信息安全技术与标准手册.docxVIP

信息安全技术与标准手册

第1章信息安全基础理论与架构设计

1.1信息安全核心概念与原则

信息安全的核心定义是指保护信息资产免受未经授权的访问、使用、披露、破坏、修改或丢失，其本质是“保护资产”与“确保可用、完整、机密”的平衡。例如，在一家银行系统中，核心数据库被黑客攻击导致数据泄露，这直接违反了“机密性”原则，因为敏感客户信息（如身份证号、银行卡号）不再受保护。安全原则中的“最小权限原则”要求用户仅拥有完成工作所需的最小授权范围。以医院信息系统为例，护士登录系统只能查看和录入自己的护理记录，无权查看其他患者的病历，也不能修改非治疗相关的医嘱，以此防止内部人员滥用数据。

“纵深防御”策略强调在单一防线失效时，通过多层防御体系确保系统安全。比如，在金融支付网关前部署防火墙、入侵检测系统（IDS）以及数据加密技术，即使其中某一层被攻破，后续层次的防护仍能阻断攻击。可用性原则要求系统在需要时能被授权用户以可接受的方式访问。若某物流公司的调度系统因服务器宕机导致无法接收订单，将严重破坏业务连续性，违背了可用性原则，因此必须建立容灾备份机制。完整性原则保障信息不受未授权篡改。在供应链管理中，一旦上游供应商提供的零部件数据被恶意篡改，下游组装厂生产的汽车将存在安全隐患，必须通过数字签名和哈希校验确保数据链路的真实性。

“保密性”指信息仅对授权者可见。例如，军用密码机只允许授权