《信息安全保障》一第2章 信息安全保障实践

第1章 信息安全保障基础 阅读提示 本章主要介绍信息安全保障背景.概念与模型等方面的内容,使读者理解信息安全问题产生的根源,信息安全的内涵与外延,以及各个发展阶段的特点,了解P2DR.IATF等信息安全保障相关模型的基本思想和原理,掌握信息系统安全保障模型的保障目标.保障周期和保障要素.

IT安全级别全面升级 为IBM全球信息保驾护航 现在已经有越来越多的CIO开始提高警惕并强化企业IT信息安全,降低企业出现安全问题的概率.面对着复杂并具有针对性的安全问题和风险威胁,IBM软件在安全领域经过一系列专门的研发.收购以及产品重组之后,全面升级了IT安全力用以满足企业对本公司风险管理.安全和合规的业务的各种需求.这是IBM通过更加智能的方式,为保障企业IT信息安全走出的关键一步,从中也充分表现了IBM软件集团对于提升企业安全力的极度重视,对IBM进一步加深和促进软件能力的开发有着里程碑

SQL注入,OS命令注入,缓冲溢出.跨站脚本.缺少验证.缺少认证.使用硬编码证书.敏感数据忘记加密.不受限制上传文件类型.依赖不可信的输入.用不必要的高级权限执行任务.跨站请求伪造.... 16.1. CSRF(Cross-site request forgery)跨站请求伪造 CSRF(Cross-site request forgery),中文名称:跨站请求伪造,也被称为:one click attack/session riding,缩写为:CSRF/XSRF 原文出处:Netkiller

前 言 随着信息化不断深入,信息安全上升到关系社会稳定.经济发展和公民权益的地位,成为国家安全的重要组成部分.在整个信息安全保障工作中,人是最核心.最活跃的因素,信息安全保障工作最终也是通过人来落实的.因此,加快信息安全人才培养体系建设是发展我国信息安全保障体系必备的基础和先决条件. 多年来,国家高度重视我国信息安全人才队伍的培养和建设,明确提出要加强信息安全人才培养.2003年9月,中共中央办公厅.国务院办公厅转发了<国家信息化领导小组关于加强信息安全保障工作的意见>(中办发[2003] 2

3.2 信息安全管理方法与实施 组织必须掌握一些科学的方法,才能有效实施信息安全管理和信息安全防护,进而为业务的安全运营提供保障. 3.2.1 信息安全管理方法 目前有两种基本方法可以用于信息安全管理,一是风险管理方法,二是过程方法.这两种基本方法广泛应用于组织信息安全管理的各个阶段.这两种基本方法可以同时应用,且均可贯穿于信息安全管理全生命周期. 1.?风险管理方法 风险管理是信息安全管理的基本方法,主要体现在以下两个方面. 风险评估是信息安全管理的基础.信息安全风险评估是识别.分析和评价信息

2016年12月5日,俄罗斯联邦总统普京颁布646号总统令,批准俄罗斯联邦新版<信息安全学说>,即日起生效.同时宣布,2000年10月9日颁布的俄罗斯<信息安全学说>(1895号总统令)失效.俄罗斯历来十分重视信息安全问题,此前受西方"信息战"理论和实践冲击,俄在2000年颁布的<信息安全学说>,正式把信息安全作为战略问题来考虑,从理论和实践上加紧准备和建设,认真探讨进行信息战的各种措施.此次发布的新版学说,是对2000年版<信息安全学说>

1.2 信息安全保障概念与模型 信息技术发展到网络化社会阶段,信息安全作为一个日益重要而尖锐的问题,涉及面越来越宽,众多因素和变量均处于"不确定"状态,在这种情况下只能维持一种动态.可控的安全状态,信息安全保障就是这样一种安全理念. 1.2.1 信息安全保障概念 为了满足现代信息系统和应用的安全保障需求,除了防止信息泄露.修改和破坏,还应当检测入侵行为:计划和部署针对入侵行为的防御措施:同时,采用安全措施和容错机制,在遭受攻击的情况下,保证机密性.私密性.完整性.抗抵赖性.真实性.可用

2.3 信息安全保障工作方法 信息安全问题的复杂性和信息安全范畴的广泛性,决定了开展信息安全保障工作,需要有科学的方法.将信息安全保障工作划分为确定信息安全需求.设计并实施信息安全方案.信息安全测评.监测与维护信息安全4个阶段过程,既是一种有效的信息安全保障工作方法,也是合理的信息安全保障工作步骤. 2.3.1 确定信息安全需求 信息安全需求是安全方案设计和安全措施实施的依据.准确地提取安全需求,一方面可以保证安全措施全面覆盖信息系统面临的风险,使安全防护能力达到业务目标和法规政策要求.另一方面

1.3 信息系统安全保障概念与模型 满足不同需求具有各种功能的信息系统是信息化社会构成的基础,信息系统安全是确保信息系统结构与相关元素的安全,以及与此相关的各种安全技术.安全服务和安全管理的总和.与信息安全相比,信息系统安全更具有体系性.可设计性.可实现性和可操作性. 1.3.1 信息系统安全保障概念 信息系统安全保障是在信息系统的整个生命周期中,从技术.管理.工程和人员等方面提出安全保障要求,确保信息系统的保密性.完整性和可用性,降低安全风险到可接受的程度,从而保障系统实现组织机构的使命. 1