信息安全保障体系分析和研究.pdfVIP

筇6竭中国信息安_!!：l’发展趋势冬戡嚷高羼研诩‘含 信息安全保障体系分析与研究 北京明朝万达科技有限公司 王志海 北京电子科技学院童新海 摘要：本文对信息安全保障体系的构成进行了阐述，提出了信息安全保障体系应该由用户身 份认证体系、信息安全保密体系、信息安全管理体系和网络边界防护体系构成。本文在对信息安全保 障体系的各个组成部分进行功能需求的定义和描述的同时，结合技术对市场现有产品的优缺点进行了 分析，指出了目前建立信息安全保障体系存在的技术问题，探讨了信息安全保障体系相关产品的发展 力‘J旬。 关键字：信息安全保障体系安全保密身份认证安全管理数据安全 1 引言 信息安全问题已经成为信息系统口益突出和受到关注的问题，信息化程度越高，信息网络和系统 r{1有价值的数据信息越多，信息安全问题就显得越重要。 信息安全问题的存在主要是由于在早期的信窟、系统和标准没训‘中没有考虑安全措施导致的，因为 在‘一期信息化程度非常低的情况下，主要关注信息的存储和传输等基本问题，参与的人员也非常单纯 有限，所以信息安全问题根本不会受到重视。随着信息化程度的提高，信息安全问题才一步步显露出 来。 信息安全需求的曰益深入，已经从原来的系统安全和网络边界安全口益深入到系统内部体系安全 和数撼本身的安全上，并且已经开始对管理制度造成影响和改变。安全需求和安全产品越来越丰富， 各个单位和企业都在开始购买和使用众多的安全设备，但是虫【l何协凋使用这些安全产品和设备，如何 进行信息网络的长期安全规划以避免重复或者不必爰的安全投资，成为一个不可忽视的问题。 信息安全问题是多样的，存在于信息系统的各个环节，而这些环节不是孤立的，它们都是信息安 全t{。不可缺少和忽视的’环，所以对一个信息网络，必须从总体E规划，建立一个科学全面的信息安 全保障体系，从而实现信息系统的整体安全。 2 信息安全保障体系框架 一个全面的信息安全保障体系，其包含的内容是多方面的，应该能够解决网络信息系统存在的根 本性i安全威胁。总体来说，目前的信息安全威胁可以归纳为以V／L类： (1)系统稳定性和可靠性破坏行为，包括从外部网络针对内部网络的攻击入侵行为和病毒破坏等。 (2)大量信息设备的使用、维护和管理问题，包括违反规定的计算机、打印机和其它信息基础设 施滥用，以及信息系统违规使用软件和硬件的行为。 (3)知识产权和内部机密材料等有价值信息存储、使用和传输的保密性、完整性和可靠性存在可 能的威胁，尤其以信息的保密性存在威胁的可能性最大。 针对这些复杂和技术手段各异的信息安全威胁，要建立一个完整的信息安全保障体系，是一项系 统：[程，需要从信息安全的源头入手来解决。总体来说，应该包含以下几个方面； 65 (1)统一的身份认证体系。身份认证是信息交换最基础的要素，如果不能确认交换双方的实体身 份，那么信息的安全就根本无从得到保证。身份认证的含义是广泛的，其泛指一切实体的身份，包括 人、计算机、设备和应用程序等等，只有确认了所有这些信息在存储、使用和传输中可能涉及的实 体，信息的安全性才有可能得到基本保证。 (2)统一的信息安全管理体系。必须建立对所有信息实体有效的信息管理体系，能够对信息网络 系统中的所有计算机、输出端口、存储设备、网络、应用程序和其它设备进行有效集中的管理，从而 有效管理和控制信息网络中存在的安全风险。信息安全管理体系的建立主要集中在技术性系统的建立 上，同时，也应该建立相应的管理制度，才能使信息安全管理系统得到有效的实施。 ’(5)规范的信息安全保密体系。信息的保密性将是一个大型信息应用网络不可缺少的需求，所以， 必须建立符合规范的信息安全保密体系，这个体系不仅仅应该提供完善的技术解决方案，还应该建立 相应的信息保密管理制度。 (4)完善的网络边界防护体系。重要的信息网络一般会跟公共的互