第一节信息安全工程.ppt

　信息安全保障体系主要是通过改善防御空间的同步效果、提高感知能力、加快响应速度、增强防御能力和生存能力等，从而提升系统整体的信息保障效能。 信息安全保障模型 1.2.4　信息安全保障体系的架构　信息安全保障体系是实施信息安全保障的法律法规、组织管理、安全技术和安全设施建设等方面有机结合的整体，是信息社会国家安全的基本组成部分，是保证国家信息化顺利进行的基础。信息安全保障体系由管理控制、运行控制和技术控制组合而成，包括三种基本要素：组织要素、内容要素和技术要素。　　组织要素包括信息安全保障思想理论基础、信息安全保障主/客体、信息安全保障法律基础和信息安全保障体系的管理协调机构。 　 内容要素包括所有与信息域相关的现实支撑和潜在风险，以及对应的具体安全形态。　　技术要素是在信息安全体系中保障信息安全，实现风险描述、管理与控制的所有技术手段及其影响因素的总和。　　信息安全保障体系是一个复杂的社会信息系统，基于其组成要素，完整的信息安全保障体系的架构如图所示。 　　 　信息安全保障体系架构 1.2.5 信息安全保障体系的建设 国外信息安全保障的建设 我国信息安全保障的建设 我国信息安全保障工作存在的问题 1.3 信息安全保障与信息安全工程 1.3.1 实施信息安全工程的必要性 信息安全保障体系包含多子目、多层次、多方面的内容，国家、企业信息化建设是一个复杂的系统安全工程——信息安全工程。 信息安全保证过程中，需要实施信息安全工程，这是由信息安全的特性决定的： 1、信息安全具有社会性； 2、信息安全具有全面性； 3、信息安全具有必然性； 4、信息安全具有过程性； 5、信息安全具有动态性； 6、信息安全具有相对性； 7、信息安全具有层次性。 1.3.2 信息安全工程的发展 * * * * * * * * * * * * * * * * * 　　　因为业务的需要，银行需要运行大量的对安全要求很苛刻的计算机系统。　　银行信息系统包括银行综合业务系统、银行渠道系统、网上银行系统、跨行支持系统、中国银联支持系统等。在中国，通过中国国家金融通信网络(CNFN，China National Financial Network)将中央银行、各商业银行和其他金融机构连接在一起，构成全国性的金融专用网络系统。 　　(1) 银行业务的核心是记账系统。它保存客户的主账目信息和记录每日业务的分类账目。由于该系统一般由银行员工进行操作，要求遵守相应的法律、规章制度和操作程序等，因此，对该系统的威胁主要来自银行内部员工利用职务便利和系统漏洞进行的违法犯罪行为。例如，冒用客户身份的信用卡诈骗、伪造并使用伪造的银行票据等；当然也包括银行员工无意的操作失误、违反规定的越权操作行为，如每次借贷记录的正负数字不匹配、大额转账的私自认可等。 所以，对于银行记账系统，要求有账户及操作权限控制策略、异常交易监控及报警系统、严格的银行内部网络访问控制规章制度等。　　(2) 银行ATM机是安全与方便的“博弈”。不管是在行式，还是离行式，ATM机都大大方便了客户自行进行账户资金的处理，但同时也经常出现漏洞和异常，例如，账户信息被偷窃、异常吞卡或吐钞、网络故障造成的服务异常中断、网络通信中的信息泄露等。因此，这就要求有高强度的ATM与银行的通讯信息加密系统、客户身份认证系统、服务异常的应急响应系统、客户行为记录与取证系统等的安全支持。 　　(3) 大部分银行都有保险箱的金融保障服务，但也存在一些突出的安全问题，如在硬件老化、设备配置不足、软硬件功能存在缺陷的情况下，可能诱发内部员工作案的动机或使外部盗窃有机可乘，导致客户财物失窃、毁损，同时银行还可能面临商业信誉下降、客户提出巨额赔偿等。因此，应该整体规划，优化保险箱系统，加强报警系统安全防护能力，加密监控信息防伪造功能，增加系统稽核功能和预警功能，提高安保人员素质，增加异地监控等。 　　(4) 由于技术发展和扩展业务的需要，目前“网上银行”发展迅速，客户足不出户就能够便捷地管理存款、支票、信用卡及进行个人投资等非现金交易。网上银行使银行内部网络向互联网敞开了大门。网上银行系统的安全关系到银行内部整个金融网络的安全，应当防止黑客攻击网络修改记账系统，要求设立防火墙来隔离相关网络，采用高安全级的Web应用服务器，24小时实时安全监控，进行有身份识别的CA认证，实施网络通讯的安全加密，进行用户证书的安全管理和网络银行个人认证介质的管理等。 参考：人民银行的描述 重大应用系统业务工作的连续可用性 业务工作责任的不可否认性 业务数据和信息的真实完整性 涉及国际秘密和行业敏感信息的保密性 什么人、可以访问什么资