- 相關(guān)推薦
信息安全保護策略論文
信息安全保護策略論文【1】
【摘 要】隨著計算機技術(shù)的迅速發(fā)展，公司由使用計算機完成的工作已由基于單機的文件處理、自動化辦公，發(fā)展到今天的企業(yè)內(nèi)部網(wǎng)。
計算機網(wǎng)絡的應用領(lǐng)域已從傳統(tǒng)的小型業(yè)務系統(tǒng)逐漸向大型業(yè)務系統(tǒng)擴展。
計算機網(wǎng)絡在為人們提供便利、帶來效益的同時，也使人類面臨著信息安全的巨大挑戰(zhàn)。
組織和單位的計算機網(wǎng)絡是黑客攻擊的主要目標。
如果黑客組織能攻破組織及單位的計算機網(wǎng)絡防御系統(tǒng)，他就有訪問成千上萬計算機的可能性。
據(jù)統(tǒng)計，近年來因網(wǎng)絡安全事故造成的損失每年高達上千億美元。
計算機系統(tǒng)的脆弱性已為各國政府與機構(gòu)所認識。
【關(guān)鍵詞】信息安全; 威脅;防御策略;防火墻
1 計算機信息網(wǎng)絡安全概述
所謂計算機信息網(wǎng)絡安全，是指根據(jù)計算機通信網(wǎng)絡特性，通過相應的安全技術(shù)和措施，對計算機通信網(wǎng)絡的硬件、操作系統(tǒng)、應用軟件和數(shù)據(jù)等加以保護，防止遭到破壞或竊取，其實質(zhì)就是要保護計算機通訊系統(tǒng)和通信網(wǎng)絡中的各種信息資源免受各種類型的威脅、干擾和破壞。
計算機通信網(wǎng)絡的安全是指揮、控制信息安全的重要保證。
根據(jù)國家計算機網(wǎng)絡應急技術(shù)處理協(xié)調(diào)中心的權(quán)威統(tǒng)計，通過分布式密網(wǎng)捕獲的新的漏洞攻擊惡意代碼數(shù)量平均每天112次，每天捕獲最多的次數(shù)高達4369次。
因此，隨著網(wǎng)絡一體化和互聯(lián)互通，我們必須加強計算機通信網(wǎng)絡安全防范意思，提高防范手段。
2 計算機信息安全常見的威脅
以上這些因素都可能是計算機信息資源遭到毀滅性的破壞。
像一些自然因素我們是不可避免的，也是無法預測的;但是像一些人為攻擊的、破壞的我們是可以防御的、避免的。
因此，我們必須重視各種因素對計算機信息安全的影響，確保計算機信息資源萬無一失。
3 計算機信息的安全的防御策略
根據(jù)計算機網(wǎng)絡系統(tǒng)的網(wǎng)絡結(jié)構(gòu)和目前一般應用情況，我們采取可兩種措施：一是，采用漏洞掃描技術(shù)，對重要網(wǎng)絡設備進行風險評估，保證網(wǎng)絡系統(tǒng)盡量在最優(yōu)的狀態(tài)下運行;二是，采用各種計算機網(wǎng)絡安全技術(shù)，構(gòu)筑防御系統(tǒng)，主要有：防火墻技術(shù)、VPN技術(shù)、網(wǎng)絡加密技術(shù)、身份認證技術(shù)、網(wǎng)絡的實時監(jiān)測。
3.1 漏洞掃描技術(shù)
漏洞掃描主要通過以下兩種方法來檢查目標主機是否存在漏洞：在端口掃描后得到目標主機開啟的端口以及端口上的網(wǎng)絡服務，將這些相關(guān)信息與網(wǎng)絡漏洞掃描系統(tǒng)提供的漏洞庫進行匹配，查看是否有滿足匹配條件的漏洞存在;通過模擬黑客的攻擊手法，對目標主機系統(tǒng)進行攻擊的安全漏洞掃描，如測試弱口令等，若模擬攻擊成功，則表明目標主機系統(tǒng)存在安全漏洞。
3.2 防火墻技術(shù)
防火墻是網(wǎng)絡安全的屏障，一個防火墻能極大地提高一個內(nèi)部網(wǎng)絡的安全性，并通過過濾不安全的服務而降低風險。
由于只有經(jīng)過精心選擇的應用協(xié)議才能通過防火墻，所以網(wǎng)絡環(huán)境更安全，信息的安全就得到了保障。
使用防火墻軟件可以在一定程度上控制局域網(wǎng)和Internet之間傳遞的數(shù)據(jù)。
防火墻一般是指用來在兩個或多個網(wǎng)絡間加強訪問控制的一個或一組網(wǎng)絡設備。
從邏輯上來看，防火墻是分離器、限制器和分析器;從物理上來看，各個防火墻的物理實現(xiàn)方式可以多種多樣，但是歸根結(jié)底他們都是一組硬件設備(路由器、主機)和軟件的組合體;從本質(zhì)上來看，防火墻是一種保護裝置，它用來保護網(wǎng)絡數(shù)據(jù)、資源和合法用戶的聲譽;從技術(shù)上來看，防火墻是一種訪問控制技術(shù)，它在某個機構(gòu)的網(wǎng)絡與不安全的網(wǎng)絡之間設置障礙，阻止對網(wǎng)絡信息資源的非法訪問。
3.3 計算機網(wǎng)絡的加密技術(shù)(ipse)
采用網(wǎng)絡加密技術(shù)，對公網(wǎng)中傳輸?shù)腎P包進行加密和封裝，實現(xiàn)數(shù)據(jù)傳輸?shù)谋Ｃ苄�、完整性�?/p>
它可以解決網(wǎng)絡在公網(wǎng)的數(shù)據(jù)傳輸安全性問題，也可以解決遠程用戶訪問內(nèi)網(wǎng)的安全問題。
IP層是TCP/IP網(wǎng)絡中最關(guān)鍵的一層，IP作為網(wǎng)絡層協(xié)議，其安全機制可以對其上層的各種應用服務提供透明的覆蓋安全保護。
IP安全是整個TCP/IP 安全的基礎(chǔ)，是網(wǎng)絡安全的核心。
ipse 提供的安全功能或服務主要包括：訪問控制、無連接完整性、數(shù)據(jù)起源認證、抗重放攻擊、機密性、有限的數(shù)據(jù)流機密性。
3.4 身份認證
身份認證的作用是阻止非法實體的不良訪問。
有多種方法可以認證一個實體的合法性，密碼技術(shù)是最常用的，但由于在實際系統(tǒng)中有許多用戶采用很容易被猜測的單詞或短語作為密碼，使得該方法經(jīng)常失效。
其他認證方法包括對人體生理特征的識別、智能卡等。
隨著模式識別技術(shù)的發(fā)展，身份識別技術(shù)與數(shù)字簽名等技術(shù)結(jié)合，使得對于用戶身份的認證和識別更趨完善。
3.5 入侵檢測技術(shù)
入侵檢測技術(shù)是對入侵行為的檢測，他通過收集和分析網(wǎng)絡行為、安全日志、審計數(shù)據(jù)、其他網(wǎng)絡上可以獲得的信息以及計算機系統(tǒng)中若干關(guān)鍵的信息，檢查網(wǎng)絡或系統(tǒng)中是否存在違反安全策略的行為和被攻擊的跡象。
入侵檢測作為一種積極主動的安全防護技術(shù)，提供了對內(nèi)部攻擊，外部攻擊和誤操作的實時保護，在網(wǎng)絡系統(tǒng)受到危害之前攔截和響應入侵。
3.6 虛擬專用網(wǎng)技術(shù)
虛擬專用網(wǎng)(Virtual private Network，VPN) 是一門網(wǎng)絡技術(shù)，提供一種通過公用網(wǎng)絡安全地對企業(yè)內(nèi)部專用網(wǎng)絡進行遠程訪問的連接方式;是通過一個公用網(wǎng)絡(通常是因特網(wǎng))建立起一個臨時的、安全的連接，是一條穿過不安全的公用網(wǎng)絡的安全、穩(wěn)定的隧道。
下面，我們主要談一下防火墻在網(wǎng)絡信息安全中的應用。
4 防火墻防御策略
4.1 防火墻的基本概念
所謂“防火墻”，是指一種將內(nèi)部網(wǎng)和公眾網(wǎng)絡(如Internet)分開的方法，它實際上是一種隔離技術(shù)。
防火墻是在兩個網(wǎng)絡通信時執(zhí)行的一種訪問控制手段，它能允許你“同意”的人和數(shù)據(jù)進入你的網(wǎng)絡，同時將你“不同意”的人和數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡中的黑客來訪問你的網(wǎng)絡，防止他們更改、復制和毀壞你的重要信息。
4.2 防火墻的功能
1)過濾掉不安全服務和非法用戶。
2)控制對特殊站點的訪問。
3)提供監(jiān)視Internet安全和預警的方便端點。
4.3 防火墻的優(yōu)點
1)防火墻能強化安全策略
因為Internet上每天都有上百萬人在那里收集信息、交換信息，不可避免地會出現(xiàn)個別品德不良的人，或違反規(guī)則的人，防火墻是為了防止不良現(xiàn)象發(fā)生的"交通警察"，它執(zhí)行站點的安全策略，僅僅容許"認可的"和符合規(guī)則的請求通過。
2)防火墻能有效地記錄Internet上的活動
因為所有進出信息都必須通過防火墻，所以防火墻非常適用收集關(guān)于系統(tǒng)和網(wǎng)絡使用和誤用的信息。
作為訪問的唯一點，防火墻能在被保護的網(wǎng)絡和外部網(wǎng)絡之間進行記錄。
3)防火墻限制暴露用戶點
防火墻能夠用來隔開網(wǎng)絡中一個網(wǎng)段與另一個網(wǎng)段。
這樣，能夠防止影響一個網(wǎng)段的問題通過整個網(wǎng)絡傳播。
4)防火墻是一個安全策略的檢查站
所有進出的信息都必須通過防火墻，防火墻便成為安全問題的檢查點，使可疑的訪問被拒絕于門外。
4.4 防火墻的不足
1)防火墻不能防范不經(jīng)由防火墻的攻擊。
例如，如果允許從受保護網(wǎng)內(nèi)部不受限制的向外撥號，一些用戶可以形成與Internet的直接的連接，從而繞過防火墻，造成一個潛在的后門攻擊渠道。
2)防火墻不能防止感染了病毒的軟件或文件的傳輸。
這只能在每臺主機上裝反病毒軟件。
3)防火墻不能防止數(shù)據(jù)驅(qū)動式攻擊。
當有些表面看來無害的數(shù)據(jù)被郵寄或復制到Internet主機上并被執(zhí)行而發(fā)起攻擊時，就會發(fā)生數(shù)據(jù)驅(qū)動攻擊。
4.5 防火墻的類型
根據(jù)防火墻所采用的技術(shù)不同，我們可以將它分為四種基本類型：包過濾型、網(wǎng)絡地址轉(zhuǎn)換―NAT、代理型和狀態(tài)監(jiān)測型。
包過濾型產(chǎn)品是防火墻的初級產(chǎn)品，其技術(shù)依據(jù)是網(wǎng)絡中的分包傳輸技術(shù)，工作在網(wǎng)絡層。
網(wǎng)絡上的數(shù)據(jù)都是以“包”為單位進行傳輸?shù)模瑪?shù)據(jù)被分割成為一定大小的數(shù)據(jù)包，每一個數(shù)據(jù)包中都會包含一些特定信息，如數(shù)據(jù)的源地址、目標地址、源端口和目標端口等。
防火墻通過讀取數(shù)據(jù)包中的地址信息來判斷這些“包”是否來自可信任的安全站點，一旦發(fā)現(xiàn)來自危險站點的數(shù)據(jù)包，防火墻便會將這些數(shù)據(jù)拒之門外。
但包過濾防火墻的缺點有三：一是，非法訪問一旦突破防火墻，即可對主機上的軟件和配置漏洞進行攻擊;二是，數(shù)據(jù)包的源地址、目的地址以及IP 的端口號都在數(shù)據(jù)包的頭部，很有可能被監(jiān)聽或假冒;三是，無法執(zhí)行某些安全策略。
網(wǎng)絡地址轉(zhuǎn)化―NAT。
“你不能攻擊你看不見的東西”是網(wǎng)絡地址轉(zhuǎn)換的理論基礎(chǔ)。
網(wǎng)絡地址轉(zhuǎn)換是一種用于把IP地址轉(zhuǎn)換成臨時的、外部的、注冊的IP地址標準。
它允許具有私有IP地址的內(nèi)部網(wǎng)絡訪問因特網(wǎng)。
當數(shù)據(jù)包流經(jīng)網(wǎng)絡時，NAT將從發(fā)送端的數(shù)據(jù)包中移去專用的IP地址，并用一個偽IP地址代替。
NAT軟件保留專用IP地址和偽IP地址的一張地址映射表。
當一個數(shù)據(jù)包返回到NAT系統(tǒng)，這一過程將被逆轉(zhuǎn)。
當符合規(guī)則時，防火墻認為訪問是安全的，可以接受訪問請求，也可以將連接請求映射到不同的內(nèi)部計算機中。
當不符合規(guī)則時，防火墻認為該訪問是不安全的，不能被接受，防火墻將屏蔽外部的連接請求。
如果黑客在網(wǎng)上捕獲到這個數(shù)據(jù)包，他們也不能確定發(fā)送端的真實IP地址，從而無法攻擊內(nèi)部網(wǎng)絡中的計算機。
NAT技術(shù)也存在一些缺點，例如，木馬程序可以通過NAT進行外部連接，穿透防火墻。
代理型防火墻也可以被稱為代理服務器，它的安全性要高于包過濾型產(chǎn)品， 它分為應用層網(wǎng)關(guān)和電路層網(wǎng)關(guān)。
代理服務器位于客戶機與服務器之間，完全阻擋了二者間的數(shù)據(jù)交流。
從客戶機來看，代理服務器相當于一臺真正的服務器;而從服務器來看，代理服務器又是一臺真正的客戶機。
當客戶機需要使用服務器上的數(shù)據(jù)時，首先將數(shù)據(jù)請求發(fā)給代理服務器，代理服務器再根據(jù)這一請求向服務器索取數(shù)據(jù)， 然后再由代理服務器將數(shù)據(jù)傳輸給客戶機。
從內(nèi)部發(fā)出的數(shù)據(jù)包經(jīng)過這樣的防火墻處理后，就好像是源于防火墻外部網(wǎng)卡一樣，從而可以達到隱藏內(nèi)部結(jié)構(gòu)的作用，這種防火墻是網(wǎng)絡專家公的最安全的防火墻。
缺點是速度相對較慢。
監(jiān)測型防火墻是新一代的產(chǎn)品，這一技術(shù)實際已經(jīng)超越了最初的防火墻定義。
它是由Check Point 軟件技術(shù)有限公司率先提出的，也稱為動態(tài)包過濾防火墻。
總的來說，具有：高安全性，高效性，可伸縮性和易擴展性。
實際上，作為當前防火墻產(chǎn)品的主流趨勢，大多數(shù)代理服務器也集成了包過濾技術(shù)，這兩種技術(shù)的混合顯然比單獨使用具有更大的優(yōu)勢。
總的來說，網(wǎng)絡的安全性通常是以網(wǎng)絡服務的開放性和靈活性為代價的，防火墻只是整個網(wǎng)絡安全防護體系的一部分，而且防火墻并非萬無一失。
除了使用了防火墻后技術(shù)，我們還使用了其他技術(shù)來加強安全保護，數(shù)據(jù)加密技術(shù)是保障信息安全的基石。
所謂數(shù)據(jù)加密技術(shù)就是使用數(shù)字方法來重新組織數(shù)據(jù)，使得除了合法受者外，任何其他人想要恢復原先的“消息”是非常困難的。
目前最常用的加密技術(shù)有對稱加密技術(shù)和非對稱加密技術(shù)。
對稱加密技術(shù)是指同時運用一個密鑰進行加密和解密，非對稱加密技術(shù)就是加密和解密所用的密鑰不一樣。
4.6 防火墻的配置
1)雙宿堡壘主機防火墻
一個雙宿主機是一種防火墻，擁有兩個聯(lián)接到不同網(wǎng)絡上的網(wǎng)絡接口。
例如，一個網(wǎng)絡接口聯(lián)到外部的不可信任的網(wǎng)絡上，另一個網(wǎng)絡接口聯(lián)接到內(nèi)部的可信任的網(wǎng)絡上。
這種防火墻的最大特點是IP層的通信是被阻止的，兩個網(wǎng)絡之間的通信可通過應用層數(shù)據(jù)共享或應用層代理服務來完成。
一般情況下，人們采用代理服務的方法，因為這種方法為用戶提供了更為方便的訪問手段。
2)屏蔽主機防火墻
這種防火墻強迫所有的外部主機與一個堡壘主機相聯(lián)接，而不讓它們直接與內(nèi)部主機相連。
為了實現(xiàn)這個目的，專門設置了一個過濾路由器，通過它，把所有外部到內(nèi)部的聯(lián)接都路由到了堡壘主機上。
下圖顯示了屏蔽主機防火墻的結(jié)構(gòu)。
3)屏蔽主機防火墻
在這種體系結(jié)構(gòu)中，堡壘主機位于內(nèi)部網(wǎng)絡，屏蔽路由器聯(lián)接Internet和內(nèi)部網(wǎng)，它是防火墻的第一道防線。
屏蔽路由器需要進行適當?shù)呐渲�，使所有的外部�?lián)接被路由到堡壘主機上。
并不是所有服務的入站聯(lián)接都會被路由到堡壘主機上，屏蔽路由器可以根據(jù)安全策略允許或禁止某種服務的入站聯(lián)接(外部到內(nèi)部的主動聯(lián)接)。
對于出站聯(lián)接(內(nèi)部網(wǎng)絡到外部不可信網(wǎng)絡的主動聯(lián)接)，可以采用不同的策略。
對于一些服務，如Telnet，可以允許它直接通過屏蔽路由器聯(lián)接到外部網(wǎng)而不通過堡壘主機;其他服務，如WWW和SMTP等，必須經(jīng)過堡壘主機才能聯(lián)接到Internet，并在堡壘主機上運行該服務的代理服務器。
怎樣安排這些服務取決于安全策略。
5 結(jié)束語
隨著信息技術(shù)的發(fā)展，影響通信網(wǎng)絡安全的各種因素也會不斷強化，因此計算機網(wǎng)絡的安全問題也越來越受到人們的重視，以上我們簡要的分析了計算機網(wǎng)絡存在的幾種安全隱患，以及一般采取的幾種安全防范策略，主要討論了防火墻在網(wǎng)絡信息安全中所起到的作用。
總的來說，網(wǎng)絡安全不僅僅是技術(shù)問題，同時也是一個安全管理問題。
我們必須綜合考慮安全因素，制定合理的目標、技術(shù)方案和相關(guān)的配套法規(guī)等。
世界上不存在絕對安全的網(wǎng)絡系統(tǒng)，隨著計算機網(wǎng)絡技術(shù)的進一步發(fā)展，網(wǎng)絡安全防護技術(shù)也必然隨著網(wǎng)絡應用的發(fā)展而不斷發(fā)展。
【參考文獻】
[1]田園.網(wǎng)絡安全教程[M].人民郵電出版社，2009.
[2]周學廣.信息安全學[M].機械工業(yè)出版社，2008.
[3]豐繼林，高煥之.網(wǎng)絡安全技術(shù)[M].清華大學出版社，2009.
信息安全管理測評論文【2】
摘要：信息安全管理測評是信息安全管理的一部分，作為衡量信息安全管理狀態(tài)及其績效的信息安全管理測評方法學的研究已成為迫切需要解決的重要課題，其對組織信息安全保障體系的建設、管理和改進具有重要意義。
關(guān)鍵詞：信息安全管理;測評;要素;指標
人類進入信息化社會，社會發(fā)展對信息化的依賴程度越來越大，一方面信息化成果已成為社會的重要資源，在政治、經(jīng)濟、國防、教育、科技、生活等發(fā)面發(fā)揮著重要的作用，另一方面由于信息技術(shù)的迅猛發(fā)展而帶來的信息安全事件、事故層出不窮，信息安全問題與矛盾日益突出。
信息安全工程是一個多層面、多因素的、綜合的、動態(tài)的系統(tǒng)工程，其包括關(guān)鍵基礎(chǔ)設施及硬件安全、運行安全、軟件安全、通信安全、人員安全、傳輸安全、網(wǎng)絡安全、人員安全等。
組織要實現(xiàn)信息安全目標，就必須建立一套行之有效信息安全管理與技術(shù)有機結(jié)合的安全防范體系。
信息安全管理包括制定信息安全策略(包括計劃、程序、流程與記錄等)、風險評估、控制目標的選擇、控制措施的實施以及信息安全管理測評等。
管理大師德魯克曾經(jīng)說過“無法度量就無法管理”[1]，強調(diào)了測量對組織管理的重要意義，信息安全管理同樣也離不開測評。
如何對信息安全管理有效性等進行測量，根據(jù)測量的結(jié)果對組織信息安全管理情況進行評價并進一步指導信息安全管理，提高信息安全管理能力和水平，目前已經(jīng)成為信息安全領(lǐng)域的一個研究熱點[2]。
信息安全管理測評是組織圍繞信息化持續(xù)發(fā)展與信息安全保障的現(xiàn)狀和未來綜合能力的反映，不僅是對過去和現(xiàn)在的能力展現(xiàn)，而且為未來發(fā)展提供保障和動力。
在我國，目前關(guān)于信息安全管理測評研究剛處于起步階段，還沒有一套可供使用的信息安全測評體系標準、方法等。
因此，開展信息安全管理測評研究，對組織信息化建設既具有重要的現(xiàn)實意義也具有長遠的持續(xù)發(fā)展意義。
1 信息安全管理測評發(fā)展綜述與需求
關(guān)于信息安全測評，美國早在2002年通過的《聯(lián)邦信息安全管理法案》中就要求各機構(gòu)每年必須對其信息安全實踐進行獨立測評，以確認其有效性。
這種測評主要包括對管理、運行和技術(shù)三要素的控制和測試，其頻率視風險情況而定，但不能少于每年一次。
在獨立評價的基礎(chǔ)上，聯(lián)邦管理與預算局應向國會上報評價匯總結(jié)果;而聯(lián)邦審計署則需要周期性地評價并向國會匯報各機構(gòu)信息安全策略和實踐的有效性以及相關(guān)要求的執(zhí)行情況。
2003年7月，美國國家標準與技術(shù)研究所(National Institute of Standards and Technology，NIST)發(fā)布了NIST SP 800-55《信息技術(shù)系統(tǒng)安全測量指南》，其包括以下內(nèi)容[3]：
1) 角色和職責：介紹發(fā)展和執(zhí)行信息安全測量的主要任務和職責。
2) 信息安全測量背景：介紹測量定義、進行信息安全測量的好處、測量類型、幾種可以進行信息安全測量的控制、成功測量的重要因素、測量對管理、報告和決策的作用。
3) 測量發(fā)展和執(zhí)行過程：介紹用于信息安全測量發(fā)展的方法。
4) 測量項目執(zhí)行：討論可以影響安全測量項目的技術(shù)執(zhí)行的各種因素。
5) 以附件的形式給出的16種測量的模板。
2004年11月17日，美國的企業(yè)信息安全工作組(Corporate Information Security Working Group，CISWG)發(fā)布了CISWG CS1/05-0079《帶有支撐管理測量的信息安全計劃要素》[4]，2005年國際標準化組織(ISO/IEC SC27)提出了信息安全管理體系(Information Security Management Systems，ISMS)的系列標準——ISO27000系列。
2005年1月10日又發(fā)布了修訂版，并作為針對ISO/IEC 2nd WD27004 的貢獻文檔提交給ISO/IEC JTC1 SC27，該文檔是根據(jù)CISWG的最佳實踐和測量小組的報告改編。
2005年8月31日，美國國際系統(tǒng)安全工程協(xié)會(International System Security Engineering Association，ISSEA)針對ISO/IEC 2nd WD 27004向ISO/IEC JTC1 SC27提交了題為“ISSEA Contribution Background”[5](ISSEA測量的貢獻背景)和“ISSEA Metrics”[6](ISSEA測量)兩個貢獻文檔。
2009年國際標準化組織(ISO)發(fā)布了ISO/IEC 27004：2009(信息技術(shù)一安全技術(shù)一信息安全管理測量)標準，為如何建立及測量ISMS及其控制措施提供了指導性建議[7]。
信息安全管理體系是信息安全保障體系的重要組成部分。
近年來，隨著組織對信息安全保障工作重視程度的日益增強，不少組織都依據(jù)標準GB/T 22081-2008建立了一套比較完善的ISMS來保護組織的重要信息資產(chǎn)，但是體系建立起來了，不少管理者都對ISMS的運行效果極其控制措施的有效性，持懷疑的態(tài)度。
故此組織很有必要建立一套相應的測評方法來全面的對ISMS的運行情況進行科學的評價，進一步提升ISMS的執(zhí)行力。
該文研究的信息安全管理測評將為確定ISMS的實現(xiàn)目標，衡量ISMS執(zhí)行的效力和效率提供一些思想、方法，其結(jié)果具有客觀的可比性，還可以作為信息安全風險管理、安全投入優(yōu)化和安全實現(xiàn)變更的客觀依據(jù)，有助于降低安全風險，減少安全事件的概率和影響，改進安全控制和管理過程的效率或降低其成本。
2 信息安全管理測評研究內(nèi)容
信息安全管理測評是信息安全管理體系的重要部分，是信息安全管理測量與評價的綜合。
信息安全管理測量的結(jié)果是信息安全績效評價的依據(jù)。
信息安全管理測量比較具體，信息安全管理評價則通過具體來反映宏觀。
2.1 信息安全管理測評要素及其框架
信息安全管理測評要素包括：測評實體及其屬性、基礎(chǔ)測評方式、基礎(chǔ)測評變量、導出測評制式、導出測評變量、測評方法、測評基線、測評函數(shù)、分析模型、指示器、決策準則、測評需求和可測評概念等，其框架如圖3.1信息安全測評框架所示，包括：基于什么樣的需求來測評(即測評需求)，對什么進行測評(即實體及其屬性)，用什么指標體系來測評(包括測評制式、測評變量和測評尺度)，用什么方法來測評(即測評方法)，用什么函數(shù)來計算測評結(jié)果(即測評函數(shù))，用什么模型來分析測評結(jié)果(即分析模型)，用什么方式來使分析結(jié)果能夠輔助決策(即指示器)等問題。
信息需求是測評需求方提出的對測評結(jié)果信息的需求。
信息需求源自于組織的使命和業(yè)務目標，與相關(guān)利益者的利益訴求密切相關(guān)。
指示器的生成和分析模型的選擇是以信息需求為導向的。
決策準則是一種決定下一步行為的閾值。
他有助于解釋測評的結(jié)果。
決策準則可能出自或基于對預期行為在概念上的理解和判斷。
決策準則可以從歷史數(shù)據(jù)、計劃和探索中導出，或作為統(tǒng)計控制限度或統(tǒng)計信心限度計算出來。
可測評概念是實體屬性與信息需求之間的抽象關(guān)系，體現(xiàn)將可測評屬性關(guān)聯(lián)到信息需求以及如何關(guān)聯(lián)的思想。
可測評概念的例子有生產(chǎn)力、質(zhì)量、風險、績效、能力、成熟度和客戶價值等。
實體是能通過測評屬性描述的對象。
一個實體是測評其屬性的一個對象，例如，過程、產(chǎn)品、系統(tǒng)、項目或資源。
一個實體可能有一個或多個滿足信息需求的屬性。
實踐中，一個實體可被歸類于多個上述類別。
他可以是有形的也可是無形的。
信息安全管理測評的實體包括信息安全管理體系建立過程中所有的控制項(信息安全管理測評要素)。
屬性是實體可測評的、物理的或抽象的性質(zhì)。
一個屬性是能被人或自動手段定量或定性區(qū)分的一個實體的某一特性或特征。
一個實體可能有多個屬性，其中只有一些可能對測評有價值。
測評模型實例化的第一步是選擇與信息需求最相關(guān)的屬性。
一個給定屬性可能被結(jié)合到支持不同信息需求的多個測評構(gòu)造中。
信息安全管理測評主要測評的是每一項控制措施的屬性(信息安全管理測評指標)。
測評是以確定量值為目的的一組操作。
信息安全管理測評是確定控制項的每一個具體指標的一組操作，可以有多種測評方法。
基礎(chǔ)測評是依照屬性和定量方法而定義的測評方法，是用來直接測評某一屬性的，是根據(jù)屬性和量化他的方法來定義，他捕獲單獨屬性的信息，其功能獨立于其他測評。
信息安全管理基礎(chǔ)測評是對于控制項的指標可以直接測評出來的量。
導出測評是通過測評其他屬性來間接地測評某一屬性的測評，是根據(jù)屬性之間的關(guān)系來定義，他捕獲多個屬性或多個實體的相同屬性的信息，其功能依賴于基礎(chǔ)測評的，是兩個或更多基礎(chǔ)測評值得函數(shù)。
測評尺度是一組連續(xù)或離散的數(shù)字量值(如小數(shù)/百分比/自然數(shù)等)或離散的可數(shù)量值(如高/中/低/等)。
測評尺度是規(guī)范測評變量取值的類型和范圍。
測評方法將所測評屬性的量級影射到一個測評尺度上的量值后賦給測評變量。
測評尺度根據(jù)尺度上量值之間關(guān)系的性質(zhì)分為四種類型：
名義(Nominal) ：測評值是直呼其名。
序數(shù)(Ordinal) ：測評值是有等級的。
間隔(Interval) ：測評值是等距離的，對應于屬性的等量，不可能是零值。
比率(Ratio) ：測評值是等距離的，對應于屬性的等量，無該屬性為零值。
測評單位是作為慣例定義和被廣泛接受的一個特定量。
他被用作比較相同種類量值的基準，以表達他們相對于此量的量級。
只有用相同測評單位表達的量值才能直接比較。
測評單位的例子有公尺、公斤和小時等。
測評函數(shù)是將兩個或更多測評變量結(jié)合成導出測評變量的算法。
導出測評變量的尺度和單位依賴于作為函數(shù)輸入的測評變量的尺度和單位以及他們通過函數(shù)結(jié)合的運算方式。
分析模型是將一個或多個測評變量轉(zhuǎn)化為指示器的算法。
他是基于對測評變量和/或他們經(jīng)過一段時間的表現(xiàn)之間的預期關(guān)系的理解或假設。
分析模型產(chǎn)生與信息需求相關(guān)的評估或評價。
測評方法和測評尺度影響分析模型的選擇。
測評計劃定義了測評實施的目標、方法、步驟和資源。
測評頻率是測評計劃的執(zhí)行頻率。
測評計劃應按規(guī)定的頻度定期地或在必要的時候不定期地執(zhí)行。
定期執(zhí)行的規(guī)定頻度應建立在信息效益的需求與獲得他的成本之間的折中，可以是每周、每月、每季度或每年等。
不定期執(zhí)行的必要時候包括ISMS初始規(guī)劃和實施以及ISMS本身或運行環(huán)境發(fā)生重大變化。
2.2 信息安全管理測評量表體系
任何測評都必須具備參照點、單位和量表三個要素。
信息安全測評指標體系是信息安全測評的基礎(chǔ)，是對指定屬性的評價，這些屬性與測評需求方的信息保障需求相關(guān)聯(lián)，對他們進行評價為測評需求方提供有意義的信息。
其總是以滿足其信息保障需求和方便易理解的方式呈現(xiàn)給測評需求方的。
標準GB/T 22081-2008是進行信息安全管理所參照的標準，其從信息安全方針、信息安全組織、法律法規(guī)符合性等11個方面，提出了133個控制措施供使用者在信息安全管理過程中選擇適當?shù)目刂拼胧﹣砑訌娦畔踩芾怼?/p>
該標準所提供的控制措施基本能覆蓋信息安全管理的各個方面。
在建立信息安全管理測評指標體系的實踐中，通常以控制措施的實施情況作為指標，建立預選指標集，通過對預選指標集的分析，采用專家咨詢的方式篩選出能全面反映信息安全管理有效性的具體指標。
3 信息安全管理測評方法探討
測評方法通常影響到用于給定屬性的測評尺度類型。
例如，主觀測評方法通常只支持序數(shù)或名義類型的測評尺度。
測評方法是使用指定的測評制式量化屬性的操作邏輯序列。
操作可能包括計算發(fā)生次數(shù)或觀察經(jīng)過時間等。
同樣的測評方法可能適用于多個屬性。
然而，每一個屬性和測評方法的獨特結(jié)合產(chǎn)生一個不同的基礎(chǔ)測評。
測評方法可能采用多種方式實現(xiàn)。
測評規(guī)程描述給定機構(gòu)背景下測評方法的特定實現(xiàn)。
測評方法根據(jù)量化屬性的操作性質(zhì)分為兩種類型：
主觀：含有人為判斷的量化。
客觀：基于數(shù)字規(guī)則(如計數(shù))的量化。
這些規(guī)則可能通過人或自動手段來實現(xiàn)。
測評方法的可能例子有：調(diào)查觀察、問卷、知識評估、視察、再執(zhí)行、系統(tǒng)咨詢、測試(相關(guān)技術(shù)有設計測試和操作有效性測試等)、統(tǒng)計(相關(guān)技術(shù)有描述統(tǒng)計、假設檢驗、測評分析、過程能力分析、回歸分析、可靠性分析、取樣、模擬、統(tǒng)計過程控制(SPC， statistical Process control) 圖和時序分析等)。
4 結(jié)束語
當前，信息安全領(lǐng)域的測評研究多側(cè)重于對技術(shù)產(chǎn)品、系統(tǒng)性能等方面的測評，其中信息安全風險評估可通過對重要信息資產(chǎn)面臨的風險、脆弱性的評價掌握組織的信息安全狀況;信息安全審計則只是對信息安全相關(guān)行為和活動提供相關(guān)證據(jù);而信息安全管理評審則是符合性審核，他們都不能對信息安全管理的有效性以及信息安全管理中采取的控制措施的有效性做出評價。
因此，非常有必要對信息安全管理的有效性進行測評，這將有助于了解信息安全管理過程中所采取的控制措施的有效性以及控制措施的執(zhí)行情況，為管理者決策提供依據(jù)，也能為組織信息安全管理過程的持續(xù)改進提供足夠的幫助，達到更好地管理信息安全的最終目的。
參考文獻：
[1] 閆世杰，閔樂泉，趙戰(zhàn)生.信息安全管理測量研究[J].信息安全與通信保密，2009，5：53.
[2] 朱英菊，陳長松.信息安全管理有效性的測量[J].信息網(wǎng)絡安全，2009，1：87-88.
[3] Nist N. 800-55. security metrics guide for information technology systems[J]. NIST paper， 2003.
[4] CISWG CS1/05 -0079. Information Security Program Elements with Supporting Management Metrics ， Adapted from the report of the Best Practices and Metrics Teams ， Corporate Information Security Working Group ( CISWG ) ， 2004-11-17 ( Revised 2005-01-10 ).
[5] ISO/IEC JTCI SC27 N4690 ISSEA Liaison Organization 's cofnfnents on SC27 N4474 ISO/IEC 2nd WD 27004 Information technology-Security techniques-Information Security management metric and measurement (in response to document SC27 N4485revl)，2005-08-31
[6] ISSEA (International System Security Engineering ASSociation ) Metrics Contribution Background ， 2005-08-31
[7] 李堯.論ISMS中的有效性測量——基于ISO/IEC27004：2009的ISMS有效性測量淺析[J].電子產(chǎn)品可靠性與環(huán)境試驗， 2010，28(3)：53-58.
【信息安全保護策略論文】相關(guān)文章：
檔案信息安全策略研究論文10-11
電子信息安全管理策略論文10-08
網(wǎng)絡信息安全防護策略研究論文10-08
電力信息安全現(xiàn)狀及策略論文10-09
大數(shù)據(jù)信息安全風險框架及策略論文10-11
信息安全等級保護的分析論文10-09
信息安全在高校信息化中的應對策略論文10-10