熱線：信息安全體系框架設計的新思路中，何為“管理是核心，技術是關鍵？”
發(fā)布時間：2020-08-25 作者：廣匯聯(lián)合 來源：廣匯聯(lián)合
隨著在世界范圍內(nèi)信息化水平的不斷發(fā)展，信息安全逐漸成為人們關注的焦點，各家企業(yè)，尤其是軟件企業(yè)對于信息安全管理體系標準（ISO27001）認證非常重視，所以，ISO27001是信息安全領域的管理體系標準，已得到了很多國家的認可，是國際上具有代表性的信息安全管理體系標準。軟件企業(yè)通過認證，也歸功于自身體系建設。安全無小事，信息安全更是無小事！
信息系統(tǒng)安全體系框架的設計是基于安全系統(tǒng)的設計原則的，并結合信息系統(tǒng)的實際風險，實現(xiàn)信息安全管理體系。
1、物理層安全：物理環(huán)境，硬件平臺的安全(含運行安全和信息安全)；該層次的安全包括通信線路的安全，物理設備的安全，機房的安全等。物理層的安全主要體現(xiàn)在通信線路的可靠性(線路備份、網(wǎng)管軟件、傳輸介質(zhì))，軟硬件設備安全性(替換設備、拆卸設備、增加設備)，設備的備份，防災害能力，防干擾能力，設備的運行環(huán)境(溫度、濕度、煙塵)，不問斷電源保障等。
2、系統(tǒng)層安全：操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)的安全(含運行安全和信息安全)；該層次的安全問題來自網(wǎng)絡內(nèi)使用的操作系統(tǒng)的安全，如Unix，windwosNT等。主要表現(xiàn)在三方面，一是操作系統(tǒng)本身的缺陷帶來的不安全因素，主要包括身份認證、訪問控制、系統(tǒng)漏洞等。二是對操作系統(tǒng)的安全配置問題。三是病毒對操作系統(tǒng)的威脅。還包括網(wǎng)絡系統(tǒng)軟件、服務器系統(tǒng)軟件、訪問控制、權限分配、漏洞掃描、防病毒、防入侵、加密和認證。
3、網(wǎng)絡層安全：網(wǎng)絡系統(tǒng)安全(含運行安全和信息安全)；L26J該層次的安全問題主要體現(xiàn)在網(wǎng)絡方面的安全性，包括網(wǎng)絡層身份認證，網(wǎng)絡資源的訪問控制，數(shù)據(jù)傳輸?shù)谋Ｃ芘c完整性，遠程接入的安全，域名系統(tǒng)的安全，路由系統(tǒng)的安全，入侵檢測的手段，網(wǎng)絡設施防病毒等。
4、應用層安全：應用系統(tǒng)安全(含運行安全和信息安全)；該層次的安全問題主要由提供服務所采用的應用軟件和數(shù)據(jù)的安全性產(chǎn)生，包括應用程序和平臺安全，加密和認證，Wbe服務、電子郵件系統(tǒng)、DNS、防病毒等。
5、管理層安全：系統(tǒng)安全管理(含操作管理和行政管理)?！ “踩芾戆ò踩夹g和設備的管理、安全管理制度、部門與人員的組織規(guī)則，對安全設備的訪問控制措施、安全設備配置和設置的政策、審批的權限。管理的制度化極大程度地影響著整個網(wǎng)絡的安全，嚴格的安全管理制度、明確的部門安全職責劃分、合理的人員角色配置都可以在很大程度上降低其它層次的安全漏洞。該層次模型涵蓋了了安全管理、技術平臺等多個層面。
在安全層次上，該模型強調(diào)安全問題首先是管理制度問題和人的問題，其次才是技術問題。安全管理是統(tǒng)攬其他層次的最主要層次。即信息安全的結構中，管理是核心，技術是關鍵，意識與需求是動力。
