信息安全技術(shù)與實(shí)踐習(xí)題答案完整

1、可用性、機(jī)密性、完整性、非否認(rèn)性、真實(shí)性和可控性。這6個(gè)屬性是信息安全的基本屬性，其具體含義如下(1)可用性(Availability)。即使在突發(fā)事件下，依然能夠保障數(shù)據(jù)和服務(wù)的正常使用，如網(wǎng)絡(luò)攻擊、計(jì)算機(jī)病毒感染、系統(tǒng)崩潰、戰(zhàn)爭(zhēng)破壞、自然災(zāi)害等。(2)機(jī)密性(Confidentiality)。能夠確保敏感或機(jī)密數(shù)據(jù)的傳輸和存儲(chǔ)不遭受未授權(quán)的瀏覽，甚至可以做到不暴露保密通信的事實(shí)。(3)完整性(Integrity)o能夠保障被傳輸、接收或存儲(chǔ)的數(shù)據(jù)是完整的和未被篡改的，在被篡改的情況下能夠發(fā)現(xiàn)篡改的事實(shí)或者篡改的位置。(4)非否認(rèn)性(non-repudiation)。能夠保證信息系統(tǒng)的操作者或信息的處理者不能否認(rèn)其行為或者處理結(jié)果，這可以防止參與某次操作或通信的一方事后否認(rèn)該事件曾發(fā)生過(guò)。(5)真實(shí)性(Authenticity)。真實(shí)性也稱可認(rèn)證性，能夠確保實(shí)體(如人、進(jìn)程或系統(tǒng))身份或信息、信息來(lái)源的真實(shí)性。(6)可控性(Controllability)。能夠保證掌握和控制信息與信息系統(tǒng)的基本情況，可對(duì)信息和信息系統(tǒng)的使用實(shí)施可靠的授權(quán)、審計(jì)、責(zé)任認(rèn)定、傳播源追蹤和監(jiān)管等控制。2、信息安全是一個(gè)古老而又年輕的科學(xué)技術(shù)領(lǐng)域?？v觀它的發(fā)展，可以劃分為以下四個(gè)階段：(1)通信安全發(fā)展時(shí)期：從古代至20世紀(jì)60年代中期，人們更關(guān)心信息在傳輸中的機(jī)密性。(2)計(jì)算機(jī)安全發(fā)展時(shí)期：計(jì)算機(jī)安全發(fā)展時(shí)期跨越20世紀(jì)60年代中期至80年代中期。(3)信息安全發(fā)展時(shí)期：隨著信息技術(shù)應(yīng)用越來(lái)越廣泛和網(wǎng)絡(luò)的普及，20世紀(jì)80年代中期至90年代中期，學(xué)術(shù)界、產(chǎn)業(yè)界和政府、軍事部門等對(duì)信息和信息系統(tǒng)安全越來(lái)越重視，人們所關(guān)注的問(wèn)題擴(kuò)大到前面提到的信息安全的6個(gè)基本屬性。在這一時(shí)期，密碼學(xué)、安全協(xié)議、計(jì)算機(jī)安全、安全評(píng)估和網(wǎng)絡(luò)安全技術(shù)得到了較大發(fā)展，尤其是互聯(lián)網(wǎng)的應(yīng)用和發(fā)展大大促進(jìn)了信息安全技術(shù)的發(fā)展與應(yīng)用，因此，這個(gè)時(shí)期也可以稱為網(wǎng)絡(luò)安全發(fā)展時(shí)期。(4)信息安全保障發(fā)展時(shí)期：20世紀(jì)90年代中期以來(lái)，隨著信息安全越來(lái)越受各習(xí)的高度重視，以及信息技術(shù)本身的發(fā)展，人們更加關(guān)注信息安全的整休發(fā)展及在新型應(yīng)用下的安全問(wèn)題。3、在現(xiàn)實(shí)中，常見的信息安全威脅有以下幾類:(1)信息泄露；(2)篡改；(3)重放；(4)假冒；(5)否認(rèn)；(6)非授權(quán)使用；(7)網(wǎng)絡(luò)與系統(tǒng)攻擊；(8)惡意代碼；(9)災(zāi)害、故障與人為破壞。4、密鑰為5,得到的替換表為：ABCDEFGHIJKLMNOPQRSTUVWXYZFGHIJKLMNOPQRSTUVWXYZABCDE用替換表對(duì)明文加密:明文MONKEY密文RTSPJD所以密文為：RTSPJD一個(gè)完整的信息安全技術(shù)體系結(jié)構(gòu)由基礎(chǔ)安全技術(shù)、物理安全技術(shù)、系統(tǒng)安全技術(shù)、網(wǎng)絡(luò)安全技術(shù)及應(yīng)用安全技術(shù)組成。一個(gè)最常見的網(wǎng)絡(luò)安全模型是PDRR模型。PDRR是指Protection(防護(hù))，Detection(檢測(cè))、Response(響應(yīng))、Recovery(恢復(fù))。這4個(gè)部分構(gòu)成了一個(gè)動(dòng)態(tài)的信息安全周期。(1)防護(hù)(P)網(wǎng)絡(luò)安全核型PDRR最重要的部分是防護(hù)。防護(hù)是預(yù)先阻止攻擊發(fā)生條件的產(chǎn)生，讓攻擊者無(wú)法順利入侵，防護(hù)可以減少大多數(shù)的入侵事件。(2)檢測(cè)(D)PDRR模型的第二個(gè)環(huán)節(jié)就是檢測(cè)。防護(hù)系統(tǒng)可以阻止大多數(shù)入侵事件的發(fā)生，但是不能阻止所有的入侵，特別是那些利用新的系統(tǒng)缺陷、新的攻擊手段的入侵。因此，安全策略的第二個(gè)安全屏障就是檢測(cè)，如果入侵發(fā)生就會(huì)被檢測(cè)出來(lái)，這個(gè)工具是入侵檢測(cè)系統(tǒng)。(3)響應(yīng)(R)PDRR模型中的第三個(gè)環(huán)節(jié)是響應(yīng)，響應(yīng)就是已知一個(gè)攻擊(入侵)事件發(fā)生之后，進(jìn)行相應(yīng)的處理。(3)恢復(fù)(R)恢復(fù)是PDRR模型中的最后一個(gè)環(huán)節(jié)。恢復(fù)是事件發(fā)生后，把系統(tǒng)恢復(fù)到原來(lái)的狀態(tài)，或者比原來(lái)更安全的狀態(tài)?；謴?fù)可以分為兩個(gè)方面：系統(tǒng)恢復(fù)和信息恢復(fù)。密碼學(xué)是以研究秘密通信為目的，對(duì)所要傳送的信息采取秘密保護(hù)，以防止第三者竊取信息的一門學(xué)科。密碼學(xué)的發(fā)展經(jīng)歷三個(gè)階段，即古典密碼（從古代到19世紀(jì)末）、近代密碼（1949~1975）和現(xiàn)代密碼（1976年至今）。按密鑰特點(diǎn)來(lái)分，密碼體制分為對(duì)稱密碼體制（私用密鑰加密技術(shù)）和非對(duì)稱密碼體制（公開密鑰加密技術(shù)）。在對(duì)稱密碼體制中，加密和解密采用相同的密鑰非對(duì)稱密碼體制中，加密密鑰和解密密鑰是相互獨(dú)立，即由加密密鑰無(wú)法推導(dǎo)出解密密鑰。按數(shù)據(jù)處理的特點(diǎn)來(lái)分，密碼體制分為分組密碼和序列密碼。分組密碼是將明文消息編碼表示后的數(shù)字序列劃分成長(zhǎng)度為n的組，每組分別在密鑰的控制下變換成等長(zhǎng)的輸出數(shù)字序列。常見的序列密碼算法有RC4A5/1、SEAL等。DES的整體結(jié)構(gòu)采用16圈Feistel模型，待加密的64比特明文數(shù)據(jù)分組首先進(jìn)行初始置換IP,然后將置換后的64比特?cái)?shù)據(jù)分為左半部分L0和右半部分R0各32比特，接著進(jìn)行16圈迭代。在每一圈中，右半部分在48比特圈（子）密鑰k的作用下進(jìn)行f變換，得到的32比特?cái)?shù)據(jù)與左半部分按位異或，產(chǎn)生的32比特?cái)?shù)據(jù)作為下一圈迭代的右半部分，原右半部分直接作為下一圈迭代的左半部分，但第16圈（最后一圈）不進(jìn)行左右塊對(duì)換。最后對(duì)（R16,L16）進(jìn)行末置換IP-1（初始置換IP的逆置換，又稱為逆初始置換），所得結(jié)果IP-1（R16,L16）就是密文。（1）由初始密鑰K求第一圈的圈密鑰k1。將初始密鑰K=0123456789ABCDEF專換為二進(jìn)制形式，即k=0000000100100011010001010110011110001001101010111100110111101111,然后按置換選擇1,輸出56比特?cái)?shù)據(jù)（C0,D0）,C0,D0各28比特，即：C0=1111000011001100101010100000D0=1010101011001100111100000000將C0,D0分別循環(huán)左移1位得C1,D1,即：C1=1110000110011001010101000001D1=0101010110011001111000000001對(duì)C1,D1進(jìn)行置換選擇2,得到48比特的圈密鑰，即：k1=000010110000001001100111100110110100100110100101（2）由明文M和k1求（L1,R1）。將明文M=0000000000000011轉(zhuǎn)換為二進(jìn)制形式，即M=0000000000000000000000000000000000000000000000000000000000010001,對(duì)其進(jìn)行初始置換IP,得到64比特?cái)?shù)據(jù)（L0,R0）,L0,R0各32比特，即：L0=00000000100000000000000010000000R0=000000000000000000000000000000001)由擴(kuò)展變換E規(guī)則得：E(R0)=000000000000000000000000000000000000000000000000E(R0)?k1=(000000000000000000000000000000000000000000000000)?(000010110000001001100111100110110100100110100101)=0000101100000010011001111001101101001001101001012)對(duì)E(R0)?k1進(jìn)彳tS盒代替：S(E(R0)?k1)=45361141314(十進(jìn)制)=01000101001101101011010011011110(十六進(jìn)制)3)最后對(duì)S(E(R0)十k1)進(jìn)行P盒置換，得：f(R0,k1)=PS(E(R0)十k1)=PS(000010110000001001100111100110110100100110100101)=P(01000101001101101011010011011110)=00101111010100101101000010111101L1=R0=00000000000000000000000000000000=00000000(十六進(jìn)制)R1=L0?f(R0,k1)=00101111110100101101000000111101=2FD2D03D(十六進(jìn)制)(L1,R1)=(00000000,2FD2D03D)N=pq=5*7=35入(N)=(p-1)(q-1)=4*6=24利用e和入(N)計(jì)算d：edmod入(N)=15dmod24=1d=5由解密公式得：m=D(c)=cd(modN)=105mod35=5N=pq=5*11=55入(N)=(p-1)(q-1)=4*10=40利用e和入(N)計(jì)算d：edmod入(N)=17dmod40=1d=23C=me(modN)=547mod55=54常見的分組密碼有：RC5:RC5適合硬件和軟件實(shí)現(xiàn)，運(yùn)算速度快，對(duì)不同字長(zhǎng)的處理器具有適應(yīng)性，迭代次數(shù)可變，密鑰長(zhǎng)度可調(diào)整，對(duì)存儲(chǔ)容量要求較低，高安全性，依賴于數(shù)據(jù)的循環(huán)移位。IDEA算法對(duì)64位的數(shù)據(jù)塊進(jìn)行加密，密鑰長(zhǎng)度是128位。用硬件和軟件實(shí)現(xiàn)都很容易，且加解密速度超過(guò)DES算法的實(shí)現(xiàn)。AES算法：AES在安全、性能、效率、易實(shí)施和靈活性上都比其它幾個(gè)候選算法更有優(yōu)勢(shì)，經(jīng)過(guò)多年的分析和測(cè)試，至今沒(méi)有發(fā)現(xiàn)AES的明顯缺點(diǎn)，也沒(méi)有找到明顯的安全漏洞。在流密碼中，密鑰流生成器的基本組成部分有內(nèi)部狀態(tài)、下一個(gè)狀態(tài)函數(shù)和輸出函數(shù)。其中，內(nèi)部狀態(tài)描述了密鑰流生成器的當(dāng)前狀態(tài)；輸出函數(shù)處理內(nèi)部狀態(tài)，并產(chǎn)生密鑰流；下一個(gè)狀態(tài)函數(shù)處理內(nèi)部狀態(tài)，并生成新的內(nèi)部狀態(tài)。密鑰的分配方法有：1)只使用會(huì)話密鑰：會(huì)話密鑰由專門機(jī)構(gòu)生成密鑰后，將其安全發(fā)送到每個(gè)用戶節(jié)點(diǎn)，保存在安全的保密裝置中，當(dāng)通信雙方通信時(shí)，直接使用這個(gè)會(huì)話密鑰對(duì)信息進(jìn)行加密。2)采用會(huì)話和基本密鑰：在這種方式中，A先產(chǎn)生會(huì)話密鑰，再用雙方共有的基本密鑰對(duì)其加密后發(fā)送給BoB收到后用基本密鑰對(duì)其解密就可得到會(huì)話密鑰。3)采用非對(duì)稱密碼體制的密鑰分配，當(dāng)A與B要進(jìn)行秘密通信時(shí)，先進(jìn)行會(huì)話密鑰的分配。A首先從認(rèn)證中心獲得B的公鑰，用該公鑰對(duì)會(huì)話密鑰進(jìn)行加密，然后發(fā)給B,B收到后用自己的私鑰對(duì)其解密，就可得到這次通信的會(huì)話密鑰。消息認(rèn)證是驗(yàn)證消息的完整性，當(dāng)接收方收到發(fā)送方的報(bào)文時(shí)，接收方能夠驗(yàn)證收到的報(bào)文是真實(shí)的和未被篡改，即驗(yàn)證消息的發(fā)送者是真正的而非假冒的(數(shù)據(jù)起源認(rèn)證)；同時(shí)驗(yàn)證信息在傳送過(guò)程中未被篡改、重放或延遲等。消息認(rèn)證和信息保密是構(gòu)成信息系統(tǒng)安全的兩個(gè)方面，二者是兩個(gè)不同屬性上的問(wèn)題：即消息認(rèn)證不能自動(dòng)提供保密性，保密性也不能自然提供消息認(rèn)證功能。消息鑒別碼(MessageAuthenticationCode)MAC是用公開函數(shù)和密鑰產(chǎn)生一個(gè)固定長(zhǎng)度的值作為認(rèn)證標(biāo)識(shí)，并用該標(biāo)識(shí)鑒別信息的完整性。MAC是消息和密鑰的函數(shù)，即MAC=Ck(M),其中M是可變長(zhǎng)的消息，C是認(rèn)證函數(shù)，K是收發(fā)雙方共享的密鑰，函數(shù)值Ck（M）是定長(zhǎng)的認(rèn)證碼。認(rèn)證碼被附加到消息后以mIMac方式一并發(fā)送給接收方，接收方通過(guò)重新計(jì)算mac以實(shí)現(xiàn)對(duì)m的認(rèn)證。數(shù)字簽名技術(shù)是將摘要信息用發(fā)送者的私鑰加密，與原文一起傳送給接收者。接收者只有用發(fā)送者的公鑰才能解密被加密的摘要信息，然后用HASH函數(shù)對(duì)收到的原文產(chǎn)生一個(gè)摘要信息，并與解密的摘要信息進(jìn)行對(duì)比，若相同則說(shuō)明收到的信息完整，在傳輸過(guò)程中未被修改；否則說(shuō)明信息被修改。1）簽名應(yīng)與文件是一個(gè)不可分割的整體，可以防止簽名被分割后替換文件，替換簽名等形式的偽造。2）簽名者事后不能否認(rèn)自己的簽名。3）接收者能夠驗(yàn)證簽名，簽名可唯一地生成，可防止其他任何人的偽造。4）當(dāng)雙方關(guān)于簽名的真?zhèn)伟l(fā)生爭(zhēng)執(zhí)時(shí)，一個(gè)仲裁者能夠解決這種爭(zhēng)執(zhí)。身份認(rèn)證是指證實(shí)主體的真實(shí)身份與其所聲稱的身份是否相符的過(guò)程。它通過(guò)特定的協(xié)議和算法來(lái)實(shí)現(xiàn)身份認(rèn)證。身份認(rèn)證的目的是防止非法用戶進(jìn)入系統(tǒng)；訪問(wèn)控制機(jī)制將根據(jù)預(yù)先設(shè)定的規(guī)則對(duì)用戶訪問(wèn)某項(xiàng)資源進(jìn)行控制，只有規(guī)則允許才能訪問(wèn)，違反預(yù)定安全規(guī)則的訪問(wèn)將被拒絕。訪問(wèn)控制是為了防止合法用戶對(duì)系統(tǒng)資源的非法使用。基于口令的認(rèn)證技術(shù)：當(dāng)被認(rèn)證對(duì)象要求訪問(wèn)提供服務(wù)的系統(tǒng)時(shí)，提供服務(wù)的認(rèn)證方要求被認(rèn)證對(duì)象提交口令信息，認(rèn)證方收到口令后，將其與系統(tǒng)中存儲(chǔ)的用戶口令進(jìn)行比較，以確認(rèn)被認(rèn)證對(duì)象是否為合法訪問(wèn)者。雙因子認(rèn)證（Two-factorAuthentication）:一個(gè)因子是只有用戶本身知道的密碼，可以是默記的個(gè)人認(rèn)證號(hào)（PIN）或口令；另一個(gè)因子是只有該用戶擁有的外部物理實(shí)體一智能安全存儲(chǔ)介質(zhì)。電話遠(yuǎn)程身份認(rèn)證：系統(tǒng)集成了基于聲紋的身份認(rèn)證技術(shù)和語(yǔ)音識(shí)別技術(shù)，通過(guò)一個(gè)電話語(yǔ)音對(duì)話系統(tǒng)與用戶交流，在人機(jī)語(yǔ)音對(duì)答的過(guò)程中在后臺(tái)進(jìn)行用戶的身份認(rèn)證?；谠诰€手寫簽名的身份認(rèn)證技術(shù)：首先獲取簽名信息的數(shù)據(jù)，然后進(jìn)行預(yù)處理，包括去噪、歸一化等操作，接著進(jìn)行特征提取，最后進(jìn)行特征匹配和判決，即將提取的特征信息與標(biāo)準(zhǔn)簽名樣本進(jìn)行匹配，得出鑒別結(jié)果，即驗(yàn)證輸入簽名的身份是否屬實(shí)計(jì)算機(jī)系統(tǒng)的安全性包括狹義安全和廣義安全兩個(gè)方面。狹義安全主要是對(duì)外部攻擊的防范，廣義安全則是保障計(jì)算機(jī)系統(tǒng)中數(shù)據(jù)保密性、數(shù)據(jù)完整性和系統(tǒng)可用性。(1)硬件安全1)存儲(chǔ)保護(hù)2)運(yùn)行保護(hù)I/O保護(hù)(2)身份認(rèn)證(3)訪問(wèn)控制1)自主訪問(wèn)控制2)強(qiáng)制訪問(wèn)控制(4)最小特權(quán)管理(5)可信通道(6)安全審計(jì)機(jī)制數(shù)據(jù)庫(kù)系統(tǒng)(DatabaseSystem,簡(jiǎn)稱DBS是采用了數(shù)據(jù)庫(kù)技術(shù)的計(jì)算機(jī)系統(tǒng)，通常由數(shù)據(jù)庫(kù)、硬件、軟件、用戶四部分組成。最小特權(quán)策略。最小特權(quán)策略是指用戶被分配最小的權(quán)限。最大共享策略。最大共享策略是在保密的前提下，實(shí)現(xiàn)最大程度的信息共享。粒度適當(dāng)策略。數(shù)據(jù)庫(kù)系統(tǒng)中不同的項(xiàng)被分成不同的顆粒，顆粒隨小，安全級(jí)別越高，但管理也越復(fù)雜。開放系統(tǒng)和封閉系統(tǒng)策略。按內(nèi)容訪問(wèn)控制策略。按類型訪問(wèn)控制策略。按上下文訪向控制策略。根據(jù)歷史的訪問(wèn)控制策略。常用的數(shù)據(jù)庫(kù)備份方法有：冷備份、熱備份和邏輯備份。1)冷備份是在沒(méi)有終端用戶訪問(wèn)數(shù)據(jù)庫(kù)的情況下關(guān)閉數(shù)據(jù)庫(kù)并將其備份，有稱為“脫機(jī)備份”.2)熱備份是指當(dāng)數(shù)據(jù)庫(kù)正在運(yùn)行時(shí)進(jìn)行的備份，又稱為“聯(lián)機(jī)備份”。3)邏輯備份邏輯備份是指使用軟件技術(shù)從數(shù)據(jù)庫(kù)中導(dǎo)出數(shù)據(jù)并寫入一個(gè)輸出文件，該文件的格式一般與原數(shù)據(jù)庫(kù)的文件格式不同，而是原數(shù)據(jù)庫(kù)中數(shù)據(jù)內(nèi)容的的一個(gè)映像。因此邏輯備份文件只能用來(lái)對(duì)數(shù)據(jù)庫(kù)進(jìn)行邏輯恢復(fù)(即數(shù)據(jù)導(dǎo)入)，而不能按數(shù)據(jù)庫(kù)原來(lái)的存儲(chǔ)特征進(jìn)行物理恢復(fù)。自然災(zāi)害、硬件故障、軟件故障、人為原因、資源不足引起的計(jì)劃性停機(jī)。其中，軟件故障和人為原因是數(shù)據(jù)失效的主要原因。備份不僅只是對(duì)數(shù)據(jù)的保護(hù)，最終的目的就是為了在系統(tǒng)遇到人為或自然災(zāi)害情況下，能夠通過(guò)備份內(nèi)容對(duì)系統(tǒng)進(jìn)行有效的災(zāi)難恢復(fù)。所以，備份不僅是單純的數(shù)據(jù)拷貝,更重要的是管理。管理包括了備份的可計(jì)劃性、磁帶機(jī)的自動(dòng)化操作、歷史記錄的保存以及日志記錄等內(nèi)容。硬件級(jí)備份是指用冗余的硬件來(lái)保證系統(tǒng)的連續(xù)運(yùn)行。當(dāng)主硬件損壞時(shí)可利用后備硬件接替其工作，所以這種方式能有效地防止硬件故障，但其無(wú)法防止數(shù)據(jù)的邏輯損壞。軟件級(jí)備份具有安裝方便，界面友好，使用靈活；支持跨平臺(tái)備份，支持文件打開狀態(tài)備份；支持多種文件格式的備份，支持備份介質(zhì)自動(dòng)加載的自動(dòng)備份；支持各種策略的備份方式的特點(diǎn)。人工級(jí)備份的特點(diǎn)是簡(jiǎn)單和有效，但其恢復(fù)數(shù)據(jù)時(shí)較耗時(shí)。還原數(shù)據(jù)是指用備份數(shù)據(jù)替代當(dāng)前數(shù)據(jù)，以達(dá)到修復(fù)錯(cuò)誤的目的?；謴?fù)數(shù)據(jù)與還原數(shù)據(jù)相似，它使用備份文件去覆蓋出錯(cuò)的數(shù)據(jù)，從而達(dá)到修復(fù)錯(cuò)誤的目的。當(dāng)數(shù)據(jù)因誤操作而完全丟失時(shí)，可借助數(shù)據(jù)恢復(fù)軟件來(lái)實(shí)現(xiàn)找回現(xiàn)有數(shù)據(jù)的目的?；謴?fù)數(shù)據(jù)的外延要大于還原數(shù)據(jù)，還原數(shù)據(jù)包含在恢復(fù)數(shù)據(jù)之中。在數(shù)據(jù)庫(kù)的使用過(guò)程中，由于數(shù)據(jù)庫(kù)文件被頻繁使用，從而造成數(shù)據(jù)庫(kù)的損壞，因此要進(jìn)行數(shù)據(jù)庫(kù)的定期檢測(cè)和修復(fù)。選擇題：1.B、2.A、3.C、4.B、5.D6.B、7.A、8.A填空題：.UDP;TCP端口號(hào)；.可用性、機(jī)密性、完整性、可控性、不可抵賴性。選擇題：1.A2.B3.B4.C5.A6.D7.C8.B填空題：.物理安全技術(shù)；基礎(chǔ)安全技術(shù)；應(yīng)用安全技術(shù)；？.PDRR(安全生命周期模型)P:Protection(防護(hù))：采用可能采取的手段保障信息的保密性、完整性、可用性、可控性和不可否認(rèn)性。D：Detection(檢測(cè))；R:Responses(反應(yīng))；R:Recovery(恢復(fù))。信息安全管理是指為了實(shí)現(xiàn)信息安全目標(biāo)，從而遵循特定的安全策略，依照規(guī)定的程序，運(yùn)用適當(dāng)?shù)姆椒ㄟM(jìn)行規(guī)劃、組織、指導(dǎo)、協(xié)調(diào)和控制等活動(dòng)。信息安全管理和安全技術(shù)組成信息安全防護(hù)體系，其中安全管理是技術(shù)的重要補(bǔ)充。信息安全管理解決宏觀問(wèn)題，它的核心是信息安全風(fēng)險(xiǎn)的管理控制，對(duì)象是各類信息資產(chǎn)(包含人員在內(nèi))，通過(guò)對(duì)信息資產(chǎn)的風(fēng)險(xiǎn)管理來(lái)實(shí)現(xiàn)信息系統(tǒng)的安全目標(biāo)。(1)根據(jù)受保護(hù)系統(tǒng)的業(yè)務(wù)目標(biāo)和特點(diǎn)來(lái)確定風(fēng)險(xiǎn)管理的范圍、對(duì)象，明確對(duì)象的特性和安全需求。(2)針對(duì)已確定的管理對(duì)象面臨的風(fēng)險(xiǎn)進(jìn)行識(shí)別和分析，綜合評(píng)估考慮資產(chǎn)所受的威脅和威脅產(chǎn)生的影響。(3)根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果選擇并實(shí)施恰當(dāng)?shù)陌踩胧?，將風(fēng)險(xiǎn)控制在可接受的范圍內(nèi)。風(fēng)險(xiǎn)處理的主要方式有規(guī)避、轉(zhuǎn)移、降低和接受。(4)批準(zhǔn)風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理的結(jié)果(即風(fēng)險(xiǎn)評(píng)估和處理結(jié)果應(yīng)得到高層管理者的批準(zhǔn))并持續(xù)監(jiān)督。(1)最小化原則，即受保護(hù)的敏感信息只能在一定范圍內(nèi)被共享。最小化原則可細(xì)分為知所必須原則和用所必須原則。(2)分權(quán)制衡原則，為保證信息系統(tǒng)的安全，通常將系統(tǒng)中的所有權(quán)限進(jìn)行適當(dāng)劃分，使每個(gè)授權(quán)主體僅擁有部分權(quán)限，從而實(shí)現(xiàn)他們之間的相互制約和相互監(jiān)督。(3)安全隔離原則，將信息的主體與客體分隔開，在安全和可控的前提下，主體依照一定的安全策略對(duì)客體實(shí)施訪問(wèn)。其中隔離和控制是實(shí)現(xiàn)信息安全的基本方法，隔離是控制的基礎(chǔ)。(4)普遍參與原則，為制定出有效的安全機(jī)制，組織大都要求員工普遍參與，搜集各級(jí)員工的意見，分析存在的問(wèn)題，通過(guò)集思廣益的方法來(lái)規(guī)劃安全體系和安全策略。(5)縱深防御原則，安全體系不是單一安全機(jī)制和多種安全服務(wù)的堆砌，而是相互支撐的多種安全機(jī)制，是具有協(xié)議層次和縱向結(jié)構(gòu)層次的完備體系。(6)防御多樣化原則，與縱深防御一樣，通過(guò)使用大量不同類型和不同等級(jí)的系統(tǒng)，以期獲得額外的安全保護(hù)。4、(1)物理安全策略(2)互聯(lián)網(wǎng)安全全策略制定操作計(jì)算機(jī)和網(wǎng)絡(luò)所必須遵守的操作規(guī)程和職責(zé)，包括數(shù)據(jù)文件處理規(guī)則、變更管理規(guī)則、錯(cuò)誤和意外事件處理規(guī)程、問(wèn)題管理規(guī)程、測(cè)試評(píng)估規(guī)程、日常管理活動(dòng)等。(3)數(shù)據(jù)訪問(wèn)控制、加密與