第1章 信息安全基礎(chǔ)
1.1信息安全概念
1.1.2 網(wǎng)絡(luò)空間安全學(xué)科的內(nèi)涵
1.1.2.1 設(shè)備安全
信息系統(tǒng)設(shè)備的安全是信息系統(tǒng)安全的首要問題
·設(shè)備的穩(wěn)定性：設(shè)備在一定時間內(nèi)不出故障的概率；
·設(shè)備的可靠性：設(shè)備能在一定時間內(nèi)正常執(zhí)行任務(wù)的概率；
·設(shè)備的可用性：設(shè)備隨時可以正常使用的概率。
1.1.2.2 數(shù)據(jù)安全
采取措施確保數(shù)據(jù)免受未授權(quán)的泄露、篡改和毀壞。
·數(shù)據(jù)的秘密性：數(shù)據(jù)不被未授權(quán)者知曉的屬性。
·數(shù)據(jù)的完整性：數(shù)據(jù)是正確的、真實(shí)的、未被篡改的、完整無缺的屬性。
·數(shù)據(jù)的可用性：數(shù)據(jù)可以隨時正常使用的屬性。
1.1.2.3 內(nèi)容安全
內(nèi)容安全是是信息安全在政治、法律、道德層次上的要求。
·信息內(nèi)容在政治上是健康的；
·信息內(nèi)容符合國家的法律法規(guī)；
·信息內(nèi)容符合中華民族優(yōu)良的道德規(guī)范。
1.1.2.4 行為安全
數(shù)據(jù)安全本質(zhì)上是一種靜態(tài)的安全，而行為安全是一種動態(tài)安全。
·行為的秘密性：行為的過程和結(jié)果不能危害數(shù)據(jù)的秘密性。必要時，行為的
過程和結(jié)果也應(yīng)是秘密的；
·行為的完整性：行為的過程和結(jié)果不能危害數(shù)據(jù)的完整性，行為的過程和結(jié)果
是預(yù)期的；
·行為的可控性：當(dāng)行為的過程出現(xiàn)偏離預(yù)期時，能夠發(fā)現(xiàn)、控制或糾正。

1.2 信息安全法律法規(guī)
1.2.1 我國立法現(xiàn)狀
《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》，這是一個標(biāo)志性的、基礎(chǔ)性的法規(guī)。到目前為止，我國信息安全的法律體系可分為4個層面：
（1）一般性法規(guī)規(guī)定。如憲法、國家安全法、國家秘密法、治安管理處罰條例等的法律法規(guī)并沒有專門對信息安全進(jìn)行規(guī)定，但是這些法律法規(guī)所規(guī)范和約束的對象包括涉及信息安全的行為。
（2）規(guī)范和懲罰信息網(wǎng)絡(luò)犯罪的法律。這類法律包括《中華人民共和國刑法》、《全國人大常委會關(guān)于維護(hù)互聯(lián)網(wǎng)安全的決定》等。
（3）直接針對信息安全的特別規(guī)定。這類法律法規(guī)主要有《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》、《中華人民共和國計(jì)算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定》、《計(jì)算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護(hù)管理辦法》、《中華人民共和國電信條例》等。
（4）具體規(guī)范信息安全技術(shù)、信息安全管理等方面的法律法規(guī)。這類法律法規(guī)主要有《商用密碼管理?xiàng)l例》、《計(jì)算機(jī)病毒防治管理辦法》、《計(jì)算機(jī)軟件保護(hù)條例》、《計(jì)算機(jī)信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定》、《中華人民共和國電子簽名法》、《金融機(jī)構(gòu)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)工作暫行規(guī)定》等。

1.3信息安全管理基礎(chǔ)
1.3.2 信息安全政策
1.3.2.1 等級保護(hù)
國家信息安全等級保護(hù)堅(jiān)持自主定級、自主保護(hù)的原則。
GB17859—1999標(biāo)準(zhǔn)規(guī)定了計(jì)算機(jī)系統(tǒng)安全保護(hù)能力的五個等級，即：用戶自主保護(hù)級；系統(tǒng)審計(jì)保護(hù)級；安全標(biāo)記保護(hù)級；結(jié)構(gòu)化保護(hù)級；訪問驗(yàn)證保護(hù)級。
1. 第一級 用戶自主保護(hù)級
本級的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基通過隔離用戶與數(shù)據(jù)，使用戶具備自主安全保護(hù)的能力。
2. 第二級 系統(tǒng)審計(jì)保護(hù)級
與用戶自主保護(hù)級相比，本級的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基實(shí)施了粒度更細(xì)的自主訪問控制，它通過登錄規(guī)程、審計(jì)安全性相關(guān)事件和隔離資源，使用戶對自己的行為負(fù)責(zé)。
3. 第三級 安全標(biāo)記保護(hù)級
本級的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基具有系統(tǒng)審計(jì)保護(hù)級所有功能。
4. 第四級 結(jié)構(gòu)化保護(hù)級
本級的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基建立于一個明確定義的形式化安全策略模型之上，它要求將第三級系統(tǒng)中的自主和強(qiáng)制訪問控制擴(kuò)展到所有主體與客體上。此外，還要考慮隱蔽通道。
5. 第五級 訪問驗(yàn)證保護(hù)級
本級的計(jì)算機(jī)信息系統(tǒng)可信計(jì)算基滿足訪問監(jiān)控器需求。訪問監(jiān)控器仲裁主體對客體的全部訪問。
1.3.2.2 分級保護(hù)
涉密信息系統(tǒng)安全分級保護(hù)根據(jù)其涉密信息系統(tǒng)處理信息的最高密級，可以劃分為秘密級、機(jī)密級和機(jī)密級（增強(qiáng)）、絕密級三個等級。
1.3.2.3 網(wǎng)絡(luò)隔離
網(wǎng)絡(luò)隔離是一項(xiàng)網(wǎng)絡(luò)安全技術(shù)，它消除了基于網(wǎng)絡(luò)和基于協(xié)議的安全威脅，但網(wǎng)絡(luò)隔離技術(shù)也存在局限性，對非網(wǎng)絡(luò)的威脅如內(nèi)容安全。
網(wǎng)絡(luò)隔離技術(shù)的目標(biāo)是確保把有害的攻擊隔離，在可信網(wǎng)絡(luò)之外和保證可信網(wǎng)絡(luò)內(nèi)部信息不外泄的前提下，完成網(wǎng)間數(shù)據(jù)的安全交換。
1.3.2.4 安全監(jiān)控
安全監(jiān)控可以分為網(wǎng)絡(luò)安全監(jiān)控和主機(jī)安全監(jiān)控兩大類。
2.主機(jī)安全監(jiān)控
安全監(jiān)控的內(nèi)容主要包括以下幾點(diǎn)：
（1）主機(jī)系統(tǒng)監(jiān)視。
（2）網(wǎng)絡(luò)狀態(tài)監(jiān)視。
（3）用戶操作監(jiān)視。
（4）主機(jī)應(yīng)用監(jiān)控。
（5）主機(jī)外設(shè)監(jiān)視。
（6）網(wǎng)絡(luò)連接監(jiān)控。
1.3.3.1 風(fēng)險評估
1. 定量評估方法
定量的評估方法是指運(yùn)用數(shù)量指標(biāo)來對風(fēng)險進(jìn)行評估。
定量的評估方法的優(yōu)點(diǎn)是用直觀的數(shù)據(jù)來表述評估的結(jié)果，看起來一目了然，而且比較客觀，定量分析方法的采用，可以使研究結(jié)果更科學(xué)，更嚴(yán)密，更深刻。有時，一個數(shù)據(jù)所能夠說明的問題可能是用一大段文字也不能夠闡述清楚的；但常常為了量化，使本來比較復(fù)雜的事物簡單化、模糊化了，有的風(fēng)險因素被量化以后還可能被誤解和曲解。
2.定性評估方法
定性的評估方法主要依據(jù)研究者的知識、經(jīng)驗(yàn)、歷史教訓(xùn)、政策走向及特殊變例等非量化資料對系統(tǒng)風(fēng)險狀況作出判斷的過程。
定性評估方法的優(yōu)點(diǎn)是避免了定量方法的缺點(diǎn)，但它的主觀性很強(qiáng)，對評估者本身的要求很高。

1.4信息安全標(biāo)準(zhǔn)化知識
1.4.3 信息安全標(biāo)準(zhǔn)
1.4.3.1 信息安全管理體系標(biāo)準(zhǔn)BS7799
BS7799標(biāo)準(zhǔn)是英國標(biāo)準(zhǔn)協(xié)會（British Standards Institution，BSI）制定信息安全管理體系標(biāo)準(zhǔn)。它包括兩部分，其第一部分《信息安全管理實(shí)施指南》于2001年2月被國際標(biāo)準(zhǔn)化組織（ISO）采納為國際標(biāo)準(zhǔn)ISO/IEC17799，并于2005年6月15日發(fā)布了最新版本。我國也于2004年完成該標(biāo)準(zhǔn)的轉(zhuǎn)化工作。第二部分BS7799—2《信息安全管理體系規(guī)范和應(yīng)用指南》是一個認(rèn)證標(biāo)準(zhǔn)，描述了信息安全管理體系各個方面需要達(dá)到的一些要求，可以一次為標(biāo)準(zhǔn)對機(jī)構(gòu)的信息安全管理體系進(jìn)行考核和認(rèn)證。
ISO/IEC17799的目的是“為信息安全管理提供建議，旨在為一個機(jī)構(gòu)提供用來制定安全標(biāo)準(zhǔn)、實(shí)施有效的安全管理時的通用要素，并得以使跨機(jī)構(gòu)的交易得到互信”。
1.4.3.2 技術(shù)與工程標(biāo)準(zhǔn)
信息安全產(chǎn)品和系統(tǒng)安全性測評標(biāo)準(zhǔn)，是信息安全標(biāo)準(zhǔn)體系中非常重要的一個分支，經(jīng)歷了一系列的重要標(biāo)準(zhǔn)，其中，信息安全產(chǎn)品通用測評標(biāo)準(zhǔn)ISO/IEC15408—1999《信息技術(shù)、安全技術(shù)、信息技術(shù)安全性評估準(zhǔn)則》（簡稱CC）相當(dāng)于最后的集大成者，是目前國際上最通行的信息技術(shù)產(chǎn)品及系統(tǒng)安全性評估準(zhǔn)則。
CC標(biāo)準(zhǔn)的核心思想有兩點(diǎn)：一是信息安全技術(shù)提供的安全功能本身和對信息安全技術(shù)的保證承諾之間獨(dú)立；二是安全工程的思想，即通過對信息安全產(chǎn)品的開發(fā)、評價、使用全各個的各個環(huán)節(jié)實(shí)施安全工程來確保產(chǎn)品的安全性。
2001年參照國際標(biāo)準(zhǔn)ISO/IEC15408，制定了國家標(biāo)準(zhǔn)GB/T18336《信息技術(shù)安全性評估準(zhǔn)則》，作為評估信息技術(shù)產(chǎn)品與信息安全特性的基礎(chǔ)準(zhǔn)則。

報考須知：2016信息安全工程師報考指南 報名時間 考試大綱 考試教材

備考練習(xí)：2016信息安全工程師章節(jié)練習(xí) 每日一練 歷年真題 考前密卷

加入信息安全工程師考友QQ群：11824850，交流學(xué)習(xí)，隨時獲取考試信息。

信息安全工程師考試備考已經(jīng)開始，信管網(wǎng)特邀名師授課（馬上免費(fèi)試聽），全面講解考試重要知識點(diǎn)，保過班、精品班、直播班，為您的考證之路保駕護(hù)航。