计算机网络安全管理：目标、对象、原则、程序与方法

信息安全管理策略应包括信息安全管理的任务、目标、对象、原则、程序、方法和评估这些内容。

1.信息安全管理的任务

信息安全管理的任务是保证信息的使用安全和信息载体的运行安全。信息的使用安全是通过实现信息的机密性、完整性和可用性这些安全属性来保证的。信息载体包括处理载体、传输载体和存储载体,其运行安全就是指计算系统、网络系统、存储系统和外设系统能够安全地运行。

2.信息安全管理的目标

信息安全管理的目标是达到信息系统所需的安全级别,将风险控制在用户可以接受的程度。

3.信息安全管理的对象

信息安全管理的对象从内涵上讲是指信息及其载体——信息系统,从外延上说其范围由实际应用环境来界定。

4.信息安全管理的原则

信息安全管理遵循如下基本原则：

（1）策略指导原则：所有的网络安全管理活动都应该在统一的策略指导下进行。

（2）风险评估原则：网络安全管理策略的制订要依据风险评估的结果。

（3）预防为主原则：在信息系统的规划、设计、采购、集成和安装中要同步考虑安全问题,不可心存侥幸或事后弥补。

（4）适度安全原则：要平衡安全保护的费用与出现安全问题可能造成的损失。安全保护的费用应该与数据的价值成正比,将风险降至用户可接受的程度即可,没有必要追求绝对的、代价高昂的安全,实际上也没有绝对的安全。

（5）立足国内原则：考虑到国家安全和经济利益,安全技术和产品首先要立足国内,不能未经许可、未能消化改造直接使用境外的安全保密技术和产品设备,特别是信息安全方面的关键技术和核心技术更是如此。

（6）成熟技术原则：尽量选用成熟的技术,以得到可靠的安全保证。采用新技术时要慎重,要重视其成熟的程度。

（7）规范标准原则：安全系统要遵循统一的操作规范和技术标准,以保证互联通和互操作,否则,就会形成一个个安全孤岛,没有统一的整体安全可言。

（8）均衡防护原则：安全防护如同木桶装水,只要全部木板中有一块坏板,水就会从里面泄漏出来,木桶中的水只和最低一块木板平齐,其他木板再高也无用。所以,安全防护措施要注意均衡性,注意是否存在薄弱环节或漏洞。

（9）分权制衡原则：要害部位的管理权限不应交给一个人管理,否则,一旦出现问题将全线崩溃。分权可以相互制约,提高安全性。

（10）全体参与原则：安全问题不只是安全管理人员的事情,全体相关人员都有责任。如果安全管理人员制订的安全制度和措施得不到相关人员的切实执行,安全隐患依然存在,安全问题就不会得到真正解决。

（11）应急恢复原则：安全防护不怕一万就怕万一,因此安全管理要有应急响应预案,并且要进行必要的演练,一旦出现问题就能够马上采取应急措施,将损失减少到最低程度。天灾人祸在所难免,因此在灾难不可能同时波及的另一地区设立备份中心,保持备份中心与主系统数据的一致性。一旦主系统遇到灾难而瘫痪,便可立即启动备份系统,使系统从灾难中得以恢复,保证系统的连续工作。

（12）持续发展原则：为了应对新的风险,对风险要实施动态管理。因此,要求安全系统具有延续性、可扩展性,能够持续改进,始终将风险控制在可接受的水平。^[3]

5.信息安全管理的程序

信息安全管理的程序遵循PDCA循环模式的4个基本步骤。

（1）计划（Plan）：制订工作计划,明确责任分工,安排工作进度,突出工作重点,形成工作文件。

（2）执行（Do）：按照计划展开各项工作,包括建立权威的安全机构,落实必要的安全措施,开展全员的安全培训等。(www.xing528.com)

（3）检查（Check）：对上述工作所构建的信息安全管理体系进行符合性检查,包括是否符合法律法规的要求,是否符合安全管理的原则,是否符合安全技术的标准,是否符合风险控制的指标等,并报告结果。

（4）行动（Action）：依据上述检查结果,对现有信息安全管理策略的适宜性进行评审与评估,评价现有信息安全管理体系的有效性,采取改进措施。

6.信息安全管理的方法

信息安全管理根据具体管理对象的不同,采用不同的具体管理方法。信息安全管理的具体对象包括机构、人员、软件、设备、介质、涉密信息、技术文档、网络连接、门户网站、场地设施等。

信息安全管理的具体方法很多,应该根据具体情况制订,以下是通用的方法：

（1）制订各类管理制度,并在工作中认真执行。

（2）系统由专人管理,其他人员不应该接触系统。

（3）禁止非工作人员进入重要机房。

（4）使用不间断电源UPS,做好防火、防水、防雷击保护措施。

（5）各用户必须管理好自己的口令,并定期更改,不能泄露。

（6）重要的设备应该安放在安装了摄像头的隔离房间内,要保留15天以上的摄像记录,并使用门禁系统。机箱、键盘、电脑桌抽屉要上锁,以确保旁人即使进入房间也无法操作设备,钥匙要放在安全的地方。

（7）随时检查并记录服务器、网络设备及各类应用软件的运行情况,对软硬件进行的修改、升级一定要记录在案。

（8）对软硬件进行重大的更改前,必须先形成方案文件,经过详细研究确认可行后再谨慎实现,并针对更改可能带来的负面后果做好充分的准备。可以在其他设备上试验后再正式实行,绝不能在工作中的设备上进行试验性质的调试。

（9）服务器上仅安装必需的软件,非必需的软件一律删除。

（10）定时备份重要数据。一定要把数据备份在光盘或另一台设备上,不能备份在同一台设备上,这样的话还不如不备份。至关重要的数据应该异地备份,防止大规模自然灾害,如地震发生时数据全灭。

7.信息系统安全评估

要确定一个信息系统的安全性究竟怎样,必须进行安全评估。安全评估分为3步。

（1）发现阶段。所有有关安全体系结构适用的文本都必须检查,包括安全策略、标准、指南,信息等级分类和访问控制计划,以及应用安全需求。全部基础设施安全设计也须检查,包括网络划分设计、防火墙规则集、入侵检测配置、平台加固标准、网络和应用服务器配置。

（2）人工检查阶段。将文本描述的体系结构与实际的结构进行比较,找出其差别。可以采用手工的方法,也可采用自动的方法。例如,使用网络和平台发现工具,在网络内部执行,可找出所有的网络通路以及主机操作系统类型和版本号。

（3）漏洞测试阶段。这是一个系统的检查,以决定安全方法的适用性、安全标识的差别、评价现有的和计划的保护措施的有效性。漏洞测试阶段又可分成3步。

①网络漏洞测试。网络漏洞测试的目标是从攻击者的角度检查系统。可以从一个组织的Intranet内,也可以从外部Internet,或者从一个Extranet合作伙伴进入组织。用于网络漏洞测试的工具通常是商业化的工具,这些测试工具都以相同的方式工作。首先对给出的网络组件（如防火墙、路由器、VPN网关、平台）的所有网络端口进行扫描。一旦检测到一个开启的端口,就使用已知的各种方法攻击这端口。大部分商业产品能生成一个详细的报告,根据攻击产生的危害,按风险级别对漏洞进行分类。

②平台扫描,又称系统扫描。平台扫描验证系统配置是否遵守给定的安全策略。此外,它还检测任何安全漏洞和配置错误。

③应用扫描。应用扫描工具不像网络或平台工具那样是自动的,因此,它是一个手动的处理过程。其理念是模仿攻击者成为授权用户后对系统的危害行为。

漏洞测试可以事先通知,也可以事先不通知,后者可以得到最佳的测试效果。