2023年《安全管理》之信息系统安全问题浅谈.docx

关于信息系统平安问题浅谈 一、概述 根据信息系统平安的整体结构来看，信息系统平安可从五个层面：物理、网络、主机系统、应用系统和数据对系统进行保护，因此，技术类平安要求也相应的分为五个层面上的平安要求： ◆物理层面平安要求：主要是从外界环境、根底设施、运行硬件、介质等方面为信息系统的平安运行提供根本的后台支持和保证； ◆网络层面平安要求：为信息系统能够在平安的网络环境中运行提供支持，确保网络系统平安运行，提供有效的网络效劳； ◆主机层面平安要求：在物理、网络层面平安的情况下，提供平安的操作系统和平安的数据库管理系统，以实现操作系统和数据库管理系统的平安运行； ◆应用层面平安要求：在物理、网络、系统等层面平安的支持下，实现用户平安需求所确定的平安目标； ◆数据及备份恢复层面平安要求：全面关注信息系统中存储、传输、处理等过程的数据的平安性。 二、关于物理平安 物理平安保护的目的主要是使存放计算机、网络设备的机房以及信息系统的设备和存储数据的介质等免受物理环境、自然灾难以及人为操作失误和恶意操作等各种威胁所产生的攻击。物理平安是防护信息系统平安的最底层，缺乏物理平安，其他任何平安措施都是毫无意义的。 物理平安主要涉及的方面包括环境平安（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。具体包括：物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护等十个方面。 三、网络平安 网络平安为信息系统在网络环境的平安运行提供支持。一方面，确保网络设备的平安运行，提供有效的网络效劳，另一方面，确保在网上传输数据的保密性、完整性和可用性等。由于网络环境是抵御外部攻击的第一道防线，因此必须进行各方面的防护。对网络平安的保护，主要关注两个方面：共享和平安。开放的网络环境便利了各种资源之间的流动、共享，但同时也翻开了“罪恶〞的大门。因此，必须在二者之间寻找恰当的平衡点，使得在尽可能平安的情况下实现最大程度的资源共享，这是我们实现网络平安的理想目标。 网络平安主要关注的方面包括：网络结构、网络边界以及网络设备自身平安等，具体的方面包括：结构平安、访问控制、平安审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护等七个方面。 三、 关于主机平安 主机系统平安是包括效劳器、终端/工作站等在内的计算机设备在操作系统及数据库系统层面的平安。终端/工作站是带外设的台式机与笔记本计算机，效劳器那么包括应用程序、网络、web、文件与通信等效劳器。主机系统是构成信息系统的主要局部，其上承载着各种应用。因此，主机系统平安是保护信息系统平安的中坚力量。 四、 关于应用平安 通过网络、主机系统的平安防护，最终应用平安成为信息系统整体防御的最后一道防线。在应用层面运行着信息系统的基于网络的应用以及特定业务应用。基于网络的应用是形成其他应用的根底，包括消息发送、web浏览等，可以说是根本的应用。业务应用采纳根本应用的功能以满足特定业务的要求，如电子商务、电子政务等。由于各种根本应用最终是为业务应用效劳的，因此对应用系统的平安保护最终就是如何保护系统的各种业务应用程序平安运行。 五、 数据平安及备份恢复 信息系统处理的各种数据（用户数据、系统数据、业务数据等）在维持系统正常运行上起着至关重要的作用。一旦数据遭到破坏（泄漏、修改、毁坏），都会在不同程度上造成影响，从而危害到系统的正常运行。由于信息系统的各个层面（网络、主机、应用等）都对各类数据进行传输、存储和处理等，因此，对数据的保护需要物理环境、网络、数据库和操作系统、应用程序等提供支持。各个“关口〞把好了，数据本身再具有一些防御和修复手段，必然将对数据造成的损害降至最小。 另外，数据备份也是防止数据被破坏后无法恢复的重要手段，而硬件备份等更是保证系统可用的重要内容，在高级别的信息系统中采用异地适时备份会有效的防治灾难发生时可能造成的系统危害。 保证数据平安和备份恢复主要从：数据完整性、数据保密性、备份和恢复等三个方面来考虑。 所谓“防患于未然〞，即使对数据进行了种种保护，但仍无法绝对保证数据的平安。对数据进行备份，是防止数据遭到破坏后无法使用的最好方法。 通过对数据采取不同的备份方式、备份形式等，保证系统重要数据在发生破坏后能够恢复。硬件的不可用同样也是造成系统无法正常运行的主要原因。因此，有必要将一些重要的设备（效劳器、网络设备）设置冗余。当主设备不可用时，及时切换到备用设备上，从而保证了系统的正常运行。如果有能力的话，对重要的系统也可实施备用系统，主应用系统和备用系统之间能实现平稳及时的切换。 六、 平安管理制度 在信息平安中，最活泼的因素是人，对人的管理包括法律、法规与政策的约束、平安指南的帮助、平安意识的提高、平安技能的培训、人力资源管理措施以及企业文化的熏陶，这些功能的实现都是以完备的平安管理政策和制度为前提。这里所说的平安管理制度包括信息平安工作的总体方针、策略、标准各种平安管理活动的管理制度以及管理人员或操作人员日常操作的操作规程。 平安管理制度主要包括：管理制度、制定和发布、评审和修订三个方面。不同等级的根本要求在平安管理制度方面所表达的不同如3.1节和3.2节所描述的一样，在三个方面都有所表达。 七、关于应急预案管理 相比于其他机构和领域，信息系统更容易受到各种平安事件和灾难的伤害而导致中断，特别是在一些突发情况下，如不采取应急响应，将会导致重大的社会影响、经济损失。于是建立有效的应急预案、灾难恢复方案并履行，对于削减系统损失与降低各种效劳的不可用性就显得非常重要。