計算機網(wǎng)絡安全基礎(1)-資料下載頁
2025-01-10 00:50本頁面
【正文】 人員在為一個組織草擬安全策略以前應花一些時間去了解該組織的文化以及員工的期望。 閉門生成安全策略是很少能成功的。安全專業(yè)人員在制定策略時應尋求組織的其他部門的幫助。應該征求組織的總顧問以及人力資源部門的建議，此外，系統(tǒng)管理員、計算機系統(tǒng)用戶以及物理安全部門的建議也是重要的。 一般來講，凡是與實施策略有影響的人都應參與策略的制定過程，這樣他們將了解什么是所期望的。 首先擬出一個好的綱要，可以參考一些手冊，如RFC2196場地安全手冊提供了各種策略的綱要。 根據(jù)綱要逐節(jié)草擬策略文檔。在草擬過程中，還要不斷聽取上述有關人員的意見和建議。 在策略文檔完成后，提交管理部門批準和實施。 安全策略的生成相對來說較容易，因為只需組織少部分人介入。但要有效地部署和實施，需要全體人員介入。 安全策略對每個部門都有影響，必須在各部門貫徹。由于在策略生成時，已征得各部門管理者的意見。這些管理者的介入大大有助于安全策略在各個部門的貫徹。這遠比最高層領導強調(diào)安全策略的重要性、強調(diào)應予以貫徹更有效。 安全策略的部署 因為安全策略對組織的全體員工都有影響，所以安全專業(yè)人員必須負責對員工進行安全教育，人力資源部門和培訓部門要協(xié)助進行。特別重要的是，當某些安全策略改變時會影響到全體員工，例如，如需更改口令，必須事先告知全體員工，否則會造成一時混亂。有時這種更改采用平滑過渡的方法更合適。 有時安全環(huán)境的突然改變會產(chǎn)生相反的效果，所以采取很好的計劃和平滑過渡會更好。安全工作要與系統(tǒng)管理部門和其他有影響的部門密切配合，使執(zhí)行更有效。 一個新的系統(tǒng)及項目啟動時，就應同時進行安全策略的程序設計。也就是說，將安全作為新系統(tǒng)和項目的設計的組成部分，使得安全要求在設計之初就能被識別和實施。 如果新系統(tǒng)不能滿足安全要求，該組織就要知道存在的風險，并提供某些機制來管理存在的風險。 安全策略的有效使用 當一個新的安全策略被批準后，應該檢查每個已有的系統(tǒng)，看其是否和新的安全策略相符合。如果不符合，確定是否可采取措施來遵守新的策略。應該和系統(tǒng)管理員以及使用該系統(tǒng)的部門一起工作，使安全作相應的變更。這可能需要做一些開發(fā)工作，不能立即改變，會有一定的延遲。應在經(jīng)費和系統(tǒng)設計限制條件下，和系統(tǒng)管理員及有關部門密切配合，及時地完成變更。 很多組織內(nèi)部的審計部門，定期地審計系統(tǒng)看其是否遵守安全策略。安全部門應及時將新的安全策略通知給審計部門，并配合他們工作，使他們在審計時了解這些變更。一般來說，這個變更應是雙向的。安全部門應向?qū)徲嫴块T解釋安全策略如何開發(fā)以及期望達到什么樣的目標；審計部門應向安全部門解釋審計如何進行以及審計的目標。他們之間應有某種約定，一種類型的系統(tǒng)應考慮相應類型的安全策略。 即使是一個好的安全策略也不是一勞永逸的。應定期對每個策略進行審查，看其是否仍然適合于該組織。應對大部分策略每年審查一次。對某些程序，如事故響應程序或災難恢復計劃，可能需要更加頻繁的審查。 在審查時，應和所有和安全有關的部門接觸，聽取他們對現(xiàn)有的安全策略的意見和建議。對重要的問題還可召開專門的調(diào)研會。在此基礎上調(diào)整安全策略、申報批準、開始培訓、貫徹實施。 網(wǎng)絡安全策略執(zhí)行兩個主要任務，其一是確定在一個組織內(nèi)實施什么樣的安全；其二是讓組織內(nèi)的員工行動一致，確定組織需要什么樣的安全。 信息策略定義一個組織內(nèi)的敏感信息以及如何保護敏感信息。包括敏感信息識別、信息分類、敏感信息標記、敏感信息存儲、敏感信息傳輸以及敏感信息銷毀。 本章小結(jié) 系統(tǒng)和網(wǎng)絡安全策略規(guī)定計算機系統(tǒng)和網(wǎng)絡設備安全的技術要求，規(guī)定系統(tǒng)或網(wǎng)絡管理員應如何配置和安全相關的系統(tǒng)。系統(tǒng)和網(wǎng)絡管理員應對安全策略的實施負主要責任。安全策略應包括用戶身份及身份鑒別、訪問控制、審計、網(wǎng)絡連接、惡意碼防止、加密等。 計算機用戶策略規(guī)定了誰可以使用計算機系統(tǒng)以及使用計算機系統(tǒng)的規(guī)則。包括計算機所有權、信息所有權、計算機使用許可以及沒有隱私的要求。 Inter使用策略規(guī)定了如何合理地使用 Inter，確定哪些是 Inter的非正當使用。 為了切實執(zhí)行各種安全策略，還需開發(fā)各種管理程序，包括用戶管理程序、系統(tǒng)管理程序、事故響應程序、配置管理程序、設計方法，以及災難恢復計劃。 要生成安全策略，需要確定什么是重要的策略，什么是員工可接受的行為，經(jīng)過調(diào)研最后完成。安全策略的部署需要全體員工介入，通過宣講、培訓直到執(zhí)行。安全策略的有效使用需要將安全策略和系統(tǒng)設計同步進行，還需要定期審計和審查。 31 什么是網(wǎng)絡安全策略執(zhí)行的主要任務？ 32 網(wǎng)絡安全策略應包含哪些內(nèi)容？ 33 什么是信息策略的目的和內(nèi)容？ 34 什么是計算機系統(tǒng)和網(wǎng)絡安全策略的目的和內(nèi)容？ 35 什么是計算機用戶策略的目的和內(nèi)容？ 習題 36 什么是 Inter使用策略的目的和內(nèi)容？ 37 什么是系統(tǒng)管理程序的作用和內(nèi)容？ 38 什么是事故響應程序的作用和內(nèi)容？ 39 什么是災難恢復計劃的必要性及其內(nèi)容？ 310 如何生成、部署和有效使用網(wǎng)絡安全策略？
試題試卷相關推薦
鄂ICP備17016276號-1