安全（一）信息安全与审计

信息系统的安全问题是非常重要的一个问题。为什么这么说呢？我们的信息，都在网上进行传输，如果没有相应的安全措施的话，很多信息就会被窃取，甚至让你的设备中病毒。影响使用事小，如果利用你的身份信息进行一些违法活动那可就麻烦大了。就像我们之前说过的，大数据信息被人滥用是一方面，而通过窃取获得的你的各类信息再进行大数据分析统计的话，后果可想而知。

大到国家层面，小到个人家庭层面，信息安全，隐私防护都是非常重要的方面。Facebook 的隐私官司，CSDN 的数据库泄露事件都还历历在目。C/S 时代的熊猫烧香和各种盗号木马更是为用户带来了巨大的经济损失。因此，我们学习的这些内容虽然可能会枯燥无味，但却是和我们的生活息息相关。你也可以在这些知识中了解到信息安全是怎么回事，从而更好的保护自己。

信息安全概念

信息安全强调信息（数据）本身的安全属性，主要包括以下 3 个方面的内容：

• 秘密性（Confidentiality）：信息不被未授权者知晓的属性。
• 完整性（Integrity）：信息是正确的、真实的、未被篡改的、完整无缺的属性。
• 可用性（Availability）：信息可以随时正常使用的属性。

信息必须依赖其存储、传输、处理及应用的载体（媒介）而存在，因此针对信息系统，安全可以划分为以下四个层次：设备安全、数据安全、内容安全（政治、法律、道德层次上的要求）、行为安全（动态安全）。

信息安全的管理体系主要包括：配备安全管理人员、建立安全职能部门、成立安全领导小组、主要负责人出任领导、建立信息安全保密管理部门等。

除了管理体系外，也有一套信息安全的技术体系，包括：

• 硬件系统安全和物理安全
• 数据网络传输、安全交换、网络安全
• 操作系统、数据库管理系统安全
• 应用软件安全运行

人员安全管理

绝大多数的信息系统安全威胁都是来自于人类自己，因此人员管理也就成为了信息安全管理的关键。对于公司、组织来说，没有一个公司不希望自己是一个安全的组织。我们可以借鉴上文中的安全管理体系和技术体系来建设一个安全组织。而在其中，岗位安全考核与培训是非常重要的一环，包括：关键岗位人员统一管理、兼职和轮岗要求、权限分数要求、多人共管要求、全面控制要求等。

在职人员和岗位的管理的安全管理在公司范围内还是比较好掌控的，通过规章制度也比较容易监控实施。另一个更重要的安全问题是离职人员的安全管理，对于离职人员来说，我们需要：

• 收回相关证件、设备、权限
• 调离后的保密协议
• 离岗的审计要求
• 关键部位人员离岗的要求

系统运行安全与保密层次

应用系统运行中涉及的安全和保密层次包括系统级安全、资源访问安全、功能性安全和数据域安全。这4个层次的安全，按粒度从大到小的排序是：系统级安全、资源访问安全、功能性安全、数据域安全。程序资源访问控制安全的粒度大小界于系统级安全和功能性安全两者之间，是最常见的应用系统安全问题，几乎所有的应用系统都会涉及这个安全问题。我们一个一个的来看一下：

• 系统级安全：通过对现行系统安全技术的分析，制定系统级安全策略，策略包括敏感系统的隔离、访问IP地址段的限制、登录时间段的限制、会话时间的限制、连接数的限制、特定时间段内登录次数的限制以及远程访问控制等，系统级安全是应用系统的第一道防护大门。
• 资源访问安全：对程序资源的访问进行安全控制，在客户端上，为用户提供与其权限相关的用户界面，仅出现与其权限相符的菜单和操作按钮；在服务端则对URL程序资源和业务服务类方法的调用进行访问控制。
• 功能性安全：功能性安全会对程序流程产生影响，如用户在操作业务记录时，是否需要审核，上传附件不能超过指定大小等。这些安全限制已经不是入口级的限制，而是程序流程内的限制，在一定程度上影响程序流程的运行。
• 数据域安全：数据域安全包括两个层次，其一，是行级数据域安全，即用户可以访问哪些业务记录，一般以用户所在单位为条件进行过滤；其二，是字段级数据域安全，即用户可以访问业务记录的哪些字段。

安全审计

信息安全审计（Security Audit）是记录、审查主体对客体进行访问和使用情况，保证安全规则被正确执行，并帮助分析安全事故产生的原因。

一个安全审计系统的主要作用包括对潜在的攻击者起到震慑、警告的作用，发现计算机的滥用状态，对已经发生的系统破坏行为提供有效的追纠证据，为系统安全管理员提供有价值的日志及数据帮助发现系统入侵和漏洞、为系统安全管理员提供系统运行日志及信息帮助发现系统性能上的不足。

网络安全审计从审计级别上可分为3种类型:系统级审计、应用级审计和用户级审计。

• 系统级审计：系统级审计主要针对系统的登入情况、用户识别号、登入尝试的日期和具体时间、退出的日期和时间、所使用的设备、登入后运行程序等事件信息进行审查。典型的系统级审计日志还包括部分与安全无关的信息，如系统操作、费用记账和网络性能。这类审计无法跟踪和记录应用事件，也无法提供足够的细节信息。
• 应用级审计：应用级审计主要针对的是应用程序的活动信息，如打开和关闭数据文件，读取、编辑、删除记录或字段等特定操作，以及打印报告等。
• 用户级审计：用户级审计主要是审计用户的操作活动信息，如用户直接启动的所有命令，用户所有的鉴别和认证操作，用户所访问的文件和资源等信息。

重要应用系统运行情况审计

应用系统的开发或者软件销售商都不会把审核机制底层应用接口提供给具体应用程序开发者。在技术力量不足的情况下，最便捷的解决方法还是寻找可靠、成熟的现有技术解决，以使应用程序开发人员能够专心于程序可用性开发上，而减少在难度较大的程序安全性方面的劳动，达到缩短开发周期、快速投入应用的目的。从已知的现有技术分析，主要有 4 种解决方案：

1. 基于主要操作系统代理：数据库操作系统、电子邮件系统在启动自身审计功能之后自动将部分系统审核数据传送到主机系统日志。然后，再通过运行于主机操作系统下一个实时监控代理程序来读取并分析系统审计日志中的相关数据。
2. 基于应用系统代理：首先根据不同应用，设计开发不同的应用代理程序，并在相应应用系统内运行。应用系统产生的审计数据不是直接传送给主机操作系统审核，而是首先由应用代理程序接收，再由其传送给主机操作系统审核，也可以直接传送给主机操作系统实时监控代理程序处理。
3. 基于应用系统独立程序：在应用系统内部嵌入一个应用服务同步运行专用的审计服务应用进程，用以全程跟踪应用服务进程的运行。
4. 基于网络旁路监控方式：与基于网络监测的安全审计实现原理及系统配置相同，仅是作用目标不同而已。其系统结构由网络探测和安全控制中心组成。

计算机信息系统安全保护等级

《计算机信息系统安全保护等级划分准则》（GB17859-1999）是建立安全等级保护制度，实施安全等级管理的重要基础性标准，它将计算机信息系统分为以下 5 个安全保护等级:

• 第一级 用户 自主 保护级：适用于普通内联网用户。
• 第二级 系统 审计 保护级：适用于通过内联网或国际网进行商务活动，需要保密的非重要单位。
• 第三级 安全 标记 保护级：适用于地方各级国家机关、金融机构、邮电通信、能源和水源供给部门、交通运输、大型工商与信息技术企业、重点工程建设等单位。
• 第四级 结构化 保护级：适用于中央级国家机关、广播电视部门、重要物资储备、单位、社会应急服务部门、尖端科技企业集团、国家重点科研机构和国防建设等部门。
• 第五级 访问 验证 保护级：适用于国防关键部门和依法需要对计算机信息系统实施特殊隔离的单位。

这五个等级是我们今天文章中最重点的内容，是需要记忆下来的内容。上面加粗的部门都是重点的内容，这五个等级是一路向上越来越严苛的，我们可以通过“自主、审计、标记、结构化、验证”来快速记忆这五个等级。每个等级相关的部门机构也是非常重要的内容。

信息安全等级保护

《信息安全等级保护管理办法》是国家多个部门共同制定的，根据这个办法，国家信息安全等级保护坚持自主定级，自主保护的原则。它将信息系统的安全保护等级分为以下五级：

• 第一级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。（不损害国家社会）
• 第二级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。（不损害国家）
• 第三级：信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。（对国家有损害）
• 第四级：信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。（对国家严重损害）
• 第五级：信息系统受到破坏后，会对国家安全造成特别严重损害。（对国家特别严重损害）

这五个等级要和上面的那五个等级区别开来，一个是计算机相关的准则，一个是国家信息安全等级办法。信息安全等级的这五个等级也是由低到高的，并且是以安全的威胁程度来说的，分别从个人企业到社会公共利益，再到国家，后三级也是以对国家的影响来划分的，我们可以利用括号里的简短的说明来进行记忆。这五个等级相对来说没有上面计算机相关的五个等级重要，但也是需要记忆的内容。

总结

今天我们学习的是信息系统安全相关的概念，其中还包括人员安全管理和信息安全管理层次方面的内容。接下来就是信息安全审计，关于安全审计的分类是我们需要关注的内容，更重要的是那两个等级。其实安全审计有很多内容是来源于教材第22章的内容，但是跟我们第1章中信息安全这一部分的内容比较相关，所以就拿过来一起讲了。很多概念，很多等级分类，说实话，看着不难，也好理解，但是确实比较散，而且容易记乱。没别的办法，多读多背吧！

参考资料：

《信息系统项目管理师教程》

《某机构培训资料》