简要说一下信息安全管理的基本概念？

1. 简要说一下信息安全管理的基本概念？

首先介绍一下信息安全的概念。信息安全是对所说、所写及计算机中的信息的保密性、完整性和可用性进行保护，使信息免受来自方方面面的威胁，以保证组织业务的连续性，最大程度的减少业务损失，并使投资回报和商务机会最大化。
  而信息安全的保障不仅仅是一个技术过程，更是一个管理过程。信息安全管理是对组织或机构信息安全实施过程中的人员，物质及资金的统筹管理。俗话说信息安全“三分靠技术，七分靠管理”足见信息安全管理在信息安全的实施过程中的重要性。

2. 信息系统的安全管理是什么?

信息系统的安全管理内容及发展趋势是什么

 

一、信息系统安全管理内容

 

通过以前的章节的学习,我们知道信息系统主要由三个要素构成,即:人、信息和信息技术。那么信息系统的安全管理也无外乎对这三个要素的管理和对三者关系的协调。人是信息系统安全管理的主导，管理的对象要从两个角度来看，从信息角度来说就是信息自身的安全，我们要防止信息的丢失和免遭破坏；从技术的角度来说就是整个系统的安全，我们要防止系统的瘫痪和免遭破坏。和在在当今的信息数字时代，人类通过信息系统获得财富和利益的同时，也面临着信息系统所带来的威胁。

 

信息系统经常面临的安全威胁：（这些威胁小则干扰信息系统的正常运行，或者带来经济损失，大则对一个国家的安全构成威胁）

1、未经授权使用、复制和传播电脑软件。（在全球，软件公司每年因盗版和非法复制遭受的损失达数百亿，其中大多数在发展中国家，我国尤为突出）
2、员工擅自从企业数据库中搜索或复制资料。（所谓的家贼难防，员工的目的可能各有不同，有的为了金钱，有的为了报复，有的为了人情等等，不管是什么目的，都会给所在单位带来直接或间接的损失）
3、病毒、木马程序的传播，对信息系统造成损害（我们现代人每天都要接触大量的信息，一些病毒和黑客也会混迹其中，稍有不慎，数据就会遭到破坏，甚至是系统瘫痪。而且都是先有新的病毒出现，产生不良的影响之后,才会有针对其的杀毒软件，好比矛盾之争，先有锐利的矛而后才有坚韧的盾，所以预防病毒是一项长期艰巨的任务）
4、非法入侵计算机系统，窃取密码、资料或进行破坏人为或其它原因造成系统数据丢失，
不满的员工或合作伙伴恶意破坏（五一放假之前，北邮主页是不是被黑了，黑客还把QQ留在上面，对我们学校影响很不好，看看我们学校的网络安全，再看看上网的网速，还自称通讯领域黄浦呢）
5、因施工或设备维护保养不当或其它原因导致信息系统瘫痪（比如说施工挖断光缆；路由器、交换机等网络设备维护不当造成网络瘫痪）

 

针对信息系统所面临的安全威胁，我们在管理上还是以预防为主，管理的主要内容应包括：

1、建立严格的管理制度和操作规程，无论在信息系统的建设、应用和管理方面，都要有一套科学的标准（避雷系统施工的教训）
2、经常备份数据，异地存放数据（911案例）
  经常备份数据，可以在你的信息系统数据遭受破坏时，快速的恢复系统，使损失最低；异地存放数据，可以使信息系统在遭受毁灭性打击的时候，仍然可以保全数据。美国911那场空前的灾难，世贸大楼被夷平，许多公司的信息系统被彻底摧毁，包括用来备份数据的存储介质，但事实上，这些公司中的95%在灾难过后很快的又把信息系统重建起来，这得益于数据的异地存储，设备没了可以再买，数据没了，没有办法在短期重建，需要几年甚至十几年的积累，应了中国一句古话，留得青山在，不怕没柴烧。

3、应用反病毒软件和防火墙技术
杀毒软件主要用来防病毒，防火墙软件用来防黑客攻击。虽然不能使你的信息系统决对安全，但它是保护信息安全不可或缺的一道屏障。

4、信息系统用户的身份确认
身份确认是用来判断某个身份的确实性，例如对使用者、网络主机、档案或资料的识别，确认身份后，系统才可以依不同的身份给予不同的权限。实现身份认证主要有三种方法：1、口令；其应用较为广泛，但也有缺点，它的安全性相对较低（数据库密码）。2、拥有物件，（磁卡，如公交卡，水卡，餐卡）3、特征（声音，指纹，虹膜）

5、文件加密技术（加密原理）

6、信息传输过程中的安全问题（小到个人隐私，公司的信息安全,大到国家安全）

我们常说的一句话叫隔墙有耳，就是说两个人在说话时，所交流的信息被第三方获取，这时候是不是造成泄密？

你打电话的时候，有人把电话线搭到你的电话线上，你通话的内容也会被窃听，这是在个人层面上，再来看一下国家之间，91年海湾战争期间，美国靠军事卫星、侦察机和设在沙特的监听站，大量截获伊拉克的军事情报，伊军的一举一动完全都在美国的掌握之中，最后伊军70万精锐的共和国卫队剩下不到30万人。

我们知道金属导线在有电流通过时，会产生磁场，磁场的强弱随电流强弱而变化，先进的监听设备可以收集这些电磁信号，进行分析，从而获得有用的信息，正是因为这样，我们国家在九十年代中后期，痛下决心，建成七横八纵十五条军用光纤通讯主干线，以防止军事情报外泄，2000年以后，美国人监听中国的军方通讯变的越来越困难，于是开始说中国军事不透明。不知道各位的亲威和朋友中有没有海军的，海军在出海执行秘密任务时，绝对不允许访问因特网或者给家里打电话，因为只要一有电讯号发射出去，你的行踪就会暴露。

 

 

二、安全管理的发展趋势

 

1．安全管理将成为信息管理的一项最基本的任务 

安全管理的含义将上升为鉴定、认证和管理（（Authentication、Authorization、Administation，3A），它已成为客户、合作伙伴、供应商和渠道所关注的焦点,无论对内还是对外,都将建立在一种信任关系的基础之上。这种"信任关系"能够产生出更多的受益，例如低运作成本和对个人用户的高个性化服务。

2．安全管理将由依托产品向依托服务转变 

---- 提供安全产品的厂商开始跳出ASP(Application Service Provider 应用服务提供者)的原始雏形，而扮演起MSP（Manager Service Provider，管理服务提供者）的角色，致力于为系统、网络或安全管理提供更多的增殖服务。

3．安全管理从BtoB、BtoC向BtoM转移 

---- PKI（Public Key Infrastrucure,公钥基础设施）技术正逐步走向成熟，并成为信息安全管理的护航者。然而，随着移动技术的发展,下一代安全应用的关键将是移动设备（如无线电话、Web电话、无线掌上电脑和其他移动信息工具）。加密技术、PKI技术和3A也将走向移动领域。移动安全应用软件将强调在服务器端的应用，而不再是客户端。这种BtoM（Business to Mobile）软件的关键不是"安全"也不是"保护"，而是"信任"。需要为成千上万的用户提供24小时不间断的服务。 

4．主动防御战略构建企业整体安全体系, 由IDS(Intrusion Detection Systems,入侵检测系统)向IPS(Intrusion Prevention System , 入侵防御系统)转变

就好像是防毒，我们要有病毒代码，但是有时有新病毒出来，还没有新的病毒代码出来的话，你可能会感染病毒。主动防御就是要有能力把未知的病毒防住,目的在于防患于未然，在威胁发作之前将其防止。IPS位于防火墙和网络的设备之间。这样，如果检测到攻击，IPS会在这种攻击扩散到网络的其它地方之前阻止这个恶意的通信。传统的IDS只是存在于你的网络之外起到报警的作用，而不是在你的网络前面起到防御的作用。

5．信息全安产品发展趋势

（1）反病毒软件趋势：

因为互联网成为病毒传播的主要通道，防毒软件将由单机版转向网络版。

反病毒厂商与防火墙厂商及互连网服务提供商等的策略结盟将是未来网络安全的成功的关键，未来的重点将在4A（Anti-Virus反病毒、Anti-Haker反黑客、AccessControl存取控制、Authoration认证）上。

无线手机上网将带来越来越多的病毒隐患，目前的手机芯片是只读的，所以还不会产生太严重的后果，只是停留在"恶作剧"阶段，未来这个领域将成为反病毒厂商不得不需要重视的领域，因为我们不能在手机那么小的记忆体安装一个反病毒软件，因此，如何对无线设备进行防范，成为未来反病毒软件的一个发展热点。

（2）防火墙发展趋势

1． 越来越多的防火墙按照环境的不同而转变其安全产品的定位（VPN、模块/过滤、带宽管理、方案管理、IP地址管理和登陆管理）。 

---- 2． 小型、中间级和分布式环境中的即插即用硬件设备的增长，需要一整套的安全产品和单一的管理界面，以提高其可用性和可靠性。比如使用无线AP带来的一些安全问题

3．分布式防火墙解决方案将大行其道，可保护远端的用户，连接网络和企业的内部网及广域网。事实上，分布式防火墙是基于防火墙服务的一种管理方式，实际上，很多的防火墙服务都是MSP和网络服务提供商所提供的增值服务

3. 信息安全的基本概念

信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。
信息安全学科可分为狭义安全与广义安全两个层次，狭义的安全是建立在以密码论为基础的计算机安全领域，早期中国信息安全专业通常以此为基准，辅以计算机技术、通信网络技术与编程等方面的内容；广义的信息安全是一门综合性学科，从传统的计算机安全到信息安全，不但是名称的变更也是对安全发展的延伸，安全再是单纯的技术问题，而是将管理、技术、法律等问题相结合的产物。本专业培养能够从事计算机、通信、电子商务、电子政务、电子金融等领域的信息安全高级专门人才。

4. 信息安全的构成是什么

5. 信息安全管理中最核心的要素是

亲亲，您好，信息安全管理中核心要素是人，最大的威胁也在于人，一般指的是人为威胁，人为威胁可以分为无意识和有意识两种。无意识的威胁是指由于管理和使用者的操作失误造成的信息泄露或破坏。有意识的威胁是指某些组织或个人，出于各自的目的或利益直接破坏各种设备、窃取及盗用有价值的数据信息、制造及散播病毒或改变系统功能等。这种有意识的威胁是最应该引起重视的。【摘要】
信息安全管理中最核心的要素是【提问】
亲亲，您好，信息安全管理中核心要素是人，最大的威胁也在于人，一般指的是人为威胁，人为威胁可以分为无意识和有意识两种。无意识的威胁是指由于管理和使用者的操作失误造成的信息泄露或破坏。有意识的威胁是指某些组织或个人，出于各自的目的或利益直接破坏各种设备、窃取及盗用有价值的数据信息、制造及散播病毒或改变系统功能等。这种有意识的威胁是最应该引起重视的。【回答】
亲亲，您好，信息安全与管理主要研究网络安全管理、信息安全系统集成与维护等方面基本知识和技能，进行网络安全产品的安装与调试、数据备份和系统加固、网络的病毒防范、网站的安全管理等。例如：银行、证券、海关等网络病毒与黑客防范，网络信息安全风险评估与检测，信息安全技术研发与应用等。【回答】
亲亲，您好，信息安全管理的就业方向为网络信息类企事业单位：网络信息安全风险检测和评估、网络安全系统设计与开发，信息安全管理、网络系统构建、管理和维护，服务器配置与管理、企业网站及软件开发与维护。【回答】

6. 什么是信息安全与控制

信息安全与控制是指系统的硬件、软件及其信息受到保护，并持续正常地运行和服务；信息安全的实质是保护信息系统和信息资源免受各种威胁、干扰和破坏，即保证信息的安全性；主要目标是防止信息被非授权泄露、更改、破坏或被非法的系统辨识与控制，确保信息的保密性、完整性、可用性、可控性和可审查性（信息安全5大特征(方面)）。
  
 在《计算机信息系统安全保护条例》中指出，计算机信息系统的安全保护，应当保障计算机及其相关的配套设备、设施（含网络）的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息系统安全运行。
  
 国际标准化组织（ISO）对于信息安全给出的定义是：为数据处理系统建立和采取的技术及管理保护，保护计算机硬件、软件、数据不因偶然及恶意的原因而遭到破坏、更改和泄漏。

7. 信息安全的主要目的是

信息安全的目的：保护信息免受各种威胁的损害，以确保业务连续性，业务风险最小化，投资回报和商业机遇最大化。
信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。

最小化原则
受保护的敏感信息只能在一定范围内被共享，履行工作职责和职能的安全主体，在法律和相关安全策略允许的前提下，为满足工作需要。仅被授予其访问信息的适当权限，称为最小化原则。敏感信息的。知情权”一定要加以限制，是在“满足工作需要”前提下的一种限制性开放。可以将最小化原则细分为知所必须(need to know)和用所必须(need协峨)的原则。

8. 信息安全与管理主要学什么

信息安全与管理课程：
网络安全与管理、Linux网络操作系统、Windows应用服务器配置与安全管理、攻击与防范、信息安全系统评测、防火墙与VPN配置及管理、数据备份与恢复技术、应用密码技术职业证书：网络安全管理员、网络安全工程师，英语、计算机等级证。

信息安全与管理培养目标
培养具有良好的综合素质和信息安全基本理论知识；掌握网络安全产品的安装与调试、数据备份和系统加固、网络的病毒防范、网站的安全管理、防火墙安全策略制定与配置、安全风险评估与检测、IT取证分析（数据恢复）等基本技能。
从事计算机网络安全管理员、数据恢复工程师、网络管理员、信息安全工程师、电子政务、电子商务师等岗位的复合式创新型高素质技术技能人才。