機密性 (Confidentiality):指保證信息不被非授權訪問。 ?不可否認服務在電子商務、電子政務、電子銀行中尤為重要。 數(shù)字簽名機制涉及兩個過程：對數(shù)據單元簽名和驗證簽名過的數(shù)據單元。 信息安全機制 2023/2/25 33 ⑦ 公證機制 在兩個或多個實體之間通信的數(shù)