计算机网络信息安全理论与实践教程 第3章.pptVIP

　　网络系统的安全管理部门给出资产清单列表后，另外一项工作就是划分资产的安全级别。安全管理部门根据组织的安全策略和资产的重要程度，给定资产的级别。例如，在企业网络中，一般可以把资产分成四个级别：公开、内部、机密、限制，各级别的划分依据如表3-1所示。 表3-1 企业网络中的资产分级定义 　　4．人员安全 　　人是网络系统的最薄弱环节，人员安全的管理目标是降低因误操作、偷窃、诈骗或滥用等方面的人为因素而造成的网络安全风险。人员安全通过采取合适的人事管理制度、保密协议、教育培训、业务考核、人员审查、奖惩等多种防范措施，来消除人员方面的安全隐患。下面举例说明人员安全措施。 人员录用方面，应该做到： * 是否有令人满意的个人介绍信，由某个组织或个人出具； * 对申请人简历的完整性和准确性进行检查； * 对申请人声明的学术和专业资格进行验证； * 进行独立的身份检查(护照或类似文件)。 　　在人员安全的工作安排方面，应遵守以下三个原则： 　　(1) 多人负责原则：每一项与安全有关的活动，都必须有两人或多人在场。要求这些人忠诚可靠，能胜任此项工作；并应该签署工作情况记录以证明安全工作已得到保障。一般地，以下各项安全工作应由多人负责处理： 　　① 访问控制使用证件的发放与回收； 　　② 信息处理系统使用媒介的发放与回收； ③ 处理保密信息； ④ 硬件和软件的维护； ⑤ 系统软件的设计、实现和修改； ⑥ 重要程序和数据的删除和销毁等。 　　(2) 任期有限原则：一般地讲，任何人不能长期担任与安全有关的职务，工作人员应不定期地循环任职，强制实行休假制度，并规定对工作人员进行轮流培训，以使任期有限制度切实可行。 　 * 第３章 网络安全体系 第３章 网络安全体系 3.1 网络安全体系概述 3.2 网络安全体系的构建原则与内容 3.3 本章小结 3.1 网络安全体系概述 3.1.1 网络安全体系概念 网络安全防范是一项复杂的系统工程，是安全策略、多种技术、管理方法和人们安全素质的综合。现代的网络安全问题变化莫测，要保障网络系统的安全，应当把相应的安全策略、各种安全技术和安全管理融合在一起，建立网络安全防御体系，使之成为一个有机的整体安全屏障。在《现代汉语词典》(第二版)中，“体系”是指：“若干有关事务或某些意识互相联系而构成的一个整体”。“体系”对应的英文单词是architecture，韦氏词典中关于architecture是这样定义的： 　　(1) 各个组成部分的搭配和排列，建筑物上承载重力或外力部分的构造； 　　(2) 建造的艺术或者科学建造的方法、风格； 　　(3) 计算机或者计算机系统各部分组织与集成的方式。 　　所谓网络安全防范体系，就是关于网络安全防范系统的最高层概念抽象，它由各种网络安全防范单元组成，各组成单元按照一定的规则关系，能够有机集成起来，共同实现网络安全目标。 3.1.2 网络安全体系用途 　　网络系统安全防范体系的建立是一个复杂的过程，但是安全防范体系对于一个组织非常有意义，主要的意义在于： 　　(1) 有利于网络系统安全风险的化解，确保业务持续开展并将损失降到最低程度。 　　(2) 有利于强化工作人员的安全防范意识，规范组织个人安全行为。 　　(3) 有利于组织对相关网络资产进行全面系统的保护，维持竞争优势。 　　(4) 有利于组织的商业合作。 　　(5) 有利于组织管理体系认证，证明组织有能力保障重要信息，能提高组织的知名度与信任度。 　　 3.1.3 网络安全体系组成 　　网络安全体系由组织体系、技术体系、管理体系组成。其中，组织体系是有关网络安全工作部门的集合，这些部门负责网络安全技术和管理资源的整合和使用。在大型网络系统中，组织体系可以由许多部门组成，而在小型网络系统中，组织体系由若干个人或工作组构成。技术体系则是从技术的角度考察安全，通过综合集成方式而形成的技术集合。例如，在网络系统中，针对不同安全层次的安全需求，有物理安全技术、网络通信安全技术、网络系统平台安全技术、网络数据安全技术、网络应用安全技术等。管理体系则是根据具体网络的环境而采取的管理方法和管理措施的集合。 　　管理体系涉及五个方面的内容：管理目标、管理手段、管理主体、管理依据和管理资源。管理目标大的方面包括政治安全、经济安全、文化安全、国防安全等，小的方面则包括网络系统的保密、可用、可控等；管理手段包括安全评估、安全监管、应急响应、安全协调、安全标准和规范、保密检查、认证和访问控制等；管理主体大的方面包括国家安全机关，而小的方面主要包括网络管理员、单位负责人等；管理依据有行政法规、法律、部门规章制度、技术规范等；管理资源包括安全设备、管理人员、安全经费、时间等。 3.1.4 网络安全体系模