【文章內容簡介】 崗位和人事三個模塊構成一個體系。 ?機構的設置分為三個層次：決策層、管理層和執(zhí)行層。 ? 決策層 是信息系統(tǒng)主體單位決定信息系統(tǒng)安全重大事宜的領導機構 ，由單位主管信息工作的負責人為首，有行使國家安全、公共安全、機要和保密職能的部門負責人和信息系統(tǒng)主要負責人參與組成。 組織機構體系 ?管理層 是決策層的 日常管理機關 ，根據決策機構的決定全面規(guī)劃并協(xié)調各方面力量實施信息系統(tǒng)的安全方案，制定、修改安全策略，處理安全事故，設置安全相關的崗位。 ?執(zhí)行層 是在管理層協(xié)調下 具體負責 某一個或某幾個特定安全事務的一個邏輯群體，這個群體分布在信息系統(tǒng)的各個操作層或崗位上。 組織機構體系 ?崗位 是信息系統(tǒng)安全管理機關根據系統(tǒng)安全需要設定的 負責某一個或某幾個安全事務的職位 ，崗位在系統(tǒng)內部可以是具有垂直領導關系的若干層次的一個序列，一個人可以負責一個或幾個安全崗位，但 一個人不得同時兼任安全崗位所對應的系統(tǒng)管理或具體業(yè)務崗位 。因此，崗位并不是一個機構，它由管理機構設定，由人事機構管理。 組織機構體系 ?人事機構 是根據管理機構設定的崗位，對崗位上在職、待職和離職的雇員進行 素質教育、業(yè)績考核和安全監(jiān)管 的機構。 ?人事機構的全部管理活動在國家有關安全的 法律、法規(guī)、政策規(guī)定范圍內 依法進行 管理體系 ?管理是信息系統(tǒng)安全的靈魂 。信息系統(tǒng)安全的管理體系由 法律管理、制度管理和培訓管理 三個部分組成。 ? 法律管理是根據相關的國家法律、法規(guī)對 信息系統(tǒng)主體及其與外界關聯(lián)行為的規(guī)范和約束 。 ? 法律管理具有對信息系統(tǒng)主體行為的強制性約束力，并且有明確的管理層次性。 ? 與安全有關的法律法規(guī)是信息系統(tǒng)安全的 最高行為準則 管理體系 ?制度管理 是信息系統(tǒng)內部依據系統(tǒng)必要的國家、團體的安全需求制定的一系列 內部規(guī)章制度 ，主要內容包括： ? 安全管理和執(zhí)行機構的行為規(guī)范 ? 崗位設定及其操作規(guī)范 ? 崗位人員的素質要求及行為規(guī)范 ? 內部關系與外部關系的行為規(guī)范等 ?制度管理是法律管理的形式化、具體化，是法律、法規(guī)與管理對象的接口。 管理體系 ?培訓管理 是確保信息系統(tǒng)安全的 前提 。培訓管理的內容包括： ? 法律法規(guī)培訓 ? 內部制度培訓 ? 崗位操作培訓 ? 普遍安全意識 ? 與崗位相關的重點安全意識相結合的培訓 ? 業(yè)務素質與技能技巧培訓等 ?培訓的對象幾乎包括信息系統(tǒng)有關的所有人員 (不僅僅是從事安全管理和業(yè)務的人員 )。 應用層 傳輸層 網際層 網絡接口層 認證服務 訪問控制 數據完整性 數據保密性 不可抵賴性 數據加密 數字簽名 訪問控制 數據完整性 實體認證 流量填充 路由控制 安全機制 TCP/IP參考模型 安全服務 TCP/IP安全體系 OSI安全體系結構到 TCP/IP協(xié)議層的映射 協(xié)議層 安全服務 網絡接口層 IP層 傳輸層 應用層 鑒別 對等實體鑒別 Y Y Y 數據源發(fā)鑒別 Y Y Y 訪問控制 訪問控制服務 Y Y Y 保密性 連接機密性 Y Y Y Y 無連接機密性 Y Y Y Y 選擇字段機密性 Y 通信業(yè)務流機密性 Y Y Y 完整性 帶恢復的連接完整性 Y Y 不帶恢復的連接完整性 Y Y Y 選擇字段連接完整性 Y 無連接完整性 Y Y Y 選擇字段無連接完整性 Y 抗抵賴 帶數據源發(fā)證明的抗抵賴 Y 帶交付證明的抗抵賴 Y 協(xié)議層 安全協(xié)議 主要實現(xiàn)的安全策略 應用層 SHTTP（安全超文本傳輸 協(xié)議） 信息加密、數字簽名、數據完整性驗證 SET（安全電子交易） 信息加密、身份認證、數字簽名、數據完整 性驗證 PGP（ Pretty Good Privacy ） 信息加密、數字簽名、數據完整性驗證 S/MIME（安全的多功能 Inter電子郵件擴充） 信息加密、數字簽名、數據完整性驗證 Kerberos 信息加密、身份認證 SSH(安全外殼協(xié)議 ) 信息加密、身份認證、數據完整性驗證 傳輸層 SSL/TLS（ 安全套接字層 / 安全傳輸層 ） 信息加密、身份認證、數據完整性驗證 SOCKS(防火墻安全會話轉換協(xié)議 ) 訪問控制、穿透防火墻 TCP／ IP參 考模型的安全 協(xié)議 分 層 協(xié)議層 安全協(xié)議 主要實現(xiàn)的安全策略 網際層 IPSec（ IP層安全協(xié)議 ） 信息加密、身份認證、數據完整性驗證 網絡接口層 PAP（密碼認證協(xié)議） 身份認證 CHAP（挑戰(zhàn)握手認證協(xié)議） 身份認證 PPTP（點對點隧道協(xié)議） 傳輸隧道 L2F（第二層轉發(fā)協(xié)議） 傳輸隧道 L2TP（第二層隧道協(xié)議） 傳輸隧道 WEP（有線等效保密 ） 信息加密、訪問控制、數據完整性驗證 WPA（ WiFi網絡保護訪問） 信息加密、身份認證、訪問控制、數據 完整性驗證 TCP／ IP參 考模型的安全 協(xié)議 分 層 信息安全策略 ?信息安全策略的目的和意義 ?什么是信息安全策略 ?信息安全策略的層次 ?信息安全策略的制定 ?執(zhí)行信息安全策略的過程 ?信息安全策略的內容 ?保證 網絡安全 、保護工作的 整體性、計劃性及規(guī)范性 ?保證各項措施和管理手段的正確實施，使網絡系統(tǒng)信息數據的機密性、完整性及可用性受到全面、可靠 的保護 ?信息安全策略（ Information Security Policy）是一個組織機構中解決信息安全問題最重要的部分。 在一個小型組織內部，信息安全策略的制定者一般應該是該組織的 技術管理者 ，在一個大的組織內部，信息安全策略的制定者可能是由一個 多方人員組成的小組 。 信息安全策略的目的和意義 什么是信息安全策略？ ?信息安全策略是 一組規(guī)則 ，它們定義了一個組織要實現(xiàn)的 安全目標和實現(xiàn)這些安全目標的途徑 。 ?信息安全策略可以劃分為兩個部分： 問題策略 （ issue policy）和 功能策略（ functional policy） ? 問題策略描述了一個組織所關心的安全領域和對這些領域內安全問題的基本態(tài)度。 ? 功能策略描述如何解決所關心的問題，包括制定具體的硬件和軟件配置規(guī)格說明、使用策略以及雇員行為策略 什么是信息安全策略？ ?信息安全策略必須有清晰和完全的文檔描述，必須有相應的措施保證信息安全策略得到強制執(zhí)行。 ?在組織內部，必須有行政措施 保證制定的信息安全策略被不打折扣地執(zhí)行 ，管理層不能允許任何違反組織信息安全策略的行為存在 ?另一方面，也需要根據業(yè)務情況的變化不斷地 修改和補充 信息安全策略 ?信息安全策略是原則性的和不涉及具體細節(jié)，對于整個組織提供全局性指導，為具體的安全措施和規(guī)定提供一個 全局性框架 。 什么是信息安全策略？ ?信息安全策略的描述方式 ? 信息安全策略的描述語言應該是 簡潔的、非技術性的和具有指導性的 。 ? 比如一個涉及對敏感信息加密的信息安全策略條目可以這樣描述： 條目 1 “任何類別為機密的信息，無論存貯在計算機中，還是通過公共網絡傳輸時，必須使用本公司信息安全部門指定的加密硬件或者加密軟件予以保護?！? 這個敘述沒有談及加密算法和密鑰長度，所以當舊的加密算法被替換，新的加密算法被公布的時候，無須對信息安全策略進行修改。 信息安全策略的層次 ?安全策略是指某個安全區(qū)域內用于所有與安全有關的活動的規(guī)則，分三級： ? 安全策略目標 ? 機構安全策略 ? 系統(tǒng)安全策略 安全策略的制定 ?制定安全策略的步驟 ?制定安全策略的原則 ?制定安全策略的思想方法 ?安全策略的設計依據 ?需要保護什么資源 ?必須防范什么威脅 ?需要什么級別的安全 制定安全策略的步驟 ?進行安全需求分析 ?對網絡系統(tǒng)資源進行評估 ?對可能存在的風險進行分析 ?確定內部信息對外開放的種類及發(fā)布方式和訪問方式 ?明確網絡系統(tǒng)管理人員的責任和義務 ?確定針對潛在風險采取的安全保護措施的主要構成方面，制定安全存取、訪問規(guī)則 制定安全策略的原則 ?適應性原則 ：在一種情況下實施的安全策略到另一環(huán)境下就未必適合 ?動態(tài)性原則 ：用戶在不斷增加，網絡規(guī)模在不斷擴大，網絡技術本身的發(fā)展變化也很快 ?簡單性原則 ：安全的網絡是相對簡單的網絡 ?系統(tǒng)性原則 ：應全面考慮網絡上各類用戶、各種設備、各種情況，有計劃有準備地采取相應的策略 ?最小特權原則 ：每個用戶并不需要使用所有的服務；不是所有用戶都需要去修改系統(tǒng)中的每一個文件；每一個用戶并不需要都知道系統(tǒng)的根口令，每個系統(tǒng)管理見也沒有必要都知道系統(tǒng)的根口令等 制定安全策略的思想方法 ?凡是沒有明確表示允許的就要被禁止。 ?凡是沒有明確表示禁止的就要被允許。 ?按照第一種方法，如果決定某一臺機器可以提供匿名 FTP服務，那么可以理解為除了匿名 FTP服務之外的所有服務都是禁止的。 ?按照第二種方法，如果決定某一臺機器禁止提供匿名 FTP服務，那么可以理解為除了匿名 FTP服務之外的所有服務都是允許的。 制定安全策略的思想方法 ?這兩種思想方法所導致的結果是不相同的。采用第一種思想方法所表示的策略只規(guī)定了允許用戶做什么，而第二種思想方法所表示的策略只規(guī)定了用戶不能做什么。 ?網絡服務類型很多，新的網絡服務功能將逐漸出現(xiàn)。因此，在一種新的網絡應用出現(xiàn)時，對于第一種方法，如允許用戶使用，就將明確地在安全策略中表述出來；而按照第二種思想方法，如果不明確表示禁止，就意味著允許用戶使用。 制定安全策略的思想方法 ?需要注意的是：在網絡安全策略上，一般采用第一種方法，即明確地限定用戶在網絡中訪問的權限與能夠使用的服務。這符合于規(guī)定用戶在網絡訪問的 最小權限 的原則，即給予用戶能完成他的任務所 必要 的訪問權限與可以使用的服務類型，這樣將會便于網絡的管理 需要保護什么資源 ?在完成網絡安全策略制定的過程中，首先要對所有網絡資源從安全性的角度去定義它所存在的風險。 RFC 1044 列出了以下需要定義的網絡資源： (1) 硬件 處理器、主板、鍵盤、終端、工作站、個人計算機、打印機、磁盤、通信數據、終端服務器與路由器。 (2) 軟件 操作系統(tǒng)、通信程序、診斷程序、應用程序與網管軟件。 需要保護什么