什么是信息安全..docVIP

、【什么是信息安全】 ??? 信息安全（Information security）:是指信息的保密性(Confidentiality)、完整性(Integrity)和可用性(Availability)的保持。 保密性定义为保障信息仅仅为那些被授权使用的人获取。 完整性定义为保护信息及其处理方法的准确性和完整性。 可用性定义为保障授权使用人在需要时可以获取信息和使用相关的资产。 信息的保密性是针对信息被允许访问（Access）对象的多少而不同，所有人员都可以访问的信息为公开信息，需要限制访问的信息一般为敏感信息或秘密，秘密可以根据信息的重要性及保密要求分为不同的密级，例如国家根据秘密泄露对国家经济、安全利益产生的影响（后果）不同，将国家秘密分为秘密、机密和绝密三个等级，组织可根据其信息安全的实际，在符合《国家保密法》的前提下将其信息划分为不同的密级；对于具体的信息的保密性有时效性，如秘密到期解密等。 信息完整性一方面是指信息在利用、传输、贮存等过程中不被篡改、丢失、缺损等，另一方面是指信息处理的方法的正确性。不正当的操作，如误删除文件，有可能造成重要文件的丢失。 信息的可用性是指信息及相关的信息资产在授权人需要的时候，可以立即获得。例如通信线路中断故障会造成信息的在一段时间内不可用，影响正常的商业运作，这是信息可用性的破坏。 不同类型的信息及相应资产的信息安全在保密性、完整性及可用性方面关注点不同，如组织的专有技术、市场营销计划等商业秘密对组织来讲保守机密尤其重要；而对于工业自动控制系统，控制信息的完整性相对其保密性重要得多。 2、【BS 7799标准概述】 ??? BS7799标准是由英国标准协会（BSI）制定的信息安全管理标准，是目前国际上具有代表性的信息安全管理体系标准，标准包括如下两部分: BS7799-1:1999 《信息安全管理实施细则》 BS7799-2:1999 《信息安全管理体系规范》 BS7799-1:1999 《信息安全管理实施细则》是组织建立并实施信息安全管理体系的一个指导性的准则， 主要为组织制定其信息安全策略和进行有效的信息安全控制提供的一个大众化的最佳惯例。虽然，实施细则中的指南内容尽可能趋于全面，并提供一套国际现行安全控制的最佳惯例，但是，实施细则中所提供的控制方法并非对每个组织都是充分的，也不是对每个组织都是缺一不可的，它没有考虑实际信息系统在环境和技术上的限制因素，标准假设条款的实施是由具有合适资格和经验的人来承担或指导的。 BS7799-2:1999 《信息安全管理体系规范》规定了建立、实施和文件化信息安全管理体系(ISMS)的要求，规定了根据独立组织的需要应实施安全控制的要求。即本标准适用以下场合: 组织按照本标准要求建立并实施信息安全管理体系，进行有效的信息安全风险管理，确保商务可持续性发展； 作为寻求信息安全管理体系第三方认证的标准。 BS7799标准第二部分明确提出安全控制要求，标准第一部分对应给出了通用的控制方法（措施），因此可以说，标准第一部分为第二部分的具体实施提供了指南。但标准中的控制目标、控制方式的要求并非信息安全管理的全部，组织可以根据需要考虑另外的控制目标和控制方式。 其中BS7799-1:1999 于2000年12月通过国际标准化组织（ISO）认可，正式成为国际标准，即ISO/IEC17799:2000 《信息技术-信息安全管理实施细则》。 “组织”这一术语贯穿BS 7799标准的始终，它既包括盈利组织，也包括非盈利组织，如公共部门或公共组织。 有关控制方式的两个标准章节对照如下表: 控制方式内容 BS7799-1:1999 章节号(要求) BS7799-2:1999 章节号(惯例) 信息安全方针 3 4.1 组织安全 4 4.2 资产归类与控制 5 4.3 人员安全 6 4.4 实物与环境安全 7 4.5 通信与运作安全 8 4.6 访问控制 9 4.7 系统开发与维护 10 4.8 商务持续性管理 11 4.9 符合性 12 4.10 　 ??? 3、【为什么需要信息安全】 ? 信息、信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产。信息的保密性、完整性和可用性对保持竞争优势、资金流动、效益、法律符合性和商业形象都是至关重要的。 然而，越来越多的组织及其信息系统和网络面临着包括计算机诈骗、间谍、蓄意破坏、火灾、水灾等大范围的安全威胁，诸如计算机病毒、计算机入侵、DoS攻击等手段造成的信息灾难已变得更加普遍,有计划而不易被察觉。 组织对信息系统和信息服务的依赖意味着更易受到安全威胁的破坏，公共和私人网络的互连及信息资源的共享增大了实现访问控制的难度