安全策略講義課件

第3章安全策略3.1安全策略的功能3.2安全策略的類型3.3安全策略的使用小結(jié)習(xí)題第3章安全策略3.1安全策略的功能安全策略對(duì)一個(gè)組織來說是十分重要的，是一個(gè)組織的信息安全部門能做的最重要的工作之一。它只涉及很少的技術(shù)知識(shí)，因而很多有專業(yè)技能的人似乎對(duì)其并不太重視，事實(shí)上，安全策略對(duì)他們也是非常重要的。安全策略提供一系列規(guī)則，管理和控制系統(tǒng)如何配置，組織的員工應(yīng)如何在正常的環(huán)境下行動(dòng)，而當(dāng)發(fā)生環(huán)境不正常時(shí)，應(yīng)如何反應(yīng)。安全策略執(zhí)行兩個(gè)主要任務(wù)。3.1安全策略的功能安全策略對(duì)一個(gè)組織來說是十分重要的，是一個(gè)組織的信息安全部門1.確定安全的實(shí)施安全策略確定實(shí)施什么樣的安全，具體內(nèi)容如下：（1）安全策略確定恰當(dāng)?shù)挠?jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)的配置及物理安全的措施，以及確定所使用的合理機(jī)制以保護(hù)信息和系統(tǒng)。（2）安全策略不僅確定安全的技術(shù)方面，還規(guī)定員工應(yīng)該執(zhí)行某些和安全相關(guān)的責(zé)任（例如用戶管理），以及員工在使用計(jì)算機(jī)系統(tǒng)時(shí)所要求的行為。（3）安全策略還規(guī)定當(dāng)非期望的事情發(fā)生時(shí)，組織應(yīng)如何反應(yīng)。當(dāng)一個(gè)安全事故發(fā)生，或系統(tǒng)出故障時(shí)，組織的安全策略和安全程序規(guī)定其應(yīng)做的事，以及在事故發(fā)生時(shí)，該組織的行動(dòng)目標(biāo)。1.確定安全的實(shí)施2.使員工的行動(dòng)一致對(duì)一個(gè)組織來說，確定實(shí)施什么樣的安全是重要的，然而使每個(gè)工作人員行動(dòng)一致以維護(hù)組織的安全也是同樣重要的。安全策略為一個(gè)組織的員工規(guī)定一起工作的框架。組織的安全策略和安全過程規(guī)定了安全程序的目標(biāo)和對(duì)象。將這些目標(biāo)和對(duì)象告訴員工，就為安全工作組提供了基礎(chǔ)。安全策略的類型一個(gè)組織內(nèi)的安全策略和安全程序有很多種，本節(jié)將概述常用的、有效的安全策略和安全程序。在安全策略中，一般包含3個(gè)方面：2.使員工的行動(dòng)一致（1）目的一個(gè)安全策略和安全程序應(yīng)該有一個(gè)很好定義的目的，其文本應(yīng)明確說明為什么要制定該策略和程序，及其對(duì)該組織有什么好處。（2）范圍一個(gè)安全策略和安全程序應(yīng)該有一個(gè)適用的范圍。例如，一個(gè)安全策略可適用于所有計(jì)算機(jī)和網(wǎng)絡(luò)系統(tǒng)，一個(gè)信息策略可適用于所有員工。（3）責(zé)任責(zé)任規(guī)定誰負(fù)責(zé)該文本的實(shí)施。不管誰負(fù)有責(zé)任，都必須經(jīng)過很好的培訓(xùn)，明白文本的各項(xiàng)要求。（1）目的信息策略定義一個(gè)組織內(nèi)的敏感信息以及如何保護(hù)敏感信息。策略覆蓋該組織內(nèi)的全部敏感信息。每個(gè)員工有責(zé)任保護(hù)所有接觸的敏感信息。識(shí)別敏感信息根據(jù)該組織的業(yè)務(wù)，考慮哪些是敏感信息。敏感信息有可能包括經(jīng)營業(yè)務(wù)記錄、產(chǎn)品設(shè)計(jì)、專利信息、公司電話簿等。3.2安全策略的類型

3.2.1信息策略信息策略定義一個(gè)組織內(nèi)的敏感信息以及如何保護(hù)敏感信息。策略覆某些信息對(duì)所有組織都是敏感信息，包括工資信息、員工家庭住址和電話號(hào)碼、醫(yī)療保險(xiǎn)信息、任何在公開以前的財(cái)務(wù)信息等。值得指出的是，對(duì)一個(gè)組織來說，不是所有信息在所有時(shí)間都是敏感的。必須根據(jù)安全策略和安全程序很小心地確定什么是敏感信息。2.信息分類對(duì)大部分組織而言，通常將信息分成二或三級(jí)已足夠了，具體如下：（1）最低級(jí)別的信息應(yīng)該是公開的，也就是說，這些信息已為人所知，或能公開發(fā)表。某些信息對(duì)所有組織都是敏感信息，包括工資信息、員工家庭住址和（2）再上一級(jí)的信息是不公開發(fā)表的，這些信息稱為“私有”、“公司敏感”或“公司秘密”。這類信息對(duì)本組織員工是公開的，對(duì)某些組織外的人員需簽不擴(kuò)散協(xié)議才能得到。如果這些信息被公開或被競(jìng)爭者得到，就有損于該組織。（3）第三類信息稱為“限制”或“保護(hù)”。這類信息被嚴(yán)格限制在一個(gè)組織內(nèi)的很有限的員工范圍內(nèi)，不能向組織內(nèi)的全體員工發(fā)布，更不能被組織外的人得到。3.敏感信息標(biāo)記對(duì)于非公開信息，安全策略應(yīng)將各類敏感信息清楚地加上標(biāo)記。如果以紙張的形式出現(xiàn)，應(yīng)在每頁的頂部和底部加標(biāo)記，用字處理的頁首、頁腳來實(shí)現(xiàn)。通常用醒目的大寫或斜體字標(biāo)記。（2）再上一級(jí)的信息是不公開發(fā)表的，這些信息稱為“私有”、4.敏感信息存儲(chǔ)安全策略對(duì)存儲(chǔ)在紙上或計(jì)算機(jī)系統(tǒng)中的敏感信息都應(yīng)有相應(yīng)的規(guī)定。當(dāng)信息存儲(chǔ)在計(jì)算機(jī)系統(tǒng)中，安全策略規(guī)定相應(yīng)的保護(hù)級(jí)別?？梢允俏募脑L問控制，或?qū)δ承╊愋臀募煤线m的口令保護(hù)。極端情況需要加密措施。應(yīng)該記住，系統(tǒng)管理員能看到計(jì)算機(jī)系統(tǒng)中的所有文本。如果該敏感信息不應(yīng)被系統(tǒng)員知道，只有采取加密措施。4.敏感信息存儲(chǔ)5.敏感信息傳輸信息策略必須確定如何傳輸敏感信息?？梢杂貌煌椒▊鬏斝畔?，如電子郵件、通過郵局郵寄、傳真等。信息策略應(yīng)對(duì)每種傳輸方法確定保護(hù)方法。對(duì)通過電子郵件傳送的敏感信息，安全策略應(yīng)規(guī)定對(duì)用附件方式的文件或報(bào)文頭進(jìn)行加密。對(duì)硬拷貝信息的傳送，需要簽收收據(jù)的方式。對(duì)傳真方式的傳送，發(fā)送者需要用電話事先通知接收者等候在傳真機(jī)旁。5.敏感信息傳輸6.敏感信息銷毀留在紙上的敏感信息必須有相應(yīng)的銷毀方法。存儲(chǔ)在計(jì)算機(jī)系統(tǒng)中的敏感信息，如果刪除得不合適，仍有可能恢復(fù)。某些商業(yè)程序已有更安全的方法，將敏感信息從介質(zhì)中擦去。6.敏感信息銷毀安全策略規(guī)定計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)設(shè)備安全的技術(shù)要求，規(guī)定系統(tǒng)或網(wǎng)絡(luò)管理員應(yīng)如何配置與安全相關(guān)的系統(tǒng)。這個(gè)配置也會(huì)影響用戶。系統(tǒng)和網(wǎng)絡(luò)管理員應(yīng)對(duì)安全策略的實(shí)施負(fù)主要責(zé)任。安全策略應(yīng)定義每個(gè)系統(tǒng)實(shí)施時(shí)的要求，然而它不應(yīng)規(guī)定對(duì)不同操作系統(tǒng)的專門配置，這屬于專門配置的過程。3.2.2系統(tǒng)和網(wǎng)絡(luò)安全策略安全策略規(guī)定計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)設(shè)備安全的技術(shù)要求，規(guī)定系統(tǒng)或網(wǎng)1.用戶身份及身份鑒別安全策略應(yīng)確定如何識(shí)別用戶。通常安全策略應(yīng)規(guī)定用于用戶ID的標(biāo)準(zhǔn)或定義標(biāo)準(zhǔn)的系統(tǒng)管理過程。更為重要的是，安全策略應(yīng)確定對(duì)系統(tǒng)用戶或管理員的基本的鑒別機(jī)制。如果機(jī)制是口令，則安全策略還應(yīng)規(guī)定最小的口令字長、最長和最短的口令生存期以及口令內(nèi)容的要求。當(dāng)開發(fā)安全策略時(shí)，每個(gè)組織還應(yīng)決定是對(duì)管理員采用相同的機(jī)制，還是更強(qiáng)的機(jī)制。如果需要更強(qiáng)的機(jī)制，安全策略應(yīng)確定相應(yīng)的安全要求。更強(qiáng)的機(jī)制對(duì)諸如VPN或撥號(hào)訪問這些遠(yuǎn)程訪問也是適用的。1.用戶身份及身份鑒別2.訪問控制安全策略應(yīng)確定對(duì)電子文件的訪問控制的標(biāo)準(zhǔn)要求，具體如下：（1）在確定機(jī)制時(shí)，對(duì)計(jì)算機(jī)上的每個(gè)文件，用戶定義的訪問控制的某些方式應(yīng)是可用的。這個(gè)機(jī)制應(yīng)和身份鑒別機(jī)制一起工作，以確保只有授權(quán)用戶能訪問文件。該機(jī)制至少應(yīng)能確定什么樣的用戶有讀、寫、執(zhí)行文件的許可。（2）對(duì)新文件的默認(rèn)配置應(yīng)說明當(dāng)新文件生成時(shí)應(yīng)如何建立許可。這部分安全策略應(yīng)對(duì)給出的系統(tǒng)中的文件確定讀、寫、執(zhí)行的許可。2.訪問控制3.審計(jì)安全策略的審計(jì)部分應(yīng)確定所有系統(tǒng)上需要審計(jì)的事件類型。通常安全策略需對(duì)下列事件進(jìn)行審計(jì)：成功或失敗的登錄、退出系統(tǒng)、對(duì)文件或系統(tǒng)的訪問失敗、成功或失敗的遠(yuǎn)程訪問、特權(quán)操作（由管理員操作，成功或失?。⑾到y(tǒng)事件（關(guān)機(jī)或重啟）。對(duì)每個(gè)事件應(yīng)捕獲下列信息：用戶ID、日期和時(shí)間、進(jìn)程ID、執(zhí)行的動(dòng)作、事件的成功或失敗。安全策略應(yīng)說明審計(jì)記錄應(yīng)保存多久以及如何存放。如有可能，安全策略還應(yīng)確定如何檢查審計(jì)記錄以及檢查的時(shí)間間隔。3.審計(jì)4.網(wǎng)絡(luò)連接對(duì)每一種接到組織網(wǎng)絡(luò)的連接形式，安全策略應(yīng)說明連接的規(guī)則以及保護(hù)機(jī)制。對(duì)撥號(hào)連接，應(yīng)說明對(duì)這類連接技術(shù)的鑒別要求。該要求應(yīng)指回到策略的身份鑒別這一部分。也可能描述一個(gè)比通常使用的更強(qiáng)的身份鑒別。此外，安全策略應(yīng)確定開始得到撥號(hào)訪問的身份鑒別要求。對(duì)一個(gè)組織來說，應(yīng)嚴(yán)格控制允許多少個(gè)撥號(hào)訪問點(diǎn)，因此應(yīng)公平地限制身份鑒別的要求。4.網(wǎng)絡(luò)連接一個(gè)組織的固定網(wǎng)絡(luò)連接是由某些類型的固定通信線路接入的。安全策略應(yīng)確定用于這些連接的安全設(shè)備類型。通常防火墻是合適的設(shè)備。僅僅說明設(shè)備類型并不意味著說明了相應(yīng)的保護(hù)級(jí)別。安全策略應(yīng)定義一個(gè)設(shè)備的基本網(wǎng)絡(luò)訪問控制策略以及請(qǐng)求和得到訪問的過程。這些在標(biāo)準(zhǔn)的配置中是沒有的。對(duì)內(nèi)部系統(tǒng)的遠(yuǎn)程訪問是組織允許員工在外出時(shí)從外部訪問內(nèi)部系統(tǒng)。安全策略應(yīng)說明這類訪問所采用的機(jī)制。對(duì)這類訪問，所有的通信應(yīng)加密保護(hù)，并在加密部分說明密碼類型。因?yàn)樵L問來自外部，應(yīng)確定一個(gè)強(qiáng)的身份鑒別機(jī)制。安全策略還應(yīng)對(duì)允許員工得到這類訪問的授權(quán)建立一個(gè)正確的過程。一個(gè)組織的固定網(wǎng)絡(luò)連接是由某些類型的固定通信線路接入的。安全5.惡意代碼安全策略應(yīng)確定搜索惡意代碼（如病毒、特洛伊木馬）的安全程序的存放位置。合適的位置包括文件服務(wù)器、桌面系統(tǒng)以及電子郵件服務(wù)器等。安全策略應(yīng)說明這些安全程序的要求，包括檢查專門的文件系統(tǒng)的安全程序要求以及當(dāng)這些文件打開時(shí)檢查這些文件。策略還應(yīng)要求對(duì)安全程序周期地更新簽名。5.惡意代碼6.加密安全策略應(yīng)確定使用在組織內(nèi)的可接受的加密算法，在信息策略中指出保護(hù)敏感信息的相應(yīng)算法。安全策略不限制僅僅選擇一種算法。安全策略還應(yīng)說明密鑰管理需要的過程。6.加密計(jì)算機(jī)用戶策略規(guī)定了誰可以使用計(jì)算機(jī)系統(tǒng)以及使用計(jì)算機(jī)系統(tǒng)的規(guī)則。1.計(jì)算機(jī)所有權(quán)策略應(yīng)清楚地說明所有計(jì)算機(jī)屬于本組織，并且提供給員工在組織內(nèi)用于工作相一致的用途。策略也可能禁止使用非組織的計(jì)算機(jī)用于組織的經(jīng)營業(yè)務(wù)。例如，員工希望在家里做某些工作，組織將為其提供計(jì)算機(jī)，但只有組織提供的計(jì)算機(jī)可通過遠(yuǎn)程訪問系統(tǒng)接到組織內(nèi)部的計(jì)算機(jī)系統(tǒng)。3.2.3計(jì)算機(jī)用戶策略計(jì)算機(jī)用戶策略規(guī)定了誰可以使用計(jì)算機(jī)系統(tǒng)以及使用計(jì)算機(jī)系統(tǒng)的2.信息所有權(quán)策略應(yīng)規(guī)定所有存儲(chǔ)并用于組織內(nèi)的計(jì)算機(jī)的信息屬于組織所有。某些員工可能使用組織的計(jì)算機(jī)存儲(chǔ)個(gè)人信息，如果策略沒有特殊說明，則個(gè)人信息可分開存在私人目錄下，并且非公開的。3.計(jì)算機(jī)的使用許可大部分組織期望員工只使用組織提供的計(jì)算機(jī)，用于和工作有關(guān)的目的。但這不總是一個(gè)很好的假定。因此在策略中要明確說明。有時(shí)，組織允許員工為了其他目的使用組織的計(jì)算機(jī)。如果是這樣，應(yīng)在策略中清楚說明。使用組織提供的計(jì)算機(jī)還影響到什么軟件加載到系統(tǒng)。規(guī)定非授權(quán)軟件不允許裝入系統(tǒng)。策略應(yīng)規(guī)定誰可以裝載授權(quán)軟件以及怎樣成為合法軟件。2.信息所有權(quán)4.沒有私隱的要求計(jì)算機(jī)用戶策略中最重要的部分或許是規(guī)定在任何組織的計(jì)算機(jī)存儲(chǔ)、讀出、接收的信息都沒有隱私。這對(duì)員工是十分重要的，他們應(yīng)了解任何信息有可能被管理員檢查，包括電子郵件。也就是說，使員工了解管理員或安全職員可能監(jiān)視所有和計(jì)算機(jī)相關(guān)的動(dòng)作，包括監(jiān)視Web站點(diǎn)。4.沒有私隱的要求Internet使用策略經(jīng)常包括在通用計(jì)算機(jī)使用策略中。然而，由于Internet的特殊性，有時(shí)將它作為單獨(dú)的策略。Internet的接入可以提高員工的工作效率。但I(xiàn)nternet也給員工提供了一個(gè)濫用計(jì)算機(jī)資源的機(jī)會(huì)。Internet使用策略規(guī)定了如何合理地使用Internet，諸如和業(yè)務(wù)有關(guān)的研究、采購，或使用電子郵件通信等；確定哪些是非正當(dāng)使用，諸如訪問和業(yè)務(wù)無關(guān)的Web站點(diǎn)、下載有版權(quán)的軟件、音樂文件的交易、發(fā)送連鎖郵件等。3.2.4Internet使用策略Internet使用策略經(jīng)常包括在通用計(jì)算機(jī)使用策略中。然而假如該策略是從計(jì)算機(jī)用戶策略分離出來的，它應(yīng)說明組織有可能監(jiān)視員工對(duì)Internet的使用，當(dāng)員工使用Internet時(shí)，沒有隱私的問題。假如該策略是從計(jì)算機(jī)用戶策略分離出來的，它應(yīng)說明組織有可能監(jiān)有些組織為電子郵件的使用開發(fā)了專門的策略。電子郵件正越來越多地用于組織的業(yè)務(wù)處理。電子郵件是使組織的敏感信息毫無價(jià)值的另一種方法。當(dāng)一個(gè)組織選擇定義電子郵件策略時(shí)，應(yīng)考慮到內(nèi)外兩方面的問題。3.2.5郵件策略有些組織為電子郵件的使用開發(fā)了專門的策略。電子郵件正越來越多1.內(nèi)部郵件問題電子郵件策略不應(yīng)和其他的人力資源策略相沖突。例如，電子郵件策略應(yīng)規(guī)定禁止利用電子郵件進(jìn)行性騷擾；又如，規(guī)定在電子郵件中不用非正式用語和同伴通信。如果組織要對(duì)電子郵件的某些關(guān)鍵字或附件進(jìn)行監(jiān)控，則策略應(yīng)說明這類監(jiān)控可能發(fā)生。策略還應(yīng)對(duì)員工說明不能期望在電子郵件中有隱私。1.內(nèi)部郵件問題2.外部郵件問題電子郵件可能包含一些敏感信息。郵件策略說明在什么條件下是可以接受的，并且在信息策略中指出該類信息應(yīng)如何保護(hù)。也可能在外部郵件的底部指出相應(yīng)的信息必須保護(hù)。郵件策略還應(yīng)識(shí)別進(jìn)入的電子郵件問題。例如，很多組織測(cè)試進(jìn)入的文件附件是否有病毒。該策略應(yīng)指向組織的安全策略關(guān)于相應(yīng)的病毒配置問題。2.外部郵件問題用戶管理程序是最容易被組織忽視的安全程序，因而提供了最大風(fēng)險(xiǎn)的可能。保護(hù)系統(tǒng)不被非授權(quán)者使用的安全機(jī)制是一個(gè)很好的事情，但是如計(jì)算機(jī)系統(tǒng)的使用沒有合適的管理也將使其完全無用。1.新員工程序應(yīng)為新員工提供一個(gè)正確訪問計(jì)算機(jī)資源的程序。應(yīng)該由人力資源部門和系統(tǒng)管理員協(xié)同工作。理想的狀況是新員工請(qǐng)求使用計(jì)算機(jī)資源，該新員工的管理者簽發(fā)批準(zhǔn)，然后系統(tǒng)管理員將為該新員工提供合適的系統(tǒng)和文件的訪問。這個(gè)程序也應(yīng)用于新的顧問和臨時(shí)員工，并標(biāo)明相應(yīng)的有效期。3.2.6用戶管理程序用戶管理程序是最容易被組織忽視的安全程序，因而提供了最大風(fēng)險(xiǎn)2.工作調(diào)動(dòng)的員工程序?qū)ぷ髡{(diào)動(dòng)的員工也應(yīng)開發(fā)一個(gè)專門的程序。這個(gè)程序的開發(fā)由人力資源和系統(tǒng)管理部門協(xié)助。員工原來的管理和新管理者應(yīng)確定換到新崗位上的員工已經(jīng)不需要原來的訪問或者需要新的訪問。相應(yīng)的系統(tǒng)管理員依此進(jìn)行變更。3.離職員工的程序最重要的用戶管理程序是將離職的員工從系統(tǒng)中除去。該程序也需人力資源和系統(tǒng)管理部門協(xié)助。當(dāng)人力資源部認(rèn)定一個(gè)員工離職，將提前通知相應(yīng)的系統(tǒng)管理員，這樣當(dāng)該員工在職的最后一天就可將其賬戶停止。2.工作調(diào)動(dòng)的員工程序系統(tǒng)管理程序是確定安全和系統(tǒng)管理如何配合工作以使組織的系統(tǒng)安全。系統(tǒng)管理程序應(yīng)確定各種和安全相關(guān)的系統(tǒng)管理如何完成。當(dāng)談及系統(tǒng)管理員監(jiān)控網(wǎng)絡(luò)的能力時(shí)，該程序應(yīng)由計(jì)算機(jī)用戶策略確定，并反映組織期望系統(tǒng)如何管理。1.軟件更新該程序應(yīng)確定一個(gè)系統(tǒng)管理員多長時(shí)間檢查新的補(bǔ)丁或從廠家升級(jí)。希望這些新的補(bǔ)丁不是當(dāng)出現(xiàn)時(shí)剛剛安裝，這樣在補(bǔ)丁安裝之前就規(guī)定測(cè)試。最后，當(dāng)這樣的升級(jí)發(fā)生時(shí)（通常在維護(hù)窗口）該程序應(yīng)做文檔，當(dāng)升級(jí)失敗時(shí)放棄程序。3.2.7系統(tǒng)管理程序系統(tǒng)管理程序是確定安全和系統(tǒng)管理如何配合工作以使組織的系統(tǒng)安2.漏洞掃描每個(gè)組織應(yīng)開發(fā)一個(gè)識(shí)別計(jì)算機(jī)系統(tǒng)漏洞的程序。通常由安全方面掃描漏洞，由系統(tǒng)管理做補(bǔ)丁。已有一些商業(yè)的和免費(fèi)使用的掃描工具。程序應(yīng)確定多長間隔需進(jìn)行掃描。掃描的結(jié)果應(yīng)傳給系統(tǒng)管理來糾錯(cuò)和執(zhí)行。3.策略檢查組織的安全策略確定每個(gè)系統(tǒng)的安全要求。定期的外部或內(nèi)部審計(jì)用來檢查是否和策略一致。在審計(jì)時(shí)，安全應(yīng)和系統(tǒng)管理一起工作以檢查系統(tǒng)的一致?？梢杂米詣?dòng)的工具，也可以用手動(dòng)進(jìn)行。2.漏洞掃描4.登錄檢查來自各種系統(tǒng)的登錄應(yīng)定期檢查?？梢院桶踩珕T一起以自動(dòng)方式檢查這些登錄。如采用自動(dòng)工具，程序應(yīng)規(guī)定工具的配置以及希望它如何處理。如采用手動(dòng)方式，程序應(yīng)規(guī)定多長間隔檢查登錄文件以及事件類型等。5.常規(guī)監(jiān)控一個(gè)組織應(yīng)該有一個(gè)程序歸檔說明何時(shí)網(wǎng)絡(luò)通信監(jiān)控發(fā)生。有些組織可能選擇連續(xù)執(zhí)行這種類型的監(jiān)控，有些則選擇隨機(jī)監(jiān)控。無論如何，總應(yīng)進(jìn)行監(jiān)控，且歸檔。4.登錄檢查當(dāng)計(jì)算機(jī)事故發(fā)生時(shí)，事故響應(yīng)程序確定該組織將如何作出反應(yīng)。根據(jù)事故的不同，事故響應(yīng)程序應(yīng)確定誰有權(quán)處理，以及應(yīng)該做什么，但無須說明如何做。后者將留給處理事故的人決定。1.事故處理目標(biāo)當(dāng)處理事故時(shí)，事故響應(yīng)程序應(yīng)確定該組織的目標(biāo)，包括保護(hù)組織的系統(tǒng)、保護(hù)組織的信息、恢復(fù)運(yùn)行、起訴肇事者、減少壞的宣傳等。這些目標(biāo)不是惟一的，可以有多個(gè)目標(biāo)。關(guān)鍵是要在事故發(fā)生前確定組織的目標(biāo)。3.2.8事故響應(yīng)程序當(dāng)計(jì)算機(jī)事故發(fā)生時(shí)，事故響應(yīng)程序確定該組織將如何作出反應(yīng)。根2.事件識(shí)別識(shí)別一個(gè)事故或許是事故響應(yīng)中最困難的一部分。某些事故是顯而易見的，如Web站點(diǎn)的外貌被損壞。有些事故可能是由于入侵攻擊或用戶的誤操作，如數(shù)據(jù)文件的丟失。在公布事故以前，應(yīng)由系統(tǒng)管理員做某些檢查，以決定事故是否確實(shí)發(fā)生了。這部分程序能確定某些事件是顯而易見的事故。而某些不是顯而易見的事故，管理員應(yīng)確定檢查的步驟。在得到?jīng)Q定事故的更多信息后，應(yīng)組織一個(gè)事故響應(yīng)組，應(yīng)包括以下部門：安全、系統(tǒng)管理、法律、人力資源、公共關(guān)系等。2.事件識(shí)別3.信息控制在發(fā)布事故消息時(shí)，組織要控制應(yīng)發(fā)布什么樣的信息。有多少信息需發(fā)布取決于該事故對(duì)組織及其客戶的影響程度。信息發(fā)布的方式、方法也應(yīng)考慮對(duì)組織的正面效應(yīng)。4.響應(yīng)一個(gè)組織對(duì)事故流的響應(yīng)直接取決于事故響應(yīng)程序的目標(biāo)。例如，保護(hù)系統(tǒng)和信息是目標(biāo)，那么將系統(tǒng)從網(wǎng)絡(luò)中移走，并進(jìn)行必要的修復(fù)。另一種情況可能是保持系統(tǒng)在網(wǎng)上的在線狀態(tài)以及繼續(xù)服務(wù)或允許入侵者再回來，這樣可對(duì)入侵者跟蹤并設(shè)置陷阱。3.信息控制5.授權(quán)事故響應(yīng)的一個(gè)重要部分是決定事故響應(yīng)組的負(fù)責(zé)人，授權(quán)采取行動(dòng)，包括確定系統(tǒng)是否要離線，以及和客戶、新聞機(jī)構(gòu)、律師部門聯(lián)系等。通常選擇一個(gè)組織的官員來擔(dān)任，他可以是事故響應(yīng)組的成員，也可以是顧問。負(fù)責(zé)人在事故響應(yīng)程序開發(fā)時(shí)就要作出決定，而不是事故發(fā)生時(shí)決定。6.文檔事故響應(yīng)程序應(yīng)該規(guī)定事故響應(yīng)組建立其行動(dòng)檔案。有兩個(gè)好處，其一是有助于事故過后了解所發(fā)生的事件全過程；其二是如果要起訴，則有助于法律實(shí)施，對(duì)事故響應(yīng)組也可作為一本參考手冊(cè)，有助于他們處理事故。5.授權(quán)7.程序的測(cè)試事故響應(yīng)是很實(shí)際的，不能期望第一次使用事故響應(yīng)程序，每一件事都很完美。因此當(dāng)開發(fā)完事故響應(yīng)程序后，應(yīng)廣泛征求意見，找出其不足之處并改進(jìn)。事故響應(yīng)程序還需在現(xiàn)實(shí)世界中測(cè)試，可以做一些模擬攻擊，并觀察其響應(yīng)效果。這些測(cè)試可事先公布，也可不公布。7.程序的測(cè)試配置管理程序規(guī)定修改組織的計(jì)算機(jī)系統(tǒng)狀態(tài)的步驟。該程序的目的是確定合適的變化不會(huì)對(duì)安全事故的識(shí)別產(chǎn)生不好的影響。因此新的配置要從安全的角度予以檢查。1.系統(tǒng)的初始狀態(tài)對(duì)于一個(gè)新的系統(tǒng)，它的狀態(tài)應(yīng)有文檔，包括操作系統(tǒng)及其版本、補(bǔ)丁水平、應(yīng)用程序及其版本。2.變更的控制程序當(dāng)系統(tǒng)變更時(shí)，應(yīng)執(zhí)行配置控制程序。該程序應(yīng)在變更實(shí)施前對(duì)計(jì)劃的變更進(jìn)行測(cè)試。當(dāng)提出變更請(qǐng)求時(shí)，應(yīng)將變更前后的程序存檔。在變更以后，應(yīng)更新系統(tǒng)配置以反映系統(tǒng)的新的狀態(tài)。3.2.9配置管理程序配置管理程序規(guī)定修改組織的計(jì)算機(jī)系統(tǒng)狀態(tài)的步驟。該程序的目的對(duì)生成新系統(tǒng)或能力的項(xiàng)目應(yīng)有一個(gè)設(shè)計(jì)方法，以提供該組織生成新的系統(tǒng)的步驟。在設(shè)計(jì)之初就要考慮和安全有關(guān)的問題，使最后完成的系統(tǒng)能和安全問題相一致。設(shè)計(jì)過程中，與安全相關(guān)的步驟如下：（1）需求定義在任何一個(gè)項(xiàng)目的需求定義階段，應(yīng)將安全需求列入。設(shè)計(jì)方法應(yīng)指出組織的安全策略和信息策略的要求。特別是要確定敏感信息和關(guān)鍵信息的要求。3.2.10設(shè)計(jì)方法對(duì)生成新系統(tǒng)或能力的項(xiàng)目應(yīng)有一個(gè)設(shè)計(jì)方法，以提供該組織生成新（2）設(shè)計(jì)在項(xiàng)目的設(shè)計(jì)階段，設(shè)計(jì)方法應(yīng)確保項(xiàng)目是安全的。安全人員應(yīng)成為設(shè)計(jì)組成員或作為項(xiàng)目設(shè)計(jì)審查人員。在設(shè)計(jì)中對(duì)不能滿足安全要求之處應(yīng)特別指出，并予以妥善解決。（3）測(cè)試當(dāng)項(xiàng)目進(jìn)入測(cè)試階段，應(yīng)同時(shí)進(jìn)行安全測(cè)試。安全人員應(yīng)協(xié)助編寫測(cè)試計(jì)劃。安全要求有可能難以測(cè)試，例如，難以測(cè)試以確定入侵者不可能看到敏感信息。（4）實(shí)施項(xiàng)目實(shí)施階段同樣有安全要求。實(shí)施組應(yīng)使用合適的配置管理程序。在新系統(tǒng)成為產(chǎn)品以前，安全人員應(yīng)檢查系統(tǒng)的漏洞和合適的安全策略規(guī)則。（2）設(shè)計(jì)每個(gè)組織都應(yīng)有一個(gè)災(zāi)難恢復(fù)計(jì)劃。然而，很多組織卻沒有，因?yàn)樗麄冋J(rèn)為災(zāi)難恢復(fù)計(jì)劃要花很多錢，需要建立一個(gè)熱備站，配置場(chǎng)地和必要的設(shè)備，以便隨時(shí)接替運(yùn)行。事實(shí)上，災(zāi)難恢復(fù)計(jì)劃并不一定需要這樣的熱備站，可以是很簡單的一些措施。只有當(dāng)很多甚至全部計(jì)算機(jī)系統(tǒng)不可用，要決定該組織如何繼續(xù)運(yùn)行時(shí)，才會(huì)比較復(fù)雜。一個(gè)恰當(dāng)?shù)臑?zāi)難恢復(fù)計(jì)劃應(yīng)考慮各種故障的級(jí)別：單個(gè)系統(tǒng)、數(shù)據(jù)中心、整個(gè)系統(tǒng)。3.2.11災(zāi)難恢復(fù)計(jì)劃每個(gè)組織都應(yīng)有一個(gè)災(zāi)難恢復(fù)計(jì)劃。然而，很多組織卻沒有，因?yàn)樗?.單個(gè)系統(tǒng)或設(shè)備故障單個(gè)系統(tǒng)或設(shè)備故障包括盤、主板、網(wǎng)絡(luò)接口卡、元件的故障。作為災(zāi)難恢復(fù)計(jì)劃的一部分，應(yīng)該檢查組織的環(huán)境以識(shí)別任何單個(gè)系統(tǒng)或設(shè)備故障的影響。對(duì)每個(gè)故障，應(yīng)在可允許的時(shí)間內(nèi)修復(fù)并恢復(fù)運(yùn)行?！翱稍试S的時(shí)間”是根據(jù)對(duì)系統(tǒng)的關(guān)鍵程度以及解決方案所花的費(fèi)用而定。不論什么樣的解決方案，災(zāi)難恢復(fù)計(jì)劃必須能修復(fù)故障，使系統(tǒng)繼續(xù)運(yùn)行。災(zāi)難恢復(fù)計(jì)劃必須和組織的運(yùn)行部門結(jié)合，使他們知道應(yīng)采取什么步驟恢復(fù)系統(tǒng)運(yùn)行。1.單個(gè)系統(tǒng)或設(shè)備故障2.數(shù)據(jù)中心事件災(zāi)難恢復(fù)計(jì)劃還為數(shù)據(jù)中心的主要事件提供一個(gè)程序。例如，發(fā)生火災(zāi)，數(shù)據(jù)中心不能使用，應(yīng)采取什么步驟重新恢復(fù)其能力。其中必須解決的一個(gè)問題是有可能丟失設(shè)備，災(zāi)難恢復(fù)計(jì)劃應(yīng)包括如何得到備用的設(shè)備。假如數(shù)據(jù)中心不能用了，但仍有一些設(shè)備完好，災(zāi)難恢復(fù)計(jì)劃應(yīng)考慮如何添加新的設(shè)備以及如何重建通信線路。熱備站是一種解決方案，但費(fèi)錢。如果沒有熱備站，災(zāi)難恢復(fù)計(jì)劃應(yīng)確定其他可能的場(chǎng)地，重新建造計(jì)算機(jī)系統(tǒng)。2.數(shù)據(jù)中心事件3.場(chǎng)地破壞事件場(chǎng)地破壞事件是災(zāi)難恢復(fù)計(jì)劃通常需要考慮的一類事件。雖然這類事件發(fā)生的概率較小，但對(duì)一個(gè)組織的危害極大。對(duì)每類事件，組織的每個(gè)部門都應(yīng)參與。第一步是識(shí)別必須重建的關(guān)鍵能力，以使該組織繼續(xù)生存。如果是一個(gè)電子商務(wù)站點(diǎn)，則最關(guān)鍵的系統(tǒng)可能是計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)。如果是生產(chǎn)產(chǎn)品的工廠，則制造部門是關(guān)鍵，它的優(yōu)先度高于計(jì)算機(jī)系統(tǒng)。3.場(chǎng)地破壞事件4.災(zāi)難恢復(fù)計(jì)劃的測(cè)試災(zāi)難恢復(fù)計(jì)劃是一個(gè)十分復(fù)雜的文檔，通常不是一次寫成就立即成功，因此需要測(cè)試。測(cè)試的必要性不僅在于檢驗(yàn)其正確性，而且在于檢查其是否處于備用狀態(tài)。災(zāi)難恢復(fù)計(jì)劃的測(cè)試可能十分昂貴且有破壞作用。所以一個(gè)組織通常指定一些關(guān)鍵員工定期地對(duì)災(zāi)難恢復(fù)計(jì)劃進(jìn)行巡視，而且每年進(jìn)行一次全面的測(cè)試。4.災(zāi)難恢復(fù)計(jì)劃的測(cè)試安全策略的生成分成以下幾步。1.確定重要的策略對(duì)一個(gè)組織而言，并非需要所有有關(guān)安全的策略，而應(yīng)確定哪些安全策略對(duì)該組織是重要的。這取決于該組織的業(yè)務(wù)性質(zhì)。安全人員應(yīng)該識(shí)別什么是最重要的安全策略，并與系統(tǒng)管理員、人力資源部門、咨詢辦公室協(xié)作，以確定哪些策略是最重要的。3.3安全策略的使用

3.3.1安全策略的生成安全策略的生成分成以下幾步。3.3安全策略的使用

3.2.確定可接受的行為某些員工的行為是可接受的，某些卻是不可接受的，這取決于該組織的文化。例如,某些組織允許所有員工在Internet上沖浪，而沒有任何限制。組織的文化使員工及管理者相信這樣做能很好完成他們的任務(wù)。而另一個(gè)組織卻對(duì)員工訪問Internet有嚴(yán)格的限制，甚至限制從某些不可接受的Web站點(diǎn)下載軟件。這兩個(gè)組織的策略完全不同。事實(shí)上，第一個(gè)組織決定根本無須實(shí)施Internet使用策略。對(duì)安全專業(yè)人員來說應(yīng)該知道不是所有策略對(duì)所有組織都是適用的。安全專業(yè)人員在為一個(gè)組織草擬安全策略以前應(yīng)花一些時(shí)間去了解該組織的文化以及員工的期望。2.確定可接受的行為3.征求建議閉門生成安全策略是很少能成功的。安全專業(yè)人員在制定策略時(shí)應(yīng)尋求組織的其他部門的幫助。應(yīng)該征求組織的總顧問以及人力資源部門的建議，此外，系統(tǒng)管理員、計(jì)算機(jī)系統(tǒng)用戶以及物理安全部門的建議也是重要的。一般來講，凡是與實(shí)施策略有影響的人都應(yīng)參與策略的制定過程，這樣他們將了解什么是所期望的。3.征求建議4.策略的開發(fā)首先擬出一個(gè)好的綱要，可以參考一些手冊(cè)，如RFC2196場(chǎng)地安全手冊(cè)提供了各種策略的綱要。根據(jù)綱要逐節(jié)草擬策略文檔。在草擬過程中，還要不斷聽取上述有關(guān)人員的意見和建議。在策略文檔完成后，提交管理部門批準(zhǔn)和實(shí)施。4.策略的開發(fā)安全策略的生成相對(duì)來說較容易，因?yàn)橹恍杞M織少部分人介入。但要有效地部署和實(shí)施，需要全體人員介入。1.貫徹安全策略對(duì)每個(gè)部門都有影響，必須在各部門貫徹。由于在策略生成時(shí)，已征得各部門管理者的意見。這些管理者的介入大大有助于安全策略在各個(gè)部門的貫徹。這遠(yuǎn)比最高層領(lǐng)導(dǎo)強(qiáng)調(diào)安全策略的重要性、強(qiáng)調(diào)應(yīng)予以貫徹更有效。3.3.2安全策略的部署安全策略的生成相對(duì)來說較容易，因?yàn)橹恍杞M織少部分人介入。但要2.培訓(xùn)教育因?yàn)榘踩呗詫?duì)組織的全體員工都有影響，所以安全專業(yè)人員必須負(fù)責(zé)對(duì)員工進(jìn)行安全教育，人力資源部門和培訓(xùn)部門要協(xié)助進(jìn)行。特別重要的是，當(dāng)某些安全策略改變時(shí)會(huì)影響到全體員工，例如，如需更改口令，必須事先告知全體員工，否則會(huì)造成一時(shí)混亂。有時(shí)這種更改采用平滑過渡的方法更合適。3.執(zhí)行有時(shí)安全環(huán)境的突然改變會(huì)產(chǎn)生相反的效果，所以采取很好的計(jì)劃和平滑過渡會(huì)更好。安全工作要與系統(tǒng)管理部門和其他有影響的部門密切配合，使執(zhí)行更有效。2.培訓(xùn)教育1.新的系統(tǒng)及項(xiàng)目一個(gè)新的系統(tǒng)及項(xiàng)目啟動(dòng)時(shí)，就應(yīng)同時(shí)進(jìn)行安全策略的程序設(shè)計(jì)。也就是說，將安全作為新系統(tǒng)和項(xiàng)目的設(shè)計(jì)的組成部分，使得安全要求在設(shè)計(jì)之初就能被識(shí)別和實(shí)施。如果新系統(tǒng)不能滿足安全要求，該組織就要知道存在的風(fēng)險(xiǎn)，并提供某些機(jī)制來管理存在的風(fēng)險(xiǎn)。3.3.3安全策略的有效使用1.新的系統(tǒng)及項(xiàng)目3.3.3安全策略的有效使用2.已有的系統(tǒng)及項(xiàng)目當(dāng)一個(gè)新的安全策略被批準(zhǔn)后，應(yīng)該檢查每個(gè)已有的系統(tǒng)，看其是否和新的安全策略相符合。如果不符合，確定是否可采取措施來遵守新的策略。應(yīng)該和系統(tǒng)管理員以及使用該系統(tǒng)的部門一起工作，使安全作相應(yīng)的變更。這可能需要做一些開發(fā)工作，不能立即改變，會(huì)有一定的延遲。應(yīng)在經(jīng)費(fèi)和系統(tǒng)設(shè)計(jì)限制條件下，和系統(tǒng)管理員及有關(guān)部門密切配合，及時(shí)地完成變更。2.已有的系統(tǒng)及項(xiàng)目3.審計(jì)很多組織內(nèi)部的審計(jì)部門，定期地審計(jì)系統(tǒng)看其是否遵守安全策略。安全部門應(yīng)及時(shí)將新的安全策略通知給審計(jì)部門，并配合他們工作，使他們?cè)趯徲?jì)時(shí)了解這些變更。一般來說，這個(gè)變更應(yīng)是雙向的。安全部門應(yīng)向?qū)徲?jì)部門解釋安全策略如何開發(fā)以及期望達(dá)到什么樣的目標(biāo)；審計(jì)部門應(yīng)向安全部門解釋審計(jì)如何進(jìn)行以及審計(jì)的目標(biāo)。他們之間應(yīng)有某種約定，一種類型的系統(tǒng)應(yīng)考慮相應(yīng)類型的安全策略。3.審計(jì)4.安全策略的審查即使是一個(gè)好的安全策略也不是一勞永逸的。應(yīng)定期對(duì)每個(gè)策略進(jìn)行審查，看其是否仍然適合于該組織。應(yīng)對(duì)大部分策略每年審查一次。對(duì)某些程序，如事故響應(yīng)程序或?yàn)?zāi)難恢復(fù)計(jì)劃，可能需要更加頻繁的審查。在審查時(shí)，應(yīng)和所有和安全有關(guān)的部門接觸，聽取他們對(duì)現(xiàn)有的安全策略的意見和建議。對(duì)重要的問題還可召開專門的調(diào)研會(huì)。在此基礎(chǔ)上調(diào)整安全策略、申報(bào)批準(zhǔn)、開始培訓(xùn)、貫徹實(shí)施。4.安全策略的審查網(wǎng)絡(luò)安全策略執(zhí)行兩個(gè)主要任務(wù)，其一是確定在一個(gè)組織內(nèi)實(shí)施什么樣的安全；其二是讓組織內(nèi)的員工行動(dòng)一致，確定組織需要什么樣的安全。信息策略定義一個(gè)組織內(nèi)的敏感信息以及如何保護(hù)敏感信息。包括敏感信息識(shí)別、信息分類、敏感信息標(biāo)記、敏感信息存儲(chǔ)、敏感信息傳輸以及敏感信息銷毀。小結(jié)網(wǎng)絡(luò)安全策略執(zhí)行兩個(gè)主要任務(wù)，其一是確定在一個(gè)組織內(nèi)實(shí)施什么系統(tǒng)和網(wǎng)絡(luò)安全策略規(guī)定計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)設(shè)備安全的技術(shù)要求，規(guī)定系統(tǒng)或網(wǎng)絡(luò)管理員應(yīng)如何配置和安全相關(guān)的系統(tǒng)。系統(tǒng)和網(wǎng)絡(luò)管理員應(yīng)對(duì)安全策略的實(shí)施負(fù)主要責(zé)任。安全策略應(yīng)包括用戶身份及身份鑒別、訪問控制、審計(jì)、網(wǎng)絡(luò)連接、惡意碼防止、加密等。計(jì)算機(jī)用戶策略規(guī)定了誰可以使用計(jì)算機(jī)系統(tǒng)以及使用計(jì)算機(jī)系統(tǒng)的規(guī)則。包括計(jì)算機(jī)所有權(quán)、信息所有權(quán)、計(jì)算機(jī)使用許可以及沒有隱私的要求。Internet使用策略規(guī)定了如何合理地使用Internet，確定哪些是Internet的非正當(dāng)使用。系統(tǒng)和網(wǎng)絡(luò)安全策略規(guī)定計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)設(shè)備安全的技術(shù)要求，規(guī)為了切實(shí)執(zhí)行各種安全策略，還需開發(fā)各種管理程序，包括用戶管理程序、系統(tǒng)管理程序、事故響應(yīng)程序、配置管理程序、設(shè)計(jì)方法，以及災(zāi)難恢復(fù)計(jì)劃。要生成安全策略，需要確定什么是重要的策略，什么是員工可接受的行為，經(jīng)過調(diào)研最后完成。安全策略的部署需要全體員工介入，通過宣講、培訓(xùn)直到執(zhí)行。安全策略的有效使用需要將安全策略和系統(tǒng)設(shè)計(jì)同步進(jìn)行，還需要定期審計(jì)和審查。為了切實(shí)執(zhí)行各種安全策略，還需開發(fā)各種管理程序，包括用戶管理3-1什么是網(wǎng)絡(luò)安全策略執(zhí)行的主要任務(wù)？3-2網(wǎng)絡(luò)安全策略應(yīng)包含哪些內(nèi)容？3-3什么是信息策略的目的和內(nèi)容？3-4什么是計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)安全策略的目的和內(nèi)容？3-5什么是計(jì)算機(jī)用戶策略的目的和內(nèi)容？習(xí)題3-1什么是網(wǎng)絡(luò)安全策略執(zhí)行的主要任務(wù)？習(xí)題3-6什么是Internet使用策略的目的和內(nèi)容？3-7什么是系統(tǒng)管理程序的作用和內(nèi)容？3-8什么是事故響應(yīng)程序的作用和內(nèi)容？3-9什么是災(zāi)難恢復(fù)計(jì)劃的必要性及其內(nèi)容？3-10如何生成、部署和有效使用網(wǎng)絡(luò)安全策略？3-6什么是Internet使用策略的目的和內(nèi)容？第3章安全策略3.1安全策略的功能3.2安全策略的類型3.3安全策略的使用小結(jié)習(xí)題第3章安全策略3.1安全策略的功能安全策略對(duì)一個(gè)組織來說是十分重要的，是一個(gè)組織的信息安全部門能做的最重要的工作之一。它只涉及很少的技術(shù)知識(shí)，因而很多有專業(yè)技能的人似乎對(duì)其并不太重視，事實(shí)上，安全策略對(duì)他們也是非常重要的。安全策略提供一系列規(guī)則，管理和控制系統(tǒng)如何配置，組織的員工應(yīng)如何在正常的環(huán)境下行動(dòng)，而當(dāng)發(fā)生環(huán)境不正常時(shí)，應(yīng)如何反應(yīng)。安全策略執(zhí)行兩個(gè)主要任務(wù)。3.1安全策略的功能安全策略對(duì)一個(gè)組織來說是十分重要的，是一個(gè)組織的信息安全部門1.確定安全的實(shí)施安全策略確定實(shí)施什么樣的安全，具體內(nèi)容如下：（1）安全策略確定恰當(dāng)?shù)挠?jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)的配置及物理安全的措施，以及確定所使用的合理機(jī)制以保護(hù)信息和系統(tǒng)。（2）安全策略不僅確定安全的技術(shù)方面，還規(guī)定員工應(yīng)該執(zhí)行某些和安全相關(guān)的責(zé)任（例如用戶管理），以及員工在使用計(jì)算機(jī)系統(tǒng)時(shí)所要求的行為。（3）安全策略還規(guī)定當(dāng)非期望的事情發(fā)生時(shí)，組織應(yīng)如何反應(yīng)。當(dāng)一個(gè)安全事故發(fā)生，或系統(tǒng)出故障時(shí)，組織的安全策略和安全程序規(guī)定其應(yīng)做的事，以及在事故發(fā)生時(shí)，該組織的行動(dòng)目標(biāo)。1.確定安全的實(shí)施2.使員工的行動(dòng)一致對(duì)一個(gè)組織來說，確定實(shí)施什么樣的安全是重要的，然而使每個(gè)工作人員行動(dòng)一致以維護(hù)組織的安全也是同樣重要的。安全策略為一個(gè)組織的員工規(guī)定一起工作的框架。組織的安全策略和安全過程規(guī)定了安全程序的目標(biāo)和對(duì)象。將這些目標(biāo)和對(duì)象告訴員工，就為安全工作組提供了基礎(chǔ)。安全策略的類型一個(gè)組織內(nèi)的安全策略和安全程序有很多種，本節(jié)將概述常用的、有效的安全策略和安全程序。在安全策略中，一般包含3個(gè)方面：2.使員工的行動(dòng)一致（1）目的一個(gè)安全策略和安全程序應(yīng)該有一個(gè)很好定義的目的，其文本應(yīng)明確說明為什么要制定該策略和程序，及其對(duì)該組織有什么好處。（2）范圍一個(gè)安全策略和安全程序應(yīng)該有一個(gè)適用的范圍。例如，一個(gè)安全策略可適用于所有計(jì)算機(jī)和網(wǎng)絡(luò)系統(tǒng)，一個(gè)信息策略可適用于所有員工。（3）責(zé)任責(zé)任規(guī)定誰負(fù)責(zé)該文本的實(shí)施。不管誰負(fù)有責(zé)任，都必須經(jīng)過很好的培訓(xùn)，明白文本的各項(xiàng)要求。（1）目的信息策略定義一個(gè)組織內(nèi)的敏感信息以及如何保護(hù)敏感信息。策略覆蓋該組織內(nèi)的全部敏感信息。每個(gè)員工有責(zé)任保護(hù)所有接觸的敏感信息。識(shí)別敏感信息根據(jù)該組織的業(yè)務(wù)，考慮哪些是敏感信息。敏感信息有可能包括經(jīng)營業(yè)務(wù)記錄、產(chǎn)品設(shè)計(jì)、專利信息、公司電話簿等。3.2安全策略的類型

3.2.1信息策略信息策略定義一個(gè)組織內(nèi)的敏感信息以及如何保護(hù)敏感信息。策略覆某些信息對(duì)所有組織都是敏感信息，包括工資信息、員工家庭住址和電話號(hào)碼、醫(yī)療保險(xiǎn)信息、任何在公開以前的財(cái)務(wù)信息等。值得指出的是，對(duì)一個(gè)組織來說，不是所有信息在所有時(shí)間都是敏感的。必須根據(jù)安全策略和安全程序很小心地確定什么是敏感信息。2.信息分類對(duì)大部分組織而言，通常將信息分成二或三級(jí)已足夠了，具體如下：（1）最低級(jí)別的信息應(yīng)該是公開的，也就是說，這些信息已為人所知，或能公開發(fā)表。某些信息對(duì)所有組織都是敏感信息，包括工資信息、員工家庭住址和（2）再上一級(jí)的信息是不公開發(fā)表的，這些信息稱為“私有”、“公司敏感”或“公司秘密”。這類信息對(duì)本組織員工是公開的，對(duì)某些組織外的人員需簽不擴(kuò)散協(xié)議才能得到。如果這些信息被公開或被競(jìng)爭者得到，就有損于該組織。（3）第三類信息稱為“限制”或“保護(hù)”。這類信息被嚴(yán)格限制在一個(gè)組織內(nèi)的很有限的員工范圍內(nèi)，不能向組織內(nèi)的全體員工發(fā)布，更不能被組織外的人得到。3.敏感信息標(biāo)記對(duì)于非公開信息，安全策略應(yīng)將各類敏感信息清楚地加上標(biāo)記。如果以紙張的形式出現(xiàn)，應(yīng)在每頁的頂部和底部加標(biāo)記，用字處理的頁首、頁腳來實(shí)現(xiàn)。通常用醒目的大寫或斜體字標(biāo)記。（2）再上一級(jí)的信息是不公開發(fā)表的，這些信息稱為“私有”、4.敏感信息存儲(chǔ)安全策略對(duì)存儲(chǔ)在紙上或計(jì)算機(jī)系統(tǒng)中的敏感信息都應(yīng)有相應(yīng)的規(guī)定。當(dāng)信息存儲(chǔ)在計(jì)算機(jī)系統(tǒng)中，安全策略規(guī)定相應(yīng)的保護(hù)級(jí)別。可以是文件的訪問控制，或?qū)δ承╊愋臀募煤线m的口令保護(hù)。極端情況需要加密措施。應(yīng)該記住，系統(tǒng)管理員能看到計(jì)算機(jī)系統(tǒng)中的所有文本。如果該敏感信息不應(yīng)被系統(tǒng)員知道，只有采取加密措施。4.敏感信息存儲(chǔ)5.敏感信息傳輸信息策略必須確定如何傳輸敏感信息?？梢杂貌煌椒▊鬏斝畔ⅲ珉娮余]件、通過郵局郵寄、傳真等。信息策略應(yīng)對(duì)每種傳輸方法確定保護(hù)方法。對(duì)通過電子郵件傳送的敏感信息，安全策略應(yīng)規(guī)定對(duì)用附件方式的文件或報(bào)文頭進(jìn)行加密。對(duì)硬拷貝信息的傳送，需要簽收收據(jù)的方式。對(duì)傳真方式的傳送，發(fā)送者需要用電話事先通知接收者等候在傳真機(jī)旁。5.敏感信息傳輸6.敏感信息銷毀留在紙上的敏感信息必須有相應(yīng)的銷毀方法。存儲(chǔ)在計(jì)算機(jī)系統(tǒng)中的敏感信息，如果刪除得不合適，仍有可能恢復(fù)。某些商業(yè)程序已有更安全的方法，將敏感信息從介質(zhì)中擦去。6.敏感信息銷毀安全策略規(guī)定計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)設(shè)備安全的技術(shù)要求，規(guī)定系統(tǒng)或網(wǎng)絡(luò)管理員應(yīng)如何配置與安全相關(guān)的系統(tǒng)。這個(gè)配置也會(huì)影響用戶。系統(tǒng)和網(wǎng)絡(luò)管理員應(yīng)對(duì)安全策略的實(shí)施負(fù)主要責(zé)任。安全策略應(yīng)定義每個(gè)系統(tǒng)實(shí)施時(shí)的要求，然而它不應(yīng)規(guī)定對(duì)不同操作系統(tǒng)的專門配置，這屬于專門配置的過程。3.2.2系統(tǒng)和網(wǎng)絡(luò)安全策略安全策略規(guī)定計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)設(shè)備安全的技術(shù)要求，規(guī)定系統(tǒng)或網(wǎng)1.用戶身份及身份鑒別安全策略應(yīng)確定如何識(shí)別用戶。通常安全策略應(yīng)規(guī)定用于用戶ID的標(biāo)準(zhǔn)或定義標(biāo)準(zhǔn)的系統(tǒng)管理過程。更為重要的是，安全策略應(yīng)確定對(duì)系統(tǒng)用戶或管理員的基本的鑒別機(jī)制。如果機(jī)制是口令，則安全策略還應(yīng)規(guī)定最小的口令字長、最長和最短的口令生存期以及口令內(nèi)容的要求。當(dāng)開發(fā)安全策略時(shí)，每個(gè)組織還應(yīng)決定是對(duì)管理員采用相同的機(jī)制，還是更強(qiáng)的機(jī)制。如果需要更強(qiáng)的機(jī)制，安全策略應(yīng)確定相應(yīng)的安全要求。更強(qiáng)的機(jī)制對(duì)諸如VPN或撥號(hào)訪問這些遠(yuǎn)程訪問也是適用的。1.用戶身份及身份鑒別2.訪問控制安全策略應(yīng)確定對(duì)電子文件的訪問控制的標(biāo)準(zhǔn)要求，具體如下：（1）在確定機(jī)制時(shí)，對(duì)計(jì)算機(jī)上的每個(gè)文件，用戶定義的訪問控制的某些方式應(yīng)是可用的。這個(gè)機(jī)制應(yīng)和身份鑒別機(jī)制一起工作，以確保只有授權(quán)用戶能訪問文件。該機(jī)制至少應(yīng)能確定什么樣的用戶有讀、寫、執(zhí)行文件的許可。（2）對(duì)新文件的默認(rèn)配置應(yīng)說明當(dāng)新文件生成時(shí)應(yīng)如何建立許可。這部分安全策略應(yīng)對(duì)給出的系統(tǒng)中的文件確定讀、寫、執(zhí)行的許可。2.訪問控制3.審計(jì)安全策略的審計(jì)部分應(yīng)確定所有系統(tǒng)上需要審計(jì)的事件類型。通常安全策略需對(duì)下列事件進(jìn)行審計(jì)：成功或失敗的登錄、退出系統(tǒng)、對(duì)文件或系統(tǒng)的訪問失敗、成功或失敗的遠(yuǎn)程訪問、特權(quán)操作（由管理員操作，成功或失?。?、系統(tǒng)事件（關(guān)機(jī)或重啟）。對(duì)每個(gè)事件應(yīng)捕獲下列信息：用戶ID、日期和時(shí)間、進(jìn)程ID、執(zhí)行的動(dòng)作、事件的成功或失敗。安全策略應(yīng)說明審計(jì)記錄應(yīng)保存多久以及如何存放。如有可能，安全策略還應(yīng)確定如何檢查審計(jì)記錄以及檢查的時(shí)間間隔。3.審計(jì)4.網(wǎng)絡(luò)連接對(duì)每一種接到組織網(wǎng)絡(luò)的連接形式，安全策略應(yīng)說明連接的規(guī)則以及保護(hù)機(jī)制。對(duì)撥號(hào)連接，應(yīng)說明對(duì)這類連接技術(shù)的鑒別要求。該要求應(yīng)指回到策略的身份鑒別這一部分。也可能描述一個(gè)比通常使用的更強(qiáng)的身份鑒別。此外，安全策略應(yīng)確定開始得到撥號(hào)訪問的身份鑒別要求。對(duì)一個(gè)組織來說，應(yīng)嚴(yán)格控制允許多少個(gè)撥號(hào)訪問點(diǎn)，因此應(yīng)公平地限制身份鑒別的要求。4.網(wǎng)絡(luò)連接一個(gè)組織的固定網(wǎng)絡(luò)連接是由某些類型的固定通信線路接入的。安全策略應(yīng)確定用于這些連接的安全設(shè)備類型。通常防火墻是合適的設(shè)備。僅僅說明設(shè)備類型并不意味著說明了相應(yīng)的保護(hù)級(jí)別。安全策略應(yīng)定義一個(gè)設(shè)備的基本網(wǎng)絡(luò)訪問控制策略以及請(qǐng)求和得到訪問的過程。這些在標(biāo)準(zhǔn)的配置中是沒有的。對(duì)內(nèi)部系統(tǒng)的遠(yuǎn)程訪問是組織允許員工在外出時(shí)從外部訪問內(nèi)部系統(tǒng)。安全策略應(yīng)說明這類訪問所采用的機(jī)制。對(duì)這類訪問，所有的通信應(yīng)加密保護(hù)，并在加密部分說明密碼類型。因?yàn)樵L問來自外部，應(yīng)確定一個(gè)強(qiáng)的身份鑒別機(jī)制。安全策略還應(yīng)對(duì)允許員工得到這類訪問的授權(quán)建立一個(gè)正確的過程。一個(gè)組織的固定網(wǎng)絡(luò)連接是由某些類型的固定通信線路接入的。安全5.惡意代碼安全策略應(yīng)確定搜索惡意代碼（如病毒、特洛伊木馬）的安全程序的存放位置。合適的位置包括文件服務(wù)器、桌面系統(tǒng)以及電子郵件服務(wù)器等。安全策略應(yīng)說明這些安全程序的要求，包括檢查專門的文件系統(tǒng)的安全程序要求以及當(dāng)這些文件打開時(shí)檢查這些文件。策略還應(yīng)要求對(duì)安全程序周期地更新簽名。5.惡意代碼6.加密安全策略應(yīng)確定使用在組織內(nèi)的可接受的加密算法，在信息策略中指出保護(hù)敏感信息的相應(yīng)算法。安全策略不限制僅僅選擇一種算法。安全策略還應(yīng)說明密鑰管理需要的過程。6.加密計(jì)算機(jī)用戶策略規(guī)定了誰可以使用計(jì)算機(jī)系統(tǒng)以及使用計(jì)算機(jī)系統(tǒng)的規(guī)則。1.計(jì)算機(jī)所有權(quán)策略應(yīng)清楚地說明所有計(jì)算機(jī)屬于本組織，并且提供給員工在組織內(nèi)用于工作相一致的用途。策略也可能禁止使用非組織的計(jì)算機(jī)用于組織的經(jīng)營業(yè)務(wù)。例如，員工希望在家里做某些工作，組織將為其提供計(jì)算機(jī)，但只有組織提供的計(jì)算機(jī)可通過遠(yuǎn)程訪問系統(tǒng)接到組織內(nèi)部的計(jì)算機(jī)系統(tǒng)。3.2.3計(jì)算機(jī)用戶策略計(jì)算機(jī)用戶策略規(guī)定了誰可以使用計(jì)算機(jī)系統(tǒng)以及使用計(jì)算機(jī)系統(tǒng)的2.信息所有權(quán)策略應(yīng)規(guī)定所有存儲(chǔ)并用于組織內(nèi)的計(jì)算機(jī)的信息屬于組織所有。某些員工可能使用組織的計(jì)算機(jī)存儲(chǔ)個(gè)人信息，如果策略沒有特殊說明，則個(gè)人信息可分開存在私人目錄下，并且非公開的。3.計(jì)算機(jī)的使用許可大部分組織期望員工只使用組織提供的計(jì)算機(jī)，用于和工作有關(guān)的目的。但這不總是一個(gè)很好的假定。因此在策略中要明確說明。有時(shí)，組織允許員工為了其他目的使用組織的計(jì)算機(jī)。如果是這樣，應(yīng)在策略中清楚說明。使用組織提供的計(jì)算機(jī)還影響到什么軟件加載到系統(tǒng)。規(guī)定非授權(quán)軟件不允許裝入系統(tǒng)。策略應(yīng)規(guī)定誰可以裝載授權(quán)軟件以及怎樣成為合法軟件。2.信息所有權(quán)4.沒有私隱的要求計(jì)算機(jī)用戶策略中最重要的部分或許是規(guī)定在任何組織的計(jì)算機(jī)存儲(chǔ)、讀出、接收的信息都沒有隱私。這對(duì)員工是十分重要的，他們應(yīng)了解任何信息有可能被管理員檢查，包括電子郵件。也就是說，使員工了解管理員或安全職員可能監(jiān)視所有和計(jì)算機(jī)相關(guān)的動(dòng)作，包括監(jiān)視Web站點(diǎn)。4.沒有私隱的要求Internet使用策略經(jīng)常包括在通用計(jì)算機(jī)使用策略中。然而，由于Internet的特殊性，有時(shí)將它作為單獨(dú)的策略。Internet的接入可以提高員工的工作效率。但I(xiàn)nternet也給員工提供了一個(gè)濫用計(jì)算機(jī)資源的機(jī)會(huì)。Internet使用策略規(guī)定了如何合理地使用Internet，諸如和業(yè)務(wù)有關(guān)的研究、采購，或使用電子郵件通信等；確定哪些是非正當(dāng)使用，諸如訪問和業(yè)務(wù)無關(guān)的Web站點(diǎn)、下載有版權(quán)的軟件、音樂文件的交易、發(fā)送連鎖郵件等。3.2.4Internet使用策略Internet使用策略經(jīng)常包括在通用計(jì)算機(jī)使用策略中。然而假如該策略是從計(jì)算機(jī)用戶策略分離出來的，它應(yīng)說明組織有可能監(jiān)視員工對(duì)Internet的使用，當(dāng)員工使用Internet時(shí)，沒有隱私的問題。假如該策略是從計(jì)算機(jī)用戶策略分離出來的，它應(yīng)說明組織有可能監(jiān)有些組織為電子郵件的使用開發(fā)了專門的策略。電子郵件正越來越多地用于組織的業(yè)務(wù)處理。電子郵件是使組織的敏感信息毫無價(jià)值的另一種方法。當(dāng)一個(gè)組織選擇定義電子郵件策略時(shí)，應(yīng)考慮到內(nèi)外兩方面的問題。3.2.5郵件策略有些組織為電子郵件的使用開發(fā)了專門的策略。電子郵件正越來越多1.內(nèi)部郵件問題電子郵件策略不應(yīng)和其他的人力資源策略相沖突。例如，電子郵件策略應(yīng)規(guī)定禁止利用電子郵件進(jìn)行性騷擾；又如，規(guī)定在電子郵件中不用非正式用語和同伴通信。如果組織要對(duì)電子郵件的某些關(guān)鍵字或附件進(jìn)行監(jiān)控，則策略應(yīng)說明這類監(jiān)控可能發(fā)生。策略還應(yīng)對(duì)員工說明不能期望在電子郵件中有隱私。1.內(nèi)部郵件問題2.外部郵件問題電子郵件可能包含一些敏感信息。郵件策略說明在什么條件下是可以接受的，并且在信息策略中指出該類信息應(yīng)如何保護(hù)。也可能在外部郵件的底部指出相應(yīng)的信息必須保護(hù)。郵件策略還應(yīng)識(shí)別進(jìn)入的電子郵件問題。例如，很多組織測(cè)試進(jìn)入的文件附件是否有病毒。該策略應(yīng)指向組織的安全策略關(guān)于相應(yīng)的病毒配置問題。2.外部郵件問題用戶管理程序是最容易被組織忽視的安全程序，因而提供了最大風(fēng)險(xiǎn)的可能。保護(hù)系統(tǒng)不被非授權(quán)者使用的安全機(jī)制是一個(gè)很好的事情，但是如計(jì)算機(jī)系統(tǒng)的使用沒有合適的管理也將使其完全無用。1.新員工程序應(yīng)為新員工提供一個(gè)正確訪問計(jì)算機(jī)資源的程序。應(yīng)該由人力資源部門和系統(tǒng)管理員協(xié)同工作。理想的狀況是新員工請(qǐng)求使用計(jì)算機(jī)資源，該新員工的管理者簽發(fā)批準(zhǔn)，然后系統(tǒng)管理員將為該新員工提供合適的系統(tǒng)和文件的訪問。這個(gè)程序也應(yīng)用于新的顧問和臨時(shí)員工，并標(biāo)明相應(yīng)的有效期。3.2.6用戶管理程序用戶管理程序是最容易被組織忽視的安全程序，因而提供了最大風(fēng)險(xiǎn)2.工作調(diào)動(dòng)的員工程序?qū)ぷ髡{(diào)動(dòng)的員工也應(yīng)開發(fā)一個(gè)專門的程序。這個(gè)程序的開發(fā)由人力資源和系統(tǒng)管理部門協(xié)助。員工原來的管理和新管理者應(yīng)確定換到新崗位上的員工已經(jīng)不需要原來的訪問或者需要新的訪問。相應(yīng)的系統(tǒng)管理員依此進(jìn)行變更。3.離職員工的程序最重要的用戶管理程序是將離職的員工從系統(tǒng)中除去。該程序也需人力資源和系統(tǒng)管理部門協(xié)助。當(dāng)人力資源部認(rèn)定一個(gè)員工離職，將提前通知相應(yīng)的系統(tǒng)管理員，這樣當(dāng)該員工在職的最后一天就可將其賬戶停止。2.工作調(diào)動(dòng)的員工程序系統(tǒng)管理程序是確定安全和系統(tǒng)管理如何配合工作以使組織的系統(tǒng)安全。系統(tǒng)管理程序應(yīng)確定各種和安全相關(guān)的系統(tǒng)管理如何完成。當(dāng)談及系統(tǒng)管理員監(jiān)控網(wǎng)絡(luò)的能力時(shí)，該程序應(yīng)由計(jì)算機(jī)用戶策略確定，并反映組織期望系統(tǒng)如何管理。1.軟件更新該程序應(yīng)確定一個(gè)系統(tǒng)管理員多長時(shí)間檢查新的補(bǔ)丁或從廠家升級(jí)。希望這些新的補(bǔ)丁不是當(dāng)出現(xiàn)時(shí)剛剛安裝，這樣在補(bǔ)丁安裝之前就規(guī)定測(cè)試。最后，當(dāng)這樣的升級(jí)發(fā)生時(shí)（通常在維護(hù)窗口）該程序應(yīng)做文檔，當(dāng)升級(jí)失敗時(shí)放棄程序。3.2.7系統(tǒng)管理程序系統(tǒng)管理程序是確定安全和系統(tǒng)管理如何配合工作以使組織的系統(tǒng)安2.漏洞掃描每個(gè)組織應(yīng)開發(fā)一個(gè)識(shí)別計(jì)算機(jī)系統(tǒng)漏洞的程序。通常由安全方面掃描漏洞，由系統(tǒng)管理做補(bǔ)丁。已有一些商業(yè)的和免費(fèi)使用的掃描工具。程序應(yīng)確定多長間隔需進(jìn)行掃描。掃描的結(jié)果應(yīng)傳給系統(tǒng)管理來糾錯(cuò)和執(zhí)行。3.策略檢查組織的安全策略確定每個(gè)系統(tǒng)的安全要求。定期的外部或內(nèi)部審計(jì)用來檢查是否和策略一致。在審計(jì)時(shí)，安全應(yīng)和系統(tǒng)管理一起工作以檢查系統(tǒng)的一致?？梢杂米詣?dòng)的工具，也可以用手動(dòng)進(jìn)行。2.漏洞掃描4.登錄檢查來自各種系統(tǒng)的登錄應(yīng)定期檢查?？梢院桶踩珕T一起以自動(dòng)方式檢查這些登錄。如采用自動(dòng)工具，程序應(yīng)規(guī)定工具的配置以及希望它如何處理。如采用手動(dòng)方式，程序應(yīng)規(guī)定多長間隔檢查登錄文件以及事件類型等。5.常規(guī)監(jiān)控一個(gè)組織應(yīng)該有一個(gè)程序歸檔說明何時(shí)網(wǎng)絡(luò)通信監(jiān)控發(fā)生。有些組織可能選擇連續(xù)執(zhí)行這種類型的監(jiān)控，有些則選擇隨機(jī)監(jiān)控。無論如何，總應(yīng)進(jìn)行監(jiān)控，且歸檔。4.登錄檢查當(dāng)計(jì)算機(jī)事故發(fā)生時(shí)，事故響應(yīng)程序確定該組織將如何作出反應(yīng)。根據(jù)事故的不同，事故響應(yīng)程序應(yīng)確定誰有權(quán)處理，以及應(yīng)該做什么，但無須說明如何做。后者將留給處理事故的人決定。1.事故處理目標(biāo)當(dāng)處理事故時(shí)，事故響應(yīng)程序應(yīng)確定該組織的目標(biāo)，包括保護(hù)組織的系統(tǒng)、保護(hù)組織的信息、恢復(fù)運(yùn)行、起訴肇事者、減少壞的宣傳等。這些目標(biāo)不是惟一的，可以有多個(gè)目標(biāo)。關(guān)鍵是要在事故發(fā)生前確定組織的目標(biāo)。3.2.8事故響應(yīng)程序當(dāng)計(jì)算機(jī)事故發(fā)生時(shí)，事故響應(yīng)程序確定該組織將如何作出反應(yīng)。根2.事件識(shí)別識(shí)別一個(gè)事故或許是事故響應(yīng)中最困難的一部分。某些事故是顯而易見的，如Web站點(diǎn)的外貌被損壞。有些事故可能是由于入侵攻擊或用戶的誤操作，如數(shù)據(jù)文件的丟失。在公布事故以前，應(yīng)由系統(tǒng)管理員做某些檢查，以決定事故是否確實(shí)發(fā)生了。這部分程序能確定某些事件是顯而易見的事故。而某些不是顯而易見的事故，管理員應(yīng)確定檢查的步驟。在得到?jīng)Q定事故的更多信息后，應(yīng)組織一個(gè)事故響應(yīng)組，應(yīng)包括以下部門：安全、系統(tǒng)管理、法律、人力資源、公共關(guān)系等。2.事件識(shí)別3.信息控制在發(fā)布事故消息時(shí)，組織要控制應(yīng)發(fā)布什么樣的信息。有多少信息需發(fā)布取決于該事故對(duì)組織及其客戶的影響程度。信息發(fā)布的方式、方法也應(yīng)考慮對(duì)組織的正面效應(yīng)。4.響應(yīng)一個(gè)組織對(duì)事故流的響應(yīng)直接取決于事故響應(yīng)程序的目標(biāo)。例如，保護(hù)系統(tǒng)和信息是目標(biāo)，那么將系統(tǒng)從網(wǎng)絡(luò)中移走，并進(jìn)行必要的修復(fù)。另一種情況可能是保持系統(tǒng)在網(wǎng)上的在線狀態(tài)以及繼續(xù)服務(wù)或允許入侵者再回來，這樣可對(duì)入侵者跟蹤并設(shè)置陷阱。3.信息控制5.授權(quán)事故響應(yīng)的一個(gè)重要部分是決定事故響應(yīng)組的負(fù)責(zé)人，授權(quán)采取行動(dòng)，包括確定系統(tǒng)是否要離線，以及和客戶、新聞機(jī)構(gòu)、律師部門聯(lián)系等。通常選擇一個(gè)組織的官員來擔(dān)任，他可以是事故響應(yīng)組的成員，也可以是顧問。負(fù)責(zé)人在事故響應(yīng)程序開發(fā)時(shí)就要作出決定，而不是事故發(fā)生時(shí)決定。6.文檔事故響應(yīng)程序應(yīng)該規(guī)定事故響應(yīng)組建立其行動(dòng)檔案。有兩個(gè)好處，其一是有助于事故過后了解所發(fā)生的事件全過程；其二是如果要起訴，則有助于法律實(shí)施，對(duì)事故響應(yīng)組也可作為一本參考手冊(cè)，有助于他們處理事故。5.授權(quán)7.程序的測(cè)試事故響應(yīng)是很實(shí)際的，不能期望第一次使用事故響應(yīng)程序，每一件事都很完美。因此當(dāng)開發(fā)完事故響應(yīng)程序后，應(yīng)廣泛征求意見，找出其不足之處并改進(jìn)。事故響應(yīng)程序還需在現(xiàn)實(shí)世界中測(cè)試，可以做一些模擬攻擊，并觀察其響應(yīng)效果。這些測(cè)試可事先公布，也可不公布。7.程序的測(cè)試配置管理程序規(guī)定修改組織的計(jì)算機(jī)系統(tǒng)狀態(tài)的步驟。該程序的目的是確定合適的變化不會(huì)對(duì)安全事故的識(shí)別產(chǎn)生不好的影響。因此新的配置要從安全的角度予以檢查。1.系統(tǒng)的初始狀態(tài)對(duì)于一個(gè)新的系統(tǒng)，它的狀態(tài)應(yīng)有文檔，包括操作系統(tǒng)及其版本、補(bǔ)丁水平、應(yīng)用程序及其版本。2.變更的控制程序當(dāng)系統(tǒng)變更時(shí)，應(yīng)執(zhí)行配置控制程序。該程序應(yīng)在變更實(shí)施前對(duì)計(jì)劃的變更進(jìn)行測(cè)試。當(dāng)提出變更請(qǐng)求時(shí)，應(yīng)將變更前后的程序存檔。在變更以后，應(yīng)更新系統(tǒng)配置以反映系統(tǒng)的新的狀態(tài)。3.2.9配置管理程序配置管理程序規(guī)定修改組織的計(jì)算機(jī)系統(tǒng)狀態(tài)的步驟。該程序的目的對(duì)生成新系統(tǒng)或能力的項(xiàng)目應(yīng)有一個(gè)設(shè)計(jì)方法，以提供該組織生成新的系統(tǒng)的步驟。在設(shè)計(jì)之初就要考慮和安全有關(guān)的問題，使最后完成的系統(tǒng)能和安全問題相一致。設(shè)計(jì)過程中，與安全相關(guān)的步驟如下：（1）需求定義在任何一個(gè)項(xiàng)目的需求定義階段，應(yīng)將安全需求列入。設(shè)計(jì)方法應(yīng)指出組織的安全策略和信息策略的要求。特別是要確定敏感信息和關(guān)鍵信息的要求。3.2.10設(shè)計(jì)方法對(duì)生成新系統(tǒng)或能力的項(xiàng)目應(yīng)有一個(gè)設(shè)計(jì)方法，以提供該組織生成新（2）設(shè)計(jì)在項(xiàng)目的設(shè)計(jì)階段，設(shè)計(jì)方法應(yīng)確保項(xiàng)目是安全的。安全人員應(yīng)成為設(shè)計(jì)組成員或作為項(xiàng)目設(shè)計(jì)審查人員。在設(shè)計(jì)中對(duì)不能滿足安全要求之處應(yīng)特別指出，并予以妥善解決。（3）測(cè)試當(dāng)項(xiàng)目進(jìn)入測(cè)試階段，應(yīng)同時(shí)進(jìn)行安全測(cè)試。安全人員應(yīng)協(xié)助編寫測(cè)試計(jì)劃。安全要求有可能難以測(cè)試，例如，難以測(cè)試以確定入侵者不可能看到敏感信息。（4）實(shí)施項(xiàng)目實(shí)施階段同樣有安全要求。實(shí)施組應(yīng)使用合適的配置管理程序。在新系統(tǒng)成為產(chǎn)品以前，安全人員應(yīng)檢查系統(tǒng)的漏洞和合適的安全策略規(guī)則。（2）設(shè)計(jì)每個(gè)組織都應(yīng)有一個(gè)災(zāi)難恢復(fù)計(jì)劃。然而，很多組織卻沒有，因?yàn)樗麄冋J(rèn)為災(zāi)難恢復(fù)計(jì)劃要花很多錢，需要建立一個(gè)熱備站，配置場(chǎng)地和必要的設(shè)備，以便隨時(shí)接替運(yùn)行。事實(shí)上，災(zāi)難恢復(fù)計(jì)劃并不一定需要這樣的熱備站，可以是很簡單的一些措施。只有當(dāng)很多甚至全部計(jì)算機(jī)系統(tǒng)不可用，要決定該組織如何繼續(xù)運(yùn)行時(shí)，才會(huì)比較復(fù)雜。一個(gè)恰當(dāng)?shù)臑?zāi)難恢復(fù)計(jì)劃應(yīng)考慮各種故障的級(jí)別：單個(gè)系統(tǒng)、數(shù)據(jù)中心、整個(gè)系統(tǒng)。3.2.11災(zāi)難恢復(fù)計(jì)劃每個(gè)組織都應(yīng)有一個(gè)災(zāi)難恢復(fù)計(jì)劃。然而，很多組織卻沒有，因?yàn)樗?.單個(gè)系統(tǒng)或設(shè)備故障單個(gè)系統(tǒng)或設(shè)備故障包括盤、主板、網(wǎng)絡(luò)接口卡、元件的故障。作為災(zāi)難恢復(fù)計(jì)劃的一部分，應(yīng)該檢查組織的環(huán)境以識(shí)別任何單個(gè)系統(tǒng)或設(shè)備故障的影響。對(duì)每個(gè)故障，應(yīng)在可允許的時(shí)間內(nèi)修復(fù)并恢復(fù)運(yùn)行?！翱稍试S的時(shí)間”是根據(jù)對(duì)系統(tǒng)的關(guān)鍵程度以及解決方案所花的費(fèi)用而定。不論什么樣的解決方案，災(zāi)難恢復(fù)計(jì)劃必須能修復(fù)故障，使系統(tǒng)繼續(xù)運(yùn)行。災(zāi)難恢復(fù)計(jì)劃必須和組織的運(yùn)行部門結(jié)合，使他們知道應(yīng)采取什么步驟恢復(fù)系統(tǒng)運(yùn)行。1.單個(gè)系統(tǒng)或設(shè)備故障2.數(shù)據(jù)中心事件災(zāi)難恢復(fù)計(jì)劃還為數(shù)據(jù)中心的主要事件提供一個(gè)程序。例如，發(fā)生火災(zāi)，數(shù)據(jù)中心不能使用，應(yīng)采取什么步驟重新恢復(fù)其能力。其中必須解決的一個(gè)問題是有可能丟失設(shè)備，災(zāi)難恢復(fù)計(jì)劃應(yīng)包括如何得到備用的設(shè)備。假如數(shù)據(jù)中心不能用了，但仍有一些設(shè)備完好，災(zāi)難恢復(fù)計(jì)劃應(yīng)考慮如何添加新的設(shè)備以及如何重建通信線路。熱備站是一種解決方案，但費(fèi)錢。如果沒有熱備站，災(zāi)難恢復(fù)計(jì)劃應(yīng)確定其他可能的場(chǎng)地，重新建造計(jì)算機(jī)系統(tǒng)。2.數(shù)據(jù)中心事件3.場(chǎng)地破壞事件場(chǎng)地破壞事件是災(zāi)難恢復(fù)計(jì)劃通常需要考慮的一類事件。雖然這類事件發(fā)生的概率較小，但對(duì)一個(gè)組織的危害極大。對(duì)每類事件，組織的每個(gè)部門都應(yīng)參與。第一步是識(shí)別必須重建的關(guān)鍵能力，以使該組織繼續(xù)生存。如果是一個(gè)電子商務(wù)站點(diǎn)，則最關(guān)鍵的系統(tǒng)可能是計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)。如果是生產(chǎn)產(chǎn)品的工廠，則制造部門是關(guān)鍵，它的優(yōu)先度高于計(jì)算機(jī)系統(tǒng)。3.場(chǎng)地破壞事件4.災(zāi)難恢復(fù)計(jì)劃的測(cè)試災(zāi)難恢復(fù)計(jì)劃是一個(gè)十分復(fù)雜的文檔，通常不是一次寫成就立即成功，因此需要測(cè)試。測(cè)試的必要性不僅在于檢驗(yàn)其正確性，而且在于檢查其是否處于備用狀態(tài)。災(zāi)難恢復(fù)計(jì)劃的測(cè)試可能十分昂貴且有破壞作用。所以一個(gè)組織通常指定一些關(guān)鍵員工定期地對(duì)災(zāi)難恢復(fù)計(jì)劃進(jìn)行巡視，而且每年進(jìn)行一次全面的測(cè)試。4.災(zāi)難恢復(fù)計(jì)劃的測(cè)試安全策略的生成分成以下幾步。1.確定重要的策略對(duì)一個(gè)組織而言，并非需要所有有關(guān)安全的策略，而應(yīng)確定哪些安全策略對(duì)該組織是重要的。這取決于該組織的業(yè)務(wù)性質(zhì)。安全人員應(yīng)該識(shí)別什么是最重要的安全策略，并與系統(tǒng)管理員、人力資源部門、咨詢辦公室協(xié)作，以確定哪些策略是最重要的。3.3安全策略的使用

3.3.1安全策略的生成安全策略的生成分成以下幾步。3.3安全策略的使用

3.2.確定可接受的行為某些員工的行為是可接受的，某些卻是不可接受的，這取決于該組織的文化。例如,某些組織允許所有員工在Internet上沖浪，而沒有任何限制。組織的文化使員工及管理者相信這樣做能很好完成他們的任務(wù)。而另一個(gè)組織卻對(duì)員工訪問Internet有嚴(yán)格的限制，甚至限制從某些不可接受的Web站點(diǎn)下載軟件。這兩個(gè)組織的策略完全不同。事實(shí)上，第一個(gè)組織決定根本無須實(shí)施Internet使用策略。對(duì)安全專業(yè)人員來說應(yīng)該知道不是所有策略對(duì)所有組織都是適用的。安全專業(yè)人員在為一個(gè)組織草擬安全策略以前應(yīng)花一些時(shí)間去了解該組織的文化以及員工的期望。