信息安全管理体系认证资料(2)

信息安全已扩展到了信息的可靠性、可用性、可控性、完整性及不可抵赖性等更新、更深层次的领域。这些领域内的相关技术和理论都是信息安全所要研究的领域。国际标准化组织(ISO)定义信息安全是“在

15811284199 Email：aqa006@

- 5 -

信息安全管理体系认证资料

技术上和管理上为数据处理系统建立的安全保护,保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄露”。

信息安全一般包括实体安全、运行安全、信息安全和管理安全四个方面的内容。

实体安全是指保护计算机设备、网络设施以及其他通讯与存储介质免遭地震、水灾、火灾、有害气体和其它环境事故（如电磁污染等）破坏的措施、过程。

运行安全是指为保障系统功能的安全实现，提供一套安全措施（如风险分析、审计跟踪、备份与恢复、应急措施）来保护信息处理过程的安全。

信息安全是指防止信息资源的非授权泄露、更改、破坏，或使信息被非法系统辨识、控制和否认。即确保信息的完整性、机密性、可用性和可控性。

管理安全是指通过信息安全相关的法律法令和规章制度以及安全管理手段，确保系统安全生存和运营。

美国国家电信与信息系统安全委员会（NTISSC）主席、美国C3I负责人、前国防部副部长Latham D C认为，信息安全（INFOSEC）应包括以下六个方面： 通信安全（COMSEC） 计算机安全（COMPUSEC）

符合瞬时电磁脉冲辐射标准（TEMPEST） 传输安全（TRANSEC） 物理安全（Physical Security） 人员安全（Personnel Security）

综上所述，信息安全的主要内容包括：机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）、真实性（Authenticity）和有效性（Utility）。

在BS7799中 信息安全主要指信息的机密性(Confidentiality)、完整性(Integrity)和可用性(Availability)的保持。即指通过采用计算机软硬件技术、网络技术、密钥技术等安全技术和各种组织管理措施，来保护信息在其生命周期内的产生、传输、交换、处理和存储的各个环节中，信息的机密性、完整性和可用性不被破坏。

机密性是指确保只有那些被授予特定权限的人才能够访问到信息。信息的机密性依据信息被允许访问对象的多少而不同，所有人员都可以访问的信息为公开信息，需要限制访问的信息为敏感信息或秘密信息，根据信息的重要程度和保密要求将信息分为不同密级。例如，军队内部文件一般分为秘密、机密和绝密三个等级，已授权用户根据所授予的操作权限可以对保密信息进行操作。有的用户只可以读取信息，有的用户既可以进行读操作有可以进行写操作。

信息的完整性是指要保证信息和处理方法的正确性和完整性。信息完整性一方面是指在使用、传输、

- 6 - TEL 010-86062963 Email：aqa006@

信息安全管理体系认证资料

存储信息的过程中不发生篡改信息、丢失信息、错误信息等现象；另一方面是指信息处理的方法的正确性，执行不正当的操作，有可能造成重要文件的丢失，甚至整个系统的瘫痪。

信息的可用性是指确保那些已被授权的用户在他们需要的时候，确实可以访问得到所需要信息。即信息及相关的信息资产在授权人需要的时候，可以立即获得。例如，通信线路中断故障、网络的拥堵会造成信息在一段时间内不可用，影响正常的业务运营，这是信息可用性的破坏。提供信息的系统必须能适当地承受攻击并在失败时恢复。

另外还要保证信息的真实性和不可否认性,即组织之间或组织与合作伙伴间的商业交易和信息交换是可信赖的。

三、信息技术安全标准的制定情况 1、国内信息技术安全标准的制定工作

国内信息技术安全标准的制定工作是从80年代中期开始的。一方面是定信息技术设备和设施的安全标准，1985年发布了第一个标准GB4943；另一方面是制定信息安全技术标准，于1994年月发布了第一批标准。至1997年底，已制定、报批和发布了有关信息技术安全的国家标准13个和国家军用标准6个。现正在制定中的国家标准14个。

1.1信息技术安全标准化的展望

信息安全关系到国家的安全、社会的安定、经济的发展，信息技术安全标准是信息安全规范化和法制化的基础，是实现技术安全和安全管理的重要手段。信息技术安全标准化必须统一领导、统筹规划、各方参与、分工合作进行，保证其顺利和协调发展。为此，国家有关部门组织各方面专家参加的标准化技术委员会正在开展以下工作：

1.2加强信息安全标准化的研究

信息技术的安全技术是比较新的和复杂的技术，也是在近年来才得到较快的发展，特别是它的标准化更是如此。为了全面认识和了解信息技术的安全标准，需要对国内外信息技术标准化的情况和发展趋势进行深入的研究。特别是庆将信息技术安全标准体和纱作为重点课题进行综合研究，并建立我国的信息技术安全标准体系，以便能够有目的、有组织、有计划地分期分批进行标准制定工作。这样才能避免标准项目重复和混乱，避免标准之间不协调，也可避免资金人才和时间的浪费。

国际上有很多制定信息安全标准的组织，他们工作各有特点，制定标准的层次不同，也有部分工作重迭，我国对此也应进行深入具体的分析研究。例如：IS0/IEC JTCI/SC27的重点是制定通用的信息技术安全标准；而ISO/TC68则是针对银行系统制定行业具体应用的信息安全标准；ECMA还制定信息技术设备的安全标准。

1.3加快信息技术安全标准的制定

国际互联网的开通，对信息安全标准的需求更加迫切，标准的数量也日益增加，因此应加快信息技术

15811284199 Email：aqa006@ - 7 -

信息安全管理体系认证资料

标准的制定工作。国际上ISO的信息技术安全标准，包括已正式发布、正在制定的标准项目已有近70项，国际互联网的RFC文中有100多项涉及信息安全，都是比较实用的。

2、国外信息技术安全标准化的情况

国外早在70年代中期就开始了信息技术安全标准化工作，现将国际标准化组织、欧洲计算机厂商协会和美国开展信息技术标准化的情况简要介绍如下。

2.1 国际标准化组织的信息技术安全标准化 2.1.1 ISO/IEC JTC1/SC27信息技术安全

随着跨国计算机网络的开发和不同计算机系统之间互连的要求，数据加密标准化工作也开始走向国际。英国于1979年向ISO/TC97提出开展数据加密技术标准化的建议，ISO/TC97采纳了建议，并于1980年组建直属工作组。后来，TC97认为，数据加密技术专业性很强，需幅个分技术委员会来专门开展这方面的标准化工作，于是，1984年1月在联邦德国波恩正式成立分技术委员会SC20。我国也派人出席了这次会议，并成为该分委员会的P成员。从此，数据加密技术标准化工作在ISO/TC97内正式蓬勃展开。 1984年SC20成立后，就把在直属工作组期间已开始的密码算法的国际标准化工作接过来，并作为第一优先制定的标准。该算法其实就是美国的DES，SC27称其为DEA-1，而且还指定由法国起草DEA-2报告，实际上是公苴算法RSA。1985年1月第二次分技委员会上同意推进到DIS，但随后的一年里发生了很大变化。先是1985年夏天发布的美国总统令宣布政府将不再支持DES，并由国家安全局NSA设计新的算法标准，算法细节不予公开。这就引起大家对DES安全强度的怀疑。有的成员国原本就一直反对密码算法的国际标准化，认为一个国家采用什么样的密码算法是十分敏感的问题，别 …… 此处隐藏：2899字，全部文档内容请下载后查看。喜欢就下载吧 ……