软考高级-信息系统管理师之安全管理（最新版）_信息管理系统工程师 安全管理

信息系统安全策略

信息系统安全策略的概念与内容

1、信息系统安全策略是指针对本单位的计算机业务应用信息系统的安全风险(安全威胁)进行有效的识别、评估后，所采取的各种措施、手段，以及建立的各种管理制度、规章等。由此可见，一个单位的安全策略一定是定制的，都是针对本单位的

2、安全策略的核心内容就是“七定”，即定方案、定岗、定位、定员、定目标、定制度、定工作流程。

建立安全策略需要处理好的关系

1、把信息系统的安全目标定位于“系统永不停机、数据永不丢失、网络永不瘫痪、信息永不泄密”，是错误的，是不现实的，也是不可能的。

2、计算机信息系统分为以下5个安全保护等级。

• 第一级用户自主保护级。

  通过隔离用户与数据，使用户具备自主安全保护的能力。它为用户提供可行的手段，保护用户和用户信息，避免其他用户对数据的非法读写与破坏，该级适用于普通内联网用户。

• 第二级系统审计保护级。

  实施了粒度更细的自主访问控制，它通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。该级适用于通过内联网或国际网进行商务活动，需要保密的非重要单位。

• 第三级安全标记保护级。

  具有系统审计保护级的所有功能。此外，还需提供有关安全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述，具有准确地标记输出信息的能力;消除通过测试发现的任何错误。该级适用于地方各级国家机关、金融单位机构、邮电通信、能源与水源供给部门、交通运输、大型工商与信息技术企业、重点工程建设等单位。

• 第四级结构化保护级。

  建立于一个