信息安全管理基础

第二章信息安全管理基础

刘永华（教授）10/14/20221本章内容信息安全管理体系信息安全管理标准信息安全策略信息安全技术10/14/20222信息技术/网络技术改变生活方式政府商业个人生活金融10/14/20223信息安全现状日益增长的安全威胁攻击技术越来越复杂入侵条件越来越简单10/14/20224黑客攻击猖獗网络内部、外部泄密拒绝服务攻击逻辑炸弹特洛伊木马黑客攻击计算机病毒后门、隐蔽通道蠕虫10/14/20225安全事件每年都有上千家政府网站被攻击安全影响任何网络都可能遭受入侵10/14/20226系统的定义：系统是由相互作用和相互依赖的若干部分结合成的具特定功能的整体。系统一般包括下列因素：1、一种产品或者组件，如计算机、所有的外部设备等；

2、操作系统、通信系统和其他相关的设备、软件，构成了一个组织的基本结构；

3、多个应用系统或软件（财务、人事、业务等）

4、it部门的员工

5、内部用户和管理层

6、客户和其他外部用户

7、周围环境，包括媒体、竞争者、上层管理机构。10/14/20227信息安全管理覆盖的内容非常广泛，涉及到信息和网络系统的各个层面，以及生命周期的各个阶段。不同方面的管理内容彼此之间存在着一定的关联性，它们共同构成一个全面的有机整体，以使管理措施保障达到信息安全的目，这个有机整体被称为信息安全管理体系。信息安全管理体系10/14/20228物理层面网络层面系统层面应用层面管理层面安全管理制度业务处理流程

业务应用系统数据库应用系统

身份鉴别机制强制访问控制防火墙入侵检测系统物理设备安全环境安全信息安全体系信息系统安全体系结构10/14/20229定义：信息安全管理体系（InformationSecurityManagementSystem，ISMS）是组织在整体或特定范围内建立的信息安全方针和目标，以及完成这些目标所用的方法和手段所构成的体系；信息安全管理体系是信息安全管理活动的直接结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。信息安全管理体系定义10/14/202210建立信息安全管理体系的意义ISMS是组织整体管理体系的一部分，是组织在整体或特定范围内建立信息安全的方针和目标，以及完成这些目标所用的方法的体系。安全管理体系是安全技术体系真正有效发挥保护作用的重要保障，安全管理体系的涉及立足于总体安全策略，并与安全技术体系相互配合，增强技术防护体系的效率和效果，同时，也弥补当前技术无法完全解决的安全缺陷。10/14/202211强化员工的信息安全意识，规范组织信息安全行为；促使管理层贯彻信息安全保障体系；对组织的关键信息资产进行全面系统的保护，维持竞争优势；在信息系统受到侵袭时，确保业务持续开展并将损失降到最低程度；使组织的生意伙伴和客户对组织充满信心；如果通过体系认证，表明体系符合标准，证明组织有能力保障重要信息，可以提高组织的知名度与信任度。组织建立、实施与保持ISMS将会产生如下作用：10/14/202212ISO27001是建立和维护信息安全管理体系的标准，它要求应该通过这样的过程来建立ISMS框架：确定体系范围，制定信息安全侧率，明确管理职责，通过风险评估确定控制目标和控制方式。ISO27001非常强调信息安全管理过程中文件化的工作，ISMS的文件体系应该包括安全策略、适用性声明（选择和未选择的控制目标和控制措施）、实施安全控制所需的程序文件、ISMS管理和操作程序，以及组织围绕ISMS开展的所有活动的证明材料。信息安全管理体系标准10/14/202213信息安全管理的基本原则一、总体原则1、主要领导负责原则2、规范定级原则3、以人为本原则4、适度安全原则5、全面防范、突出重点原则6、系统、动态原则7、控制社会影响原则。二、安全策略管理1、分权制衡2、最小特权3、选用成熟技术4、普遍参与。10/14/202214信息安全保证工作事关大局，企业、组织各级领导应该把信息安全列为其最重要的工作内容之一，并负责成提高、加强内部人员的安全意识，组织有效的技术和管理队伍，调动优化配置必要的资源和经费，协调信息安全管理工作与各部门工作的关系，确保信息安全保障工作的落实和效果。主要领导负责原则10/14/202215规范定级原则分级、分类是信息安全保障工作有的放矢的前提，是界定和保护重点信息系统的依据，只有通过合理、规范的分级、分类才能落实重点投资、重点防护。10/14/202216以人为本原则信息安全保障在很大程度上受制于人为的因素。加强信息安全教育、培训和管理，强化安全意识和法制观念，提升职业道德，掌握安全技术，确保措施落实是做好信息安全管理工作的重要保证。10/14/202217适度安全原则安全需求的不断增加和现实资源的局限性是安全决策处于两难境地，恰当地平衡安全投入与效果是从全局上处置好安全管理工作的出发点。10/14/202218全面防范、突出重点的原则全面防范是保障信息系统安全的关键。它需要从人员、管理和技术等方面，在预警、保护、检测、反应、恢复和跟踪等多个环节上采用多种技术实现。同时，又要从组织和机构的实际情况出发，突出自身的安全管理重点。10/14/202219系统、动态原则信息安全管理工作的系统特征突出。要按照系统工程的要求，注意各方面、各层次、各时期的相互协调、匹配和衔接，以便体现系统集成效果和前期投入的效益。同时，信息安全又是一种状态和动态反馈过程，随着安全利益和系统脆弱性时空分布的变化，威胁程度的提高，系统环境的变化以及人员对系统安全认识的深化等，应及时地将现有的安全策略、风险接受程度和保护措施进行复查、修改、调整以至提升安全管理等级。10/14/202220控制社会影响原则对安全事件的处理应有授权者适时披露并发布准确一致的有关信息，避免带来不良的社会影响。10/14/202221分权制衡策略减少未授权的修改或滥用系统资源的机会，对特定职能或责任领域的管理能力实施分离、独立审计，避免操作权力过分集中。10/14/202222最小特权策略任何实体（如用户、管理员、进程、应用或系统）仅享有该实体需要完成其任务所必需的特权，不应享有任何多余的特权。10/14/202223选用成熟技术策略成熟的技术提供了可靠性、稳定性保证，采用新技术时要重视其成熟的程度。如果新技术势在必行，应该首先局部试点，然后逐步推广，减少或避免可能出现的损失。10/14/202224普遍参与策略不论信息系统的安全等级如何，要求信息系统所涉及的人员普遍参与并与社会相关方面协同、协调，共同保障信息系统安全。10/14/202225信息安全管理的目标如下：目

标描

述合规性管理的合规性，主要是指在有章可循的基础之上，确保信息安全工作符合国家法律、法规、行业标准，机构内部的方针和规定。流程规范性管理是过程性的工作。要确保信息安全工作的相关过程具有规范性。整体协调性信息安全管理工作不能独立进行，不可能超越机构其他方面的管理工作而达到更高的级别。因此，信息安全保障工作需要与其他方面的管理工作一起协调开展。执行落实性通过检查、监督、审计、稽核等手段促进信息安全保障工作的落实。变更可控性信息系统中的任何变更需要有全程的监控管理。责任性确保信息安全责任能够追究到人。持续改进通过开展信息安全管理，不断发现问题和解决问题，形成持续改进的信息安全保障态势。计划性信息安全保障工作能够有计划、分阶段的展开，确保信息安全投资能够产生最大效益。10/14/202226信息安全管理内容流程规范性整体协调性执行落实性变更可控性责任性持续改进型计划性合规性信息安全管理内容10/14/2022271、通过信息安全管理过程完成信息安全管理方面的要求。2、通过信息安全管理过程驱动信息安全技术的实施，达到信息安全在技术方面的要求。信息安全管理的基本任务10/14/202228信息安全方针与策略信息安全方针和策略主要包括对信息安全进行总体性指导和规划的管理过程。这些过程包括：安全方针和策略、资金投入管理和信息安全规划等。10/14/202229安全方针和策略方针和策略属于一般管理中的策略管理。方针和策略是信息安全保障工作的整体性指导和要求。安全方针和策略需要有相应的制定、审核和改进过程。10/14/202230资金投入管理信息安全保障工作需要有足够的资金支撑。但从另一个方面来讲，绝对的安全是无法实现的，因此，需要考虑资金投入和经济效益之间的平衡。10/14/202231信息安全规划信息安全保障工作是一项涉及面较广的工作，同时也是一项持续的、长期的工作。因此，信息安全保障工作需要有长期、中期、短期的计划。10/14/202232信息安全人员和组织人员和组织管理是信息安全管理的基本过程。人员和组织是执行信息安全保障工作的主体。10/14/202233在人员和组织管理方面，最基本的管理包括：1、保障有足够的人力资源从事信息安全保障工作；2、确保人员有明确的角色和责任；3、保证从业人员经过了适当的信息安全教育和培训，有足够的安全意识。4、机构中的信息安全相关人员能够在有效的组织结构下展开工作。10/14/202234基于信息系统各个层次的安全管理信息系统是有层次的。因此在信息系统的安全保护中也存在层次的特点，对应各个层次也有相应的信息安全管理工作。基于信息系统的各个层次，可相应在如下层次中开展信息安全管理：环境和设备安全、网络和通信安全、主机和系统安全、应用和业务安全、数据安全。10/14/202235环境和设备安全也称为物理安全。在这类安全管理过程中，主要是涉及信息系统和信息工作所在的环境安全，以及信息设备方面的安全。另外，文档和介质是存储数据的特殊载体，因此，也应当对其进行适度的管理。物理安全是上层安全的基础。10/14/202236网络和通信安全网络系统和通信系统使得信息系统可以覆盖各个地理位置和业务场所。网络和通信安全，特别是全程全网的安全是信息安全保障工作的关键环节。10/14/202237主机和系统安全主机及主机上的操作系统、数据库管理系统以及各种支撑系统等，是承载业务系统的基础平台。主机和系统是信息系统威胁的主要目标之一。10/14/202238应用和业务安全应用和业务系统是最终实现各项业务工作的上层系统。对相应应用系统的安全管理要与具体的业务特点相结合。10/14/202239数据安全数据安全在信息安全中占有非常重要的地位。数据的保密性、数据的完整性、数据内容的真实性和可靠性等安全特性的要求在业务中都非常突出。10/14/202240基于信息系统生命周期的安全管理信息系统是由生命周期的。信息安全保障也涉及到信息系统生命周期的各个阶段。信息系统生命周期可以划分为两个阶段：1、系统投入前的工程设计和开发阶段；2、系统的运行和维护阶段。10/14/202241信息系统安全和信息系统本身的三同步1、同步规划2、同步建设3、同步运行10/14/202242项目工程安全管理在信息系统投入运行前，信息系统安全的能力、强度、脆弱性、可改进的潜力等方面有相当的部分已经确定和定型。因此，对于一个信息系统，不应当在系统建设完成后再考虑信息安全问题，而应当从系统建设的初期开始，在建设的整个过程中同步考虑。10/14/202243日常运行于维护的安全管理一个信息系统及其信息安全系统建设完成后，其安全工作并没有结束。真正的安全效果需要通过日常运行中的安全管理来实现，工程过程中奠定的信息安全基础需要通过管理手段加以发挥。10/14/202244配置管理和变更管理配置管理和变更管理是任何形式的管理中不可或缺的管理过程。在信息安全管理中，这两方面管理的作用尤为突出。1、配置管理：从信息安全管理的角度看，应当对被保护的资产以及相应的保护措施进行配置描述，并应当对各个配置描述进行持续的跟踪管理。2、变更管理：人员、设备、流程等各个方面的变化，都可能导致信息安全风险的变化，因此，要对信息系统中重要的变更进行管理。需要建立正规的变更流程来控制变更可能导致的风险。10/14/202245文档化和流程规范化文档化是信息安全管理工作的重要部分。只有将各种管理办法、管理过程、管理要求等通过文档的形式明确下来，才能保证信息安全管理工作进一步得到落实和贯彻。业务的运行以及单位自身的正常运营需要通过许多操作过程（流程）来具体实现，管理流程的规范化程度可以体现管理的水平。10/14/202246新技术、新方法的跟踪和采用不断运用新技术、新方法是提高业务能力和竞争力水平的重要手段。因此，对于新技术和新方法要不断跟踪，并有计划地将新技术和新方法应用到业务系统中。甚至，为了保证竞争力的持续提高，还要进行前瞻性的技术和方法研究。但是新的技术和方法可能带来新的风险，甚至一些风险在该技术没有得到广泛应用和成熟化之前很难被发现。因此，在采取任何较新的技术和方法之前，都要进行严格的安全评估。10/14/202247风险管理风险管理是基本管理过程之一。信息安全风险管理是整体风险管理的一个有机组成部分，是其在信息化领域的具体体现。在信息安全风险管理过程中，要实施如下工作：1、资产鉴别、分类和评价2、威胁鉴别和评价3、脆弱性评估—评估防护措施的效力和存在的脆弱性4、安全风险评估和评级—综合资产、威胁、脆弱性的评估和评价，完成最终的风险评估和评级。5、决策并实施风险处理措施—根据风险评估的结果，作出风险处理和控制的相关决策，并投入实施。10/14/202248业务连续性管理业务连续性管理不仅仅是灾难恢复、危机管理、风险管理控制或者技术恢复，也不仅仅是一个专业的技术问题，更重要的是一个业务驱动和高层驱动的管理问题。它是一个全盘的管理过程，重在识别潜在的影响，建立整体的恢复能力和顺应能力，在危机或灾害发生时保护信息系统所有者的声誉和利益。10/14/202249符合性审核符合性审核是确保整体管理工作有效实施的重要管理过程。此类管理过程可以将信息安全管理工作纳入到一个良性的、持续改进的循环中。需要考虑的审核内容包括：法律和法规、内部的方针和制度、技术标准以及其他需要遵循的各种范围要求。10/14/202250信息安全管理体系构成1、方针与策略管理2、风险管理3、人员与组织管理4、环境与设备管理5、网络与通信管理6、主机与系统管理7、应用于业务管理8、数据/文档/介质9、项目工程管理10、运行维护管理11、业务连续性管理12、合规性管理10/14/202251数据/文档/介质管理方针和策略管理应用与业务管理主机与系统管理网络与通信管理环境与设备管理风险管理业务连续性管理项目工程管理运行维护管理人员和组织管理合规性管理信息安全管理体系构成10/14/202252方针与策略管理确保企业、组织拥有明确的信息安全方针以及配套的策略和制度，以实现对信息安全工作的支持和承诺，保证信息安全的资金投入。10/14/202253风险管理信息安全建设不是避免风险的过程，而是管理风险的过程。没有绝对的安全，风险总是存在的。信息安全体系建设的目标就是把风险控制在可以接受的范围之内，风险管理同时也是一个动态持续的过程。10/14/202254人员与组织管理建立组织机构，明确人员岗位职责，提供安全教育和培训，对第三方人员进行管理，协调信息安全监管部门与行内其他部门之间的关系，保证信息安全工作的人力资源要求，避免由于人员和组织上的错误产生信息安全风险。10/14/202255环境与设备管理控制由于物理环境和硬件设施的不当所产生的风险。管理的内容包括物理环境安全、设备安全、介质安全等。10/14/202256网络与通信安全控制、保护网络和通信系统，防止受到破坏和滥用，避免和降低由于网络和通信系统的问题对业务系统的损害。10/14/202257主机与系统管理控制和保护主机及其系统，防止受到破坏和滥用，避免和降低由此对业务系统的损害。10/14/202258应用与业务管理对各类应用和业务系统进行安全管理，防止受到破坏和滥用。10/14/202259数据/文档/介质管理采用数据加密和完整性保护机制，防止数据被窃取和篡改，保护业务数据的安全。10/14/202260项目工程管理保护信息系统项目过程的安全，确保项目的成果是可靠的安全系统。10/14/202261运行维护管理保护信息系统在运行期间的安全，并确保系统维护工作的安全。10/14/202262业务连续性管理通过设计和执行业务连续性计划，确保信息系统在任何灾难和攻击下，都能够保证业务的连续性。10/14/202263合规性管理确保信息安全保障工作符合国家法律、法规的要求；并且信息安全方针、规定和标准得到了遵循。10/14/20226412项信息安全管理类的作用关系1、方针与策略管理：是整个信息安全管理工作的基础和整体指导，对于其他所有的信息安全管理类都有指导和约束的关系。10/14/20226512项信息安全管理类的作用关系2、人员与组织管理：是要根据方针和策略来执行的信息安全管理工作。10/14/20226612项信息安全管理类的作用关系3、合规性管理：指导如何检查信息安全管理工作的效果。特别是对于国家法律法规，方针政策和标准符合程度的检验。10/14/20226712项信息安全管理类的作用关系4、根据方针与策略，由人员与组织实施信息安全管理工作。在实施中主要从两个角度来考虑问题，即风险管理和业务连续性管理。10/14/20226812项信息安全管理类的作用关系5、根据信息系统的生命周期，可以将信息系统分为两个阶段，即项目工程开发阶段和运行维护阶段。这两个信息安全管理类体现了信息系统和信息安全工作的生命周期特性。10/14/202269第二节信息安全管理标准一、BS7799二、其他标准10/14/202270BS7799简介BS7799概述：BS7799是英国标准委员会（BritshStandardsInsstitute,BSI）针对信息安全管理而制定的标准。分为两个部分：第一部分：被国际标准化组织ISO采纳成为ISO/IEC17799:2005标准的部分，是信息安全管理实施细则（CodeofPracticeforInformationSecurityManage-ment），主要供负责信息安全系统开发的人员参考使用，其主要内容分为11方面，提供了133项安全控制措施（最佳实践）。第二部分：被国际标准化组织ISO采纳成为ISO/IEC20071:2005标准的部分，是建立信息安全管理体系（ISMS）的一套规范（SpecificationforInformationSecurityManagementSystems）,其中详细说明了建立、实施和维护信息安全管理体系的要求，可以用来指导相关人员应用ISO/IEC17799:2005,其最终目的在于建立适合企业需要的信息安全管理体系。10/14/202271BS7799发展历程BS7799最初由英国贸工部立项，是业界、政府和商业机构共同倡导的，旨在开发一套可供开发、实施和衡量有效信息安全管理实践的通用框架。1995年，BS7799-1:1995《信息安全管理实施细则》首次发布1998年，BS7799-2:1998《信息安全管理体系规范》发布1999年4月，BS7799的两个部分被修订，形成了完整的BS7799-1:19992000年国际信息化标准组织将其转化为国际标准，即ISO/IEC17799:2000《信息技术—信息安全管理实施细则》2002年BSI对BS7799-2：1999进行了重新修订，正式引入PDCA过程模型；2004年9月BS7799-2:2002正式发布2005年6月，ISO/IEC17799:2000经过改版，形成了新的ISO/IEC17799:2005,同年10月推出了ISO/IEC27001:2005目前有20多个国家和地区引用BS7799作为本国（地区）标准，有40多个国家和地区开展了与此相关的业务。在我国ISO17799:2000已经被转化为GB/T19716-200510/14/202272BS7799的内容*BS7799-1:《信息安全管理实施规则》主要是给负责开发的人员作为参考文档使用，从而在他们的机构内部实施和维护信息安全。*BS7799-2:《信息安全管理体系规范》

详细说明了建立、实施和维护信息安全管理体系的要求，指出实施组织需要通过风险评估来鉴定最适宜的控制对象，并根据自己的需求采取适当的安全控制。10/14/202273

信息安全管理实施细则将信息安全管理内容划分为11个方面，39个控制目标，133项控制措施，供信息安全管理体系实施者参考使用，这11个方面包括：1、安全策略（SecurityPolicy）2、组织信息安全(OrganizingInformationSecurity)3、资产管理(AssetMangement)4、人力资源安全(HumanResourcesSecurity)5、物理与环境安全(PhysicalandEnvironmentalSecurity)BS7799-1(ISO/IEC17799)10/14/2022746、通信与操作管理(CommunicationandOperationManagement)7、访问控制(AccessControl)8、信息系统获取、开发与维护(InformationSystemsAcquisition,DevelopmentandMaintenance)9、信息安全事件管理(InformationSecurityIncidentManagement)10、业务连续性管理(BusinessContinuityManagement)11、符合性(Compliance)10/14/202275安全策略：包括信息安全策略文件和信息安全策略复查。组织安全：包括在组织内建立发起和控制信息安全实施的管理框架；维护被外部伙伴访问、处理和管理的组织的信息，处理设施和信息资产的安全。资产管理：包括建立资产清单、进行信息分类与分级人力资源安全：包括岗位安全责任和人员录用安全要求，安全教育与培训，安全意识，离职及变更职位等。BS7799-1(ISO/IEC17799)10/14/202276物理与环境安全：包括安全区域控制、设备安全管理等通信与操作管理：包括操作程序和责任，系统规划和验收，防范恶意软件，内务管理，网络管理，介质安全管理，信息与软件交换安全访问控制：包括访问控制策略，用户访问控制，网络访问控制，操作系统访问控制，应用访问控制，监控与审计，移动和远程访问BS7799-1(ISO/IEC17799)10/14/202277信息系统获取、开发与维护：安全需求分析，安全机制设计（应用系统安全，密码控制，系统文件安全），开发和支持过程的安全控制信息安全事件管理：报告信息安全事件、安全缺陷；责任和程序、从信息安全事件吸取教训、证据收集。业务连续性管理：业务连续性计划的制订，演习，审核，改进符合性管理：符合法律法规，符合安全策略等。BS7799-1(ISO/IEC17799)10/14/202278对控制措施的描述不够细致，导致缺乏可操作性；133项控制措施未必适合全部的组织，应当有选择的参考使用；133项控制措施未必全面，可以根据实际情况进行增补。BS7799-1(ISO/IEC17799)10/14/202279ISO/IEC17799:2005列举了十项适用于几乎所有组织和大多数环境的控制措施：1、与法律相关的控制措施：（1）知识产权：遵守知识产权保护和软件产品保护的法律；（2）保护组织的记录：保护重要的记录不丢失，不被破坏和伪造；（3）数据保护和个人信息隐私：遵守所在国的数据保护法律。BS7799-1(ISO/IEC17799)10/14/2022802、与最佳实践相关的控制措施：（1）信息安全策略文件：高管批准发布信息安全策略文件，并广泛告知；（2）信息安全责任的分配：清晰地所有的信息安全责任；（3）信息安全意识、教育和培训：全体员工及相关人员应该接受恰当的意识培训；BS7799-1(ISO/IEC17799)10/14/202281（4）正确处理应用程序：防止应用程序中的信息出错、丢失或被非授权篡改及误用；（5）漏洞管理：防止利用已发布的漏洞信息来实施破坏；（6）管理信息安全事件和改进：确保采取一致和有效的方法来管理信息安全事件。（7）业务连续性管理：减少业务活动中断，保护关键业务过程不受重大事故或灾难影响。BS7799-1(ISO/IEC17799)10/14/202282信息安全管理体系规范(SpecificationforInformationSecurityManagementSystem)说明了建立、实施、维护，并持续改进ISMS的要求指导实施者如何利用BS7799-1来建立一个有效的ISMSBSI提供依据BS7799-2所建立ISMS的认证BS7799-2/ISO2700110/14/202283

建立ISMS（PLAN）定义ISMS的范围和策略识别和评估风险评估现有保证措施准备适用性说明取得管理层对残留风险的认可，并获得实施ISMS的授权BS7799-2/ISO2700110/14/202284

实施ISMS（DO）制订并实施风险处理计划实施安全控制措施实施安全意识和安全教育培训实施检测和响应安全机制BS7799-2/ISO2700110/14/202285

监视和复查ISMS（CHECK）实施监视程序和控制定期复审ISMS的效力定期进行ISMS内部审计复查残留风险和可接受风险的水平BS7799-2/ISO2700110/14/202286 改进ISMS（ACT）对ISMS实施可识别的改进实施纠正和预防措施确保改进成果满足预期目标BS7799-2/ISO2700110/14/202287

强调文档化管理的重要作用，文档体系包括安全策略适用性声明实施安全控制的规程文档ISMS管理和操作规程与ISMS有关的其它文档BS7799-2/ISO2700110/14/202288

建立ISMS的过程制订安全策略确定体系范围明确管理职责通过安全风险评估确定控制目标和控制措施复查、维护与持续改进BS7799-2/ISO2700110/14/202289二、其他标准1、PD3000BS7799标准本身是不具有很强的可实施性的，为了指导组织更好地建立ISMS并应对BS7799认证审核的要求，BSIDISC提供了一组有针对性的指导文件，即PD3000系列。10/14/2022902、CC（1）信息技术产品和系统安全性测评标准，是信息安全标准体系中非常重要的一个分支；是目前国际上最通行的信息技术产品及系统安全性测评标准，也是信息技术安全性评估结果国际互认的基础。（2）CC、ISO/IEC15408、GB/T18336是同一个标准。（3）CC的组要目标读者是用户、开发者和评估者。（4）与BS7799标准相比，CC的侧重点放在系统和产品的技术指标评价上；组织在依照BS7799标准来实施ISMS时，一些牵涉系统和产品安全的技术要求，可以借鉴CC标准。10/14/2022913、ISO/IECTR13335（1）信息和通信技术安全管理，是由ISO/IECJTC1制定的技术报告，是一个信息安全管理方面的指导性标准，其目的是为有效实施IT安全管理提供建议和支持。（2）对信息安全风险及其构成要素间关系的描述非常具体，对风险评估方法过程的描述很清晰，可用来指导实施。10/14/2022924、SSE-CMM（1）SSE-CMM模型是CMM在系统安全工程这个具体领域应用而产生的一个分支，是美国国家安全局（NSA）领导开发的，是专门用于系统安全工程的能力程度度模型。（2）ISO/IECDIS21827信息技术—系统安全工程—能力成熟度模型（3）SSE-CMM将系统安全工程成熟度划分为5个等级（4）SSE-CMM可以作为评估工程实施组织（如安全服务提供商）能力与资质的标准。我国国家信息安全测评认证中心在审核专业机构信息安全服务资质时，基本上就是依据SSE-CMM来审核并划分等级的。10/14/2022935、NISTSP800系列美国国家标准技术委员会（NIST）发布的SpecialPublication800文档是一系列针对信息安全技术和管理领域的实践参考指南。6、ITIL信息技术基础设施库（ITInfrastructureLibrary），是由英国中央计算机与电信局（CCTA）发布的关于IT服务管理最佳实践的建议和指导方针，旨在解决IT服务质量不佳的情况。10/14/2022947、CobiT信息及相关技术控制目标（ControlObjectivesforInformationandrelatedTechnology,CobiT）是由美国信息系统审计与控制协会针对IT过程管理制定的一套基于最佳实践的控制目标，是目前国际上公认的最先进、最权威的安全与信息技术管理和控制标准。

10/14/202295第三节信息安全策略一、信息安全策略概述二、制定信息安全策略三、确定信息安全策略保护的对象四、主要信息安全策略五、信息安全策略的执行和维护10/14/202296

安全策略包括：总体方针，指导性的战略纲领文件，阐明了企业对于信息安全的看法和立场、信息安全的目标和战略、信息安全所涉及的范围、管理组织构架和责任认定、以及对于信息资产的管理办法等内容针对特定问题的具体策略，阐述了企业对于特定安全问题的声明、立场、适用办法、强制要求、角色、责任认定等内容针对特定系统的具体策略，更为具体和细化，阐明了特定系统与信息安全有关的使用和维护规则等内容10/14/202297

安全策略的特点：力求全面和明确，不必过于具体和深入需要一个逐渐完善的过程，不可能一蹴而就应当保持适当的稳定性10/14/202298信息安全策略定义

信息安全策略是一组经过高级管理层批准，正式发布和实施的纲领性文件，描述了一个企业、组织的高层安全目标，它描述应该做什么，而不是如何去做，一份信息安全策略就像是一份工程管理计划书，这意味着它隐藏了执行的细节。信息安全策略是一种处理安全问题的管理策略的描述。安全策略必须遵循三个基本原则：确定性、完整性和有效性。10/14/202299信息安全策略的重要性信息安全策略是位于核心地位的方针和政策的集合，虽然它并不涉及具体的执行细节，但是明确描述了安全保护的对象范围，能够保证后续的控制措施被合理的执行，能够对安全产品的选择及管理实践起到指导和约束作用。遵循安全策略的信息系统建设和管理将会形成一个统一的有机整体，使得系统具有更好的安全性。10/14/2022100制定信息安全策略的时间理想情况下，制定信息安全策略的最佳时间是在发生第一起网络安全事故之前。10/14/2022101安全员需要了解的几个问题：

1、任何业务动作过程均存在不同程度的风险；2、保险公司不愿向没有信息安全策略的企业投保；3、一个包括软件开发策略在内的安全策略对与开发更安全的系统是有指导作用的。4、在安全事故发生后，安全事故很可能重复发生，所以第一次发生后实施安全策略尽管太晚，却十分必要；5、发生安全事故制定安全策略时，不要把重点放在攻破的地方，要从全局考虑安全问题；6、安全策略给用户的印象是企业对安全问题非常认真；7、当企业为政府或机关工作或与其合作时，一份安全策略应该是首先引起注意的事项；8、向用户展示企业质量标准控制所要求的可评价安全程序来说，安全策略可以作为该程序的指导方针。10/14/2022102信息安全策略开发流程1、确定信息安全策略的范围2、风险评估/分析或者审计3、信息安全策略的审查、批准和实施10/14/2022103制定信息安全策略制定信息安全策略的原则：1、先进的网络安全技术是网络安全的根本保证2、严格的管理是确保信息安全策略落实的基础3、严格的法律法规是网络安全的坚强后盾10/14/2022104先进的网络安全技术是网络安全的根本保证

用户对自身面临的威胁进行风险评估，决定其所需的安全服务种类，选择相应的安全机制，然后集成先进的安全技术，形成一个全方位的安全系统。10/14/2022105严格的管理是确保信息安全策略落实的基础

各计算机使用机构、企业和单位应建立相应的网络安全管理办法，加强内部管理，建立合适的网络安全管理系统，加强用户管理和授权管理，建立安全审计和跟踪体系，提高整体网络安全意识。10/14/2022106严格的法律法规是网络安全的坚强后盾

面对日趋严重的网络犯罪，必须建立与网络安全相关的法律、法规，使非法分子不会轻易发动攻击。10/14/2022107信息安全策略的设计范围一个合理的信息安全策略体系包括三个不同层次的策略文档：1、总体安全策略2、针对特定问题的具体策略3、针对特定系统的具体策略10/14/2022108总体安全策略文档阐述指导性的战略纲领文件，阐明了企业对与信息安全的看法和立场、信息安全的目标和战略、信息安全所涉及的范围、管理组织架构和责任认定以及对与信息资产的管理办法等内容。10/14/2022109针对特定问题的具体策略文档阐述了企业对于特定安全问题的声明、立场、适用办法、强制要求、角色、责任的认定等内容，例如：针对Internet访问操作、计算机和网络病毒防治、口令的使用和管理等特定问题，制定用针对性的安全策略。10/14/2022110针对特定系统的具体策略文档针对特定系统的具体策略，更为具体化和详细化，阐明了特定系统与信息安全有关的使用和维护规则等内容，如防火墙配置策略、电子邮件安全策略等等。10/14/2022111信息安全策略的15个制定范围1、物理安全策略2、网络安全策略3、数据加密策略4、数据备份策略5、病毒防护策略6、系统安全策略7、身份认证及授权策略8、灾难恢复策略9、事故处理、紧急响应策略10、安全教育策略11、口令管理策略12、补丁管理策略13、系统变更控制策略14、商业伙伴、客户关系策略15、复查审计策略10/14/2022112物理安全策略网络安全策略数据加密策略数据备份策略病毒防护策略系统安全策略身份认证及授权策略‘灾难恢复策略事故处理、紧急响应策略安全教育策略口令管理策略补丁管理策略系统变更控制策略商业伙伴、客户关系策略复查审计策略信息安全策略10/14/2022113物理安全策略物理安全策略包括环境安全、设备安全、媒体安全、信息资产的物理分布、人员的访问控制、审计纪录、异常情况的追查等。10/14/2022114网络安全策略网络安全策略包括网络拓扑结构、网络设备的管理、网络安全访问控制（防火墙、入侵检测系统、VPN等）、安全扫描、远程访问、不同级别网络的访问控制方式、识别/认证机制等等。10/14/2022115数据加密策略数据加密策略包括加密算法、适用范围、密钥交换和管理等。10/14/2022116数据备份策略数据备份策略包括适用范围、备份方式、备份数据的安全储存、备份周期、负责人等。10/14/2022117病毒防护策略病毒防护策略包括防病毒软件的安装、配置、对软盘使用、网络下载等作出的规定。10/14/2022118系统安全策略10/14/2022119身份认证及授权策略身份认证及授权策略包括认证及授权机制、方式、审计记录等。10/14/2022120灾难恢复策略灾难恢复策略包括责任人员、恢复机制、方式、归档管理、硬件、软件等。10/14/2022121事故处理、紧急响应策略事故处理、紧急响应策略包括响应小组、联系方式、事故处理计划、控制过程等。10/14/2022122安全教育策略安全教育策略包括安全策略的发布宣传、执行效果的监督、安全技能的培训、安全意识的教育等。10/14/2022123口令管理策略口令管理策略包括口令管理方式、口令设置规则、口令适应规则等。10/14/2022124补丁管理规则补丁管理规则包括系统补丁的更新、测试、安装等。10/14/2022125系统变更控制策略系统变更控制策略包括设备、软件配置、数据变更管理、一致性管理等。10/14/2022126商业伙伴、客户关系策略商业伙伴、客户关系策略包括合同条款安全策略、客户服务安全建议等。10/14/2022127复查审计策略复查审计策略包括对安全策略的定期复查、对安全控制及过程的重新评估、对系统日志记录的审计、对安全技术反战的跟踪等。10/14/2022128有效的信息安全策略的特点1、得到大部分需求支持并同时能够维护企业利益；2、清晰，无须借助过多的需求文档描述；3、提供框架结构和要求以进行用户培训、引导接受培训的人员确定在构建安全计算环境的最重要因素。10/14/2022129完整信息安全策略的覆盖范围SANS模型策略列表：1、可接受的加密控制；2、可接受的使用控制；3、模拟/ISDN线路和拨入访问控制；4、防病毒流程；5、应用程序提供上（ASP）控制；6、引入评估控制；7、审核和风险评估；8、自动转发电子邮件控制；9、数据库信任编码；10、Extranet访问控制；11、敏感信息控制；12、InternetDNS设备控制；13、实验室管理；14、口令保护；15、远程访问和VPN安全控制16、路由器安全管理；17、服务器安全管理；18、第三方网络连接协议；19、无线通信控制；10/14/2022130可接受的加密控制有助于保证企业应用的加密方法，已经通过了公共评估并业界已经证明是有效的。他能够解决合法性问题，尤其是考虑到出口法律条款时。10/14/2022131可接受的使用控制定义了什么是企业计算资源的可接收使用和不可接受使用的状态，这些企业计算资源包括隐私、秘密信息、版权、主动提供的通讯、防止硬件盗窃、自由言论和相关问题等。该特定策略能够扩展AUP的应用。10/14/2022132模拟/ISDN线路和拨入访问控制有助于保护系统免受拨入访问而导致的系统入侵以及拨出访问而产生的系统泄密等问题。还可以通过与业务案例紧密联系的批准流程和严格的运算要求，控制预定传真和调制解调器线路的人员。此外，安全策略还定义了包括含拨入访问的流程、正确赋予类似访问权限的规则以及不使用拨入访问的情况。10/14/2022133防病毒流程该流程提供了防病毒和相关问题，如垃圾邮件、邮件链、可执行的电子邮件附件等，未知可下栽的原地址、感染的软盘、可写的文件共享和非频繁的备份操作等建议。虽然文档中的信息仅作为指导使用（建议仅是推荐使用，并不具有强制性），但是许多企业然希望将其作为安全策略使用（所有要求都是在企业内部必须采用的）。10/14/2022134应用程序提供上（ASP）控制当企业需要恰当地将项目运作放在企业外部进行主机托管时，则可以定义确定大量敏感信息的规则。与之相关的文档定义了基本安全标准，是作为企业外部主机托管的ASP所必需考虑遵循的要求。10/14/2022135引入评估控制定义了企业如何从认可的企业接受计算机相关设备。提供替换、重新映像或审核系统与网络组件并重新建立Internet连接的指南。10/14/2022136审核和风险评估通过增强安全小组的处理能力，在任何企业所有的计算机系统或组件中进行安全性审核和风险评估。10/14/2022137自动转发电子邮件控制禁止未授权向外部系统转发电子邮件。10/14/2022138数据库信任编码指定程序所使用的用户名和口令登录数据库，并且应该安全保存并可由程序源代码外部调用。10/14/2022139Extranet访问控制定义了第三方如何访问企业Internet的要求。需要企业评估第三方安全性和业务案例以确认系统访问。10/14/2022140敏感信息控制定义敏感信息级别，如“限制”、“秘密”、“仅供内部使用”和“公开”等。为每个级别定义了适当的格式的数据存储和分发。10/14/2022141InternetDMZ设备控制建立部署在企业专用网络在非严格要求区域（Demilita-rizedZone,DMZ）所有设备所必须满足的标准。10/14/2022142实验室管理对于具有开发实验室的企业来讲，必须制定宽松的策略以进行开发工作。提供多个策略定义相关的标准并提出附加要求，如指定一名与管理员单一联系的人员。10/14/2022143口令保护设定口令管理标准，如最长的口令有效时间、全球口令数据库、创建健壮口令的规则以及禁止口令共享和泄漏。10/14/2022144远程访问和VPN安全控制规定了所有类型个人执行远程访问的各种形式。总体来讲，扩展了所有相关的内不策略覆盖远程访问。该策略提供了更多用于虚拟个人网络(VPN)的规则，例如，要求所有活动的网络流量都要通过VPN传输，而不是同时通过VPN和不安全的网络连接传输。10/14/2022145路由器安全控制该策略为企业设定路由器配置标准，如包过滤规则以防止网络欺诈、简单的网络管理协议（SNMP）通信和“无侵入”信号等。10/14/2022146服务器安全管理建立服务器配置和注册的标准，如禁止不必要的设备、强制设备注册、定期不定修复与其他服务器的信任限制和服务其硬件的物理安全等。10/14/2022147第三方网络连接协议该协议是企业与提供相应网络连接的第三方之间的合同。10/14/2022148无线通讯控制定义企业内部部署未注册无线访问控制点的最少加密标准和限制。10/14/2022149确定信息安全策略保护的对象一、信息系统的硬件与软件二、信息系统的数据三、人员10/14/2022150信息系统的硬件与软件保护硬件和软件是支撑商业运行的平台，它们应该受到策略保护。所以拥有一份完整的清单是非常重要的。1、硬件：CPU、主板、键盘、显示器、工作站、个人电脑、打印机、磁盘驱动器、通信线路、终端服务器、路由器、诊断设备等；2、软件：源程序、目标程序、工具程序、诊断程序、操作系统、通信程序等。10/14/2022151信息系统的数据保护编写策略的时候，有许多关于数据处理的事情是必须考虑的。策略必须考虑到数据是如何处理的，怎么保证数据的完整性和保密性。除此之外，还必须考虑到如何监测数据的处理。数据是组织的命脉，所以必须有完整的机制来监测它在整个系统中的活动。10/14/2022152人员保护首先，重点应该放在谁在什么情况下能够访问资源。策略对那些需要访问的人授权直接访问的权力，对那些不该访问的人，策略则要限制他们访问。接下来要考虑的就是强制执行制度和对未授权访问的的惩罚制度。如：公司的运作由法律保护吗？对违反策略的员工有什么样的纪律上的处罚？在法律上又能做些什么？10/14/2022153主要信息安全策略一、口令策略：1、服务器口令的管理2、用户口令的管理10/14/2022154网络服务器口令的管理1、服务器的口令，由部门负责人和系统管理员商定确定，必须两人同是在场确定；2、服务器的口令须部门负责人在场时，由系统管理员记录封存；3、口令要定期更换（视网络具体情况），更换后系统管理员要销毁原记录，将新口令记录封存；4、如发现口令有泄密现象，系统管理员要立即报告部门负责人，有关部门负责人报告安全部门，同时，要尽量保护好现场并记录，须接到上一级主管批示后再更换口令。10/14/2022155用户口令的管理1、对于要求设定口令的用户，由用户方指定负责人与系统管理员商定口令，由系统管理员登记并请用户负责人确认（签字或电话通知）之后系统管理员设定口令，并保存用户档案；2、在用户由于责任人更换或忘记口令时要求查询口令或要求更换口令的情况下，须向网络服务管理部门提交申请单，由部门负责人或系统管理员核实后，对用户档案作更新记载；3、如果网络提供用户自我更新口令的功能，用户应自己定期更换口令，并设专人负责保密和维护工作。10/14/2022156创建口令时应避免的几个问题1、绝不要将个人信息用作口令的基础2、不可将自己的偶像用于口令3、不要使用基于放在办公室桌上的物品的口令4、不要将口令文件保存在本地机器或共享网络上。10/14/2022157创建有效口令的通用规则1、保存口令唯一安全的地方是脑袋或上了锁的保险箱；2、有效的口令必须相当长，但又不能长到您无法记住他们的程度；3、以合理的方式使用特殊字符、大写字母和数字。10/14/2022158计算机病毒和恶意代码防治策略病毒防护策略必须具备下列准则：1、拒绝访问能力2、病毒检测能力3、控制病毒传播的能力4、清除能力5、恢复能力6、替代操作10/14/2022159拒绝访问能力来历不明的入侵软件（尤其是网络传过来的）不得进入系统。10/14/2022160病毒检测能力病毒总是有可能进入系统的，系统中设置检测病毒机制是非常必要的。除了检测已知类病毒外，能否检测未知病毒是一个重要指标。10/14/2022161控制病毒传播的能力没有一种办法可以检测出所有的病毒，一旦病毒进入了系统，应不让病毒在系统中到处传播。系统一定要有控制病毒传播的能力。10/14/2022162清除能力如果病毒突破了系统防护，即使它的传播受到了控制，也要有相应的措施将它清除掉。对于已知类病毒，可以使用专杀软件；对于未知类病毒，在发现后使用软件工具对他进行分析，尽快编写出消毒软件。当然，如果有后备文件，也可使用它直接覆盖受感染文件，但一定要查清病毒的来源。10/14/2022163恢复能力有可能在清除病毒以前，病毒就破坏了系统中的数据，系统应提供一种高效的方法来恢复这些数据。10/14/2022164替代操作可能会遇到这样的情况，问题发生时，手头没有可用的技术，任务又必须执行下去。系统应该提供一种替代操作方案。在恢复系统时可用替代系统工作，等问题解决后再替换过来。这一准则对于战时的军事系统是必要的。10/14/2022165安全教育与培训策略安全教育策略具体实施中应有一定的层次：1、主管信息安全工作的高级负责人或各级管理人员：重点是了解、掌握企业信息安全的整体策略及目标、信息安全体系的构成、安全管理部门的建立和管理制度的制定等；2、负责信息安全运行管理及维护的技术人员：重点是充分理解信息安全管理策略，掌握安全评估的基本方法，对安全操作和维护技术的合理运用等。3、用户：重点是学习各种安全操作规程，了解和掌握与其相关的安全策略，包括自身应承担的安全职责等。10/14/2022166最终用户策略1、数据和应用所有权：2、硬件的使用：3、互联网的使用：4、加固最终用户：账户管理、补丁管理、事件报告等制度5、时时更新6、强制执行10/14/2022167简单的安全培训策略1、建立专门的机构和岗位，负责组织范围内安全教育与培训计划的制定和执行；2、制定详细的安全教育和培训计划，对信息安全技术和管理人员进行安全专业知识技能培训，对普通用户进行安全基础知识、安全策略和管理制度培训，提高人员的整体安全意识和安全操作水平；3、管理机构定期对安全教育和培训的成果进行抽查和考核，检验安全教育和培训活动的效果。10/14/2022168可接受使用策略AUP在完成了大部分策略的编制工作后，需要对其进行总结和提炼，产生的成果文档被称为AUP。AUP以终端用户作为阅读对象，具有简短而突出重点的特点，被看作是一份信息安全策略的“快速入门”文件。10/14/2022169AUP通常包含以下主要内容1、概述：描述什么事AUP，企业、组织发布AUP的目的，制定AUP的原则以及一些必要的法律声明等；2、安全策略说明：说明制定AUP所依据的信息安全策略，提示用户信息安全策略的更便会影响到AUP的修订，并且告诉用户从哪里可以获得详细的安全策略文档；3、术语说明：将AUP中涉及的术语名词，以及AUP签署生效的有效时间进行说明；4、用户责任：对信息安全策略中所有涉及到用户信息安全责任内容，应当进行总结和提炼，以简单明了的语言进行阐述，使得用户充分了解自己对于企业、组织信息安全所承担的责任和义务。10/14/2022170信息安全策略的执行当安全策略编写和批准发布之后，应当建立保障手段确保安全策略被有效遵守和执行，责任声明和惩罚制度是最重要的保障手段，它应该明确阐述违反安全策略的行为将要承担什么样的责任，接受哪些责任追究。所有制定好的安全策略、可接受使用策略以及保障策略执行的制度，都要通过教育和培训，传达给所有网络和信息系统用户。10/14/2022171信息安全策略的维护信息安全策略审查周期通常为6个月或1年，或者在企业、组织业务模式以及支撑业务实现的信息技术发生重大变化时进行。审查过程中最重要的内容是从风险评估或者日志审计分析中所获得的信息，其他有用的信息是从管理层得到的业务信息和业务过程信息，以及来自系统管理员和网络管理员的信息反馈。经过修订的安全策略，必须经过高级管理层的批准和发布。10/14/2022172第四节信息安全技术一、物理环境安全技术二、通讯链路安全技术三、网络安全技术四、系统安全技术五、身份认证安全技术10/14/2022173

物理环境安全技术

物理安全又叫实体安全（PhysicalSecurity），是保护计算机设备、设施（网络及通信线路）免遭地震、水灾、火灾、有害气体和其他环境事故（如电磁污染等）破坏的措施和过程。

引言

实体安全技术主要是指对计算机及网络系统的环境、场地、设备和通信线路等采取的安全技术措施。

物理安全技术实施的目的是保护计算机及通信线路免遭水、火、有害气体和其他不利因素(人为失误、犯罪行为)的损坏。10/14/2022174

1）计算机及其网络系统自身存在的脆弱性因素。2）各种自然灾害导致的安全问题。3）由于人为的错误操作及各种计算机犯罪导致的安全问题。

物理安全包括：环境安全、电源系统安全、设备安全和通信线路安全。

影响计算机网络实体安全的主要因素如下：10/14/2022175

物理环境安全的内容

1)环境安全：应具备消防报警、安全照明、不间断供电、温湿度控制系统和防盗报警。2)电源系统安全：电源安全主要包括电力能源供应、输电线路安全、保持电源的稳定性等。3)设备安全：要保证硬件设备随时处于良好的工作状态，建立健全使用管理规章制度，建立设备运行日志。同时要注意保护存储媒体的安全性，包括存储媒体自身和数据的安全。4)通信线路安全：包括防止电磁信息的泄漏、线路截获，以及抗电磁干扰。10/14/2022176物理环境安全包括以下主要内容:1）计算机机房的场地、环境及各种因素对计算机设备的影响。2）计算机机房的安全技术要求。3）计算机的实体访问控制。4）计算机设备及场地的防火与防水。5）计算机系统的静电防护。6）计算机设备及软件、数据的防盗防破坏措施。7）计算机中重要信息的磁介质的处理、存储和处理手续的有关问题。

物理环境安全的内容10/14/2022177物理环境安全涉及的主要技术标准

（1）GB/T2887-2000

《电子计算机场地通用规范》

（2）GB/T9361-1988

《计算站场地安全要求》

（3）GB/T14715-1993

《信息技术设备用UPS通用技术条件》

（4）GB50174-1993

《电子计算机机房设计规范》

计算机机房建设至少应遵循国标GB/T2887-2000和GB/T9361-1988，满足防火、防磁、防水、防盗、防电击、防虫害等要求，并配备相应的设备。10/14/2022178环境安全技术

安全保卫技术是环境安全技术的重要一环，主要的安全技术措施包括：防盗报警、实时监控、安全门禁等。

计算机机房的温度、湿度等环境条件保持技术可以通过加装通风设备、排烟设备、专业空调设备来实现。

计算机机房的用电安全技术主要包括不同用途电源分离技术、电源和设备有效接地技术、电源过载保护技术和防雷击技术等。

计算机机房安全管理技术是指制定严格的计算机机房工作管理制度，并要求所有入机房的人员严格遵守管理制度，将制度落到实处。10/14/2022179表3-1计算机机房安全要求(十：要求，—：有要求或增加要求)安全类别A类机房B类机房C类机房场地选择--

防火---内部装修+-

供配电系统+--空调系统+--火灾报警和消防设施+--防水+-

防静电+-

防雷击+-

防鼠害+-

防电磁泄漏--

场地选择--

10/14/2022180

机房安全要求

如何减少无关人员进入机房的机会是计算机机房设计时首先要考虑的问题。

计算机机房最好不要安排在底层或顶层，这是因为底层一般较潮湿，而顶层有漏雨、穿窗而入的危险。在较大的楼层内，计算机机房应靠近楼梯的一边。

外来人员进入手续。

计算机机房所在建筑物的结构安全。

10/14/2022181机房防盗要求

视频监视系统是一种更为可靠的防盗设备，能对计算机网络系统的外围环境、操作环境进行实时全程监控。对重要的机房，还应采取特别的防盗措施，如值班守卫、出入口安装金属探测装置等。

在需要保护的重要设备、存储媒体和硬件上贴上特殊标签（如磁性标签），当有人非法携带这些重要设备或物品外出时，检测器就会发出报警信号。

将每台重要的设备通过光纤电缆串接起来，并使光束沿光纤传输，如果光束传输受阻，则自动报警。

10/14/2022182

机房三度要求

温度、湿度和洁净度并称为三度，为保证计算机网络系统的正常运行，对机房内的三度都有明确的要求。为使机房内的三度达到规定的要求，空调系统、去湿机、除尘器是必不可少的设备。重要的计算机系统安放处还应配备专用的空调系统，它比公用的空调系统在加湿、除尘等方面有更高的要求。

温度：机房温度一般应控制在18～22℃

湿度：相对湿度一般控制在40％～60％为宜

洁净度：尘埃颗粒直径<0.5μm，含尘量<1万颗/升10/14/2022183

防火与防水要求

计算机机房的火灾一般是由电气原因、人为事故或外部火灾蔓延引起的。

计算机机房的水灾一般是由机房内有渗水、漏水等原因引起的。

为避免火灾、水灾，应采取如下具体措施:

（1）隔离

（2）火灾报警系统

（3）灭火设施

(4）管理措施

10/14/2022184

供电系统安全

电源是计算机网络系统的命脉，电源系统的稳定可靠是计算机网络系统正常运行的先决条件。电源系统电压的波动、浪涌电流和突然断电等意外情况的发生还可能引起计算机系统存储信息的丢失、存储设备的损坏等情况的发生，电源系统的安全是计算机系统物理安全的一个重要组成部分。

GB/T2887-2000将供电方式分为三类:一类供电：需要建立不间断供电系统。二类供电：需要建立带备用的供电系统。三类供电：按一般用户供电考虑。10/14/2022185

防静电措施

不同物体间的相互摩擦、接触会产生能量不大但电压非常高的静电。如果静电不能及时释放，就可能产生火花，容易造成火灾或损坏芯片等意外事故。计算机系统的CPU、ROM、RAM等关键部件大都采用MOS工艺的大规模集成电路，对静电极为敏感，容易因静电而损坏。

机房的内装修材料一般应避免使用挂毯、地毯等吸尘、容易产生静电的材料，而应采用乙烯材料。为了防静电，机房一般要安装防静电地板。

机房内应保持一定湿度，特别是在干燥季节应适当增加空气湿度，以免因干燥而产生静电。

10/14/2022186接地与防雷要求

接地与防雷是保护计算机网络系统和工作场所安全的重要安全措施。接地是指整个计算机系统中各处电位均以大地电位为零参考电位。接地可以为计算机系统的数字电路提供一个稳定的0V参考电位，从而可以保证设备和人身的安全，同时也是防止电磁信息泄漏的有效手段。

要求良好接地的设备有：各种计算机外围设备、多相位变压器的中性线、电缆外套管、电子报警系统、隔离变压器、电源和信号滤波器、通信设备等。

计算机房的接地系统要按计算机系统本身和场地的各种地线系统的设计要求进行具体实施。

10/14/2022187

硬件设备的维护和管理

1．硬件设备的使用管理

1）要根据硬件设备的具体配置情况，制定切实可行的硬件设备的操作使用规程，并严格按操作规程进行操作。

2）建立设备使用情况日志，并严格登记使用过程的情况。

3）建立硬件设备故障情况登记表，详细记录故障性质和修复情况。

4）坚持对设备进行例行维护和保养，并指定专人负责。

2．常用硬件设备的维护和保养

定期检查供电系统的各种保护装置及地线是否正常

对设备的物理访问权限限制在最小范围内10/14/2022188电磁兼容和电磁辐射的防护

计算机网络系统的各种设备都属于电子设备，在工作时都不可避免地会向外辐射电磁波，同时也会受到其他电子设备的电磁波干扰，当电磁干扰达到一定的程度就会影响设备的正常工作。电磁辐射泄密的危险。

电磁辐射防护的措施：

(1)一类是对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合；

(2)对辐射的防护可分为：1)采用各种电磁屏蔽措施，如对设备的金属屏蔽和各种接插件的屏蔽，同时对机房的下水管、暖气管和金属门窗进行屏蔽和隔离；2)干扰的防护措施，即在计算机系统工作的同时，利用干扰装置产生一种与计算机系统辐射相关的伪噪声向空间辐射来掩盖计算机系统的工作频率和信息特征。

10/14/2022189

信息存储媒体的安全管理

计算机网络系统的信息要存储在某种媒体上，常用的存储媒体有：硬盘、磁盘、磁带、打印纸、光盘等。

1）存放有业务数据或程序的磁盘、磁带或光盘，必须注意防磁、防潮、防火、防盗。2）对硬盘上的数据，要建立有效的级别、权限，并严格管理，必要时要对数据进行加密，以确保硬盘数据的安全。3）存放业务数据或程序的磁盘、磁带或光盘，管理必须落实到人，并分类建立登记簿。4）对存放有重要信息的磁盘、磁带、光盘，要备份两份并分两处保管。5）打印有业务数据或程序的打印纸，要视同档案进行管理，6）凡超过数据保存期的磁盘、磁带、光盘，必须经过特殊的数据清除处理，视同空白磁盘、磁带、光盘。7）凡不能正常记录数据的磁盘、磁带、光盘，必须经过测试确认后销毁。8）对需要长期保存的有效数据，应在磁盘、磁带、光盘的质量保证期内进行转储，转储时应确保内容正确。

10/14/2022190通信线路安全技术

用一种简单（但很昂贵）的高技术加压电缆，可以获得通信线路上的物理安全。

通信电缆密封在塑料套管中，并在线缆的两端充气加压。线上连接了带有报警器的监示器，用来测量压力。如果压力下降，则意味电缆可能被破坏了，技术人员还可以进一步检测出破坏点的位置，以便及时进行修复。

距离大于最大长度限制的系统之间，不采用光纤线通信；或加强复制器的安全，如用加压电缆、警报系统和加强警卫等措施。

Modem的安全性。10/14/2022191通信链路安全技术数据链路层加密机制能够提供数据在广域网传输时的保密性和完整性保护，防止数据在传输过程中被窃取和篡改。相关的标准：1、国家有关链路加密机所使用的密码协议、密码算法、密钥管理的规定；2、远程用户安全接入协议RADIUS 10/14/2022192链路加密方式在物理层（OSI最底层）加密，加密设备不但对数据报文正文加密，而且把路由信息、协议信息等全部加密。10/14/2022193链路加密技术优缺点优点可实现流量保密（密码分析者不能存取信息）系统安全性不依赖任何传输管理技术密钥管理简单，对用户透明（点-点间密钥相同）缺点网络中每个物理链路都必须加密，网络开销大需要公共网络提供者配合网络结点中的数据是明文10/14/2022194

加解密过程示意图加密和解密算法的操作通常都是在一组密钥的控制下进行的,分别称为加密密钥(EncryptionKey)

和解密密钥(DecryptionKey)明文明文密文加密算法解密算法加密密钥解密密钥10/14/2022195链路层链路/物理层（1—2）网络层加密传输/网络层（3—4）应用层加密应用层（5—7）链路层防护技术——加密：加密机制的配置10/14/2022196通信加密实现(一)节点（发方）加密解密节点（交换中心）加密解密节点（收方）数据（明文）密钥A密钥A（明文）数据密文密文密文链路加密技术10/14/2022197三种加密方式比较方式优点缺点链路—链路加密包含报头和路由信息在内的所有信息均加密；单个密钥损坏时整个网络不会损坏，每队网络节点可使用不同的密钥；加密对用户透明。消息以明文形式通过每一个节点；因为所有节点都必须有密钥，密