信息安全體系結(jié)構(gòu)

 信息安全體系結(jié)構(gòu)主要分為技術(shù)體系和管理體系兩大部分。

1.技術(shù)體系

     包括物理安全、網(wǎng)絡(luò)安全、操作系統(tǒng)安全、數(shù)據(jù)庫安全、應(yīng)用系統(tǒng)安全和終端安全。

(1)物理安全

     物理安全即對系統(tǒng)的物理設(shè)施，設(shè)備或者區(qū)域進(jìn)行保護(hù)，防止其受到未授權(quán)的訪問和誤用，物理安全包括設(shè)備安全和輻射安全。設(shè)備安全是指保護(hù)系統(tǒng)所用的設(shè)備以防止其受到安全威脅的侵害。對物理設(shè)備的安全威脅主要有:地震、火災(zāi)、水災(zāi)等不可抗拒的環(huán)境事故，電源故障造成設(shè)備斷電以至于操作系統(tǒng)引導(dǎo)失敗、數(shù)據(jù)庫信息丟失等意外事故。輻射安全是由電子系統(tǒng)產(chǎn)生的電磁輻射帶來的問題。

(2)網(wǎng)絡(luò)安全

     網(wǎng)絡(luò)安全是指保護(hù)網(wǎng)絡(luò)系統(tǒng)的硬件，軟件及其系統(tǒng)中的數(shù)據(jù)不受偶然的或惡意的原因而遭受更改，破壞、泄露，系統(tǒng)連續(xù)可靠正常地運行，網(wǎng)絡(luò)服務(wù)不中斷。網(wǎng)絡(luò)安全又包括協(xié)議安全、通信安全、路由安全等方面。

協(xié)議安全是通信雙方事先約定好的、必須遵守的規(guī)則，是計算機(jī)網(wǎng)絡(luò)通信的基礎(chǔ)。協(xié)議安全非常重要，黑客可以利用協(xié)議本身的缺陷進(jìn)行入侵攻擊。如在TCP/IP的傳輸層中的用戶數(shù)據(jù)報協(xié)議UDP，它是一個無連接協(xié)議，雖然具有執(zhí)行代碼少、系統(tǒng)開銷小和處理速度快等優(yōu)點，但卻沒有嚴(yán)格的認(rèn)證過程，極易受到拒絕服務(wù)型攻擊。

    網(wǎng)絡(luò)通信是由通信協(xié)議棧實現(xiàn)的，Zui簡單的網(wǎng)絡(luò)通信由通信實體和通信鏈路組成，通信實體包括信源和信宿。為了完成一次安全的網(wǎng)絡(luò)通信，必須提供對通信實體與通信鏈路的完整性、保密性和可用性保護(hù)服務(wù)，以及對通信行為的審計與追蹤服務(wù)。這些安全服務(wù)需要由各層通信協(xié)議進(jìn)行分工，相互配合才能夠得以實現(xiàn)。

    路由協(xié)議負(fù)責(zé)接受和傳送網(wǎng)絡(luò)的路由信息，并對這些信息進(jìn)行處理，從而確定網(wǎng)絡(luò)中報文到達(dá)目的地的地址和路徑。路由協(xié)議有可能在傳輸系統(tǒng)、鏈路狀態(tài)、數(shù)據(jù)庫維護(hù)三個層次受到威脅。

(3)操作系統(tǒng)安全

    操作系統(tǒng)負(fù)責(zé)對計算機(jī)系統(tǒng)的各種資源、運行操作以及使用系統(tǒng)的用戶進(jìn)行管理與控制，是計算機(jī)系統(tǒng)功能的執(zhí)行者和管理者，是所有數(shù)據(jù)庫、中間件、應(yīng)用程序運行的基礎(chǔ)。操作系統(tǒng)的安全是保證信息系統(tǒng)安全的基礎(chǔ)，其任何安全的脆弱性和漏洞都有可能會導(dǎo)致信息系統(tǒng)整體的安全脆弱性。

(4)數(shù)據(jù)庫安全

     我國《計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》(GB17895-1999)的《中華人民共和國公共安全行業(yè)標(biāo)準(zhǔn)》中對數(shù)據(jù)庫安全的定義是:數(shù)據(jù)庫安全就是保證數(shù)據(jù)庫信息的保密性、完整性、一致性和可用性。保密性指保護(hù)數(shù)據(jù)庫中的數(shù)據(jù)不被泄漏和未授權(quán)的獲取;完整性指保護(hù)數(shù)據(jù)庫中的數(shù)據(jù)不被破壞和刪除;一致性指保護(hù)數(shù)據(jù)庫中的數(shù)據(jù)滿足實體完整性、參照完整性和用戶定義完整性要求;可用性指保證授權(quán)用戶不因人為或自然因素?zé)o法使用數(shù)據(jù)庫中的數(shù)據(jù)。

(5)應(yīng)用系統(tǒng)安全

    應(yīng)用系統(tǒng)安全包含兩方面的含義，一是防止對應(yīng)用系統(tǒng)本身的非法訪問或使用;二是防止應(yīng)用系統(tǒng)對支持其運行的計算機(jī)系統(tǒng)的安全產(chǎn)生破壞。

(6)終端安全

   計算機(jī)終端作為信息存儲、傳輸、應(yīng)用處理的基礎(chǔ)設(shè)施，其自身的安全性涉及系統(tǒng)安全、數(shù)據(jù)安全、網(wǎng)絡(luò)安全等各個方面。由木桶原理可知，網(wǎng)絡(luò)中任何一個節(jié)點的安全防護(hù)都有可能影響整個網(wǎng)絡(luò)的安全。計算機(jī)終端由于其分散性、安全手段缺乏且不被重視等原因，已成為信息安全體系中的薄弱環(huán)節(jié)。

2.管理體系

     管理安全分為信息安全技術(shù)管理和信息安全行政管理。

(1)信息安全技術(shù)管理

      包括三個方面:生命周期管理、風(fēng)險管理和級別管理。

     生命周期管理指的是針對信息系統(tǒng)生命周期的各個階段可能出現(xiàn)的安全問題所進(jìn)行的必要的安全管理。信息系統(tǒng)生命周期主要包括五個基本階段，分別為:起始階段、開發(fā)/采購階段、實施階段、運行/維護(hù)階段和廢棄階段，其安全管理也分為五個階段進(jìn)行。

     風(fēng)險管理是通過對風(fēng)險的評估，采取適當(dāng)?shù)牟襟E將風(fēng)險消減到可接受水平并且維持這一風(fēng)險級別的管理。風(fēng)險管理包括風(fēng)險評估管理、風(fēng)險消減管理以及不確定分析管理，其中風(fēng)險評估管理和風(fēng)險削減管理是風(fēng)險管理的重心，而不確定分析管理貫穿于風(fēng)險管理的整個過程。

     級別管理是對信息系統(tǒng)中不同級別的計算機(jī)的安全管理。包括核心級計算機(jī)安全管理和系統(tǒng)級計算機(jī)安全管理兩個方面。

(2)信息安全行政管理

     由國家相關(guān)行政管理部門執(zhí)行的安全管理。行政管理的具體內(nèi)容包括:涉密信息系統(tǒng)的安全保密管理、互聯(lián)網(wǎng)的安全保密管理、移動通信的安全保密管理、對國家秘密載體的安全保密管理、涉密人員的安全保密管理、涉密場所的安全保密管理和安全保密技術(shù)研發(fā)和應(yīng)用等方面。