信息系统安全保障模型
4.3信息系统安全管理 学案-江苏省2025年1月普通高中学业水平合格性考试信息技术复习
4.3信息系统安全管理知识梳理信息系统安全事件层出不穷。
这些安全事件发生的原因主要有以下三个方面：一是信息设备使用人员认识不足；二是操作不当；三是不法分子恶意攻击。
人为因素是影响信息系统安全的重要因素之一。
1.高度重视人员安全问题从宏观层面看，信息系统安全管理需要在国家层面上建立相应的组织机构，统筹安排、协调信息安全的健康发展，制定相应的法律、法规、标准，规范信息安全技术市场，制订信息安全人才培养计划。
从微观层面上看，信息系统的安全运行也应该有相应的组织、制度和人员的保障，尤其是对组织人员安全意识的教育。
2.信息系统安全管理的阶段信息系统安全管理可类比校园安全防护，划分为事先防御阶段、实时监测阶段和事后响应阶段，各阶段的功能如下表所示：所属阶段校园安全防护信息系统安全管理事先防御围墙隔离门卫核查特殊接送网络隔离访问控制加密传输实时监测视频监控病毒监控保卫巡逻火灾探测入侵检测系统/用户行为监控事后响应报警、急救事故认定、问责修复、加固报警、急救取证、问责修复、加固在不同的安全管理阶段，利用病毒监控、加密传输、防火墙等安全技术，是信息系统安全防护的重要措施和手段。
3.“技术”和“管理”信息安全并不只是技术过程，更重要的是管理过程。
技术是实现安全目标的手段，管理是选择、实施、使用、维护、审查包括技术措施在内的安全手段的整个过程，是实现信息安全目标的必由之路。
4.信息系统安全管理模型信息系统安全必须从整体考虑，做到遵循“有计划有目标、发现问题、分析问题、采取措施解决问题、后续监督避免再现”的全程管理思路，建立一套完整的信息系统安全管理体系。
信息系统安全管理模型如下图所示：@巩固练习1.以下选项中不属于信息系统安全管理目的是（）。
A.减少威胁B.减少弱点C.转嫁风险D.避免出错2.影响网络信息系统安全的常见因素不包括（）。
A.网络因素B.人为因素C.技术因素D.噪声因素3.关于信息系统安全中的“技术”和“管理”，下列说法中不正确的是（）。
第1章 信息安全概述
信息安全的基本属性 （续）
机密性（Confidentiality）
信息的机密性是指确保只有那些被授予特定权限的 人才能够访问到信息。信息的机密性依据信息被允 许访问对象的多少而不同，所有人员都可以访问的 信息为公开信息，需要限制访问的信息为敏感信息 或秘密信息，根据信息的重要程度和保密要求将信 息分为不同密级。例如，军队内部文件一般分为秘 密、机密和绝密3个等级，已授权用户根据所授予 的操作权限可以对保密信息进行操作。有的用户只 可以读取信息；有的用户既可以进行读操作又可以 进行写操作。信息的机密性主要通过加密技术来保 证。
1.1.1
信息安全的定义 （续）
国际标准化组织（ISO）定义的信息安全是“在 技术上和管理上为数据处理系统建立的安全保护， 保护计算机硬件、软件和数据不因偶然和恶意的 原因而遭到破坏、更改和泄露”。 欧盟将信息安全定义为：“在既定的密级条件下， 网络与信息系统抵御意外事件或恶意行为的能力。 这些事件和行为将危机所存储或传输的数据以及 经由这些网络和系统所提供的服务的可用性、真 实性、完整性和机密性。”
1.1.2
信息安全的基本属 性（续）
完整性（Integrity）
信息的完整性是指要保证信息和处理方法的 正确性和完整性。信息完整性一方面是指在 使用、传输、存储信息的过程中不发生篡改 信息、丢失信息、错误信息等现象；另一方 面是指信息处理的方法的正确性，执行不正 当的操作，有可能造成重要文件的丢失，甚 至整个系统的瘫痪。信息的完整性主要通过 报文摘要技术和加密技术来保证。
1.1.1
信息安全的定义 （续）
总之，信息安全是一个动态变化的概念，随 着信息技术的发展而赋予其新的内涵。一般 来说，信息安全是以保护信息财产、防止偶 然的或未授权者对信息的恶意泄露、修改和 破坏为目的，通过各种计算机、网络和密码 等技术，保证在各种系统和网络中存储、传 输和交换的信息的保密性、完整性、可用性、 不可否认性和可控性。
网络安全体系结构
网络安全体系结构精品管理制度、管理方案、合同、协议、一起学习进步网络安全体系结构信息安全系统是基于OSI网络模型，通过安全机制和安全服务达成信息安全的系统。
安全机制是提供某些安全服务，利用各种安全技术和技巧，形成的一个较为完善的结构体系。
安全服务是从网络中的各个层次提供信息应用系统需要的安全服务支持。
网络模型、安全机制、安全服务应用到一起会产生信息系统需要的安全空间，安全空间包括五大属性：认证、权限、完整、加密、不可否认。
安全机制的主要内容：1.基础设施实体安全。
机房、场地、设施、动力系统、安全预防和恢复等物理上的安全。
2.平台安全。
操作系统漏洞检测和修复、网络基础设施漏洞检测与修复、通用基础应用程序漏洞检测与修复、网络安全产品部署，这些是软件环境平台的安全。
3.数据安全。
涉及数据的物理载体、数据本身权限、数据完整可用、数据监控、数据备份存储。
4.通信安全。
涉及通信线路基础设施、网络加密、通信加密、身份鉴别、安全通道和安全协议漏洞检测等。
5.应用安全。
涉及业务的各项内容，程序安全性测试、业务交互防抵赖测试、访问控制、身份鉴别、备份恢复、数据一致性、数据保密性、数据可靠性、数据可用性等业务级别的安全机制内容。
6.运行安全。
涉及程序应用运行之后的维护安全内容，包括应急处置机制、网络安全监测、网络安全产品运行监测、定期检查评估、系统升级补丁提供、最新安全漏洞和通报、灾难恢复机制、系统改造、网络安全技术咨询等。
7.管理安全。
涉及应用使用到的各种资源，包括人员、培训、应用系统、软件、设备、文档、数据、操作、运行、机房等。
8.授权和审计安全。
授权安全是向用户和应用程序提供权限管理和授权服务，负责向业务应用系统系统授权服务管理、用户身份到应用授权的映射功能。
审计安全是信息安全系统必须支持的功能特性，主要是检查网络内活动用户、侦测潜在威胁、统计日常运行状况、异常事件和突发事件的事后分析、辅助侦查取证。
9.安全防范体系。
CISP试题-模拟题４_CISP试题_CISP试题
CISP模拟考试（四）1、以下哪一项对安全风险的描述是准确的？A、安全风险是指一种特定脆弱性利用一种或一组威胁造成组织的资产损失或损害的可能性。
B、安全风险是指一种特定的威胁利用一种或一组脆弱性造成组织的资产损失事实。
C、安全风险是指一种特定的威胁利用一种或一组脆弱性造成组织的资产损失或损害的可能性D、安全风险是指资产的脆弱性被威胁利用的情形。
2、以下哪些不属于脆弱性范畴？A、黑客攻击B、操作系统漏洞C、应用程序BUGD、人员的不良操作习惯3、依据信息系统安全保障模型，以下那个不是安全保证对象A、机密性B、管理C、过程D、人员4、系统审计日志不包括以下哪一项？A、时间戳B、用户标识C、对象标识D、处理结果5、TCP三次握手协议的第一步是发送一个：A、SYN包B、SCK包C、UDP包D、NULL包6、以下指标可用来决定在应用系统中采取何种控制措施，除了A、系统中数据的重要性B、采用网络监控软件的可行性C、如果某具体行动或过程没有被有效控制，由此产生的风险等级D、每个控制技术的效率，复杂性和花费8、用户如果有熟练的技术技能且对程序有详尽的了解，就能巧妙的避过安全性程序，对生产程序做出更改。
为防止这种可能，要增强：A、工作处理报告的复查B、生产程序于被单独控制的副本之间的比较C、周期性测试数据的运行D、恰当的责任分割9、程序安全对应用安全有很大的影响，因此安全编程的一个重要环节。
用软件工程的方法编制程序是保证安全的根本。
在程序设计阶段，推荐使用的方法有：a 建立完整的与安全相关的程序文件b 严格控制程序库c 正确选用程序开发工具d 制定适当的程序访问控制A. a、b、c、dB. a、b、cC. b、c、dD. b、c10、Chinese Wall模型的设计宗旨是：A、用户只能访问那些与已经拥有的信息不冲突的信息B、用户可以访问所有的信息C、用户可以访问所有已经选择的信息D、用户不可以访问那些没有选择的信息11、对不同的身份鉴别方法所提供的防止重用攻击的功效从大到小排列：A、仅用口令，口令及各人识别号（PIN），口令响应，一次性口令B、口令几个人识别号（PIN）口令响应，一次性口令，仅由口令C、口令响应，一次性口令，口令及个人识别号（PIN），仅有口令D、口令响应，口令及个人识别号（PIN），一次性口令，仅有口令12、下面那个协议在TCP/IP协议的低层起作用？A、SSLB、SKIPC、S-HTTPD、S-PPC13、SSE-CMM，即系统安全工程一能力成熟度模型，它包含五个级别，其中计划和跟踪级着重于A、定义B、计划C、测量D、实施14、UDP端口扫描的依据是：A、根据扫描对放开房端口返回的信息判断B、根据扫描对方关闭端口返回的信息判断C、综合考虑A和B的情况进行判断D、既不根据A也不根据B15、企业内部互联网可以建立在企业内部网络上或是互联网上。
基于ISO27001的企业信息安全保障体系的构建设想_春增军
收稿日期:2009-03-23 修回日期:2009-04-08作者简介:春增军,男,1973年生,博士研究生,高级工程师,研究方向为管理科学与工程和信息安全。
基于ISO 27001的企业信息安全保障体系的构建设想The Imagination of C onstru cting a Enterprise Information SecuritySystem Based on ISO 27001春增军1,2(1.武汉大学信息管理学院 武汉 430072;2.中科华核电技术研究院有限公司信息技术中心 深圳 518124)摘 要 以ISO 27001信息安全管理体系为基础,结合风险评估的方法、国家对等级保护工作的要求及企业信息安全需求,提出了扩展ISO 27001的11个域为15个域的企业信息安全管理体系,并基于此提出企业4-4-5-2-3信息安全保障体系模型,即4个目标、4种方法、5项工作、2项措施、3道防线。
在企业中建立全面的信息安全保障体系将为企业信息安全实践指明方向,为安全控制措施的有效落实打下坚实的基础。
关键词 ISO 27001 风险评估 等级保护 信息安全 信息安全保障体系中图分类号 T P393 文献标识码 A 文章编号 1002-1965(2009)05-0155-04信息安全成了最近两年我国最热门的话题之一,为加快推进信息安全等级保护,规范信息安全等级保护管理,提高信息安全保障能力和水平,维护国家安全、社会稳定和公共利益,保障和促进信息化建设,公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定了5信息安全等级保护管理办法6,揭开了我国信息系统等级保护工作的序幕。
2008年奥运会的成功举办大涨了国人的士气,奥运成功举办的背后也有奥运会前举国信息安全检查及奥运期间信息安全保护工作的功劳。
对于一个企业而言,如何保证其整体信息安全,保障信息系统的可用性、完整性和保密性,防止信息泄密,保护企业的知识产权,维护企业核心利益,在当前形式下显得非常重要。
信息安全风险评估模型及方法研究
信息安全风险评估模型及方法研究一、本文概述本文主要研究信息安全风险评估模型及方法，旨在提高整体的信息安全管理水平。
随着信息科技的日益发展，信息资产的安全性变得越来越重要。
当前我国的信息安全水平普遍不高，与西方国家存在较大差距。
本文认为，要提高信息安全水平，不能仅仅依赖于传统的安全技术手段，而应该从组织整体的信息安全管理水平入手。
信息安全风险评估是信息安全管理的起始工作，但目前的评估手段存在单一化、难以定量化等问题。
本文将探讨如何采用VAR风险定量分析和概率论等数学方法来分析和评估信息安全风险，以达到资源的最佳配置，降低组织的整体信息安全风险。
同时，本文还将介绍风险评估的要素关系模型以及各要素和属性之间的关系，并从信息网络风险分析的基本要素出发，阐述风险分析的原理和评估方法。
本文的研究内容分为三个部分：概述信息安全以及信息安全风险评估的相关标准利用系统工程的理论和方法建立基于层次结构的信息安全评估模型研究基于资产、威胁和弱点的信息安全风险评估量化模型。
这三个部分紧密相连，逐层深入地对信息安全风险评估过程中的风险量化进行了科学的研究。
本文的创新之处在于对信息安全风险评估方法进行了两个方面的创新性研究：一是借鉴灰色理论等方法，对风险进行更准确的评估二是提出了基于层次结构的信息安全评估模型，为信息安全风险评估提供了新的思路和方法。
二、信息安全风险概述信息安全风险评估是信息安全领域中至关重要的一环，其目的是指导决策者在“投资成本”和“安全级别”之间找到平衡，从而为等级化的资产风险制定保护策略和缓解方案。
随着信息科技的日益发展和人类社会对信息的依赖性增强，信息资产的安全性受到空前重视。
当前我国的信息安全水平普遍不高，与西方国家存在较大差距。
在信息安全管理中，主要遵循“三分技术，七分管理”的原则。
要提高整体的信息安全水平，必须从组织整体的信息安全管理水平入手，而不仅仅是依赖防火墙、入侵检测、漏洞扫描等传统信息安全技术手段。
P2DR模型在医院信息系统安全中的应用
P2DR模型在医院信息系统安全中的应用韩蓉;吴俊【摘要】随着数字化医院建设的不断发展，医疗业务越来越依赖于医院信息系统（HIS），HIS安全显得至关重要。
本文借鉴安全模型P2DR的理论及其体系结构，分析目前HIS存在的安全风险和隐患，探讨将P2DR模型用于HIS安全建设，确保HIS可靠、安全、高效运行。
%Along with the continuous development of digital hospital construction, medical services are relying more and moreon the HIS (Hospital Information System). Hence, security of HIS is of great importance. According to the theory and structure of security model P2DR (Protection Policy Detection Response), this paper analyzes security risks and potential problems existing in the present HIS and then discusses application of P2DR model in security construction of HIS to ensure efficiency, reliability and security.【期刊名称】《中国医疗设备》【年(卷),期】2013(000)007【总页数】3页(P81-83)【关键词】医疗业务;P2DR;医院信息系统;网络安全【作者】韩蓉;吴俊【作者单位】南通市肿瘤医院信息科，江苏南通 226000;南通市肿瘤医院信息科，江苏南通 226000【正文语种】中文【中图分类】TP393.08;R197.324医院信息系统（HIS）是对医院医疗、财务、物资、药房、行政管理等信息进行采集、传输、处理、统计和存储的计算机应用系统[1]。
会计信息系统安全
信息安全的保护机制- 5重屏障
1、物理屏障：场地设备安全，含警卫、监控等 2、技术屏障：计算机技术、网络技术、通信技术等 3、管理屏障：人事、操作、设备等 4、法律屏障：民法、刑法等 5、心理屏障：全民国防意识
▪ 为降低进而消除对系统的安全攻击，对安全有一个统一的评价，各国引用或制定了一系列安 全标准。
▪ TCSEC标准 ▪ CC标准
安全标准简介（续） 信息安全标准的发展历史
可信计算机系统评测标准
▪ 1985年美国国防部（DoD）正式颁布《 DoD可信计算机系统评估标准》（简称TCSEC或 DoD85） ➢ TCSEC又称桔皮书 ➢ TCSEC标准的目的 提供一种标准，使用户可以对其计算机系统内敏感信息安全操作的可信程度做评 估。 给计算机行业的制造商提供一种可循的指导规则，使其产品能够更好地满足敏感 应用的安全需求。
▪ 国内
➢ 2000年3月6日，中国某家知名的全国性网上连锁商城开业3天惨遭黑客暗算，网站 全线瘫痪，页面被修改，数据库也受到了不同程度的攻击，交易数据破坏严重。 （黑客攻击）
▪ 国内
➢ 2004年6月至2005年8月期间，上海乐购超市真北店资讯组组长方元设计非法软件程 序，伙同收银员，每天将超市销售记录的20％自动删除，上述赃款由收银员上交后 ，再按比例分成，涉案人员各得赃款数千元至数十万元不等。这伙成员达43人的超 市内部高智商犯罪团伙，通过分工合作，在短短一年多的时间内侵占了超市营业款 397万余元。（人为操作）
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息系统安全保障模型
随着信息技术的快速发展，电子信息系统已经成为现代社会生产生活的基础设施，信
息安全问题日益严重。
为了保护信息系统的安全，建立信息系统安全保障模型是非常必要的。
信息系统安全保障模型是指在信息系统的建设、运维等过程中，为保证信息系统的安全，需要考虑的安全措施和策略。
信息系统安全保障模型包括物理安全、技术安全、管理安全三个方面。
一、物理安全
物理安全是指保护信息系统所需的物理设施和硬件设备不受侵害，确保信息系统的基
础设施安全。
物理安全主要包括以下措施：
1. 机房安全控制
机房是信息系统的核心资产，为了保证机房的安全，需要建立机房入口的门禁系统、
摄像头等安全措施，并确保只有经过审批的人员才能进入机房。
2. 周边环境安全保障
信息系统的周边环境也需要保证安全，例如，防火、防潮、防雷等措施都需要考虑到，以确保信息系统所在的环境不会对信息系统造成损害。
3. 数据存储安全控制
数据存储安全控制是指数据的存储设备需要放置在安全的地方，确保设备不受盗窃或
损坏，同时需要建立备份机制，防止数据丢失。
二、技术安全
技术安全是指通过技术手段，保护信息系统的网络、软硬件等方面的安全。
技术安全
主要包括以下措施：
网络安全是信息系统安全的关键环节，需要通过建立防火墙、杀毒软件、网络扫描等
手段，保护网络的安全，防止黑客攻击和病毒入侵。
2. 软件安全
软件安全是指保护信息系统中的软件程序不受病毒、木马等恶意程序侵害，需要安装
杀毒软件、防火墙等安全软件，确保信息系统中的软件不被攻击者利用。
硬件安全是指保护信息系统中的硬件设备不受损坏、盗窃等威胁，需要建立硬件设备
的使用和维护规范，严格控制硬件设备的使用和借出。
1. 管理制度建立
建立信息系统安全管理制度，明确职责、权限以及信息系统的保密等级，制定安全管
理计划，确保安全措施的落实。
2. 人员管理
人员管理是信息系统安全的基础，需要进行人员背景审查，确保职员的信誉度和素质，同时建立访问控制策略，控制系统用户的权限和行为。
3. 培训教育
每位用户都是信息系统安全的关键环节，需要进行安全培训，提高用户安全意识和防
范能力，同时建立安全知识库，提供用户使用。
综上所述，物理安全、技术安全、管理安全是建立信息系统安全保障模型的基础措施，要充分发挥各项措施的作用，形成系统化的信息系统安全保障体系。
只有这样，才能有效
地保护信息系统的安全。