第十章信息系统安全概论（最终版）.pdfVIP

第十章信息系统安全概论（最终版）

第一篇：第十章信息系统安全概论（最终版）

第十章信息系统安全概论

10.1信息安全与信息系统安全

10.1.1信息安全

信息安全是一个广泛和抽象的概念。长期以来，当人们谈及与计

算机网络（或英特网）有关的信息系统的安全时，往往笼统地称为信

息安全。仔细琢磨起来，信息安全与信息系统安全是由概念上的区别

的。一般来说，当谈到与信息内容安全、计算机通讯安全、计算机网

络安全和英特网接入安全等问题时，都会用信息安全来说明其中的部

分问题。但信息安全并不代表、也不说明任何具体的个体或系统与安

全有关的问题。

信息安全有着更广泛、更普遍的意义，它涵盖了人工和自动信息

处理的安全、网络化和非网络化的信息系统安全，泛指一切以声光电

信号、磁信号、语音以及约定形式等为载体的信息的安全，一般也包

括以纸介质、磁介质、胶片、有线信道以及无线信道为媒体的信息，

在获取（包括信息转换）、分类、排序、检索、传递和共享过程中的

安全。10.1.2信息系统安全

信息系统安全是确保信息系统结构安全、与信息系统相关的元素

安全、以及与此相关的各种安全技术、安全服务和安全管理的总和。

因此，信息系统安全更有体系性、可设计性、可实现性和可操作性。

在本书中，我们把信息系统安全定义为：确保以电磁信号为主要

形式的，在计算机网络化体系中进行获取、处理、存储、传输和利用

的信息内容，在各个物理位置、逻辑位置、存储和传输介质中，处于

动态和静态过程中的机密性、完整性、可用性、可审查性和抗抵赖性

的，与人、网络、环境有关的技术和管理规程的有机集合。这里的人

指信息系统的主体，包括各类用户、支持人员以及技术管理和行政管

理人员；网络则指以计算机、网络互联设备、传输介质以及操作系统、

通信协议和应用程序所构成的物理的完整体系；环境则是系统稳定和

可靠运行所需要的保障体系，包括建筑物、机房、电力保障与备份以

及应急与恢复体系等。

信息系统安全的具体含义和侧重点会随着观察者的角度而不断变

化。

从用户的角度来看，最为关心的信息系统安全问题是如何保证涉

及个人隐私和商业利益的数据在传输过程中受到的必威体育官网网址性、完整性和

可用性的保护，如何避免其他人利用窃听、冒充、篡改、抵赖等手段，

对其利益和隐私造成损害和侵犯，同时用户也希望其保存在某个网络

信息系统中的数据，不会受到其他非授权用户的访问和破坏。

从网络运行和管理者的角度来说，最为关心的信息系统安全问题

是如何保护和控制其他人对本地网络信息的访问、读写等操作。比如，

避免出现“陷门”、病毒、非法存取、拒绝服务和网络资源非法占用

和非法控制等现象，制止和防御网络“黑客”的攻击。

对安全必威体育官网网址部门和国家行政部门来说，最为关心的信息系统安全

问题是如何对非法的、有害的或涉及国家机密的信息进行有效过滤和

防堵，避免非法泄露。机密敏感的信息被泄密后将会对社会的安定产

生危害，对国家造成巨大的经济损失和助治损失。

从社会教育和意识形态角度来说，最为关心的信息系统安全问题

则是如何杜绝和控制网络上不健康的内容。有害的黄色内容会对社会

的稳定和人类的发展造成不良影响。10.1.3信息系统安全管理

所谓管理，是在群体活动中，为了完成一定的任务，实现既定的

目标，针对特定的对象，遵循确定的原则，按照规定的程序，运用恰

当的方法，所进行的计划、组织、指挥、协调和控制等活动。

安全管理是理解应该保护什么和为什么需要保护这两个概念之间

的桥梁，应该保护什么，提供了安全管理的目标，而为什么需要保护，

则提供了安全管理的手段。

信息系统的安全管理目标是管理好信息资源和信息安全资源。安

全管理是信息系统安全具有能动性的组成部分。实际上，大多数安全

事件和安全隐患的发生，与其说是技术上的原因，毋宁说是由于管理

不善造成的。在信息化高速发展的形式下，在不断推出高技术产品应

用于保护信息系统安全的情况中，管理仍然是必须重视、不可或缺的。

安全管理贯穿于信息系统规划、设计和运行（经营）、维护的各

个阶段，既包含行政手段，也包含技术措施。安全管理的内容包括信

息安全管理的原则（政策和策略），信息安全机构和人员的管理，技

术管理，以及场地设施管理等。

信息安全管理的原则首先体现在国家法律和政府制定的政策法规

上，也体现在机构和部门制定的规范制度上。为了实现安全管理，应

该具备“四有”：有专门的管理机构；有专门的管