軟考-資訊系統項目管理師-資訊系統安全管理

一、資訊系統安全政策

1、“七定”安全政策：

（1）定方案、定崗、定位、定員、定目标、定制度、定工作流程。

（2）按照系統安全政策"七定”要求，系統安全政策首先要解決定方案，其次就是定崗。

2、資訊系統安全保護等級的概念

（1）第一級使用者自主保護級。适用于普通内聯網使用者

（2）第二級系統審計保護級。适用于通過内聯網或國際網進行商務活動，需要保密的非重要機關。

（3）第三級安全标記保護級。适用于地方各級國家機關、金融機關機構、郵電通信、能源與水源供給部門、交通運輸、大型工商與資訊技術企業、重點工程建設等機關。

（4）第四級結構化保護級。适用于中央級國家機關、廣播電視部門、重要物資儲備機關、社會應急服務部門、尖端科技企業集團、國家重點科研機關機構和國防建設等部門。

（5）第五級通路驗證保護級。适用于國防關鍵部門和依法需要對計算機資訊系統實施特殊隔離的機關。

3、資訊安全保護等級的決定要素：

（1）受侵害的客體。等級保護對象受到破壞時所侵害的客體包括公民、法人和其他組織的合法權益；社會秩序、公共利益;國家安全。

（2）對客體的侵害程度。對客體造成侵害的程度分為造成一般損害；造成嚴重損害；造成特别嚴重損害。

4、基于角色的通路控制

通路授權方案主要有四種

（1）自主通路式(DAC)：對每個使用者指明能夠通路的資源，對于不在指定的資源清單中的對象不允許通路。

（2）通路控制清單方式(ACL)：目标資源擁有通路權限清單，指明允許哪些使用者通路。

（3）強制通路控制式(MAC)：在軍事和安全部門應用最多。通路者擁有包含等級清單的許可，其中定義了可以通路哪個級别的目标。

（4）基于角色的通路控制方式(RBAC)：該模型首先定乂—個組織内的角色，再根據管理規定給這些角色配置設定相應的權限，最後對組織内的每個人根據具體業務和職務配置設定一個或多個角色。RBAC中的角色由應用系統的管理者定義。

5、安全審計功能

    CC(即 Common critoria iso/IEC17859)标準将安全審計功能分為6個部分，分别是安全審計自動響應功能，安全審計自動生成功能，安全審計分析功能，安全審計浏覽功能，安全審計事件選擇功能，安全審計事件存儲功能。

（1）安全審計自動響應功能定義在被測事件訓示出一個潛在的安全攻擊時做出的響應，它是管理審計事件的需要，這些需要包括報警或行動。

（2）安全審計自動生成功能要求記錄與安全相關的事件的出現，包括鑒别審計層次、列舉可被審計的事件類型，以及鑒别由各種審計記錄類型提供的相關審計資訊的最小集合。

（3）安全審計分析功能定義了分析系統活動和審計資料來尋找可能的或真正的安全違規操作。

（4）安全審計浏覽功能要求審計系統能夠使授權的使用者有效地浏覽審計資料，它包括審計浏覽、有限審計浏覽、可選審計浏覽。