信息安全技術(shù)與工程外地-資料下載頁
2025-01-18 08:42本頁面
【正文】 安全的可控性和不可否認(rèn) 性等擴(kuò)展要求恰恰是通過對授權(quán)主體的控制，實(shí)現(xiàn)對保密性、完整性和可用性的有效補(bǔ)充，主要強(qiáng)調(diào)授權(quán)用戶只能在授權(quán)范圍內(nèi)進(jìn)行合法的訪問，并對其行為進(jìn)行監(jiān)督和審查 。 基本要求和擴(kuò)展要求的區(qū)別 ? 最小化原則 。 ? 分權(quán)制衡 原則 ? 安全隔離原則 基本原則 ? 受 保護(hù)的敏感信息只能在一定范圍內(nèi)被共享，履行工作職責(zé)和職能的安全主體，在法律和相關(guān)安全策略允許的前提下，為滿足工作 需要，僅 被授予其訪問信息的適當(dāng)權(quán)限，稱為最小化原則 。 ? 敏感 信息 的“知情權(quán)” 一定要加以限制，是在“滿足工作需要”前提下的一種限制性開放 。 ? 可以 將最小化原則細(xì)分為知所必須 (need to know)和用所必須 (need to use)的原則 。 最小化原則 ? 在信息系統(tǒng)中，對所有權(quán)限應(yīng)該進(jìn)行適當(dāng)?shù)貏澐?，使每個(gè)授權(quán)主體只能擁有其中的一部分權(quán)限，使他們之間相互制約、相互監(jiān)督，共同保證信息系統(tǒng)的安全 。 ? 如果一個(gè) 授權(quán)主體分配的權(quán)限過大，無人監(jiān)督和制約，就隱含了“濫用權(quán)力”、“一言九鼎”的安全隱患 。 如：國防科技工業(yè)保密 “三員” ：信息系統(tǒng) 管理員、安全保密管理員、安全 審計(jì)員 分權(quán)制衡原則 ? 隔離和控制是實(shí)現(xiàn)信息安全的基本方法，而隔離是進(jìn)行控制的基礎(chǔ) 。 ? 信息安全的一個(gè)基本策略就是將信息的主體與客體分離，按照一定的安全策略，在可控和安全的前提下實(shí)施主體對客體的訪問 。 ? 如，電子政務(wù)：電子政務(wù)外網(wǎng)、內(nèi)網(wǎng)和專網(wǎng)，以及信息資源庫，分別隔離 安全隔離原則 ? 公安部（ 11局，網(wǎng)絡(luò) 安全保衛(wèi)局 ）公共信息網(wǎng)絡(luò) ? 國家保密局 涉密信息系統(tǒng) ? 國家安全部 中國信息安全測評 中心 黨政系統(tǒng)、重要信息系統(tǒng) ? 解放軍 信息 安全測評認(rèn)證中心 (宮保雞丁 ) 國家密碼管理委員會(huì) 工信 部信息安全協(xié)調(diào)司 國家信息安全標(biāo)準(zhǔn)化委員會(huì) 我國信息安全的監(jiān)管機(jī)構(gòu) 標(biāo)準(zhǔn)分類 信息系統(tǒng)等級保護(hù)安全設(shè)計(jì)技術(shù)要求 （ 20220729） （應(yīng)用標(biāo)準(zhǔn)） 計(jì)算機(jī)信息系統(tǒng) 安全等級保護(hù)劃分準(zhǔn)則 （ 20220729） （基礎(chǔ)標(biāo)準(zhǔn)） 信息系統(tǒng)安全等級保護(hù)基本要求 （ 20220729） （基礎(chǔ)標(biāo)準(zhǔn)） 信息系統(tǒng)安全保護(hù)等級定級指南 （ 20220729） （應(yīng)用標(biāo)準(zhǔn)） 信息系統(tǒng)安全等級保護(hù)實(shí)施指南 （ 20220729） （應(yīng)用標(biāo)準(zhǔn)） 信息系統(tǒng)安全通用技術(shù)要求 （ 20220729） （應(yīng)用標(biāo)準(zhǔn)） 信息系統(tǒng)安全管理要求 （ 20220729） （應(yīng)用標(biāo)準(zhǔn)） 操作系統(tǒng) 安全技術(shù)要求 （ 20220729） （產(chǎn)品標(biāo)準(zhǔn)） 數(shù)據(jù)庫管理系統(tǒng) 安全技術(shù)要求 （ 20220729） （產(chǎn)品標(biāo)準(zhǔn)） 信息安全風(fēng)險(xiǎn)評估規(guī)范 （ 20220729） （其它標(biāo)準(zhǔn)） 信息安全事件管理指南 （ 20220729） （其它標(biāo)準(zhǔn)） 信息安全等級保護(hù)制度 ? 受 保護(hù)的敏感信息只能在一定范圍內(nèi)被共享，履行工作職責(zé)和職能的安全主體，在法律和相關(guān)安全策略允許的前提下，為滿足工作 需要，僅 被授予其訪問信息的適當(dāng)權(quán)限，稱為最小化原則 。 ? 敏感 信息 的“知情權(quán)” 一定要加以限制，是在“滿足工作需要”前提下的一種限制性開放 。 ? 可以 將最小化原則細(xì)分為知所必須 (need to know)和用所必須 (need to use)的原則 。 最小化原則 ? 在信息系統(tǒng)中，對所有權(quán)限應(yīng)該進(jìn)行適當(dāng)?shù)貏澐?，使每個(gè)授權(quán)主體只能擁有其中的一部分權(quán)限，使他們之間相互制約、相互監(jiān)督，共同保證信息系統(tǒng)的安全 。 ? 如果一個(gè) 授權(quán)主體分配的權(quán)限過大，無人監(jiān)督和制約，就隱含了“濫用權(quán)力”、“一言九鼎”的安全隱患 。 如：國防科技工業(yè)保密 “三員” ：信息系統(tǒng) 管理員、安全保密管理員、安全 審計(jì)員 分權(quán)制衡原則 ? 隔離和控制是實(shí)現(xiàn)信息安全的基本方法，而隔離是進(jìn)行控制的基礎(chǔ) 。 ? 信息安全的一個(gè)基本策略就是將信息的主體與客體分離，按照一定的安全策略，在可控和安全的前提下實(shí)施主體對客體的訪問 。 ? 如，電子政務(wù)：電子政務(wù)外網(wǎng)、內(nèi)網(wǎng)和專網(wǎng)，以及信息資源庫，分別隔離 安全隔離原則 北京理工大學(xué)軟件學(xué)院 閆懷志博士 副教授信息安全與管理
試題試卷相關(guān)推薦
鄂ICP備17016276號-1