信息安全法律法规知识点汇总（郑大信安个人总结版）

信息安全法律法规知识点汇总（郑大信安个人总结版）

目录（content）

第一章 绪论 3
第二章 信息安全管理 5
第三章 信息安全法律法规 6
第四章 信息安全法律法规体系类别 9
第五章 信息安全法律法规体系层次 10
第六章 信息安全管理标准 11
第七章 信息安全管理体系 13
第八章 信息安全风险评估 18

第一章 绪论
1.信息作为一种资源，它的普遍性、共享性、增值性、可处理性和多效用性，使其对于人类具有特别重要的意义。
2.在最一般的意义上，亦即没有任何约束条件，可以将信息定义为事物存在的方式和运动状态的表现形式，是事物的一种属性。
3.信息安全是一个广泛而抽象的概念，不同领域不同方面对其概念的阐述有所不同。这里给出几个有代表性的定义方式：
建立在网络基础之上的现代信息系统的安全定义是指信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。
我国相关立法给出的定义是：保障计算机及其相关的和配套的设备、设施（网络）的安全，运行环境的安全，保障信息安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全。
国家信息安全重点实验室给出的定义是：信息安全涉及到信息的机密性、完整性、可用性、可控性。综合起来说，就是要保障电子信息的有效性。
4.信息安全属性：，机密性（Confidentiality），完整性（Integrity），可用性（Availability），真实性，抗抵赖性（不可否认性），可靠性，可控性
5.重要特点：
必然性：信息系统太复杂，系统设计、实现、内部控制等方面都有弱点，运行安全，信息资产，甚至上升到国家安全的高度。
配角特性：信息安全是信息系统建设中的陪衬角色，安全不是目的，保证信息系统正常提供服务。
动态性：技术在发展，威胁在变化，信息安全是一个持续、动态的过程，根据风险变化及时调整安全策略。
6. 信息安全的意义（重大战略价值）：
信息安全的政治意义：任何国家安全战略的重要组成部分。
信息安全的经济意义：信息化建设直接影响国家经济安全。
信息安全与社会稳定的意义：社会安定需要、个人隐私数据泄漏等。
7.信息安全保障体系的三大要素
信息安全技术（应用技术层面）
信息安全标准（信息安全管理体系中重要组成部分）
信息安全法律（一系列的法律法规制定）
8.信息系统（information system）
由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。
9.信息安全事件（information security incident）
由于自然或者人为以及软硬件本身缺陷或故障的原因，对信息系统造成危害，或对社会造成负面影响的事件。
①有害程序事件（MI，Malware Incidents）
（1）计算机病毒事件（CVI，Computer Virus Incidents）
（2）蠕虫事件（WI，Worms Incidents）
（3）特洛伊木马事件（THI，Trojan Horses Incidents）
（4）僵尸网络事件（BI，Botnets Incidents）
（5）混合攻击程序事件（BAI，Blended Attacks Incidents）
（6）网页内嵌恶意代码事件（WBPI，Web Browser Plug-Ins Incidents）
（7）其它有害程序事件（OMI）
②网络攻击事件（NAI，Network Attacks Incidents）
（1）拒绝服务攻击事件（DOSAI，Denial of Service Attacks Incidents）
（2）后门攻击事件（BDAI，Backdoor Attacks Incidents）
（3）漏洞攻击事件（VAI，Vulnerability Attacks Incidents）
（4）网络扫描窃听事件（NSEI，Network Scan & Eavesdropping Incidents）
（5）网络钓鱼事件（PI，Phishing Incidents）
（6）干扰事件（II，Interference Incidents）
（7）其他网络攻击事件（ONAI）
③信息破坏事件（IDI，Information Destroy Incidents）
（1）信息篡改事件（IAI，Information Alteration Incidents）
（2）信息假冒事件（IMI，Information Masquerading Incidents）
（3）信息泄漏事件（ILEI，Information Leakage Incidents）
（4）信息窃取事件（III，Information Interception Incidents）
（5）信息丢失事件（ILOI，Information Loss Incidents）
（6）其它信息破坏事件（OIDI）
④信息内容安全事件（ICSI，Information Content Security Incidents）
（1）违反宪法和法律、行政法规的信息安全事件；
（2）针对社会事项进行讨论、评论形成网上敏感的舆论热点，出现一定规模炒作的信息安全事件；
（4）其他信息内容安全事件等4个子类。
⑤设备设施故障（FF，Facilities Faults）
（1）软硬件自身故障（SHF，Software and Hardware Faults）
（2）外围保障设施故障（PSFF，Periphery Safeguarding Facilities Faults）
（3）人为破坏事故（MDA，Man-made Destroy Accidents）
（4）其它设备设施故障（IF-OT）
⑥灾害性事件（DI，Disaster Incidents）
⑦其他事件（OI，Other Incidents）
10.信息安全应当技术与管理并重

第二章 信息安全管理
(1)管理：管理主体组织并利用其各个要素（人、财、物、信息、时空），借助管理手段，完成目标的过程。
管理主体是一个组织，国家、公司都可以；
管理主体5个要求：人、财、物、信息、时空；
管理手段5个方面 ：强制、交换、惩罚、激励、沟通与说服；
管理过程7个环节：管理规则的确定，管理资源的配置，目标的设立与分解，组织与实施，过程控制，效果评价，总结与处理。
(2)信息系统的安全管可分为技术性管理和法律性管理两类。
技术性管理以OSI安全机制和安全服务的管理以及对物理环境的技术监控为主
SMIB，安全管理信息库，分布式存储相关信息。
法律性管理以法律法规遵从性管理为主。
信息安全管理本身并不完成正常的业务应用通信，但却是支持与控制这些通信的安全所必需的。
(3)指导原则分两类
策略原则：是考虑信息安全的基本原则
工程原则：为信息安全工程的组织与实施过程中，需要遵循的基本原则
(4)策略原则：
以安全保发展，在发展中求安全
受保护资源的价值与保护成本平衡
明确国家、企业和个人对信息安全的职责和可确认性
信息安全需要积极防御和综合防范
定期评估信息系统的残留风险
综合考虑社会因素对信息安全的制约
信息安全管理体现以人为本
(5)工程原则：从工程的角度来考虑信息安全问题的解决方案
考虑信息安全问题解决方案的实施难度
基本保证
适度安全
实用和标准化
保护层次化和系统
降低复杂度
安全设计机构化

第三章 信息安全法律法规
1)法律法规是指国家按照统治阶级的利益和意志制定、认可，并由国家强制力保障其实施的行为规范的总和。
2)当代国家安全包括11个方面的内容，即政治安全、国土安全、军事安全、经济安全、文化安全、社会安全、科技安全、信息安全、生态安全、资源安全、核安全。
3)信息安全法律法规的法律地位：
4)信息安全立法的必要性和紧迫性
（1）没有信息安全就没有完全意义上的国家安全。
（2）国家对信息资源的支配和控制能力，将决定国家的主权和命运。
（3）对信息的强有力的控制是打赢未来信息战的保证。
（4）信息安全保障能力是21世纪综合国力、经济竞争力和生成发展能力的重要组成部分。
5)信息安全法律法规的基本原则：
谁主管谁负责的原则
突出重点的原则
预防为主的原则
安全审计的原则
风险管理的原则
6)信息安全法律法规的特性如下：
（1）法律法规是由国家制定或者认可，并由国家强制力保证实施的规范，因而具有国家意志和国家权力的属性。
（2）法律法规是以规定法律权力和法律义务为内容，是具有完整逻辑结构的特殊行为规范。
（3）法律法规具有普遍约束力，并且对任何在其效力范围内的主体的行为的指导和评价使用同一标准。
7)信息安全法律规范作用：
（1）保障作用：信息安全法律规范为执法机关行驶权利、履行职责提供法律依据和法律保障；（有法可依）
（2）规范作用：信息安全法律规范作为人们维护信息安全和国家安全的行为准则和评价标准；（有法必依）
（3）惩戒作用：信息安全法律规范中有许多禁止性法律法规。（执法必严，违法必究）
8)信息安全法律规范分类
（1）按体系结构分类
按体系结构，信息安全法律规范可分为法律体系（部门法体系）类、法规体系（政策体系）类。
（2）按发布机构分类
按发布机构，信息安全法律规范可分为：国家的、地方的、国际的等等。
9)信息安全法律关系分类：
刑事法律关系（违反《刑法》）
行政法律关系（民与官之间）
民事法律关系（民与民之间）
10)中国立法包括：全国人大及其常委会立法、国务院及其部门立法、一般地方立法、民族自治地方立法、经济特区和特别行政区立法。
11)立法制度与立法体制
立法制度是立法活动、立法过程所须遵循的各种实体性准则的总称，是国家法制的重要组成部分。
立法体制是关于立法权限、立法权运行和立法权载体诸方面的体系和制度所构成的有机整体。
12)立法体制三要素构成：
立法权限的体系和制度；
立法权的运行体系和制度；
立法权的载体体系和制度。
13)中国现行的立法体制：中央统一领导和一定程度分权，多级并存、分类组合的立法权限划分体制。
14)我国的立法程序主要以下四个步骤：
提出法律议案
审议立法议案
表决立法议案
公布法律
15)司法的概念：指国家司法机关及其司法人员依照法定职权和法定程序，具体运用法律处理案件的专门活动。
16)司法制度：指国家体系中司法机关及其他的司法组织的性质、任务、组织体系、组织与活动的原则以及工作制度等方面规范的总称。
侦查制度
国家侦察机关的性质任务、组织体系、组织与活动原则以及工作制度的总和。
检察制度
国家监察机关的性质、任务、组织体系、组织和活动原则以及工作制度的总称。
审判制度
法院的设置、法官、审判组织和活动等方面的法律制度。
监狱制度
监狱的人民警察依法管理监狱、执行刑罚、对罪犯进行教育改造等活动。
17)执法的概念
法律执行，是指国家行政机关依照法定职权和法定程序，行使行政管理职权、履行职责、贯彻和实施法律的活动。
18)执法的特点
1．执法是以国家的名义对社会生活进行全面管理，具有国家权威性。
2．执法的主体是国家行政机关公职人员。
3．执法具有国家强制性，行政机关执行法律的过程同时是行使执法权的过程，行政机关根据法律的授权对社会进行管理，一定的行政机关是进行有效管理的前提。
4．执法具有主动性和单方面性
19)执法的原则
1．依法行政的原则
2．公平合理原则。
20)执法规范化
1．彻底转变观念，打牢执法为民思想
2．提高民警素质，确保正确执法
3．建立优质法制队伍，保障内部执法指导监督
4．健全执法制度，严密执法程序，杜绝执法的随意性
21)重点分析
一是确立了信息化网络空间主权原则，将网络安全顶层设计法制化。
二是对关键信息基础设施实行重点保护，将关键信息基础设施安全保护制度确立为国家信息安全基本制度。
三是加强个人信息保护要求，加大对信息化诈骗等不法行为的打击力度。

第四章信息安全法律法规体系类别

第五章信息安全法律法规体系层次
一、信息安全法律法规体系明确了信息安全的内涵和工作体制，反映了中央对国家信息安全工作的总体布局，标志着网络强国制度保障建设迈出了坚实的一步。
二、思政六方面：一是服务于国家信息安全战略和网络强国战略；二是助力信息安全网络空间治理，护航“互联网+”；三是构建我国信息安全管辖基本法；四是提供维护国家网络主权的法律依据；五是利于在信息安全领域贯彻落实依法治国精神；六是为信息安全参与者提供普遍法律准则和依据。

第六章 信息安全管理标准
A.什么是信息安全风险评估？
指评估机构根据信息安全评估标准，采用一定的方法对信息安全产品或系统的安全性进行评价。
即：以评估的方式对产品或系统进行衡量或评价。
B.通用标准CC
1996年，六国七方（英国、加拿大、法国、德国、荷兰、NSA和NIST）公布了《信息技术安全性评估通用准则》（Common Criterion，简称CC）。
该标准是北美和欧盟联合开发的统一国际互认的安全标准，是在欧美各国自行推出的评估标准及具体实践的基础上，通过相互间的总结和互补发展起来的。
1998年，六国七方又公布了CC的2.0版。
C.国家标准的代号由大写汉语拼音字母构成。
强制性国家标准的代号为“GB”，推荐性国家标准的代号为“GB/T”。
D.GB 17859-1999《计算机信息系统安全保护等级划分规则》
1999年9月由公安部主持制定、国家质量技术监督局发布，它是建立信息系统安全等级保护、实施安全等级管理的重要基础性标准。
该标准的制定参照了美国的TCSEC。
E.GB/T 18336-2001《信息技术安全性评估准则》
我国自1996年CC 1.0版发布后，尝试将CC标准与信息安全实践相结合。
2001年3月，我国国家质量技术监督局正式颁布了等同采用CC的国家标准GB/T 18336-2001《信息技术安全性评估准则》
F.ISO/IEC 17799《信息技术 信息安全管理实用规则》
我国在ISO/IEC 17799:2000的基础上，于2005年颁布了国家标准GB/T 19716：2005《信息技术 信息安全管理实用规则》（修改采用ISO/IEC 17799:2000）
G.ISO/IEC 27001《信息安全管理体系要求》
1998年，BSI（英国标准协会）公布BS7799-2；
1999年发布修订版的BS7799-2；
2002年推出了新版本的BS7799-2:2002；2004年ISO启动了以BS7799-2:2002为基础的ISMS国际标准的制定工作。
2005年发布ISO/IEC 27001:2005，它是建立ISMS的一套规范，其中详细说明了建立、实施和维护信息安全管理体系的要求，可用来指导相关人员去应用ISO 17799，其最终目的在于建立适合组织需要的ISMS。
H.标准间的比较分析
TCSEC是针对孤立的计算机系统提出的，起初为军用标准，只应用在对操作系统的评估上。
欧洲的ITSEC与TCSEC一样，均是不涉及开放系统的安全标准，仅针对产品的安全保证要求来划分等级并进行评测，且均为静态模型，仅能反映静态的安全状况，但适用于军队、政府与商用。
CC虽源于TCSEC，但CC全面考虑了与信息技术安全性有关的各种因素，CC不仅考虑信息的保密性、完整性和可用性要求，同时也考虑了信息的可控性、可用性及责任可追查性。其适用范围也包括军队、政府以及商业等部门。
I.CC与早期的评估标准相比，主要具有四大特征：
（1）CC符合PDR（保护、检测、反应）模型；
（2）CC评估准则是面向整个信息产品生存周期的；
（3）CC评估准则不仅考虑了保密性，而且还考虑了完整性和可用性多方面的安全特性；
（4）CC评估准则有与之配套的安全评估方法CEM（Common Evaluation Methodology）。
CC没有包括对物理安全、行政管理措施、密码机制等重要方面的评估，但仍然未能完全体现动态的安全技术要求。
J.美国的ISMS标准：
美国国家标准（ANSI）
美国联邦信息处理安全标准（FIPS）
美国国防部的信息安全指令和标准（DODDI）
美国电气电工工程师协会（IEEE）
K.ISO/IEC JTC1/SC27成立后设有三个工作组：
WG1：需求、安全服务及指南工作组
WG2：安全技术与机制工作组
WG3：信息系统、部件和产品相关的安全评估准则工作组
L. 2006年5西班牙马德里举行的SC27第32届工作组会议和第18届全体会议上，通过了2005年11月在马来西亚会议上提出的调整SC27组织结构的提案，将原来的三个工作组调整为现在五个工作组：
WG1：需求、安全服务及指南工作组
WG2：安全技术与机制工作组
WG3：信息系统、部件和产品相关的安全评估准则工作组
WG4：安全控制与服务工作组
WG5：身份管理与隐私保护技术工作组
M.核心技术是国之重器。掌握信息安全管理标准及先进科学技术，树立正确的国家安全观，才能护国之安全。

第七章 信息安全管理体系
1.信息安全管理体系（Information Security Management System，ISMS）是一个组织内部建立的信息安全方针与目标的总称，并包括为实现这些方针和目标所制定的文件体系与方法。
2.信息安全管理体系（ISMS）的实施过程，就是在组织管理层的直接授权下，由ISMS领导小组来负责实施，通过制定一系列的文件，从而建立一个系统化、程序化与文件化的管理体系，来保障组织的信息安全。
3.信息安全管理体系（ISMS）实施过程的依据标准是ISO 27001-2005 《信息安全管理体系 要求》。
4.PCDA模型：在ISMS的实施过程中，采用了“规划(Plan)-实施(Do)-检查(Check)-处置(Act)”可简称为P阶段、D阶段、C阶段、A阶段。

5.应用于ISMS过程的PCDA模型图

应用于ISMS过程的PDCA模型说明了ISMS如何把相关方的信息安全要求和期望作为输入，并通过必要的行动和过程，产生满足这些要求和期望的信息安全结果。
6.建立阶段—P阶段
在该阶段A单位需完成六个方面的工作：准备工作、确定ISMS范围、确定ISMS方针和目标、实施风险评估、选择控制措施、形成体系文件。
1）准备工作
建立ISMS管理机构
召开启动会
制订工作计划
实施基础知识培训
准备相关工具
2）确定ISMS范围
确定ISMS范围也是明确ISMS覆盖的边界过程，在经过一系列的调研、分析、讨论，最终形成ISMS范围和边界说明文件。
部门、资产、办公场所
3）确定ISMS方针和目标
确定ISMS方针是整个体系的目的、意图和方向，是建立安全目标的框架和基础，所以要求内容必须是具体明确的。
4）实施风险评估
实施风险评估是ISMS建立阶段的一个必须活动，其结果将直接影响到ISMS运行的结果。
要实施风险评估，必须首先确定风险评估方法。
风险评估模型

风险评估方法
①准备阶段：主要任务是对风险范围进行评估、对信息进行初步收集，并制定详尽风险评估方案。
②识别阶段：主要识别以下4个对象，并形成各自的结果列表。
资产识别是对被评估信息系统的关键资产进行识别，并合理分配。
威胁识别就是根据资产的环境和资产遭受过的威胁的损害情况来确认威胁的主体和客体。
脆弱性评估就是对脆弱性被威胁利用的可能性进行评估，最终为其赋相对等级值。
安全措施识别就是通过问卷调查、人工检查等方式识别被评估信息系统有效对抗风险的预防措施。
③分析阶段是风险评估的主要阶段，其主要包括以下5个方面的分析：
a.资产影响分析：资产量化的过程，跟据资产遭受破坏时对系统产生的影响，对其进行赋值量化。
b.威胁分析：确定威胁的权值(1~55),威胁的等级越高威胁发生的可能性越大。
c.脆弱性分析：依据脆弱性被利用的难易程度和被成功利用后所产生的影响 来对脆弱性进行赋值量化。
d.安全措施有效性分析：判断安全措施对防范威胁、降低脆弱性的有效性。
e.综合风险分析：对风险量化，获得风险级别（5级），等级越高风险越高。
风险评估实施
根据风险评估方法实施风险评估工作，主要实施方法有问卷访谈、现场调研、文件查阅、手工检查、工具检查等。
5）选择控制措施
根据风险评估结果，综合考虑各种因素和要求，针对每项风险做出对应控制策略，形成适用性声明文件（SOA）和风险处理计划。
SOA，明确了当前已实施的控制措施和达到的控制目标，说明了选择相应控制目标和控制措施的理由，并对ISO/IEC27001:2005标准进行删减以及删减合理性进行了阐述。
6）形成体系文件
对ISMS文件进行总体设计，确定ISMS文件清单，制定文件编写计划，结合前期工作结果和相关参考文献，编写出ISMS各级文件。
文件层次
一级文件：信息安全管理手册
二级文件：程序及策略文件
三级文件：记录文件
7.ISMS的实施和运行——D阶段
ISMS体系文件以书面文件的正式发布标志着ISMS的试运行阶段正式开始。
8.ISMS的监视和评审——C阶段
在该阶段是对体系运转情况的监督，并制定了定期内审和管理评审的策略，以便及时发现问题。
内部审核
审核流程：

审核结果： 形成审核报告
管理评审
目的：检查ISMS是否有效，识别可以改进的地方，以保证ISMS持续保持适宜性，充分性和有效性。
9.ISMS的保持和改进——A阶段
通过ISMS内部审核和管理评审，发现体系运行过程中存在的问题，并确定改进方法，采取相应措施，使体系持续发展。
10.风险评估的重要意义：
在于改变传统的以技术驱动为导向的安全体系结构设计及详细安全方案制定，以成本－效益平衡的原则；
通过对用户关心的重要资产的分级、安全威胁发生的可能性及严重性分析，以及对系统物理环境、硬件设备、网络平台、基础系统平台、业务应用系统、安全管理、运行措施等方面的安全脆弱性分析；
通过对已有安全控制措施的确认，借助定量、定性分析的方法，推断出用户关心的重要资产当前的安全风险，并根据风险的严重级别制定风险处理计划，确定下一步的安全需求方向。
风险评估的目标可以是针对具体的应用系统，也可能是某个组织内多个应用系统集成的信息系统。
风险评估的最重要目的是为被评估组织发现安全脆弱点、潜在的安全威胁，以及在现有安全措施的基础上制定适当的安全加固措施，使得系统更加安全可靠，确保信息数据的安全。
11.ISMS建设与风险评估的关系
（ISMS）是一个管理体系，它以一个组织的信息系统为目标，以风险评估为基础，通过风险评估，识别组织的安全风险，再通过制定一整套的ISMS文件，并按照PDCA模型，经历建立ISMS、实施和运行ISMS、监视和评审ISMS、保持和改进ISMS等四个循环过程，来实施ISMS。
风险评估是ISMS建设的出发点，也是ISMS实施过程的重要过程。
对一个组织来讲，ISMS是一个循环往复不断改进与提高完善的过程，风险评估只是ISMS建立过程中的一个重要步骤，但风险评估也可以自成体系，作为ISMS过程的一个部分独立存在。
12. 风险评估与等级保护的关系
等级保护中的系统分类分级的思想和风险评估中对信息资产的重要性分级基本一致。
在风险评估中，价值高的信息资产不一定风险等级就高。
在确定系统安全等级级别后，风险评估的结果可作为实施等级保护、等级安全建设的出发点和参考。
风险评估是等级保护（不同等级不同安全需求）的出发点。
风险评估中最终风险的等级则是综合考虑了信息的重要性、系统现有安全控制措施的有效性及运行现状后的综合评估结果，等级保护中高级别的信息系统不一定有高级别的安全风险。
13.ISMS与等级保护的共同之处
最终目标是一致的，都是为了有效保障组织的信息安全
都充分体现了信息安全应重视管理的思想，只有做好安全管理工作，安全技术才能充分发挥作用。
既然二者的联系主要体现在管理方面，那么二者的融合应该着重体现在等级保护中安全管理的部分与ISMS的融合。
14.ISMS与等级保护、等级测评的区别‘
二者的出发点和侧重点不同
等级保护制度重点在于如何利用现有资源使重要的信息系统得以保护，主要体现了分类分级、重点保护的思想。
ISMS主要是从安全管理的角度出发，在组织内部建立ISMS，以保护组织的信息资产。重点在于在组织或其特定范围内建立信息安全方针、政策，安全管理制度和安全管理组织，并使其得以有效落实，主要是体现了安全管理的作用和重要性。
二者的实施依据不同
二者的实施主体不同
ISMS体系的建设主体，主要是各企业组织为维护本组织的信息安全，出于自身的安全需要，主动地建立适合本组织需要的信息安全管理体系，从而保障本组织的信息安全。或者由具有安全服务资质的信息安全服务公司来帮助企业建立适当的ISMS。
等级测评的主体是经过国家认可的信息安全测评认证机构。测评认证组织按照DB11/T 171-2002的要求进行测评认证工作
二者的实施对象不同
ISMS体系的实施对象，主要是对各企业单位。
等级测评的实施对象，主要是有信息系统等级要求的各级党政机关等政府部门。
二者的实施过程不同
等级保护制度的完整实施过程是贯穿信息系统的整个生命周期。
ISMS的完整实施过程是贯穿组织或组织某一特定范围的管理体系的整个生命周期。
二者的结果不同
ISMS建设的结果是为组织建立一整套ISMS的体系文件，通过在组织的日常业务过程中加以实施，不断的改进，从而有力地加强对本组织的信息安全。
类似于ISO9001体系认证，组织也可以申请ISMS体系方面的国际认证，从而证明组织的安全达到了体系的要求。
等级测评的结果是给出被测评对象是否达到声明的安全等级的要求。在某种意义上说，测评也是认证的意思，如信息系统达到二级的各项安全要求，则可认为其通过信息系统二级的认证。
15.ISMS与等级保护的融合
结构的融合
ISO/IEC 17799：2005的控制措施没有区分技术和管理，而是直接从不同安全领域进行的划分，这种划分方式更为全面和合理，因此二者对控制措施的要求可利用ISMS的结构：控制类别-控制目标-控制措施，加以描述，然后划分不同的等级要求。即二者可结合成坐标轴结构，横轴为控制措施目标和要求，纵轴则为不同的等级要求。
内容的融合
ISO/IEC 17799：2005中的控制措施与等级保护制度中的基本要求基本一致，只不过由于结构的不同、二者的描述方式不同，描述上有一定的差异。将ISO/IEC 17799：2005中的控制措施集与《信息系统安全等级保护基本要求》的基本要求集加以重新整合，形成新的控制措施集合。
16.各个组织对信息安全管理体系的采用是一个战略决定。因为按照一定的标准建立的信息安全管理体系需要在组织内形成良好的信息安全文化氛围，它涉及到组织全体成员和全部过程，需要取得管理者的足够的重视和有力的支持。需要国家制定的强有力的相关法律、法规及其他要求。

第八章信息安全风险评估
1．风险评估（也称风险分析）是风险管理的基础，是组织确定信息安全要求的途径之一，属于组织信息安全管理体系策划的过程。
2．常见的风险评估方法策略有三种：基线风险评估、详细风险评估、综合风险评估
3．风险评估、风险分析，理解其相对概念。
（一）基线风险评估
基线风险评估要求组织根据自己的实际情况，对信息系统进行基线安全检查，得出基本的安全需求，通过选择并实施标准的安全措施来消减和控制风险。
所谓的安全基线，是在诸多标准规范中规定的一组安全控制措施或者惯例，这些措施和惯例适用于特定环境下的所有系统，可以满足基本的安全需求，能使系统达到一定的安全防护水平。组织可以根据以下资源来选择安全基线：
(1)国际标准和国家标准，例如ISO17799、ISO13335；
(2)行业标准或推荐标准，例如德国联邦安全局的《IT 基线保护手册》；
(3)来自其他有类似商务目标和规模的组织的惯例。
基线评估的优点是：
风险分析和每个防护措施的实施管理只需要最少数量的资源，并且在选择防护措施时花费更少的时间和努力
如果系统安排需求相似，可以采用相同或相似的基线防护措施而不需要太多的努力
基线评估的的缺点是：
基线水平难以设置（对照标准不好确定）
风险评估不全面、不透彻，且不易处理变更（系统升级后，原有的基线是否合适）
最大问题，普遍适用的安全基线不好确定
（二）详细风险评估
详细风险评估要求对资产、威胁和脆弱点进行详细识别和评价，并对可能引起风险的水平进行评估，这通过不期望事件的潜在负面业务影响评估和他们发生的可能性来完成。
不期望事件可能表现为直接形式，如直接的经济损失，如物理设备的破坏；也可能表现为间接的影响，如法律责任等。
不期望事件发生的可能性依赖于资产对于潜在攻击者的吸引力、威胁出现的可能性以及脆弱点被利用的难易程度。
根据风险评估的结果来识别和选择安全措施，将风险降低到可接受的水平。
详细评估的优点是：
有可能为所有系统识别出适当的安全措施
详细分析的结果可用于安全变更管理
详细评估的缺点是：
需要更多的时间、努力和专业知识
（三）综合风险评估
基线风险评估耗费资源少、周期短、操作简单，但不够准确，适合一般环境的评估；
详细风险评估准确而细致，但耗费资源较多，适合严格限定边界的较小范围内的评估。
ISO/IEC 13335-3提出了综合风险评估框架，其实施流程如图所示。

综合风险评估的最后两步是IT系统安全策略和IT安全计划
IT系统安全策略是前面各阶段评估结果的结晶，包括系统安全目标、系统边界、系统资产、威胁、脆弱点、所选取的安全措施、安全措施选取的原因、费用估计等。
IT安全计划则处理如何去实施所选取的安全措施。
综合评估将基线和详细风险评估的优势结合起来，既节省了评估所耗费的资源，又能确保获得一个全面系统的评估结果。
4．信息安全风险评估过程

5． 风险评估准备
风险评估准备是整个风险评估过程有效性的保证。其工作主要包括：
确定风险评估目标：是满足组织业务持续发展在安全方面的需要，或符合相关要求、遵守法律法规的规定。
确定风险评估的对象和范围
组建团队
选择方法：合适的风险判断方法
获得支持：获得组织管理者的支持、批准。
准备相关的评估工具：信息收集工具、数据及文档管理工具，如漏洞扫描工具、渗透性测试工具，评估数据管理相关系统等。
6．资产识别与评估
（一）资产识别
资产是指对组织具有价值的信息资源。资产识别是风险识别的必要环节。
资产识别的任务：就是对确定的评估对象所涉及或包含的资产进行详细的标识，由于它以多种形式存在，有无形的、有形的。
资产识别的方法：主要有访谈、现场调查、问卷、文档查阅等。
（二）资产评估
资产的评价是对资产的价值或重要程度进行评估，资产本身的货币价值是资产价值的体现，但更重要的是资产对组织关键业务的顺利开展乃至组织目标实现的重要程度。
通常信息资产的机密性、完整性、可用性、可审计性和不可抵赖性等是评价资产的安全属性。
信息安全风险评估中资产的价值可由资产在这些安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。
综合评价原则：最大原则、加权原则
7．威胁识别与评估
（一）威胁识别
威胁识别的任务是对组织资产面临的威胁进行全面的标识。
从威胁源角度，威胁可分为：自然威胁、环境威胁、系统威胁、外部人员威胁、内部人员威胁。
（二）OCTAVE（Operationally Critical Threat，Asset，and Vulnerability Evaluation，可操作的关键威胁、资产和薄弱点评估）
用以定义一种系统的、组织范围内的评估信息安全风险的方法。
OCTAVE则通过建立威胁配置文件来进行威胁识别与分析威胁。配置文件包括5个属性，分别是：
资产（assert）、访问（access）、主体（actor）、动机（motive）、后果（outcome）。
（三）威胁评估
安全风险的大小是由安全事件发生的可能性以及它造成的影响决定。
安全事件发生的可能性与威胁出现的频率有关。
安全事件的影响则与威胁的强度或破坏能力有关，如地震的等级或破坏力等。
威胁评估就是对威胁出现的频率及强度进行评估，这是风险评估的重要环节。
评估者应根据经验和（或）有关的统计数据来分析威胁出现的频率及其强度或破坏能力。
8．脆弱点识别与评估
（一）脆弱点识别
脆弱点识别也称为弱点识别，弱点是资产本身存在的，如果没有相应的威胁发生，单纯的弱点本身不会对资产造成损害。
如果系统足够强健，再严重的威胁也不会导致安全事件，并造成损失。即威胁总是要利用资产的弱点才可能造成危害。
脆弱点识别主要从技术和管理两个方面进行。
技术脆弱点涉及物理层、网络层、系统层、应用层等各个层面的安全问题。
管理脆弱点又可分为技术管理和组织管理两方面，前者与具体技术活动相关，后者与管理环境相关。
脆弱点识别将针对每一项需要保护的资产，找出可能被威胁利用的弱点，并对脆弱点的严重程度进行评估。
脆弱点识别时的数据应来自于资产的所有者、使用者，以及相关业务领域的专家和软硬件方面的专业等人员。
脆弱点识别所采用的方法主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。
（二）脆弱点评估
脆弱点评估就是对脆弱点被利用后对资产损害程度、技术实现的难易程度、弱点流行程度进行评估。
评估的结果一般都是定性等级划分形式，综合的标识脆弱点的严重程度。
也可以对脆弱点被利用后对资产的损害程度以及被利用的可能性分别评估，然后以一定方式综合。
9．已有安全措施的确认
主要任务是，对当前信息系统所采用的安全措施进行标识，并对其预期功能、有效性进行分析。
安全措施可以分为预防性安全措施和保护性安全措施两种。
预防性安全措施可以【降低（威胁利用脆弱点导致安全事件）发生的可能性】。这可以通过两个方面的作用来实现：
（1）一方面是减少威胁出现的频率，如通过立法或健全制度加大对员工恶意行为的惩罚，可以减少员工故意行为威胁出现的频率，通过安全培训可以减少无意行为导致安全事件出现的频率；
（2）另一方面是减少脆弱点，如及时为系统打补丁、对硬件设备定期检查能够减少系统的技术脆弱点等。保护性安全措施可以减少因安全事件发生对信息系统造成的影响，如业务持续性计划。
对已采取的安全措施进行确认，至少有两个方面的意义。
一方面，这有助于对当前信息系统面临的风险进行分析，由于安全措施能够减少安全事件发生的可能性及影响，对当前安全措施进行分析与确认，是资产评估、威胁评估、脆弱点评估的有益补充，其结果可用于后面的风险分析；
另一方面，通过对当前安全措施的确认，分析其有效性，对有效的安全措施继续保持，以避免不必要的工作和费用，防止安全措施的重复实施。对于确认为不适当的安全措施应核实是否应被取消，或者用更合适的安全措施替代，这有足于随后进行的安全措施的选取。
10．风险分析
（一）风险计算

（二）影响分析
安全事件对组织的影响可体现在以下方面：直接经济损失、物理资产的损坏、业务影响、法律责任、人员安全危害、信誉（形象）损失等。这些损失有些容易定量表示，有些则很难。
（三）可能性分析
安全事件发生的可能性的因素有：资产吸引力、威胁出现的可能性、脆弱点的属性、安全措施的效能等。
根据威胁源的分类，引起安全事件发生的原因可能是自然灾害、环境及系统威胁、人员无意行为、人员故意行为等。
不同类型的安全事件，其可能性影响因素也不同。
11．安全措施的选取
风险评估的目的不仅是获取组织面临的有关风险信息，更重要的是采取适当的措施将安全风险控制在可接受的范围内。
在对组织面临的安全风险有全面认识后，应根据风险的性质选取合适的安全措施，并对对可能的残余风险进行分析，直到残余风险为可接受风险为止。
12．风险评估文件记录
风险评估文件包括在整个风险评估过程中产生的评估过程文档和评估结果文档，包括：
风险评估计划，风险评估程序，资产识别清单，重要资产清单，威胁列表，脆弱点列表，已有安全措施确认表，风险评估报告，风险处理计划，风险评估记录。
13．故障树分析
故障树分析（Fault Tree Analysis，FTA）模型是由Bell电话试验室的Waston.HA于1961年提出的，作为分析系统可靠性的数学模型。
通过把可能造成系统故障（顶事件）的各种因素（底事件）进行分析，确定发生故障的各种组合，计算相应的概率，找出纠正措施，从而提高系统的可靠性，该方法现已经成为比较完善的系统可靠性分析技术。
是一种Top-Down方法，通过对可能造成系统故障的硬件、软件、环境、人为因素进行分析，画出故障原因的各种可能组合方式和/或其发生概率，由总体至部分，按树状结构，逐层细化的一种分析方法。
特点：灵活性，图形演绎，通过故障树可以定量地计算复杂系统的故障概率及其他可靠性参数，为改善和评估系统可靠性提供定量数据。
故障树分析的过程简述如下：
建造故障树、求出故障树的全部最小割集、计算顶事件的发生概率、重要度的计算、排列出各风险事件（顶事件）的顺序。
（一）建造故障树
概念：寻找系统故障和导致系统故障的诸因素之间逻辑关系，并且用故障树的图形符号（事件符号与逻辑门符号），抽象表示实际系统故障组合和传递的逻辑关系。
故障树构造完成后，需要简化故障树，消除多余事件，特别是在故障树的不同位置存在同一基本事件时，必须利用布尔代数描述并进行整理，然后才能计算顶事件的发生概率，否则就会造成定性分析或定量分析的错误。
（二）求出故障树的全部最小割集
割集：指故障树中一些底事件的集合，当这些底事件发生时顶事件必然发生。
最小割集：若在某个割集中将所含的底事件任意去掉一个，余下的底事件构不成割集（不能使顶事件必然发生），则这样的割集就是“最小割集”。
求解最小割集的方法有很多， 目前常用方法有：下行法（Fussell-Vesely算法）和上行法（ Seman-deres算法） 。
下行法的主要思想是：从顶事件开始，依次把逻辑门的输出事件用输入事件置换。经过或门输入事件竖向写出，经过与门输入事件横向写出，直到全部门事件均置换为底事件为止。每行由若干个底事件组成，构成一个割集。再吸收、简化掉互相完全包含和冗余的割集，最后得到全部最小割集。
（三）计算顶事件的发生概率
计算顶事件发生概率的方法有若干种，用得最多的是借助定性分析的结果，利用最小割集等效成的故障树来求解。
定性分析与定量分析相结合。
对于庞大的故障树而言，求解最小割集和利用上述公式计算顶事件发生概率时规模可能是相当繁杂的。
可以采用近似计算，对定量计算公式简化处理。
（四）重要度的计算
故障树中各底事件并非同等重要，为了定量分析各个底事件对顶事件发生的影响大小，对每个底事件的重要性程度给予定量的描述，从而引入“重要度”的概念。
包括四种：结构重要度、概率重要度、相对概率重要度、相关割集重要度
（五）排列出各风险事件（顶事件）的顺序
14． 故障模式影响及危害性分析
故障模式影响及危害性分析（Failure Mode Effects and Criticality Analysis，简记为FMECA）是故障模式影响分析（FMEA）和危害性分析（Criticality Analysis-CA）的组合分析方法。
是分析系统中每一产品所有可能产生的故障模式及其对系统造成的所有可能影响，并按每一个故障模式的严重程度、检测难易程度以及发生频度予以分类的一种归纳分析方法。
基本步骤是：①系统分解，建立层次结构模型②构造判断矩阵③通过单层次计算进行安全性判断④层次总排序，完成综合判断
15．模糊综合评价法
模糊分析是建立在模糊集合基础上的一种预测和评价方法。它的特点在于其评价方式与人们的正常思维模式很接近，可用程度语言描述对象。
模糊评价是一种对不能准确定义的事件进行评价的方法。它将某种定性描述和人的主观判断用量化的形式表达。该方法可在一定程度上检查和减少人的主观影响，使评价更科学合理。
模糊综合评价法的基本思想是：在确定评价因素、因子的评价等级标准和权值的基础上，运用模糊集合变换原理，以隶属度描述各因素及因子的模糊界线，构造模糊评价矩阵，通过多层的复合运算，最终确定评价对象所属等级。关键点是模糊评价矩阵的计算。
评价过程如下：①建立系统评价指标体系②确定因素集③确定模糊权重集④确定评价集⑤建立模糊评价矩阵⑥计算综合评价结果⑦给出评价报告
常用的评价原则有：最大隶属度原则,最小代价原则，置信度原则，评分原则等。
16．德尔斐法
德尔斐法是一种定性预测方法，通过背对背群体决策咨询的方法，群体成员各自独立工作，然后以系统的、独立的方式综合他们的判断，克服了为某些权威所左右的缺点，减少调查对象的心理压力，使预测的可靠性增加。
(1)在风险明确之后，要求群体成员通过填写精心设计的问卷，来提出可能解决问题的方案。
(2)每个群体成员匿名并独立完成每一份问卷。
(3)把这些问卷调查的结果收集到另一个中心地点整理出来。
(4)把整理和调整的结果分发给每个人一份。
(5)在群体成员看完整理结果之后，要求他们再次提出解决问题的方案。结果通常是启发出新的解决办法，或使原有方案得到改善。
(6)如果有必要，重复步骤（4）和步骤（5），直到找到大家意见一致的解决办法为止。
17．层次分析法
是一种定性与定量相结合的多目标决策分析方法。
核心是将决策者的经验判断给予量化，从而为决策者提供定量形式的决策依据。
目前该方法已被广泛的应用于尚无统一度量标尺的复杂问题的分析，解决用纯参数数学模型方法难以解决的决策分析问题。
该方法对系统进行分层次、拟定量、规范化处理，在评估过程中经历系统分解、安全性判断和综合判断三个阶段。
层次分析法是将决策问题的有关元素分解成目标、准则、方案等层次，在此基础上进行定量和定性分析的一种决策方法。
这一方法的特点是在对复杂决策问题的本质、影响因素及其内在关系等进行深入分析后，构建一个层次模型，然后利用较少的定量信息，把决策的四围过程数学化，从而为求解多目标、多准则的复杂决策问题。
层次分析法的决策过程如下：1.分析各影响因素间的关系，建立层次模型。（层次模型至少包含三层） 2.构建两两比较判断矩阵 3.计算单个判断矩阵对应的权重向量 4.计算各层元素对目标层的合成权重向量

18．事件树分析法
事件树分析是风险分析的一种重要方法。
它是在给定系统事件的情况下，分析此事件可能导致的各种事件的一系列结果。从而定性与定量的评价系统的特性，并可帮助人们做出处理或防范的决策。
事件树描述了初始事件一切可能的发展方式与途径。事件树的每个环节事件（除顶事件外）均执行一定的功能措施以预防事故的发生，且其均具有二元性结果（成功或失败），在事件树建立过程中可以吸收专家知识。
事件树虽然列举了导致事故发生的各种事故序列组，但这只是中间步骤，必非最后结果，有了这个中间步骤就可以进一步来整理初始事件与减少系统风险概率措施之间的复杂关系，并识别除事故序列组所对应得事故场景。
19．原因-后果分析
原因-后果分析（Cause Consequence Analysis, CCA）实际上是故障树分析（FTA）和事件树分析（ETA）的混合。
这种方法结合了原因分析（故障树分析）和后果分析（事件树分析），因此使用演绎以及归纳的分析方法。
原因—结果分析的目的是识别出导致突发后果的事件链。
根据CCA原因—后果分析图中不同事件的发生概率，我们就可以计算出不同后果发生的概率，从而确定系统的风险等级。
20．概率风险评估和动态风险概率评估
该风险分析方法以事件树和故障树为核心的分析方法。其分析步骤如下：
识别系统中存在的事件，找出风险源
对各风险源考察其在系统安全中的地位，及相互逻辑关系，给出系统的风险源树
标识各风险源后果大小及风险概率
对风险源通过逻辑及数学方法进行组合，最后得到系统风险的度量
21．OCTAVE模型
这是一种从系统的、组织的角度开发的新型信息安全保护方法，主要针对大型组织，中小型组织也可以对其适当裁剪，以满足自身需要。
它的实施分为三个阶段：建立基于资产的威胁配置文件（Threat Profile）、标识基础结构的弱点、开发安全策略和计划
22．风险分析数据的采集方法
风险评估过程中，可以利用一些辅助性的工具和方法来采集数据，包括：调查问卷、检查列表、人员访谈、文档检查、漏洞扫描器、渗透测试
23．风险评价工具
SAFESuite套件:Internet扫描器、系统扫描器、数据库扫描器、实时监控器、Safe Suite套件决策软件。
KaneSecurityAnalyst
WebTrendsSecurityAnalyzer
COBRA
CRAMM
ASSET
CORA
24．险评估是风险管理的基础，风险管理要依靠风险评估的结果来确定随后的风险控制和审核批准活动，使得组织能够准确“定位”风险管理的策略、实践和工具。从而将安全活动的重点放在重要的问题上，选择成本效益合理的、适用的安全对策。
25．风险评估可以明确信息系统的安全现状，确定信息系统的主要安全风险，是信息系统安全技术体系与组织管理体系建设的基础。

第九章信息系统安全测评
1.信息系统安全测评是由具有检测技术能力和政府授权资格的权威机构，依据国家标准、行业标准、地方标准或相关技术规范，按照严格程序对信息系统的安全保障能力进行的科学、公正的综合测试评估活动。

2.测评中心将综合分析系统测试过程中有关现场核查、技术测试以及安全管理体系评估的结果，对其系统安全要求符合性和安全保障能力作出综合评价，提出相关改进建议，并出具相应的系统安全测评报告。
主体：测评机构
客体：测评委托单位
依据：相关标准
对象：信息系统（测评委托单位的）
活动：访谈、检查、测试
结果：测评报告（包括改进建议）

3.信息系统安全测评原则：
客观性和公正性原则
经济性和可重用性原则
可重复性和可再现性原则
符合性原则

4.术语和定义
（1）访谈 interview
访谈是指测评人员通过引导信息系统相关人员进行有目的（有针对性的）交流以帮助测评人员理解、澄清或取得证据的过程
（2）检查 examination
检查是指测评人员通过对测评对象（如制度文档、各类设备、安全配置等）进行观察、查验、分析以帮助测评人员的理解、澄清或取得证据的过程。
（3）测试 testing
测试是指测评人员使用预定的方法/工具使测评对象（各类设 备和安全配置）产生特定的结果，将运行结果与预期的结果进行对比的过程。

5.测评框架
信息系统安全等级保护测评（以下简称等级测评）的概念性框架由三部分构成：测评输入、测评过程和测评输出。

6.等级测评的实施过程由单元测评和整体测评两部分构成。
单元测评满足概念性框架的三部分内容：测评输入、测评过程和测评输出。
整体测评主要包括安全控制点间、层面间和区域间安全测评

7.测评力度
测评力度是在测评过程中实施测评工作的力度，反映测评的广度和深度，体现为测评工作的实际投入程度。
测评广度越大，测评实施的范围越大，测评实施包含的测评对象就越多；
测评深度越深，越需要在细节上展开，测评就越严格，因此就越需要更多的投入。
投入越多，测评力度就越强，测评就越有保证

8.信息系统单元测评

9.信息系统整体测评
概述
安全控制点间测评
层面间测评
区域间测评

10.信息系统安全测评包括：
资料审查 核查测试 综合评估

11.信息系统安全管理测评术语和定义：
安全审计(security audit): 对信息系统记录与活动的独立的审查和检查，以测试系统控制的充分程度，确保符合已建立的安全策略和操作过程，检测出安全违规，并对在控制、安全策略和过程中指示的变化提出建议。
风险评估(risk assessment): 风险识别、分析、估值的全过程，其目标是确定和估算风险值。
安全策略(security policy):一个组织为其运转而规定的一个或多个安全规则、规程、惯例和指南。
监测验证(validate by inspect and test):通过对与安全管理有关的监测信息(包括审计信息以及各种监测、监控机制收集的信息)的分析，对安全管理实施的有效性进行验证的过程。

12.管理评估的基本原则：
对信息系统安全管理的评估除应坚持科学性、有效性、公正性等基本原则外，还应遵循以下原则：
体系化原则
标准化原则
一致性原则
风险可控性原则
安全管理保证原则
安全性和公正性原则

13.等级测评的作用
a)在信息系统建设、整改时，信息系统运营、使用单位通过等级测评进行现状分析，确定系统的安全保护现状和存在的安全问题，并在此基础上确定系统的整改安全需求。
b)在信息系统运维过程中，定信息系统是否具备GB/T 22239-2008中相应等级安全保护能力。

14.等级测评执行主体
可以为三级及以上等级信息系统实施等级测评的等级测评执行主体应具备如下条件：
a.在中华人民共和国境内注册成立（港澳台地区除外）；
b.由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；
c.从事相关检测评估工作两年以上，无违法记录等

15.等级测评实施过程中，被测系统可能面临以下风险：
①验证测试影响系统正常运行；
②工具测试影响系统正常运行；
③敏感信息泄漏。

16.等级测评过程分为四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动。

第十章业务连续性与灾难恢复
1.业务连续性概述：
是指组织有应对风险、自动调整和快速反应的能力，以保证组织业务的连续运转。
为组织重要应用和流程提供业务连续性应该包括以下三个方面，相互关联与交叉：高可用性、连续操作、灾难恢复。

2.业务连续性管理（Business Continuity Management）是对单位的潜在风向加以评估分析，确定其可能造成的威胁，并建立一个完善的管理机制来防止或减少灾难事件给单位带来的损失。
总体目标是为了提高单位的风险防范与抗打击能力，以有效地减少业务破坏并降低不良影响，保障单位的业务得以持续运行。

3.业务连续性计划（BCP）是一套事先被定义和文档化的计划，明确定义了恢复业务所需要的关键人员、资源、行动、任务和数据。
BCP的内容不应该只局限在IT方面，应该涵盖如下几个方面：
应急响应计划 容灾恢复计划 运维恢复计划 业务恢复计划

4.行业标准组织——中国业务持续管理专委会制定了业务连续管理最佳实践的10步骤，GB/T 30146-2013将这些步骤划分到实施、绩效评估、改进三个阶段。

5.灾难恢复是指将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。

6.区分业务连续性和灾难恢复是很必要的。
灾难恢复是恢复数据的能力，解决信息系统灾难恢复问题，是业务连续性计划的一部分。而业务连续性强调的是组织业务的不间断能力。

7.备份策略：
数据备份是为了达到数据恢复和重建目标所进行的一系列备份步骤和行为。
完全备份
增量备份
差分备份
综合型完全备份

8.健全的法律制度是基础，提高全社会的网络安全意识和网络安全保障水平是关键。我国作为网络大国，面临着巨大的网络安全威胁问题，信息系统也承载着硕大的安全压力。如何维护好信息系统的安全可靠，是我们“安全守护者”要为之学习实践的目标。

第十一章信息系统安全审计
1.信息系统安全审计是评判一个信息系统是否真正安全的重要手段之一。

2.主要目标：
检查是否符合现行的安全策略，标准，指南和程序
找出不足之处，并检查现有策略，标准、指南和程序的实施效果
识别和审查是否符合相关的法律、法规和合同的要求
识别和理解存在的漏洞
检讨现有的操作、行政和管理方面的安全控制问题，确保实现的安全措施和符合最低安全标准的要求
提供改进建议和纠正措施

3.安全审计流程

以上各阶段之间并没有明显的时间相关性，它们之间可能存在时间上的交叉。

4.计算机取证的概念：
计算机取证是对计算机入侵、破坏、欺诈、攻击等犯罪行为，利用计算机软硬件技术，按照符合法律规范的方式，进行识别、保存、分析和提交数字证据的过程。
计算机取证遵循如下原则：
尽早搜集证据，并保证其没有受到任何破坏
必须保证“证据连续性”
整个检查、取证过程必须是受到监督的

5.计算机取证流程

第十二章 网络及系统安全保障机制

1. 安全保障机制是信息安全的基本要素之一，在信息安全管理中需要采用有效的安全机制。

2.身份认证技术
身份认证依据：
你知道什么（What you know）
你拥有什么（What you have）
你是谁（Who you are）
你在哪里（Where you are）

（1）口令机制（静态Σ(っ °Д °;)っ口令，动态口令）
（2）对称密码认证
（3）证书认证
（4）生物认证技术

3.网络边界及通信安全技术

4.网络入侵检测技术
（1）P2DR表示Policy、Protection、Detection和Response，即安全策略、防护、检测和响应

（2）入侵检测系统IDS
（3）入侵防御系统IPS

5.计算环境安全技术
（1）软件安全
（2）补丁技术
（3）防病毒技术

6.虚拟化安全防护技术

源文件：https://www.aliyundrive.com/s/PQ3HQgdwkdo 提取码：Ryhy