11.1.4架构安全管理体系

信息系统安全的总体目标是物理安全、信息基础设备安全、网络安全、数据安全、信息内容安全与公共信息安全的总和，最终目标是确保信息的可用性、保密性和完整性，确保信息系统工程的主体，不仅是用户，还包括组织、社会和国家对于信息资源的控制。

    从信息安全管理目标来看，其中的网络安全、数据安全、信息内容安全等可通过开放系统互连安全体系的安全服务、安全机制及其管理实现，但所获得的这些安全特性只解决了与通信和互连有关的安全问题，而涉及与信息系统工程的构成组件及其运行环境安全有关的其他安全问题(如物理安全、系统安全等)还须从技术措施和管理措施两方面结合起来。为了系统地、完整地构建信息系统的安全体系框架，信息系统安全体系应当由技术体系、组织机构体系和管理体系共同构建。

    1.技术体系

    技术体系是全面提供信息系统安全保护的技术保障系统。该体系由两大类构成。

    1)物理安全技术

    一类是物理安全技术，通过物理机械强度标准的控制使信息系统的建筑物、机房条件及硬件设备等条件，满足信息系统的机械防护安全;通过对电力供应设备以及信息系统组件的抗电磁干扰和电磁泄露性能的选择性措施达到两个安全目的，其一是信息系统组件具有抗击外界电磁辐射或噪声干扰能力而保持正常运行，其二是控制信息系统组件电磁辐射造成的信息泄露，必要时还应从建筑物和机房条件的设计开始就采取必要措施，以使电磁辐射指标符合国家相应的安全等级要求。物理安全技术运用于物理保障环境(含系统组件的物理环境)。

    物理安全技术包括机房安全和设施安全。

    (1)机房安全

    是信息系统主要设备的物理存放的位置，主要是保证机房场地的安全，主要包括机房环境、温度、湿度的控制，电磁、噪声、静电、震动和灰尘的防护，’同时要有防火灾、防雷电以及门禁等安全措施。

    (2)设施安全

    主要是考虑各种硬件设备的可靠性问题，所有的设备应当更具不同安全级别的信息系统工程，同时要保证通信线路物理上的安全性。

    2)系统安全技术

    另一类是系统安全技术，通过对信息系统安全组件的选择，使信息系统安全组件的软件工作平台达到相应的安全等级，一方面避免操作平台自身的脆弱性和漏洞引发的风险，另一方面阻塞任何形式的非授权行为对信息系统安全组件的入侵或接管系统管理权。

    系统安全技术包括平台安全、数据安全、通信安全、应用安全和运行安全。

(1) 平台安全

    泛指操作系统和通用基础服务安全，主要用于防范黑客攻击手段，目前市场上大多数安全产品均限于解决平台安全，包括以下内容:

    ·操作系统漏洞检测与修复，包括UNIX系统、Windows系统、网络协议。

    ·网络基础设施漏洞检测与修复，包括路由器、交换机、防火墙等。

  　·通用基础应用程序漏洞检测与修复，包括数据库、Web/ftp/mail/DNS/其他各种系统守护进程。

    ·网络安全产品部署、平台安全实施需要用到市场上常见的网络安全产品，主要        包括防火墙、入侵检测、脆弱性扫描和防病毒产品。

    ·整体网络系统平台安全综合测试/模拟入侵与安全优化。

    (2)数据安全

    目标是防止数据丢失、崩溃和被非法访问，为保障数据安全提供如下实施内容:介质与载体安全保护、数据访问控制、系统数据访问控制检查、标识与鉴别、数据完整性、数据可用性、数据监控和审计、数据存储与备份安全。

    (3)通信安全

    目标是防止系统之间通信的安全脆弱性威胁，为保障系统之间通信的安全采取的措施有:通信线路和网络基础设施安全性测试与优化、安装网络加密设施、设置通信加密软件、设置身份鉴别机制、设置并测试安全通道、测试各项网络协议运行漏洞。

    (4)应用安全

    是保障相关业务在计算机网络系统上安全运行，应用安全脆弱性有可能给信息化系统带来最大损失的致命威胁。以业务运行实际面临的威胁为依据，、为应用女全提供的保证措施有:业务软件的程序安全性测试、业务交往的防抵赖测试、业务资源的访问控制验证测试、业务实体的身份鉴别检测、业务现场的备份与恢复机制检查、业务数据的惟一性/一致性/防冲突检测·业务数据的保密性测试、业务系统的可靠性测试、业务系统的可用性测试。

    (5)运行安全

    是保障系统的安全稳定。为运行安全提供的实施措施有:应急处置机制和配套服务、网络系统安全性监测、网络安全产品运行监测、定期检查和评估、系统升级和补丁提供、跟踪最新安全漏洞及通报、灾难恢复机制与预防、系统改造管理、网络安全专业技术咨询服务。运行安全是一项长期的服务，包含在网络安全系统工程的售后服务包内。

    2.组织机构体系

    组织机构体系是信息系统的组织保障系统，由机构、岗位和人事三个模块构成。

    1)机构

    一个机构设置分为决策层、管理层和执行层。决策层是信息系统用户单位中决定信息系统安全重大事宜的领导机构，由有保密职能的部门负责人及信息系统主要负责人参与组成。管理层是决策层的日常管理机关，根据决策机构的决定，全面规划并协调各方面力量，实施信息系统的安全方案，制定、修改安全策略，处理安全事故，设置安全相关的岗位。执行层是在管理层协调下，具体负责某一个或某几个特定安全事务的一个逻辑群体，这个群体分布在信息系统的各个操作层或岗位上。

    2)岗位

    岗位是信息系统安全管理机关根据系统安全需要设定的负责某一个或某几个安全事务的职位，岗位在系统内部可以是具有垂直领导关系的若干层次的一个序列，一个人可以负责一个或几个安全岗位，但一个人不能同时兼任安全岗位所对应的系统管理或具体业务岗位。因此，岗位不是一个机构，它由管理机构决定，由人事机构管理。

    3)人事

    人事机构是根据管理机构设定的岗位，对岗位上在职、待职和离职的员工进行素质教育、业绩考核和安全监管的机构。人事机构的全部管理活动在国家有关安全的法律、法规、政策规定范围内依法进行。

    3.管理体系

    管理是信息系统安全的灵魂。信息系统安全的管理体系由法律管理、制度管理和培训管理三部分组成。管理安全设置的机制有:人员管理、培训管理、应用系统管理、软件管理、设备管理、文档管理、数据管理、操作管理、运行管理和机房管理。

    1)法律管理

    法律管理是根据相关的国家法律、法规对信息系统主体及其与外界关联行为的规范与约束。法律管理具有对信息系统主体行为的强制性约束力，并且具有明确的管理层次性。与安全有关的法律法规是信息系统安全的最高行为准则。

    2)制度管理

    制度管理是信息系统内部依据必要的安全需求制定的一系列内部规章制度，主要包括:

    (1)安全管理和执行机构的行为规范。

    (2)岗位设定及其操作规范。

    (3)岗位人员的素质要求及行为规范。

    (4)内部关系与外部关系的行为规范等。

    制度管理是法律管理的形式化、具体化，是法律、法规与管理对象的接口。

    3)培训管理

    培训管理是确保系统安全的前提。培训管理的内容包括:

(1) 法律法规培训。

    (2)内部制度培训/位操作培训。

    (3)普遍安全意识和岗位相关的重点安全意识相结合的培训。

    (4)业务素质与技能技巧培训等。

    在信息监理中可以根据信息系统有关的所有人员进行分层次培训。图11.1是某个基

层计算机信息网络应用单位的网络安全管理组织机构设置。