信息资源管理全面概论

信息资源管理一、信息资源管理概论1.信息资源管理的目标信息资源管理的目标，总的说来就是通过人们的计划、组织、协调等活动，实现对信息资源的科学的开发、合理的配置和有效的利用，以促进社会经济的发展。对社会或某个国家来说，信息资源的丰裕程度、信息产业的发展状况，是衡量经济发展水平和国力的重要标志。因此信息资源管理的目标，还要结合特定的国家或地区社会经济发展的现状、目标和战略，提出更具针对性的目标。我国属于发展中国家，经济发展水平和信息资源丰裕度不高，但发展速度快。现在正在实现从计划经济向社会主义市场经济的转变，还要实现经济增长方式从粗放型到集约型的转变，信息资源管理要为实现这两个转变服务，要为我国经济持续、高速、稳定发展服务,以信息化带动工业化。

我国地域辽阔、但各地区各行业发展不平衡。在信息资源的开发与利用上，我们必须突出重点，使较发达地区与行业通过推进信息化，在经济活动中更好地与国际社会接轨，增强我国经济的国际竞争能力，并以此带动欠发达地区与行业的发展。对于一个组织，特别是企业组织来说，信息资源管理的目标是为实现组织的整体目标服务的。当前，企业面临的环境复杂多变，市场竞争十分激烈，经济活动全球化、市场国际化的趋势加速，信息资源的开发、配置与利用，要为提高企业的应变能力和竞争能力服务。2、信息资源管理的类型从信息资源涉及的经济活动类型来分，有①信息资源的生产与创新管理；②信息资源的分配与流通管理；③信息基础设施的建设与运用管理（即信息资源的配置与运用的管理）；④信息服务的管理。从信息资源管理的目的来分有①面向一般社会组织（包括企业）信息资源的管理，目的在于促进组织目标的实现；②面向信息产品生产与信息服务业的信息资源管理，目的在于满足社会上广大用户的对信息产品和信息服务的需求；③面向政府部门的信息资源管理。目的在于使政府部门更好地实施其宏观调控和信息服务的职能。3.信息资源管理的内容一个现代社会组织的信息资源主要有：①计算机和通信设备；②计算机系统软件与应用软件；③数据及其存储介质；④非计算机信息处理存储装置；⑤技术、规章、制度、法律；⑥从事信息活动的人一个信息系统就是这些信息资源为实现某类目标的有序组合，因此信息系统的建设与管理就成了组织内信息资源配置与运用的主要手段。面向组织的信息资源管理的主要内容有：①信息系统的管理包括信息系统开发项目的管理、信息系统运行与维护的管理、信息系统的评价等；②信息资源开发、利用的标准、规范、法律制度的制订与实施；③信息产品与服务的管理；④信息资源的安全管理；⑤信息资源管理中的人力资源管理4.信息资源管理的组织概述信息资源作为一种重要的国家战略资源，其丰裕程度已成为衡量一个国家国力和经济发展水平的重要技术指标。因此，各国政府都将信息资源的开发和管理纳入重要的议事日程。但信息资源的开发和使用过程涉及的人员和范围较广，内容庞杂，为了防止信息资源的浪费和滥用，最大限度地提高信息资源的效用，需要国家各级政府机构、民间组织、企业等各方面的共同努力，尤其需要建立和健全完善的组织机构强化对信息资源开发、利用的管理和控制。目前在我国，信息资源管理的组织机构主要分布在以下层次上：(1)各级政府的有关部门，如政府所属的各级信息中心、科技、教育、宣传、文化、统计、标准、技术监督等管理部门，它们在信息资源管理过程中的主要职责是：相应开发标准、法律、法规的审查与制订，规划与组织信息基础设施的建设，向企业及其他各类社会组织和公众提供必要的信息服务，从政策上指导信息资源的合理开发和有效应用，并从宏观角度上促进和加强国际间信息资源的交流与合作。(2)民间团体和组织，如学会、协会、学术社团等，它们在信息资源管理过程中的主要职责是：配合政府和企业，研究与制订信息资源开发的标准和规范，促进新技术的交流与推广。(3)信息服务机构，如图书、情报、影视、电台、网站等，其主要职责是面向各类不同消费者提供所需的信息服务与支持。(4)企业。由于市场竞争激烈和经济的全球化趋势加剧，越来越多的企业和组织已经并开始建立自己的管理信息系统，把信息作为一种重要的资源进行开发与利用，因此，各类企业实际上已成为对信息资源开发和利用最重要的地方。5.企业信信息资源管理理的组织由于信息资源源是企业的战战略资源，信信息资源管理理已成为企业业管理的重要要支柱。一般般的大中型企企业均设有专专门的组织机机构和专职人人员从事信息息资源管理工工作。这些专专门组织机构构如：信息中中心（或计算算中心）、图图书资料馆（（室）、企业业档案馆（室室），企业中中还有一些组组织机构也兼兼有重要的信信息资源管理理任务如：计计划、统计部部门、产品与与技术的研究究与开发部门门、市场研究究与销售部门门、生产与物物资部门、标标准化与质量量管理部门、、人力资源管管理部门、宣宣传与教育部部门、政策研研究与法律咨咨询部门等。。在有关信息资资源管理的各各类组织中，，企业信息中中心是基于现现代信息技术术的信息资源源管理机构，，其管理手段段与管理对象象多与现代计计算机技术、、通讯与网络络技术有关。。现代信息技技术本身是信信息资源的重重要组成部分分。利用现代代信息技术开开发、利用信信息资源是现现代信息资源源管理的主要要内容。大中型型企业业的信信息中中心的的主要要职能能包括括：(1)在企企业主主要负负责人人的主主持下下制订订企业业信息息资源源开发发、利利用、、管理理的总总体规规划，，其中中包括括信息息系统统建设设规划划；(2)企业业管理理信息息系统统的开开发、、维护护与运运行管管理；；(3)信息息资源源管理理的标标准、、规范范、规规章制制度的的制订订、修修订和和执行行；(4)信息息资源源开发发与管管理专专业人人员的的专业业技能能培训训、企企业广广大职职工信信息管管理与与信息息技术术知识识的教教育培培训和和新开开发的的信息息系统统用户户培训训；(5)企业业内部部和外外部的的宣传传与信信息服服务；；(6)为企企业信息技技术推广应应用其他项项目如计算算机辅助设设计CAD、计算机机辅助制造造CAM等等提供技术术支持。大中型企业业信息中心心的组织结结构示意图图企业信息中心系统开发部系统运行部技术支持部信息服务部培训部综合管理部系统分析与设计编程、测试、系统集成系统文档应用系统各子系统运行支持数据准备录入计算机操作软件技术支持数据库技术支持多媒体技术支持客户服务供应商服务高层信息支持职工服务专业培训普及培训专题培训新系统用户培训人员管理资金管理档案管理质量管理标准化管理安全管理通信与计算机网络技术支持企业建模与优化技术支持企业信息资资源管理的的人员(1)信息息主管由于信息资资源管理在在组织中的的重要作用用和战略地地位，企业业主要高层层管理人员员必须从企企业的全局局和整体需需要出发，，直接领导导与主持全全企业的信信息资源管管理工作。。担负这一一职责的企企业高层领领导人就是是企业的信信息主管（（ChiefInformationOfficer,CIO）。。企业信息主主管（CIO）的主主要职责是是：在企业主管管（总经理理、总裁））的领导下下，主持制制订、修订订企业信息息资源开发发、利用和和管理的全全面规划；；在企业主管管（总经理理、总裁））的领导下下，主持企企业管理信信息系统的的开发；直接领导企企业内信息息资源管理理职能部门门如信息中中心、图书书资料馆（（室）、企企业档案馆馆（室）的的工作，统统一领导与与协调企业业其他部门门信息资源源的开发、、利用与管管理工作，，主持信息息资源开发发、利用与与管理的对对外交流与与合作；审批企业业信息资资源管理理有关规规章制度度、标准准、规范范并监督督实施；；负责信息息管理与与信息技技术人才才的招聘聘、选拔拔与培养养；负责企业业信息资资源开发发、利用用与管理理所需资资金的预预算与筹筹措；参与企业业高层决决策。由此可见见，信息息主管对对企业的的信息资资源管理理负有全全面责任任。由于于信息资资源管理理关系企企业全局局，信息息主管一一般应由由相当于于企业副副总经理理或副总总裁的高高层管理理人员担担任。(2)中中、基基层管理理人员主主要有：：企业信息息资源管管理的中中、基层层管理人人员包括括信息中中心（或或计算中中心）、、图书资资料馆（（室）、、企业档档案馆（（室）等等组织机机构的负负责人，，这些机机构的分分支机构构的负责责人，企企业中兼兼有重要要的信息息资源管管理任务务组织机机构如：：计划、、统计、、产品与与技术的的研究与与开发、、市场研研究与销销售、生生产与物物资管理理、标准准化与质质量管理理、人力力资源管管理、宣宣传与教教育、政政策研究究与法律律咨询等等部门分分管信息息资源（（含信息息系统与与信息技技术）的的负责人人。：(3)企企业业管理信信息系统统的专业业人员主主要有：：l系统分析析员l系统设计计人员l程序员l系统文档档管理人人员l数据采集集人员l数据录入入人员l计算机硬硬件操作作与维护护人员l数据库管管理人员员l网络管理理人员l通信技术术人员l结构化布布线与系系统安装装技术术人员l承担培训训任务的的教师及及教学辅辅助人员员l图书资料料与档案案管理人人员l网站的编编辑与美美工人员员l从事标准准化管理理、质量量管理、、安全管管理、技技术管理理、计划划、统计计等人员员二、信息息系统的的安全管管理1.概概述随着信息息技术的的发展，，信息系系统的应应用范围围不断扩扩大，无无论是在在运行操操作、管管理控制制，还是是经营管管理计划划、战略略决策等等社会经经济活动动的各个个方面，，都发挥挥着越来来越大的的作用。。然而，，由于信信息系统统中处理理和存储储的，既既有日常常业务处处理信息息、技术术经济信信息，又又有涉及及到有关关国家安安全的政政治、经经济和军军事情况况以及一一些工商商企业单单位和人人的机密密和敏感感信息，，因此它它成为国国家和某某些部门门的宝贵贵财富，，同时也也成为敌敌对国家家和组织织以及一一些非法法用户、、别有用用心者威威胁和攻攻击的主主要对象象。信息系统统社会信信息化的的趋势，，一方面面体现了了信息系系统在现现代化建建设中的的重要作作用和战战略地位位，显示示了它的的巨大生生命力；；另一方方面也体体现了人人类及社社会的各各个方面面对信息息系统的的依赖性性越来越越强。本身的脆脆弱性和和易于攻攻击的弱弱点，使使得信息息系统的的安全问问题越来来越受到到人们的的广泛重重视。一一旦信息息系统的的任何破破坏或故故障，都都将对用用户以至至整个社社会产生生重大的的影响。。近年来世世界范围围内的计计算机犯犯罪、计计算机病病毒泛滥滥等问题题，使信信息系统统安全上上的脆弱弱性表现现得越来来越明显显。信息息系统的的安全问问题已成成为全球球性的社社会问题题，是当当前信息息资源管管理面临临的主要要挑战，，也是信信息系统统建设和和管理的的主要瓶瓶颈。2.信信息系统统安全的的基本概概念信息系统统安全的的基本要要求：在信息系系统采集集、存储储、加工工、传输输与利用用信息的的过程中中，各物物理设备备、通信信线路、、软件、、数据及及其存储储介质、、规章制制度和有有关人员员应具备备抵御来来自系统统内部或或外部对对信息及及有关设设施有意意攻击、、破坏、、窃取或或无意损损害、泄泄露的能能力以保保证信息息的机密性、、完整性性、可用用性、可可审查性性和抗抵赖性性。信息系统统的脆弱弱性信息系统统各个环环节的不不安全因因素：数据输入入部分：：数据通通过输入入设备进进入系统统，输入入数据容容易被篡篡改或输输入假数数据；数据处理理部分：：数据处处理部分分的硬件件容易被被破坏或或盗窃，，并且容容易受电电磁干扰扰或因电电磁辐射射而造成成信息泄泄漏；通信线路路：通信信线路上上的信息息容易被被截获，，线路容容易被破破坏或盗盗窃；软件：操操作系统统、数据据库系统统和程序序容易被被修改或或破坏；；输出部分分：输出出信息的的设备容容易造成成信息泄泄漏或被被窃取信息系统的下下列特点引起起的不安全因因素：（1）介质存存储密度高在一张磁盘或或一盘磁带中中可以存储大大量信息，而而软盘常随身身携带出去。。这些存储介介质也很容易易受到意外损损坏。不管哪哪种情况，都都会造成大量量信息的丢失失。（2）数据据可访问性数据信息可以以很容易地被被拷贝下来而而不留痕迹。。一台远程终终端上的用户户可以通过计计算机网络连连接到信息中中心的计算机机上。在一定定条件下，终终端用户可以以访问到系统统中的所有数数据，并可以以按其需要把把它拷贝、删删改或破坏掉掉。（3）信息息聚生性当信息以分离离的小块形式式出现时，它它的价值往往往不大，但当当大量相关信信息聚集在一一起时，则显显示出它的重重要性。信息息系统的特点点之一，就是是能将大量信信息收集在一一起，进行自自动、高效的的处理，产生生很有价值的的结果。信息息的这种聚生生性与其安全全密切相关。（4））保保密密困困难难性性信息息系系统统内内的的数数据据都都是是可可用用的的，，尽尽管管可可以以采采用用许许多多方方法法在在软软件件内内设设置置一一些些关关卡卡，，但但是是对对那那些些掌掌握握计计算算机机技技术术的的专专业业人人士士，，很很可可能能会会突突破破这这些些关关卡卡，，故故要要保保密密很很困困难难。。特特别别是是许许多多信信息息系系统统与与互互联联网网（（Internet））相相联联，，由由于于互互联联网网应应用用的的公公开开性性和和广广泛泛性性，，也也增增加加了了安安全全保保密密的的难难度度。。（5））介介质质的的剩剩磁磁效效应应存储介质质中的信信息有时时是擦除除不干净净或不能能完全擦擦除掉，，会留下下可读信信息的痕痕迹，一一旦被利利用，就就会泄露露。另外外，在许许多信息息系统中中，有时时删除文文件仅仅仅是将文文件的文文件名删删除，并并相应地地释放存存储空间间，而文文件的真真正内容容还原封封不动地地保留在在存储介介质上。。利用这这一些特特性，可可以窃取取机密信信息。（6））电电磁泄泄露性性计算机机设备备工作作时能能够辐辐射出出电磁磁波，，任何何人都都可以以借助助仪器器设备备在一一定的的范围围内收收到它它，尤尤其是是利用用高灵灵敏度度仪器器可以以清晰晰地看看到计计算机机正在在处理理的机机密信信息。。（7））通通信网网络的的弱点点连接信息系系统的通信信网络有不不少弱点：：如通过未未受保护的的外部线路路可以从外外界访问到到系统内部部的数据、、通信线路路和网络可可能被搭线线窃听或破破坏等。这这种威胁增增加了通信信和网络的的不安全性性。3.信息息系统面临临的威胁和和攻击（1）对实实体的威助助和攻击对实体的威威胁和攻击击主要指对对计算机及及其外部设设备、网络络的威胁和和攻击，如如各种自然然灾害与人人为的破坏坏、场地和和环境因素素的影响、、电磁场的的干扰或电电磁泄露、、战争的破破坏、各种种媒体的被被盗和散失失等。据悉，在1991年年海湾战争争爆发前，，美军计算算机专家利利用伊拉克克从法国进进口计算机机打印机用用于其防空空系统的机机会，在伊伊拉克的打打印机内换换装了有计计算机病毒毒的一套芯芯片。海湾湾战争爆发发后，美军军将其激活活，使伊拉拉克防空系系统瘫痪，，从而保证证了空袭的的成功。（2）对信信息的威胁胁和攻击对信息的威威胁和攻击击主要有两两种：一种种是信息泄露，，另一种是信息破坏。信息泄露信息泄露是是指偶然地地或故意地地获得（侦侦收、截获获、窃取或或分析破译译）目标系系统中的信信息，特别别是敏感信信息，造成成泄露事件件。信息泄露的的事件是很很多的。例例如，1988年，，德国汉诺诺威大学计计算机系24岁的学学生马蒂亚亚斯·斯佩佩尔将自己己的计算机机同美国军军方和军工工承包商的的30台计计算机连接接，在两年年时间内收收集了美国国国防部的的大量机密密信息。其其中有关于于“星球大大战”计划划、北美战战略防空司司令部核武武器和通信信卫星等方方面的资料料，震惊了了美国国防防部和联邦邦调查局。。信息破坏信息破坏是是指由于偶偶然事故或或人为破坏坏，使系统统的信息被被修改，删删除、添加加、伪造或或非法复制制，导致信信息的正确确性、完整整性和可用用性受到破破坏。人为破坏有有以下几种种手段：①滥用特权权身份；②②不合法地地使用；③③修改或非非法复制系系统中的数数据。偶然事故有有以下几种种可能：①软、硬件件的故障引引起安全策策略失效；；②工作人员员的误操作作使信息严严重破坏或或无意中让让别人看到到了机密信信息；③自然灾害害的破坏，，如洪水、、地震、风风暴、泥石石流、雷击击等，使计计算机系统统受到严重重破坏；④环境因素的的突然变化造造成系统信息息出错、丢失失或破坏。例：1994年12月，，美国海军学学院的计算机机系统被不知知名的黑客所所袭击。袭击击者是从英国国、芬兰、加加拿大和美国国的堪萨斯大大学和亚拉巴巴马大学发动动进攻的。他他们攻击了24个服务器器，在其中的的8个植入了了“嗅探程序序”（这是一一种植入计算算机系统后可可以截取其数数据，如密码码等的程序））。1个主要要路由器被破破坏，1个系系统的名字和和地址被改变变，使得合法法用户无法进进入该系统。。除此之外，，1个系统的的备份文件和和来自其他4个系统的文文件被删除，，其它6个系系统被破坏，，2个加密密密码文件被破破坏，12000多个密密码被窜改，，海军无法估估计损失究竟竟有多大，也也没能抓住作作案者。对信息攻击的的方法可分为为被动攻击和和主动攻击：：被动攻击：是指一切窃窃密的攻击。。它是在不干干扰系统正常常工作的情况况下进行侦收收、截获、窃窃取系统信息息，以便破译译分析；利用用观察信息、、控制信息的的内容来获得得目标系统的的位置、身份份；利用研究究机密信息的的长度和传递递的频度获得得信息的性质质。被动攻击击不容易被用用户察觉出来来，因此它的的攻击持续性性和危害性都都很大。被动攻击的主主要方法有：：·直接侦收利利用电磁传传感器或隐藏藏的收发信息息设备直接侦侦收或搭线侦侦收信息系统统的中央处理理机、外围设设备、终端设设备、通信设设备或线路上上的信息；·截获信息系系统及设设备在运行时时，散射的寄寄生信号容易易被截获。如如离计算机显显示终端百米米左右，可以以在那里接收收到稳定、清清晰可辨的信信息图像。此此外，短波、、超短波、微微波和卫星等等无线电通信信设备有相当当大的辐射面面，市话线路路、长途架空空明线等电磁磁辐射也相当当严重，因此此可利用系统统设备的电磁磁辐射截获信信息；·合法窃取利利用合法法用户身份，，设法窃取未未被授权的信信息。例如，，在统计数据据库中，利用用多次查询数数据的合法操操作，推导出出不该了解的的机密信息；；·破译分析对对于已经经加密的机要要信息，利用用多种破译分分析手段，获获得机密信息息；·从遗弃弃的媒体体中分析析获取信信息如如从信信息中心心遗弃的的打印纸纸、各种种记录和和统计报报表、窃窃取或丢丢失的软软盘片中中获得有有用信息息。主动攻击击：是指可以以篡改信信息的攻攻击。它它不仅能能窃密，，而且威威胁到信信息的完完整性和和可靠性性。它以以各种方方式有选选择地修修改、删删除、添添加、伪伪造、重重排信息息内容，，造成信信息破坏坏。主动攻击击的主要要方法有有：·窃取取并干干扰通通信线线路上上的信信息；；·返回回渗透透，有有选择择地截截取系系统中中央处处理机机的信信息，，然后后将伪伪信息息返回回系统统用户户；·线间插入入当合合法用户已已占用信道道，但是终终端设备还还没有动作作时，插入入信道进行行窃听或信信息破坏活活动；·非法冒充充采取取非常规的的方法和手手段，窃取取合法用户户的口令，，冒充合法法用户进行行窃取或信信息破坏活活动；·系统内部部人员的窃窃密和毁坏坏系统数据据、信息的的活动等。。（3）计算算机犯罪计算机犯罪罪是指针对对和利用信信息系统，，通过非法法操作或以以其他手段段故意泄露露、窃取或或破坏系统统中的机密密信息，并并造成重大大的经济损损失或严重重的社会、、政治不良良影响，危危害了系统统实体和信信息安全，，对信息系系统的完整整性或正常常运行造成成危害后果果的不法行行为。如利利用计算机机技术知识识及其它技技术篡改银银行系统的的帐户数据据以谋私利利，给银行行和客户造造成巨额经经济损失。。近年来，这这种利用信信息系统的的脆弱性进进行破坏活活动的计算算机犯罪事事件正逐年年增多，严严重威胁和和危害到信信息系统的的安全，并并给社会经经济造成越越来越大的的损失。㎏（4）计计算机病毒毒计算机病毒毒是计算机机犯罪的是是一种新的的衍化形式式，它是通通过运行一一段程序干干扰或破坏坏系统正常常工作的一一种手段，，其产生和和蔓延给信信息系统的的安全带来来严重威胁胁和巨大的的损失。实实践证明，，计算机病病毒已成为为威胁信息息系统安全全的最危险险的因素。。这些病毒毒，有的只只干扰屏幕幕，有的则则封锁键盘盘或打印机机，有的修修改或破坏坏硬、软盘盘上的数据据，有的封封锁软盘驱驱动器，有有的破坏磁磁盘的引导导扇区、硬硬盘引导扇扇区和文件件分配表，，有的驻留留内存、修修改中断向向量表或格格式化硬盘盘，有的则则大量占用用磁盘空间间，降低系系统运行效效率或使系系统瘫痪。。计算机病病毒泛滥和和蔓延的客客观效果，，危害或破破坏信息系系统的资源源，中断或或干扰信息息系统的正正常运行，，给社会造造成的危害害越来越大大。有人预预言，今后后在现代化化战争中可可以利用传传染病毒来来破坏对方方的军事指指挥通信系系统，使其其处于瘫痪痪状态。因因而，对计计算机病毒毒的危害决决不能掉以以轻心。（5）威胁胁与攻击的的手段非法访问（（非法用户户进入系统统，合法用用户未授权权操作）破坏信息的的完整性（（篡改、删删除、插入入）假冒、诈骗骗（假冒管管理着或主主机、网络络控制程序序、合法用用户）破坏系统的的可用性截收和辐射射侦测重放抵赖（6）威胁胁与攻击的的来源计算机犯罪罪分子（内内部、外部部）黑客（Hackers)计算机病毒毒源（内部部、外部；；磁盘、光光盘、网络络）电磁泄露与与辐射设备故障造造成安全措措施失灵内部操作失失误安全管理失失控灾害（自然然、人为））4.信息息系统安全全管理的策策略与措施施信息系统安安全策略（1）最小小特权（2）纵深深防御（多多层、多面面防御，必必要的冗余余和备份））（3）阻塞塞点（如防防火墙）（4）检测测薄弱环节节（5）失效效保护（6）普遍遍参与（7）防防御多样样化（8）简简洁（9）依依法治理理信息系统统的安全全措施（ 一））行政管管理措施施（１）组组织及人人员制度度加强各种种机构（（如安全全审查、、安全管管理等机机构）、、人员的的安全意意识和技技术培训训及人员员选择，，严格操操作守则则，严格格分工原原则。严严禁程序序设计人人员同时时担任系系统操作作员，严严格区分分系统管管理员、、终端操操作员和和程序设设计人员员，不允允许工作作交叉。。（２）运运行维护护和管理理制度包括设备备维护制制度、软软件维护护制度、、用户管管理制度度、密钥钥管理制制度、出出入门管管理、值值班守则则、操作作规程、、行政领领导定期期检查和和监督等等制度。。（３３））计计算算机机处处理理的的控控制制与与管管理理制制度度包括编程程流程及及控制、、程序和和数据的的管理，，拷贝及及移植、、存储介介质的管管理，文文件的标标准化以以及通信信和网络络的管理理。（４）机机房保卫卫制度机要机房房应规定定双人进进出的制制度，严严禁单人人在机房房操作计计算机。。机房门门可加双双锁，且且只有两两把钥匙匙同时使使用时门门才能打打开。（５）对对各种凭凭证、帐帐表、资资料要妥妥善保管管，严格格控制（６）记记帐要交交叉复核核，各类类人员所所掌握的的资料要要与其身身份相适适应（７）做做信息处处理用的的机器要要专机专专用，不不允许兼兼作其它它用机（9）人人员的安安全教育育（10））依法治治理（二）技技术、物物理措施施（1）实实体安全全信息系统统的实体体安全是是指在全全部计算算机和通通信环境境内，为为保证信信息系统统安全运运行，确确保系统统在信息息的采集集、传输输、存储储、处理理、显示示、分发发和利用用的过程程中，不不致受到到人为的的或自然然因素的的危害而而使信息息丢失、、泄漏和和破坏，，对计算算机系统统设备、、通信和和网络设设备、存存储媒体体和人员员所采取取的物理理、技术术措施。。实体安安全，是是确保信信息系统统安全的的前提。。实体安安全主要要包括场地环境境安全、、设备安安全和存储介质质安全场地环境境安全信息系统的的主场地，，主要是机机房等中心心区域的选选择，应远远离有害的的气体源及及存放腐蚀蚀、易燃、、易爆物品品的地方；；远离强的的动力设备备和机械，，避开高压压线、雷达达站、无线线电发射台台和微波中中继线路；；远离强振振动源和噪噪声源；有有较好的防防风、防火火、防水、、防地震及及防雷击的的条件等。。设备安全信息系统应应根据实际际需要选择择设备，并并考虑设备备本身稳定定可靠；对对环境条件件的要求尽尽可能低；；设备能抗抗震防潮；；本身电磁磁辐射小，，抗电磁辐辐射干扰和和抗静电能能力强；有有过压、欠欠压、过流流等电冲击击的自动防防护能力；；有良好的的安全接地地。(1)防防电磁泄露露①采用电电子屏蔽技技术来掩饰饰计算机的的工作状态态和保护信信息；②采用物物理抑制技技术，一种种方法是对对线路单元元、设备乃乃至系统进进行屏蔽，，以阻止电电磁波的传传播；一种种方法是从从线路和元元器件入手手，从根本本上解决计计算机及外外部设备各各外辐射的的电磁波，，消除产生生较强电磁磁波的根源源。通常将将两种方法法结合作用用，以起双双保险的作作用。(2)抗抗电电磁磁干干扰扰通常，抑制电电磁干扰的基基本方法主要要有：①电磁屏蔽蔽：凡受电磁磁场干扰的地地方，可用屏屏蔽的办法削削弱干扰，以以确保信息系系统正常运行行。不同干扰扰场采用不同同的屏蔽方法法，如电屏蔽蔽、磁屏蔽或或电磁屏蔽，，并将屏蔽体体良好接地。。②接地系统统：采用接地地系统，不仅仅可以消除多多电路之间流流经公共阻抗抗时所产生的的共阻抗干扰扰，避免计算算机电路受磁磁场和电位差差的影响，而而且可以保证证设备及人身身安全。对于于系统内的交交流地、直流流地、防雷地地和安全地，，接地线要分分开，不要互互连。进入计计算机的电源源线、信号线线均要采用金金属屏蔽线穿穿在铁套管内内，并在屏蔽蔽层两端接地地，以防干扰扰及雷电入侵侵。③电源系统统：电源电压压波动或负载载幅度变化引引起的瞬态电电压、电流冲冲击，会通过过电源进入计计算机，不但但会使计算机机信息出错，，还会威胁计计算机及其器器件的寿命与与安全。为了了保证信息系系统的稳定性性和安全，系系统的主机机机房应采用双双路供电或一一级供电；应应配有不间断断电源（UPS），其容容量最好能维维持主机设备备在短暂跳闸闸或断电后持持续工作30分钟以上，，以确保设备备和人身安全全；系统电源源不应与其他他电器设备，，特别是强力力和冲击电力力设备共用，，以避免过压压、欠压冲击击、电压波动动和瞬时尖峰峰；电器系统统应接地良好好。要完全避免和和防止电磁干干扰是不现实实的，上述措措施可以将电电磁干扰控制制在一定范围围内，以致不不影响和破坏坏系统的正常常工作。存储介质安全全信息系统中的的信息都存在在存储介质中中，而存储介介质的安全是是保证数据安安全的重要一一环，应引起起足够的重视视。目前的存存储介质主要要有磁盘、磁磁带、光盘等等，应分门别别类，以一套套严密的科学学管理制度和和方法进行管管理。存储介介质的主要防防护要求有防防火、防高温温、防潮、防防霉、防水、、防震、防电电磁场和防盗盗等。对存储储介质要定期期检查和清理理。终端用户终端放置在不安全环境使信息被窃听终端用户隐瞒身份进行不正确的输入应用程序员设计“特洛伊木马”软件设计者回避安全功能安装不安全系统授权者制定了不正确的数据库安全策略软件保护功能失效造成信息泄露硬件失效造成信息破坏未授权用户的非法存取（偷窃，篡改，删除）计算机系统串音辐射存取规则数据库图5-1威胁数据库安全的来源（2）数据安安全数据安全主要要是指为保证证信息系统中中数据库中的的数据免遭破破坏、修改、、泄露和窃取取等威胁和攻攻击而采取的的技术方法。。它包括口令令保护、存取取控制技术、、数据加密技技术等。安全的数据库库管理系统（（DBMS））可供运行的安安全的DBMS应做到：：①保证数据据具备抗攻击击性，能抵御御物理破坏（（如突然断电电或者其它灾灾害造成的损损失）。②进行用户户识别和访问问控制，即能能进行用户身身份的识别和和验证，限制制用户只能访访问他所授权权的数据，对对不同的用户户限制在不同同的状态下进进行访问。③保证合法法用户能顺利利地访问数据据库中授权的的数据和一般般的数据，不不会出现拒绝绝服务的情况况，并能进行行安全的通信信。数据库安全性性控制的一般般方法数据库的安全全技术主要有有三种：口令令保护、数据据加密、存取取控制。口令保护口令设置是信信息系统的第第一道屏障，，因此口令保保护就显得尤尤其重要。对对数据库的不不同功能块应应设置不同的的口令，对存存取它的人设设置不同的口口令级别，各各种模块如读读模块、写模模块、修改模模块等之间的的口令应彼此此独立，并应应将口令表进进行不为他人人所知的加密密，以保护数数据安全。数据加密加密是对信息息存储和传输输过程中的保保护手段，并并使之具有一一定的抗攻击击强度。数据据加密就是按按确定的加密密变换方法对对未经加密的的数据（明文文）进行处理理，使之成为为难以识读的的数据（密文文）。加密变变换不仅可以以用于数据保保密性的保护护，也可以用用于数据的完完整性检测。。数据加密技技术是信息系系统安全中最最重要的技术术措施之一，，具有广泛的的用途。存取控控制对于获获得机机器使使用权权的用用户，，还要要根据据预先先定义义好的的用户户操作作权限限进行行存取取控制制，保保证用用户只只能存存取他他有权权存取取的数数据。。通常常将存存取权权限的的定义义（称称授权权）经经编译译后存存储在在数据据字典典中，，每当当用户户发出出存取取数据据库的的操作作请求求后，，DBMS查找找数据据字典典，根根据用用户权权限进进行合合法权权检查查，若若用户户的操操作请请求超超过了了定义义的权权限，，系统统拒绝绝执行行此操操作。。授权权编译译程序序和合合法权权检查查机制制一起起组成成了安安全子子系统统。数据加密数据加密就就是按确定定的加密变变换方法（（加密算法法）对需要要保护的数数据（明文文）作处理理，使其成成为难以识识读的数据据（密文））。其逆过过程，即由由密文按对对应的解密密变换方法法（解密算算法）恢复复出明文的的过程称为为数据解密密。在加密密处理过程程中又引入入了一个可可变量———加密密钥钥。这样，，不改变加加密算法，，只要按照照需要改变变密钥，可可以将相同同的明文加加密成不同同的密文。。通常，加加密和解密密算法的操操作都是在在一组密钥钥的控制下下进行的，，分别称为为加密密钥钥和解密密密钥。密钥钥是加密体体系的核心心，其形式式可以是一一组数字、、符号、图图形或代表表它们的任任何形式的的电信号。。密钥的产产生和变化化规律必须须严格保密密。数据据加加密密是是用用加加密密算算法法E和和加加密密密密钥钥Ke，，将将明明文文X变变换换成成不不易易识识读读的的密密文文Y。。记记为为Y=Eke(x)数据据解解密密是是用用解解密密算算法法D和和解解密密密密钥钥Ka将将密密文文Y变变换换成成原原来来易易于于识识读读的的明明文文X，，记记为为X=Dka(Y)在信信息息系系统统中中，，对对某某信信息息除除意意定定的的授授权权接接收收者者之之外外，，还还有有非非授授权权者者，，他他们们通通过过各各种种办办法法来来窃窃取取信信息息，，称称其其为为截截取取者者。。数数据据加加密密模模型型如如图图所所示示。。数据加密的两两种体制根据加密密钥钥Ke和解密密密钥Ka是是否相同，数数据加密技术术在体制上分分为两大类：：单密钥体制制和双密钥体体制。E加密算法D解密算法发端收端明文X解密密钥Kd密文Y=Eke(x)明文X加密密钥Ke图5-3数据加密管理截取者密钥CIPHER――――――――――――――次序145326――――――――――――――明文attackbeginsatfour明文：attackbeginsatfour密文：abachuaiotettgfksr（3）软件安全软件安全主要要是指为保证证信息系统中中的软件免遭遭破坏、非法法拷贝、非法法使用而采取取的技术和方方法。它包括括口令的控制制与鉴别技术术、软件加密密技术、软件件防拷贝和防防动态跟踪技技术等。软件的的技术术保护护对软件件开发发者、、经营营者来来说，，技术术保护护方式式是法法律保保护方方式的的必要要补充充。技技术保保护的的目的的有两两个，，一是是防止止对软软件的的非法法复制制、发发行和和使用用，二二是防防止对对软件件本身身的跟跟踪分分析解解读和和修改改。软软件的的技术术保护护方法法一般般有软软件措措施、、硬件件措施施和软软硬件件结合合措施施三种种。大大体上上有以以下几几种：：在主机机内或或扩充充槽里里装入入特殊殊硬件件装置置采用特特殊标标记的的磁盘盘“软件件指纹纹”限制技技术(“时时间炸炸弹””)软件加加密反动态态跟踪踪技术术（4））网络安安全网络安安全是是指为为保证证网络络及其其节点点安全全而采采用的的技术术和方方法。。它主主要包包括数数据加加密技技术、、访问问控制制技术术、数数字鉴鉴名技技术、、密钥钥管理理技术术、防防火墙墙技术术、通通信流流分析析控制制技术术等，，以便便及时时发现现网络络中的的不正正常状状态，，并采采取相相应措措施。。网络中中的存存取控控制--鉴鉴别别（认认证））技术术鉴别又又称为为确认认或认认证。。它是是证实实某人人或某某事是是否名名副其其实或或是否否有效效的一一个过过程，，用以以确保保数据据的真真实性性，阻阻止对对手的的主动动攻击击，如如篡改改或冒冒充等等。计计算机机网络络中的的各种种资源源（如如文件件、数数据库库等））需要要认证证机制制的保保护，，以确确保这这些资资源被被应该该使用用的人人使用用。验验证一一个主主体涉涉及两两个因因素，，一个个是该该主体体独自自具有有、难难以伪伪造的的信息息，另另一个个是可可靠地地交换换信息息的方方式。。鉴别别往往往是许许多应应用系系统中中安全全保护护的第第二道道防线线，利利用它它可以以验证证对方方的真真实性性和报报文的的真实实性。。鉴别的基本思思想，是通过过验证人或事事的一个或多