信息安全保护策略论文

信息安全保护策略论文

　　信息安全保护策略论文【1】

　　【摘 要】随着计算机技术的迅速发展，公司由使用计算机完成的工作已由基于单机的文件处理、自动化办公，发展到今天的企业内部网。

　　计算机网络的应用领域已从传统的小型业务系统逐渐向大型业务系统扩展。

　　计算机网络在为人们提供便利、带来效益的同时，也使人类面临着信息安全的巨大挑战。

　　组织和单位的计算机网络是黑客攻击的主要目标。

　　如果黑客组织能攻破组织及单位的计算机网络防御系统，他就有访问成千上万计算机的可能性。

　　据统计，近年来因网络安全事故造成的损失每年高达上千亿美元。

　　计算机系统的脆弱性已为各国政府与机构所认识。

　　【关键词】信息安全; 威胁;防御策略;防火墙

　　1 计算机信息网络安全概述

　　所谓计算机信息网络安全，是指根据计算机通信网络特性，通过相应的安全技术和措施，对计算机通信网络的硬件、操作系统、应用软件和数据等加以保护，防止遭到破坏或窃取，其实质就是要保护计算机通讯系统和通信网络中的各种信息资源免受各种类型的威胁、干扰和破坏。

　　计算机通信网络的安全是指挥、控制信息安全的重要保证。

　　根据国家计算机网络应急技术处理协调中心的权威统计，通过分布式密网捕获的新的漏洞攻击恶意代码数量平均每天112次，每天捕获最多的次数高达4369次。

　　因此，随着网络一体化和互联互通，我们必须加强计算机通信网络安全防范意思，提高防范手段。

　　2 计算机信息安全常见的威胁

　　以上这些因素都可能是计算机信息资源遭到毁灭性的破坏。

　　像一些自然因素我们是不可避免的，也是无法预测的;但是像一些人为攻击的、破坏的我们是可以防御的、避免的。

　　因此，我们必须重视各种因素对计算机信息安全的影响，确保计算机信息资源万无一失。

　　3 计算机信息的安全的防御策略

　　根据计算机网络系统的网络结构和目前一般应用情况，我们采取可两种措施：一是，采用漏洞扫描技术，对重要网络设备进行风险评估，保证网络系统尽量在最优的状态下运行;二是，采用各种计算机网络安全技术，构筑防御系统，主要有：防火墙技术、VPN技术、网络加密技术、身份认证技术、网络的实时监测。

　　3.1 漏洞扫描技术

　　漏洞扫描主要通过以下两种方法来检查目标主机是否存在漏洞：在端口扫描后得到目标主机开启的端口以及端口上的网络服务，将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看是否有满足匹配条件的漏洞存在;通过模拟黑客的攻击手法，对目标主机系统进行攻击的安全漏洞扫描，如测试弱口令等，若模拟攻击成功，则表明目标主机系统存在安全漏洞。

　　3.2 防火墙技术

　　防火墙是网络安全的屏障，一个防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。

　　由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境更安全，信息的安全就得到了保障。

　　使用防火墙软件可以在一定程度上控制局域网和Internet之间传递的数据。

　　防火墙一般是指用来在两个或多个网络间加强访问控制的一个或一组网络设备。

　　从逻辑上来看，防火墙是分离器、限制器和分析器;从物理上来看，各个防火墙的物理实现方式可以多种多样，但是归根结底他们都是一组硬件设备(路由器、主机)和软件的组合体;从本质上来看，防火墙是一种保护装置，它用来保护网络数据、资源和合法用户的声誉;从技术上来看，防火墙是一种访问控制技术，它在某个机构的网络与不安全的网络之间设置障碍，阻止对网络信息资源的非法访问。

　　3.3 计算机网络的加密技术(ipse)

　　采用网络加密技术，对公网中传输的IP包进行加密和封装，实现数据传输的保密性、完整性。

　　它可以解决网络在公网的数据传输安全性问题，也可以解决远程用户访问内网的安全问题。

　　IP层是TCP/IP网络中最关键的一层，IP作为网络层协议，其安全机制可以对其上层的各种应用服务提供透明的覆盖安全保护。

　　IP安全是整个TCP/IP 安全的基础，是网络安全的核心。

　　ipse 提供的安全功能或服务主要包括：访问控制、无连接完整性、数据起源认证、抗重放攻击、机密性、有限的数据流机密性。

　　3.4 身份认证

　　身份认证的作用是阻止非法实体的不良访问。

　　有多种方法可以认证一个实体的合法性，密码技术是最常用的，但由于在实际系统中有许多用户采用很容易被猜测的单词或短语作为密码，使得该方法经常失效。

　　其他认证方法包括对人体生理特征的识别、智能卡等。

　　随着模式识别技术的发展，身份识别技术与数字签名等技术结合，使得对于用户身份的认证和识别更趋完善。

　　3.5 入侵检测技术

　　入侵检测技术是对入侵行为的检测，他通过收集和分析网络行为、安全日志、审计数据、其他网络上可以获得的信息以及计算机系统中若干关键的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。

　　入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击，外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。

　　3.6 虚拟专用网技术

　　虚拟专用网(Virtual private Network，VPN) 是一门网络技术，提供一种通过公用网络安全地对企业内部专用网络进行远程访问的连接方式;是通过一个公用网络(通常是因特网)建立起一个临时的、安全的连接，是一条穿过不安全的公用网络的安全、稳定的隧道。

　　下面，我们主要谈一下防火墙在网络信息安全中的应用。

　　4 防火墙防御策略

　　4.1 防火墙的基本概念

　　所谓“防火墙”，是指一种将内部网和公众网络(如Internet)分开的方法，它实际上是一种隔离技术。

　　防火墙是在两个网络通信时执行的一种访问控制手段，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、复制和毁坏你的重要信息。

　　4.2 防火墙的功能

　　1)过滤掉不安全服务和非法用户。

　　2)控制对特殊站点的访问。

　　3)提供监视Internet安全和预警的方便端点。

　　4.3 防火墙的优点

　　1)防火墙能强化安全策略

　　因为Internet上每天都有上百万人在那里收集信息、交换信息，不可避免地会出现个别品德不良的人，或违反规则的人，防火墙是为了防止不良现象发生的"交通警察"，它执行站点的安全策略，仅仅容许"认可的"和符合规则的请求通过。

　　2)防火墙能有效地记录Internet上的活动

　　因为所有进出信息都必须通过防火墙，所以防火墙非常适用收集关于系统和网络使用和误用的信息。

　　作为访问的唯一点，防火墙能在被保护的网络和外部网络之间进行记录。

　　3)防火墙限制暴露用户点

　　防火墙能够用来隔开网络中一个网段与另一个网段。

　　这样，能够防止影响一个网段的问题通过整个网络传播。

　　4)防火墙是一个安全策略的检查站

　　所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。

　　4.4 防火墙的不足

　　1)防火墙不能防范不经由防火墙的攻击。

　　例如，如果允许从受保护网内部不受限制的向外拨号，一些用户可以形成与Internet的直接的连接，从而绕过防火墙，造成一个潜在的后门攻击渠道。

　　2)防火墙不能防止感染了病毒的软件或文件的传输。

　　这只能在每台主机上装反病毒软件。

　　3)防火墙不能防止数据驱动式攻击。

　　当有些表面看来无害的数据被邮寄或复制到Internet主机上并被执行而发起攻击时，就会发生数据驱动攻击。

　　4.5 防火墙的类型

　　根据防火墙所采用的技术不同，我们可以将它分为四种基本类型：包过滤型、网络地址转换―NAT、代理型和状态监测型。

　　包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输技术，工作在网络层。

　　网络上的数据都是以“包”为单位进行传输的，数据被分割成为一定大小的数据包，每一个数据包中都会包含一些特定信息，如数据的源地址、目标地址、源端口和目标端口等。

　　防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信任的安全站点，一旦发现来自危险站点的数据包，防火墙便会将这些数据拒之门外。

　　但包过滤防火墙的缺点有三：一是，非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击;二是，数据包的源地址、目的地址以及IP 的端口号都在数据包的头部，很有可能被监听或假冒;三是，无法执行某些安全策略。

　　网络地址转化―NAT。

　　“你不能攻击你看不见的东西”是网络地址转换的理论基础。

　　网络地址转换是一种用于把IP地址转换成临时的、外部的、注册的IP地址标准。

　　它允许具有私有IP地址的内部网络访问因特网。

　　当数据包流经网络时，NAT将从发送端的数据包中移去专用的IP地址，并用一个伪IP地址代替。

　　NAT软件保留专用IP地址和伪IP地址的一张地址映射表。

　　当一个数据包返回到NAT系统，这一过程将被逆转。

　　当符合规则时，防火墙认为访问是安全的，可以接受访问请求，也可以将连接请求映射到不同的内部计算机中。

　　当不符合规则时，防火墙认为该访问是不安全的，不能被接受，防火墙将屏蔽外部的连接请求。

　　如果黑客在网上捕获到这个数据包，他们也不能确定发送端的真实IP地址，从而无法攻击内部网络中的计算机。

　　NAT技术也存在一些缺点，例如，木马程序可以通过NAT进行外部连接，穿透防火墙。

　　代理型防火墙也可以被称为代理服务器，它的安全性要高于包过滤型产品， 它分为应用层网关和电路层网关。

　　代理服务器位于客户机与服务器之间，完全阻挡了二者间的数据交流。

　　从客户机来看，代理服务器相当于一台真正的服务器;而从服务器来看，代理服务器又是一台真正的客户机。

　　当客户机需要使用服务器上的数据时，首先将数据请求发给代理服务器，代理服务器再根据这一请求向服务器索取数据， 然后再由代理服务器将数据传输给客户机。

　　从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏内部结构的作用，这种防火墙是网络专家公的最安全的防火墙。

　　缺点是速度相对较慢。

　　监测型防火墙是新一代的产品，这一技术实际已经超越了最初的防火墙定义。

　　它是由Check Point 软件技术有限公司率先提出的，也称为动态包过滤防火墙。

　　总的来说，具有：高安全性，高效性，可伸缩性和易扩展性。

　　实际上，作为当前防火墙产品的主流趋势，大多数代理服务器也集成了包过滤技术，这两种技术的混合显然比单独使用具有更大的优势。

　　总的来说，网络的安全性通常是以网络服务的开放性和灵活性为代价的，防火墙只是整个网络安全防护体系的一部分，而且防火墙并非万无一失。

　　除了使用了防火墙后技术，我们还使用了其他技术来加强安全保护，数据加密技术是保障信息安全的基石。

　　所谓数据加密技术就是使用数字方法来重新组织数据，使得除了合法受者外，任何其他人想要恢复原先的“消息”是非常困难的。

　　目前最常用的加密技术有对称加密技术和非对称加密技术。

　　对称加密技术是指同时运用一个密钥进行加密和解密，非对称加密技术就是加密和解密所用的密钥不一样。

　　4.6 防火墙的配置

　　1)双宿堡垒主机防火墙

　　一个双宿主机是一种防火墙，拥有两个联接到不同网络上的网络接口。

　　例如，一个网络接口联到外部的不可信任的网络上，另一个网络接口联接到内部的可信任的网络上。

　　这种防火墙的最大特点是IP层的通信是被阻止的，两个网络之间的通信可通过应用层数据共享或应用层代理服务来完成。

　　一般情况下，人们采用代理服务的方法，因为这种方法为用户提供了更为方便的访问手段。

　　2)屏蔽主机防火墙

　　这种防火墙强迫所有的外部主机与一个堡垒主机相联接，而不让它们直接与内部主机相连。

　　为了实现这个目的，专门设置了一个过滤路由器，通过它，把所有外部到内部的联接都路由到了堡垒主机上。

　　下图显示了屏蔽主机防火墙的结构。

　　3)屏蔽主机防火墙

　　在这种体系结构中，堡垒主机位于内部网络，屏蔽路由器联接Internet和内部网，它是防火墙的第一道防线。

　　屏蔽路由器需要进行适当的配置，使所有的外部联接被路由到堡垒主机上。

　　并不是所有服务的入站联接都会被路由到堡垒主机上，屏蔽路由器可以根据安全策略允许或禁止某种服务的入站联接(外部到内部的主动联接)。

　　对于出站联接(内部网络到外部不可信网络的主动联接)，可以采用不同的策略。

　　对于一些服务，如Telnet，可以允许它直接通过屏蔽路由器联接到外部网而不通过堡垒主机;其他服务，如WWW和SMTP等，必须经过堡垒主机才能联接到Internet，并在堡垒主机上运行该服务的代理服务器。

　　怎样安排这些服务取决于安全策略。

　　5 结束语

　　随着信息技术的发展，影响通信网络安全的各种因素也会不断强化，因此计算机网络的安全问题也越来越受到人们的重视，以上我们简要的分析了计算机网络存在的几种安全隐患，以及一般采取的几种安全防范策略，主要讨论了防火墙在网络信息安全中所起到的作用。

　　总的来说，网络安全不仅仅是技术问题，同时也是一个安全管理问题。

　　我们必须综合考虑安全因素，制定合理的目标、技术方案和相关的配套法规等。

　　世界上不存在绝对安全的网络系统，随着计算机网络技术的进一步发展，网络安全防护技术也必然随着网络应用的发展而不断发展。

　　【参考文献】

　　[1]田园.网络安全教程[M].人民邮电出版社，2009.

　　[2]周学广.信息安全学[M].机械工业出版社，2008.

　　[3]丰继林，高焕之.网络安全技术[M].清华大学出版社，2009.

　　信息安全管理测评论文【2】

　　摘要：信息安全管理测评是信息安全管理的一部分，作为衡量信息安全管理状态及其绩效的信息安全管理测评方法学的研究已成为迫切需要解决的重要课题，其对组织信息安全保障体系的建设、管理和改进具有重要意义。

　　关键词：信息安全管理;测评;要素;指标

　　人类进入信息化社会，社会发展对信息化的依赖程度越来越大，一方面信息化成果已成为社会的重要资源，在政治、经济、国防、教育、科技、生活等发面发挥着重要的作用，另一方面由于信息技术的迅猛发展而带来的信息安全事件、事故层出不穷，信息安全问题与矛盾日益突出。

　　信息安全工程是一个多层面、多因素的、综合的、动态的系统工程，其包括关键基础设施及硬件安全、运行安全、软件安全、通信安全、人员安全、传输安全、网络安全、人员安全等。

　　组织要实现信息安全目标，就必须建立一套行之有效信息安全管理与技术有机结合的安全防范体系。

　　信息安全管理包括制定信息安全策略(包括计划、程序、流程与记录等)、风险评估、控制目标的选择、控制措施的实施以及信息安全管理测评等。

　　管理大师德鲁克曾经说过“无法度量就无法管理”[1]，强调了测量对组织管理的重要意义，信息安全管理同样也离不开测评。

　　如何对信息安全管理有效性等进行测量，根据测量的结果对组织信息安全管理情况进行评价并进一步指导信息安全管理，提高信息安全管理能力和水平，目前已经成为信息安全领域的一个研究热点[2]。

　　信息安全管理测评是组织围绕信息化持续发展与信息安全保障的现状和未来综合能力的反映，不仅是对过去和现在的能力展现，而且为未来发展提供保障和动力。

　　在我国，目前关于信息安全管理测评研究刚处于起步阶段，还没有一套可供使用的信息安全测评体系标准、方法等。

　　因此，开展信息安全管理测评研究，对组织信息化建设既具有重要的现实意义也具有长远的持续发展意义。

　　1 信息安全管理测评发展综述与需求

　　关于信息安全测评，美国早在2002年通过的《联邦信息安全管理法案》中就要求各机构每年必须对其信息安全实践进行独立测评，以确认其有效性。

　　这种测评主要包括对管理、运行和技术三要素的控制和测试，其频率视风险情况而定，但不能少于每年一次。

　　在独立评价的基础上，联邦管理与预算局应向国会上报评价汇总结果;而联邦审计署则需要周期性地评价并向国会汇报各机构信息安全策略和实践的有效性以及相关要求的执行情况。

　　2003年7月，美国国家标准与技术研究所(National Institute of Standards and Technology，NIST)发布了NIST SP 800-55《信息技术系统安全测量指南》，其包括以下内容[3]：

　　1) 角色和职责：介绍发展和执行信息安全测量的主要任务和职责。

　　2) 信息安全测量背景：介绍测量定义、进行信息安全测量的好处、测量类型、几种可以进行信息安全测量的控制、成功测量的重要因素、测量对管理、报告和决策的作用。

　　3) 测量发展和执行过程：介绍用于信息安全测量发展的方法。

　　4) 测量项目执行：讨论可以影响安全测量项目的技术执行的各种因素。

　　5) 以附件的形式给出的16种测量的模板。

　　2004年11月17日，美国的企业信息安全工作组(Corporate Information Security Working Group，CISWG)发布了CISWG CS1/05-0079《带有支撑管理测量的信息安全计划要素》[4]，2005年国际标准化组织(ISO/IEC SC27)提出了信息安全管理体系(Information Security Management Systems，ISMS)的系列标准——ISO27000系列。

　　2005年1月10日又发布了修订版，并作为针对ISO/IEC 2nd WD27004 的贡献文档提交给ISO/IEC JTC1 SC27，该文档是根据CISWG的最佳实践和测量小组的报告改编。

　　2005年8月31日，美国国际系统安全工程协会(International System Security Engineering Association，ISSEA)针对ISO/IEC 2nd WD 27004向ISO/IEC JTC1 SC27提交了题为“ISSEA Contribution Background”[5](ISSEA测量的贡献背景)和“ISSEA Metrics”[6](ISSEA测量)两个贡献文档。

　　2009年国际标准化组织(ISO)发布了ISO/IEC 27004：2009(信息技术一安全技术一信息安全管理测量)标准，为如何建立及测量ISMS及其控制措施提供了指导性建议[7]。

　　信息安全管理体系是信息安全保障体系的重要组成部分。

　　近年来，随着组织对信息安全保障工作重视程度的日益增强，不少组织都依据标准GB/T 22081-2008建立了一套比较完善的ISMS来保护组织的重要信息资产，但是体系建立起来了，不少管理者都对ISMS的运行效果极其控制措施的有效性，持怀疑的态度。

　　故此组织很有必要建立一套相应的测评方法来全面的对ISMS的运行情况进行科学的评价，进一步提升ISMS的执行力。

　　该文研究的信息安全管理测评将为确定ISMS的实现目标，衡量ISMS执行的效力和效率提供一些思想、方法，其结果具有客观的可比性，还可以作为信息安全风险管理、安全投入优化和安全实现变更的客观依据，有助于降低安全风险，减少安全事件的概率和影响，改进安全控制和管理过程的效率或降低其成本。

　　2 信息安全管理测评研究内容

　　信息安全管理测评是信息安全管理体系的重要部分，是信息安全管理测量与评价的综合。

　　信息安全管理测量的结果是信息安全绩效评价的依据。

　　信息安全管理测量比较具体，信息安全管理评价则通过具体来反映宏观。

　　2.1 信息安全管理测评要素及其框架

　　信息安全管理测评要素包括：测评实体及其属性、基础测评方式、基础测评变量、导出测评制式、导出测评变量、测评方法、测评基线、测评函数、分析模型、指示器、决策准则、测评需求和可测评概念等，其框架如图3.1信息安全测评框架所示，包括：基于什么样的需求来测评(即测评需求)，对什么进行测评(即实体及其属性)，用什么指标体系来测评(包括测评制式、测评变量和测评尺度)，用什么方法来测评(即测评方法)，用什么函数来计算测评结果(即测评函数)，用什么模型来分析测评结果(即分析模型)，用什么方式来使分析结果能够辅助决策(即指示器)等问题。

　　信息需求是测评需求方提出的对测评结果信息的需求。

　　信息需求源自于组织的使命和业务目标，与相关利益者的利益诉求密切相关。

　　指示器的生成和分析模型的选择是以信息需求为导向的。

　　决策准则是一种决定下一步行为的阈值。

　　他有助于解释测评的结果。

　　决策准则可能出自或基于对预期行为在概念上的理解和判断。

　　决策准则可以从历史数据、计划和探索中导出，或作为统计控制限度或统计信心限度计算出来。

　　可测评概念是实体属性与信息需求之间的抽象关系，体现将可测评属性关联到信息需求以及如何关联的思想。

　　可测评概念的例子有生产力、质量、风险、绩效、能力、成熟度和客户价值等。

　　实体是能通过测评属性描述的对象。

　　一个实体是测评其属性的一个对象，例如，过程、产品、系统、项目或资源。

　　一个实体可能有一个或多个满足信息需求的属性。

　　实践中，一个实体可被归类于多个上述类别。

　　他可以是有形的也可是无形的。

　　信息安全管理测评的实体包括信息安全管理体系建立过程中所有的控制项(信息安全管理测评要素)。

　　属性是实体可测评的、物理的或抽象的性质。

　　一个属性是能被人或自动手段定量或定性区分的一个实体的某一特性或特征。

　　一个实体可能有多个属性，其中只有一些可能对测评有价值。

　　测评模型实例化的第一步是选择与信息需求最相关的属性。

　　一个给定属性可能被结合到支持不同信息需求的多个测评构造中。

　　信息安全管理测评主要测评的是每一项控制措施的属性(信息安全管理测评指标)。

　　测评是以确定量值为目的的一组操作。

　　信息安全管理测评是确定控制项的每一个具体指标的一组操作，可以有多种测评方法。

　　基础测评是依照属性和定量方法而定义的测评方法，是用来直接测评某一属性的，是根据属性和量化他的方法来定义，他捕获单独属性的信息，其功能独立于其他测评。

　　信息安全管理基础测评是对于控制项的指标可以直接测评出来的量。

　　导出测评是通过测评其他属性来间接地测评某一属性的测评，是根据属性之间的关系来定义，他捕获多个属性或多个实体的相同属性的信息，其功能依赖于基础测评的，是两个或更多基础测评值得函数。

　　测评尺度是一组连续或离散的数字量值(如小数/百分比/自然数等)或离散的可数量值(如高/中/低/等)。

　　测评尺度是规范测评变量取值的类型和范围。

　　测评方法将所测评属性的量级影射到一个测评尺度上的量值后赋给测评变量。

　　测评尺度根据尺度上量值之间关系的性质分为四种类型：

　　名义(Nominal) ：测评值是直呼其名。

　　序数(Ordinal) ：测评值是有等级的。

　　间隔(Interval) ：测评值是等距离的，对应于属性的等量，不可能是零值。

　　比率(Ratio) ：测评值是等距离的，对应于属性的等量，无该属性为零值。

　　测评单位是作为惯例定义和被广泛接受的一个特定量。

　　他被用作比较相同种类量值的基准，以表达他们相对于此量的量级。

　　只有用相同测评单位表达的量值才能直接比较。

　　测评单位的例子有公尺、公斤和小时等。

　　测评函数是将两个或更多测评变量结合成导出测评变量的算法。

　　导出测评变量的尺度和单位依赖于作为函数输入的测评变量的尺度和单位以及他们通过函数结合的运算方式。

　　分析模型是将一个或多个测评变量转化为指示器的算法。

　　他是基于对测评变量和/或他们经过一段时间的表现之间的预期关系的理解或假设。

　　分析模型产生与信息需求相关的评估或评价。

　　测评方法和测评尺度影响分析模型的选择。

　　测评计划定义了测评实施的目标、方法、步骤和资源。

　　测评频率是测评计划的执行频率。

　　测评计划应按规定的频度定期地或在必要的时候不定期地执行。

　　定期执行的规定频度应建立在信息效益的需求与获得他的成本之间的折中，可以是每周、每月、每季度或每年等。

　　不定期执行的必要时候包括ISMS初始规划和实施以及ISMS本身或运行环境发生重大变化。

　　2.2 信息安全管理测评量表体系

　　任何测评都必须具备参照点、单位和量表三个要素。

　　信息安全测评指标体系是信息安全测评的基础，是对指定属性的评价，这些属性与测评需求方的信息保障需求相关联，对他们进行评价为测评需求方提供有意义的信息。

　　其总是以满足其信息保障需求和方便易理解的方式呈现给测评需求方的。

　　标准GB/T 22081-2008是进行信息安全管理所参照的标准，其从信息安全方针、信息安全组织、法律法规符合性等11个方面，提出了133个控制措施供使用者在信息安全管理过程中选择适当的控制措施来加强信息安全管理。

　　该标准所提供的控制措施基本能覆盖信息安全管理的各个方面。

　　在建立信息安全管理测评指标体系的实践中，通常以控制措施的实施情况作为指标，建立预选指标集，通过对预选指标集的分析，采用专家咨询的方式筛选出能全面反映信息安全管理有效性的具体指标。

　　3 信息安全管理测评方法探讨

　　测评方法通常影响到用于给定属性的测评尺度类型。

　　例如，主观测评方法通常只支持序数或名义类型的测评尺度。

　　测评方法是使用指定的测评制式量化属性的操作逻辑序列。

　　操作可能包括计算发生次数或观察经过时间等。

　　同样的测评方法可能适用于多个属性。

　　然而，每一个属性和测评方法的独特结合产生一个不同的基础测评。

　　测评方法可能采用多种方式实现。

　　测评规程描述给定机构背景下测评方法的特定实现。

　　测评方法根据量化属性的操作性质分为两种类型：

　　主观：含有人为判断的量化。

　　客观：基于数字规则(如计数)的量化。

　　这些规则可能通过人或自动手段来实现。

　　测评方法的可能例子有：调查观察、问卷、知识评估、视察、再执行、系统咨询、测试(相关技术有设计测试和操作有效性测试等)、统计(相关技术有描述统计、假设检验、测评分析、过程能力分析、回归分析、可靠性分析、取样、模拟、统计过程控制(SPC， statistical Process control) 图和时序分析等)。

　　4 结束语

　　当前，信息安全领域的测评研究多侧重于对技术产品、系统性能等方面的测评，其中信息安全风险评估可通过对重要信息资产面临的风险、脆弱性的评价掌握组织的信息安全状况;信息安全审计则只是对信息安全相关行为和活动提供相关证据;而信息安全管理评审则是符合性审核，他们都不能对信息安全管理的有效性以及信息安全管理中采取的控制措施的有效性做出评价。

　　因此，非常有必要对信息安全管理的有效性进行测评，这将有助于了解信息安全管理过程中所采取的控制措施的有效性以及控制措施的执行情况，为管理者决策提供依据，也能为组织信息安全管理过程的持续改进提供足够的帮助，达到更好地管理信息安全的最终目的。

　　参考文献：

　　[1] 闫世杰，闵乐泉，赵战生.信息安全管理测量研究[J].信息安全与通信保密，2009，5：53.

　　[2] 朱英菊，陈长松.信息安全管理有效性的测量[J].信息网络安全，2009，1：87-88.

　　[3] Nist N. 800-55. security metrics guide for information technology systems[J]. NIST paper， 2003.

　　[4] CISWG CS1/05 -0079. Information Security Program Elements with Supporting Management Metrics ， Adapted from the report of the Best Practices and Metrics Teams ， Corporate Information Security Working Group ( CISWG ) ， 2004-11-17 ( Revised 2005-01-10 ).

　　[5] ISO/IEC JTCI SC27 N4690 ISSEA Liaison Organization 's cofnfnents on SC27 N4474 ISO/IEC 2nd WD 27004 Information technology-Security techniques-Information Security management metric and measurement (in response to document SC27 N4485revl)，2005-08-31

　　[6] ISSEA (International System Security Engineering ASSociation ) Metrics Contribution Background ， 2005-08-31

　　[7] 李尧.论ISMS中的有效性测量——基于ISO/IEC27004：2009的ISMS有效性测量浅析[J].电子产品可靠性与环境试验， 2010，28(3)：53-58.

【信息安全保护策略论文】相关文章：

档案信息安全策略研究论文10-11

电子信息安全管理策略论文10-08

网络信息安全防护策略研究论文10-08

关于加强档案信息安全管理的策略的论文10-08

电力信息安全现状及策略论文10-09

关于加强档案信息安全管理的策略论文10-08

大数据信息安全风险框架及策略论文10-11

信息安全等级保护的分析论文10-09

信息安全在高校信息化中的应对策略论文10-10