信息安全概述一、信息安全的概念信息作为一种资源，它的普遍性、共享性、增值性、可处理性和多效用性， 使其对于人类具有特别重要的意义。信息安全的实质就是要保护信息系统或信息 网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。根 据国际标准化组织的定义，信息安全性的含义主要是指信息的完整性、可用性、 保密性和可靠性。信息安全是任何国家、政府、部门、行业都必须十分重视的问 题，是一个不容忽视的国家安全战略。但是，对于不同的部门和行业来说，其对 信息安全的要求和重点却是有区别的。信息安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息 安全技术、应用数学、数论、信息论等多种学科的综合性学科。信息安全是指信 息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而 遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。二、面临的主要威胁信息安全的威胁来自方方面面，根据其性质，基本上可以归结为以下几个 方面：1) 信息泄露：保护的信息被泄露或透露给某个非授权的实体。2) 破坏信息的完整性：数据被非授权地进行增删、修改或破坏而受到损失。3) 拒绝服务：信息使用者对信息或其他资源的合法访问被无条件地阻止。4) 非法使用(非授权访问 )：某一资源被某个非授权的人，或以非授权的方 式使用。5) 窃听：用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信 息。例如对通信线路中传输的信号搭线监听，或者利用通信设备在工作过 程中产生的电磁泄露截取有用信息等。6) 业务流分析：通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等参数进行研究，从中发现有价值的信息和规律。7) 假冒：通过欺骗通信系统(或用户)达到非法用户冒充成为合法用户， 或者特权小的用户冒充成为特权大的用户的目的。我们平常所说的黑客大 多采用的就是假冒攻击。8) 旁路控制：攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非授 权的权利或特权。例如，攻击者通过各种攻击手段发现原本应保密，但是 却又暴露出来的一些系统“特性”，利用这些“特性”，攻击者可以绕过防 线守卫者侵入系统的内部。9) 授权侵犯：被授权以某一目的使用某一系统或资源的某个人，却将此权 限用于其他非授权的目的，也称作“内部攻击”。10) 抵赖：这是一种来自用户的攻击，涵盖范围比较广泛，比如：否认 自己曾经发布过的某条消息、伪造一份对方来信等。11) 计算机病毒：这是一种在计算机系统运行过程中能够实现传染和侵 害功能的程序，行为类似病毒，故称作计算机病毒。12) 信息安全法律法规不完善：由于当前约束操作信息行为的法律法规 还很不完善，存在很多漏洞，很多人打法律的擦边球，这就给信息窃取、 信息破坏者以可趁之机。三、信息安全实现的目标所有的信息安全技术都是为了达到一定的安全目标，其核心包括 保密性、 完整性、可用性、可控性和不可否认性五个安全目标。1. 保密性保密性(Confidentiality)是指阻止非授权的主体阅读信息。它是信息安全一诞 生就具有的特性，也是信息安全主要的研究内容之一。更通俗地讲，就是说未授 权的用户不能够获取敏感信息。对纸质文档信息，我们只需要保护好文件，不被 非授权者接触即可。而对计算机及网络环境中的信息，不仅要制止非授权者对信 息的阅读。也要阻止授权者将其访问的信息传递给非授权者，以致信息被泄漏。2. 完整性完整性(Integrity)是指防止信息被未经授权的篡改。它是保护信息保持原始 的状态，使信息保持其真实性。如果这些信息被蓄意地修改、插入、删除等，形 成虚假信息将带来严重的后果。3. 可用性可用性(Usability )是指授权主体在需要信息时能及时得到服务的能力。可用 性是在信息安全保护阶段对信息安全提出的新要求，也是在网络化空间中必须满 足的一项信息安全要求。4. 可控性可控性(Controlability)是指对信息和信息系统实施安全监控管理，防止非法 利用信息和信息系统。5. 不可否认性不可否认性(N on-repudiation)是指在网络环境中，信息交换的双方不能否认 其在交换过程中发送信息或接收信息的行为。信息安全的保密性、完整性和可用性(这三个称为“CIA”主要强调对非 授权主体的控制。而对授权主体的不正当行为如何控制呢?信息安全的可控性和 不可否认性恰恰是通过对授权主体的控制，实现对保密性、完整性和可用性的有 效补充，主要强调授权用户只能在授权范围内进行合法的访问，并对其行为进 行监督和审查。除了上述的信息安全五性外，还有信息安全的可审计性(Audiability)、可鉴 别性(Authenticity)等。信息安全的 可审计性是指信息系统的行为人不能否认自己的信息处理行 为。与不可否认性的信息交换过程中行为可认定性相比，可审计性的含义更宽泛 一些。1 0信息安全的可见鉴别性是指信息的接收者能对信息的发送者的身份进行判 定。它也是一个与不可否认性相关的概念。四、信息安全的原则为了达到信息安全的目标，各种信息安全技术的使用必须遵守一些基本的 原则。1. 最小化原则 受保护的敏感信息只能在一定范围内被共享，履行工作职责和职能的安全 主体，在法律和相关安全策略允许的前提下，为满足工作需要。仅被授予其访问 信息的适当权限，称为最小化原则。敏感信息的。知情权”一定要加以限制，是 在“满足工作需要”前提下的一种限制性开放。可以将最小化原则细分为知所必 须(need to know)和用所必须(need协峨)的原则2. 分权制衡原则在信息系统中，对所有权限应该进行适当地划分，使每个授权主体只能拥 有其中的一部分权限，使他们之间相互制约、相互监督，共同保证信息系统的安 全。如果个授权主体分配的权限过大，无人监督和制约，就隐含了“滥用权力”、 “一言九鼎”的安全隐患。3. 安全隔离原则隔离和控制是实现信息安全的基本方法，而隔离是进行控制的基础。信息 安全的一个基本策略就是将信息的主体与客体分离，按照一定的安全策略，在可 控和安全的前提下实施主体对客体的访问。在这些基本原则的基础上，人们在生产实践过程中还总结出的一些实施原 则，他们是基本原则的具体体现和扩展。包括：整体保护原则、谁主管谁负责原 则、适度保护的等级化原则、分域保护原则、动态保护原则、多级保护原则、 深度保护原则和信息流向原则等。五、信息安全管理体系引起信息安全问题主要有两方面的因素： 一是技术因素。网络系统本身存在的安全脆弱性。 二是管理因素。组织内部没有建立相应的信息安全管理制度。据有关部门 统计，在所有的计算机安全事件中，约有 52%是人为因素造成的，25%由火灾、 水灾等自然灾害引起，技术错误占10%，组织内部人员作案占 10%，仅有 3%左 右是由外部不法人员的攻击造成。简单归类，属于管理方面的原因比重高达 70% 以上，这正应了人们常说的“三分技术，七分管理”的箴言。因此，解决网络与信 息安全问题，不仅应从技术方面着手，更应加强网络信息安全的管理工作。1. ISO27000:2005随着在世界范围内，信息化水平的不断发展，信息安全逐渐成为人们关注 的焦点，世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。 英国、美国、挪威、瑞典、芬兰、澳大利亚等国均制定了有关信息安全的本国标 准，国际标准化组织（ISO）也发布了 ISO17799、ISO13335、ISO15408等与信息 安全相关的国际标准及技术报告。目前，在信息安全管理方面，英国标准 ISO27000:2005 已经成为世界上应用最广泛与典型的信息安全管理标准，它是在 BSI/DISC的BDD/2信息安全管理委员会指导下制定完成。ISO27001标准于1993年由英国贸易工业部立项，于1995年英国首次出版 BS 7799-1：1995信息安全管理实施细则，它提供了一套综合的、由信息安全 最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需 控制范围的唯一参考基准，并且适用于大、中、小组织。 1998 年英国公布标准 的第二部分信息安全管理体系规范，它规定信息安全管理体系要求与信息安 全控制要求，它是一个组织的全面或部分信息安全管理体系评估的基础，它可以 作为一个正式认证方案的根据。 ISO27000-1 与 ISO27000-2 经过修订于 1999 年 重新予以发布， 1999 版考虑了信息处理技术，尤其是在网络和通信领域应用的 近期发展，同时还非常强调了商务涉及的信息安全及信息安全的责任。 2000 年 12月，ISO27000-1： 1999信息安全管理实施细则通过了国际标准化组织ISO 的认可，正式成为国际标准ISO/IEC17799-1： 2000信息技术-信息安全管理实施细则。 2002 年 9 月 5 日， ISO27000-2:2002 草案经过广泛的讨论之后，终 于发布成为正式标准，同时 ISO27000-2:1999 被废止。现在， ISO27000:2005 标 准已得到了很多国家的认可，是国际上具有代表性的信息安全管理体系标准。该标准包括 11 个章节：1）安全策略2）信息安全的组织3）资产管理4）人力资源安全5）物理和环境安全6）通信和操作管理7）访问控制8 ）系统采集、开发和维护9）信息安全事故管理10）业务连续性管理11) 符合性2. 信息安全解决方案基于国际标准ISO/IEC27001:2005的信息安全管理体系(Information Security Management System, ISMS)是目前国际上先进的信息安全解决方案，正在被越 来越多的组织所采用。它运用 PDCA 过程方法和 133 项信息安全控制措施来帮 助组织解决信息安全问题，实现信息安全目标。ISMS认证是一个组织证明其信 息安全水平和能力符合国际标准要求的有效手段，它将帮助组织节约信息安全成 本，增强客户、合作伙伴等相关方的信心和信任，提高组织的公众形象和竞争力。六、风险评估全风险评估是对信息和信息处理设施的威胁、影响和脆弱性及三者发生的 可能性的评估。风险评估也是确认安全风险及其大小的过程，即利用适当的风险 评估工具和方法，确定资产风险等级和优先控制顺序。可从以下几方面进行信息 安全评估：1 、风险评估应考虑的因素：( 1)信息资产及其价值；(2)对这些资产的威胁，以及它们发生的可能性；( 3 )脆弱性；(4) 已有的安全控制措施。2、信息安全评估的步骤：(1) 按照组织业务运作流程进行资产识别，并根据估价原则对资产进行 估价；(2) 根据资产所处的环境进行威胁评估；(3) 对应每一威胁，对资产或组织存在的脆弱性进行评估；( 4)对已采取的安全机制进行识别和确认；(5) 建立风险测量的方法及风险等级评价原则，确定风险的大小与等级七、安全审计1. 安全审计的概念指由专业审计人员根据有关的法律法规、财产所有者的委托和管理当局的 授权，对计算机网络环境下的有关活动或行为进行系统的、独立的检查验证 ,并 作出相应评价。2. 安全审计的内容安全审计涉及四个基本要素：控制目标是指企业根据具体的计算机应用，结合单位实际制定出的安全控 制要求。安全漏洞是指系统的安全薄弱环节,容易被干扰或破坏的地方。控制措施是指企业为实现其安全控制目标所制定的安全控制技术、配置方 法及各种规范制度。控制测试是将企业的各种安全控制措施与预定的安全标准进行一致性比较, 确定各项控制措施是否存在、是否得到执行、对漏洞的防范是否有效 ,评价企业 安全措施的可依赖程度。