信息安全

信息安全风险与管理

风险种类及管理

• 物理风险：设备的物理特性和外界环境造成（如：设备防盗、人为破坏、停电导致网络设备无法工作）
• 信息风险：信息存储安全（存储信息的磁盘是否会被人为损坏、加密）、信息传输安全（中途信息篡改）、信息访问安全（防止非法用户访问服务器进行攻击）
• 系统风险（围绕数据库）：数据库系统配置安全、安全数据库、系统中运行的服务安全
• 应用风险：网络病毒、操作系统安全、WEB服务安全、FTP、DNS服务安全
• 网络风险：内网的安全级别最高（信任区）
• 管理风险：意识薄弱、恶意窃取、操作不规范、授权规则松散

国家政策（组织专门机构、制定专门法规）企业制度（建立相关制度、建立安全管理机构）管理体系（安全策略及人员、监督检查体系）

发展现状

• 制定信息安全发展战略和计划
• 加强信息安全立法，实现统一和规范管理
• 步入标准化与系统化管理时代

信息安全标准与规范

信息安全标准与规范

国际相关组织：

• ISO(Internation Organization for Standardization) 国际标准化组织
• IEC(Internation Electrotechnical Commission) 国际电工委员会

国内相关权威组织

• CCSA 中国通信标准化协会下辖的网络与信息安全技术工作委员会

中国 2017年正式颁布网络安全法 等保2.0 推广
美国标准 TCSEC
欧洲联盟标准 ITSEC

---

自学笔记 谨慎参考
视频：华为HCIA security