【文章內(nèi)容簡介】 息或介質(zhì)必須建立管理制度，只有經(jīng)過授權(quán)的人員方可提供或獲得系統(tǒng)的輸入 /輸出信息。 ? （ 4）制定突發(fā)事件的應(yīng)急計劃 ? 監(jiān)理工程師要建議、提醒建設(shè)單位必須針對不同的系統(tǒng)故障或災(zāi)難制定應(yīng)急計劃，編寫緊急故障恢復操作指南，并對每個崗位的工作人員按照所擔任角色和負有的責任進行培訓和演練。 黎連業(yè) ? （ 5）應(yīng)用軟件維護控制 ? 在應(yīng)用軟件的維護過程中，監(jiān)理工程師要建議、提醒建設(shè)單位需要對所使用的商業(yè)軟件的版權(quán)、來源，應(yīng)用軟件的文檔在維護過程是否修改，測試數(shù)據(jù)的產(chǎn)生與測試結(jié)果，是否留有軟件測試所建立的后門或熱鍵等問題進行規(guī)劃和評估。 ? （ 6）數(shù)據(jù)完整性與有效性控制 ? （ 7）文檔管理 ? （ 8）安全教育與培訓 黎連業(yè) 安全管理制度與監(jiān)理實施 ? 通常情況下信息系統(tǒng)實施安全管理的有關(guān)制度包括： ? 計算機信息網(wǎng)絡(luò)系統(tǒng)出入管理制度； ? 計算機信息網(wǎng)絡(luò)系統(tǒng)各工作崗位的工作職責、操作規(guī)程； ? 計算機信息網(wǎng)絡(luò)系統(tǒng)升級、維護制度； ? 計算機信息網(wǎng)絡(luò)系統(tǒng)工作人員人事管理制度； ? 計算機信息網(wǎng)絡(luò)系統(tǒng)安全檢查制度； ? 計算機信息網(wǎng)絡(luò)系統(tǒng)應(yīng)急制度； ? 計算機信息網(wǎng)絡(luò)系統(tǒng)信息資料處理制度； ? 計算機信息網(wǎng)絡(luò)系統(tǒng)工作人員安全教育、培訓制度； ? 計算機信息網(wǎng)絡(luò)系統(tǒng)工作人員循環(huán)任職、強制休假制度等。 黎連業(yè) ? 在信息系統(tǒng)工程建設(shè)中，監(jiān)理工程師對信息系統(tǒng)的安全體系評估主要從邏輯訪問的風險分析與安全管理、協(xié)助建設(shè)單位架構(gòu)安全的信息網(wǎng)絡(luò)系統(tǒng)、對應(yīng)用環(huán)境的風險分析與安全管理、對物理訪問的風險分析與安全管理等方面進行，并協(xié)助建設(shè)單位建立、健全、完善各項管理制度和措施。 ? 物理訪問的定義 ? 物理訪問的風險來源 ? 可能的錯誤或犯罪 ? 監(jiān)理安全管理注意事項 黎連業(yè) 物理訪問的定義 ? 物理訪問控制是設(shè)計用以保護組織防止未授權(quán)的訪問，并限制只有經(jīng)過管理階層授權(quán)的人員才能進入。有些授權(quán)可能是明顯易見，例如管理階層授權(quán)你擁有鎖門的鑰匙，有些可能是隱含性的授權(quán)，例如你在工作內(nèi)容中說明你必須訪問敏感性的報表及文件。 黎連業(yè) 物理訪問的風險來源 ? 物理訪問的風險原因可能會來自有意或無意的違犯，這些風險包括： ? 未經(jīng)授權(quán)進入； ? 毀損、破壞或竊取設(shè)備、財產(chǎn)或文件； ? 拷貝或偷看敏感或有著作權(quán)的信息； ? 變更敏感性設(shè)備及信息； ? 公開敏感的信息； ? 濫用數(shù)據(jù)處理資源； ? 勒索； ? 盜用。 黎連業(yè) 可能的錯誤或犯罪 ? 監(jiān)理工程師要使建設(shè)單位認識到可能的錯誤或犯罪的情形包括有： ? 員工經(jīng)授權(quán)或未經(jīng)授權(quán)的訪問； ? 離職員工； ? 有利害關(guān)系的外來者，如競爭者、盜竊者、犯罪集團、黑客等； ? 無知造成的意外，某些人可能在無知情況下犯下罪行（可能是員工或外來者）。 黎連業(yè) 監(jiān)理安全管理注意事項 ? 物理訪問控制的風險多半可能來自那些惡意或犯罪傾向的行為。 在安全監(jiān)理中需要值得注意的問題如下： ?硬件設(shè)施在合理范圍內(nèi)是否能防止強制入侵； ?計算機設(shè)備的鑰匙是否有良好的控制以降低未授權(quán)者進入的危險； ?智能終端是否上鎖或有安全保護，以防止電路板、芯片或計算機被搬移； ?計算機設(shè)備在搬動時是否需要設(shè)備授權(quán)通行的證明。 ?物理訪問的風險基本是可以事先得到控制的，關(guān)鍵就是怎樣落實和實施，也就是制度的管理與落實。 黎連業(yè) 應(yīng)用環(huán)境的安全管理 ? 應(yīng)用環(huán)境控制可降低業(yè)務(wù)中斷的風險。監(jiān)控的項目包括電源、地面及空間狀態(tài)。 ? 應(yīng)用環(huán)境的風險來源 ? 環(huán)境風險主要來源是自然發(fā)生的意外災(zāi)害，然而適當?shù)目刂瓶梢越档瓦@些風險。一般情況下，應(yīng)用環(huán)境的安全風險來源可能有： ? 天災(zāi)，地震、火山爆發(fā)、臺風、龍卷風、雷電等； ? 洪水； ? 停電； ? 電壓突變； ? 空調(diào)故障； ? 設(shè)備故障； ? 水害，甚至在有高架地板的建筑物中，水害仍是一項危機，因為可能發(fā)生水管爆裂的情況； ? 炸彈威脅與攻擊，恐怖活動或戰(zhàn)爭； ? 計算機設(shè)備電源供應(yīng)是否能適當控制在制造商的規(guī)格范圍內(nèi)； ? 計算機設(shè)備的空調(diào)、濕度、通風控制系統(tǒng)是否能維持適當溫度和濕度，以符合在制造商規(guī)格范圍內(nèi)； ? 計算機設(shè)備是否提供靜電保護，如防靜電地毯、抗靜電噴霧器； ? 計算機設(shè)備是否保持防塵、防煙及其他特殊物品如食品； ? 是否明文規(guī)定禁止在計算機設(shè)備旁就餐及吸煙； ? 是否提供避免下列因素危害備份磁盤及磁帶的措施，如極端溫度的損害，磁場的影響，水的侵害等。 黎連業(yè) 監(jiān)理安全管理策略概要 ? 對于應(yīng)用環(huán)境的監(jiān)理，可以從以下幾個方面： ? （ 1）火災(zāi)的控制 ? （ 2）水災(zāi) ? （ 3）計算機機房 黎連業(yè) 邏輯訪問的安全管理 ? 在邏輯訪問控制方面，監(jiān)理工程師應(yīng)著重分析并評估項目建設(shè)過程中的信息系統(tǒng)策略、組織結(jié)構(gòu)、業(yè)務(wù)流程及訪問控制，以保護信息系統(tǒng)及數(shù)據(jù)，避免非法訪問泄漏或損壞的發(fā)生。 ? 監(jiān)理在邏輯訪問風險分析與安全管理上，主要的原則有： ? 了解信息處理的整體環(huán)境并評估其安全需求，可通過審查相關(guān)數(shù)據(jù)，詢問有關(guān)人員，個人觀察及風險評估等； ? 通過對一些可能進入系統(tǒng)訪問路徑進行記錄及復核，評價這些控制點的正確性、有效性。這種記錄及復核包括審核系統(tǒng)軟、硬件的安全管理，以確認其控制弱點或重要點； ? 通過相關(guān)測試數(shù)據(jù)訪問控制點，來評價安全系統(tǒng)的功能和有效性； ? 分析測試結(jié)果和其他審核結(jié)論，評價訪問控制的環(huán)境并判斷是否達到控制目標； ? 審核書面策略，觀察實際操作和流程，與一般公認的信息安全標準相比較，評價組織環(huán)境的安全性及其適當性等。 黎連業(yè) ? （ 1）數(shù)據(jù)篡改 ? 在原始數(shù)據(jù)輸入計算機之前被篡改。由于這種方法容易實現(xiàn)并在安全技術(shù)管理范圍之外，故被廣泛采用。 ? （ 2）特洛伊木馬 ? 特洛伊木馬是指將一些帶有惡意的、欺詐性的代碼置于己授權(quán)的計算機程序中，當程序啟動時這些代碼也會啟動。典型的例子是在對方的系統(tǒng)中放置木馬，自動監(jiān)控或獲取對方的個人信息。特洛伊木馬攻擊的表現(xiàn)形式對被攻擊者來說并不直觀，甚至被攻擊者根本不知道已經(jīng)被入侵，因而它是一種危害性很大的網(wǎng)絡(luò)攻擊手段。 ? （ 3）去尾法 ? 將交易發(fā)生后計算出的金額 (如利息 )中小數(shù)點后的余額 (如分 )刪除并轉(zhuǎn)入某個未經(jīng)授權(quán)的賬戶，因為金額微小而往往不被注意。 ? （ 4）色粒米技術(shù) ? 這是一種類似去尾法的舞弊行為，不同的是將余額切分成更小金額，再轉(zhuǎn)入未授權(quán)賬戶。這種方法與去尾法的差異是 :去尾法是去除掉分，例如 :若交易金額為 $，則去尾法的金額為$，而色粒米技術(shù)是將尾數(shù)去除或進位，例如上述問題，則色米粒技術(shù)金額為 $ $，其計算方法是由程序設(shè)計來決定的。 ? （ 5）計算機病毒 , 口令入侵 ,網(wǎng)絡(luò)竊聽 ,拒絕服務(wù)攻擊（ DOS） 黎連業(yè) 病毒控制 ? 計算機病毒是當前計算機面臨的最嚴重威脅現(xiàn)象之一。目前預防、偵測病毒感染的方法主要有兩種：一種是建立規(guī)范嚴謹?shù)墓芾聿呗耘c管理程序；另外一種是采用技術(shù)方法，如防病毒軟件。 ? （ 1）管理控制的策略有： ? 安裝正版軟件； ? 計算機開機時，切記使用磁盤的寫保護功能； ? 凡是未在單機中做病毒掃描的磁盤不允許在網(wǎng)絡(luò)環(huán)境中使用； ? 隨時更新病毒代碼庫； ? 對可能感染病毒的文件做寫保護 ? 安裝新軟件前的殺毒處理 ? 新磁盤使用時做病毒檢測； ? 確保在網(wǎng)絡(luò)環(huán)境中安裝、使用幾更新防病毒軟件； ? 文件加密和使用前解密； ? 授權(quán)方可更換必要的設(shè)備，如路由器、交換機等； ? 在網(wǎng)絡(luò)中不