從企業資訊化到資訊化企業（六）之資訊化安全控制與技術體系

資訊安全控制對資訊系統的安全防護本質是對其相關資訊及通路的訪防護。資訊安全控制，包括資訊安全等級保護和邏輯安全控制。對作業系統，資料庫和應用系統的通路須通過安全的登入程式。登入程式須符合要求提供通路控制機制，確定不會被未授權的人通路修改和删除資訊；提供身份驗證方法，如果使用帳号管理和密碼管理需確定符合賬号管理規定和密碼規則。

一、資訊系統等級保護

國家要求，重點保護基礎資訊網絡和關系國家安全，經濟命脈，社會穩定等方面的重要資訊系統，抓緊建立資訊安全等級保護制度。

等級劃分原則：1自主定級；2業務保障；3合理保護。

等級劃分過程：1系統識别階段；2子系統劃分階段；3要素指派階段；4系統定級階段

（一）邏輯安全控制

1、使用者賬号管理：（1）使用者賬号配置設定規則（2）普通使用者帳号管理（3）特權使用者帳号管理

2、密碼規則：（1）初始密碼規定（2）密碼重置申請規定（3）密碼管理規定

3、使用者權限管理：對配置設定的使用者賬号及權限應定期稽核，稽核發現問題及時改正。

（二）實體安全控制

1、  機房出入實體控制機制

2、  出入機房登記管理

3、  敏感的紙質系統檔案管理程式

（三）網絡安全控制

1、  邊界網絡設定管理:（1）邊界網絡出口設定管理（2）防火牆配置管理

2、  網絡監控與入侵檢測

3、  遠端登入管理：（1）遠端登陸帳号的申請和終止流程（2）遠端登入帳号檢查流程

（四）第三方通路控制

1、第三方服務合同的資訊安全監督；

2、第三方人員對應用系統通路的管理措施；

4、  第三方人員對系統遠端登入的規定。

二、資訊安全技術體系

資訊安全是一個非常複雜的綜合領域資訊安全具有資訊系統所具有的各種特性。同時也具有自身的獨特性，包括相對性，動态性，潛在性生命周期特性，層次性，業務，相關性等，是以需要從資訊系統安全的不同層次和角度去分析設計，進而形成企業完整有效的資訊安全體系。

（一）資訊安全技術體系

完整的資訊安全體系包括七個層次。1、實體環境乘2、作業系統層3、網絡層4、主機層5、資料層6、應用層7、政策制度層。

（二）資訊安全技術基礎設施

1、全面的實體層安全設施：從實體環境角度講，地震，水災，火災，雷擊等環境事故電源故障，人為操作失誤、電磁幹擾、線路截獲等是實體層安全需要考慮的主要因素，重要機房需要配有ups電源、精密空調、自動消防、電子門禁等設施。

2、階層化的網絡安全設施：（1）防火牆（2）入侵檢測系統（3）虛拟專用網（4）網絡監控系統

3、統一的桌面管理系統

4、統一完整的企業防病毒系統