信息系統(tǒng)的安全性

1、生產(chǎn)時(shí)期安全性對(duì)信息系統(tǒng)安全性的威脅任一系統(tǒng)，不管它是手工的依舊采納計(jì)算機(jī)的，都有其弱點(diǎn)。因 此不但在信息系統(tǒng)這一級(jí)而且在計(jì)算中心這一級(jí)（假如適用，也 包括遠(yuǎn)程設(shè)備）都要審定并提出安全性的問(wèn)題?？孔R(shí)不系統(tǒng)的弱 點(diǎn)來(lái)減少侵犯安全性的危險(xiǎn)， 以及采取必要的預(yù)防措施來(lái)提供中 意的安全水平，這是用戶和信息服務(wù)治理部門(mén)可做得到的。治理部門(mén)應(yīng)該特不努力地去發(fā)覺(jué)那些由計(jì)算機(jī)罪犯對(duì)計(jì)算中心 和信息系統(tǒng)的安全所造成的威脅。 白領(lǐng)階層的犯罪行為是客觀存 在的，而且存在于某些最不可能被發(fā)覺(jué)的地點(diǎn)。這是老練的罪犯所從事的需要專(zhuān)門(mén)技術(shù)的犯罪行為，而且這種犯罪行為之多比我 們想象的還要普遍多數(shù)公司所存在的犯罪行為是從來(lái)可

2、不能被發(fā)覺(jué)的關(guān)于利用計(jì)算機(jī)進(jìn)行犯罪的任何統(tǒng)計(jì)資料僅僅反映了那些公開(kāi)報(bào)道的犯罪 行為。系統(tǒng)開(kāi)發(fā)審查、工作審查和應(yīng)用審查都能用來(lái)使這種威脅 減到最小。計(jì)算中心的安全性計(jì)算中心在下列方面存在弱點(diǎn)：1. 硬件。假如硬件失效，則系統(tǒng)也就失效。硬件出現(xiàn)一定的故障 是無(wú)法幸免的，然而預(yù)防性維護(hù)和提供物質(zhì)上的安全預(yù)防措施， 來(lái)防止未經(jīng)批準(zhǔn)人員使用機(jī)器可使這種硬件失效的威脅減到最 小。2. 軟件。軟件能夠被修改，因而可能損害公司的利益。嚴(yán)密地操縱軟件和軟件資料將減少任何越權(quán)修改軟件的可能性。然而，信息服務(wù)治理人員必須認(rèn)識(shí)到由內(nèi)部工作人員進(jìn)行修改軟件的可 能性。銀行的程序員可能通過(guò)修改程序，從自己的帳戶中取款時(shí)漏

3、記帳或者把不的帳戶中的少量存款存到自己的帳戶上，這差不多是眾所周知的了。其它行業(yè)里的另外一些大膽的程序員同樣會(huì) 挖空心思去作案。3. 文件和數(shù)據(jù)庫(kù)。公司數(shù)據(jù)庫(kù)是信息資源治理的原始材料。在某 些情況下，這些文件和數(shù)據(jù)庫(kù)能夠講是公司的命根子。例如，有 多少公司能經(jīng)受得起丟失他們的收帳文件呢 ？大多數(shù)機(jī)構(gòu)都具有 后備措施，這些后備措施能夠保證， 假如正在工作的公司數(shù)據(jù)庫(kù) 被破壞，則能重新激活該數(shù)據(jù)庫(kù)，使其接著工作。某些文件具有 一定的價(jià)值并能出售。例如，政治運(yùn)動(dòng)的損助者名單被認(rèn)為是有 價(jià)值的，因此它可能被偷走，而且以后還能被出售。4. 數(shù)據(jù)通信。只要存在數(shù)據(jù)通信網(wǎng)絡(luò)，就會(huì)對(duì)信息系統(tǒng)的安全性造成威脅。

4、有知識(shí)的罪犯可能從遠(yuǎn)處接通系統(tǒng)，并為個(gè)人的利益 使用該系統(tǒng)。偷用一個(gè)精心設(shè)計(jì)的系統(tǒng)不是件容易的事，但存在這種可能性。目前已發(fā)覺(jué)許多罪犯利用數(shù)據(jù)通信設(shè)備的系統(tǒng)去作 案。5. 人員。用戶和信息服務(wù)治理人員同樣要更加注意那些租用靈敏 的信息系統(tǒng)工作的人。某個(gè)特不無(wú)能的人也能像一個(gè)本來(lái)不老實(shí) 的人一樣破壞系統(tǒng)。信息系統(tǒng)的安全性信息系統(tǒng)的安全性可分為物質(zhì)安全和邏輯安全。物質(zhì)安全指的是 硬件、設(shè)施、磁帶、以及其它能夠被利用、被盜竊或者可能被破壞的東西的安全。邏輯安全是嵌入在軟件內(nèi)部的。一旦有人使用系統(tǒng)，該軟件只同意對(duì)系統(tǒng)進(jìn)行特許存取和特許處理。物質(zhì)安全是通過(guò)門(mén)上加鎖、采納防火保險(xiǎn)箱、出入標(biāo)記、警報(bào)系 統(tǒng)以

5、及其它的一般安全設(shè)備就能達(dá)到的。而作為聯(lián)機(jī)系統(tǒng)的邏輯安全要緊靠"口令"和核準(zhǔn)代碼來(lái)實(shí)現(xiàn)的。終端用戶能夠使用全局 口令，該口令同意利用幾個(gè)信息系統(tǒng)及其相應(yīng)的數(shù)據(jù)庫(kù)；終端用戶也可使用只利用一個(gè)子系統(tǒng)或部分?jǐn)?shù)據(jù)庫(kù)的口令。安全分析過(guò)程大多數(shù)公司的辦公人員詢(xún)問(wèn)關(guān)于信息和計(jì)算中心的安全時(shí)，往往問(wèn)"一切都行了嗎?"事實(shí)上他們應(yīng)該問(wèn)"關(guān)于信息和計(jì)算中心的 安全，我們應(yīng)該做什么?"。用戶治理人員應(yīng)該與信息服務(wù)治理人員定期地共同研究，進(jìn)行安全分析，這種安全分析為各方都情愿同意。簡(jiǎn)言之，這種安全分 析意指決定要多大的一把"掛鎖"。遺憾的

6、是，某些公司樂(lè)意承擔(dān) 巨大的風(fēng)險(xiǎn)，但又僥幸地希望不要出現(xiàn)自然災(zāi)難或預(yù)先考慮到的 禍害。"難得出現(xiàn)"并不等于"永不出現(xiàn)",關(guān)于這一點(diǎn)某些公司發(fā) 覺(jué)得太晚了。在進(jìn)行安全分析的過(guò)程中，用戶和信息服務(wù)人員要切實(shí)地審估幾 十種安全項(xiàng)目清單是否充分。例如，在屬于物質(zhì)安全方面，分析 組可能要調(diào)查通向機(jī)房的路徑數(shù)目，或者要調(diào)查是否存在一張進(jìn) 入機(jī)房的特許名單。安全分析方法的步驟如下：1估價(jià)危險(xiǎn)。（1）識(shí)不和分析薄弱環(huán)節(jié)。（2）確定特定事件出現(xiàn)的 概率。2. 危險(xiǎn)審定。在估價(jià)危險(xiǎn)的基礎(chǔ)上確立可同意危險(xiǎn)的標(biāo)準(zhǔn)（信息系統(tǒng)的安全是按一定的程度來(lái)實(shí)現(xiàn)的 ）。3. 減少危險(xiǎn)。（1）

7、把對(duì)薄弱環(huán)節(jié)的威脅減到最小或消除它。重復(fù)第1、第2和第3步，直到這種危險(xiǎn)小到可同意的程度。安全性對(duì)信息系統(tǒng)安全性的威脅任一系統(tǒng)，不管它是手工的依舊采納計(jì)算機(jī)的，都有其弱點(diǎn)。因 此不但在信息系統(tǒng)這一級(jí)而且在計(jì)算中心這一級(jí)（假如適用，也 包括遠(yuǎn)程設(shè)備）都要審定并提出安全性的問(wèn)題?？孔R(shí)不系統(tǒng)的弱 點(diǎn)來(lái)減少侵犯安全性的危險(xiǎn)， 以及采取必要的預(yù)防措施來(lái)提供中 意的安全水平，這是用戶和信息服務(wù)治理部門(mén)可做得到的。治理部門(mén)應(yīng)該特不努力地去發(fā)覺(jué)那些由計(jì)算機(jī)罪犯對(duì)計(jì)算中心 和信息系統(tǒng)的安全所造成的威脅。 白領(lǐng)階層的犯罪行為是客觀存 在的，而且存在于某些最不可能被發(fā)覺(jué)的地點(diǎn)。這是老練的罪犯所從事的需要專(zhuān)門(mén)技術(shù)的犯

8、罪行為， 而且這種犯罪行為之多比我 們想象的還要普遍。多數(shù)公司所存在的犯罪行為是從來(lái)可不能被發(fā)覺(jué)的。關(guān)于利用計(jì)算機(jī)進(jìn)行犯罪的任何統(tǒng)計(jì)資料僅僅反映了那些公開(kāi)報(bào)道的犯罪 行為。系統(tǒng)開(kāi)發(fā)審查、工作審查和應(yīng)用審查都能用來(lái)使這種威脅 減到最小。計(jì)算中心的安全性 計(jì)算中心在下列方面存在弱點(diǎn)：1. 硬件。假如硬件失效，則系統(tǒng)也就失效。硬件出現(xiàn)一定的故障 是無(wú)法幸免的，然而預(yù)防性維護(hù)和提供物質(zhì)上的安全預(yù)防措施， 來(lái)防止未經(jīng)批準(zhǔn)人員使用機(jī)器可使這種硬件失效的威脅減到最 小。2. 軟件。軟件能夠被修改，因而可能損害公司的利益。嚴(yán)密地操縱軟件和軟件資料將減少任何越權(quán)修改軟件的可能性。然而，信息服務(wù)治理人員必須認(rèn)識(shí)到

9、由內(nèi)部工作人員進(jìn)行修改軟件的可 能性。銀行的程序員可能通過(guò)修改程序，從自己的帳戶中取款時(shí)漏記帳或者把不的帳戶中的少量存款存到自己的帳戶上，這差不多是眾所周知的了。其它行業(yè)里的另外一些大膽的程序員同樣會(huì) 挖空心思去作案。3. 文件和數(shù)據(jù)庫(kù)。公司數(shù)據(jù)庫(kù)是信息資源治理的原始材料。在某些情況下，這些文件和數(shù)據(jù)庫(kù)能夠講是公司的命根子。例如，有多少公司能經(jīng)受得起丟失他們的收帳文件呢 ？大多數(shù)機(jī)構(gòu)都具有 后備措施，這些后備措施能夠保證， 假如正在工作的公司數(shù)據(jù)庫(kù)被破壞，則能重新激活該數(shù)據(jù)庫(kù)，使其接著工作。某些文件具有 一定的價(jià)值并能出售。例如，政治運(yùn)動(dòng)的損助者名單被認(rèn)為是有 價(jià)值的，因此它可能被偷走，而且以后還能被出售。4. 數(shù)據(jù)通信。只要存在數(shù)據(jù)通信網(wǎng)絡(luò)，就會(huì)對(duì)信息系統(tǒng)的安全性造成威脅。有知識(shí)的罪犯可能從遠(yuǎn)處接通系統(tǒng)，并為個(gè)人的利益 使用該系統(tǒng)。偷用一個(gè)精心設(shè)計(jì)的系統(tǒng)不是件容易的事，但存在這種可能性。目前已發(fā)覺(jué)許多罪犯利用數(shù)據(jù)通信設(shè)備的系統(tǒng)去作 案。5. 人員。用戶和信息服務(wù)治理人員同樣要更加注意那些租用靈敏的信息系統(tǒng)工作