信息安全管理知识体系攻略（至简）

大家好，欢迎来到IT知识分享网。

信息安全管理知识体系主要包括信息安全管理体系、信息安全策略、信息安全系统、信息安全技术体系等。

一、信息安全管理

1、信息安全管理体系（ISMS）。ISO27001是国际标准化组织（ISO）和国际电工委员会（ICE）联合发布的信息安全管理体系（ISMS）标准。该标准为组织提供了一套全面的方法，基于业务风险来建立、实施、运行、监视、评审、保持和改进信息安全管理。主要内容和步骤包括定义安全管理范围、制定信息安全方针、实施信息安全风险评估、风险处置、选择控制措施、制定安全知识文档、实施运行安全策略、监控与评审、持续改进等。

2、信息安全管理的基本属性。完整性、可用性、保密性、可控性、可靠性。

3、信息安全的三要素。保密性、完整性、可用性。

二、信息安全策略

信息系统安全策略是指针对本单位的计算机业务应用系统的安全风险进行有效的识别、评估后，所采取的各种措施、手段，以及建立的各种管理制度、规章等。

1、安全策略的立足点。一个单位的安全策略一定是定制的，都是针对本单位的安全风险和威胁来进行防护的，安全策略的归宿点就是单位的资产能够得到充分的保护。

2、安全策略的核心内容。

3、信息安全等级保护制度。以《中华人民共和国网络安全法》为法律依据，以2019年5月发布的《GB/T22239-2019信息安全技术 网络安全等级保护基本要求》为指导标准的网络安全等级保护办法，业内简称等保2.0。

等级保护工作的主要环节是：信息系统定级、信息系统备案、信息系统安全建设整改、等级测评、监督检查。

三、信息安全系统

1、信息安全空间。信息安全系统反映一个组织的信息安全体系架构，下图用一个宏观的三维空间来反映信息安全系统的体系架构及组成，其中，X轴是安全机制，Y轴是OSI网络参考模型，Z轴是安全服务。由X、Y、Z三个轴形成的信息安全终统三维空间就是信息系统的“安全空间”。

                    图：信息安全空间

2、三种架构体系。见下表：

3、信息安全系统工程。信息安全系统工程就是建设一个信息安全系统。ISSE是一门系统工程学，主要内容是确定系统和过程的安全风险，并且使安全风险降到最低，或使其得到有效控制。信息安全系统工程能力成熟度模型（ISSE-CMM）是一种衡量信息安全系统工程实施能力的方法，是信息安全系统工程实施的度量标准，覆盖整个生命周期。

四、PKI公开密钥基础设施

1、PKI总体架构。公钥基础设施PKI是以不对称密钥加密技术为基础，以数据机密性、完整性、身份认证和行为不可抵赖为安全目的，来实施和提供安全服务的具有普适性的安全基础设施。一个网络的PKI包括以下基本构件：

2、X.509标准。X.509是密码学里公钥证书的格式标准。结构：版本号、序列号、签名算法、签名哈希算法、颁发者、有效期限、使用者、公钥算法和内容、公钥参数等。

三、PMI权限管理基础设施

1、PMI简述。PMI建立在PKI基础上，向用户和应用程序提供权限管理和授权服务。PMI主要进行授权管理，证明这个用户有什么权限、能干什么，即“你能做什么”。PKI主要进行身份鉴别，证明用户身份，即“你是谁”。

2、访问控制。访问控制是为了限制访问主体对访问客体的访问权限，从而使计算机系统在合法范围内使用的安全措施。访问控制有两个重要过程：一是认证过程，通过“鉴别”来检查主体的合法身份。二是授权机制，通过“授权”赋予用户对某项资源的访问权限。访问控制有两种类型：

3、基于角色的访问控制。对系统操作的各种权限不是直接授予具体的用户，而是在用户集合与权限集合之间建立一个角色集合。每种角色对应一组相应的权限。一旦用户被分配了适当的角色，该用户就拥有此角色的所有操作权限。

四、信息安全审计

1、信息安全审计简述。安全审计是记录、审查主体对客体进行访问和使用的情况，保证安全规则被正确执行，并帮助分析安全事故产生的原因。安全审计产品主要包括主机类、网络类、数据库类和业务应用系统的审计产品。安全审计系统采用数据挖掘和数据仓库技术，对历史数据进行分析、处理和追踪，实现在不同的网络环境下终端对终端的监控和管理，必要时通过多种途径向管理员发出警告或自动采取排错措施。因此安全审计被比喻为“黑匣子”。

2、建立安全审计系统。

3、分布式审计系统。分布式审计系统由审计中心、审计控制台和审计Agent组成。审计Agent主要分为网络监听型Agent、系统嵌入型Agent、主动信息获取型Agent等。