信息安全与概述
信息安全技术手册
信息安全技术手册信息安全技术是在当前数字化时代中至关重要的领域。
随着技术的进步和信息系统的发展，保护个人、企业和国家的信息安全变得愈加紧迫。
本手册旨在为读者提供关于信息安全技术的全面指导，包括常见的安全威胁、防御措施和安全策略。
第一章：信息安全概述1.1 什么是信息安全信息安全是指通过采取适当的措施，确保信息的机密性、完整性、可用性和不可抵赖性。
1.2 信息安全的重要性信息安全对于个人、企业和国家的正常运作至关重要。
未能确保信息的安全性可能会导致数据泄露、系统崩溃以及重大的经济和声誉损失。
第二章：常见的信息安全威胁2.1 黑客攻击黑客攻击是指不经授权的个人或组织获取未经授权的访问或控制信息系统的行为。
2.2 病毒和恶意软件病毒和恶意软件是指通过植入或传播恶意代码来损害计算机系统的软件。
2.3 数据泄漏数据泄漏是指非法获取和披露敏感信息的行为，通常是由于系统漏洞、人员失误或恶意内部人员的活动造成的。
第三章：信息安全防御措施3.1 认证和访问控制认证和访问控制是通过用户身份验证和授权来限制对敏感信息的访问。
3.2 加密技术加密技术是通过使用密码算法将信息转换为无法读取的形式，以保护信息的机密性。
3.3 安全审计和监控安全审计和监控是对信息系统进行实时监控和分析，以检测和防止潜在的安全威胁。
第四章：信息安全策略4.1 安全意识培训安全意识培训是指向组织成员提供有关信息安全威胁和最佳实践的教育和培训。
4.2 威胁情报和漏洞管理威胁情报和漏洞管理是通过收集和分析最新的威胁情报和漏洞信息，及时采取相应的修补措施来保护信息系统。
4.3 应急响应计划应急响应计划是指在遭遇安全事件时，组织能够迅速、有效地应对和恢复正常运作。
结论：信息安全技术是当前数字化时代中必不可少的一部分。
通过了解常见的安全威胁、防御措施和安全策略，我们可以有效地保护个人、企业和国家的信息安全。
本手册提供了详细的指导，希望能为读者提供有价值的信息，并促进信息安全意识的提高。
信息安全简介
谢谢
当地拒绝 四 可控性： 对信息的传播及内容具有控制能力 五 可审查性：对出现的网络安全问题提供调查的依据和手
段。
信息安全的分类
一 数据安全 二 系统安全 三 电子商务
系统安全的分类
边界安全 内网安全 通信链路安全 基础安全 数据库安全 保密工具 应用安全
IP加密 防火墙 网关 数据管理系统 身份证管理 加密传真 加密电话 IP电话机
绝密信息 保护
信息安全等级保护分级保护的关系
涉密信息系统分级保护与国家信息安全等级保护是两个既联系又 有区别的概念。 涉密信息系统分级保护是国家信息安全等级保护的重要组成部分， 是等级保护在涉密领域的具体体现，涉密信息分级是按照信息的 密级进行划分的，保护水平分别不低于等级保护三、四、五级的 要求，除此之外，还必须符合分级保护的保密技术要求。 对于防范网络泄密，加强信息化条件下的保密工作，具有十分重 要的意义。
BMB17 — 2006《涉及国家秘密的信息系统分级保护技术要求》 BMB18-2006《涉及国家秘密的信息系统工程监理规范》
BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》 BMB17和BMB20是分级保护的设计基础与测评依据
信息系统分级保护
涉密信息系统安全保护层次
ቤተ መጻሕፍቲ ባይዱ
秘密信息 保护
机密信息 保护
信息安全简介
主要内容
一 信息安全概述 二 信息安全等级保护 三 信息安全分级保护
信息安全概述
一 信息安全的基本属性 二 信息安全的分类 三 信息安全中的系统安全简介
信息安全的基本属性
一 保密性：保证机密信息不被窃听，或窃听者不能了解 信息的真实含义。
二 完整性：保证数据的一致性，防止数据被非法用户篡改 三 可用性：保证合法用户对信息和资源的使用不会被不正
第1章 信息安全概述
（2）要建立完善的安全管理体制和制度，要 有与系统相配套的有效的和健全的管理制度，起到 对管理人员和操作人员的鼓励和监督的作用。 如制定人员管理制度，加强人员审查；组织管 理上，免单独作业，操作与设计分离等。这些强 制执行的制度和法规限制了作案的可能性。
（3）管理要标准化、规范化、科学化。例如 对数据文件和系统软件等系统资源的保存要按保密 程度、重要性文件复制3～5份的备份，并分散存放， 分派不同的保管人员管理；系统重地要做到防火、 防窃；要特别严格控制各网络用户的操作活动；对 不同的用户、终端分级授权，禁止无关人员接触使 用终端设备。要制定预防措施和恢复补救办法，杜 绝人为差错和外来干扰。要保证运行过程有章可循， 按章办事。
（4）如何在实时（例如网络客户与网络服务 器间的数据流）和存储转发应用（例如电子邮件） 情况下保护通信秘密。
（5）如何确保信息在发送和接收间避免干扰。
（6）如何保护秘密文件，使得只有授权的用 户可以访问。
1.5 网络安全措施
过去人们往往把网络安全、信息安全局限于通 信保密，局限于对信息加密功能的要求，实际上， 网络信息安全牵涉到方方面面的问题，是一个复杂 的系统工程。一个完整的网络信息安全体系至少应 包括三类措施： 一是社会的法律政策、安全的规章制度以及安 全教育等外部软环境。在该方面政府有关部门、企 业的主要领导应当扮演重要的角色。
1.2 信息安全的目标
信息安全目标有机密性、完整性及可用性三方
面。
如果把信息系统比拟成一个保险柜，系统的内 容则如同放在保险柜中的物品，除了有钥匙或号码 的特定人士外，外人根本无法得知保险柜中内容为 何，这就是机密性； 保险柜内保存的物品因保险柜的坚固而可保持 完整，不致遭人破坏，这就是完整性； 一旦取得该物品因其完整未被破坏而可利用它， 这就是可用性。
第1章 信息安全概述
信息安全的基本属性 （续）
机密性（Confidentiality）
信息的机密性是指确保只有那些被授予特定权限的 人才能够访问到信息。信息的机密性依据信息被允 许访问对象的多少而不同，所有人员都可以访问的 信息为公开信息，需要限制访问的信息为敏感信息 或秘密信息，根据信息的重要程度和保密要求将信 息分为不同密级。例如，军队内部文件一般分为秘 密、机密和绝密3个等级，已授权用户根据所授予 的操作权限可以对保密信息进行操作。有的用户只 可以读取信息；有的用户既可以进行读操作又可以 进行写操作。信息的机密性主要通过加密技术来保 证。
1.1.1
信息安全的定义 （续）
国际标准化组织（ISO）定义的信息安全是“在 技术上和管理上为数据处理系统建立的安全保护， 保护计算机硬件、软件和数据不因偶然和恶意的 原因而遭到破坏、更改和泄露”。 欧盟将信息安全定义为：“在既定的密级条件下， 网络与信息系统抵御意外事件或恶意行为的能力。 这些事件和行为将危机所存储或传输的数据以及 经由这些网络和系统所提供的服务的可用性、真 实性、完整性和机密性。”
1.1.2
信息安全的基本属 性（续）
完整性（Integrity）
信息的完整性是指要保证信息和处理方法的 正确性和完整性。信息完整性一方面是指在 使用、传输、存储信息的过程中不发生篡改 信息、丢失信息、错误信息等现象；另一方 面是指信息处理的方法的正确性，执行不正 当的操作，有可能造成重要文件的丢失，甚 至整个系统的瘫痪。信息的完整性主要通过 报文摘要技术和加密技术来保证。
1.1.1
信息安全的定义 （续）
总之，信息安全是一个动态变化的概念，随 着信息技术的发展而赋予其新的内涵。一般 来说，信息安全是以保护信息财产、防止偶 然的或未授权者对信息的恶意泄露、修改和 破坏为目的，通过各种计算机、网络和密码 等技术，保证在各种系统和网络中存储、传 输和交换的信息的保密性、完整性、可用性、 不可否认性和可控性。
《信息安全》PPT课件
远程访问安全最佳 实践
采用强密码认证、定期更换密 码、限制远程访问权限等安全 措施，确保远程访问的安全。 同时，结合VPN技术，进一步 提高远程访问的安全性。
信息安全风险是指由于威胁的存在而 导致的信息系统或其所在组织的潜在 损失，包括数据泄露、系统瘫痪、财 务损失、声誉损害等。
信息安全法律法规及合规性
信息安全法律法规
各国政府都制定了相应的信息安全法律法规，以确保信息安 全的合法性和规范性。例如，中国的《网络安全法》、欧洲 的《通用数据保护条例》(GDPR)等。
持续改进策略及最佳实践
持续改进策略
定期对信息安全管理体系进行审 查和评估，发现问题及时改进，
确保体系的持续有效运行。
最佳实践分享
借鉴国内外先进的信息安全管理经 验和最佳实践，不断提升组织的信 息安全管理水平。
创新技术应用
积极探索和应用新的信息安全技术 和管理手段，提高信息安全的防护 能力和效率。
THANK YOU
100%
数据备份策略
阐述定期备份数据的重要性，以 及不同备份策略（如完全备份、 增量备份、差异备份等）的优缺 点。
80%
数据恢复技术
探讨数据恢复的概念、方法及最 佳实践，包括文件恢复、数据库 恢复等。
数据泄露防护技术
数据泄露途径
分析数据泄露的常见途径，如 内部泄露、供应链泄露、网络 攻击等。
数据泄露防护策略
风险评估方法与流程
风险评估方法
采用定性与定量相结合的方法，对潜在的信息安全风险进行评估， 包括威胁识别、脆弱性分析、风险值计算等。
1、信息安全概述
1.2.1信息安全体系结构
安全服务
ISO7498-2确定了五大类安全服务
鉴别： 可以鉴别参与通信的对等实体和数据源。
访问控制： 能够防止未经授权而利用通过OSI可访问的资源。 数据保密性： 防止数据未经授权而泄露。
数据完整性： 用于对付主动威胁。
不可否认： 包括带数据源证明的不可否认和带递交证明的不可否认。
第1章 信息安全概述
第2节 信息安全体系
1.2.3信息安全体系结构
信息安全性的度量标准 信息技术安全性评估通用准则，通常简称为通用准则(CC)，是评估信 息技术产品和系统安全特性的基础准则。通用准则内容分为3部分： “简介和一般模型”； “安全功能要求”； “安全保证要求”。 国际测评认证体系的发展 1995年，CC项目组成立了代国际互认工作组。同年10月，美国的 NSA和NIST、加拿大的CSE和英国的CESG签署了该协定。1998年5月 德国的GISA、法国的SCSSI也签署了此协定。 1999年10月澳大利亚和新西兰的DSD也加入了CC互认协定。证书 发放机构还限于政府机构。 2000年，荷兰、西班牙、意大利、挪威、芬兰、瑞典和希腊等国也 加入了该互认协定，日本、韩国、以色列等国也正在积极准备加入此协 定。目前的证书发放机构已不再限于政府机构，非政府的认证机构也可 以加入此协定，但必须有政府机构的参与或授权。 第1章 信息安全概述 第2节 信息安全体系
90年代
数字签名法 数据加密标准 电子商务协议 IPSec协议 TLS协议 CC for ITSEC 计算机病毒 黑客攻击技术
21世纪
非数学的密码 理论与技术
安全体系结构 信息对抗
ARPANET BLP模型
TCSEC "蠕虫事件“ Y2k问题
信息安全管理体系概述和词汇
信息安全管理体系概述和词汇
信息安全管理体系（Information Security Management System，简称ISMS）是指一个组织为保护其信息资产的机密性、完整性和可用性而建立、实施、运行、监视、审查、维护和改进的一系列政策、程序、流程和控制措施的框架。
以下是与信息安全管理体系相关的一些词汇：
1. 信息安全：保护信息资产免受未经授权的访问、使用、揭示、破坏、干扰或泄露的能力。
2. 信息资产：指对组织有价值的信息及其相关的设备、系统和网络。
3. 风险管理：识别、评估和处理信息安全风险的过程，以减少风险并确保信息安全。
4. 政策与程序：指导和规范组织内部员工和外部参与者在信息安全方面的行为和操作的文件和指南。
5. 安全控制措施：包括技术、物理和组织上的措施，用于
保护信息资产免受威胁和攻击。
6. 内部审核：定期进行的组织内部的信息安全管理体系审核，以确认其合规性和有效性。
7. 不符合与纠正措施：针对审核中发现的不符合要求制定的纠正和预防措施，以改进信息安全管理体系。
8. 持续改进：基于监视和评估结果，采取行动改进信息安全管理体系的能力和效果。
9. 第三方认证：由独立的认证机构对组织的信息安全管理体系进行评估和认证，以确认其符合特定标准或规范要求。
10. 法规与合规性：遵守适用的法律法规、标准和合同要求，保障信息安全与隐私保护。
以上词汇是信息安全管理体系中常见的一些概念和术语，了解这些词汇有助于更好地理解和实施信息安全管理体系。
信息安全基础知识
信息安全基础知识摘要本文档旨在为信息安全团队提供信息安全基础知识的全面概述，涵盖信息安全的核心概念、常用术语解释、威胁和漏洞管理等内容。
通过阅读本文档，团队成员将能够更好地理解信息安全的基础知识，提高信息安全意识和能力。
信息安全基础知识1. 信息安全的定义和重要性•信息安全：保护信息免受未经授权的访问、使用、披露、破坏或修改的过程•信息安全的重要性：保护信息资产，防止信息泄露和破坏，维护组织的信誉和竞争力2. 信息安全的核心概念•机密性：保护信息免受未经授权的访问或披露•完整性：确保信息的准确性和完整性•可用性：确保信息可被授权人员访问和使用•认证：验证用户或系统的身份•授权：控制用户或系统对信息的访问权限3. 常用术语解释•威胁：对信息安全的潜在危害•漏洞：系统或应用程序中的安全漏洞•攻击：对信息安全的实际攻击•防御：保护信息安全的措施和策略4. 威胁和漏洞管理•威胁管理：识别、评估和缓解威胁的过程•漏洞管理：识别、评估和修复漏洞的过程•风险评估：评估威胁和漏洞对信息安全的潜在风险5. 信息安全控制措施•访问控制：控制用户对信息的访问权限•加密：保护信息免受未经授权的访问或披露•备份：保护信息免受数据丢失或破坏•网络安全：保护网络免受攻击和未经授权的访问6. 信息安全管理框架•信息安全策略：组织的信息安全目标和策略•信息安全标准：组织的信息安全标准和规范•信息安全流程：组织的信息安全流程和程序详细的例子和案例•案例1：某公司的信息安全策略和标准•案例2：某公司的信息安全流程和程序图表和图示•信息安全的核心概念图•威胁和漏洞管理流程图•信息安全控制措施图文档结构和内容安排•信息安全基础知识•信息安全的定义和重要性•信息安全的核心概念•常用术语解释•威胁和漏洞管理•信息安全控制措施•信息安全管理框架•详细的例子和案例•图表和图示完成后，请提供一个简短的摘要或总结，突出重点并概述文档的结构和内容安排。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
研究信息安全的必要性 随着Internet的广泛普及，越来越多的恶意代码将自身伪装成共享 软件和广告软件。某些特洛伊木马程序将自己伪装成图像文件， 一旦网民下载了这些图像文件，恶意程序的编写者就可以肆无忌 惮地入侵恶意程序所在的计算机。广告软件可以侵犯网民的隐私， 这种软件通常是在网民下载其它软件工具时一同下载的。这种软 件监视网民浏览过的每个网页并且根据其兴趣爱好设计一个图表， 这样就能提供适合的广告。一方面由于Internet的开放性以及安全 防范措施不足，另一方面各种攻击手段和工具不断涌现并且容易 获得，同时商业组织网络面临的黑客攻击风险的发生概率与其业 务性质有关，因此商业组织的应对措施必须是消除并在实际风险 发生后要尽量减轻风险的破坏后果。
第1节信息安全基本概念及需求
信息安全的含义 影响信息的正常存储、传输和使用，以及不良 信息的散布问题属于信息安全问题。 信息安全问题分为三个层次： （1）信息自身安全性； （2）信息系统安全性； （3）某些信息的传播对社会造成的不良影响
信息安全的需求 商业组织必须首先明确自身的安全需求。信息系 统设计者通过需求分析来明确组织的安全需求。 一般来说，商业组织的信息安全需求来自于以 下三个方面： 1．法律法规与合同条约的要求 2．商业组织的原则、目标和规定 3．风险评估的结果
机密性是指确保未授权的用户不能够获取信 息的内容，即用户A发出的信息只有用户B能 够收到，假设网络黑客C截获了该信息也无法 理解信息的内容，从而不能随意使用该信息。 一旦网络黑客C了解了该信息的确切含义，则 说明网络黑客C破坏了该信息的机密性。
完整性也就是确保信息的真实性，即信息在生成、 传输、存储和使用过程中不应被未授权用户篡 改。如果网络黑客C截获了用户A发出的信息， 并且篡改了信息的内容，则说明网络黑客C破 坏了信息的真实性。
信息安全保障体系 “信息安全保障体系”为信息系统安全体系提供 了一个完整的设计理念，同时较好地诠释了安 全保障的内涵。包含四部分内容，即我们所熟 知的PDRR。
1.保护 2.检测 3.反应 4.恢复
检测失败 保护成功 保 护 检 测 保护失败 检测成功 反 应 反应失败
恢 复
保护、检测、反应和恢复是信 攻击 息安全保障的子过程，这四个 子过程构成了信息安全保障这 一完整的动态过程。如图1-5所 示，这些子过程分别在攻击者 发动攻击的不同阶段为信息系 统提供保障。保护是最基本的 被动防御手段，即信息系统的 外围防线；检测的目的是针对 突破“外围防线”后的攻击行 为进行探测预警；而反应是在 接到检测报警后针对攻击采取 的控制手段；恢复是针对攻击 入侵引起的破坏后果进行补救， 是最后的减灾方法，如果前面 的保障过程有效地控制了入侵 行为，则恢复过程无需启动。
不同的信息系统承担着不同类型的业务，因此除 了上面的三个基本特性以外，可能会有更加详 细的具体需求，由以下四个特性来保证： 1.可靠性（reliability） 2.不可抵赖性（non-repudiation） 3.可控性 4.可审查性
1. 2. 3. 4. 5.
网络安全技术发展的趋势 新型安全技术的出现 集成化的安全工具 针对性的安全工具 管理类安全工具 网络安全服务
SNMP
PGP
S/MIME
PEM 应 用 层
SET
IKE
TELNET
HTTPS
X.509
RIPv2
SNMPv3
BGP-4
SSL
TLS
传 输 层
TCP
UDP
IPSec(AH)
IPSec(ESP)
网 络 层
IP
PPTP
L2TP
PPP
L2F
链 路 层
硬件设备驱动程序及介质介入协议
图1-3 TCP/IP的安全体系结构
第3节网络不安全的原因
系统漏洞 协议的开放性 人为因素 1．人为的偶然失误 2．计算机犯罪 3．黑客攻击
第4节信息安全体系结构
OSI安全体系结构 为了增强OSI参考模型的安全性，ISO在1988年提出了 ISO7489-2标准，提高了ISO7498标准的安全等级， 它提出了网络安全系统的体系结构，它和以后相应的 安全标准给出的网络信息安全架构被称作OSI安全体 系结构。OSI安全体系结构指出了计算机网络需要的 安全服务和解决方案，并明确了各类安全服务在OSI 网络层次中的位置，这种在不同网络层次满足不同安 全需求的技术路线对后来网络安全的发展起到了重要 的作用。
第2节信息安全环境及现状
信息安全的威胁 1．信息泄露 2．篡改 3．重放 4．假冒 5．否认 6．非授权使用 7．网络与系统攻击 8．恶意代码 9．故障、灾害和人为破坏
进一步地将信息安全威胁划分为四类：暴露 （Disclosure），指对信息进行未授权访问，主要是 来自信息泄露的威胁；欺骗（Deception），指信息 系统被误导接收到错误的数据甚至做出错误的判断， 包括来自篡改、重放、假冒、否认等的威胁；打扰 （Disruption），指干扰或中断信息系统的执行，主 要包括来自网络与系统攻击、灾害、故障与人为破坏 的威胁；占用（Usurpation），指未授权使用信息资 源或系统，包括来自未授权使用的威胁。类似地，恶 意代码按照其意图不同可以划归到不同的类别中去。
1.应用级安全 2.端系统级安全 3.网络级安全 4.链路级安全
TCP/IP安全体系结构 TCP/IP协议族在设计之初并没有认真地考虑网络安全功能，为了解 决TCP/IP协议族带来的安全问题，Internet工程任务组（IETF）不 断地改进现有协议和设计新的安全通信协议来对现有的TCP/IP协 议族提供更强的安全保证，在互联网安全性研究方面取得了丰硕 的成果。由于TCP/IP各层协议提供了不同的功能，为各层提供了 不同层次的安全保证，专家们为协议的不同层次设计了不同的安 全通信协议，为网络的各个层次提供了安全保障。目前，TCP/IP 安全体系结构已经制定了一系列的安全通信协议，为各个层次提 供了一定程度上的安全保障。这样，由各层安全通信协议构成的 TCP/IP协议族的安全架构业已形成，如图1-3所示。
信息安全与技术
清华大学出版社
第1章信息安全概述
信息安全在古代就已经受到了学者、 军事家和政治家的重视。当前，随着社 会信息化程度的提高，信息安全面临诸 多挑战，因此信息安全的研究与开发显 得更加活跃，许多国家和地区采取了有 力的措施推进信息安全技术与相关技术 的发展。信息安全面临的问题较多，在 方法上涉及数学、物理、微电子、通信 以及计算机等众多领域，有着系统的技 术体系和丰富的科学内涵。
反应成功
网络信息安全系统设计原则 网络信息安全系统在设计过程中应该遵循以下9 项原则： 1.木桶原则；2.整体性原则；3.安全性评价与平 衡原则；4.标准化与一致性原则；5.技术与管 理相结合原则；6.统筹规划，分步实施原则； 7.等级性原则；8.动态发展原则；9.易操作性 原则
本章小结
（1）信息安全基本概念及需求包括信息安全的含义、 信息安全的需求以及研究信息安全的必要性三方面内 容。信息安全问题分为三个层次：信息自身安全性、 信息系统安全性、某些信息的传播对社会造成的不良 影响。 （2）信息安全环境及现状包括信息安全的威胁、信息 安全的研究内容、信息安全的目标以及网络安全技术 趋势四方面内容。信息安全的研究内容非常广泛，涉 及网络信息的完整性、保密性、真实性、可用性、占 有性和可控性的相关技术和理论。
表1-1介绍了OSI安全体系结构规定的主要安全服务及其 实现机制和所处的网络层次。从标准中看，OSI的 “底层网络安全协议”在第1-4层中实现，主要包括 网络层安全协议（NLSP，Network Layer Security Protocol）和传输层安全协议（TLSP， Transportation Layer Security Protocol）；OSI的 “安全组件”服务在第5-7层中实现，它们主要包括 安全通信组件和系统安全组件，前者负责与安全相关 的信息在系统之间的传输，后者负责1中， 路由控制实际上是指在网络设备上进行的安全处理， 选择字段机密性或选择字段完整性是指在应用中仅有 部分信息是需要保密或不允许修改的。
还可以将前面论及的信息安全威胁分为被 动攻击和主动攻击两类。被动攻击仅仅窃听、 截收和分析受保护的数据，这种攻击形式并不 篡改受保护的数据，更不会插入新的数据；主 动攻击试图篡改受保护的数据，或者插入新的 数据。
信息安全的目标 信息安全旨在确保信息的机密性、完整性和可用 性，即：CIA（Confidentiality，Integrity， Availability）。用户A想和用户B进行一次通信， 我们以这两个用户的通信过程为例来介绍这几 个性质。
表1-1 OSI安全体系结构定义的主要安全服务情况
安全服务
对等实体认证 数据起源认证 访问控制 连接机密性 无连接机密性 选择字段机密性 连接完整性
实现机制
认证、签名、加密 签名、加密 认证授权与访问控制 路由控制、加密 路由控制、加密 加密 完整性验证、加密
网络层次
3、4、7 3、4、7 3、4、7 1、2、3、4、6、 7 2、3、4、6、7 6 、7 4 、7
（3）引起网络不安全的原因有内因和外因之分。内因 是指网络和系统的自身缺陷与脆弱性，外因是指国家、 政治、商业和个人的利益冲突。归纳起来，导致网络 不安全的根本原因是系统漏洞、协议的开放性和人为 因素。网络的管理制度和相关法律法规的不完善也是 导致网络不安全的重要因素。 （3）信息安全体系结构包括 OSI安全体系结构、 TCP/IP安全架构、信息安全保障体系以及网络信息安 全系统设计原则四方面的内容。网络信息安全系统在 设计过程中应该遵循以下九项原则：木桶原则、整体 性原则、安全性评价与平衡原则、标准化与一致性原 则、技术与管理相结合原则、统筹规划，分步实施原 则、等级性原则、动态发展原则以及易操作性原则。