信息系統(tǒng)安全策略_第1頁
信息系統(tǒng)安全策略_第2頁
信息系統(tǒng)安全策略_第3頁
信息系統(tǒng)安全策略_第4頁
全文預覽已結(jié)束

下載本文檔

版權說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權,請進行舉報或認領

文檔簡介

1、 信息系統(tǒng)安全策略一,計算機信息系統(tǒng)面臨的幾大威脅1, 信息系統(tǒng)設備威脅2, 業(yè)務處理過程威脅3, 數(shù)據(jù)威脅 二,主要因素一是計算機信息系統(tǒng)軟硬件的內(nèi)在缺陷。這些缺陷不僅直接造成系統(tǒng)停擺,還會為一些人為的惡意攻擊提供機會。最典型的例子就是微軟的操作系統(tǒng)。相當比例的惡意攻擊就是利用微軟的操作系統(tǒng)缺陷設計和展開的,一些病毒、木馬也是盯住其破綻興風作浪。由此造成的損失實難估量。應用軟件的缺陷也可能造成計算機信息系統(tǒng)的故障,降低系統(tǒng)安全性能。二是惡意攻擊。攻擊的種類有多種,有的是對硬件設施的干擾或破壞,有的是對數(shù)據(jù)的攻擊,有的是對應用的攻擊。前者,有可能導致計算機信息系統(tǒng)的硬件一過性或永久性故障或損壞

2、。對數(shù)據(jù)的攻擊可破壞數(shù)據(jù)的有效性和完整性,也可能導致敏感數(shù)據(jù)的泄漏、濫用。對應用的攻擊會導致系統(tǒng)運行效率的下降,嚴重者會會導致應用異常甚至中斷。三是使用不當。如誤操作,關鍵數(shù)據(jù)采集質(zhì)量存在缺陷,系統(tǒng)管理員安全配置不當,用戶安全意識不強,用戶口令選擇不慎甚至多個角色共用一個用戶口令,等等。因為使用不當導致系統(tǒng)安全性能下降甚至系統(tǒng)異常、停車的事件也有報道。四是自然災害。對計算機信息系統(tǒng)安全構成嚴重威脅的災害主要有雷電、鼠害、火災、水災、地震等各種自然災害。此外,停電、盜竊、違章施工也對計算機信息系統(tǒng)安全構成現(xiàn)實威脅。安全策略包含范圍    計算機信息系統(tǒng)安全保護工作的

3、任務,就是不斷發(fā)現(xiàn)、堵塞系統(tǒng)安全漏洞,預防、發(fā)現(xiàn)、制止利用或者針對系統(tǒng)進行的不法活動,預防、處置各種安全事件和事故,提高系統(tǒng)安全系數(shù),確保計算機信息系統(tǒng)安全可用。要實現(xiàn)上述任務,需要結(jié)合各單位、各項業(yè)務及其計算機信息系統(tǒng)實際,研究制訂7個方面的安全策略。物理安全    旨在保護計算機服務器、數(shù)據(jù)存貯、系統(tǒng)終端、網(wǎng)絡交換等硬件設備免受自然災害、人為破壞,確保其安全可用。制定物理安全策略,要重點關注存放計算機服務器、數(shù)據(jù)存貯設備、核心網(wǎng)絡交換設備的機房的安全防范。其選址與規(guī)劃建設要遵循GB 9361 計算機場地安全要求和GB2887 計算機場地技術條件,保證恒溫、恒濕

4、,防雷、防水、防火、防鼠、防磁、防靜電,加裝防盜報警裝置,提供良好的接地和供電環(huán)境,要為核心設備配置與其功耗相匹配的穩(wěn)壓及UPS不間斷電源。    根據(jù)計算機信息系統(tǒng)應用需求,要兼顧系統(tǒng)的可靠性和經(jīng)濟性,設計和配備必要的冗余設備。對那些可靠性要求高的系統(tǒng),可考慮采用服務器主機雙機熱備、磁盤陣列,甚至配備備用網(wǎng)絡,建立異地容災備份中心。中小企事業(yè)單位的一些信息系統(tǒng),也可考慮以較少的投入,實現(xiàn)冗余設計。筆者就曾在西部某地一個政府部門見到,機房里閑置著一臺PC服務器,系統(tǒng)管理員介紹說:這臺PC服務器安裝了一套信息系統(tǒng),數(shù)據(jù)定時更新。當主機出現(xiàn)故障時,他只需簡單切換,就可

5、實現(xiàn)系統(tǒng)的恢復,這樣也為主機維修提供了時間。    加強計算機硬件設備的日常檢查也很必要,可惜,因其相當繁瑣,往往容易被人忽視。筆者曾經(jīng)走訪一些單位,發(fā)現(xiàn)其機房在新啟用時還算整齊、潔凈,日子一長,設備和器具擺放、各類線纜走向日趨零亂,因為維護不力,UPS電源等設備成了擺設,甚至蓬頭垢面。以這樣的管理水平,系統(tǒng)安全實在堪憂。網(wǎng)絡安全    旨在防范和抵御網(wǎng)絡資源可能受到的攻擊,保證網(wǎng)絡資源不被非法使用和訪問,保護網(wǎng)內(nèi)流轉(zhuǎn)的數(shù)據(jù)安全。    訪問控制是維護網(wǎng)絡安全、保護網(wǎng)絡資源的重要手段,是網(wǎng)絡安全核心策略之

6、一。訪問控制包括入網(wǎng)訪問控制、網(wǎng)絡授權控制、目錄級安全控制、屬性安全控制、網(wǎng)絡服務器安全控制、網(wǎng)絡監(jiān)測和鎖定控制、網(wǎng)絡端口和節(jié)點的安全控制以及防火墻控制。安全檢查(身份認證)、內(nèi)容檢查也是保護網(wǎng)絡安全的有效措施。    在加強訪問控制的同時,可考慮對網(wǎng)絡傳輸?shù)臄?shù)據(jù)進行加密。網(wǎng)絡加密手段包括鏈路加密、端點加密和節(jié)點加密,鏈路加密是保護網(wǎng)絡節(jié)點之間的鏈路數(shù)據(jù)安全,端到端加密是對從源端用戶到目的端用戶之間傳輸?shù)臄?shù)據(jù)提供保護,節(jié)點加密是對源節(jié)點到目的節(jié)點之間的傳輸鏈路提供保護。數(shù)字認證在一定程度上保證了網(wǎng)上交易信息的安全。數(shù)據(jù)安全    旨在

7、防止數(shù)據(jù)被偶然的或故意的非法泄露、變更、破壞,或是被非法識別和控制,以確保數(shù)據(jù)完整、保密、可用。數(shù)據(jù)安全包括數(shù)據(jù)的存儲安全和傳輸安全兩個方面。    數(shù)據(jù)的存儲安全系指數(shù)據(jù)存放狀態(tài)下的安全,包括是否會被非法調(diào)用等,可借助數(shù)據(jù)異地容災備份、密文存儲、設置訪問權限、身份識別、局部隔離等策略提高安全防范水平。軟件安全    旨在防止由于軟件質(zhì)量缺陷或安全漏洞使信息系統(tǒng)被非法控制,或使之性能下降、拒絕服務、停機。軟件安全策略分為系統(tǒng)軟件安全策略和應用軟件安全策略兩類。系統(tǒng)軟件包括操作系統(tǒng)和數(shù)據(jù)庫軟件。當前,主流操作系統(tǒng)軟件均存在漏洞,在設計信

8、息系統(tǒng)時,選用相對成熟、穩(wěn)定和安全的系統(tǒng)軟件固然重要,更重要的是保持與其提供商的密切接觸,通過其官方網(wǎng)站或合法渠道,密切關注其漏洞及補丁發(fā)布情況,爭取“第一時間”下載補丁軟件,彌補不足。    無論是通用的應用軟件,還是量身定做的應用軟件,都存在安全風險。對前者,可參照前款作法,通過加強與軟件提供商的溝通,及時發(fā)現(xiàn)、堵塞安全漏洞。對后者,可考慮優(yōu)選通過質(zhì)量控制體系認證、富有行業(yè)軟件開發(fā)和市場推廣經(jīng)驗的軟件公司,加強軟件開發(fā)質(zhì)量控制,加強容錯設計,安排較長時間的試運行等策略,以規(guī)避風險,提高安全防范水平。系統(tǒng)管理    旨在加強計算機信

9、息系統(tǒng)運行管理,提高系統(tǒng)安全性、可靠性。俗話說,“三分建設,七分管理”,要確保系統(tǒng)穩(wěn)健運行,減少惡意攻擊、各類故障帶來的負面效應,有必要建立行之有效的系統(tǒng)運行維護機制和相關制度。比如,建立健全中心機房管理制度,信息設備操作使用規(guī)程,信息系統(tǒng)維護制度,網(wǎng)絡通訊管理制度,應急響應制度,等等。    要根據(jù)分工,落實系統(tǒng)使用與運行維護工作責任制。要加強對相關人員的培訓和安全教育,減少因為誤操作給系統(tǒng)安全帶來的沖擊。要妥善保存系統(tǒng)運行、維護資料,做好相關記錄,要定期組織應急演練,以備不時之需。    信息系統(tǒng)相對復雜的用戶、對信息系統(tǒng)依存度較

10、高的用戶,與系統(tǒng)集成商簽訂系統(tǒng)服務外包合同,由其提供專業(yè)化的、一攬子安全護航服務,是個不錯的策略。近年來,筆者所在行業(yè),已經(jīng)有越來越多的單位采用這一安全策略,既有效保障了系統(tǒng)安全,又節(jié)省了資金和人力資源投入,收效良好。災難恢復墨菲定理說,會出錯的事總會出錯,如果你擔心某種情況發(fā)生,那么它就更有可能發(fā)生。這個定理用到信息系統(tǒng)安全上,就是“再穩(wěn)健的系統(tǒng)也會出問題。”這時候,我們老祖宗的那句話就派上了用場:凡事予則立,不予則廢。我們得趁著系統(tǒng)還在運行的時候,制定一個災難恢復計劃,將災難帶來的損失降低到最小,這也許是系統(tǒng)安全保障的最后一個策略。這個策略說起來比較復雜,容日后專門表述,這里只提幾點原則意見,即根據(jù)本單位及信息系統(tǒng)的實際情況,研究系統(tǒng)遇到災害后對業(yè)務的影響,設計災后業(yè)務切換辦法,定期備份數(shù)據(jù),根據(jù)災難類型,制訂災難恢復流程,建立災難預警、觸發(fā)、響應機制,組織相關

溫馨提示

  • 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯(lián)系上傳者。文件的所有權益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會有圖紙預覽,若沒有圖紙預覽就沒有圖紙。
  • 4. 未經(jīng)權益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫網(wǎng)僅提供信息存儲空間,僅對用戶上傳內(nèi)容的表現(xiàn)方式做保護處理,對用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對任何下載內(nèi)容負責。
  • 6. 下載文件中如有侵權或不適當內(nèi)容,請與我們聯(lián)系,我們立即糾正。
  • 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論