丞昊信息：信息安全的基本內容
信息安全管理主要包括信息安全風險管理、設備安全管理、信息安全管理和運行安全管理。
1、信息安全風險管理。
信息安全管理是一個過程，不是產品，其本質是風險管理。信息安全風險管理可以看作是一個不斷降低安全風險的過程，最終目的是將安全風險降低到一個可接受的程度，使用戶和決策者能夠接受的風險。信息安全風險管理貫穿信息系統(tǒng)生命周期的全過程。信息系統(tǒng)的生命周期包括計劃、設計、實施、運輸和廢棄五個階段。每個階段都有相關的風險，需要采用相同的信息安全風險管理方法來控制。
信息安全風險管理是為了保護信息及其相關資產，指導和控制組織信息安全風險的協(xié)調活動。我國《信息安全風險管理指南》指出，信息安全風險管理包括對象確立、風險評價、風險管理、審查批準、監(jiān)視與審查、交流與咨詢6個方面，前4個是信息安全風險管理的4個基本步驟，監(jiān)視與審查與交流與咨詢貫穿于這4個步驟。
2、設施安全管理。
設施安全管理包括網絡安全管理、保密設備安全管理、硬件設施安全管理、現場安全管理等。
信息化管理網絡是用于收集、傳輸、處理和存儲相關信息系統(tǒng)和網絡的維護、運行和管理信息、高度自動化網絡化的綜合管理系統(tǒng)，包括性能管理、配置管理、故障管理、收費管理、安全管理等功能。安全管理包括系統(tǒng)安全管理、安全服務管理、安全機制管理、安全事件處理管理、安全審計管理、安全恢復管理等。
硬件設施的安全管理主要考慮配置管理、使用管理、維護管理、存儲管理、網絡連接管理。常見的網絡設備需要防止電磁輻射、電磁泄漏和自然老化。對于集線器、開關、網關設備或路由器，我們還需要防止受到拒絕服務、訪問控制、后門缺陷等威脅。傳輸介質需要防止電磁干擾、電線竊聽和人為破壞，衛(wèi)星通道、微波接力通道等需要防止通道竊聽和人為破壞。保密設備主要包括保密性能指標的管理、工作狀態(tài)的管理、保密設備的類型、數量、分配、用戶狀況的管理、密鑰的管理。網站設施的安全管理。機械室和現場設施的安全管理需要滿足防水、防火、防靜電、防雷、防輻射、防盜等國家標準。人員進出控制需要根據安全等級和關系范圍采取必要的技術和行政措施，登記人員進出時間和進出理由等。電磁輻射防護需要根據技術可行性和經濟合理性，采用設備防護、建筑防護、區(qū)域防護、磁場防護。
3、信息安全管理。
根據信息化建設的發(fā)展需要，信息包括在網絡和系統(tǒng)中收集、傳輸、處理、存儲的對象，如技術文件、存儲介質、各種信息等3個層次的內容，第二是使用的各種軟件，第三是安全管理手段的密鑰和密碼等信息。軟件設施的安全管理。軟件設施的安全管理主要考慮配置管理、使用和維護管理、開發(fā)管理、病毒管理。軟件設施主要包括操作系統(tǒng)、數據庫系統(tǒng)、應用軟件、網絡管理軟件、網絡協(xié)議等。操作系統(tǒng)是整個計算機系統(tǒng)的基石，由于其安全等級不高，需要提供不同的安全等級保護。數據庫系統(tǒng)需要加強數據庫的安全性，采用加密技術加密數據庫中的敏感數據。目前使用最廣泛的網絡通信協(xié)議是TCP/IP協(xié)議。由于安全設計存在許多缺陷，經常面臨許多威脅。網絡管理軟件是安全管理的重要組成部分，常用的有HP公司OpenView、IBM公司NetView、SUN公司NetManager等，還需要額外的安全措施。
①存儲介質的安全管理。存儲介質包括紙質介質、磁盤、磁盤、磁帶、錄音/視頻等，其安全對信息系統(tǒng)的恢復、信息的保密、病毒的預防起著非常重要的作用。不同類別的存儲介質，安全管理要求也不同。存儲介質的安全管理主要考慮存儲管理、使用管理、復印和銷毀管理、涉密介質的安全管理。
?、诩夹g文檔的安全管理。技術文檔是系統(tǒng)或網絡在設計、開發(fā)、運行和維護中所有技術問題的文字描述。技術文檔按其內容涉密度進行分級管理，一般分為絕密級、機密級、秘密級和公開級。技術文檔的安全管理主要考慮文檔的使用、備份、借用、銷毀等方面，需要建立嚴格的管理制度和相關負責人。
?、勖荑€和密碼的安全管理。密鑰是加密解密算法的關鍵，密鑰管理是密鑰的生成、檢查、分配、保存、使用、注入、更換和銷毀等過程的管理。密碼是管理設備的有效手段，密碼的產生、傳輸、使用、存儲、更換需要有效的管理和控制。
4、運行的安全管理。
信息系統(tǒng)和網絡在運行過程中的安全狀態(tài)也是一個需要考慮的問題，目前常常關注安全審計和安全恢復兩個安全管理問題。
安全審計是指記錄、分析和分析系統(tǒng)或網絡運行中的安全情況和事件，采取相應措施的管理活動。目前主要審計操作系統(tǒng)和各種重要應用程序。安全審計工作應由各級安全機構負責實施管理，安全審計可采用人工、半自動或自動智能三種方式。人工審計一般由審計人員看、分析、處理審計記錄的半自動審計一般由計算機自動分析處理，由審計人員決定和處理的自動智能審計一般由計算機完成分析處理，通過專家系統(tǒng)進行判斷，可以滿足不同的應用環(huán)境需求。
安全恢復是指網絡和信息系統(tǒng)在到災害性的打擊或破壞時，為了使網絡和信息系統(tǒng)迅速恢復正常，將損失降到最低而進行的一系列活動。安全恢復的管理主要包括安全恢復戰(zhàn)略的確立、安全恢復計劃的制定、安全恢復計劃的測試和維護、安全恢復計劃的執(zhí)行。
