信息安全管理.docx

信息安全管理.docx

《信息安全管理.docx》由会员分享，可在线阅读，更多相关《信息安全管理.docx（16页珍藏版）》请在冰豆网上搜索。

信息安全管理

一、信息安全管理

1、什么是信息安全管理，为什么需要信息安全管理？

国际标准化组织对信息安全的定义是：

“在技术上和管理上维数据处理系统建立的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄露”。

当今的信息系统日益复杂，其中必然存在系统设计、实现、内部控制等方面的弱点。

如果不采取适当的措施应对系统运行环境中的安全威胁，信息资产就可能会遭受巨大的损失甚至威胁到国家安全。

2、系统列举常用的信息安全技术？

密码技术、访问控制和鉴权；物理安全技术；网络安全技术；容灾与数据备份。

3、信息安全管理的主要内容有哪些？

信息安全管理从信息系统的安全需求出发，结合组织的信息系统建设情况，引入适当的技术控制措施和管理体系，形成了综合的信息安全管理架构。

4、什么是信息安全保障体系，它包含哪些内容？

5、信息安全法规对信息安全管理工作意义如何？

它能为信息安全提供制度保障。

信息安全法律法规的保障作用至少包含以下三方面：

1.为人们从事在信息安全方面从事各种活动提供规范性指导；

2.能够预防信息安全事件的发生；

3.保障信息安全活动参与各方的合法权益，为人们追求合法权益提供了依据和手段。

二、信息安全风险评估

1、什么是信息安全风险评估？

它由哪些基本步骤组成？

信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。

风险评估可分为四个阶段，第一阶段为风险评估准备；第二阶段为风险识别，第三阶段为风险评价，第四阶段为风险处理。

2、信息资产可以分为哪几类？

请分别举出一两个例子说明。

可以分为数据、软件、硬件、文档、人员、服务。

例如：

软件有系统软件、应用软件、源程序、数据库等。

服务有办公服务、网络服务、信息服务等。

3、威胁源有哪些？

其常见表现形式分别是什么？

4、资产、威胁、脆弱点、风险、影响

资产：

资产是指任何对组织有价值的东西，资产包括：

物理资产、信息/数据、软件、提供产品和服务的能力、人员、无形资产。

威胁：

威胁是可能对资产或组织造成损害的潜在原因。

威胁有潜力导致不期望发生的事件发生，该事件可能对系统或组织及其资产造成损害。

脆弱点：

脆弱点是一个或一组资产所具有的，可能被威胁利用对资产造成损害的薄弱环节。

风险：

风险是指威胁利用利用一个或一组资产的脆弱点导致组织受损的潜在，并以威胁利用脆弱点造成的一系列不期望发生的事件（或称为安全事件）来体现。

影响：

影响是威胁利用资产的脆弱点导致不期望发生事件的后果。

5、风险评估方法分为哪几种？

其优缺点分别是什么？

分为：

基本风险评估、详细风险评估、综合风险评估。

基本风险评估：

优点：

（1）  风险分析和每个防护措施的实施管理只需要最少数量的资源，并且在选择防护措施时花费更少的时间和努力；

（2）  如果组织的大量系统都在普通环境下运行并且如果安全需要类似，那么很多系统都可以采用相同或相似的基线防护措施而不需要太多的努力。

缺点：

（1）基线水平难以设置，

（2）风险评估不全面、不透彻，且不易处理变更。

详细风险评估：

优点:

（1）  有可能为所有系统识别出适当的安全措施；

（2）  详细分析的结果可用于安全变更管理。

缺点：

需要更多的时间、努力和专业知识。

6、请写出风险计算公式，并解释其中各项所代表的含义。

风险可形式化的表示为R=（A,T,V），其中R表示风险、A表示资产、T表示威胁、V表示脆弱点。

相应的风险值由A、T、V的取值决定，是它们的函数。

可以表示为：

VR=R（A,T,V）=R（L（A,T,V），F（A,T,V））。

其中，L（A,T,V）、F（A,T,V）分别表示对应安全事件发生的可能性及影响，它们也都是资产、威胁、脆弱点的函数，但其表达式很难给出。

而风险则可表示为可能性L和影响F的函数，简单的处理就是将安全事件发生的可能性L与安全事件的影响F相乘得到风险值，实际就是平均损失，即VR=L（A,T,V）×F（A,T,V）

7、风险评估文件由哪些主要文档组成？

包括：

（1）风险评估计划；

（2）风险评估程序；（3）资产识别清单；（4）重要资产清单；（5）威胁列表；（6）脆弱点列表；（7）已有安全措施确认表；（8）风险评估报告；（9）风险处理计划；

（10）风险评估记录。

8、常用的综合评价方法有哪些，试进行比较。

常用的综合评价方法有综合指数法、功效评分法、TOPSIS法、层次分析法、主成份分析法、聚类分析法等。

综合指数法通过计算各评价对象对每个指标折算指数值来实现不同指标值的无量纲化，并通过加权平均方法计算综合指数值。

功效评分法通过功效系数来实现不同指标的无量纲化，然后在利用其他方法来确定功效权值，如均权法、层次分析法、离差权法等。

TOPSIS法根据计算与最优对象越近，相应评价对象越优。

层次分析法是将决策问题的有关元素分解成目标、准则、方案等层次，在此基础上进行定量和定性分析的一种决策方法。

主成分分析是一种多元统计分析方法，对于多指标的复杂评价系统，由于指标多，数据处理相当复杂，由于指标之间存在一定的关系，可以适当简化。

聚类分析法是解决“物以类聚”，解决事务分类的一种数学方法。

它是在没有或不用样品所述类别信息的情况下，依据对样品采集的数据的内在结构以及相互间的关系，在样品间相似性度量的基础上，对样品进行分类的一种方法。

9、常用的定性与定量的风险分析方法有哪些？

各有什么特点？

典型的定性风险分析与评价方法有风险矩阵测量、威胁分级法、风险综合评价等。

定量方法主要有基于期望损失的风险评估方法与基于期望损失效用的风险评估方法等。

定量的方法的好处就是能够更好的区分“高损失、低可能性”及“低损失、高可能性”两种不同安全

事件的风险。

定性方法一般基于一定的定量方法，在定量方法的基础上进行裁剪和简化。

三、无

四、物理安全

1、为了保证信息系统安全，应当从哪些方面来保证环境条件

防盗、防毁、防电磁泄漏、从温度和湿度、空气含尘度、噪声、电磁干扰、供电等方面来保证环境条件。

2、移动存储介质的安全隐患有哪些？

交叉使用；内部介质非法带出使用，造成数据外泄；无介质操作行为记录；单位对涉密的USB存储介质无管理台帐，底数不清；没有对介质的全部流通过程（购买、使用、销毁）进行监控和管理；交叉感染。

3、电磁泄漏的技术途径有哪些？

计算机电磁泄漏信息泄露主要有两种途径：

一是被处理的信息会通过计算机内部产生的电磁波向空中发射，称为辐射发射；二是这种含有信息的电磁波也可以通过计算机内部产生的电磁波向空中发射，称为传导发射

抑制计算机中信息泄露的技术途径有两种：

一是电子隐蔽技术，二是物理抑制技术。

电子隐蔽技术主要是用干扰、调频等技术来掩饰计算机的工作状态和保护信息；物理抑制技术则是抑制一切有用信息的外泄。

4、信息系统的记录按其重要性和机密程度可以分为哪几类？

一类记录——关键性记录；二类记录——重要记录；三类记录——有用记录；四类记录——不重要记录。

5、简述计算机机房安全等级的划分。

A类：

对计算机机房的安全有严格的要求，有完善的计算机机房安全措施。

该类机房放置需要最高安全性和可靠性的系统和设备。

B类：

对计算机机房的安全有较严格的要求，有较完善的计算机机房安全措施。

它的安全性介于A类和C类之间。

C类：

对计算机机房的安全有基本的要求，有基本的计算机机房安全措施。

该类机房存放只需要最低限度的安全性和可靠性的一般性系统。

6、信息安全人员的审查应当从哪几个方面进行？

检查每位人员所拥有的访问权水平；检查对最小特权原则的符合程度；所有账户是否处于活动状态；管理授权是否处于更新状态；是否完成所需的培训。

7、人员安全管理的基本原则是什么？

1、多人负责原则，即每一项与安全有关的活动，都必须有2人或多人在场。

2、任期有限原则，任何人最好不要长期担任与安全有关的职务，以保持该职务具有竞争性和流动性。

3、职责分离原则，处于对安全的考虑，科技开发、生产运行和业务操作都应当职责分离。

8、职员授权管理的主要内容有哪些？

职员定岗；用户管理；承包人管理；公众访问管理；相关费用。

五、信息系统安全审计

1、什么是信息安全审计，它主要有哪些方面的功能？

信息安全审计是对信息系统的各种事件及行为实行监测、信息采集、分析并针对特定事件及行为采取相应响应动作。

信息安全审计的有多方面的作用与功能，包括取证、威慑、发现系统漏洞、发现系统运行异常等。

2、CC在安全审计方面有哪些要求？

我国国标GB17859又有什么要求？

CC标准基于安全功能与安全保证措施相独立的观念，在组织上分为基本概念、安全功能需求和安全保证需求三大部分。

CC中，安全需求都以类、族、组件的层次结构形式进行定义。

我国的信息安全国家标准GB17859-1999《计算机信息系统安全保护等级划分准则》定义了五个安全等级，从第二级“系统审计保护级”开始有了对审计的要求，它规定计算机信息系统可信计算基（TCB）可以记录以下事件：

使用身份鉴别机制；将客体引入用户地址空间（例如：

打开文件、程序初始化）；删除客体；由操作员、系统管理员或（和）系统安全管理员实施的动作，以及其它与系统安全相关的事件。

第三级“安全标记保护级”在第二级的基础上，要求对于客体的增加和删除这类事件要在审计记录中增加对客体安全标记的记录。

另外，TCB也要审计对可读输出记号（如输出文件的安全标记）的更改这类事件。

第四级“结构化保护级”的审计功能要求与第三级相比，增加了对可能利用存储型隐蔽通道的事件进行审计的要求。

第五级“访问验证保护级”在第四级的基础上，要求TCB能够监控可审计安全事件的发生与积累，当（这类事件的发生或积累）超过预定阈值时，TCB能够立即向安全管理员发出警报。

并且，如果这些事件继续发生，系统应以最小的代价终止它们。

3、试比较集中式安全审计与分布式安全审计两种结构。

安全审计可分为集中式安全审计和分布式安全审计。

集中式体系结构采用集中的方法，收集并分析数据源（网络各主机的原始审计记录），所有的数据都要交给中央处理机进行审计处理。

分布式安全审计包含两层涵义，一是对分布式网络的安全审计，其二是采用分布式计算的方法，对数据源进行安全审计。

集中式的审计体系结构越来越显示出其缺陷，主要表现在:

（1）由于事件信息的分析全部由中央处理机承担，势必造成CPU、I/O以及网络通信的负担，而且中心计算机往往容易发生单点故障（如针对中心分析系统的攻击）。

另外，对现有的系统进行用户的增容（如网络的扩展，通信数据量的加大）是很困难的。

（2）由于数据的集中存储，在大规模的分布式网络中，有可能因为单个点的失败造成整个审计数据的不可用。

（3）集中式的体系结构，自适应能力差，不能根据环境变化自动更改配置。

通常，配置的改变和增加是通过编辑配置文件来实现的，往往需要重新启动系统以使配置生效。

因此，集中式的体系结构已不能适应高度分布的网络环境。

相对于集中式结构，它有以下优点:

（1）扩展能力强；

（2）容错能力强 （3）兼容性强 （4）适应性强。

4、常用的安全审计分析方法有哪些？

基于规则库的安全审计方法；基于数理统计的安全审计方法；基于日志数据挖掘的安全审计方法；其它安全审计方法。

5、安全审计有哪些可用的数据源？

安全审计的数据源，可以分为三类：

1、基于主机---操作系统的审计记录、系统日志、应用程序日志信息；   2、基于网络；3、其他途径---来自其它安全产品的数据源、来自网络设备的数据源、带外数据源。

6、什么是计算机取证，有哪些相关技术？

计算机取证是对计算机入侵、破坏、欺诈、攻击等犯罪行为，利用计算机软硬件技术，按照符合法律规范的方式，进行识别、保存、分析和提交数字证据的过程。

相关技术：

（1）电子证据监测技术；

（2）物理证据获取技术；（3）电子证据收集技术；（4）电子证据保全技术；（5）电子证据处理及鉴定技术；（6）电子证据提交技术。

7、简述计算机取证的步骤。

计算机取证的一般步骤应由以下几个部分组成：

保护目标计算机系统；电子证据的确定；电子证据的收集；电子证据的保护；电子证据的分析；归档。

六、灾难恢复与业务连续性

1、什么是BCM（业务连续性管理）？

BCM的目标是什么？

业务连续性是指组织为了维持其生存，一旦发生突发事件或灾难后，在其所规定的时间内必须恢复关键业务功能的强制性要求。

其目的是保证企业信息流在任何时候以及任何需要的状况下都能保持业务连续运行。

2、请解释BCP、DRP？

阐述它们的区别

业务连续性计划（BusinessContinuityPlanning,BCP）是一套事先被定义和文档化的计划，明确定义了恢复业务所需要的关键人员、资源、行动、任务和数据。

DRP灾难恢复计划（DisasterRecoveryPlanning）灾难恢复计划是一个全面的状态，它包括在事前，事中，和灾难对信息系统资源造成重大损失后所采取的行动。

一个是事先被定义好的的文档化的计划，而一个是全面的，包括事前、事中和事后所采取的行动。

3、什么是应急响应？

其目的是什么？

所谓应急响应即通常指一个组织为了应对各种意外事件的发生所做的准备以及在事件发生后所采取的措施。

其目的是在网络安全事件发生后，能够找到尽快响应、处理、恢复、跟踪的方法。

4、应急响应预案制定的原则有哪些？

基本原则：

集中管理、统一指挥、规范运行、标准操作、反应迅速和响应高效。

七、信息安全标准

1、简述信息安全的标准体系。

2、描述TCSEC各级关键点，GB/T17859中的各级与之有什么对应关系？

TCSEC将计算机操作系统的安全从高到底分为四级（A、B、C、D），

TCSEC

GB17859—1999

D：

低级保护

@

@

@

C1：

自主安全保护

1：

用户自主保护级

C2：

受控访问保护

2：

系统审计保护级

B1：

标记安全保护

3：

安全标记保护级

B2：

结构化保护

4：

结构化保护级

B3：

安全区域

5：

访问验证保护级

A1：

验证设计

@

3、阐述信息安全等级保护基本要求GB/T22239-2008分别对技术和管理要求划分了哪些层面？

一级基本要求 在安全技术方面要求：

身份鉴别、自主访问控制、恶意代码防范、数据的完整性保护、通信完整性保护、软件容错和备份与恢复等控制点。

管理方面提出了安全管理制度、安全管理机构、人员管理、系统建设管理、系统运行维护管理的相关要求。

二级基本要求 在一级基本要求的基础上，在技术方面，二级要求在控制点上增加了安全审计、边界完整性检查、入侵防范、资源控制以及通信保密性等控制点。

在管理方面，增加了审核和检查、管理制度的评审和修订、人员考核、密码管理、变更管理和应急预案管理等控制点。

三级基本要求 在二级基本要求的基础上，在技术方面，在控制点上增加了网络恶意代码防范、剩余信息保护、抗抵赖等。

在管理方面，在安全管理制度制定和发布、评审和修订等某些管理要求上要求项增加，强度增强。

四级基本要求 在三级基本要求的基础上，在技术方面，在控制点上增加了安全标记、可信路径，同时，对身份鉴别、访问控制、安全审计、数据完整性、数据保密性等均有更进一步的要求。

在管理方面，增加了系统备案、等级测评、监控管理和安全管理中心等控制点，同时要求设置必要的安全管理职能部门，加强了安全管理制度的评审以及人员安全的管理，对系统建设过程加强了质量管理。

4、列举“计算机信息系统安全保护等级划分准则”（GB17859—1999）的五个保护等级，以及各个等级的特点。

（1）第一级用户自主保护级；

（2）第二级系统审计保护级；（3）第三级安全标记保护级；（4）第四级结构化保护级；（5）第五级访问验证保护级。

5、阐述CC刻画信息系统安全性的基本方法。

CC在对安全保护框架和安全目标的一般模型进行介绍以后，分别从安全功能和安全保证两方面对IT安全技术的要求进行了详细描述。

CC在第二部分按“类—子类—组件”的层次结构定义了目前国际上公认的常用安全功能要求，包括11个类，66个子类，135个组件。

（1）FAU类：

安全审计

安全审计包括识别，记录，存储和分析与安全行为有关的信息。

（2）FCO类：

通信

由两个子类组成，分别专门用以确保在数据交换中参与方的身份，包括发起者身份和接收者身份。

（3）FCS类：

密码支持

在产品或系统含有密码功能时适用。

（4）FDP类：

用户数据保护

是一个较大的类，规定了与保护用户数据相关的所有安全功能要求和策略，所包含的13个子类涉及到产品或系统内用户数据的输入，输出和存储以及与之相关的一些安全属性。

（5）FIA类：

标识和鉴别

授权用户的无歧义标识以及安全属性与用户、主体的正确关联是实施预定安全策略的关键。

6、阐述ISO/IEC27000系列标准及其关键标准发展史。

ISO/IEC27000族是国际标准化组织专门为ISMS预留下来的系列相关国际标准的总称。

根据国际标准化组织的最新计划，该系列标准的序号已经预留到27019，其中27000~27009留给ISMS基本标准，27010~27019预留给ISMS标准组的解释性指南与文档。

可见ISMS标准将来会是一个庞大的家族。

27000标准族组成如图7-10所示。

ISO/IEC27001:

2005《信息技术——安全技术——信息安全管理体系——要求》是建立信息安全管理系统（ISMS）的一套需求规范，其中详细说明了建立、实施和维护信息安全管理体系的要求，指出实施机构应该遵循的风险评估标准。

ISO/IEC27002《信息安全管理实用规则》对组织实施信息安全管理提供建议，供一个组织中负责信息安全工作的人员使用。

该标准适用于任何类型、任何规模的组织，对于标准中提出的任何一项具体的信息安全控制措施，组织应考虑我国的法律法规以及组织的实际情况来选择使用。

ISO27000（《信息安全管理体系基础和术语》），属于A类标准。

ISO/IEC27000提供了ISMS标准族中所涉及的通用术语及基本原则。

ISO/IEC27003（《信息安全管理体系实施指南》），属于C类标准。

ISO/IEC27003为建立、实施、监视、评审、保持和改进符合ISO/IEC27001的ISMS提供了实施指南和进一步的信息。

ISO/IEC27004（《信息安全管理测量》），属于C类标准。

该标准主要为组织测量信息安全控制措施和ISMS过程的有效性提供指南。

ISO/IEC27005（《信息安全风险管理》），属于C类标准。

该标准给出了信息安全风险管理的指南，其中所描述的技术遵循ISO/IEC27001中的通用概念、模型和过程.

ISO/IEC27006（《信息安全管理体系认证机构的认可要求》），属于D类标准。

该标准的主要内容是对从事ISMS认证的机构提出了要求和规范，或者说它规定了一个机构“具备怎样的条件就可以从事ISMS认证业务”。

信息安全管理要求ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会（BSI）于1995年2月提出，并于1995年5月修订而成的。

1999年BSI重新修改了该标准。

2000年12月，BS7799-1：

1999《信息安全管理实施细则》通过了国际标准化组织ISO的认可，正式成为国际标准-----ISO/IEC17799：

2000《信息技术-信息安全管理实施细则》。

2002年9月5日，BS7799-2:

2002草案经过广泛的讨论之后，终于发布成为正式标准，同时BS7799-2:

1999被废止。

2004年9月5日，BS7799-2:

2002正式发布。

2005年，BS7799-2:

2002终于被ISO组织所采纳，于同年10月推出ISO/IEC27001:

2005.2005年6月，ISO/IEC17799:

2000经过改版，形成了新的ISO/IEC17799:

2005，新版本较老版本无论是组织编排还是内容完整性上都有了很大增强和提升。

ISO/IEC17799:

2005已更新并在2007年7月1日正式发布为ISO/IEC27002:

2005，这次更新只是在标准上的号码，内容并没有改变。

7、简要描述ISMS从建立（Plan）到实施和操作（Do）、监视和复查（Check）以及维护并改进（Act）的过程中所涉及的关键要求。

8、在国际上，信息安全标准化组织有几个，分别关注于哪些领域的标准化工作？

国际标准化组织（InternationalOrganizationforStandardization）简称ISO，ISO的工作涉及包括电工标准在内的各个技术领域的标准化活动。

国际电工委员会（InternationalElectrotechnicalCommission），IEC的任务覆盖了包括电子、电磁、电工、电气、电信、能源生产和分配等所有电工技术的标准化。

国际电信联盟（InternationalTelecommunicationUnion），电信和无线电领域。

IETF是Internet工程任务组（InternetEngineeringTaskForce），其中与安全相关的包括像域名服务系统安全、IP安全协议IPSec、一次性口令鉴别、公钥基础设施、安全Shell等。

欧洲计算机制造商协会（EuropeanComputerManufacturersAssociation），负责信息技术设备的安全标准，主要制定商用和政用信息技术产品和系统安全评估标准框架，以及在开放系统环境下逻辑安全设备的框架。

9、我国有哪些重要的信息安全标准，并说明与国际对应标准之间的关系？

1.计算机信息系统安全保护等级划分准则（GB17859-1999）  

2.信息安全技术信息安全风险评估规范（GB/T20984-2007）  

3.信息安全技术信息系统安全等级保护基本要求（GB/T22239-2008） 

4.信息安全技术信息系统通用安全技术要求（GB/T20271-2010） 

5.信息安全技术信息系统安全管理要求（GB/T20269-2006）  

6.信息安全技术信息安全事件管理指南（GB/Z20985-2007）  

7.信息安全技术信息安全事件分类分级指南（GB/Z20986-2007）

8.信息安全技术信息系统灾难恢复规范（GB/T20988-2007） 

9.信息安全技术信息系统安全等级保护实施指南（GB/T25058-2010） 

10.信息安全技术信息系统安全等级保护定级指南（GB/T22240-2008）  

11.信息安全技术信息系统等级保护安全设计技术要求（GB/T25070-2010）  

12.信息安全技术信息系统物理安全技术要求（GB/T21052-2007）

凡有国际标准的应当以其为基础制定我国标准；凡无国际标准或不能适应需要的，应当积极采用国外先进标准。

对国际标准中的安全标准应当先行采用。

八、信息安全法律法规

1、我国信息安全法律法规有哪些不同层次？

我国现有的信息安全法律法规体系可分为三个层次，一是法律层次，从国家宪法和其他部门法的高度对个人、法人和其他组织的涉及国家安全的信息活动的权利和义务进行规范，如1997年新《刑法》首次界定了计算机犯罪。

二是行政法规层次，三是部门规章层次，二者直接约束计算机安全和互联网安全。

此外，我国很多地方也出台了直接针对信息安全的地方性法规和地方政府规章，丰富了我国信息安全法律法规体系的内容。

2、简述我国法律的立法程序。

目前，我国法律的制度程序主要有以下四个步骤：

（1）法律方案的提出

（2）法律草案的审议

（3）法律草案的表决和通过

（4）法律的公布

3、什么是计