登录

信息安全管理

百科 > 信息管理术语 > 信息安全管理

1.什么是信息安全管理

  信息安全管理是指通过维护信息的机密性、完整性和可用性来管理和保护信息资产,是对信息安全保障进行指导、规范和管理的一系列活动和过程。

2.信息安全管理的内容[1]

  1、信息安全风险管理

  信息安全管理是一个过程,而不是一个产品,其本质是风险管理。信息安全风险管理可以看成是一个不断降低安全风险的过程,最终目的是使安全风险降低到一个可接受的程度,使用户和决策者可以接受剩余的风险。信息安全风险管理贯穿信息系统生命周期的全部过程。信息系统生命周期包括规划、设计、实施、运维和废弃五个阶段。每个阶段都存在相关风险,需要采用同样的信息安全风险管理的方法加以控制

  信息安全风险管理是为保护信息及其相关资产,指导和控制一个组织相关信息安全风险的协调活动。我国《信息安全风险管理指南》指出,信息安全风险管理包括对象确立、风险评估风险控制、审核批准、监控与审查、沟通与咨询六个方面,其中前四项是信息安全风险管理的四个基本步骤,监控与审查和沟通与咨询则贯穿于前四个步骤中。

  2、设施的安全管理

  设施的安全管理包括网络的安全管理、保密设备的安全管理、硬件设施的安全管理、场地的安全管理等。

  管理网络的安全管理。信息管理网络是一个用于收集、传输、处理和存储有关信息系统与网络的维护、运行和管理信息的、高度自动化网络化的综合管理系统。它包括性能管理、配置管理、故障管理、计费管理、安全管理等功能。而安全管理又包括系统的安全管理、安全服务管理、安全机制管理、安全事件处理管理、安全审计管理、安全恢复管理等。

  硬件设施的安全管理。对硬件设施的安全管理主要考虑配置管理、使用管理、维修管理、存储管理、网络连接管理。常见的网络设备需要防止电磁辐射、电磁泄漏和自然老化。对集线器、交换机、网关设备或路由器,还需防止受到拒绝服务、访问控制、后门缺陷等威胁。对传输介质还需防止电磁干扰、搭线窃听和人为破坏,对卫星信道、微波接力信道等需防止对信道的窃听及人为破坏。对保密设备主要包括保密性能指标的管理、工作状态的管理、保密设备类型、数量、分配、使用者状况的管理、密钥的管理。场地设施的安全管理。机房和场地设施的安全管理需要满足防水、防火、防静电、防雷击、防辐射、防盗窃等国家标准。人员出入控制,需要根据安全等级和涉密范围,采取必要的技术行政措施,对人员进入和退出的时间及进入理由进行登记等。电磁辐射防护,需要根据技术上的可行性与经济上的合理性,采取设备防护、建筑物防护、区域性防护、磁场防护。

  3、信息的安全管理

  根据信息化建设发展的需要,信息包括三个层次的内容:一是在网络和系统中被采集、传输、处理和存储的对象,如技术文档、存储介质、各种信息等;二是指使用的各种软件;三是安全管理手段的密钥和口令等信息。软件设施的安全管理。对软件设施的安全管理主要考虑配置管理、使用和维护管理、开发管理、病毒管理。软件设施主要包括操作系统、数据库系统应用软件、网络管理软件以及网络协议等。操作系统是整个计算机系统的基石,由于它的安全等级不高,需要提供不同安全等级的保护。对数据库系统,需要加强数据库的安全性,并采用加密技术对数据库中的敏感数据加密。目前使用最广泛的网络通信协议是TCP/IP协议。由于存在许多安全设计缺陷,常常面临许多威胁。网络管理软件是安全管理的重要组成部分,常用的有:HP公司的OpenView,IBM公司的NetView,SUN公司的NetManager等,也需要额外的安全措施。

  存储介质的安全管理。存储介质包括:纸介质、磁盘、光盘、磁带、录音/录像带等,它们的安全对信息系统的恢复、信息的保密、防病毒起着十分关键的作用。对不同类别的存储介质,安全管理要求也不尽相同。对存储介质的安全管理主要考虑存储管理、使用管理、复制和销毁管理、涉密介质的安全管理。技术文档的安全管理。技术文档是系统或网络在设计、开发、运行和维护中所有技术问题的文字描述。技术文档按其内容的涉密程度进行分级管理,一般分为绝密级、机密级、秘密级和公开级。对技术文档的安全管理主要考虑文档的使用、备份、借阅、销毁等方面,需要建立严格的管理制度和相关负责人。

  密钥和口令的安全管理。密钥是加密解密算法的关键,密钥管理就是对密钥的生成、检验、分配、保存、使用、注入、更换和销毁等过程所进行的管理。口令是进行设备管理的一种有效手段,对口令的产生、传送、使用、存储、更换均需要有效的管理和控制。

  4、运行的安全管理

  信息系统和网络在运行中的安全状态也是需要考虑的问题,目前常常关注安全审计和安全恢复两个安全管理问题。

  安全审计。安全审计是指对系统或网络运行中有关安全的情况和事件进行记录、分析并采取相应措施的管理活动。目前主要对操作系统及各种关键应用软件进行审计。安全审计工作应该由各级安全机构负责实施管理,安全审计可以采用人工、半自动或自动智能三种方式。人工审计一般通过审计员查看、分析、处理审计记录;半自动审计一般由计算机自动分析处理,再有审计员作出决策和处理;自动智能审计一般由计算机完成分析处理,并借助专家系统作出判断,更能满足不同应用环境的需求

  安全恢复。安全恢复是指网络和信息系统在收到灾难性打击或破坏时,为使网络和信息系统迅速恢复正常,并使损失降低到最小而进行的一系列活动。安全恢复的管理主要包括安全恢复策略的确立、安全恢复计划的制定、安全恢复计划的测试和维护、安全恢复计划的执行。

3.信息安全管理的原则

  信息安全管理应遵循统一的安全管理原则:

  (1)规范化原则:各阶段都应遵循安全规范要求,根据组织安全需求,制定安全策略。

  (2)系统化原则:根据安全工程的要求,对系统各阶段,包括以后的升级、换代和功能扩展进行全面统一地考虑。

  (3)综合保障原则:人员、资金技术等多方面综合保障;

  (4)以人为本原则:技术是关键,管理是核心,提高管理人员的技术素养和道德水平。

  (5)首长负责原则:只有首长负责才能把安全管理落到实处

  (6)预防原则:安全管理以预防为主,并要有一定的超前意识;

  (7)风险评估原则:根据实践对系统定期进行风险评估以改进系统的安全状况;

  (8)动态原则:根据环境的改变和技术的进步,提高系统的保护能力

  (9)成本效益原则:根据资源价值和风险评估结果,采用适度的保护措施。

  (10)均衡防护原则:根据“木捅原理”,整个系统的安全强度取决员弱的一环,片面追求某个方面的安全强度对整个系统没有实际意义。

  此外,在信息安全管理的具体实施过程中还应道循下面一些原则:分权制衡原则、最小特权原则、职权分离原则、普遍参与原则、审计独立原则等。

4.信息安全管理的方法[1]

  信息安全管理的方法包括法律方法行政方法经济方法和宣传教育方法。四者相互结合,形成完整的管理方法体系。

  1、法律方法是指通过国家制定和实施各种法规以进行管理的方法。这里的法规包括国家颁布的法律、国家及军队的各级领导机构以及各个管理系统所制定的法令、条例、制定等各种具有法律效力的规范。

  2、行政方法是指行政组织机构和领导者运用权力,通过强制性的行政命令规定、指示等行政手段,按照行政系统和层次,直接指挥下属工作以实施管理的方法。在安全管理过程中,法律方法、经济方法、

  3、宣传教育方法等都需要通过行政系统来具体地组织与贯彻实施。经济方法是根据客观经济规律,运用各种经济手段,调节各方面经济利益之间的关系,以获取较高的社会效益经济效益管理方法。尤其是对安全技术方法、安全产品采办、安全设施建设、安全人才培养、信息资源共享等方面应给予充分的注意

  4、宣传教育方法是指通过多种形式的教育,全面提高全社会的安全素质。事实证明,很多信息安全事故的发生都和人的思想因素有关。为此,可根据人员的工作性质、分层次有重点、有计划、有步骤地普及一般信息技术以及网络安全保密、线通信安全保密、电磁辐射泄密防范、信息对抗等知识技能

评论  |   0条评论