信息化建设与信息安全四Word下载.docx

1、任何实体只有该主体需要完成其被指定任务所必须的特权，再没有更多的特权，对每种信息资源进行使用权限分割，确定每个授权用户的职责范围，阻止越权利用资源行为和阻止越权操作行为。实施全面防御：建立起完备的防御体系，通过多层次机制相互提供必要的冗余和备份，通过使用不同类型的系统、不同等级的系统获得多样化的防御。建立控制点：在网络对外连接通道上建立控制点，对网络进行监控。实际应用当中在网络系统上建立防火墙，阻止从公共网络对本站点侵袭。监测薄弱环节：确认系统各单元的安全隐患，并改善薄弱环节，尽可能地消除隐患，同时也要监测那些无法消除的缺陷，掌握其安全态势，及时报告受到的攻击。失效保护：一旦系统运行错误，发生

2、故障时，必须拒绝入侵者的访问，更不能允许入侵者跨入内部网络。7.1.3 信息安全管理的根本原则与七个方面原则为了实现安全的管理应该具备以下“四有”：有专门的安全管理机构；有专门的安全管理人员；有逐步完善的安全管理制度；有逐步提高的安全技术设施。信息安全管理的七个方面人事管理；设备管理；场地管理；存储媒体管理；软件管理；网络管理；密码和密钥管理。7.2 信息安全的风险评估7.2.1 信息安全风险管理的概念风险管理理论本身是为制定有效的经济发展战略和市场竞争策略而创造的一种理论、方法和措施。风险管理理论应用于信息安全领域始于20世纪60年代。把风险管理理论应用到信息安全的管理中，就发展成为了信息安

3、全的风险管理理论与方法。20世纪80年代末至90年代中期是信息安全风险管理实践和理论走向初步成熟的阶段。20世纪90年代末，信息安全风险管理进入到全球化阶段。信息安全风险管理走向成熟- 20世纪80年代末至90年代中期是信息安全风险管理实践和理论走向初步成熟的阶段。- 1997年美国国防部发布的信息技术安全认证和批准程序是美国涉密信息系统的安全评估和风险管理的重要标准和依据。信息安全风险管理走向国际化20世纪90年代末到21世纪初，信息安全风险管理进入到全球化阶段。这一时期以美国国家标准技术研究所发布的风险管理指南性文件为代表。SP80026，信息技术系统安全自评估指南（2001年）SP800

4、30，信息技术系统风险管理指南（2002年）我国的信息安全风险管理- 2002年我国在863计划中首次规划了系统安全风险分析和评估方法研究课题，开始了我国的信息安全风险管理研究。- 2007年我国正式发布了GB/T 20984-2007信息安全技术 信息安全风险评估规范。- 2009年我国还发布了GB/T 24353-2009风险管理原则与实施指南。7.2.2 信息系统安全风险评估的概念、目的- 信息系统安全风险评估是依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。- 信息系统安全风险评估是确认信息系统安全风险及其大小的过

5、程，即利用定性或定量的方法，借助于风险评估工具，确定信息资产的风险等级和优先风险控制。目的- 信息系统安全风险评估目的是评估信息资源面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。- 信息系统安全风险评估还是信息系统安全保障机制建立过程中的一种评价方法，其结果为信息安全风险管理提供依据。意义- 信息系统安全风险评估是信息安全风险管理的最根本依据，是对现有网络的安全性进行分析的第一手资料。- 我们通过安全风险评估来识别风险大小，从而制定合理的信息安全方针，进而采取适当的控制目标与方式对风险进行控制，使风险被避免、转移或降至一

6、个可被接受的水平。7.2.3 信息系统安全风险评估的过程与原则- 信息资产是被组织赋予了价值、需要保护的有用信息资源，是安全策略保护的对象。- 资产的价值是资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主要内容。- 威胁是指可能对资产或组织造成损害事故的潜在原因。威胁可以通过威胁主体、资源、动机、途径等多种属性来刻画。- 脆弱性是资产的弱点或薄弱点，这些弱点可能被威胁利用造成安全事件的发生，从而对资产造成损害。脆弱性本身并不会引起损害，它只是为威胁提供了影响资产安全性的条件。2.3.1 信息系统安全风险评估的过程评估过程依照GB/T 20984-2007信息安全技术 信息安

7、全风险评估规范评估准备资产识别与评价威胁识别与评估脆弱性识别与评估已有安全措施识别风险评价2.3.2 信息系统安全风险评估的原则- 定性分析与定量结合- 评估机构与评估专家结合- 评估考查与评估检测结合- 技术安全与管理安全结合7.3.1 数据的故障、存储、恢复和备份数据故障- 信息系统中的数据在传输、存储和交换过程中都可能会产生数据故障。- 数据故障可能使数据丢失、数据被修改、产生无用数据或造成信息系统瘫痪。- 存储设备损坏、电磁干扰、操作错误、人为破坏、病毒侵袭、水火灾害、黑客入侵甚至恐怖袭击等都可以造成数据故障。数据存储是数据备份的技术基础。数据存储主要手段有：磁盘阵列、磁带机、磁带库和

8、光盘库等。数据恢复是指当信息系统发生数据故障时，从硬盘驱动器、可移动磁盘或其他类型的电子存储媒体（如备份磁带机、磁盘阵列、远程服务器等）中恢复原有数据的过程。数据备份是为了实现数据恢复和重建数据所进行的一系列备份步骤和行为，往往与相应的数据恢复措施相对应。数据恢复和数据备份是保护数据的最后手段，也是防止信息安全攻击的最后一道防线。7.3.2 灾难恢复与灾难恢复的价值灾难恢复指在发生灾难性事故的时候，能利用已备份的数据或其它手段，及时对原系统进行恢复，以保证数据的安全性和业务的连续性。灾难恢复的价值- 1993年2月26日下午，纽约世界贸易中心的地下停车场爆发巨大气浪，靠近底层的公司几乎所有的办

9、公设备都被摧毁，客户资料、财务账目等重要数据也因此被一扫而空。在这次事件当中，凡是事前没有采取备份措施的公司，全部都因为数据丢失而遭受严重损失，而且有相当一部分甚至因此而倒闭。- 2001年，同样是纽约世界贸易中心，美国911事件直接造成世贸中心两栋大楼倒塌。摩根&斯坦利、JP摩根、瑞宝银行以及雷曼兄弟等公司能够在灾难发生的第二天即恢复营业。因为这些企业在数英里之外的新泽西州保留了数据备份。7.3.3 信息系统容灾- 信息系统容灾是指信息系统容纳灾难发生的能力，即在灾难发生时，能够保证数据尽量少的丢失，系统能够不间断地运行，或者尽量快地恢复正常运行。- 信息系统容灾是一个大范围的工程问题，不是

10、简单的数据备份。一般意义上的数据备份仅仅属于低级的信息系统容灾。7.4.1 信息安全的法律法规- 信息安全法律法规泛指用于规范信息系统或与信息系统相关行为的法律法规，信息安全法律法规具有命令性、禁止性和强制性。- 信息安全法律法规要求法律关系主体应当从事一定行为的规范，其规定的行为规则的内容是确定的，不允许主体一方或双方任意改变或违反。7.4.2 信息安全法律法规的来源信息安全的法律法规来源于以下三种需求：打击计算机犯罪解决信息安全相关的民事问题解决相关的隐私问题计算机犯罪问题计算机犯罪是指行为人通过计算机操作所实施的危害计算机信息系统（包括内存及程序）安全以及其他严重危害社会的并应当处以刑罚

11、的行为。计算机犯罪强调计算机本身的不可或缺性和不可替代性。7.4.3 信息安全法律法规的特点- 综合性：既有单行法律法规，如电子签名法、计算机信息系统安全保护条例等，又有散见于各种法律和法规及部门规章之中。- 多样性：法律法规本身的制定主体相对统一，但部门规章的制定者涉及多个部委。- 保护客体的非物质性：信息的特性。- 载体的丰富性：纸制和电子材料。7.4.4 信息安全法律法规的保护对象- 国家信息安全：突出表现为刑法，包括对国家重要信息资源的保护，对攻击和危害宣传的惩治。- 社会信息安全：涉及社会的安全和稳定。- 市场信息安全：保护涉及到维护经济秩序和市场的安全和稳定。- 个人信息安全：公民

12、人身和财产安全。7.4.5 美国信息安全法律法规美国是世界上计算机和因特网普及率最高的国家，不仅信息技术具有国际领先水平，信息安全立法也相对完善。美国是当今世界上信息安全方面发案最多的国家。美国国会根据美国宪法的授权制定了大量有关信息安全的法律，美国各州议会也制定州法律加强对信息和信息系统的保护。- 1987年计算机犯罪法- 1995年计算机庄严法- 1996年国家信息安全法案- 2004年反垃圾邮件法- 1998年数字千年版权法- 1999年反域名抢注消费者保护法- 2000年未成年人互联网保护法- 2000年儿童在线隐私保护法7.4.6 我国的信息安全法律法规我国信息安全法律体系框架分为四

13、个层面：法律行政法规地方性法规、规章规范性文件全国人大颁布的信息安全法律- 中华人民共和国宪法- 中华人民共和国刑法- 中华人民共和国电子签名法- 治安管理处罚条例- 中华人民共和国刑事诉讼法- 中华人民共和国国家安全法- 中华人民共和国保守国家秘密法- 中华人民共和国行政处罚法- 全国人大常委会关于维护互联网安全的决定国务院颁布的信息安全行政法规- 国务院令147号：中华人民共和国计算机信息系统安全保护条例- 国务院令195号：中华人民共和国计算机信息网络国际联网管理暂行规定- 国务院令273号：商用密码管理条例- 国务院令291号：中华人民共和国电信条例- 国务院令292号：互联网信息服务

14、管理办法- 国务院令339号：计算机软件保护条例重要的信息安全法律法规介绍- 全国人大常务委员会关于维护互联网安全的决定 - 计算机病毒防治管理办法宪法中涉及信息安全的条款宪法是依法治国的根本大法，信息化建设和信息安全都要从根本上遵循宪法。第三十八条：中华人民共和国公民的人格尊严不受侵犯。禁止用任何方法对公民进行侮辱、诽谤和造谣陷害。第四十条：中华人民共和国公民的通信自由和通信秘密受法律的保护。刑法中涉及信息安全的条款285条规定：违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。第286条规定：违反国家规定，对计算机信息系统功能进行删除、修

15、改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。人大维护网络安全的有关决定对有下列行为之一，构成犯罪的，依照刑法有关规定追究刑事责任：利用互联网销售伪劣产品或者对商品、服务作虚假宣传；在互联网上建立淫秽网站、网页，提供淫秽站点链接服务，或者传播淫秽书刊、影片、音像、图片。中华人民共和国电子签名法电子签名法被喻为“我国首部真正意义的信息化法律”，它是为了规范电子签名行为，确立电子签名的法律效力，维护有关各方的合法权益而制定的。电子签名法规定：当事人约定使用电子签名、数据电文的文书、不得仅因为其采用电子签名、数据电文的形式

16、而否定其法律效力。计算机病毒防治管理办法 管理办法规定：拥有计算机信息系统的单位应建立病毒防治管理制度并采取防治措施。任何单位和个人应接受公安机关对计算机病毒防治工作的监督、检查和指导，不得制作、传播计算机病毒。管理办法还规定：病毒防治产品应具有计算机信息系统安全专用产品销售许可证，并贴有“销售许可”标记。7.5 信息安全应急处置7.6 信息安全产品管理以广州市电子政务网络信息安全应急处理流程规范为例7.5.1 广州市电子政务网络信息安全应急处理流程规范介绍7.5.2 信息安全事件分类7.5.3 信息安全应急处置流程-规范产生背景为规范和加强广州市电子政务网络重大信息安全事件的信息报告管理工作

17、，及时掌握和评估重大信息安全事件的有关情况，协调组织力量进行事件的应急响应处理，降低信息安全事件的损失和影响，广州市信息化办公室2006年制定了广州市电子政务网络信息安全应急处理流程规范（试行）。-规范适用范围信息安全重大事件是指由于人为攻击或破坏以及病毒爆发等原因所引发，严重影响到广州市电子政务网络与信息系统的正常运行，造成业务中断、系统破坏、数据破坏或信息失窃等，从而在政府形象、社会稳定或公众利益等方面造成严重影响以及造成一定程度直接和间接重大经济损失的事件。广州市各级政府部门的网络与信息系统安全事件报告、应急处理，均适用于本规范。不属于本规范适用范围的单位可以参照本规范执行。-规范组织机

18、构组织机构包括：广州市信息化办公室、广州市公安局网监分局、广州市机关信息网络中心、各区（县级市）政府信息办（中心）以及各级政府部门。- 根据信息安全事件可能造成的影响范围及程度，分为对外服务信息系统应急处理流程和内部应用信息系统应急处理流程两大类型。- 其中对外服务信息系统指各单位利用广州市电子政务公共网络平台或互联网对外提供服务的信息系统。内部应用信息系统指仅对各单位内部人员提供服务的信息系统。- 在对外服务信息系统应急处理流程和内部应用信息系统应急处理流程中进一步细分了网站、业务系统和办公系统三种业务类别的应急处理流程。网站指各级政府部门使用HTML等工具制作的用于发布政务信息、提供公众服

19、务的相关网页的集合。业务系统指各单位行使政府职能，提供政府服务、办理相关业务的信息系统，如网上业务办理系统等。办公系统指各单位处理日常办公事务的信息系统，如OA系统等。对外服务信息系统应急处理流程- 病毒爆发处理流程1）立即切断感染病毒计算机与网络的联接；2）对该计算机的重要数据进行数据备份；3）启用防病毒软件对该计算机进行杀毒处理，同时通过防病毒软件对其他计算机进行病毒扫描和清除工作；4）如果满足下列情况之一的，应立即向本单位信息安全负责人通报情况，并向广州市公安局网监分局或广州市机关信息网络中心报告以求协助解决：现行防病毒软件无法清除该病毒；网站在2小时内无法处理完毕的；业务系统或办公系统

20、在4小时内无法处理完毕的。5）在广州市公安局网监分局或广州市机关信息网络中心的协助下，清除该病毒；6）恢复系统和相关数据，检查数据的完整性；7）病毒爆发事件处理完毕，将计算机重新接入网络；8）总结事件处理情况，并提出防范病毒再度爆发的解决方案；9）实施必要的安全加固。- 网页非法篡改处理流程1）发现网站网页出现非法信息时，值班人员应立即向本单位信息安全负责人通报情况，并立即向广州市公安局网监分局和广州市机关信息网络中心报告。情况紧急的，应先及时采取断网等处理措施，再按程序报告；2）本单位信息安全负责人应在接到通知后立即赶到现场，做好必要记录，妥善保存有关记录及日志或审计记录；3）广州市公安局网

21、监分局接到报告后2小时内赶到现场，追查非法信息来源；4）在广州市公安局网监分局提取相关数据样本后，清理网站非法信息，强化安全防范措施，然后将网站重新投入使用。如情节构成违法犯罪的，由广州市公安局网监分局立案侦查；5）总结事件处理情况，向广州市信息化办公室和广州市公安局网监分局备案，并提出防范再度发生的解决方案；6）实施必要的安全加固。- 非法入侵处理流程1）发现系统服务器被远程控制、植入后门程序，或发现有黑客正在进行攻击时，应立即向本单位信息安全负责人通报情况，并立即向广州市公安局网监分局和广州市机关信息网络中心报告；2）如服务器已被入侵，将被攻击服务器等设备从网络中隔离出来，保护现场；3）本

22、单位信息安全负责人应在接到通知后立即赶到现场，做好必要记录，妥善保存有关记录及日志或审计记录；4）广州市公安局网监分局对网站应在接到报告2小时内赶到现场；对业务系统和办公系统应在接到报告4小时内赶到现场，对现场进行分析，追查攻击源，修改防火墙等设备的安全配置，阻断黑客继续入侵；5）分析后台数据库操作日志，判断是否发生数据失窃。检查、校验数据的完整性和有效性；6）在广州市公安局网监分局提取相关数据样本后，恢复与重建被攻击或破坏的系统。重新将恢复后的对外服务系统接入网络；7）总结事件处理情况，向广州市信息化办公室和广州市公安局网监分局备案，并提出防范再度发生的解决方案；8）实施必要的安全加固。-

23、拒绝服务攻击处理流程1）发现对外服务系统访问流量异常、无法正常访问，可能遭受拒绝服务攻击时，应立即向本单位信息安全负责人通报情况，并立即向广州市公安局网监分局和广州市机关信息网络中心报告；3）广州市公安局网监分局对网站应在接到报告2小时内赶到现场；对业务系统和办公系统应在接到报告4小时内赶到现场，对现场进行分析，追查攻击源，修改路由器、防火墙等设备的安全配置，缓解、消除拒绝服务攻击的影响；4）在广州市公安局网监分局提取相关数据样本后，恢复对外系统正常运行。内部应用信息系统应急处理流程- 内部网络病毒爆发应急处理流程3）将防病毒软件病毒库升级至最新，启用防病毒软件对该计算机进行杀毒处理；4）如果

24、现行防病毒软件无法清除该病毒，应立即向本单位信息安全负责人通报情况，并可向广州市机关信息网络中心或广州市公安局网监分局或专业信息安全服务机构求助解决；5）如果单位内超过20台（含20台）计算机同时被感染病毒，并在4小时内无法处理完毕，则应立即向广州市机关信息网络中心和广州市公安局网监分局报告；6）在有关部门的协助下，清除该病毒；7）恢复各计算机软件系统和数据；8）病毒爆发事件处理完毕，将计算机重新接入网络；9）更新全网防病毒软件病毒库，密切监视网络流量和病毒发作迹象，避免二次感染；10）总结事件处理情况，并提出防范病毒再度爆发的解决方案；11）实施必要的安全加固。7.6.1 信息安全产品的概念

25、7.6.2 信息安全产品的分类7.6.3 信息安全产品的认证7.6.4 信息安全产品认证在政府采购中存在的问题7.6.1. 信息安全产品的概念信息安全产品（information security products）指：保障信息安全的一个IT软件、固件或硬件包，它提供相关功能且可用于或组合到多种系统中。7.6.2. 信息安全产品的分类7.6.3. 信息安全产品的认证- 认证机构中国信息安全认证中心是唯一指定为国家信息安全产品认证机构，负责实施国家信息安全产品认证。获得国家信息安全产品认证证书的产品表明其符合相应的信息安全规范和标准要求。- 认证范围目前，开展国家信息安全产品认证的产品范围为8大

26、类13种产品。防火墙网络安全隔离卡与线路选择器安全隔离与信息交换产品安全路由器智能卡COS数据备份与恢复产品安全操作系统安全数据库系统反邮件垃圾产品入侵检测系统（IDS）网络脆弱性扫描产品安全审计产品网站恢复产品- 认证流程包括集中受理流程、分段受理流程。集中受理流程（图中ISCCC为中国信息安全认证中心）分段受理流程第8章 构建信息安全保障体系8.1 基础设施和重要信息系统安全8.2 个人隐私信息保护8.3 网络信任体系建设8.4 网络舆情监管8.5 网络攻击防范 8.2.1 个人隐私信息的内涵8.2.2 网络个人隐私权8.2.3 侵犯个人隐私信息的表现8.2.4 个人隐私信息保护对策网络技术的发展大大增强了信息系统采集、检索、重组和传播信息的能力，任何一个人只要用设备（电脑、手机）接入网络，就可以极为方便地查询和自由使用网上所有的资料，而且可以跟踪、记录和存储每个人在网上的各种活动。在享用网络给我们人类文明和社会发展带来的种种便利的同时，滥用个人信息的现象随之出现，给社会秩序和人民切身利益带来了危害，如何合理利用和有效保护个人信息已成为企业、个人和社会各界广泛关注的热点问题。个人信息指能够被知晓和处理、与具体