## 1. 信息系統安全策略 信息系統安全策略是指針對本單位的計算機業務應用信息系統的安全風險（安全威脅）進行有效的識別、評估外，所采取的各種措施、手段，以及建立的各種管理制度、規章等。 信息系統安全保護等級 * 第一級： 用戶自主保護級 * 第二級 系統審計保護級 * 第三級 安全標記保護級 * 第四級 結構化保護級 * 第五級 訪問驗證保護級 信息系統的安全保護等級由兩個定級要素決定 * 等級保護對象受到破壞時所侵害的客體 * 對客體造成侵害的程度 我國信息化建設總結出來的寶貴經驗有8個總原則和10個特殊原則： 8個總原則 1. 主要領導人負責原則 2. 規范定級原則 3. 依法行政原則 4. 以人為本原則 5. 注重效費原則 6. 全面防范、突出重點原則 7. 系統、動態原則 8. 特殊的安全管理原則 10個特殊原則 1. 分權制衡原則 2. 最小特權原則 3. 標準化原則 4. 用成熟的先進技術原則 5. 失效保護原則 6. 普遍參與原則 7. 職責分離原則 8. 審計獨立原則 9. 控制社會影響原則 10. 保護資源和效率原則 與系統安全方案有關的系統包括的組成因素： 1. 主要硬件設備的選型 2. 操作系統和數據庫的選型 3. 網絡拓撲結構的選型 4. 數據存儲方案和存儲設備的選型 5. 安全設備的選型 6. 應用軟件開發平臺的選型 7. 應用軟件的系統結構的確定 8. 供貨商和集成商的選擇等 9. 業務運營與安全管理的職責劃分 10. 應急處理方案的確定及人員的落實 ## 2. 信息安全系統工程 安全機制： * 第一層 基礎設施實體安全 * 第二層 平臺安全 * 第三層 數據安全 * 第四層 通信安全 * 第五層 應用安全 * 第六層 運行安全 * 第七層 管理安全 * 第八層 授權和審計安全 * 第九層 安全防范體系 安全服務： 1. 對等實體認證服務 2. 數據保密服務 3. 數據完整性服務 4. 數據源點認證服務 5. 禁止否認服務 6. 犯罪證據提供服務 安全技術 1. 加密技術 2. 數字簽名技術 3. 訪問控制技術 4. 數據完整性技術 5. 認證技術 6. 數據挖掘技術 ## 3. PKI 公開密鑰基礎設施 PKI 的體系架構，宏觀來看，概況為兩大部分： * 信任服務體系： 包括認證機構、注冊機構、證書庫、證書撤銷和交叉認證。 * 密鑰管理中心： 密鑰管理機構、密鑰備份和恢復、密鑰更新和密鑰歷史檔案等。 X.509 標準 ##4. PMI 權限管理基礎 ##5. 信息安全審計 安全審計具體包括兩方面的內容： 1. 采用網絡監控與入侵防范系統，識別網絡各種違規操作與攻擊行為， 即時響應并進行阻斷 2. 對信息內容和業務流程進行審計