計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)(1)-資料下載頁(yè)
2025-01-10 00:50本頁(yè)面
【正文】 人員在為一個(gè)組織草擬安全策略以前應(yīng)花一些時(shí)間去了解該組織的文化以及員工的期望。 閉門生成安全策略是很少能成功的。安全專業(yè)人員在制定策略時(shí)應(yīng)尋求組織的其他部門的幫助。應(yīng)該征求組織的總顧問(wèn)以及人力資源部門的建議，此外，系統(tǒng)管理員、計(jì)算機(jī)系統(tǒng)用戶以及物理安全部門的建議也是重要的。 一般來(lái)講，凡是與實(shí)施策略有影響的人都應(yīng)參與策略的制定過(guò)程，這樣他們將了解什么是所期望的。 首先擬出一個(gè)好的綱要，可以參考一些手冊(cè)，如RFC2196場(chǎng)地安全手冊(cè)提供了各種策略的綱要。 根據(jù)綱要逐節(jié)草擬策略文檔。在草擬過(guò)程中，還要不斷聽(tīng)取上述有關(guān)人員的意見(jiàn)和建議。 在策略文檔完成后，提交管理部門批準(zhǔn)和實(shí)施。 安全策略的生成相對(duì)來(lái)說(shuō)較容易，因?yàn)橹恍杞M織少部分人介入。但要有效地部署和實(shí)施，需要全體人員介入。 安全策略對(duì)每個(gè)部門都有影響，必須在各部門貫徹。由于在策略生成時(shí)，已征得各部門管理者的意見(jiàn)。這些管理者的介入大大有助于安全策略在各個(gè)部門的貫徹。這遠(yuǎn)比最高層領(lǐng)導(dǎo)強(qiáng)調(diào)安全策略的重要性、強(qiáng)調(diào)應(yīng)予以貫徹更有效。 安全策略的部署 因?yàn)榘踩呗詫?duì)組織的全體員工都有影響，所以安全專業(yè)人員必須負(fù)責(zé)對(duì)員工進(jìn)行安全教育，人力資源部門和培訓(xùn)部門要協(xié)助進(jìn)行。特別重要的是，當(dāng)某些安全策略改變時(shí)會(huì)影響到全體員工，例如，如需更改口令，必須事先告知全體員工，否則會(huì)造成一時(shí)混亂。有時(shí)這種更改采用平滑過(guò)渡的方法更合適。 有時(shí)安全環(huán)境的突然改變會(huì)產(chǎn)生相反的效果，所以采取很好的計(jì)劃和平滑過(guò)渡會(huì)更好。安全工作要與系統(tǒng)管理部門和其他有影響的部門密切配合，使執(zhí)行更有效。 一個(gè)新的系統(tǒng)及項(xiàng)目啟動(dòng)時(shí)，就應(yīng)同時(shí)進(jìn)行安全策略的程序設(shè)計(jì)。也就是說(shuō)，將安全作為新系統(tǒng)和項(xiàng)目的設(shè)計(jì)的組成部分，使得安全要求在設(shè)計(jì)之初就能被識(shí)別和實(shí)施。 如果新系統(tǒng)不能滿足安全要求，該組織就要知道存在的風(fēng)險(xiǎn)，并提供某些機(jī)制來(lái)管理存在的風(fēng)險(xiǎn)。 安全策略的有效使用 當(dāng)一個(gè)新的安全策略被批準(zhǔn)后，應(yīng)該檢查每個(gè)已有的系統(tǒng)，看其是否和新的安全策略相符合。如果不符合，確定是否可采取措施來(lái)遵守新的策略。應(yīng)該和系統(tǒng)管理員以及使用該系統(tǒng)的部門一起工作，使安全作相應(yīng)的變更。這可能需要做一些開(kāi)發(fā)工作，不能立即改變，會(huì)有一定的延遲。應(yīng)在經(jīng)費(fèi)和系統(tǒng)設(shè)計(jì)限制條件下，和系統(tǒng)管理員及有關(guān)部門密切配合，及時(shí)地完成變更。 很多組織內(nèi)部的審計(jì)部門，定期地審計(jì)系統(tǒng)看其是否遵守安全策略。安全部門應(yīng)及時(shí)將新的安全策略通知給審計(jì)部門，并配合他們工作，使他們?cè)趯徲?jì)時(shí)了解這些變更。一般來(lái)說(shuō)，這個(gè)變更應(yīng)是雙向的。安全部門應(yīng)向?qū)徲?jì)部門解釋安全策略如何開(kāi)發(fā)以及期望達(dá)到什么樣的目標(biāo)；審計(jì)部門應(yīng)向安全部門解釋審計(jì)如何進(jìn)行以及審計(jì)的目標(biāo)。他們之間應(yīng)有某種約定，一種類型的系統(tǒng)應(yīng)考慮相應(yīng)類型的安全策略。 即使是一個(gè)好的安全策略也不是一勞永逸的。應(yīng)定期對(duì)每個(gè)策略進(jìn)行審查，看其是否仍然適合于該組織。應(yīng)對(duì)大部分策略每年審查一次。對(duì)某些程序，如事故響應(yīng)程序或?yàn)?zāi)難恢復(fù)計(jì)劃，可能需要更加頻繁的審查。 在審查時(shí)，應(yīng)和所有和安全有關(guān)的部門接觸，聽(tīng)取他們對(duì)現(xiàn)有的安全策略的意見(jiàn)和建議。對(duì)重要的問(wèn)題還可召開(kāi)專門的調(diào)研會(huì)。在此基礎(chǔ)上調(diào)整安全策略、申報(bào)批準(zhǔn)、開(kāi)始培訓(xùn)、貫徹實(shí)施。 網(wǎng)絡(luò)安全策略執(zhí)行兩個(gè)主要任務(wù)，其一是確定在一個(gè)組織內(nèi)實(shí)施什么樣的安全；其二是讓組織內(nèi)的員工行動(dòng)一致，確定組織需要什么樣的安全。 信息策略定義一個(gè)組織內(nèi)的敏感信息以及如何保護(hù)敏感信息。包括敏感信息識(shí)別、信息分類、敏感信息標(biāo)記、敏感信息存儲(chǔ)、敏感信息傳輸以及敏感信息銷毀。 本章小結(jié) 系統(tǒng)和網(wǎng)絡(luò)安全策略規(guī)定計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)設(shè)備安全的技術(shù)要求，規(guī)定系統(tǒng)或網(wǎng)絡(luò)管理員應(yīng)如何配置和安全相關(guān)的系統(tǒng)。系統(tǒng)和網(wǎng)絡(luò)管理員應(yīng)對(duì)安全策略的實(shí)施負(fù)主要責(zé)任。安全策略應(yīng)包括用戶身份及身份鑒別、訪問(wèn)控制、審計(jì)、網(wǎng)絡(luò)連接、惡意碼防止、加密等。 計(jì)算機(jī)用戶策略規(guī)定了誰(shuí)可以使用計(jì)算機(jī)系統(tǒng)以及使用計(jì)算機(jī)系統(tǒng)的規(guī)則。包括計(jì)算機(jī)所有權(quán)、信息所有權(quán)、計(jì)算機(jī)使用許可以及沒(méi)有隱私的要求。 Inter使用策略規(guī)定了如何合理地使用 Inter，確定哪些是 Inter的非正當(dāng)使用。 為了切實(shí)執(zhí)行各種安全策略，還需開(kāi)發(fā)各種管理程序，包括用戶管理程序、系統(tǒng)管理程序、事故響應(yīng)程序、配置管理程序、設(shè)計(jì)方法，以及災(zāi)難恢復(fù)計(jì)劃。 要生成安全策略，需要確定什么是重要的策略，什么是員工可接受的行為，經(jīng)過(guò)調(diào)研最后完成。安全策略的部署需要全體員工介入，通過(guò)宣講、培訓(xùn)直到執(zhí)行。安全策略的有效使用需要將安全策略和系統(tǒng)設(shè)計(jì)同步進(jìn)行，還需要定期審計(jì)和審查。 31 什么是網(wǎng)絡(luò)安全策略執(zhí)行的主要任務(wù)？ 32 網(wǎng)絡(luò)安全策略應(yīng)包含哪些內(nèi)容？ 33 什么是信息策略的目的和內(nèi)容？ 34 什么是計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)安全策略的目的和內(nèi)容？ 35 什么是計(jì)算機(jī)用戶策略的目的和內(nèi)容？ 習(xí)題 36 什么是 Inter使用策略的目的和內(nèi)容？ 37 什么是系統(tǒng)管理程序的作用和內(nèi)容？ 38 什么是事故響應(yīng)程序的作用和內(nèi)容？ 39 什么是災(zāi)難恢復(fù)計(jì)劃的必要性及其內(nèi)容？ 310 如何生成、部署和有效使用網(wǎng)絡(luò)安全策略？
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1