第一篇：某公司信息安全保障體系信息安全組織體系[大全]

信息安全保障體系

組織體系

組織體系 1 范圍 本標準規(guī)定了公司內(nèi)部安全保障體系組織架構(gòu)的要求，包括人員組成，責(zé)任和要求。

本標準適用于公司，各廠應(yīng)依據(jù)本標準制訂適用的標準。規(guī)范性引用文件 下列文件中的條款通過本標準的引用而成為本標準的條款。凡是注版本（日期）的引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標準，然而，鼓勵根據(jù)本標準達成協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注版本（日期）的引用文件，其最新版本適用于本標準。術(shù)語和定義 無。職責(zé) 4.1 信息中心負責(zé)公司整體信息安全保障體系組織建設(shè)。

4.2 各廠負責(zé)在授權(quán)范圍內(nèi)開展安全組織建設(shè)，負責(zé)本單位信息安全日常管理、監(jiān)督。信息安全管理組織架構(gòu) 在組織架構(gòu)方面，應(yīng)依托企業(yè)現(xiàn)有的組織體系，賦予各層面的組織和個人以安全職責(zé)，使原有的組織架構(gòu)具有信息安全的管理職能，同時應(yīng)對企業(yè)安全管理的三層組織結(jié)構(gòu)：決策層、管理層和執(zhí)行層的機構(gòu)建立、安全目標、崗位設(shè)置、安全職責(zé)進行確定，組織架構(gòu)的建立和充分發(fā)揮職能是整個系統(tǒng)安全的前提和基礎(chǔ)。

決策層管理層業(yè)務(wù)安全決策安全戰(zhàn)略規(guī)劃安全績效考核信息安全領(lǐng)導(dǎo)小組信息安全管理部門安全管理系統(tǒng)安全工程安全績效管理信息安全執(zhí)行部門實施與運作運行管理安全審計實施執(zhí)行層

圖 1 信息安全管理組織架構(gòu)層次圖 組織架構(gòu)

企業(yè)本部

企業(yè)下屬各廠

決策層

公司信息化建設(shè)主管領(lǐng)導(dǎo) 各廠信息化建設(shè)主管領(lǐng)導(dǎo) 管理層

公司信息、辦公室、財務(wù)、營銷、人事、技術(shù)等各部門負責(zé)人 各廠信息、財務(wù)、生產(chǎn)、人事等業(yè)務(wù)部門負責(zé)人 執(zhí)行層

公司具體負責(zé)信息系統(tǒng)管理和信息安全管理工作的技術(shù)人員及相關(guān)部門的專職（或兼職）信息安全員 各廠具體負責(zé)信息系統(tǒng)管理和信息安全管理工作的技術(shù)人員及相關(guān)部門的專職（或兼職）信息安全員

圖 2 信息安全管理組織架構(gòu)細化表信息安全組織架構(gòu)各層職責(zé)說明 6.1 決策機構(gòu) 信息安全決策機構(gòu)處于安全組織機構(gòu)的第一個層次，是企業(yè)公司信息安全工作的最高管理機構(gòu)，按照國家和國家局的方針、政策和要求，對企業(yè)公司信息安全進行統(tǒng)一領(lǐng)導(dǎo)和管理。

其主要職責(zé)包括：

1)領(lǐng)導(dǎo)和督促全企業(yè)公司范圍的信息安全工作； 2)制定企業(yè)公司信息安全戰(zhàn)略、方針和政策，確定企業(yè)公司信息安全發(fā)展方向和目標； 3)為信息安全提供所需的資源； 4)批準整個組織內(nèi)信息安全特定角色和職責(zé)的分配； 5)建立企業(yè)公司的總體安全規(guī)劃方案； 6)制定企業(yè)公司統(tǒng)一的安全策略體系； 7)審批企業(yè)公司重大的信息安全活動； 8)重大技術(shù)事項或突發(fā)緊急問題的協(xié)調(diào)處理和事后調(diào)查仲裁等； 9)審批信息安全項目及安全產(chǎn)品的采購申請； 10)審閱下級的重要工作匯報和意見，并及時反饋批復(fù)意見； 11)監(jiān)督管理層信息安全工作的管理和執(zhí)行情況，協(xié)調(diào)管理隊伍之間的關(guān)系； 12)負責(zé)組織企業(yè)公司范圍的信息安全事件的調(diào)查，并聽取相關(guān)匯報； 13)定期組織會議，了解企業(yè)公司信息系統(tǒng)的整體安全現(xiàn)狀，討論提高安全水平的整改措施。

14)啟動計劃和程序來保持信息安全意識； 15)信息安全領(lǐng)導(dǎo)小組應(yīng)定期組織信息安全巡檢和評審工作。

6.2 管理機構(gòu) 信息安全管理機構(gòu)處于安全組織機構(gòu)的第二個層次，在決策機構(gòu)的領(lǐng)導(dǎo)下，負責(zé)組織制訂信息安全保障體系建設(shè)規(guī)劃，以及信息安全的管理、監(jiān)督、檢查、考核等工作。日常的信息安全管理工作主要由信息化工作部門負責(zé)。

其主要職責(zé)包括：

1)根據(jù)決策層總體安全規(guī)劃制定系統(tǒng)安全建設(shè)的詳細安全計劃并組織實施； 2)根據(jù)決策層統(tǒng)一的安全策略制定并落實信息安全管理制度； 3)監(jiān)督和指導(dǎo)執(zhí)行層信息安全工作的貫徹和實施； 4)組織技術(shù)人員和普通員工的安全技術(shù)交流與培訓(xùn)； 5)參與信息系統(tǒng)相關(guān)的新工程建設(shè)和新業(yè)務(wù)開展的方案論證，并提出安全方面的相應(yīng)

建議； 6)在信息系統(tǒng)相關(guān)的工程驗收時，對信息安全方面的驗收測試方案進行審查并參與驗收； 7)組織相關(guān)安全員定期進行信息安全巡檢； 8)負責(zé)組織范圍內(nèi)的信息安全事件調(diào)查，并聽取相關(guān)匯報； 9)審閱執(zhí)行層的重要工作匯報和意見，并及時反饋批復(fù)意見； 10)定期組織會議，了解管轄系統(tǒng)的整體安全現(xiàn)狀，討論提高安全水平的整改措施； 6.3 執(zhí)行機構(gòu) 信息安全執(zhí)行機構(gòu)處于信息安全組織機構(gòu)的第三個層次，在管理層的領(lǐng)導(dǎo)下，負責(zé)保證信息安全技術(shù)體系的有效運行及日常維護，通過具體技術(shù)手段落實安全策略，消除安全風(fēng)險，以及發(fā)生安全事件后的具體響應(yīng)和處理。

主要職責(zé)包括：

1)學(xué)習(xí)和執(zhí)行企業(yè)公司制定的各項信息安全管理策略、制度、規(guī)范和指南； 2)企業(yè)公司信息安全規(guī)劃、管理制度的落實和執(zhí)行工作； 3)直接負責(zé)管理范圍內(nèi)各業(yè)務(wù)系統(tǒng)的安全管理和維護工作； 4)參與檢查與國家信息安全相關(guān)的法律、法規(guī)、規(guī)章、標準等的符合性，參與企業(yè)公司安全方案的規(guī)劃、設(shè)計； 5)具體安全項目的實施與支持； 6)根據(jù)管理層安全規(guī)劃制定系統(tǒng)安全建設(shè)的詳細安全計劃并組織實施； 7)監(jiān)督和指導(dǎo)管理范圍內(nèi)信息安全工作的貫徹和實施； 8)組織內(nèi)部的安全技術(shù)交流與培訓(xùn)； 9)參與管理范圍內(nèi)工程建設(shè)和業(yè)務(wù)開展的方案論證，并提出相應(yīng)的安全方面的建議； 10)提出的網(wǎng)絡(luò)安全整改意見，提交管理層審批； 11)向管理層定期匯報系統(tǒng)當前安全現(xiàn)狀以及安全事件的處理情況；安全職責(zé)的分配 為明確安全責(zé)任，劃分（界定）安全管理與具體執(zhí)行之間的工作職責(zé)，公司必須建立安全責(zé)任制度。

安全責(zé)任分配的基本原則是“誰主管，誰負責(zé)”。公司擁有的每項網(wǎng)絡(luò)與信息資產(chǎn)，必須根據(jù)資產(chǎn)歸屬確定“責(zé)任人”?！柏?zé)任人”對資產(chǎn)安全保護負有完全責(zé)任?！柏?zé)任人”可以是個人或部門，但“責(zé)任人”是部門時，應(yīng)由該部門領(lǐng)導(dǎo)實際負責(zé)。

“責(zé)任人”可以將具體的執(zhí)行工作委派給“維護人”，但“責(zé)任人”仍然必須承擔資產(chǎn)安全的最終責(zé)任。因此“責(zé)任人”應(yīng)明確規(guī)定“維護人”的工作職責(zé)，并定期檢查“維護人”是否正確履行了安全職責(zé)。“維護人”可以是個人或部門，也可以是外包服務(wù)提供商。當“維護人”是部門時，應(yīng)由該部門領(lǐng)導(dǎo)實際負責(zé)。

安全工作人員的職責(zé)是指導(dǎo)、監(jiān)督、管理、考核“責(zé)任人”的安全工作，不能替代“責(zé)任人”對具體網(wǎng)絡(luò)與信息資產(chǎn)進行安全保護。

在資產(chǎn)的安全保護工作中，應(yīng)重點關(guān)注以下內(nèi)容：

a)應(yīng)清楚地說明每個獨立的網(wǎng)絡(luò)與信息系統(tǒng)所包含的各種資產(chǎn)和相應(yīng)的安全保護流程。

b)“責(zé)任人”與“維護人”都應(yīng)明確接受其負責(zé)的安全職責(zé)和安全保護流程，并對該職責(zé)的詳細內(nèi)容記錄在案。

c)所有授權(quán)的內(nèi)容和權(quán)限應(yīng)當被明確規(guī)定，并記錄在案。職責(zé)分散與隔離 職責(zé)分隔（Segregation of Duties）是一種減少偶然或故意行為造成安全風(fēng)險的方法。公司應(yīng)分散某些任務(wù)的管理、執(zhí)行及職責(zé)范圍，以減少誤用或濫用職責(zé)帶來風(fēng)險的概率。例如關(guān)鍵數(shù)據(jù)修改的審批與制作必須分開。

在無法實現(xiàn)職責(zé)充分分散的情況下，應(yīng)采取其他補償控制措施并記錄在案。例如：活動監(jiān)控、檢查審計跟蹤記錄以及管理監(jiān)督等。

為避免串通勾結(jié)等欺詐活動，公司應(yīng)盡量隔離相應(yīng)職責(zé)，并增加執(zhí)行和監(jiān)督人員，以降低串通的可能性。安全信息的獲取和發(fā)布 信息技術(shù)的發(fā)展日新月異，安全工作愈發(fā)復(fù)雜和困難。公司必須建立有效可靠的渠道，獲取安全信息，不斷推進安全工作。例如：

a)從內(nèi)部挑選經(jīng)驗豐富的安全管理和技術(shù)人員，組成內(nèi)部專家組，制定安全解決方案，參與安全事件處理，解決實際安全問題，提供預(yù)防性建議等。為使內(nèi)部專家組的工作更具成效，應(yīng)允許他們直接接觸公司的管理層。

b)與設(shè)備提供商、安全服務(wù)商等外部安全專家保持緊密聯(lián)系，聽取他們的安全建議。

c)從一些公開的信息渠道獲取安全信息，例如專業(yè)出版物、定期公告等。

企業(yè)權(quán)威的安全信息發(fā)布機構(gòu)為公司信息中心。公司負責(zé)收集和整理并向各廠信息部門發(fā)布安全信息；各廠負責(zé)廠內(nèi)發(fā)布和信息上報。加強與外部組織之間的協(xié)作 公司應(yīng)加強與國家安全機關(guān)、行業(yè)監(jiān)管部門、其他運營商和信息服務(wù)提供商等外部組織的聯(lián)系，并建立協(xié)作流程，以便在出現(xiàn)安全事件時，盡快獲取信息、采取措施。

公司在加入安全組織或與其他組織進行交流時，應(yīng)對信息交換予以嚴格限制，以確保公司信息的保密性。安全審計的獨立性 安全審計是從管理和技術(shù)兩個方面檢查公司的安全策略和控制措施的執(zhí)行情況，發(fā)現(xiàn)安全隱患的過程。

安全審計的獨立性是指審計方與被審計方應(yīng)保持相對獨立，即不能自己審計自己的工作，以確保審計結(jié)果的公正可靠。

安全審計可由公司內(nèi)部審計組織，或外聘的專業(yè)審計機構(gòu)完成。審計人員應(yīng)接受審計培訓(xùn)，掌握一定的技能和經(jīng)驗。當采用外聘審計機構(gòu)時，應(yīng)充分考慮其風(fēng)險，并采取相應(yīng)的控制措施。

第二篇：網(wǎng)絡(luò)信息安全保障體系建設(shè)

附件3 網(wǎng)絡(luò)信息安全保障體系建設(shè)方案

目錄

網(wǎng)絡(luò)信息安全保障體系建設(shè)方案........................................................................1

1、建立完善安全管理體系.................................................................................1 1.1成立安全保障機構(gòu).........................................................................................1

2、可靠性保證.....................................................................................................2 2.1操作系統(tǒng)的安全.............................................................................................3 2.2系統(tǒng)架構(gòu)的安全.............................................................................................3 2.3設(shè)備安全.........................................................................................................4 2.4網(wǎng)絡(luò)安全.........................................................................................................4 2.5物理安全.........................................................................................................5 2.6網(wǎng)絡(luò)設(shè)備安全加固.........................................................................................5 2.7網(wǎng)絡(luò)安全邊界保護.........................................................................................6 2.8拒絕服務(wù)攻擊防范.........................................................................................6 2.9信源安全/組播路由安全...............................................................................7

網(wǎng)絡(luò)信息安全保障體系建設(shè)方案

1、建立完善安全管理體系

1.1成立安全保障機構(gòu)

山東聯(lián)通以及萊蕪聯(lián)通均成立以總經(jīng)理為首的安全管理委員會，以及分管副總經(jīng)理為組長的網(wǎng)絡(luò)運行維護部、電視寬帶支撐中心、網(wǎng)絡(luò)維護中心等相關(guān)部門為成員的互聯(lián)網(wǎng)網(wǎng)絡(luò)信息安全應(yīng)急小組，負責(zé)全省網(wǎng)絡(luò)信息安全的總體管理工作。

山東聯(lián)通以及萊蕪聯(lián)通兩個層面都建立了完善的內(nèi)部安全保障工作制度和互聯(lián)網(wǎng)網(wǎng)絡(luò)信息安全應(yīng)急預(yù)案，通過管理考核機制，嚴格執(zhí)行網(wǎng)絡(luò)信息安全技術(shù)標準，接受管理部門的監(jiān)督檢查。同時針對三網(wǎng)融合對網(wǎng)絡(luò)信息安全的特殊要求，已將IPTV等寬帶增值業(yè)務(wù)的安全保障工作納入到統(tǒng)一的制度、考核及應(yīng)急預(yù)案當中。內(nèi)容涵蓋事前防范、事中阻斷、事后追溯的信息安全技術(shù)保障體系，域名信息登記管理制度IP地址溯源和上網(wǎng)日志留存等。并將根據(jù)國家規(guī)范要求，對三網(wǎng)融合下防黑客攻擊、防信息篡改、防節(jié)目插播、防網(wǎng)絡(luò)癱瘓技術(shù)方案進行建立和完善。

2、可靠性保證

IPTV是電信級業(yè)務(wù)，對承載網(wǎng)可靠性有很高的要求。可靠性分為設(shè)備級別的可靠性和網(wǎng)絡(luò)級別的可靠性。

（1）設(shè)備級可靠性

核心設(shè)備需要99.999%的高可靠性，對關(guān)鍵網(wǎng)絡(luò)節(jié)點，需要采用雙機冗余備份。此外還需要支持不間斷電源系統(tǒng)（含電池、油機系統(tǒng)）以保證核心設(shè)備24小時無間斷運行。

（2）網(wǎng)絡(luò)級可靠性

關(guān)鍵節(jié)點采用冗余備份和雙鏈路備份以提供高可靠性。網(wǎng)絡(luò)可靠性包括以下幾方面：

? 接入層：接入層交換機主要利用STP/RSTP協(xié)議在OSI二層實現(xiàn)網(wǎng)絡(luò)收斂自愈。

? 匯聚層：在OSI第三層上使用雙機VRRP備份保護機制，使用BFD、Ethernet OAM、MPlS OAM來對鏈路故障進行探測，然后通過使用快速路由協(xié)議收斂來完成鏈路快速切換。? 核心層：在P設(shè)備（Core設(shè)備和CR設(shè)備）上建立全連接LDP over TE。TE的數(shù)量在200以下。

? 組播業(yè)務(wù)保護：主要基于IS-IS協(xié)議對組播業(yè)務(wù)采取快速收斂保護，對組播分發(fā)進行冗余保護和負載分擔。

2.1操作系統(tǒng)的安全

在操作系統(tǒng)級別上，其安全需求主要表現(xiàn)在防止非法用戶入侵、防病毒、防止數(shù)據(jù)丟失等。

? 防止非法用戶入侵：系統(tǒng)設(shè)置防火墻，將所有需要保護的主機設(shè)置在防火墻內(nèi)部，物理上防止惡意用戶發(fā)起的非法攻擊和侵入。為業(yè)務(wù)管理人員建立起身份識別的機制，不同級別的業(yè)務(wù)管理人員，擁有不同級別的對象和數(shù)據(jù)訪問權(quán)限。? 防病毒：部署防病毒軟件，及時更新系統(tǒng)補丁。

? 數(shù)據(jù)安全：建立數(shù)據(jù)安全傳輸體系，系統(tǒng)具備完善的日志功能，登記所有對系統(tǒng)的訪問記錄。建立安全的數(shù)據(jù)備份策略，有效地保障系統(tǒng)數(shù)據(jù)的安全性。

2.2系統(tǒng)架構(gòu)的安全

IPTV運營管理平臺具備雙機熱備份功能，業(yè)務(wù)處理機、EPG服務(wù)器、接口機都支持主備功能。

存儲系統(tǒng)能夠支持磁盤RAID模式，利用RAID5技術(shù)防止硬盤出現(xiàn)故障時數(shù)據(jù)的安全。支持HA（High Availability）模式，實現(xiàn)系統(tǒng)的熱備份，在主用系統(tǒng)故障時能夠自動切換到備用系統(tǒng)，可提供流媒體服務(wù)器多種單元的冗余備份。

支持用戶通過手工備份功能。并且備份數(shù)據(jù)可保存到外部設(shè)備中。同時，設(shè)備可通過分布式部署，保證系統(tǒng)的安全。EPG服務(wù)器、VDN調(diào)度單元、網(wǎng)管均支持分布式處理。2.3設(shè)備安全

核心系統(tǒng)（服務(wù)器硬件、系統(tǒng)軟件、應(yīng)用軟件）能在常溫下每周7×24小時連續(xù)不間斷工作，穩(wěn)定性高，故障率低，系統(tǒng)可用率大于99.9％。

具備油機不間斷供電系統(tǒng)，以保證設(shè)備運行不受市電中斷的影響。服務(wù)器平均無故障時間（MTBF）大于5,000小時，小型機平均無故障時間（MTBF）大于10,000小時，所有主機硬件三年內(nèi)故障修復(fù)時間不超過30個小時。2.4網(wǎng)絡(luò)安全

IPTV業(yè)務(wù)承載網(wǎng)絡(luò)直接與internet等網(wǎng)絡(luò)互聯(lián)，作為IP網(wǎng)絡(luò)也面臨各種網(wǎng)絡(luò)安全風(fēng)險，包括網(wǎng)絡(luò)設(shè)備入侵、拒絕服務(wù)攻擊、路由欺騙、QOS服務(wù)破壞以及對網(wǎng)絡(luò)管理、控制協(xié)議進行網(wǎng)絡(luò)攻擊等，故IPTV承載網(wǎng)絡(luò)的安全建設(shè)實現(xiàn)方式應(yīng)包括物理安全、網(wǎng)絡(luò)設(shè)備的安全加固、網(wǎng)絡(luò)邊界安全訪問控制等內(nèi)容。2.5物理安全

包括IPTV承載網(wǎng)絡(luò)通信線路、物理設(shè)備的安全及機房的安全。網(wǎng)絡(luò)物理層的安全主要體現(xiàn)在通信線路的可靠性，軟硬件設(shè)備安全性，設(shè)備的備份和容災(zāi)能力，不間斷電源保障等。2.6網(wǎng)絡(luò)設(shè)備安全加固

作為IP承載網(wǎng)，首先必須加強對網(wǎng)絡(luò)設(shè)備的安全配置，即對網(wǎng)絡(luò)設(shè)備的安全加固，主要包括口令管理、服務(wù)管理、交互式訪問控制等措施。

口令的安全管理，所有網(wǎng)絡(luò)設(shè)備的口令需要滿足一定的復(fù)雜性要求；對設(shè)備口令在本地的存儲，應(yīng)采用系統(tǒng)支持的強加密方式；在口令的配置策略上，所有網(wǎng)絡(luò)設(shè)備口令不得相同，口令必須定時更新等；在口令的安全管理上，為了適應(yīng)網(wǎng)絡(luò)設(shè)備的規(guī)?；?，必須實施相應(yīng)的用戶授權(quán)及集中認證單點登錄等機制，不得存在測試賬戶、口令現(xiàn)象。

服務(wù)管理，在網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)服務(wù)配置方面，必須遵循最小化服務(wù)原則，關(guān)閉網(wǎng)絡(luò)設(shè)備不需要的所有服務(wù)，避免網(wǎng)絡(luò)服務(wù)或網(wǎng)絡(luò)協(xié)議自身存在的安全漏洞增加網(wǎng)絡(luò)的安全風(fēng)險。對于必須開啟的網(wǎng)絡(luò)服務(wù)，必須通過訪問控制列表等手段限制遠程主機地址。在邊緣路由器應(yīng)當關(guān)閉某些會引起網(wǎng)絡(luò)安全風(fēng)險的協(xié)議或服務(wù)，如ARP代理、CISCO的CDP協(xié)議等?？刂平换ナ皆L問，網(wǎng)絡(luò)設(shè)備的交互式訪問包括本地的控制臺訪問及遠程的VTY終端訪問等。網(wǎng)絡(luò)設(shè)備的交互式訪問安全措施包括：加強本地控制臺的物理安全性，限制遠程VTY終端的IP地址；控制banner信息，不得泄露任何相關(guān)信息；遠程登錄必須通過加密方式，禁止反向telnet等。2.7網(wǎng)絡(luò)安全邊界保護

網(wǎng)絡(luò)安全邊界保護的主要手段是通過防火墻或路由器對不同網(wǎng)絡(luò)系統(tǒng)之間實施相應(yīng)的安全訪問控制策略，在保證業(yè)務(wù)正常訪問的前提下從網(wǎng)絡(luò)層面保證網(wǎng)絡(luò)系統(tǒng)的安全性。

IPTV承載網(wǎng)絡(luò)邊界保護措施主要包括以下兩點：

通過路由過濾或ACL的方式隱藏IPTV承載網(wǎng)路由設(shè)備及網(wǎng)管等系統(tǒng)的IP地址，減少來自Internet或其它不可信網(wǎng)絡(luò)的安全風(fēng)險。

在IPTV承載網(wǎng)絡(luò)邊緣路由器與其它不可信網(wǎng)絡(luò)出口過濾所有的不需要的網(wǎng)絡(luò)管理、控制協(xié)議，包括HSRP、SNMP等。2.8拒絕服務(wù)攻擊防范

拒絕服務(wù)攻擊對IPTV承載網(wǎng)絡(luò)的主要影響有：占用IPTV承載網(wǎng)網(wǎng)絡(luò)帶寬，造成網(wǎng)絡(luò)性能的下降；消耗網(wǎng)絡(luò)設(shè)備或服務(wù)器系統(tǒng)資源，導(dǎo)致網(wǎng)絡(luò)設(shè)備或系統(tǒng)無法正常提供服務(wù)等。

建議IPTV承載網(wǎng)絡(luò)采取以下措施實現(xiàn)拒絕服務(wù)攻擊的防范：實現(xiàn)網(wǎng)絡(luò)的源IP地址過濾，在IPTV承載網(wǎng)接入路由器對其進行源IP地址的檢查。關(guān)閉網(wǎng)絡(luò)設(shè)備及業(yè)務(wù)系統(tǒng)可能被利用進行拒絕服務(wù)攻擊的網(wǎng)絡(luò)服務(wù)端口及其它網(wǎng)絡(luò)功能，如echo、chargen服務(wù)，網(wǎng)絡(luò)設(shè)備的子網(wǎng)直接廣播功能等。通過建立網(wǎng)絡(luò)安全管理系統(tǒng)平臺實現(xiàn)對拒絕服務(wù)攻擊的分析、預(yù)警功能，從全局的角度實現(xiàn)對拒絕服務(wù)攻擊的監(jiān)測，做到早發(fā)現(xiàn)、早隔離。

下圖給出了IPTV承載網(wǎng)安全建設(shè)實現(xiàn)方式圖。

2.9信源安全/組播路由安全

盡管組播技術(shù)具備開展新業(yè)務(wù)的許多優(yōu)勢，并且協(xié)議日趨完善，但開展組播業(yè)務(wù)還面臨著組播用戶認證、組播源安全和組播流量擴散安全性的問題。

組播源管理：在組播流進入骨干網(wǎng)絡(luò)前，組播業(yè)務(wù)控制設(shè)備應(yīng)負責(zé)區(qū)分合法和非法媒體服務(wù)器，可以在RP上對組播源的合法性進行檢查，如果發(fā)現(xiàn)來自未經(jīng)授權(quán)的組播源的注冊報文，可以拒絕接收發(fā)送過來的單播注冊報文，因此下游用戶就可以避免接收到非法的組播節(jié)目。為防止非法用戶將組播源接入到組播網(wǎng)絡(luò)中，可以在邊緣設(shè)備上配置組播源組過濾策略，只有屬于合法范圍的組播源的數(shù)據(jù)才進行處理。這樣既可以對組播報文的組地址進行過濾，也可以對組播報文的源組地址進行過濾。

組播流量擴散安全性：在標準的組播中，接收者可以加入任意的組播組，也就是說，組播樹的分枝是不可控的，信源不了解組播樹的范圍與方向，安全性較低。為了實現(xiàn)對一些重要信息的保護，需要控制其擴散范圍，靜態(tài)組播樹方案就是為了滿足此需求而提出的。靜態(tài)組播樹將組播樹事先配置，控制組播樹的范圍與方向，不接收其他動態(tài)的組播成員的加入，這樣能使組播信源的報文在規(guī)定的范圍內(nèi)擴散。在網(wǎng)絡(luò)中，組播節(jié)目可能只需要一定直徑范圍內(nèi)的用戶接收，可以在路由器上對轉(zhuǎn)發(fā)的組播報文的TTL數(shù)進行檢查，只對大于所配置的TTL閾值的組播報文進行轉(zhuǎn)發(fā)，因此可以限制組播報文擴散到未經(jīng)授權(quán)的范圍。

組播用戶的管理：原有標準的組播協(xié)議沒有考慮用戶管理的問題，但從目前組播應(yīng)用的情況來看，在很多的組播業(yè)務(wù)運營中，組播用戶的管理仍未得到很好的解決。在IPTV業(yè)務(wù)中，直播業(yè)務(wù)作為十分重要的業(yè)務(wù)，對用戶進行控制管理是必不可少的。對組播用戶的管理就是對經(jīng)過授權(quán)的組播用戶控制其對組播業(yè)務(wù)的接入，控制用戶哪些組播頻道可以觀看，哪些頻道不可以觀看。通過在DSLAM/LAN交換機用戶側(cè)對組播組進行控制，防止惡意用戶的非法組播流攻擊網(wǎng)絡(luò)。

第三篇：ISO27001信息安全體系培訓(xùn)(條款A(yù)6-信息安全組織).

ISO27001培訓(xùn)系列V1.0 ISO 27001信息安全體系培訓(xùn)控制目標和控制措施(條款A(yù)6-信息安全組織 2009年11月

董翼楓(dongyifeng78@hotmail.com 條款A(yù)6

信息安全組織 A6.1內(nèi)部組織 ?目標: 在組織內(nèi)管理信息安全。

?應(yīng)建立管理框架,以啟動和控制組織范圍內(nèi)的信息安全的實施。?管理者應(yīng)批準信息安全方針、指派安全角色以及協(xié)調(diào)和評審整個組織安全的實施。

?若需要,要在組織范圍內(nèi)建立專家信息安全建議庫,并在組織內(nèi)可用。要發(fā)展與外部安全專家或組織(包括相關(guān)權(quán)威人士的聯(lián)系,以便跟上行業(yè)趨勢、跟蹤標準和評估方法,并且當處理信息安全事件時,提供合適的聯(lián)絡(luò)點。應(yīng)鼓勵采用多學(xué)科方法,解決信息安全問題。

控制措施

管理者應(yīng)通過清晰的說明、可證實的承諾、明確的信息安全職責(zé)分配及確認,來積極支持組織內(nèi)的安全。

實施指南 ?管理者應(yīng): a確保信息安全目標得以識別,滿足組織要求,并已被整合到相關(guān)過程中;b制定、評審、批準信息安全方針;c評審信息安全方針實施的有效性;d為安全啟動提供明確的方向和管理者明顯的支持;e為信息安全提供所需的資源;f批準整個組織內(nèi)信息安全專門的角色和職責(zé)分配;g啟動計劃和程序來保持信息安全意識;h確保整個組織內(nèi)的信息安全控制措施的實施是相互協(xié)調(diào)的(見A6.1.2。?管理者應(yīng)識別對內(nèi)外部專家的信息安全建議的需求,并在整個組織內(nèi)評審和協(xié)調(diào)專家建議結(jié)果。

?根據(jù)組織的規(guī)模不同,這些職責(zé)可以由一個專門的管理協(xié)調(diào)小組或由一個已存在的機構(gòu)(例如董事會承擔。

A6.1.2信息安全協(xié)調(diào)

信息安全活動應(yīng)由來自組織不同部門并具備相關(guān)角色和工作職責(zé) 的代表進行協(xié)調(diào)。

A6.1.2信息安全協(xié)調(diào)

?典型的,信息安全協(xié)調(diào)應(yīng)包括管理人員、用戶、行政人員、應(yīng)用設(shè)計人員、審核員和安全專員,以及保險、法律、人力資源、IT 或風(fēng)險管理等領(lǐng)域 專家的協(xié)調(diào)和協(xié)作。這些活動應(yīng): 確保安全活動的實施與信息安全方針相一致;確定如何處理不符合項;核準信息安全的方法和過程,例如風(fēng)險評估、信息分類;識別重大的威脅變更和暴露于威脅下的信息和信息處理設(shè)施;評估信息安全控制措施實施的充分性和協(xié)調(diào)性;有效地促進整個組織內(nèi)的信息安全教育、培訓(xùn)和意識;評價在信息安全事件的監(jiān)視和評審中獲得的信息,推薦適當?shù)拇胧╉憫?yīng)識別的信息安 全事件。

?如果組織沒有使用一個獨立的跨部門的小組,例如因為這樣的小組對組織 規(guī)模來說是不適當?shù)?那么上面描述的措施應(yīng)由其它合適的管理機構(gòu)或單

A6.1.3信息安全職責(zé)的分配 所有的信息安全職責(zé)應(yīng)予以清晰地定義。A6.1.3信息安全職責(zé)的分配

?信息安全職責(zé)的分配應(yīng)和信息安全方針(見 A5相一致。各個資產(chǎn)的保護 和執(zhí)行特定安全過程的職責(zé)應(yīng)被清晰的識別。這些職責(zé)應(yīng)在必要時加以補 充,來為特定地點和信息處理設(shè)施提供更詳細的指南。資產(chǎn)保護和執(zhí)行特 定安全過程(諸如業(yè)務(wù)連續(xù)性計劃的局部職責(zé)應(yīng)予以清晰地定義。?分配有安全職責(zé)的人員可以將安全任務(wù)委托給其他人員。盡管如此,他們 仍然負有責(zé)任,并且他們應(yīng)能夠確定任何被委托的任務(wù)是否已被正確地執(zhí) 行。

?個人負責(zé)的領(lǐng)域要予以清晰地規(guī)定;特別是,應(yīng)進行下列工作: 與每個特殊系統(tǒng)相關(guān)的資產(chǎn)和安全過程應(yīng)予以識別并清晰地定義;應(yīng)分配每一資產(chǎn)或安全過程的實體職責(zé),并且該職責(zé)的細節(jié)應(yīng)形成文件(見 A7.1.2;授權(quán)級別應(yīng)清晰地予以定義,并形成文件。

A6.1.4信息處理設(shè)施的授權(quán)過程 ?新信息處理設(shè)施應(yīng)定義和實施一個管理授權(quán)過程。

?授權(quán)過程應(yīng)考慮下列指南: 新設(shè)施要有適當?shù)挠脩艄芾硎跈?quán),以批準其用途和使用;還要獲得負責(zé)維護本地系統(tǒng) 安全環(huán)境的管理人員授權(quán),以確保所有相關(guān)的安全方針策略和要求得到滿足;若需要,硬件和軟件應(yīng)進行檢查,以確保它們與其他系統(tǒng)組件兼容;使用個人或私有信息處理設(shè)施(例如便攜式電腦、家用電腦或手持設(shè)備處理業(yè)務(wù)信 息,可能引起新的脆弱性,因此應(yīng)識別和實施必要的控制措施。

A6.1.5保密性協(xié)議

應(yīng)識別并定期評審反映組織信息保護需要的保密性或不泄露協(xié)議 的要求。A6.1.5保密性協(xié)議

?保密或不泄露協(xié)議應(yīng)使用合法可實施條款來解決保護機密信息的要求。要識別保密或不泄 露協(xié)議的要求,需考慮下列因素: a 定義 要保護的信息(如機密信息;b 協(xié)議的期望 持續(xù)時間 ,包括不確定的需要維持保密性的情形;c 協(xié)議終止時所需的 措施;

d 為避免未授權(quán)信息泄露的簽署者的 職責(zé)和行為;e 信息所有者、商業(yè)秘密和 知識產(chǎn)權(quán) ,以及他們?nèi)绾闻c機密信息保護相關(guān)聯(lián);f 機密信息的許可使用,及簽署者使用信息的 權(quán)力;g 對涉及機密信息的活動的 審核和監(jiān)視 權(quán)力;h 未授權(quán)泄露或機密信息破壞的 通知 和報告過程;i 關(guān)于協(xié)議終止時信息 歸檔或銷毀 的條款;j 違反協(xié)議后期望采取的 措施。

?基于一個組織的安全要求,在保密性或不泄露協(xié)議中可能需要其他因素。?保密性和不泄露協(xié)議應(yīng)針對它適用的管轄范圍(見 A15.1.1遵循所有適用的法律法規(guī)。保密性和不泄露協(xié)議的要求應(yīng)進行周期性 評審 ,當發(fā)生影響這些要求的變更時,也要進行

A6.1.6與政府部門的聯(lián)系

?應(yīng)保持與政府相關(guān)部門的適當 聯(lián)系。

?組織應(yīng)有規(guī)程指明什么時候應(yīng)當與哪個部門(例如,執(zhí)法部門、消防局、監(jiān)管部門聯(lián)系,以及懷疑已識別的信息安全事件可能 觸犯了法律時,應(yīng)如何及時報告。

?受到來自互聯(lián)網(wǎng)攻擊的組織可能需要外部第三方(例如互聯(lián)網(wǎng)服 務(wù)提供商或電信運營商采取措施以應(yīng)對攻擊源。

?保持這樣的聯(lián)系可能是支持信息安全事件管理(A13.2或業(yè)務(wù)連續(xù)性和應(yīng)急規(guī)劃過程(A14的要 求。與法規(guī)部門的聯(lián)系有助于預(yù)先知道組織必須遵循的法律法規(guī)方面預(yù)期的變化,并為這些變化做 好準備。與其他部門的聯(lián)系包括公共部門、緊急

服務(wù)和健康安全部門,例如消防局(A14章的業(yè)務(wù) 連續(xù)性有關(guān)、電信提供商(與路由和可用性有關(guān)、供水部門(與設(shè)備的冷卻設(shè)施有關(guān)。

A6.1.7與特定利益集團的聯(lián)系

?應(yīng)保持與特定利益集團、其他安全專家組和專業(yè)協(xié)會的適當聯(lián)系。?應(yīng)考慮成為特定利益集團或安全專家組的成員,以便: a 增進對最佳實踐和最新相關(guān)安全信息的了解;b 確保全面了解當前的信息安全環(huán)境;c 盡早收到關(guān)于攻擊和脆弱性的預(yù)警、建議和補丁;d 獲得信息安全專家的建議;e 分享和交換關(guān)于新的技術(shù)、產(chǎn)品、威脅或脆弱性的信息;f 提供處理信息安全事件時適當?shù)穆?lián)絡(luò)點(見 A13.2.1。A6.1.8信息安全的獨立評審

?組織管理信息安全的方法及其實施(例如信息安全的控制目標、控制措施、策略、過程和程序應(yīng)按計劃的時間間隔進行獨立評審,當安全實施發(fā) 生重大變化時,也要進行獨立評審。

?獨立評審應(yīng)由管理者啟動。對于確保一個組織管理信息安全方法的持續(xù)的適宜性、充分性 和有效性,這種獨立評審是必須的。評審應(yīng)包括評估安全方法改進的機會和變更的需要, 包括方針和控制目標。

?這樣的評審應(yīng)由獨立于被評審范圍的人員執(zhí)行,例如內(nèi)部審核部門、獨立的管理人員或?qū)?門進行這種評審的第三方組織。從事這些評審的人員應(yīng)具備適當?shù)募寄芎徒?jīng)驗。

?獨立評審的結(jié)果應(yīng)被記錄并報告給啟動評審的管理者。這些記錄應(yīng)加以保持。

?如果獨立評審識別出組織管理信息安全的方法和實施不充分,或不符合信息安全方針文件(見 A5.1.1中聲明的信息安全的方向,管理者應(yīng)考慮糾正措施。

A6.2外部各方 ?目標: 保持組織的被外部各方訪問、處理、管理或與外部進行通信的信息和信息處理設(shè)施的安全。

?組織的信息處理設(shè)施和信息資產(chǎn)的安全不應(yīng)由于引入外部方的產(chǎn)品或服務(wù)而降低。

?任何外部方對組織信息處理設(shè)施的訪問、對信息資產(chǎn)的處理和通信都應(yīng)予以控制。

?若有與外部方一起工作的業(yè)務(wù)需要,它可能要求訪問組織的信息和信息處理設(shè)施、從外部方獲得一個產(chǎn)品和服務(wù),或提供給外部方一個產(chǎn)品和服務(wù),應(yīng)進行風(fēng)險評估,以確定涉及安全的方面和控制要求。在與外部方簽訂的協(xié)議中要商定和定義控制措施。

外部各方

?服務(wù)提供商(例如互聯(lián)網(wǎng)服務(wù)提供商、網(wǎng)絡(luò)提供商、電話服務(wù)、維護和支持服務(wù);?受管理的安全服務(wù);?顧客;?設(shè)施和運行的外包,例如,IT系統(tǒng)、數(shù)據(jù)收集服務(wù)、中心呼叫業(yè)務(wù);

?管理者,業(yè)務(wù)顧問和審核員;?開發(fā)者和提供商,例如軟件產(chǎn)品和IT系統(tǒng)的開發(fā)者和提供商;?保潔、餐飲和其他外包支持服務(wù);?臨時人員、實習(xí)學(xué)生和其他臨時短期安排?？刂拼胧?/p>

應(yīng)識別涉及外部各方業(yè)務(wù)過程中組織的信息和信息處理設(shè)施的風(fēng)險,并在允許訪問前實施適當?shù)目刂拼胧?/p>

實施指南

?當需要允許外部方訪問組織的信息處理設(shè)施或信息時,應(yīng)實施風(fēng)險評估(見A4以識別特定控制措施的要求。

關(guān)于外部方訪問的風(fēng)險的識別應(yīng)考慮以下問題: a外部方需要訪問的信息處理設(shè)施;b外部方對信息和信息處理設(shè)施的訪問類型,例如: 物理訪問,例如進入辦公室,計算機機房,檔案室;邏輯訪問,例如訪問組織的數(shù)據(jù)庫,信息系統(tǒng);組織和外部方之間的網(wǎng)絡(luò)連接,例如,固定連接、遠程訪問;現(xiàn)場訪問還是非現(xiàn)場訪問;c所涉及信息的價值和敏感性,及對業(yè)務(wù)運行的關(guān)鍵程度;d為保護不希望被外部方訪問到的信息所需的控制措施;e與處理組織信息有關(guān)的外部方人員;

f能夠識別組織或人員如何被授權(quán)訪問、如何進行授權(quán)驗證,以及多長時間需要再確認;g外部方在存儲、處理、傳送、共享和交換信息過程中所使用的不同的方法和控制措施;h外部方需要時無法訪問,外部方輸入或接收不正確的或誤導(dǎo)的信息的影響;i處理信息安全事件和潛在破壞的慣例和程序,和當發(fā)生信息安全事件時外部方持續(xù)訪問的條款和條件;j應(yīng)考慮與外部方有關(guān)的法律法規(guī)要求和其他合同責(zé)任;k這些安排對其他利益相關(guān)人的利益可能造成怎樣的影響。

?除非已實施了適當?shù)目刂拼胧?才可允許外部方訪問組織信息,可行時,應(yīng)簽訂合同規(guī)定外部方連接或訪問以及工作安排的條款和條件,一般而言,與外部方合作引起的安全要求或內(nèi)部控制措施應(yīng)通過與外部方的協(xié)議反映出來(見A6.2.2和A6.2.3。

?應(yīng)確保外部方意識到他們的責(zé)任,并且接受在訪問、處理、通信或管理組織的信息和信息處理設(shè)施所涉及的職責(zé)和責(zé)任。

A6.2.2處理與顧客有關(guān)的安全問題 控制措施

應(yīng)在允許顧客訪問組織信息或資產(chǎn)之前處理所有確定的安全要求。A6.2.2處理與顧客有關(guān)的安全問題 實施指南

要在允許顧客訪問組織任何資產(chǎn)（依據(jù)訪問的類型和范圍，并不需要應(yīng)用所有的條款）前解決安全問題，應(yīng)考慮 下列條款： a 資產(chǎn)保護，包括： 及對已知脆弱性的管理；

保護組織資產(chǎn)（包括信息和軟件）的程序，以

判定資產(chǎn)是否受到損害（例如丟失數(shù)據(jù)或修改數(shù)據(jù)）的程序； 完整性； 對拷貝和公開信息的限制； b c d 擬提供的產(chǎn)品或服務(wù)的允許的訪問描述； 顧客訪問的不同原因、要求和利益； 訪問控制策略，包括： 方法，唯一標識符的控制和使用，例如用戶ID和口令； 權(quán)過程； 沒有明確授權(quán)的訪問均被禁止的聲明；

用戶訪問和權(quán)限的授

撤消訪問權(quán)或中斷系統(tǒng)間連接的處理； e 信息錯誤（例如個人信息的錯誤）、信息安全事件和安全違規(guī)的報告、通知和調(diào)查的安排； f g h i j k 每項可用服務(wù)的描述； 服務(wù)的目標級別和服務(wù)的不可接受級別； 監(jiān)視和撤銷與組織資產(chǎn)有關(guān)的任何活動的權(quán)利； 組織和顧客各自的義務(wù)； 相關(guān)法律責(zé)任和如何確保滿足法律要求（例如，數(shù)據(jù)保護法律）。如果協(xié)議涉及與其他國家顧客的合作，特別要考慮到不同國家的法律體系（也 見A15.1）； 知識產(chǎn)權(quán)（IPRs）和版權(quán)轉(zhuǎn)讓（見A15.1.2）以及任何合著作品的保護（見A6.1.5）；-20-A6.2.3處理第三方協(xié)議中的安全問題 控制措施

涉及訪問、處理或管理組織的信息或信息處理設(shè)施以及與之通信 的第三方協(xié)議，或在信息處理設(shè)施中增加產(chǎn)品或服務(wù)的第三方協(xié) 議，應(yīng)涵蓋所有相關(guān)的安全要求。-21-A6.2.3處理第三方協(xié)議中的安全問題 實施指南

協(xié)議應(yīng)確保在組織和第三方之間不存在誤解。組織應(yīng)使第三方的保證滿足自己的需要。為滿足識別的安全要求（見A6.2.1），應(yīng)考慮將下列條款包含在協(xié)議中： a b c d e f g h i j k l m n 信息安全方針； 確保資產(chǎn)保護的控制措施，對用戶和管理員在方法、程序和安全方面的培訓(xùn)； 確保用戶意識到信息安全職責(zé)和問題； 若適宜，人員調(diào)動的規(guī)定； 關(guān)于硬件和軟件安裝和維護的職責(zé)； 一種清晰的報告結(jié)構(gòu)和商定的報告格式； 一種清晰規(guī)定的變更管理過程； 訪問控制策略； 報告、通知和調(diào)查信息安全事件和安全違規(guī)以及違背協(xié)議中所聲明的要求的安排； 提供的每項產(chǎn)品和服務(wù)的描述，根據(jù)安全分類（見7.2.1）提供可獲得信息的描述； 服務(wù)的目標級別和服務(wù)的不可接受級別； 可驗證的性能準則的定義、監(jiān)視和報告； 監(jiān)視和撤銷與組織資產(chǎn)有關(guān)的任何活動的權(quán)利； o p q r s t u v 審核協(xié)議中規(guī)定的責(zé)任、第三方實施的審核、列舉審核員的法定權(quán)限等方面的權(quán)利； 建立逐級解決問題的過程； 服務(wù)連續(xù)性要求，包括根據(jù)一個組織的業(yè)務(wù)優(yōu)先級對可用性和可靠性的測度； 協(xié)議各方的相關(guān)義務(wù)；

有關(guān)法律的責(zé)任和如何確保滿足法律要求（例如，數(shù)據(jù)保護法律）。如果該協(xié)議涉及與其他國家的組織的合作，特別要考慮到不同國家的法律體系（也見 15.1）； 知識產(chǎn)權(quán)（IPRs）和版權(quán)轉(zhuǎn)讓（見15.1.2）以及任何合著作品的保護（見6.1.5）； 涉及具有次承包商的第三方，應(yīng)對這些次承包商需要實施安全控制措施； 重新協(xié)商/終止協(xié)議的條件。-22-END Thank you！

董翼楓（dongyf@fugle.info）-23

第四篇：構(gòu)建信息安全保密體系

構(gòu)建信息安全保密體系

摘 要：信息安全保密已經(jīng)成為當前保密工作的重點。本文從策略和機制的角度出發(fā)，給出了信息安全保密的服務(wù)支持、標準規(guī)范、技術(shù)防范、管理保障和工作能力體系，體現(xiàn)了技術(shù)與管理相結(jié)合的信息安全保密原則。關(guān)鍵詞：信息 安全 保密 體系

一、引言

構(gòu)建信息安全保密體系，不能僅僅從技術(shù)層面入手，而應(yīng)該將管理和技術(shù)手段有機結(jié)合起來，用規(guī)范的制度約束人，同時建立、健全信息安全保密的組織體制，改變現(xiàn)有的管理模式，彌補技術(shù)、制度、體制等方面存在的不足，從標準、技術(shù)、管理、服務(wù)、策略等方面形成綜合的信息安全保密能力，如圖1所示。圖 1 信息安全保密的體系框架

該保密體系是以信息安全保密策略和機制為核心，以信息安全保密服務(wù)為支持，以標準規(guī)范、安全技術(shù)和組織管理體系為具體內(nèi)容，最終形成能夠滿足信息安全保密需求的工作能力。

二、信息安全保密的策略和機制 所謂信息安全保密策略，是指為了保護信息系統(tǒng)和信息網(wǎng)絡(luò)中的秘密，對使用者（及其代理）允許什么、禁止什么的規(guī)定。從信息資產(chǎn)安全管理的角度出發(fā)，為了保護涉密信息資產(chǎn)，消除或降低泄密風(fēng)險，制訂的各種綱領(lǐng)、制度、規(guī)范和操作流程等，都屬于安全保密策略。例如：禁止（工作或技術(shù)人員）將涉密軟盤或移動存儲設(shè)備帶出涉密場所；嚴禁（使用人員將）涉密計算機（連）上互聯(lián)網(wǎng)；不允許（參觀人員）在涉密場所拍照、錄像等。

信息安全保密機制，是指實施信息安全保密策略的一種方法、工具或者規(guī)程。例如，針對前面給出的保密策略，可分別采取以下機制：為涉密移動存儲設(shè)備安裝射頻標識，為涉密場所安裝門禁和報警系統(tǒng)；登記上網(wǎng)計算機的（物理）地址，實時監(jiān)控上網(wǎng)設(shè)備；進入涉密場所前，托管所有攝錄像設(shè)備等。

根據(jù)信息系統(tǒng)和信息網(wǎng)絡(luò)的安全保密需求，在制定其安全保密策略時，應(yīng)主要從物理安全保密策略，系統(tǒng)或網(wǎng)絡(luò)的訪問控制策略，信息的加密策略，系統(tǒng)及網(wǎng)絡(luò)的安全管理策略，人員安全管理策略，內(nèi)容監(jiān)管策略等方面入手。在安全保密機制方面，應(yīng)主要從組織管理、安全控制和教育培訓(xùn)等方面，針對給出的安全保密策略，確定詳細的操作或運行規(guī)程，技術(shù)標準和安全解決方案。

三、信息安全保密的服務(wù)支持體系

信息安全保密的服務(wù)支持體系，主要是由技術(shù)檢查服務(wù)、調(diào)查取證服務(wù)、風(fēng)險管理服務(wù)、系統(tǒng)測評服務(wù)、應(yīng)急響應(yīng)服務(wù)和咨詢培訓(xùn)服務(wù)組成的，如圖2所示。其中，風(fēng)險管理服務(wù)必須貫穿到信息安全保密的整個工程中，要在信息系統(tǒng)和信息網(wǎng)絡(luò)規(guī)劃與建設(shè)的初期，就進行專業(yè)的安全風(fēng)險評估與分析，并在系統(tǒng)或網(wǎng)絡(luò)的運營管理過程中，經(jīng)常性地開展保密風(fēng)險評估工作，采取有效的措施控制風(fēng)險，只有這樣才能提高信息安全保密的效益和針對性，增強系統(tǒng)或網(wǎng)絡(luò)的安全可觀性、可控性。其次，還要大力加強調(diào)查取證服務(wù)、應(yīng)急響應(yīng)服務(wù)和咨詢培訓(xùn)服務(wù)的建設(shè)，對突發(fā)性的失泄密事件能夠快速反應(yīng)，同時盡可能提高信息系統(tǒng)、信息網(wǎng)絡(luò)管理人員的安全技能，以及他們的法規(guī)意識和防范意識，做到“事前有準備，事后有措施，事中有監(jiān)察”。

加強信息安全保密服務(wù)的主要措施包括： 借用安全評估服務(wù)幫助我們了解自身的安全性

通過安全掃描、滲透測試、問卷調(diào)查等方式對信息系統(tǒng)及網(wǎng)絡(luò)的資產(chǎn)價值、存在的脆弱性和面臨的威脅進行分析評估，確定失泄密風(fēng)險的大小，并實施有效的安全風(fēng)險控制。采用安全加固服務(wù)來增強信息系統(tǒng)的自身安全性 具體包括操作系統(tǒng)的安全修補、加固和優(yōu)化；應(yīng)用服務(wù)的安全修補、加固和優(yōu)化；網(wǎng)絡(luò)設(shè)備的安全修補、加固和優(yōu)化；現(xiàn)有安全制度和策略的改進與完善等。部署專用安全系統(tǒng)及設(shè)備提升安全保護等級

借助目前成熟的安全技術(shù)和產(chǎn)品來幫助我們提升整個系統(tǒng)及網(wǎng)絡(luò)的安全防護等級，可采用的產(chǎn)品包括防火墻、IDS、VPN、防病毒網(wǎng)關(guān)等。

運用安全控制服務(wù)增強信息系統(tǒng)及網(wǎng)絡(luò)的安全可觀性、可控性

通過部署面向終端、服務(wù)器和網(wǎng)絡(luò)邊界的安全控制系統(tǒng)，以及集中式的安全控制平臺，增強對整個信息系統(tǒng)及網(wǎng)絡(luò)的可觀性，以及對使用網(wǎng)絡(luò)的人員、網(wǎng)絡(luò)中的設(shè)備及其所提供服務(wù)的可控性。

加強安全保密教育培訓(xùn)來減少和避免失泄密事件的發(fā)生 加強信息安全基礎(chǔ)知識及防護技能的培訓(xùn)，尤其是個人終端安全技術(shù)的培訓(xùn)，提高使用和管理人員的安全保密意識，以及檢查入侵、查處失泄密事件的能力。引入應(yīng)急響應(yīng)服務(wù)及時有效地處理重大失泄密事件

具體包括：協(xié)助恢復(fù)系統(tǒng)到正常工作狀態(tài)；協(xié)助檢查入侵來源、時間、方法等；對網(wǎng)絡(luò)進行安全評估，找出存在的安全隱患；做出事件分析報告；制定并貫徹實施安全改進計劃。采用安全通告服務(wù)來對竊密威脅提前預(yù)警 具體包括對緊急事件的通告，對安全漏洞和最新補丁的通告，對最新防護技術(shù)及措施的通告，對國家、軍隊的安全保密政策法規(guī)和安全標準的通告等。

四、信息安全保密的標準規(guī)范體系 信息安全保密的標準規(guī)范體系，主要是由國家和軍隊相關(guān)安全技術(shù)標準構(gòu)成的，如圖3所示。這些技術(shù)標準和規(guī)范涉及到物理場所、電磁環(huán)境、通信、計算機、網(wǎng)絡(luò)、數(shù)據(jù)等不同的對象，涵蓋信息獲取、存儲、處理、傳輸、利用和銷毀等整個生命周期。既有對信息載體的相關(guān)安全保密防護規(guī)定，也有對人員的管理和操作要求。因此，它們是設(shè)計信息安全保密解決方案，提供各種安全保密服務(wù)，檢查與查處失泄密事件的準則和依據(jù)。各部門應(yīng)該根據(jù)本單位信息系統(tǒng)、信息網(wǎng)絡(luò)的安全保密需求，以及組織結(jié)構(gòu)和使用維護人員的配置情況，制定相應(yīng)的，操作性和針對性更強的技術(shù)和管理標準。

五、信息安全保密的技術(shù)防范體系 信息安全保密的技術(shù)防范體系，主要是由電磁防護技術(shù)、信息終端防護技術(shù)、通信安全技術(shù)、網(wǎng)絡(luò)安全技術(shù)和其他安全技術(shù)組成的。這些技術(shù)措施的目的，是為了從信息系統(tǒng)和信息網(wǎng)絡(luò)的不同層面保護信息的機密性、完整性、可用性、可控性和不可否認性，進而保障信息及信息系統(tǒng)的安全，提高信息系統(tǒng)和信息網(wǎng)絡(luò)的抗攻擊能力和安全可靠性。安全保密技術(shù)是隨著信息技術(shù)、網(wǎng)絡(luò)技術(shù)，以及各種入侵與攻擊技術(shù)的發(fā)展不斷完善和提高的，一些最新的安全防護技術(shù)，如可信計算技術(shù)、內(nèi)網(wǎng)監(jiān)控技術(shù)等，可以極大地彌補傳統(tǒng)安全防護手段存在的不足，這就為我們降低安全保密管理的難度和成本，提高信息系統(tǒng)和信息網(wǎng)絡(luò)的安全可控性和可用性，奠定了技術(shù)基礎(chǔ)。因此，信息安全保密的技術(shù)防范體系，是構(gòu)建信息安全保密體系的一個重要組成部分，應(yīng)該在資金到位和技術(shù)可行的情況下，盡可能采用最新的、先進的技術(shù)防護手段，這樣才能有效抵御不斷出現(xiàn)的安全威脅。

六、信息安全保密的管理保障體系

俗話說，信息安全是“三分靠技術(shù)，七分靠管理”。信息安全保密的管理保障體系，主要是從技術(shù)管理、制度管理、資產(chǎn)管理和風(fēng)險管理等方面，加強安全保密管理的力度，使管理成為信息安全保密工作的重中之重。

技術(shù)管理主要包括對泄密隱患的技術(shù)檢查，對安全產(chǎn)品、系統(tǒng)的技術(shù)測評，對各種失泄密事件的技術(shù)取證；制度管理主要是指各種信息安全保密制度的制定、審查、監(jiān)督執(zhí)行與落實；資產(chǎn)管理主要包括涉密人員的管理，重要信息資產(chǎn)的備份恢復(fù)管理，涉密場所、計算機和網(wǎng)絡(luò)的管理，涉密移動通信設(shè)備和存儲設(shè)備的管理等；風(fēng)險管理主要是指保密安全風(fēng)險的評估與控制。

現(xiàn)有的安全管理，重在保密技術(shù)管理，而極大地忽視了保密風(fēng)險管理，同時在制度管理和資產(chǎn)管理等方面也存在很多問題，要么是管理制度不健全，落實不到位；要么是一些重要的資產(chǎn)監(jiān)管不利，這就給失竊密和遭受網(wǎng)絡(luò)攻擊帶來了人為的隱患。加強安全管理，不但能改進和提高現(xiàn)有安全保密措施的效益，還能充分發(fā)揮人員的主動性和積極性，使信息安全保密工作從被動接受變成自覺履行。

七、信息安全保密的工作能力體系

將技術(shù)、管理與標準規(guī)范結(jié)合起來，以安全保密策略和服務(wù)為支持，就能合力形成信息安全保密工作的能力體系，如圖4所示。該能力體系既是信息安全保密工作效益與效率的體現(xiàn)，也能反映出當前信息安全保密工作是否到位。它以防護、檢測、響應(yīng)、恢復(fù)為核心，對信息安全保密的相關(guān)組織和個人進行工作考評，并通過標準化、流程化的方式加以持續(xù)改進，使信息安全保密能力隨著信息化建設(shè)的進展不斷提高。

八、結(jié)論

技術(shù)與管理相結(jié)合，是構(gòu)建信息安全保密體系應(yīng)該把握的核心原則。為了增強信息系統(tǒng)和信息網(wǎng)絡(luò)的綜合安全保密能力，重點應(yīng)該在健全上述保密體系，尤其是組織體系、管理體系、服務(wù)體系和制度（技術(shù)標準及規(guī)范）體系的基礎(chǔ)上，規(guī)范數(shù)據(jù)備份、密鑰管理、訪問授權(quán)、風(fēng)險控制、身份認證、應(yīng)急響應(yīng)、系統(tǒng)及應(yīng)用安全等管理方案，努力提高系統(tǒng)漏洞掃描、信息內(nèi)容監(jiān)控、安全風(fēng)險評估、入侵事件檢測、病毒預(yù)防治理、系統(tǒng)安全審計、網(wǎng)絡(luò)邊界防護等方面的技術(shù)水平。

參考文獻：

[1]信息與網(wǎng)絡(luò)安全研究新進展．全國計算機安全學(xué)術(shù)交流會論文集．第二十二卷[C]．合肥：中國科技大學(xué)出版社, 2007 [2]中國計算機學(xué)會信息保密專業(yè)委員會論文集．第十六卷[C]．合肥：中國科技大學(xué)出版社, 2006 [3]胡建偉．網(wǎng)絡(luò)安全與保密[M]．西安：西安電子科技大學(xué)出版社, 2003

第五篇：構(gòu)建信息安全保密體系.

構(gòu)建信息安全保密體系

摘要:信息安全保密已經(jīng)成為當前保密工作的重點。本文從策略和機制的角度出發(fā),給出了信息安全保密的服務(wù)支持、標準規(guī)范、技術(shù)防范、管理保障和工作能力體系,體現(xiàn)了技術(shù)與管理相結(jié)合的信息安全保密原則。

關(guān)鍵詞:信息安全保密體系

一、引言

構(gòu)建信息安全保密體系,不能僅僅從技術(shù)層面入手,而應(yīng)該將管理和技術(shù)手段有機結(jié)合起來,用規(guī)范的制度約束人,同時建立、健全信息安全保密的組織體制,改變現(xiàn)有的管理模式,彌補技術(shù)、制度、體制等方面存在的不足,從標準、技術(shù)、管理、服務(wù)、策略等方面形成綜合的信息安全保密能力,如圖1所示。

圖1 信息安全保密的體系框架

該保密體系是以信息安全保密策略和機制為核心,以信息安全保密服務(wù)為支持,以標準規(guī)范、安全技術(shù)和組織管理體系為具體內(nèi)容,最終形成能夠滿足信息安全保密需求的工作能力。

二、信息安全保密的策略和機制

所謂信息安全保密策略,是指為了保護信息系統(tǒng)和信息網(wǎng)絡(luò)中的秘密,對使用者(及其代理允許什么、禁止什么的規(guī)定。從信息資產(chǎn)安全管理的角度出發(fā),為了保護涉密信息資產(chǎn),消除或降低泄密風(fēng)險,制訂的各種綱領(lǐng)、制度、規(guī)范和操作流程等,都屬于安全保密策略。例如:禁止(工作或技術(shù)人員將涉密軟盤或移動存儲設(shè)備帶出涉密場所;嚴禁(使用人員將涉密計算機(連上互聯(lián)網(wǎng);不允許(參觀人員在涉密場所拍照、錄像等。

信息安全保密機制,是指實施信息安全保密策略的一種方法、工具或者規(guī)程。例如,針對前面給出的保密策略,可分別采取以下機制:為涉密移動存儲設(shè)備安裝射頻標識,為涉密場所安裝門禁和報警系統(tǒng);登記上網(wǎng)計算機的(物理地址,實時監(jiān)控上網(wǎng)設(shè)備;進入涉密場所前,托管所有攝錄像設(shè)備等。

根據(jù)信息系統(tǒng)和信息網(wǎng)絡(luò)的安全保密需求,在制定其安全保密策略時,應(yīng)主要從物理安全保密策略,系統(tǒng)或網(wǎng)絡(luò)的訪問控制策略,信息的加密策略,系統(tǒng)及網(wǎng)絡(luò)的安全管理策略,人員安全管理策略,內(nèi)容監(jiān)管策略等方面入手。在安全保密機制方面,應(yīng)主要從組織管理、安全控制和教育培訓(xùn)等方面,針對給出的安全保密策略,確定詳細的操作或運行規(guī)程,技術(shù)標準和安全解決方案。

三、信息安全保密的服務(wù)支持體系

信息安全保密的服務(wù)支持體系,主要是由技術(shù)檢查服務(wù)、調(diào)查取證服務(wù)、風(fēng)險管理服務(wù)、系統(tǒng)測評服務(wù)、應(yīng)急響應(yīng)服務(wù)和咨詢培訓(xùn)服務(wù)組成的,如圖2所示。其中,風(fēng)險管理服務(wù)必須貫穿到信息安全保密的整個工程中,要在信息系統(tǒng)和信息網(wǎng)絡(luò)規(guī)劃與建設(shè)的初期,就進行專業(yè)的安全風(fēng)險評估與分析,并在系統(tǒng)或網(wǎng)絡(luò)的運營管理過程中,經(jīng)常性地開展保密風(fēng)險評估工作,采取有效的措施控制風(fēng)險,只有這樣才能提高信息安全保密的效益和針對性,增強系統(tǒng)或網(wǎng)絡(luò)的安全可觀性、可控性。其次,還要大力加強調(diào)查取證服務(wù)、應(yīng)急響應(yīng)服務(wù)和咨詢培訓(xùn)服務(wù)的建設(shè),對突發(fā)性的失泄密事件能夠快速反應(yīng),同時盡可能提高信息系統(tǒng)、信息網(wǎng)絡(luò)管理人員的安全技能,以及他們的法規(guī)意識和防范意識,做到“事前有準備,事后有措施,事中有監(jiān)察”。

加強信息安全保密服務(wù)的主要措施包括: 借用安全評估服務(wù)幫助我們了解自身的安全性

通過安全掃描、滲透測試、問卷調(diào)查等方式對信息系統(tǒng)及網(wǎng)絡(luò)的資產(chǎn)價值、存在的脆弱性和面臨的威脅進行分析評估,確定失泄密風(fēng)險的大小,并實施有效的安全風(fēng)險控制。

采用安全加固服務(wù)來增強信息系統(tǒng)的自身安全性

具體包括操作系統(tǒng)的安全修補、加固和優(yōu)化;應(yīng)用服務(wù)的安全修補、加固和優(yōu)化;網(wǎng)絡(luò)設(shè)備的安全修補、加固和優(yōu)化;現(xiàn)有安全制度和策略的改進與完善等。

部署專用安全系統(tǒng)及設(shè)備提升安全保護等級

借助目前成熟的安全技術(shù)和產(chǎn)品來幫助我們提升整個系統(tǒng)及網(wǎng)絡(luò)的安全防護等級,可采用的產(chǎn)品包括防火墻、IDS、VPN、防病毒網(wǎng)關(guān)等。

運用安全控制服務(wù)增強信息系統(tǒng)及網(wǎng)絡(luò)的安全可觀性、可控性

通過部署面向終端、服務(wù)器和網(wǎng)絡(luò)邊界的安全控制系統(tǒng),以及集中式的安全控制平臺,增強對整個信息系統(tǒng)及網(wǎng)絡(luò)的可觀性,以及對使用網(wǎng)絡(luò)的人員、網(wǎng)絡(luò)中的設(shè)備及其所提供服務(wù)的可控性。

加強安全保密教育培訓(xùn)來減少和避免失泄密事件的發(fā)生

加強信息安全基礎(chǔ)知識及防護技能的培訓(xùn),尤其是個人終端安全技術(shù)的培訓(xùn),提高使用和管理人員的安全保密意識,以及檢查入侵、查處失泄密事件的能力。

引入應(yīng)急響應(yīng)服務(wù)及時有效地處理重大失泄密事件

具體包括:協(xié)助恢復(fù)系統(tǒng)到正常工作狀態(tài);協(xié)助檢查入侵來源、時間、方法等;對網(wǎng)絡(luò)進行安全評估,找出存在的安全隱患;做出事件分析報告;制定并貫徹實施安全改進計劃。

采用安全通告服務(wù)來對竊密威脅提前預(yù)警

具體包括對緊急事件的通告,對安全漏洞和最新補丁的通告,對最新防護技術(shù)及措施的通告,對國家、軍隊的安全保密政策法規(guī)和安全標準的通告等。

四、信息安全保密的標準規(guī)范體系

信息安全保密的標準規(guī)范體系,主要是由國家和軍隊相關(guān)安全技術(shù)標準構(gòu)成的,如圖3所示。這些技術(shù)標準和規(guī)范涉及到物理場所、電磁環(huán)境、通信、計算機、網(wǎng)絡(luò)、數(shù)據(jù)等不同的對象,涵蓋信息獲取、存儲、處理、傳輸、利用和銷毀等整個生命周期。既有對信息載體的相關(guān)安全保密防護規(guī)定,也有對人員的管理和操作要求。因此,它們是設(shè)計信息安全保密解決方案,提供各種安全保密服務(wù),檢查與查處失泄密事件的準則和依據(jù)。各部門應(yīng)該根據(jù)本單位信息系統(tǒng)、信息網(wǎng)絡(luò)的安全保密需

求,以及組織結(jié)構(gòu)和使用維護人員的配置情況,制定相應(yīng)的,操作性和針對性更強的技術(shù)和管理標準。

五、信息安全保密的技術(shù)防范體系

信息安全保密的技術(shù)防范體系,主要是由電磁防護技術(shù)、信息終端防護技術(shù)、通信安全技術(shù)、網(wǎng)絡(luò)安全技術(shù)和其他安全技術(shù)組成的。這些技術(shù)措施的目的,是為了從信息系統(tǒng)和信息網(wǎng)絡(luò)的不同層面保護信息的機密性、完整性、可用性、可控性和不可否認性,進而保障信息及信息系統(tǒng)的安全,提高信息系統(tǒng)和信息網(wǎng)絡(luò)的抗攻擊能力和安全可靠性。安全保密技術(shù)是隨著信息技術(shù)、網(wǎng)絡(luò)技術(shù),以及各種入侵與攻擊技術(shù)的發(fā)展不斷完善和提高的,一些最新的安全防護技術(shù),如可信計算技術(shù)、內(nèi)網(wǎng)監(jiān)控技術(shù)等,可以極大地彌補傳統(tǒng)安全防護手段存在的不足,這就為我們降低安全保密管理的難度和成本,提高信息系統(tǒng)和信息網(wǎng)絡(luò)的安全可控性和可用性,奠定了技術(shù)基礎(chǔ)。因此,信息安全保密的技術(shù)防范體系,是構(gòu)建信息安全保密體系的一個重要組成部分,應(yīng)該在資金到位和技術(shù)可行的情況下,盡可能采用最新的、先進的技術(shù)防護手段,這樣才能有效抵御不斷出現(xiàn)的安全威脅。

六、信息安全保密的管理保障體系

俗話說,信息安全是“三分靠技術(shù),七分靠管理”。信息安全保密的管理保障體系,主要是從技術(shù)管理、制度管理、資產(chǎn)管理和風(fēng)險管理等方面,加強安全保密管理的力度,使管理成為信息安全保密工作的重中之重。

技術(shù)管理主要包括對泄密隱患的技術(shù)檢查,對安全產(chǎn)品、系統(tǒng)的技術(shù)測評,對各種失泄密事件的技術(shù)取證;制度管理主要是指各種信息安全保密制度的制定、審查、監(jiān)督執(zhí)行與落實;資產(chǎn)管理主要包括涉密人員的管理,重要信息資產(chǎn)的備份恢復(fù)管理,涉密場所、計算機和網(wǎng)

絡(luò)的管理,涉密移動通信設(shè)備和存儲設(shè)備的管理等;風(fēng)險管理主要是指保密安全風(fēng)險的評估與控制。

現(xiàn)有的安全管理,重在保密技術(shù)管理,而極大地忽視了保密風(fēng)險管理,同時在制度管理和資產(chǎn)管理等方面也存在很多問題,要么是管理制度不健全,落實不到位;要么是一些重要的資產(chǎn)監(jiān)管不利,這就給失竊密和遭受網(wǎng)絡(luò)攻擊帶來了人為的隱患。加強安全管理,不但能改進和提高現(xiàn)有安全保密措施的效益,還能充分發(fā)揮人員的主動性和積極性,使信息安全保密工作從被動接受變成自覺履行。

七、信息安全保密的工作能力體系

將技術(shù)、管理與標準規(guī)范結(jié)合起來,以安全保密策略和服務(wù)為支持,就能合力形成信息安全保密工作的能力體系,如圖4所示。該能力體系既是信息安全保密工作效益與效率的體現(xiàn),也能反映出當前信息安全保密工作是否到位。它以防護、檢測、響應(yīng)、恢復(fù)為核心,對信息安全保密的相關(guān)組織和個人進行工作考評,并通過標準化、流程化的方式加以持續(xù)改進,使信息安全保密能力隨著信息化建設(shè)的進展不斷提高。

八、結(jié)論

技術(shù)與管理相結(jié)合,是構(gòu)建信息安全保密體系應(yīng)該把握的核心原則。為了增強信息系統(tǒng)和信息網(wǎng)絡(luò)的綜合安全保密能力,重點應(yīng)該在健全上述保密體系,尤其是組織體系、管理體系、服務(wù)體系和制度(技術(shù)標準及規(guī)范體系的基礎(chǔ)上,規(guī)范數(shù)據(jù)備份、密鑰管理、訪問授權(quán)、風(fēng)險控制、身份認證、應(yīng)急響應(yīng)、系統(tǒng)及應(yīng)用安全等管理方案,努力提高系統(tǒng)漏洞掃描、信息內(nèi)容監(jiān)控、安全風(fēng)險評估、入侵事件檢測、病毒預(yù)防治理、系統(tǒng)安全審計、網(wǎng)絡(luò)邊界防護等方面的技術(shù)水平。

參考文獻: [1]信息與網(wǎng)絡(luò)安全研究新進展.全國計算機安全學(xué)術(shù)交流會論文集.第二十二卷[C].合肥:中國科技大學(xué)出版社, 2007 [2]中國計算機學(xué)會信息保密專業(yè)委員會論文集.第十六卷[C].合肥:中國科技大學(xué)出版社, 2006

[3]胡建偉.網(wǎng)絡(luò)安全與保密[M].西安:西安電子科技大學(xué)出版社, 2003