信息安全管理技术标准2课件.ppt

1、信信息息技技术术/网网络络政府商业个人生活金融3黑客攻网络内部、外部泄密拒绝服务攻击逻辑炸弹特洛伊木马黑客攻击计算机病毒后门、隐蔽通道蠕虫nformation Security Management System，ISMS）是是组组织织在在整整体体或或特特定定范范围围内内建建立立的的信信息息安安全全方方针针和和目目标，标，以以及及完完成成这这些些目目标标所所用用的的方方法法和和手手段段所所构构成成的的体体系；系；信信息息安安全全管管理理体体系系是是信信息息安安全全管管理理活活动动的的直直接接结结果，果，表表示示为为方方针、针、原原则、则、目目标、标、方方法、法、计计划、划、活活动、动、程程序、

2、序、过过程程和和资资源源的的集集合。合。一一部部分，分，是是组组织织在在整整体体或或特特定定范范围围内内建建立立信信息息安安全全的的方方针针和和目目标，标，以以及及完完成成这这些些目目标标所所用用的的方方法法的的体体系。系。安安全全管管理理体体系系是是安安全全技技术术体体系系真真正正有有效效发发挥挥保保护护作作用用的的重重要要保保障，障，安安全全管管理理体体系系的的涉涉及及立立足足于于总总体体安安全全策策略，略，并并与与安安全全技技术术体体系系相相互互配配合，合，增增强强技技术术防防护护体体系系的的效效率率和和效效果，果，同同时，时，也也弥弥补补当当前前技技术术无无法法完完全全解解决决的的安安

3、全全缺缺陷。陷。信息安全保证工作事关大局，企业、组织各信息安全保证工作事关大局，企业、组织各级领导应该把信息安全列为其最重要的工作级领导应该把信息安全列为其最重要的工作内容之一，并负责成提高、加强内部人员的内容之一，并负责成提高、加强内部人员的安全意识，组织有效的技术和管理队伍，调安全意识，组织有效的技术和管理队伍，调动优化配置必要的资源和经费，协调信息安动优化配置必要的资源和经费，协调信息安全管理工作与各部门工作的关系，确保信息全管理工作与各部门工作的关系，确保信息安全保障工作的落实和效果。安全保障工作的落实和效果。主要领导负责原则规范定级原则的的放放矢矢的的前前提，提，是是界界定定和和保保

4、护护重重点点信信息息系系统统的的依依据，据，只只有有通通过过合合理、理、规规范范的的分分级、级、分分类类才才能能落落实实重重点点投投资、资、重重点点防防护。护。以以人人为为于于人人为为的的因因素。素。加加强强信信息息安安全全教教育、育、培培训训和和管管理，理，强强化化安安全全意意识识和和法法制制观观念，念，提提升升职职业业道道德，德，掌掌握握安安全全技技术，术，确确保保措措施施落落实实是是做做好好信信息息安安全全管管理理工工作作的的重重要要保保证。证。适适度度安安的的局局限限性性是是安安全全决决策策处处于于两两难难境境地，地，恰恰当当地地平平衡衡安安全全投投入入与与效效果果是是从从全全局局上上

5、处处置置好好安安全全管管理理工工作作的的出出发发点。点。全全面面防防范、范、突突关关键。键。它它需需要要从从人人员、员、管管理理和和技技术术等等方方面，面，在在预预警、警、保保护、护、检检测、测、反反应、应、恢恢复复和和跟跟踪踪等等多多个个环环节节上上采采用用多多种种技技术术实实现。现。同同时，时，又又要要从从组组织织和和机机构构的的实实际际情情况况出出发，发，突突出出自自身身的的安安全全管管理理重重点。点。系系统、统、动动系系统统工工程程的的要要求，求，注注意意各各方方面、面、各各层层次、次、各各时时期期的的相相互互协协调、调、匹匹配配和和衔衔接，接，以以便便体体现现系系统统集集成成效效果果

6、和和前前期期投投入入的的效效益。益。同同时，时，信信息息安安全全又又是是一一种种状状态态和和动动态态反反馈馈过过程，程，随随着着安安全全利利益益和和系系统统脆脆弱弱性性时时空空分分布布的的变变化，化，威威胁胁程程度度的的提提高，高，系系统统环环境境的的变变化化以以及及人人员员对对系系统统安安全全认认识识的的深深化化等，等，应应及及时时地地将将现现有有的的安安全全策策略、略、风风险险接接受受程程度度和和保保护护措措施施进进行行复复查、查、修修改、改、调调整整以以至至提提升升安安全全管管理理等等级。级。控控制制社社会会时时披披露露并并发发布布准准确确一一致致的的有有关关信信息，息，避避免免带带来来

7、不不良良的的社社会会影影响。响。分分权权制制源源的的机机会，会，对对特特定定职职能能或或责责任任领领域域的的管管理理能能力力实实施施分分离、离、独独立立审审计，计，避避免免操操作作权权力力过过分分集集中。中。最最小小特特用用或或系系统）统）仅仅享享有有该该实实体体需需要要完完成成其其任任务务所所必必需需的的特特权，权，不不应应享享有有任任何何多多余余的的特特权。权。选选用用成成熟熟证，采用新技术时要重视其成熟的程度。如果新技术势在必行，应该首先局部试点，然后逐步推广，减少或避免可能出现的损失。普普遍遍参参求信息系统所涉及的人员普遍参与并与社会相关方面协同、协调，共同保障信息系统安全。25信息安

8、全管理内容流程规范性整体协调性执行落实性变更可控性责任性持续改进型计划性合规性信息安全管理内容完完成成信信息息安安全全管管理理方方面面的的要要求。求。2、通通过过信信息息安安全全管管理理过过程程驱驱动动信信息息安安全全技技术术的的实实施，施，达达到到信信息息安安全全在在技技术术方方面面的的要要求。求。信信息息安安全全信息安全进行总体性指导和规划的管理过程。这些过程包括：安全方针和策略、资金投入管理和信息安全规划等。安安全全方方略管理。方针和策略是信息安全保障工作的整体性指导和要求。安全方针和策略需要有相应的制定、审核和改进过程。资资金金投投资金支撑。但从另一个方面来讲，绝对的安全是无法实现的，

9、因此，需要考虑资金投入和经济效益之间的平衡。信信息息安安较广的工作，同时也是一项持续的、长期的工作。因此，信息安全保障工作需要有长期、中期、短期的计划。信信息息安安全全的基本过程。人员和组织是执行信息安全保障工作的主体。在在人人员员和和组组织织管管理理方方安全保障工作；2、确保人员有明确的角色和责任；3、保证从业人员经过了适当的信息安全教育和培训，有足够的安全意识。4、机构中的信息安全相关人员能够在有效的组织结构下展开工作。基基于于信信息息系系统统各各系统的安全保护中也存在层次的特点，对应各个层次也有相应的信息安全管理工作。基于信息系统的各个层次，可相应在如下层次中开展信息安全管理：环境和设备

10、安全、网络和通信安全、主机和系统安全、应用和业务安全、数据安全。环环境境和和过程中，主要是涉及信息系统和信息工作所在的环境安全，以及信息设备方面的安全。另外，文档和介质是存储数据的特殊载体，因此，也应当对其进行适度的管理。物理安全是上层安全的基础。网网络络和和统可以覆盖各个地理位置和业务场所。网络和通信安全，特别是全程全网的安全是信息安全保障工作的关键环节。主主机机和和理系统以及各种支撑系统等，是承载业务系统的基础平台。主机和系统是信息系统威胁的主要目标之一。应应用用和和业务工作的上层系统。对相应应用系统的安全管理要与具体的业务特点相结合。数数据据重要的地位。数据的保密性、数据的完整性、数据内

11、容的真实性和可靠性等安全特性的要求在业务中都非常突出。基基于于信信息息系系统统生生全保障也涉及到信息系统生命周期的各个阶段。信息系统生命周期可以划分为两个阶段：1、系统投入前的工程设计和开发阶段；2、系统的运行和维护阶段。行项项目目工工程程安全的能力、强度、脆弱性、可改进的潜力等方面有相当的部分已经确定和定型。因此，对于一个信息系统，不应当在系统建设完成后再考虑信息安全问题，而应当从系统建设的初期开始，在建设的整个过程中同步考虑。日日常常运运行行于于维维建设完成后，其安全工作并没有结束。真正的安全效果需要通过日常运行中的安全管理来实现，工程过程中奠定的信息安全基础需要通过管理手段加以发挥。配配

12、置置管管理理缺的管理过程。在信息安全管理中，这两方面管理的作用尤为突出。1、配置管理：从信息安全管理的角度看，应当对被保护的资产以及相应的保护措施进行配置描述，并应当对各个配置描述进行持续的跟踪管理。2、变更管理：人员、设备、流程等各个方面的变化，都可能导致信息安全风险的变化，因此，要对信息系统中重要的变更进行管理。需要建立正规的变更流程来控制变更可能导致的风险。文文档档化化和和要部分。只有将各种管理办法、管理过程、管理要求等通过文档的形式明确下来，才能保证信息安全管理工作进一步得到落实和贯彻。业务的运行以及单位自身的正常运营需要通过许多操作过程（流程）来具体实现，管理流程的规范化程度可以体现

13、管理的水平。新新技技术、术、新新方方法法和竞争力水平的重要手段。因此，对于新技术和新方法要不断跟踪，并有计划地将新技术和新方法应用到业务系统中。甚至，为了保证竞争力的持续提高，还要进行前瞻性的技术和方法研究。但是新的技术和方法可能带来新的风险，甚至一些风险在该技术没有得到广泛应用和成熟化之前很难被发现。因此，在采取任何较新的技术和方法之前，都要进行严格的安全评估。风风险险是整体风险管理的一个有机组成部分，是其在信息化领域的具体体现。在信息安全风险管理过程中，要实施如下工作：1、资产鉴别、分类和评价2、威胁鉴别和评价3、脆弱性评估评估防护措施的效力和存在的脆弱性4、安全风险评估和评级综合资产、威

14、胁、脆弱性的评估和评价，完成最终的风险评估和评级。5、决策并实施风险处理措施根据风险评估的结果，作出风险处理和控制的相关决策，并投入实施。业业务务连连复、危机管理、风险管理控制或者技术恢复，也不仅仅是一个专业的技术问题，更重要的是一个业务驱动和高层驱动的管理问题。它是一个全盘的管理过程，重在识别潜在的影响，建立整体的恢复能力和顺应能力，在危机或灾害发生时保护信息系统所有者的声誉和利益。符符合合有效实施的重要管理过程。此类管理过程可以将信息安全管理工作纳入到一个良性的、持续改进的循环中。需要考虑的审核内容包括：法律和法规、内部的方针和制度、技术标准以及其他需要遵循的各种范围要求。信信息息安安全全

15、管管51数据数据/文档文档/介质管理介质管理方针和策略管理方针和策略管理应用与业务管理应用与业务管理主机与系统管理主机与系统管理网络与通信管理网络与通信管理环境与设备管理环境与设备管理风险管理风险管理业务连续性管理业务连续性管理项目项目工程工程管理管理运行运行维护维护管理管理人人员员和和组组织织管管理理信息安全管理体系构成方方针针与与全方针以及配套的策略和制度，以实现对信息安全工作的支持和承诺，保证信息安全的资金投入。风风险险程，而是管理风险的过程。没有绝对的安全，风险总是存在的。信息安全体系建设的目标就是把风险控制在可以接受的范围之内，风险管理同时也是一个动态持续的过程。人人员员与与提供安全

16、教育和培训，对第三方人员进行管理，协调信息安全监管部门与行内其他部门之间的关系，保证信息安全工作的人力资源要求，避免由于人员和组织上的错误产生信息安全风险。环环境境与与不当所产生的风险。管理的内容包括物理环境安全、设备安全、介质安全等。网网络络与与到破坏和滥用，避免和降低由于网络和通信系统的问题对业务系统的损害。主主机机与与到破坏和滥用，避免和降低由此对业务系统的损害。应应用用与与理，防止受到破坏和滥用。数数据据/文文档档防止数据被窃取和篡改，保护业务数据的安全。项项目目工工项目的成果是可靠的安全系统。运运行行维维并确保系统维护工作的安全。业业务务连连确保信息系统在任何灾难和攻击下，都能够保证

17、业务的连续性。合合规规律、法规的要求；并且信息安全方针、规定和标准得到了遵循。12项项信信息息安安全全全管理工作的基础和整体指导，对于其他所有的信息安全管理类都有指导和约束的关系。12项项信信息息安安全全和策略来执行的信息安全管理工作。12项项信信息息安安全全安全管理工作的效果。特别是对于国家法律法规，方针政策和标准符合程度的检验。12项项信信息息安安全全施信息安全管理工作。在实施中主要从两个角度来考虑问题，即风险管理和业务连续性管理。12项项信信息息安安全全将信息系统分为两个阶段，即项目工程开发阶段和运行维护阶段。这两个信息安全管理类体现了信息系统和信息安全工作的生命周期特性。第第二二节节信

18、信息息BS 77h Standards Insstitute,BSI）针对信息安全管理而制定的标准。分为两个部分：第一部分：被国际标准化组织ISO采纳成为ISO/IEC 17799:2005标准的部分，是信息安全管理实施细则（Code of Practice for Information Security Manage-ment），主要供负责信息安全系统开发的人员参考使用，其主要内容分为11方面，提供了133项安全控制措施（最佳实践）。第二部分：被国际标准化组织ISO采纳成为ISO/IEC 20071:2005标准的部分，是建立信息安全管理体系（ISMS）的一套规范（Specificatio

19、n for Information Security Management Systems）,其中详细说明了建立、实施和维护信息安全管理体系的要求，可以用来指导相关人员应用ISO/IEC 17799:2005,其最终目的在于建立适合企业需要的信息安全管理体系。BS 779在开发一套可供开发、实施和衡量有效信息安全管理实践的通用框架。1995年，BS 7799-1:1995信息安全管理实施细则首次发布1998年，BS 7799-2:1998信息安全管理体系规范发布1999年4月，BS 7799的两个部分被修订，形成了完整的BS 7799-1:19992000年国际信息化标准组织将其转化为国际标准

20、，即ISO/IEC 17799:2000信息技术信息安全管理实施细则2002年BSI对BS 7799-2：1999进行了重新修订，正式引入PDCA过程模型；2004年9月BS 7799-2:2002正式发布2005年6月，ISO/IEC 17799:2000经过改版，形成了新的ISO/IEC 17799:2005,同年10月推出了ISO/IEC 27001:2005目前有20多个国家和地区引用BS 7799作为本国（地区）标准，有40多个国家和地区开展了与此相关的业务。在我国ISO 17799:2000已经被转化为GB/T 19716-2005BS7799的内容*BS7799-1:信息安全管理

21、实施规则 主要是给负责开发的人员作为参考文档使用，从而在他们的机构内部实施和维护信息安全。*BS7799-2:信息安全管理体系规范 详细说明了建立、实施和维护信息安全管理体系的要求，指出实施组织需要通过风险评估来鉴定最适宜的控制对象，并根据自己的需求采取适当的安全控制。BS7799-1(ISO/IEC17799)BS7799-1(ISO/IEC17799)BS7799-1(ISO/IEC17799)BS7799-1(ISO/IEC17799)BS7799-1(ISO/IEC17799)BS7799-1(ISO/IEC17799)BS7799-1(ISO/IEC17799)序序中中的的信信息息出

22、出错、错、丢丢失失或或被被非非授授权权篡篡改改及及误误用；用；（5）漏漏洞洞管管理：理：防防止止利利用用已已发发布布的的漏漏洞洞信信息息来来实实施施破破坏；坏；（6）管管理理信信息息安安全全事事件件和和改改进：进：确确保保采采取取一一致致和和有有效效的的方方法法来来管管理理信信息息安安全全事事件。件。（7）业业务务连连续续性性管管理：理：减减少少业业务务活活动动中中断，断，保保护护关关键键业业务务过过程程不不受受重重大大事事故故或或灾灾难难影影响。响。BS7799-1(ISO/IEC17799)BS7799-2/ISO 27001BS7799-2/ISO 27001BS7799-2/ISO 2

23、7001BS7799-2/ISO 27001BS7799-2/ISO 27001BS7799-2/ISO 27001BS7799-2/ISO 27001二、二、其其3、ISO/IE由ISO/IEC JTC1制定的技术报告，是一个信息安全管理方面的指导性标准，其目的是为有效实施IT安全管理提供建议和支持。（2）对信息安全风险及其构成要素间关系的描述非常具体，对风险评估方法过程的描述很清晰，可用来指导实施。第第三三节节信信安全策略三、确定信息安全策略保护的对象四、主要信息安全策略五、信息安全策略的执行和维护信信息息安安全全层批准，正式发布和实施的纲领性文件，描述了一个企业、组织的高层安全目标，它描

24、述应该做什么，而不是如何去做，一份信息安全策略就像是一份工程管理计划书，这意味着它隐藏了执行的细节。信息安全策略是一种处理安全问题的管理策略的描述。安全策略必须遵循三个基本原则：确定性、完整性和有效性。信信息息安安全全策策的方针和政策的集合，虽然它并不涉及具体的执行细节，但是明确描述了安全保护的对象范围，能够保证后续的控制措施被合理的执行，能够对安全产品的选择及管理实践起到指导和约束作用。遵循安全策略的信息系统建设和管理将会形成一个统一的有机整体，使得系统具有更好的安全性。制制定定信信息息安安生第一起网络安全事故之前。安安全全员员需需要要了了有信息安全策略的企业投保；3、一个包括软件开发策略在

25、内的安全策略对与开发更安全的系统是有指导作用的。4、在安全事故发生后，安全事故很可能重复发生，所以第一次发生后实施安全策略尽管太晚，却十分必要；5、发生安全事故制定安全策略时，不要把重点放在攻破的地方，要从全局考虑安全问题；6、安全策略给用户的印象是企业对安全问题非常认真；7、当企业为政府或机关工作或与其合作时，一份安全策略应该是首先引起注意的事项；8、向用户展示企业质量标准控制所要求的可评价安全程序来说，安全策略可以作为该程序的指导方针。信信息息安安全全策策险评估/分析或者审计3、信息安全策略的审查、批准和实施制制定定信信息息评估，决定其所需的安全服务种类，选择相应的安全机制，然后集成先进的

26、安全技术，形成一个全方位的安全系统。建立相应的网络安全管理办法，加强内部管理，建立合适的网络安全管理系统，加强用户管理和授权管理，建立安全审计和跟踪体系，提高整体网络安全意识。立与网络安全相关的法律、法规，使非法分子不会轻易发动攻击。信信息息安安全全策策括三个不同层次的策略文档：1、总体安全策略2、针对特定问题的具体策略3、针对特定系统的具体策略总总体体安安全全了企业对与信息安全的看法和立场、信息安全的目标和战略、信息安全所涉及的范围、管理组织架构和责任认定以及对与信息资产的管理办法等内容。针针对对特特定定问问题题声明、立场、适用办法、强制要求、角色、责任的认定等内容，例如：针对Interne

27、t访问操作、计算机和网络病毒防治、口令的使用和管理等特定问题，制定用针对性的安全策略。针针对对特特定定系系统统体化和详细化，阐明了特定系统与信息安全有关的使用和维护规则等内容，如防火墙配置策略、电子邮件安全策略等等。信信息息安安全全策策略略的的信息安全策略物物理理安安安全、媒体安全、信息资产的物理分布、人员的访问控制、审计纪录、异常情况的追查等。网网络络安安网络设备的管理、网络安全访问控制（防火墙、入侵检测系统、VPN等）、安全扫描、远程访问、不同级别网络的访问控制方式、识别/认证机制等等。数数据据加加范围、密钥交换和管理等。数数据据备备方式、备份数据的安全储存、备份周期、负责人等。病病毒毒防

28、防安装、配置、对软盘使用、网络下载等作出的规定。系系统统安安制策略、数据库系统安全策略、邮件系统安全策略、应用服务器系统安全策略、个人桌面系统安全策略、其他业务相关系统安全策略等。身身份份认认证证授权机制、方式、审计记录等。灾灾难难恢恢制、方式、归档管理、硬件、软件等。事事故故处处理、理、紧紧小组、联系方式、事故处理计划、控制过程等。安安全全教教布宣传、执行效果的监督、安全技能的培训、安全意识的教育等。口口令令管管口令设置规则、口令适应规则等。补补丁丁管管新、测试、安装等。系系统统变变更更配置、数据变更管理、一致性管理等。商商业业伙伙伴、伴、客客款安全策略、客户服务安全建议等。复复查查审审定期

29、复查、对安全控制及过程的重新评估、对系统日志记录的审计、对安全技术反战的跟踪等。有有效效的的信信息息安安完完整整信信息息安安全全可可接接受受的的已经通过了公共评估并业界已经证明是有效的。他能够解决合法性问题，尤其是考虑到出口法律条款时。可可接接受受的的收使用和不可接受使用的状态，这些企业计算资源包括隐私、秘密信息、版权、主动提供的通讯、防止硬件盗窃、自由言论和相关问题等。该特定策略能够扩展AUP的应用。模模拟拟/ISDN线线导致的系统入侵以及拨出访问而产生的系统泄密等问题。还可以通过与业务案例紧密联系的批准流程和严格的运算要求，控制预定传真和调制解调器线路的人员。此外，安全策略还定义了包括含拨

30、入访问的流程、正确赋予类似访问权限的规则以及不使用拨入访问的情况。防防病病圾邮件、邮件链、可执行的电子邮件附件等，未知可下栽的原地址、感染的软盘、可写的文件共享和非频繁的备份操作等建议。虽然文档中的信息仅作为指导使用（建议仅是推荐使用，并不具有强制性），但是许多企业然希望将其作为安全策略使用（所有要求都是在企业内部必须采用的）。应应用用程程序序提提供供在企业外部进行主机托管时，则可以定义确定大量敏感信息的规则。与之相关的文档定义了基本安全标准，是作为企业外部主机托管的ASP所必需考虑遵循的要求。引引入入评评受计算机相关设备。提供替换、重新映像或审核系统与网络组件并重新建立Internet连接的

31、指南。审审核核和和任何企业所有的计算机系统或组件中进行安全性审核和风险评估。自自动动转转发发电电邮件。数数据据库库登录数据库，并且应该安全保存并可由程序源代码外部调用。Extranternet的要求。需要企业评估第三方安全性和业务案例以确认系统访问。敏敏感感信信秘密”、“仅供内部使用”和“公开”等。为每个级别定义了适当的格式的数据存储和分发。Interne要求区域（Demilita-rized Zone,DMZ）所有设备所必须满足的标准。实实验验必须制定宽松的策略以进行开发工作。提供多个策略定义相关的标准并提出附加要求，如指定一名与管理员单一联系的人员。口口令令有效时间、全球口令数据库、创建健

32、壮口令的规则以及禁止口令共享和泄漏。远远程程访访问问和和V问的各种形式。总体来讲，扩展了所有相关的内不策略覆盖远程访问。该策略提供了更多用于虚拟个人网络(VPN)的规则，例如，要求所有活动的网络流量都要通过VPN传输，而不是同时通过VPN和不安全的网络连接传输。路路由由器器准，如包过滤规则以防止网络欺诈、简单的网络管理协议（SNMP）通信和“无侵入”信号等。服服务务器器禁止不必要的设备、强制设备注册、定期不定修复与其他服务器的信任限制和服务其硬件的物理安全等。第第三三方方网网的第三方之间的合同。无无线线通通问控制点的最少加密标准和限制。确确定定信信息息安安全全系统的数据三、人员信信息息系系统统

33、的的硬硬应该受到策略保护。所以拥有一份完整的清单是非常重要的。1、硬件：CPU、主板、键盘、显示器、工作站、个人电脑、打印机、磁盘驱动器、通信线路、终端服务器、路由器、诊断设备等；2、软件：源程序、目标程序、工具程序、诊断程序、操作系统、通信程序等。信信息息系系统统处理的事情是必须考虑的。策略必须考虑到数据是如何处理的，怎么保证数据的完整性和保密性。除此之外，还必须考虑到如何监测数据的处理。数据是组织的命脉，所以必须有完整的机制来监测它在整个系统中的活动。人人员员下能够访问资源。策略对那些需要访问的人授权直接访问的权力，对那些不该访问的人，策略则要限制他们访问。接下来要考虑的就是强制执行制度和

34、对未授权访问的的惩罚制度。如：公司的运作由法律保护吗？对违反策略的员工有什么样的纪律上的处罚？在法律上又能做些什么？主主要要信信息息2、用户口令的管理网网络络服服务务器器确定，必须两人同是在场确定；2、服务器的口令须部门负责人在场时，由系统管理员记录封存；3、口令要定期更换（视网络具体情况），更换后系统管理员要销毁原记录，将新口令记录封存；4、如发现口令有泄密现象，系统管理员要立即报告部门负责人，有关部门负责人报告安全部门，同时，要尽量保护好现场并记录，须接到上一级主管批示后再更换口令。用用户户口口与系统管理员商定口令，由系统管理员登记并请用户负责人确认（签字或电话通知）之后系统管理员设定口令

35、，并保存用户档案；2、在用户由于责任人更换或忘记口令时要求查询口令或要求更换口令的情况下，须向网络服务管理部门提交申请单，由部门负责人或系统管理员核实后，对用户档案作更新记载；3、如果网络提供用户自我更新口令的功能，用户应自己定期更换口令，并设专人负责保密和维护工作。创创建建口口令令时时应应基础2、不可将自己的偶像用于口令3、不要使用基于放在办公室桌上的物品的口令4、不要将口令文件保存在本地机器或共享网络上。创创建建有有效效口口了锁的保险箱；2、有效的口令必须相当长，但又不能长到您无法记住他们的程度；3、以合理的方式使用特殊字符、大写字母和数字。计计算算机机病病毒毒和和恶恶1、拒绝访问能力2、

36、病毒检测能力3、控制病毒传播的能力4、清除能力5、恢复能力6、替代操作拒拒绝绝访访络传过来的）不得进入系统。病病毒毒检检中设置检测病毒机制是非常必要的。除了检测已知类病毒外，能否检测未知病毒是一个重要指标。控控制制病病毒毒病毒，一旦病毒进入了系统，应不让病毒在系统中到处传播。系统一定要有控制病毒传播的能力。清清除除的传播受到了控制，也要有相应的措施将它清除掉。对于已知类病毒，可以使用专杀软件；对于未知类病毒，在发现后使用软件工具对他进行分析，尽快编写出消毒软件。当然，如果有后备文件，也可使用它直接覆盖受感染文件，但一定要查清病毒的来源。恢恢复复坏了系统中的数据，系统应提供一种高效的方法来恢复这

37、些数据。替替代代时，手头没有可用的技术，任务又必须执行下去。系统应该提供一种替代操作方案。在恢复系统时可用替代系统工作，等问题解决后再替换过来。这一准则对于战时的军事系统是必要的。安安全全教教育育信息安全工作的高级负责人或各级管理人员：重点是了解、掌握企业信息安全的整体策略及目标、信息安全体系的构成、安全管理部门的建立和管理制度的制定等；2、负责信息安全运行管理及维护的技术人员：重点是充分理解信息安全管理策略，掌握安全评估的基本方法，对安全操作和维护技术的合理运用等。3、用户：重点是学习各种安全操作规程，了解和掌握与其相关的安全策略，包括自身应承担的安全职责等。最最终终用用互联网的使用：4、加

38、固最终用户：账户管理、补丁管理、事件报告等制度5、时时更新6、强制执行简简单单的的安安内安全教育与培训计划的制定和执行；2、制定详细的安全教育和培训计划，对信息安全技术和管理人员进行安全专业知识技能培训，对普通用户进行安全基础知识、安全策略和管理制度培训，提高人员的整体安全意识和安全操作水平；3、管理机构定期对安全教育和培训的成果进行抽查和考核，检验安全教育和培训活动的效果。可可接接受受使使用用后，需要对其进行总结和提炼，产生的成果文档被称为AUP。AUP以终端用户作为阅读对象，具有简短而突出重点的特点，被看作是一份信息安全策略的“快速入门”文件。AUP通通常常包包信信息息安安全全保障手段确保

39、安全策略被有效遵守和执行，责任声明和惩罚制度是最重要的保障手段，它应该明确阐述违反安全策略的行为将要承担什么样的责任，接受哪些责任追究。所有制定好的安全策略、可接受使用策略以及保障策略执行的制度，都要通过教育和培训，传达给所有网络和信息系统用户。信信息息安安全全1年，或者在企业、组织业务模式以及支撑业务实现的信息技术发生重大变化时进行。审查过程中最重要的内容是从风险评估或者日志审计分析中所获得的信息，其他有用的信息是从管理层得到的业务信息和业务过程信息，以及来自系统管理员和网络管理员的信息反馈。经过修订的安全策略，必须经过高级管理层的批准和发布。第第四四节节信信安全技术三、网络安全技术四、系统

40、安全技术五、身份认证安全技术 物理环境安全技术 物理安全又叫实体安全（Physical Security），是保护计算机设备、设施（网络及通信线路）免遭地震、水灾、火灾、有害气体和其他环境事故（如电磁污染等）破坏的措施和过程。引言 实体安全技术主要是指对计算机及网络系统的环境、场地、设备和通信线路等采取的安全技术措施。物理安全技术实施的目的是保护计算机及通信线路免遭水、火、有害气体和其他不利因素(人为失误、犯罪行为)的损坏。1）计算机及其网络系统自身存在的脆弱性因素。2）各种自然灾害导致的安全问题。3）由于人为的错误操作及各种计算机犯罪导致的安全问题。物理安全包括：环境安全、电源系统安全、设备

41、安全和通信线路安全。影响计算机网络实体安全的主要因素如下：物理环境安全的内容 1)环境安全：应具备消防报警、安全照明、不间断供电、温湿度控制系统和防盗报警。2)电源系统安全：电源安全主要包括电力能源供应、输电线路安全、保持电源的稳定性等。3)设备安全：要保证硬件设备随时处于良好的工作状态，建立健全使用管理规章制度，建立设备运行日志。同时要注意保护存储媒体的安全性，包括存储媒体自身和数据的安全。4)通信线路安全：包括防止电磁信息的泄漏、线路截获，以及抗电磁干扰。物理环境安全包括以下主要内容:1）计算机机房的场地、环境及各种因素对计算机设备的影响。2）计算机机房的安全技术要求。3）计算机的实体访问

42、控制。4）计算机设备及场地的防火与防水。5）计算机系统的静电防护。6）计算机设备及软件、数据的防盗防破坏措施。7）计算机中重要信息的磁介质的处理、存储和处理手续的有关问题。物理环境安全的内容物理环境安全涉及的主要技术标准（1）GB/T 2887-2000 电子计算机场地通用规范（2）GB/T 9361-1988 计算站场地安全要求（3）GB/T 14715-1993 信息技术设备用UPS通用技术条件（4）GB 50174-1993 电子计算机机房设计规范 计算机机房建设至少应遵循国标GB/T 2887-2000和GB/T 9361-1988，满足防火、防磁、防水、防盗、防电击、防虫害等要求，并

43、配备相应的设备。环境安全技术 安全保卫技术是环境安全技术的重要一环，主要的安全技术措施包括：防盗报警、实时监控、安全门禁等。计算机机房的温度、湿度等环境条件保持技术可以通过加装通风设备、排烟设备、专业空调设备来实现。计算机机房的用电安全技术主要包括不同用途电源分离技术、电源和设备有效接地技术、电源过载保护技术和防雷击技术等。计算机机房安全管理技术是指制定严格的计算机机房工作管理制度，并要求所有入机房的人员严格遵守管理制度，将制度落到实处。表3-1 计算机机房安全要求(十：要求，：有要求或增加要求)如何减少无关人员进入机房的机会是计算机机房设计时首先要考虑的问题。计算机机房最好不要安排在底层或顶

44、层，这是因为底层一般较潮湿，而顶层有漏雨、穿窗而入的危险。在较大的楼层内，计算机机房应靠近楼梯的一边。外来人员进入手续。计算机机房所在建筑物的结构安全。视频监视系统是一种更为可靠的防盗设备，能对计算机网络系统的外围环境、操作环境进行实时全程监控。对重要的机房，还应采取特别的防盗措施，如值班守卫、出入口安装金属探测装置等。在需要保护的重要设备、存储媒体和硬件上贴上特殊标签（如磁性标签），当有人非法携带这些重要设备或物品外出时，检测器就会发出报警信号。将每台重要的设备通过光纤电缆串接起来，并使光束沿光纤传输，如果光束传输受阻，则自动报警。温度、湿度和洁净度并称为三度，为保证计算机网络系统的正常运行

45、，对机房内的三度都有明确的要求。为使机房内的三度达到规定的要求，空调系统、去湿机、除尘器是必不可少的设备。重要的计算机系统安放处还应配备专用的空调系统，它比公用的空调系统在加湿、除尘等方面有更高的要求。温度：机房温度一般应控制在1822 湿度：相对湿度一般控制在4060为宜 洁净度：尘埃颗粒直径0.5m，含尘量1万颗/升 计算机机房的火灾一般是由电气原因、人为事故或外部火灾蔓延引起的。计算机机房的水灾一般是由机房内有渗水、漏水等原因引起的。为避免火灾、水灾，应采取如下具体措施:（1）隔离 （2）火灾报警系统 （3）灭火设施 (4）管理措施 电源是计算机网络系统的命脉，电源系统的稳定可靠是计算机

46、网络系统正常运行的先决条件。电源系统电压的波动、浪涌电流和突然断电等意外情况的发生还可能引起计算机系统存储信息的丢失、存储设备的损坏等情况的发生，电源系统的安全是计算机系统物理安全的一个重要组成部分。GB/T 2887-2000将供电方式分为三类:一类供电：需要建立不间断供电系统。二类供电：需要建立带备用的供电系统。三类供电：按一般用户供电考虑。不同物体间的相互摩擦、接触会产生能量不大但电压非常高的静电。如果静电不能及时释放，就可能产生火花，容易造成火灾或损坏芯片等意外事故。计算机系统的CPU、ROM、RAM等关键部件大都采用MOS工艺的大规模集成电路，对静电极为敏感，容易因静电而损坏。机房的

47、内装修材料一般应避免使用挂毯、地毯等吸尘、容易产生静电的材料，而应采用乙烯材料。为了防静电，机房一般要安装防静电地板。机房内应保持一定湿度，特别是在干燥季节应适当增加空气湿度，以免因干燥而产生静电。接地与防雷是保护计算机网络系统和工作场所安全的重要安全措施。接地是指整个计算机系统中各处电位均以大地电位为零参考电位。接地可以为计算机系统的数字电路提供一个稳定的0V参考电位，从而可以保证设备和人身的安全，同时也是防止电磁信息泄漏的有效手段。要求良好接地的设备有：各种计算机外围设备、多相位变压器的中性线、电缆外套管、电子报警系统、隔离变压器、电源和信号滤波器、通信设备等。计算机房的接地系统要按计算机

48、系统本身和场地的各种地线系统的设计要求进行具体实施。1硬件设备的使用管理 1）要根据硬件设备的具体配置情况，制定切实可行的硬件设备的操作使用规程，并严格按操作规程进行操作。2）建立设备使用情况日志，并严格登记使用过程的情况。3）建立硬件设备故障情况登记表，详细记录故障性质和修复情况。4）坚持对设备进行例行维护和保养，并指定专人负责。2常用硬件设备的维护和保养 定期检查供电系统的各种保护装置及地线是否正常 对设备的物理访问权限限制在最小范围内 计算机网络系统的各种设备都属于电子设备，在工作时都不可避免地会向外辐射电磁波，同时也会受到其他电子设备的电磁波干扰，当电磁干扰达到一定的程度就会影响设备的

49、正常工作。电磁辐射泄密的危险。电磁辐射防护的措施：(1)一类是对传导发射的防护，主要采取对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合；(2)对辐射的防护可分为：1)采用各种电磁屏蔽措施，如对设备的金属屏蔽和各种接插件的屏蔽，同时对机房的下水管、暖气管和金属门窗进行屏蔽和隔离；2)干扰的防护措施，即在计算机系统工作的同时，利用干扰装置产生一种与计算机系统辐射相关的伪噪声向空间辐射来掩盖计算机系统的工作频率和信息特征。计算机网络系统的信息要存储在某种媒体上，常用的存储媒体有：硬盘、磁盘、磁带、打印纸、光盘等。1）存放有业务数据或程序的磁盘、磁带或光盘，必须注意防磁、防潮、防

50、火、防盗。2）对硬盘上的数据，要建立有效的级别、权限，并严格管理，必要时要对数据进行加密，以确保硬盘数据的安全。3）存放业务数据或程序的磁盘、磁带或光盘，管理必须落实到人，并分类建立登记簿。4）对存放有重要信息的磁盘、磁带、光盘，要备份两份并分两处保管。5）打印有业务数据或程序的打印纸，要视同档案进行管理，6）凡超过数据保存期的磁盘、磁带、光盘，必须经过特殊的数据清除处理，视同空白磁盘、磁带、光盘。7）凡不能正常记录数据的磁盘、磁带、光盘，必须经过测试确认后销毁。8）对需要长期保存的有效数据，应在磁盘、磁带、光盘的质量保证期内进行转储，转储时应确保内容正确。通信线路安全技术 用一种简单（但很昂