軟考筆記之22 信息系統安全管理

《信息系統項目管理師教程》第22章： 信息系統安全管理

信息系統安全策略

每個單位的安全策略一定是定製的，都是針對本單位的。

1. 安全策略核心內容“七定”
   1）定方案
   2）定崗
   3）定位
   4）定員
   5）定目標
   6）定製度
   7）定工作流程
   “七定”的結果確定了該單位組織的計算機業務應用信息系統的安全如何具體地實現和保證。

2. 計算機信息系統分爲5個等級
   1）第一級用戶自主保護級 (損害 合法權益）
   2）第二級系統審計保護級（嚴重損害 合法權益）（損害 社會秩序和公共利益）
   3）第三級安全標記保護級（嚴重損害 社會秩序和公共利益）（損害 國家安全）
   4）第四級結構化保護級（特別嚴重損害 社會秩序和公共利益）（嚴重損害 國家安全）
   5）第五級訪問驗證保護級（特別嚴重損害 國家安全）

   
   

3. 信息安全系統劃分三種架構體系
   1）MIS+S系統 ： 初級信息安全保障系統
   2）S-MIS系統 ： 標準信息安全保障系統
   3）S2-MIS系統：超安全的信息安全保障系統

   
   

PKI 公開密鑰基礎設施

公鑰基礎設施PKI 是以不對稱鑰加密技術爲基礎，以數據機密性、完整性、身份認證和行爲不可抵賴性爲安全目的，來實施和提供安全服務的具有普適性的安全基礎設施。
PK包含以下幾個基本構件：

1. 數字證書：由認證機構經過數字簽名後發給網上信息交易主體（企業或個人、設備或程序）的一段電子文檔。數字證書提供了PKI的基礎。
2. 認證中心（Cetification Authority)：CA是PKI的核心。它是公正、權威、可信的第三方網上認證機構，負責數字證書的簽發、撤銷和生命週期的管理，還提供密鑰管理和證書在線查詢等服務。
3. 數字證書註冊審批機構：RA（Registration Authorith）系統是CA的數字證書的發放、管理的延伸。它負責數字證書申請者的信息錄入、審覈以及數字證書發放等工作，同時，對發放數字證書完成相應的管理功能。發放的數字證書可以存放在IC卡、硬盤等介質中。RA系統是整個CA中心得以正常運營不可缺少的一部分。
4. 數字簽名：利用發信者的私鑰和可靠的密碼算法對待發信息或其電子摘要進行加密處理，這個過程和結果就是數字簽名。收信者可以用發信者的公鑰對收到的信息進行解密從而辨別真僞。經過數字簽名後的信息具有真實性和不可否認性。
5. 密鑰和證書管理工具：管理和審計數字證書的工具，認證中心使用它來管理在一個CA上的證書。
6. 雙證體系：PKI採用雙證書體系，非對稱算法支持RSA和ECC算法，對稱密碼算法支持國家密碼管理委員會指定的算法。
7. PKI的體系架構：宏觀來看，PKI概括爲兩大部分，即信任服務體系和密鑰管理中心。
   1）PKI信任服務體系，是爲整個業務應用系統（如電子政務、電子商務等）提供基於PKI數字證書認證機制的實體身份籤別服務，它包括認證機構、註冊機構、證書庫、證書撤銷和交叉認證等。
   2）PKI密鑰管理中心（KMC)提供密鑰管理服務，向授權管理部門提供應急情況下的特殊密鑰回覆功能。它包括密鑰管理機構、密鑰備份和恢復、密鑰更新和密鑰歷史檔案等。

X.509證書標準

在PKI/CA架構中，一個重要的標準就是X.509標準；在本質上，數字證書是把一個密鑰對（明確的公鑰，而暗含的是私鑰）綁到一個身份上的被簽署的數據結構。整個證書有可信賴的第三方簽名。典型的第三方即大型用戶羣體（如政府或金融機構）所信賴的CA。X.509證書標準必須包含以下信息：
1）版本號
2）序號號
3）簽名算法標識符
4）認證機構
5）有效期限
6）主題信息
7）認證機構的數字簽名
8）公鑰信息

第22章 信息系統安全管理 609
22.1 信息系統安全策略 609
22.1.1 信息系統安全策略的概念與內容 609
22.1.2 建立安全策略需要處理好的關係 610
22.1.3 信息系統安全策略設計原則 613
22.1.4 信息系統安全方案 614
22.2 信息安全系統工程 615
22.2.1 信息安全系統工程概述 615
22.2.2 信息安全系統 617
22.2.3 信息安全系統架構體系 621
22.2.4 信息安全系統工程基礎 623
22.2.5 信息安全系統工程體系結構 625
22.3 PKI公開密鑰基礎設施 633
22.3.1 公鑰基礎設施（PKI）基本概念 633
22.3.2 數字證書及其生命週期 638
22.3.3 信任模型 642
22.3.4 應用模式 646
22.4 PMI權限（授權）管理基礎設施 648
22.4.1 PMI與PKI的區別 649
22.4.2 屬性證書定義 650
22.4.3 訪問控制 651
22.4.4 基於角色的訪問控制 653
22.4.5 PMI支撐體系 654
22.4.6 PMI實施 658
22.5 信息安全審計 659
22.5.1 安全審計概念 659
22.5.2 建立安全審計系統 662
22.5.3 分佈式審計系統 667

---

返回目錄