美国信息系统安全认识、培训与教育法规及现状综述研究.pdfVIP

大会论文 ．191． —— ————————————————————————————————————————————一 美国信息系统安全认识、培训与教育法规及现状综述 郭晓明 陶大海 贵州大学 摘要：美国从1967年国防部着手建立计算机安全的保障措施，到1987计算机安全法将 信息教育、培训、／Aft,纳入法规，经历=十年。其中自然有计算机技术由主机发 展为网络的因素，但更多的是信息安全事故的惨痛教训：信息安全的技术和法规 是要由人来实施的，人为疏忽是信息安全最大的漏洞。教育、培训和认识是信息 安全必不可少的层面。本文综述了美国有关法规和现状，以作为中国在这方面工 作的借鉴。中国应该吸收美国的经验，及早重视信息安全教育、培训、认识的立 法、推广与实施。 关键词：计算机安全 网络安全信息安全技术培训 信息安全保障 到技术和法规能否真正落实。有专家认为[21，百分 一、安全意识在信息网络安全体系和综合防护 之四十的信息系统安全预算，应该用在职员的安全 中的作用 意识教育上。 政府及各种工商机构的员工的安全意识，是网 由于人为因素的重要性，我们必需在研究和制 络安全体系和综合防护中最重要的一环。具有安全 定我国信息系统的防护和保障的标准和法规同时， 意识的职员们，是网络安全中最经济有效的综合保 尽早尽快的进行信息安全意识的宣传、信息安全技 护111。他们通常在安全事故中首当其冲，他们是实 术的培训及信息安全管理的教育。 施安全防范规章制度主体。有了安全意识，他们能 二、美国有关信息安全意识、培训和教育的法 使信息系统更安全；反之，他们会使系统中的安全 规 防护毫无作用，甚至有意无意地引发信息安全事 故。，具有安全意识的职员，不但能防范系统的安全 美国在信息安全的教育与培训方面，不但起步 事故的发生，而且在安全事故发生时，能减轻事故 早，而且反复强调并不断更新。美国1987年的计算 带来的损失。 机安全法明文规定m，政府各个部门都应对本部门 人们普遍认为计算机安全是技术问题，是设计 内管理、使用和操作政府计算机系统的工作人员进 和生产一些复杂有效的安全硬件和软件的问题。实 行定期的必修培训，使人人具备信息安全意识，按 际匕，仅仅有先进的安全技术是不够的。其一，安 安全规程工作。为落实这一培训，美国人事部制定 全系统的最高安全程度，仅是其最薄弱的环节的程 了《计算机安全法的培训要求》“的规章。该规章认 度．而这一薄弱环市往往是人为疏忽；其二，安全 为，绝大多数的信息安全事故都是由于人为疏忽所 技术和安全法规都有赖于人来运作执行。所以，在 致，故要求新雇员必须在到任60天之内完成信息安 信息安全中，技术、法规、意识培训教育这三个防 全培训。若信息系统有升级或变动，亦要在60天内 范层次中，意识、培训和教育是最重要的，它关系 给有关员工进行培训。早在1987年，美国国家安全 ·192· 第十八次全国计算机安全学术交流会论文 部(NSA)就颁布r《通讯与自动化信息系统安全 护系统和应用软件的设置控制；通告信息安全主管 的教育、培训与认识》的条例I”，该条例在1993年 有关安全的异常或完整性的漏洞；管理信息系统和