信息安全管理重點(diǎn)

信息安全管理弟一章什么是信息安全？答：在網(wǎng)絡(luò)基礎(chǔ)上其安全定義是：保護(hù)信息系統(tǒng)的硬件，軟件及相關(guān)數(shù)據(jù)，是指不因偶然或惡意侵犯而遭受破壞，更改及泄露，保證信息系統(tǒng)能夠連續(xù)，可靠，正常的運(yùn)行。在商業(yè)和經(jīng)濟(jì)領(lǐng)域：消減并控制風(fēng)險(xiǎn)，保持業(yè)務(wù)操作的連續(xù)性，并將風(fēng)險(xiǎn)造成的損失和影響降到最低。敘述信息安全管理的內(nèi)容。答：包括指定信息安全政策，風(fēng)險(xiǎn)評(píng)估，控制目標(biāo)，選擇方式，制定規(guī)范的操作流程，對(duì)人員進(jìn)行安全意識(shí)培訓(xùn)等一系列工作。弟二章信息安全管理體系(ISMS)是組織在整體或特定范圍內(nèi)建立的信息安全方針和目標(biāo)，以及完善這些目標(biāo)所用的方法和手段所構(gòu)成的體系；ISMS的作用一、強(qiáng)化員工的信息安全意識(shí)，規(guī)范組織信息安全行為；二、 促使管理層貫徹信息安全保障體系；三、 對(duì)組織的關(guān)鍵信息字長(zhǎng)進(jìn)行全面的系統(tǒng)保護(hù)，維持競(jìng)爭(zhēng)優(yōu)勢(shì)；四、 在信息組織受到侵襲時(shí)，確保業(yè)務(wù)持續(xù)開(kāi)張并將損失降到最低；五、 使組織的生意伙伴和客戶(hù)對(duì)組織充滿(mǎn)信心；六、 如果通過(guò)體系認(rèn)證，表明體系符合標(biāo)準(zhǔn)，證明組織有能力保障重要信息，可以提高組織的知名度和信任度。建立ISMS的步驟1。信息安全管理體系的策劃與準(zhǔn)備；信息安全管理體系文件的編制；建立信息安全體系框架；信息安全管理體系的運(yùn)行；信息安全管理體系的審核；信息安全管理體系的管理評(píng)審；SSE-CMM將安全工程劃分為3個(gè)基本的過(guò)程區(qū)域，即風(fēng)險(xiǎn)，工程，和保證；即風(fēng)險(xiǎn)，工程，和保證；其含義?風(fēng)險(xiǎn)就是有害事件發(fā)生的可能性；工程：是一個(gè)包括概念，設(shè)計(jì)，實(shí)現(xiàn)，測(cè)試，部署，運(yùn)行，維護(hù)和退出的完整過(guò)程。保證：安全需求得到滿(mǎn)足的信任程度；PCDA的含義：P(PLAN)計(jì)劃，確定方針和目標(biāo)，確定活動(dòng)的計(jì)劃；D、實(shí)施，采取實(shí)際措施，事先計(jì)劃中的內(nèi)容；C、檢查，檢查并總結(jié)執(zhí)行計(jì)劃的結(jié)果，評(píng)價(jià)效果，找出問(wèn)題；A、行動(dòng)，對(duì)檢查總結(jié)的結(jié)果進(jìn)行處理，成果的經(jīng)驗(yàn)加以肯定并適當(dāng)推廣，標(biāo)準(zhǔn)化；失敗的教訓(xùn)加以總結(jié)，以免重現(xiàn)；g―*M弟三章風(fēng)險(xiǎn)評(píng)估的基本步驟：1、按照組織業(yè)務(wù)運(yùn)作流程進(jìn)行資產(chǎn)識(shí)別，并根據(jù)估價(jià)原則對(duì)資產(chǎn)進(jìn)行估價(jià)；2、 根據(jù)資產(chǎn)所處的環(huán)境進(jìn)行威脅評(píng)估；3、 對(duì)應(yīng)每一威脅，對(duì)資產(chǎn)或組織存在的脆弱性進(jìn)行評(píng)估；4、 對(duì)已采取的安全機(jī)制進(jìn)行識(shí)別和確認(rèn)；5、 建立風(fēng)險(xiǎn)測(cè)量的方法及風(fēng)險(xiǎn)等級(jí)評(píng)價(jià)原則，確定風(fēng)險(xiǎn)的大小與等級(jí)；第四章在我國(guó)信息安全管理組織有4個(gè)層面：1,各部委信息安全管理部門(mén)2,各省信息安全管理部門(mén)，3,各基層信息安全管理部門(mén)4經(jīng)營(yíng)單位；信息安全組織的基本任務(wù)是：是在政府主管部門(mén)的指導(dǎo)下，由與系統(tǒng)有關(guān)的各方面專(zhuān)家，定期或適時(shí)進(jìn)行風(fēng)險(xiǎn)評(píng)估，根據(jù)本單位的實(shí)際情況和需要，確定信息系統(tǒng)的的安全等級(jí)和管理總體目標(biāo)，提出相應(yīng)的對(duì)策并監(jiān)督實(shí)施，似的本單位和信息系統(tǒng)的安全保護(hù)工作能夠與信息系統(tǒng)的建設(shè)、應(yīng)用和發(fā)張同步進(jìn)行；信息安全教育包括：法規(guī)教育（法規(guī)教育是信息安全教育的核心）、安全技術(shù)教育（信息及信息安全技術(shù)是信息安全的技術(shù)保證）、安全意識(shí)教育（包括組織信息安全方針與控制目標(biāo)，適用的法律法規(guī)等）；-J-*Vr.弟五早信息系統(tǒng)在實(shí)際應(yīng)用中采用的防泄漏措施主要有哪些？答：1，選用低輻射設(shè)備2,利用噪聲干擾源3,采取屏蔽措施4,具體防護(hù)5，采用微波吸收材料信息系統(tǒng)的記錄按照其重要性和機(jī)密程度可分為以下四類(lèi)；一類(lèi)記錄關(guān)鍵性記錄；二類(lèi)記錄 重要記錄；三類(lèi)記錄一一有用記錄；四類(lèi)記錄一一不重要記錄；保證電子文檔安全的技術(shù)措施：簽名措施，加密技術(shù)、身份認(rèn)證、防火墻。弟六早1、系統(tǒng)的整體開(kāi)發(fā)過(guò)程可以劃分為 規(guī)劃、分析、設(shè)計(jì)、實(shí)現(xiàn)和運(yùn)行五個(gè)階段。、2、 系統(tǒng)面臨的技術(shù)安全問(wèn)題包括網(wǎng)虹安全性、系統(tǒng)安全性、用戶(hù)安全性、應(yīng)用安全性、應(yīng)用程序安全性和數(shù)據(jù)安全性5個(gè)方面。3、系統(tǒng)安全檢驗(yàn)的方法一般有兩種，分別為系統(tǒng)鑒定和破壞性分析；4、 系統(tǒng)安全原則包括：保護(hù)薄弱環(huán)節(jié)一一系統(tǒng)薄弱部分一般是最易受到攻擊影響的部分，所以系統(tǒng)安全程度與薄弱的環(huán)節(jié)密切相關(guān)，在進(jìn)行系統(tǒng)策劃時(shí)必須重點(diǎn)考慮可能存在的薄弱環(huán)節(jié)以及對(duì)薄弱環(huán)節(jié)的保護(hù)；縱深防御一一使用多重防御測(cè)略來(lái)管理風(fēng)險(xiǎn)，一邊在一層防御不夠時(shí)另一層防御將會(huì)阻止完全的破壞；故障控制一一任何復(fù)雜的系統(tǒng)都會(huì)有故障發(fā)生，這是很難避免的，可以避免的是同故障有關(guān)的安全性問(wèn)題。一次必須通過(guò)有效的故障管理，確保及時(shí)發(fā)現(xiàn)故障，分離故障，找出實(shí)效的原因，并在可能的情況下解決故障，避免因系統(tǒng)故障而導(dǎo)致系統(tǒng)安全問(wèn)題的產(chǎn)生；最小特一一，是指只授予主體執(zhí)行操作所必須的最小訪問(wèn)權(quán)限并且對(duì)于該訪問(wèn)權(quán)限只準(zhǔn)許使用所需的最少時(shí)間；分隔一一其基本思想是如果系統(tǒng)分成盡可能多的獨(dú)立單元，那么就可以將對(duì)系統(tǒng)可能造成的損害降到最低；5、系統(tǒng)開(kāi)發(fā)應(yīng)遵循的原則：主管參與、優(yōu)化與創(chuàng)新、充實(shí)利用信息資源、實(shí)用和實(shí)效、規(guī)范化、有效安全控制、適應(yīng)發(fā)張變化；6、系統(tǒng)安全性檢驗(yàn)就是對(duì)系統(tǒng)的安全性進(jìn)行測(cè)試驗(yàn)證，并評(píng)價(jià)其安全性所達(dá)到的程度的過(guò)程。系統(tǒng)的安全驗(yàn)證的方法一般有兩種分別是系統(tǒng)鑒定和破壞性分析。系統(tǒng)鑒定：破壞性分析:把一些在系統(tǒng)使用方面具有豐富經(jīng)驗(yàn)的專(zhuān)家和一些富有設(shè)計(jì)經(jīng)驗(yàn)的專(zhuān)家組織起來(lái)，對(duì)被測(cè)試的系統(tǒng)進(jìn)行安全脆弱性分析，專(zhuān)門(mén)查找可能的弱點(diǎn)和缺點(diǎn)。第七章1、 信息安全策略分為信息安全方針和具體信息安全策略；2、 系統(tǒng)運(yùn)行安全管理的目標(biāo)是確保系統(tǒng)運(yùn)行過(guò)程中的安全性，主要包括可靠性、可用性、保密性、完整性、不可抵賴(lài)和可控性等幾個(gè)方面；3網(wǎng)絡(luò)故障管理的基本步驟包括：發(fā)現(xiàn)問(wèn)題、分離問(wèn)題找出實(shí)效的原因、解決問(wèn)題；4、 系統(tǒng)安全審計(jì)是指對(duì)安全活動(dòng)進(jìn)行識(shí)別、記錄、存儲(chǔ)和分析，以查證是否發(fā)生安全事件的一種信息安全技術(shù)，它能夠?yàn)楣芾砣藛T提供有關(guān)追蹤安全事件和入侵行為的有效證據(jù)，提高信息系統(tǒng)的安全管理能力。作用是一、對(duì)潛在的攻擊者起到震懾或警告作用；二、 對(duì)于已經(jīng)發(fā)生的系統(tǒng)破壞行為有效的追究證據(jù)；三、 提供有價(jià)值的系統(tǒng)使用日志，幫助管理人員及時(shí)發(fā)現(xiàn)系統(tǒng)入侵行為或潛在的系統(tǒng)漏洞；四、 提供系統(tǒng)運(yùn)行的統(tǒng)計(jì)日志，是管理范閑人員能夠系統(tǒng)性能上的不足或需