熱線：信息安全體系框架設(shè)計的新思路中，何為“管理是核心，技術(shù)是關(guān)鍵？”
發(fā)布時間：2020-08-25 作者：廣匯聯(lián)合 來源：廣匯聯(lián)合
隨著在世界范圍內(nèi)信息化水平的不斷發(fā)展，信息安全逐漸成為人們關(guān)注的焦點，各家企業(yè)，尤其是軟件企業(yè)對于信息安全管理體系標(biāo)準(zhǔn)（ISO27001）認(rèn)證非常重視，所以，ISO27001是信息安全領(lǐng)域的管理體系標(biāo)準(zhǔn)，已得到了很多國家的認(rèn)可，是國際上具有代表性的信息安全管理體系標(biāo)準(zhǔn)。軟件企業(yè)通過認(rèn)證，也歸功于自身體系建設(shè)。安全無小事，信息安全更是無小事！
信息系統(tǒng)安全體系框架的設(shè)計是基于安全系統(tǒng)的設(shè)計原則的，并結(jié)合信息系統(tǒng)的實際風(fēng)險，實現(xiàn)信息安全管理體系。
1、物理層安全：物理環(huán)境，硬件平臺的安全(含運行安全和信息安全)；該層次的安全包括通信線路的安全，物理設(shè)備的安全，機房的安全等。物理層的安全主要體現(xiàn)在通信線路的可靠性(線路備份、網(wǎng)管軟件、傳輸介質(zhì))，軟硬件設(shè)備安全性(替換設(shè)備、拆卸設(shè)備、增加設(shè)備)，設(shè)備的備份，防災(zāi)害能力，防干擾能力，設(shè)備的運行環(huán)境(溫度、濕度、煙塵)，不問斷電源保障等。
2、系統(tǒng)層安全：操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)的安全(含運行安全和信息安全)；該層次的安全問題來自網(wǎng)絡(luò)內(nèi)使用的操作系統(tǒng)的安全，如Unix，windwosNT等。主要表現(xiàn)在三方面，一是操作系統(tǒng)本身的缺陷帶來的不安全因素，主要包括身份認(rèn)證、訪問控制、系統(tǒng)漏洞等。二是對操作系統(tǒng)的安全配置問題。三是病毒對操作系統(tǒng)的威脅。還包括網(wǎng)絡(luò)系統(tǒng)軟件、服務(wù)器系統(tǒng)軟件、訪問控制、權(quán)限分配、漏洞掃描、防病毒、防入侵、加密和認(rèn)證。
3、網(wǎng)絡(luò)層安全：網(wǎng)絡(luò)系統(tǒng)安全(含運行安全和信息安全)；L26J該層次的安全問題主要體現(xiàn)在網(wǎng)絡(luò)方面的安全性，包括網(wǎng)絡(luò)層身份認(rèn)證，網(wǎng)絡(luò)資源的訪問控制，數(shù)據(jù)傳輸?shù)谋Ｃ芘c完整性，遠(yuǎn)程接入的安全，域名系統(tǒng)的安全，路由系統(tǒng)的安全，入侵檢測的手段，網(wǎng)絡(luò)設(shè)施防病毒等。
4、應(yīng)用層安全：應(yīng)用系統(tǒng)安全(含運行安全和信息安全)；該層次的安全問題主要由提供服務(wù)所采用的應(yīng)用軟件和數(shù)據(jù)的安全性產(chǎn)生，包括應(yīng)用程序和平臺安全，加密和認(rèn)證，Wbe服務(wù)、電子郵件系統(tǒng)、DNS、防病毒等。
5、管理層安全：系統(tǒng)安全管理(含操作管理和行政管理)?！ “踩芾戆ò踩夹g(shù)和設(shè)備的管理、安全管理制度、部門與人員的組織規(guī)則，對安全設(shè)備的訪問控制措施、安全設(shè)備配置和設(shè)置的政策、審批的權(quán)限。管理的制度化極大程度地影響著整個網(wǎng)絡(luò)的安全，嚴(yán)格的安全管理制度、明確的部門安全職責(zé)劃分、合理的人員角色配置都可以在很大程度上降低其它層次的安全漏洞。該層次模型涵蓋了了安全管理、技術(shù)平臺等多個層面。
在安全層次上，該模型強調(diào)安全問題首先是管理制度問題和人的問題，其次才是技術(shù)問題。安全管理是統(tǒng)攬其他層次的最主要層次。即信息安全的結(jié)構(gòu)中，管理是核心，技術(shù)是關(guān)鍵，意識與需求是動力。
