信息安全导论复习（6-8章）

第6章 信息安全等级保护

目录

6.1 信息安全等级保护综述

　　6.1.1 等级保护的原则

　　6.1.2 等级划分

　　6.1.3 等级保护相关法规标准

6.2 等级保护安全设计技术要求

　　6.2.1 等级保护安全设计技术框架

　　6.2.2 第一级信息系统的安全

　　6.2.3 第二级信息系统的安全

　　6.2.4 第三级信息系统的安全

　　6.2.5 第四级信息系统的安全

　　6.2.6 第五级信息系统的安全

6.3 定级系统安全保护环境主要产品类型及功能

　　6.3.1 第一级系统安全保护环境主要产品类型及功能

　　6.3.2 第二级系统安全保护环境主要产品类型及功能

　　6.3.3 第三级系统安全保护环境主要产品类型及功能

　　6.3.4 第四级系统安全保护环境主要产品类型及功能

6.4 等级保护三级应用支撑平台的设计实例

　　6.4.1 三级应用支撑平台的体系结构设计

　　6.4.2 三级安全应用支撑平台访问控制流程

　　6.4.3 系统组成

　　6.4.4 总体结构流程

　　6.4.5 子系统接口

　　6.4.6 计算环境的设计

　　6.4.7 通信网络子系统

　　6.4.8 区域边界子系统

　　6.4.9 安全管理中心

本章小结

1.信息安全等级保护综述

信息安全等级保护是国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。根据信息系统在国家安全、经济建设、社会生活中的重要程度，其遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，其安全等级由低到高划分为五级。

在进行等级保护技术方案设计时，要考虑以下原则：构建纵深防御体系、采取互补的安全措施、保证一致的安全强度、建立统一的支撑平台、进行集中的安全管理。

2.等级保护安全设计技术要求

定级系统的安全保护环境是由一个中心、三层纵深防御体系构成的单一级别安全保护环境及其互联构成的。一个中心是指安全管理中心，三层纵深防御体系则由安全计算环境、安全区域边界及安全通信网络组成。第一级系统为用户自主保护级，其核心技术为自主访问控制。第二级的关键技术为审计。强制访问控制则是三级安全系统的关键技术，也是高安全级别信息系统安全功能上的核心内容。第四级的安全功能要求与第三级基本相同，但在安全保障上有所加强，要求通过结构化的保护措施，有效加强系统TCB的抗攻击能力，达到防止系统内部具有一定特权的编程高手攻击的能力。第五级安全是访问验证保护级，其关键技术为访问监控器，要求基于形式化验证技术，在第四级系统安全保护环境的基础上，实现访问监控器，仲裁主体对客体的访问。

3.定级系统保护环境主要产品类型及功能

不同级别的安全信息系统，需要选择相应的安全产品来实现等级保护安全机制。第一级、第二级安全系统的安全保护可以通过市场上流行的安全产品合理配置来实施，而第三级以上的高安全级别信息系统则必须基于安全操作系统，在对信息系统内部工作流程进行合理的安全分析和标示的基础上进行。需要注意，安全产品在安全保护环境中的使用并不是独立的，而必须按照保护环境的安全要求，合理配置，综合使用，最终实现对系统的整体安全解决方案。

4.等级保护三级应用支撑平台的设计实例

本章最后针对一个办公自动化系统给出了三级应用支撑平台的设计实例。三级系统的关键技术是强制访问控制机制，因此，三级应用支撑平台的核心内容也是如何实施强制访问控制机制。

问题讨论

（1）概述等级保护的基本概念。

答：

等级保护不仅是对信息安全产品或系统的检测、评估及定级，更重要的是，它是围绕信息安全保障全过程的一项基础性的管理制度，是一项基础性和制度性的工作。其基本原理是，不同的信息系统有不同的重要性，在决定信息安全保护措施时，必须综合平衡安全成本和风险。因此，从加强信息系统安全监管的角度，国家需要对不同等级的系统提出不同的安全要求。

（2）解释为什么要实行信息安全等级保护。

答：

信息系统安全等级保护是指，国家对涉及国家安全何社会稳定与安全，公民、法人和其他组织的合法权益的信息系统，按其重要程度和实际安全需求，分级、分类、纵深采取保护措施，保障信息系统安全正常运行和信息安全。特别是要对基础信息网络和重要信息系统按其重要程度和实际安全需求，分级进行保护，分类指导开展安全等级保护，分小区（局域）纵深多级防护，分阶段推进安全等级保护工作，提高国家信息安全综合防护能力，进而保障国家安全，维护和稳定信息社会秩序，促进经济发展，提高综合国力。

*（3）信息安全等级保护的定级方法是什么？

答：

2007年6月，公安部等四部门联合发布了《信息安全等级保护管理办法》，该办法规定，根据信息系统在国家安全、经济建设、社会生活中的重要程度，其遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，其安全保护等级由低到高划分为五级。

第一级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全，社会秩序和公共利益。

第二级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成验证损害，或者对社会秩序和公共秩序造成损害，但不损害国家安全。

第三级：信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级：信息系统受到破坏后，会对社会秩序和公共利益遭到特别严重损害，或者对国家安全造成严重损害。

第五级：信息系统受到破坏后，会对国家安全造成特别严重损害。

（4）设计等级保护技术方案时，需要考虑哪些原则？

答：

基本原则：

1.明确责任，共同保护。通过等级保护，组织和动员国家、法人和其他组织、公民共同参与信息安全保护工作；各方主体按照规范和标准分别承担相应的、具体明确的信息安全保护责任。

2.依照标准，自行保护。国家运用强制性的规范及标准，要求信息和信息系统按照相应的建设和管理要求，自行定级、自行保护。

3.同步建设，动态调整。信息系统在新建、改建、扩建时应当同步建设信息安全设施，保障信息安全与信息化建设相适应。因信息和信息系统的应用类型、范围等条件的变化及其他原因，安全保护等级需要变更的，应当根据等级保护的管理规范和技术标准的要求，重新确定信息系统的安全保护等级。等级保护的管理规范和技术标准应按照等级保护工作开展的实际情况适时修订。

4.指导监督，重点保护。国家制定信息安全监管只能部门通过备案、指导、检查、督促整改等方式，对重要信息和信息系统的信息安全 保护工作进行指导监督。

（5）概述等级保护安全设计技术框架的主要组成。

答：

定级系统的安全保护环境是由一个中心、三层纵深防御体系构成的单一级别安全保护环境及其互联构成的。一个中心是指安全管理中心，三层纵深防御体系则由安全计算环境、安全区域边界及安全通信网络组成。安全计算环境是对定级系统的信息存储与处理进行安全保护的部件。安全区域边界是对定级系统的安全计算环境的边界，以及安全计算环境与安全通信网络之间实现连接功能进行安全保护的部件。安全通信网络是对定级系统安全计算环境之间进行信息传输实施安全保护的部件。

*（6）等级保护各级的核心技术是什么？

答：

各级的核心技术：第一级系统为用户自主保护级，其核心技术为自主访问控制；第二级的关键技术为审计；强制访问控制则是三级安全系统的关键技术，也是高安全级别信息系统安全功能上的核心内容；第四级的安全功能要求与第三级基本相同，但在安全保障上有所加强，要求通过结构化的保护措施，有效加强系统TCB的抗攻击能力，达到防止系统内部具有一定特权的编程高手攻击的能力；第五级安全是访问验证保护级，其关键技术为访问监控器，要求基于形式化验证技术，在第四级系统安全保护环境的基础上，实现访问监控器，仲裁主体对客体的访问。

*（7）第三级信息系统的强制访问控制功能是如何实现的？

答：

第三级信息系统的强制访问控制功能的实现过程：三级系统的TCB应维护与主体及其控制的存储客体（如进程、文件、段、设备）相关的敏感标记。在对安全管理员进行严格的身份鉴别和权限控制基础上，由安全管理员通过特定操作界面对主、客体进行安全标记；应按安全标记和强制访问控制规则，对确定主体访问客体的操作进行控制。在安全管理上，第三级安全系统需要遵循系统管理员、安全管理员和审计管理员三权分立的要求。

（8）举例说明如何实现第四级系统的“结构化保护”功能。

答：

对于信息系统的结构化保护，可以采用“TCB扩展”的系统“结构化保护”方案，该方案的主要技术思想是：略。（见课本P204)

（9）第四级系统中为什么不能有操作系统打补丁机制？

答：

第四级的安全功能要求与第三级基本相同，但在安全保障上有所加强，要求通过结构化的保护措施，有效加强系统TCB的抗攻击能力，达到防止系统内部具有一定特权的编程高手攻击的能力，故不能有操作系统打补丁机制。

（10）概述第二、三级系统安全保护环境集成中有哪些安全功能以及有哪些可供参考的主要产品类型。

答：见课本P209、P210的表6-3和表6-4,略。

（11）概述涉及三级应用支撑平台的技术要点。

答：

三级应用支撑平台的核心内容是如何实施强制访问控制机制。在体系结构方面，三级安全应用支撑平台的防护体系继承了“一个中心”保障下的“三重防护体系”架构，使得它们互为依存、相对独立。三级安全应用支撑平台的总体流程可以分为安全管理流程与访问控制流程。安全管理流程主要由安全管理中心的安全管理员、系统管理员和系统审计员实施，分别实施系统维护、安全策略部署和审计策略部署等机制。访问控制流程则在系统运行时执行，实施自主访问控制、强制访问控制等。……

第7章 信息系统安全工程

目录

7.1 信息系统安全工程基础——系统工程过程

　　7.1.1 系统工程过程概况

　　7.1.2 发掘需求

　　7.1.3 定义系统功能

　　7.1.4 设计系统

　　7.1.5 实施系统

　　7.1.6 有效性评估

7.2 经典信息系统安全工程（ISSE）过程

　　7.2.1 ISSE概述

　　7.2.2 发掘信息保护需求

　　7.2.3 定义信息系统安全要求

　　7.2.4 设计系统安全体系结构

　　7.2.5 开展详细的安全设计

　　7.2.6 实现系统安全

　　7.2.7 评估信息保护的有效性

7.3 系统安全工程-能力成熟度模型（SSE-CMM)

　　7.3.1 概述

　　7.3.2 SSE-CMM的体系结构

　　7.3.3 安全工程的过程分类

本章小结

1.系统工程过程

系统工程过程是信息系统安全工程的基础。常见的工程过程一般有以下几个部分：挖掘任务或业务需求、定义系统功能、设计系统、实施系统、评估有效性。

在挖掘任务或业务需求阶段，主要的工程行为是描述任务/业务并考虑有关的政策要求。在定义系统功能阶段，系统工程师要明确系统的目标，定义系统背景环境，将目标转化为系统功能和性能要求，并进行功能分析，要点是分析功能之间或功能与环境之间的联系。在设计系统阶段，系统工程师要完成功能分配、概要设计和详细设计工作。在实施系统阶段，系统工程师要完成采购、建设和测试任务。最后，系统工程师要从系统是否达到了任务需求以及系统是否能够依照组织所期望的方式操作这两方面来评估系统的有效性。

2.信息系统安全工程（ISSE）过程

信息系统安全工程是美国军方在系统工程过程的基本原理基础上开发的信息安全工程方法学，其重点是通过实施系统工程过程来满足信息保护的需求。ISSE有三个主要原则：1.始终将问题空间和解决方案空间相分离。2.问题空间要根据客户的任务或业务需求来定义。3.解决方案空间要由问题空间相驱动，并由系统工程师和信息系统安全工程师来定义。

信息系统安全工程过程与系统工程过程类似，其主要阶段包括发掘信息保护需求、定义信息系统安全要求、设计系统安全体系结构、开展详细的安全设计、实现系统安全以及评估信息保护的有效性。

3.系统安全工程-能力成熟度模型（SSE-CMM）

SSE-CMM是在CMM（能力成熟度模型）原理基础上发展起来的，是对信息安全工程过程能力进行改进与评估的重要标准。SSE-CMM的目标是清晰地从管理和制度化特征中分离出安全工程的基本特征，因此其体系结构被设计成可在整个安全工程范围内决定安全工程组织的过程成熟性。为了保证上述的分离，SSE-CMM模型是两维的，分别称为“域”和“能力”。维由所有定义安全工程的工程实施活动组成，分别与风险、工程、保证相关，称为“基本实施”；能力维也由一系列的工程实施活动组成，但这些工程实施活动代表的是组织对过程的管理和制度化能力，称为“通用实施”，是基本实施过程中必须完成的活动。SSE-CMM包含五个能力级别，分别是1级“非正式执行级”、2级“计划和跟踪级”、3级“充分定义级”、4级“量化控制级”、5级“持续改进级”。

问题讨论

（1）系统工程过程由哪些部分组成？

答：

组成：发掘需求、定义系统功能、设计系统、实施系统和有效性评估。

（2）信息系统安全工程过程由哪些部分组成？

答：

组成：发掘信息保护需求、定义信息系统安全需求、设计系统安全体系结构、开展详细的安全设计、实现系统安全、评估信息保护的有效性。

（3）信息系统安全工程过程的三个主要原则是什么？

答：

1.始终将问题空间和解决方案空间相分离；2.问题空间要根据客户的任务或业务需求去定义；3.解决方案空间要由问题空间相驱动，并由系统工程师和信息系统安全工程师来定义。

（4）发掘信息保护要求与定义系统安全要求之间的关系是什么？

答：

信息系统安全工程师要在定义信息系统安全要求阶段考虑一套或多套能够满足由客户提出并记录在IPP中的信息保护需求的解决方案集。在客户的参与下，信息系统安全工程师需要选择一套解决方案集，记录系统的背景环境、CONOPS以及系统要求。这项活动完成后，可能需要对现有系统做出变动或开发多个目标系统。

（5）概述定义系统要求与设计系统体系结构的区别。

答：

在系统工程的“定义系统要求”活动中，系统要求要分配到整个信息系统中，它只是指明了系统的功能，却没有定义系统的组件。而在“设计系统体系结构”活动中，系统工程小组将要对功能进行分解，选择具体功能的执行组件，这是体系结构设计的核心内容。

（6）概述SSE-CMM的基本模型。

答：

SSE-CMM中包括两维：“域”和“能力”。域维是由所有定义安全工程的工程实施活动组成，这些实施称为“基本实施”——BP；能力维也由一系列的工程实施活动组成，但这些工程实施活动代表的是组织对过程的管理和制度化能力，它们称为“通用实施”——GP。通过把基本实施和通用实施在两个维上综合考察，便可以评估一个组织实施特定的安全工程过程的能力。

（7）SSE-CMM中，域维和能力维的区别是什么？

答：

域维由所有定义安全工程的工程实施活动（基本实施）组成；而能力维由一系列代表组织对过程的管理和制度化能力的实施活动（通用实施）组成。

（8）SSE-CMM规定了几个能力级别？

答：

规定了五个能力级别，以下各个级别中的公共特征表示了为获得每一个级别的成熟度而需要满足的安全工程属性：

能力级1： 1.1 执行基本实施

能力级2： 2.1 规划执行；2.1 规范化执行； 2.3 验证执行； 2.4 跟踪执行

能力级3： 3.1 定义标准过程； 3.2 执行既定的过程； 3.3 协调过程

能力级4： 4.1 建立可测量的质量目标； 4.2 客观地管理执行

能力级5： 5.1 改进组织的能力； 5.2 改进过程的有效性

（9）概述SSE-CMM中通用实施、公共特征和能力级别的关系。

答：

通用实施：以实施或制度化为手段来提高工程过程的实施能力；

公共特征：通用实施的几何，每一集合中的公共特征面向的是同一类过程的管理和制度化问题；

能力级别：若干个（第1级是一个）公共特征的组合，显示了安全工程过程的实施能力级别。

第8章 信息安全管理

目录

8.1 概述

　　8.1.1 什么是管理和信息安全管理

　　8.1.2 信息安全管理的重要性

　　8.1.3 国外信息安全管理相关标准

　　8.1.4 我国信息安全管理相关标准

8.2 信息安全管理控制措施

　　8.2.1 信息安全方针

　　8.2.2 信息安全组织

　　8.2.3 资产管理

　　8.2.4 人力资源管理

　　8.2.5 物理和环境安全

　　8.2.6 通信和操作管理

　　8.2.7 访问控制

　　8.2.8 信息系统获取、开发和维护

　　8.2.9 信息安全事件管理

　　8.2.10 业务连续性管理

　　8.2.11 符合性

8.3 信息安全管理体系

　　8.3.1 PDCA模型

　　8.3.2 建立ISMS

　　8.3.3 实施和运行ISMS

　　8.3.4 监视和评审ISMS

　　8.3.5 保持和改进ISMS

8.4 信息安全风险评估

　　8.4.1 概述

　　8.4.2 资产识别

　　8.4.3 威胁识别

　　8.4.4 脆弱性识别

　　8.4.5 风险分析与处理

　　8.4.6 风险评估与信息系统生命周期阶段的关系

本章小结

1.信息安全管理的基础知识（概述）

信息安全管理是指把分散的信息安全技术因素和人的因素，通过策略、规则协调整合成为一体，服务于信息安全的目标。信息安全管理之所以重要，一方面是因为仅仅依靠技术和产品保障信息安全是不够的，另一方面则是实际发生的信息安全事件的统计数据证明，有95%的事件可以通过科学的信息安全管理来避免。

近年来，信息安全管理标准发展迅速。国外与此有关的标准有BS 7799标准、ISO/IEC 17799标准、ISO/IEC 2700X系列标准、ISO/IEC TR 13335标准、信息及相关技术控制目标（COBIT）、IT服务流程管理（ITIL）等。国内则主要转化了上述的部分有关国际标准，且参照上述标准制定了GB/T 20269-2006《信息安全技术 信息系统安全管理要求》和GB/T 20282-2006《信息安全技术 信息系统安全工程管理要求》。

2.信息安全管理控制措施

为了对组织所面临的信息安全风险实施有效的控制，组织要针对具体的安全威胁和薄弱点采取适当的控制措施，包括管理手段和技术方法。根据ISO/IEC 27002标准，本章详细介绍了11个方面的管理控制措施，包括信息安全方针，信息安全组织，资产管理，人力资源安全，物理和环境安全，通信和操作管理，访问控制，信息系统获取、开发和维护，信息安全事件管理，业务连续性管理预计符合性。

3.信息安全管理体系

信息安全体系ISMS是组织基于业务风险方法，建立、实施、运行、监视、评审、保持和改进信息安全的体系，是一个组织的整个管理体系的一部分，它包括组织结构、方针策略、规划活动、职责、实践、规程、过程和资源。当前，以ISO/IEC 2700X为基础，建立信息安全管理体系（ISMS），已经成为很多组织开展信息系统安全建设的基本方法。

ISMS基于PDCA循环，将安全管理的计划、实施、检查和改进四个环节连接成一个环状的循环过程。建立一个ISMS包含定义信息安全政策、定义ISMS的范围、实施风险评估、管理风险、选择控制目标和实施控制、准备适用性声明等部分。基于PDCA的理论，信息安全管理体系相关工作还包括实施和运行ISMS、监视和评审ISMS以及保持和改进ISMS。

4.信息安全风险评估

信息安全风险评估就是从风险管理角度，运用科学的方法和手段，系统地分析信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，为防范和化解信息安全风险，将风险控制在可接受的水平，从而最大限度地保障信息安全提供科学依据。风险评估实施流程包括威胁识别、资产识别、脆弱性级别、已有安全措施的确认、风险计算、风险处理等过程。

风险评估贯穿于信息系统生命周期的各阶段中。各阶段涉及的风险评估的原则和方法是一致的，但由于各阶段实施的内容、对象、安全需求不同，使得风险评估的对象、目的、要求等各方面也有所不同。

问题讨论

*（1）什么是信息安全管理？概述信息安全管理的必要性。

答：

信息安全管理定义：把分散的信息安全技术因素和人的因素，通过策略、规划协调整合为一体，服务于信息安全的目标。

信息安全管理的必要性：安全技术是信息安全的构筑材料，安全管理是信息安全的黏合剂和催化剂，只有将有效的信息安全管理从始至终贯彻落实于安全建设的方方面面，信息安全的长期性和稳定性才能有所保证。

*（2）国际上有哪些主要的信息安全管理标准？我国已制定的信息安全管理标准有哪些？

答：

国际上的信息安全管理标准主要有：BS7799标准、ISO/IEC 17799标准、ISO/IEC 2700X系列标准、IT安全管理指南（ISO/IEC TR 13335)、信息及相关技术控制目标(COBIT)、IT服务流程管理（ITIL)；

我国已制定的信息安全管理标准有：GB/T 19716-2005、GB/T 19715.1-2005、GB/T 19715.2-2005、GB/T 22080-2008、GB/T 22081-2008、GB/T 20296-2006、GB/T 20282-2006。

（3）信息安全管理控制措施主要涉及哪些方面的管理措施？

答：

1.信息安全方针：描述组织具有哪些重要的信息资产，并说明这些信息资产如何被保护的一个计划；

2.信息安全组织：包括两个方面的控制目标：管理组织范围内的信息安全；组织的被外部各方访问、处理、管理或与外部进行通信的信息的信息处理设施的安全；

3.资产管理：包括两个方面的控制目标：对资产负责和信息分类；

4.人力资源安全：包括任用前、任用中和任用的终止和变更三个方面的控制目标；

5.物理和环境安全：包括安全区域和设备安全两个方面的控制目标；

6.通信和操作管理：控制目标包括操作规程和职责、第三方服务交付管理、系统规划与验收、防范恶意和移动代码、备份、网络安全管理、介质处理、信息交换、电子商务服务、监视等方面；

7.访问控制：目标包括访问控制的业务要求、用户访问管理、用户责任、网络访问控制、操作系统访问控制、应用和信息访问控制、移动计算和远程工作等方面；

8.信息系统获取、开发和维护：控制目标涉及信息系统的安全要求、应用中的正确处理、密码控制、系统文件的安全、开发和支持过程中的安全、技术脆弱性管理等方面；

9.信息安全事件管理：包含两个反面的控制目标：报告信息安全事件和弱点、信息安全事故管理和改进；

10.业务连续性管理：控制目标是防止业务活动中断，保证重要业务流程不受重大故障和灾难的影响；

11.符合性：包括三个方面的控制目标：与法律法规要求的符合性，与安全策略、标准以及技术要求的符合性，以及信息系统审计考虑。

（4）概述信息安全组织的主要管理措施。

答：

内部组织：一个组织的管理者应通过清晰的说明、可证实的承诺、明确的信息安全职责分配及确认，来积极支持组织内的安全。

外部各方：与“外部各方”有关的安全管理措施主要是为了保持组织中被外部各方访问、处理、管理或与外部进行通信的信息和信息处理设施的安全。

（5）概述资产管理的主要管理措施。

答：

对资产负责：所有资产都是可核查的，并且有制定的责任人，并要求责任人承担对相应控制措施进行维护的职责，资产清单可以有效地帮助组织对资产实施有效的保护，资产清单还是资产评估的重要组成部分；

信息分类：有必要对组织中的信息资产进行科学分类，采用信息分类定义适当的安全保护等级，并根据保护等级采取必要的安全控制措施。

（6）概述访问控制的主要管理措施。

答：

1.访问控制的业务要求：首先制定完善的安全控制策略，为信息系统构建一套完整的访问安全体系，通过策略的实施最大限度地使系统及其数据因非正常的因素遭到破坏的可能性降低到最低；

2.用户访问管理：为防止对计算机信息系统的未经授权的访问，应建立一套控制对信息系统和服务访问权限分配的程序；

3.用户责任：为避免未授权用户的访问，已授权用户的合作是有效安全的基础；

4.网络访问控制：为保护网络服务，包括增值服务，应控制对内部和外部网络服务的访问，这是确保网络安全的关键；

5.操作系统访问控制：为了防止对操作系统的未授权访问，操作系统安全设施应该用来限制授权用户访问操作系统；

6.应用和信息访问控制：为防止保存在信息系统中的应用系统信息被未经授权访问，应使用安全设施限制对应用系统的访问，安全设施应该将访问限制在应用系统之内；

7.移动计算和远程工作：使得员工可以通过使用通信技术在组织之外的固定或非固定场所进行远程工作。

（7）概述信息系统获取、开发和维护过程中的主要管理措施。

答：

1.信息系统的安全要求：指采取措施保证在开发的系统中建立有效的安全机制；

2.应用中的正确处理：为确保应用系统安全，应采取安全措施，防止应用系统信息的错误、丢失、未授权的修改或误用；

3.密码控制：通过密码技术保护信息的保密性、真实性和完整性；

4.系统文件的安全：为确保系统文件的安全，要求采取措施，保护运行软件、系统测试数据及源程序代码的安全；

5.开发和支持过程中的安全：遇到应用系统的业务发生了某些变化，或系统版本需要升级时，必须对应用系统中相应部分的软件做改动，且这种改动需经复查，以证明不会损害系统和运行环境的安全；

6.技术脆弱性管理：必须建立严格的脆弱性管理流程，并以一种有效的、系统的、可重复的，并可测量的方式实施，以降低攻击者利用脆弱性危害系统的风险。

（8）概述通信与操作管理的主要管理措施。

答：

1.操作规程和职责：为了确保信息系统中的信息处理设备正确无误地安全运行，明确信息处理设备的管理与操作责任、程序，是保证系统安全运行的最基本的也是最主要的管理措施；

2.第三方服务交付管理：组织应对协议进行核查，监视协议的执行，并管理协议的变更，以确保交付的服务能够满足与第三方商定的所有要求；

3.系统规划与验收：应对所建立的系统进行风险分析和风险评估，进而对系统进行策划和验收；

4.防范恶意和移动代码：必须采取有效措施防范和检测恶意和未授权移动代码的引入，保护软件和信息的完整性；

5.备份：为了保持信息及信息处理设施的完整性和可用性，应采取有效措施定期对基本业务信息和软件进行备份；

6.网络安全管理：为了确保网络中的信息和支持性基础设施得到保护，应对网络进行充分的管理和控制；

7.介质处理：应加强移动介质的管理，妥善销毁不使用的介质，加强信息处理程序的规范化；

8.信息交换：由于被交换的信息可能被丢失、修改或盗用，因此这种信息交换必需严格受到控制，并符合所有相关的法律法规；

9.电子商务服务：应确保电子商务服务的安全及其安全使用；

10.监视：目的是检测未经授权的信息处理活动。

*（9）什么是PDCA模型？它有什么特点？

答：

PDCA模型：

“P”：计划（建立ISMS）：建立与管理风险和改进信息安全有关的ISMS方针、目标、过程和规程，以提供与组织总方针和总目标相一致的结果；

“D"：实施（实施和运行ISMS）：实施和运行ISMS方针、控制措施、过程和规程；

“C”：检查（监视和评审ISMS）：对照ISMS方针、目标和实践经验，评估测量过程的执行情况，并将结果报告管理者以供评审；

“A”：处置（保持和改进ISMS）：基于ISMS内部审核和管理评审的结果或者其他相关信息，采取纠正和预防措施，以持续改进ISMS。

PDCA的特点：

从安全需求和期望触发，将安全管理的计划、实施、检查和处置四个环节连接成一个环状的循环过程，在每个环节中适应风险的变化而变化，并从一个环节适度地过渡到下一个环节，体现了安全管理的动态性；同时，它循环往复，环节之间密切衔接，体现了安全管理的持续性。

（10）概述建立信息安全管理体系（ISMS）的过程。

答：

定义信息安全政策；确定信息安全管理体系的范围；定义风险评估的系统性方法；识别风险；评估风险；识别并评价风险处理的方法；为风险的处理选择控制目标与控制方式；获得管理层的授权批准等。

*（11）风险评估的重要意义是什么？

答：

风险评估的重要意义：信息安全风险评估，就是从风险管理角度，运用科学的方法和手段，系统地分析信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，为防范和化解信息安全防线，将风险控制在可接受的水平，从而最大限度地保障信息安全提供科学依据。

（12）概述风险评估的实施流程。

答：

包括威胁识别、资产识别、脆弱性识别、已有安全措施的确认、风险计算、风险处理等。

（13）风险评估在信息系统生命周期各阶段的作用是什么？

答：

在规划阶段，通过风险评估以确定系统的安全目标；在建设验收阶段，通过风险评估以确定系统的安全目标达成与否；在运行维护阶段，要不断地实施风险评估以识别系统面临的不断变化的风险和脆弱性，从而确定安全措施的有效性，确保安全目标得以实现。