美国信息安全综述
1美国信息安全战略的演变
美国十分重视信息安全，是最早制定和实施信息安全战略的国家，并随着形势的变化不断发展和完善。总的来说美国现行的信息安全战略属于“扩张型”信息安全战略。为实现扩张性战略目标，美国制定了较为系统的信息安全政策法规体系，组建了从国家层面、部委层面到机构层面的信息安全管理机构，在各个层面上力求做到分工合理、各司其职；国防部成立了网络战司令部，积极部署信息战：进行系统的信息安全评估，对信息安全状况、信息安全政策落实情况和信息安全能力评估，并根据评估结果调整和改革信息安全战略。
1．1克林顿政府信息安全战略
克林顿政府任职期间，即20世纪90年代中后期至2l世纪初，美国信息安全战略发展为维护信息的保密性、完整性、可用性、可控性的信息安全战略，并且正式成为国家安全战略的正式组成部分。
1998年美国政府颁发了《保护美国关键基础设施》的总统令(PDD．63)，第一次就美国信息安全战略的完整概念、意义、长期与短期目标等作了说明，对由国防部提出的“信息保障”作了新的解释，并对下一步的信息安全工作做了指示。1998年底美国国家安全局制定了《信息保障技术框架》(IATF)，提出了“深度防御战略”，确定了包括网络与基础设施防御、区域边界防御、计算环境防御和支撑性基础没施的深度防御目标p】。2000年总统国家安全战略报告的颁布，是美国国家信息安全政策的重大事件。在该报告中，“信息安全”被列
入其中，成为国家安全战略的正式组成部分。这标志着信息安全正式进入国家安全战略的框架，并开始具有其自身的独立地位。此外，在这一时期还成立了多个信息安全保护组织，其中包括全国性的信息保障委员会、全国性的信息保障同盟、首席信息官委员会、关键基础设施保障办公室、联邦计算机事件响应能动组等。
1．2布什政府信息安全战略
由于“9·ll”事件，使信息安全战略地位不断升级。布什政府在任期间，美国把信息安全战略置于国家总体安全战略的核心地位，非常关注贯彻实施信息安全战略措施。
2001年美国发布第13231号行政令《信息时代的关键基础设施保护》，将“总统关键基础设施保护委员会”改为行政实体“总统关键基础没施保护办公室”，作为联邦基础设施安全保护的最高管理协调机构。2003年2月发布砜网络空间的国家战略》，进一步保护国家关键基础设施安全吲。此外布什政府还渊整国家信息安全工作机构，设置直接向总统负责的总统国家安全顾问—职，设立国土安全部、国家保密局信息战处、联合参谋信息战局、信息系统安全中心，同时建立相应的其他配套的工作机构，以保证国家信息安全工作的协调、统一与效率。
1．3奥巴马政府信息安全战略
奥巴马政府虽然刚刚上任不久，不过依旧高度重视信息安全战略，积极推进网络安全评估，试图改变美国信息安全保障不力的情况，开始着手制定新的国家信息安全战略。
奥巴马在竞选期间就一直强调网络安全对美国的重要性，他甚至将来自网络空问的威胁等同于核武器和生物武器对美国的威胁polo 奥巴马上台不久就亲自主导了一个60天的信息安全评估项目，2009年5月29日公布了《美国网络安全浮估》报告，报告评估了美国政府在网络空问的安全战略、策略和标准，指出了存在的问题，提出行动计划。奥巴马也于报告发布当天表示，要将保护网络基础设施作为维护美国国家安全的第一要务，指出来自网络空l’日J的威胁已成为美国面临的最严重的经济和军事威胁之一，他表示要亲自任命一位白宫计算机网络安全总管，负责制定美国网络安全战略为紧跟奥巴马政府强化网络安全的要求，今年4月，美国参议院商业、科学和交通委员会RockefelIer主席等人，向第111届国会提交了《2009网络安全法》(Cybersecurity Act of 2009)议案。目前该议案已提交商业、科学和交通委员会审议。
今年6月份，美国国防部正式成立了由战略司令部领导的网络战司令部。网络战司令部主要进行数字战争，防护针对美军计算机网络的安全威胁。司令部将于lO月开始运作，并于2010年lO月正式运行。2组织机构
为了落实各项信息安全政策，美国将政策执行、监督、管理等权利分配给多个政府部门，其中包括：审计署、行政管理和预算局、国家标准局、国土安全部、国防部、商务部、财政部等多个部I、】以及多个委员会和办公室，这就构成了美国庞大的信息安全机构体系。美国成立了“全围信息保障委员会”、“全国信怠保障同盟”和“关键
基础设施慝息保障办公室”等10多个全国性机构。其中总统信息安全政策委员会、总统关键基础设施保护办公室等，直接为总统决策服务。这些委员会成员主要包括主要政府部门，定期举行会议并提交报出’为总统了j薛信息安全状况和制定政策提供建议，并协调各项保护信息系统计划的实施。
(1)美国审计署(GAO)
审计署(GAO)是为国会工作的，独立的、无党派的机构，负责财政审计、项目复查与评估以及调查研究。在信息安全监管领域，审计署负责核查与信息安全相关的公共基金的使用情况：评估联邦政府信息安全的项目和工作：为政府提供分析、选择和其它支持以便帮助美国国会做出有效的监督、政策以及资金分配决策。
审计署公布的信息安全报告很多，包括向国会提交的《信息安全年度报告》、《关键基础设施保护：国土安全部需要进一步促进网络安全》、《关键基础没施保护：国土安全部需要更好地解决其网络安全职责问题》、《关键基础设施保护：部门特别计划对关键网络安全要素的覆盖各不相同》、《网络分析与警告：国土安全部在建立综合安全能力上面临挑战》、《网络安全：联邦层面需要持续努力保护关键系统和信息》、《美国审计署报告：美国需要加强激励网络安全努力》、《信息安全：新兴的网络安全威胁》、《国家网络安全战略》等等。
（2)行政管理和预算局(OMB)
行政管理和预算局(OM B)负责制定和监督政府部部门有关信息安全的政策、原则、标准和指导方针。在监督政府机关的信息安全政
策与实际实施中负责如下事务：制定信息安全政策、规则等，并监督其实行；要求机关按照风险等级实施相应的信息安全保护措施：与有关机构合作，以确保国家标准局(NIST)建立的标准、指南等与国家安全系统的互补性；对政府机关的信息安全项目进行一年一度的评价，认可或者不认可其信息安全项目；监督联邦信息安全事件中心的运行；每年就信息安全相关问题向国会进行报告。
(3)国家标准局(NIST)
国家标准局为商务部下属机构，它协助政府和产业界进行安全规划、风险管理、应急计划、加密、人员身份认证及智能卡应用等安全技术的开发、推广应用、计算机病毒检测与防治、安全教育培训等方面的工作，同时还负责制定安全技术和安全产品的国家和国际标准。
(4)美国国防部
美国国防部主要由其下属的国家安全局和全国计算机安全中心负责国家信息保障事务。
国家安全局主要负责保密信息系统(国家安全系统)的信息安全工作。国家安全局局长被任命为国家安全系统的信息安全国家主管。国家安全系统的保密信息包括美国宪法2315款第102项规定的信息：涉及情报的活动：涉及与国家安全有关的隐蔽活动；涉及军队的指挥与控制；涉及属于武器和武器装备或对完成军事或情报任务至关重要的设备等。
全国计算机安全中心具体落实国家安全局所负责的信息安全工作，包括以下几个方面：帮助其他政府机构解决与“国家安全系统”
有关的信息安全问题，其中包括风险评估、安全规划、运行安全、验证等安全措施；出版《信息系统安全产品和服务名录》：根据联邦政府机构及其合同单位的要求，对有关信息系统的薄弱环节加以评估，并提出消除和改善薄弱环节的信息系统安全措施。
(5)国土安全部
国土安全部是“9·11’’后新组建的部门，该部下属机构包括：国家基础设施保护中心，国家通信系统局，关键基础没施保障办公室，计算机安全分会，国家基础没施建模与分析中心，联邦计算机事故反应中心等。主要负责关键基础设施保护和计算机安全、信息管理标准的制定、信息共享等。虽然美国拥有庞大信息安全管理的机构，但是奥巴马政府认为：美国的网络安全管理权力分散在多个联邦部门和机构中，没有一个部门统一负责制定网络安全政策，没有一个委员会去监控网络安伞威胁的范围和等级。美国迫切需要建立一个能够统筹协调所有网络安全政策和行动的机构，以加强对阿络安全的监管口从此可见，现有的组织机构还将会进一步变革。
3人才培养体系
人才培养是信息安全保障体系中非常重要的一环。美国政府历来重视信息安全人才的培养，为培养信息安全人水出台了各类信息安全教育项目。其中比较有代表性的教育项目包括：
(1)联邦计算机服务(FSC)项目，它是综合性的项目，它的很多活动都遵循信息安全培训概念性框架。这个框架是国家标准局在《信息技术安全培训要求：基于角色和表现的模型(NIST SP 800．16)》中提出
的。FSC项目整合和借鉴了联邦政府内已有的相关项目和成果，此外它还完成人事管理办公厅(0MP)的信息技术职位研究。
(2)服务奖学金(SFS)项目：在该项目中，政府资助研究生和本科生的信息安全学习，他们学成后要服务于联邦政府。
(3)中小学拓广项目：该项目和前面几个项目保持了很好的衔接性，也体现了美国政府眼光的长远，为培养信息安全人才奠定了良好的基础。
(4)联邦范围内的信息安全意识培养项目。
(5)计算机公民项目。
4总结
本文通过论述美国信息安全政策的萌芽，以及里根、老布什政府，克林顿、小布什和奥巴马政府的信息安全战略，回顾了美国信息安全战略的演变过程，通过探讨美国信息安全的政策法规、组织机构、人才培养和围际合作，介绍了美国信息安全保障体系。希望通过对美国信息安全战略的初步探讨，加深对美国信息安全战略的理解，促进我国信息安全战略和保障体系的建立和完善。
信息安全及其前沿技术综述 一、信息安全基本概念 1、定义 （1）国内的回答 ●可以把信息安全保密内容分为：实体安全、运行安全、数据安全和管理安全四个方面。（沈昌祥） ●计算机安全包括：实体安全；软件安全；运行安全；数据安全；（教科书）●计算机信息人机系统安全的目标是着力于实体安全、运行安全、信息安全和人员安全维护。安全保护的直接对象是计算机信息系统，实现安全保护的关键因素是人。（等级保护条例） （2）国外的回答 ●信息安全是使信息避免一系列威胁，保障商务的连续性，最大限度地减少商务的损失，最大限度地获取投资和商务的回报，涉及的是机密性、完整性、可用性。（BS7799） ●信息安全就是对信息的机密性、完整性、可用性的保护。（教科书） ●信息安全涉及到信息的保密 （3）信息安全的发展渊源来看 1）通信保密阶段（40—70年代） ●以密码学研究为主 ●重在数据安全层面 2）计算机系统安全阶段（70—80年代） ●开始针对信息系统的安全进行研究 ●重在物理安全层与运行安全层，兼顾数据安全层 3）网络信息系统安全阶段（>90年代） ●开始针对信息安全体系进行研究 ●重在运行安全与数据安全层，兼顾内容安全层 2、信息安全两种主要论点
●机密性（保密性）：就是对抗对手的被动攻击，保证信息不泄漏给 未经授权的人。 ●完整性：就是对抗对手主动攻击，防止信息被未经授权的篡改。 ●可用性：就是保证信息及信息系统确实为授权使用者所用。 （可控性：就是对信息及信息系统实施安全监控。） 二、为什么需要信息安全 信息、信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产。信息的保密性、完整性和可用性对保持竞争优势、资金流动、效益、法律符合性和商业形象都是至关重要的。 然而，越来越多的组织及其信息系统和网络面临着包括计算机诈骗、间谍、蓄意破坏、火灾、水灾等大范围的安全威胁，诸如计算机病毒、计算机入侵、DoS 攻击等手段造成的信息灾难已变得更加普遍,有计划而不易被察觉。 组织对信息系统和信息服务的依赖意味着更易受到安全威胁的破坏，公共和私人网络的互连及信息资源的共享增大了实现访问控制的难度。
第一章 信息安全保障概述 ??信息安全保障背景 ?什么是信息？ 事物运行的状态和状态变化的方式。 ?信息技术发展的各个阶段？ ??电讯技术的发明 ??计算机技术发展 ??互联网的使用 ?信息技术的消极影响？ 信息泛滥、信息污染、信息犯罪。 ?信息安全发展阶段？ ??信息保密 ??计算机安全 ??信息安全保障 ?信息安全保障的含义？ 运行系统的安全、系统信息的安全 ?信息安全的基本属性？ 机密性、完整性、可用性、可控性、不可否认性 信息安全保障体系框架？ 保障因素：技术、管理、工程、人员 安全特征：保密性、完整性、可用性
生命周期：规划组织、开发采购、实施交付、运行维护、废弃 ?????模型？ 策略?核心?、防护、监测、响应 ?????信息保障的指导性文件？ 核心要素：人员、技术?重点?、操作 ???????中 个技术框架焦点域？ ??保护本地计算环境 ??保护区域边界 ??保护网络及基础设施 ??保护支持性基础设施 ??信息安全保障工作的内容？ ??确定安全需要 ??设计实施安全方案 ??进行信息安全评测 ??实施信息安全监控和维护 ??信息安全评测的流程？ 见课本???图 ?? 受理申请、静态评测、现场评测、风险分析 ??信息监控的流程？ 见课本???图 ?? 受理申请、非现场准备、现场准备、现场监控、综合分析
????信息技术及其发展阶段 信息技术两个方面：生产：信息技术产业；应用：信息技术扩散 信息技术核心：微电子技术，通信技术，计算机技术，网络技术 第一阶段，电讯技术的发明；第二阶段，计算机技术的发展；第三阶段，互联网的使用 ????信息技术的影响 积极：社会发展，科技进步，人类生活 消极：信息泛滥，信息污染，信息犯罪 ??信息安全保障基础 ????信息安全发展阶段 通信保密阶段（ ?世纪四十年代）：机密性，密码学 计算机安全阶段（ ?世纪六十和七十年代）：机密性、访问控制与认证，公钥密码学（ ????? ??●●???， ??），计算机安全标准化（安全评估标准） 信息安全保障阶段：信息安全保障体系（??）， ???模型：保护（??????????）、检测（?????????）、响应??????????、恢复（???????），我国 ?????模型：保护、预警（???????）、监测、应急、恢复、反击（??◆???????????）， ????? ????标准（有代表性的信息安全管理体系标准）：信息安全管理实施细则、信息安全管理体系规范 ????信息安全的含义 一是运行系统的安全，二是系统信息的安全：口令鉴别、用户存取权限控制、数据存取权限方式控制、审计跟踪、数据加密等 信息安全的基本属性：完整性、机密性、可用性、可控制性、不可否认性 ????信息系统面临的安全风险 ????信息安全问题产生的根源：信息系统的复杂性，人为和环境的威胁 ????信息安全的地位和作用
论网络与信息安全的重要性以及相关技术 的发展前景 信息技术应用研究计算机光盘软件与应用ComputerCDSoftwareandApplications2011 年第2 期论网络与信息安全的重要性以及相关技术的发展前景陆成长2,钟世红 (1.中国海洋大学,山东青岛266100;2.潍柴动力股份有限公司,山东潍坊261001) 摘要:随着科技的发展,互联网的普及,电子商务的扩展,信息化水平的大幅度提高, 网络与信息安全也越来越受 到重视.本文将立足现实,浅析网络与信息安全的重要性以及相关技术的发展前景. 关奠词:网络;信息;网络与信息安全;重要性;发展前景 中圈分类号：TP309文献标识码:A文章墙号：1007—9599(2011)02-0016—01 TheImportanceofNetwork&Information SecurityandRelatedTechnologyDevelopmentProspects LuChengzhang~.2, ZhongShihong= (1.ChinaOceanUniversity,Qingdao266100,China;2.WeichaiPowerCo.,Ltd.,Weifang26 1001,China) Abstract：Withtechnologydevelopment,popularityoftheImernet,e-commerceexpansion, substantialincreaseinthelevelof informationtechnology,networkandinf~mafionsecuritygetmoreandmoreattention.Thisa rticlebasedOnreality,discussthe importanceofnetworkandinformationsecurityandre~tedtechnologydevelopmentprospe cts. Keywords：Network;Infolmation;Networkandinformationsecurity;Importance;Develop mentprospects 网络与信息安全,除了特指互联网外,还包括固定电话,移动电话,传真机等通信网络
第六章信息安全管理 第一节信息安全管理概述 一、信息安全管理的内容 1、什么信息安全管理？ 通过计划、组织、领导、控制等环节来协调人力、物力、财力等资源，以期有效达到组织信息安全目标的活动。 2、信息安全管理的主要活动 制定信息安全目标和寻找实现目标的途径； 建设信息安全组织机构，设置岗位、配置人员并分配职责； 实施信息安全风险评估和管理；制定并实施信息安全策略； 为实现信息安全目标提供资源并实施管理； 信息安全的教育与培训；信息安全事故管理；信息安全的持续改进。 3、信息安全管理的基本任务 （1）组织机构建设（2）风险评估（3）信息安全策略的制定和实施 （4）信息安全工程项目管理（5）资源管理 ◆（1）组织机构建设 ★组织应建立专门信息安全组织机构，负责： ①确定信息安全要求和目标；②制定实现信息安全目标的时间表和预算 ③建立各级信息安全组织机构和设置相应岗位④分配相应职责和建立奖惩制度 ⑤提出信息安全年度预算，并监督预算的执行⑥组织实施信息安全风险评估并监督检查 ⑦组织制定和实施信息安全策略，并对其有效性和效果进行监督检查 ⑧组织实施信息安全工程项目⑨信息安全事件的调查和处理 ⑩组织实施信息安全教育培训⑾组织信息安全审核和持续改进工作 ★组织应设立信息安全总负责人岗位，负责： ①向组织最高管理者负责并报告工作②执行信息安全组织机构的决定 ③提出信息安全年度工作计划④总协调、联络 ◆（2）风险评估 ★信息系统的安全风险 信息系统的安全风险，是指由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生的可能性及其造成的影响。 ★信息安全风险评估 是指依据国家有关信息技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程 它要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。 ★信息系统安全风险评估的总体目标是： 服务于国家信息化发展，促进信息安全保障体系的建设，提高信息系统的安全保护能力。 ★信息系统安全风险评估的目的是： 认清信息安全环境、信息安全状况；有助于达成共识，明确责任；采取或完善安全保障措施，使其更加经济有效，并使信息安全策略保持一致性和持续性。 ★信息安全风险评估的基本要素 使命：一个单位通过信息化实现的工作任务。 依赖度：一个单位的使命对信息系统和信息的依靠程度。 资产：通过信息化建设积累起来的信息系统、信息、生产或服务能力、人员能力和赢得的信誉等。 价值：资产的重要程度和敏感程度。 威胁：一个单位的信息资产的安全可能受到的侵害。威胁由多种属性来刻画：威胁的主体（威胁源）、
未来信息安全技术发展四大趋势 可信化： 这个趋势是指从传统计算机安全理念过渡到以可信计算理念为核心的计算机安全。近年来计算机安全问题愈演愈烈，传统安全理念很非常难有所突破，人们试图利用可信计算的理念来解决计算机安全问题，其主要思想是在硬件平台上引入安全芯片，从而将一点（不多的意思）或几个计算平台变为“可信”的计算平台。目前还有很非常多问题需要研究跟探索，就像如基于TCP的访问控制、基于TCP的安全操作系统、基于TCP的安全中间件、基于TCP的安全应用等。 网络化： 由网络应用、普及引发的技术与应用模式的变革，正在进一步推动信息安全关键技术的创新开展，并诱发新技术与应用模式的发现。就像如安全中间件，安全管理与安全监控都是网络化开展的带来的必然的开展方向；网络病毒与垃圾信息防范都是网络化带来的一些安全性问题；网络可生存性；网络信任都是要继续研究的领域…… 标准化： 发达国家地区高度重视标准化的趋势，现在逐步渗透到发展中国家都应重视标准化问题。逐步体现专利标准化、标准专利化的观点。安全技术也要走向国际，也要走向应用。我国政府、产业界、学术界等必将更加高度重视信息安全标准的研究与制定工作的进一步深化与细化，就像如密码算法类标准（加密算法、签名算法、密码算法接口）、安全认证与授权类标准（PKI、PMI、生物认证）、安全评估类标准（安全评估准则、方法、规范）、系统与网络类安全标准（安全体系结构、安全操作系统、安全数据库、安全路由器、可信计算平台）、安全管理类标准（防信息泄漏、质量保证、机房设计）等。 集成化： 即从单一功能信息安全技术与产品，向多种功能融于某一个产品，或者是几个功能相结合的集成化产品，不再以单一的形式发现，否则产品太多了，也
1国家宏观信息安全管理方面，主要有以下几方面问题： （1）法律法规问题。健全的信息安全法律法规体系是确保国家信息安全的基础，是信息安全的第一道防线? （2）管理问题。（包括三个层次：组织建设、制度建设和人员意识） （3）国家信息基础设施建设问题。目前，中国信息基础设施几乎完全是建立在外国的核心信息技术之上的，导致我国在网络时代没有制网权.2005年度经济人物之首：中国芯创立者邓中翰?十五期间，国家863计划和科技攻关的重要项目：信息安全与电子政务，金融信息化两个信息安全研究项目?2微观信息安全管理方面存在的主要问题为： （1 ）缺乏信息安全意识与明确的信息安全方针。 （2）重视安全技术，轻视安全管理。信息安全大约70%以上的问题是由管理原因造成的? （3）安全管理缺乏系统管理的思想。 3信息安全的基本概念（重点CIA） 信息安全（In formation security）是指信息的保密性（Con fide ntiality）、完整性（In tegrity）和可用性（Availability）的保持。 C:信息保密性是保障信息仅仅为那些被授权使用的人获取，它因信息被允许访问对象的多 少而不同? I:信息完整性是指为保护信息及其处理方法的准确性和完整性，一是指信息在利用，传输，储存等过程中不被篡改，丢失，缺损等，另外是指信息处理方法的正确性? A:信息可用性是指信息及相关信息资产在授权人需要时可立即获得?系统硬件，软件安全，可读性保障等 4信息安全的重要性：a.信息安全是国家安全的需要b.信息安全是组织持续发展的需要 c.信息安全是保护个人隐私与财产的需要 5如何确定组织信息安全的要求： a.法律法规与合同要求 b.风险评估的结果（保护程度与控制 方式）c.组织的原则、目标与要求 6信息安全管理是指导和控制组织的关于信息安全风险的相互协调的活动，关于信息安全风 险的指导和控制活动通常包括制定信息安全方针、风险评估、控制目标与方式选择、风险控 制、安全保证等。信息安全管理实际上是风险管理的过程，管理的基础是风险的识别与评估。 7 图1-1信息安全管理PDCA持续改进模式：.doc 系统的信息安全管理原则： （1）制订信息安全方针原则：制定信息安全方针为信息安全管理提供导向和支持 （2）风险评估原则：控制目标与控制方式的选择建立在风险评估的基础之上 （3）费用与风险平衡原则：将风险降至组织可接受的水平，费用太高不接受 （4）预防为主原则：信息安全控制应实行预防为主，做到防患于未然 （5）商务持续性原则：即信息安全问题一旦发生，我们应能从故障与灾难中恢复商务运作，不至于发生瘫痪，同时应尽力减少故障与灾难对关键商务过程的影响（6）动态管理原则：即对风险实施动态管理 （7）全员参与的原则： （8）PDCA 原则：遵循管理的一般循环模式--Pla n（策划）---Do（执行）---Check（检查）---Action （措施）的持续改进模式。PDCA模式，如图
国内外信息安全研究现状及发展趋势 国内外信息安全研究现状及发展趋势（一） 冯登国 随着信息技术的发展与应用，信息安全的内涵在不断的延伸，从最初的信息保密性发 展到信息的完整性、可用性、可控性和不可否认性，进而又发展为"攻（攻击）、防（防范）、测（检测）、控（控制）、管（管理）、评（评估）"等多方面的基础理论和实施技术。信息安全是一个综合、交叉学科领域，它要综合利用数学、物理、通信和计算机诸多学科的长期知识积累和最新发展成果，进行自主创新研究，加强顶层设计，提出系统的、完整的，协同的解决方案。与其他学科相比，信息安全的研究更强调自主性和创新性，自主性可以避免陷门"，体现国家主权；而创新性可以抵抗各种攻击，适应技术发展的需求。 就理论研究而言，一些关键的基础理论需要保密，因为从基础理论研究到实际应用的距离很短。现代信息系统中的信息安全其核心问题是密码理论及其应用，其基础是可信信息系统的构作与评估。总的来说，目前在信息安全领域人们所关注的焦点主要有以下几方面： 1）密码理论与技术； 2）安全协议理论与技术； 3）安全体系结构理论与技术； 4）信息对抗理论与技术； 5）网络安全与安全产品。 下面就简要介绍一下国内外在以上几方面的研究现状及发展趋势。 1．国内外密码理论与技术研究现状及发展趋势 密码理论与技术主要包括两部分，即基于数学的密码理论与技术（包括公钥密码、分组密码、序列密码、认证码、数字签名、Hash函数、身份识别、密钥管理、PKI技术等）和非数学的密码理论与技术（包括信息隐形，量子密码，基于生物特征的识别理论与技术）。 自从1976年公钥密码的思想提出以来，国际上已经提出了许多种公钥密码体制，但比较流行的主要有两类：一类是基于大整数因子分解问题的，其中最典型的代表是RSA；另一类是基于离散对数问题的，比如ElGamal公钥密码和影响比较大的椭圆曲线公钥密码。由于分解大整数的能力日益增强，所以对RSA的安全带来了一定的威胁。目前768比特模长的RSA已不安全。一般建议使用1024比特模长，预计要保证20年的安全就要选择1280比特的模长，增大模长带来了实现上的难度。而基于离散对数问题的公钥密码在目前技术下512比特模长就能够保证其安全性。特别是椭圆曲线上的离散对数的计算要比有限域上的离散对数的计算更困难，目前技术下只需要160比特模长即可，适合于智能卡的实现，因而受到国内外学者的广泛关注。国际上制定了椭圆曲线公钥密码标准IEEEP1363，RSA等一些公司声称他们已开发出了符合该标准的椭圆曲线公钥密码。我国学者也提出了一些公钥密码，另外在公钥密码的快速实现方面也做了一定的工作，比如在RSA的快速实现和椭圆曲线公钥密码的快速实现方面都有所突破。公钥密码的快速实现是当前公钥密码研究中的一个热点，包括算法优化和程序优化。另一个人们所关注的问题是椭圆曲线公钥密码的安全性论证问题。 公钥密码主要用于数字签名和密钥分配。当然，数字签名和密钥分配都有自己的研究体系，形成了各自的理论框架。目前数字签名的研究内容非常丰富，包括普通签名和特殊签名。特
信息安全技术发展现状及发展趋势 摘要：随着信息化建设步伐的加快，人们对信息安全的关注程度越来越高。,信息安全的内涵也在不断地延伸,从最初的信息保密性发展到信息的完整性、可用性、可控性和不可否认性,进而又发展为“攻(攻击)、防(防范)、测(检测)、控(控制)、管(管理)、评(评估)”等多方面的基础理论和实施技术。信息安全涉及数学、物理、网络、通信和计算机诸多学科的知识。与其他学科相比,信息安全的研究更强调自主性和创新性。本文对信息安全技术发展现状和趋势问题作一粗浅分析。 关键词：密码学；信息安全；发展现状 引言 网络发展到今天，对于网络与信息系统的安全概念，尽管越来越被人们认识和重视，但仍还有许多问题还没有解决。这是因为在开放网络环境下，一些安全技术还不完善，许多评判指标还不统一，于是网络与信息安全领域的研究人员和技术人员需要为共同探讨和解决一些敏感而又现实的安全技术问题而努力。 目前，信息安全技术涉及的领域还包括黑客的攻防、网络安全管理、网络安全评估、网络犯罪取证等方面的技术。信息安全不仅关系到个人、企事业单位，还关系到国家安全。21世纪的战争，实际上很大程度上取决于我们在信息对抗方面的能力。 信息安全技术从理论到安全产品，主要以现代密码学的研究为核心，包括安全协议、安全体系结构、信息对抗、安全检测和评估等关键技术。以此为基础，还出现了一大批安全产品。下面就目前信息安全技术的现状及研究的热点问题作一些介绍。 现今信息安全问题面临着前所未有的挑战，常见的安全威胁有：第一，信息泄露。信息被泄露或透露给某个非授权的实体。第二，破坏信息的完整性。数据被非授权地进行增删、修改或破坏而受到损失。第三，拒绝服务。对信息或其他资源的合法访问无条件地阻止。第四，非法使用（非授权访问）。某一资源被某个非授权的人，或以非授权的方式使用。第五，窃听。用各种可能的合法或非法的的信息资源和敏感信息。第六，业务流分析。通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等参数进行研究，从中发现有价值的信息和规律。第七，假冒。通过欺骗通信系统（或用户）达到非法用户冒充成为合法用户，或者特权小的用户冒充成为特权大的用户的目的。黑客大多是采用假冒攻击。第八，旁路控制。攻击者利用系统的安全缺陷或安全性上的脆弱之处获得
网络信息安全综述 李晴川 （重庆邮电大学通信学院，学号：S100103006） 摘要 21世纪是信息的时代。信息成为一种重要的战略资源,信息的获取、处理和安全保障能力成为一个国家综合国力的重要组成部分。信息安全事关国家安全、事关社会稳定。因此, 必须采取措施确保我国的信息安全。近年来,信息安全领域的发展十分迅速,取得了许多新的重要成果。本文主要综述了网络信息安全技术、发展、挑战、对策。 关键词 网络信息安全 安全机制 技术发展 挑战 对策 一 引言 进入21世纪以来,网络用户呈几何级数增长,人们对网络信息的需求和依赖日益增强，很多企业正是看到其中巨大的商机纷纷开展网上业务。无论在计算机上存储、处理、应用，还是在通信网络上传输，信息都可能被非授权访问而导致泄密，被篡改破坏而导致不完整，被冒充替换而导致否认，也可能被阻塞拦截而导致无法存取。这些破坏可能是有意的，如黑客攻击、病毒感染；也可能是无意的，如误操作、程序错误等。 因此，网络信息安全事关国家安全和社会稳定, 因此, 必须采取措施确保我国的信息安全。 二、网络信息安全的内容 网络信息安全分为网络安全和信息安全两个层面。网络安全包括系统安全，即硬件平台、操作系统、应用软件运行服务安全，即保证服务的连续性、高效率。信息安全则主要足指数据安全，包括数据加密、备份、程序等。 （1）硬件安全。即网络硬件和存储媒休的安全。要保护这些硬设施不受损害，能够正常工作。 （2）软件安全。即计算机及其网络各种软件不被篡改或破坏，不被非法操作或误操作，功能不会失效，不被非法复制。 （3）运行服务安全。即网络中的各个信息系统能够正常运行并能正常地通过网络交流信息。通过对网络系统中的各种设备运行状况的监测，发现不安全因素能及时报警并采取措施改变不安全态，保障网络系统正常运行。 （4）数据安全。即网络中存能及流通数据的女全。要保护网络中的数据不被篡改、非法增删、复制、解密、显示、使用等。
科技文献检索期末论文 论文题目：信息安全技术综述 ——信息安全的发展 学院：计算机科学与信息技术 专业：信息安全 班级：信息101 学号：1008060174 姓名：沈小珊 分数： 2013年6月10日
摘要： 随着信息化建设步伐的加快，人们对信息安全的关注越来越高。信息安全技术的内涵也越来越广，从主机的安全技术发展到网络体系结构的安全，从单一层次的安全发展到多层次的立体安全。信息安全不仅关系到个人，企事业单位，还关系到国家安全。回顾信息安全技术的发展历史，必将给予我们启示和思考。 关键字： 信息安全技术应用发展历史安全危机 引言： 在这学期的课程中，蒋老师以形象生动的语言向我们讲述了“什么是信息安全”、“信息安全都包括那些内容”，并就一些“数字签名”“身份认证”、“主动攻击、被动攻击”等专业术语进行了解释。同时，自开学以来，自己也在备考计算机网络技术的等级考试，在备考当中也了解一些关于网络安全的知识，并阅读了一些关于网络安全发展的书籍，对信息安全技术的应用有了初步了解。 一、信息安全危机的出现 信息安全的概念的出现远远早于计算机的诞生，但计算机的出现，尤其是网络出现以后，信息安全变得更加复杂，更加“隐形”了【1】【19】【20】。现代信息安全区别于传统意义上的信息介质安全，一般指电子信息的安全【2】。 从1936年英国数学家A . M .Turing发明图灵机，到1942年世界上第一台电子计算机ABC研制成功，再到1945年现代计算机之父，冯·诺依曼第一次提出存储程序计算机的概念，以及后来的第一条跨越大西洋的电话电缆敷设完成。这些都为网络技术的发展奠定了基础。 20世纪80年代开始，互联网技术飞速发展，然而互联网威胁也随之而来。世界上公认的第一个在个人电脑上广泛流行的病毒于1986年初诞生，被命名为大脑(C-Brain)。编写该病毒的是一对巴基斯坦兄弟，两兄弟经营着一家电脑公司，以出售自己编制的电脑软件为生。由于当地盗版软件猖獗，为了防止软件被
信息安全概述 基本概念 信息安全的要素 保密性：指网络中的信息不被非授权实体获取与使用。 保密的信息包括： 1．存储在计算机系统中的信息：使用访问控制机制，也可以进行加密增加安全性。 2．网络中传输的信息：应用加密机制。 完整性：指数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性，还要求数据的来源具有正确性和可信性，数据是真实可信的。 解决手段：数据完整性机制。 真实性：保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操作者的物理身份与数字身份相对应。 解决手段：身份认证机制。 不可否认性：或不可抵赖性。发送信息方不能否认发送过信息，信息的接收方不能否认接收过信息。 解决手段：数字签名机制。 信息保密技术 明文（Message）：指待加密的信息，用M或P表示。 密文（Ciphertext）：指明文经过加密处理后的形式，用C表示。 密钥（Key）：指用于加密或解密的参数，用K表示。 加密（Encryption）：指用某种方法伪装消息以隐藏它的内容的过程。 加密算法（EncryptionAlgorithm）：指将明文变换为密文的变换函数，用E表示。 解密（Decryption）：指把密文转换成明文的过程。 解密算法（DecryptionAlgorithm）：指将密文变换为明文的变换函数，用D表示。 密码分析（Cryptanalysis）：指截获密文者试图通过分析截获的密文从而推断出原来的明文或密钥的过程。 密码分析员（Crytanalyst）：指从事密码分析的人。 被动攻击（PassiveAttack）：指对一个保密系统采取截获密文并对其进行分析和攻击，这种攻击对密文没有破坏作用。 主动攻击（ActiveAttack）：指攻击者非法入侵一个密码系统，采用伪造、修改、删除等手段向系统注入假消息进行欺骗，这种攻击对密文具有破坏作用。 密码体制（密码方案）：由明文空间、密文空间、密钥空间、加密算法、解密算法构成的五元组。 分类： 1．对称密码体制：单钥密码体制，加密密钥和解密密钥相同。 2．非对称密码体制：双钥密码体制、公开密码体制，加密密钥和解密密钥不同。 密码系统（Cryptosystem）：指用于加密和解密的系统，通常应当是一个包含软、硬件的系统。 柯克霍夫原则：密码系统的安全性取决于密钥，而不是密码算法，即密码算法要公开。
美国网络安全战略简析 网络战信息安全令人瞩目——美国网络安全战略简析 网络安全是指为保护网络基础设施、保障安全通信以及对网络攻击所采取的措施。随着信息技术的发展和计算机网络在世界范围内的广泛应用，国家政治、经济、文化、军事等受网络的影响日益增强，给国家安全也带来了新的威胁。美国是世界上最早建立和使用计算机网络的国家，他们凭借信息高速公路开始进入网络经济时代，其国家信息高速公路、全球信息基础设施相继建成，引领美国经济持续快速增长，同时在世界网络运用方面独领风骚。2003年2月14日，美国公布了《国家网络安全战略》报告，正式将网络安全提升至国家安全的战略高度，从国家战略全局上对网络的正常运行进行谋划，以保证国家和社会生活的安全与稳定。 一体化预警网络系统在运行中 网络安全事关全局 信息技术成为经济发展的支柱。美国是当今世界信息产业的第一大国，拥有英特尔公司、微软公司、国际商用机器公司等世界上一流超级跨国公司，而网络信息系统的安全是美国经济得以繁荣和可持续增长的基石，一旦网络信息系统受到破坏，美国的经济将受到重创。 目前，美国社会的运转对计算机网络的依赖性日益加重，计算机网络已经渗透到美国政治、经济、军事、文化、生活等各个领域。各种业务处理基本实现网络化，美国的整个社会运转已经与网络密不可分；换言之，网络危机将可能导致美国整个社会陷于瘫痪。2005年8月，美国东北部和加拿大的部分地区发生的大范围停电事故并引发了电网日常运作的崩溃，社会运转迅速陷于停顿，其中7个主要机场和9个核反应堆被迫关闭，5000多万的居民生活受到了严重影响，位于纽约的世界银行总部也因网络中断而暂停工作，网络安全对国家安全的影响可见一斑。 网络系统成为攻击重点。网络攻击不受国界、武器和人员的限制，如何防范网络攻击已成为美国不得不认真对待的重大战略问题。比如，其国防部网站是美国的重要核心网站，他的被攻击次数不断增长已使美国政府忧心忡忡。9·11事件发生后，一些恐怖分子利用网络之便向美国计算机网络频频发动攻击，特别对那些要害部门的网络进行破坏，从而危害美国及其盟友国家民众的安全，“网络恐怖主义”浮出水面。 网络安全成为信息技术的薄弱环节。虽然各种杀毒软件和防火墙不断升级，但各种病毒还是不断入侵，网络安全方面的信息技术相对滞后，网络安全始终受到严重威胁。 顶层设计备受重视 美国对网络安全问题的关注由来已久，早在20世纪80年代初期，就已经着手解决并采取了一系列措施。近年来，其重大步骤主要有：保证要害部门安全；加强基础设施安全；制定网络安全战略；加强国家安全与国际网络安全合作；强化网络安全研究及政府协调与监管；实施网络安全演习等。据悉，2005年5月，美国中央情报局在弗吉尼亚州举行了为期3天、代号为“沉默地平线”的计算机网络反恐演习。演习中，中央情报局模拟了一次类似9·11恐
1基本概念 1.1信息安全的要素 ●性：指网络中的信息不被非授权实体获取与使用。 的信息包括： 1．存储在计算机系统中的信息：使用访问控制机制，也可以进行加密增加安全性。 2．网络中传输的信息：应用加密机制。 ●完整性：指数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、 不被破坏和丢失的特性，还要求数据的来源具有正确性和可信性，数据是真实可信的。 解决手段：数据完整性机制。 ●真实性：保证以数字身份进行操作的操作者就是这个数字身份合法拥有者，也就是说保证操 作者的物理身份与数字身份相对应。 解决手段：身份认证机制。 ●不可否认性：或不可抵赖性。发送信息方不能否认发送过信息，信息的接收方不能否认接收 过信息。 解决手段：数字签名机制。 1.2信息技术 ●明文（Message）：指待加密的信息，用M或P表示。 ●密文（Ciphertext）：指明文经过加密处理后的形式，用C表示。 ●密钥（Key）：指用于加密或解密的参数，用K表示。 ●加密（Encryption）：指用某种方法伪装消息以隐藏它的容的过程。 ●加密算法（EncryptionAlgorithm）：指将明文变换为密文的变换函数，用E表示。 ●解密（Decryption）：指把密文转换成明文的过程。 ●解密算法（DecryptionAlgorithm）：指将密文变换为明文的变换函数，用D表示。 ●密码分析（Cryptanalysis）：指截获密文者试图通过分析截获的密文从而推断出原来的明文 或密钥的过程。 ●密码分析员（Crytanalyst）：指从事密码分析的人。 ●被动攻击（PassiveAttack）：指对一个系统采取截获密文并对其进行分析和攻击，这种攻 击对密文没有破坏作用。 ●主动攻击（ActiveAttack）：指攻击者非法入侵一个密码系统，采用伪造、修改、删除等手 段向系统注入假消息进行欺骗，这种攻击对密文具有破坏作用。 ●密码体制（密码方案）：由明文空间、密文空间、密钥空间、加密算法、解密算法构成的五 元组。 分类： 1．对称密码体制：单钥密码体制，加密密钥和解密密钥相同。 2．非对称密码体制：双钥密码体制、公开密码体制，加密密钥和解密密钥不同。 ●密码系统（Cryptosystem）：指用于加密和解密的系统，通常应当是一个包含软、硬件的系 统。 ●柯克霍夫原则：密码系统的安全性取决于密钥，而不是密码算法，即密码算法要公开。
职业类型： 信息安全咨询师，信息安全测评师，信息安全服务人员，信息安全运维人员，信息安全方案架构师，安全产品开发工程师，安全策略工程师、培训讲师、漏洞挖掘、攻防测试 咨询顾问一般需要以下技能： 熟悉各类安全标准--BS7799,ISO13335,CC,SSE-CMM,IATF,SP800…… 相关的知识领域—IT Governance,ITIL/ITSM,MOF,COBIT,SOA,COSO…… 咨询体系--企业经营管理，流程管理，人力资源管理，信息战略，法律法规 基本技能--沟通表达、文档、项目管理 技术体系--All above（不要因为我说了这句话趋之若鹜哦） 分类： 市场销售类：销售员、营销人员 顾问咨询类：售前工程师、咨询顾问 管理类：内控审计师、信息安全管理 技术实现类：开发工程师、渗透测试 开发管理类：项目经理、技术总监 实施维护类：实施工程师、维护工程师 甲方 乙方：有技术、产品、有解决方案，更关注行业、技术等，保障企业利益 X方：标准制定机构，处于中立地位的机构，监管机构等 四类主体岗位群： 管理、技术、销售、运维 管理类职业群：行业监管标准的执行，合规标准；管理实践；系统方法进行指导 技术类职业群：技术开发类职业群，技术运维类职业群（核心是对业务的需求和理解）开发：语言、工具、思路、需求理解 运维：系统分析、运维思想、操作技能、流程管理 营销类职业群：（通常在乙方，向人提供产品技术），在什么情景下使用什么技术解决什么问题。传播、方案、场景、市场。有技术基础，又有良好的表达能力。 销售类职业群：关系+价值 信息安全管理岗位职业锚 甲方：以服务自己为主 1、安全体系管理员 大型企业，体系化的。有时候配合乙方进行企业安全建设。 职责：安全规划、需要多少钱多少人、制定相关安全制度，提出相应安全要求。参照ISO27000级内控等。（还是比较难的） 督促实施，检查各项信息安全制度、体系文件和策略落实情况。（在企业内部地位还可以） 2、信息安全经理 大型企业，会设安全处，是处长级别。不仅了解企业内部动态，设置规章制度。而且要和监管机构、行业主管部门、上级进行沟通，了解他们对安全的要求。对沟通能力，全局观有要求。定期组织各个部门进行风险评估，针对问题制定相关措施。对技术也要有所了解。很多技术活都要去做。（实干型的在企业中承担重要职责的岗位） 3、CSO首席安全官 负责整个机构的安全运行状态，物理安全信息安全等。（在很多企业甚至是合伙人之一）互联网金融、银行等行业都非常重要，外企的信息安全官各个方面都要管。甚至业务安全、反欺诈和隐私保护等等，到犯罪的问题都要管。 涉及到公共安全等问题，已经进入公司的决策层。
1国家宏观信息安全管理方面,主要有以下几方面问题： （1）法律法规问题。健全的信息安全法律法规体系是确保国家信息安全的基础,是信息安全的第一道防线. （2）管理问题。（包括三个层次：组织建设、制度建设和人员意识） （3）国家信息基础设施建设问题。目前,中国信息基础设施几乎完全是建立在外国的核心信息技术之上的,导致我国在网络时代没有制网权.2005年度经济人物之首:中国芯创立者邓中翰.十五期间,国家863计划和科技攻关的重要项目:信息安全与电子政务,金融信息化两个信息安全研究项目. 2微观信息安全管理方面存在的主要问题为： （1）缺乏信息安全意识与明确的信息安全方针。 （2）重视安全技术，轻视安全管理。信息安全大约70%以上的问题是由管理原因造成的. （3）安全管理缺乏系统管理的思想。 3信息安全的基本概念(重点CIA) 信息安全（Information security)是指信息的保密性（Confidentiality)、完整性（Integrity)和可用性（Availability)的保持。 C:信息保密性是保障信息仅仅为那些被授权使用的人获取,它因信息被允许访问对象的多少而不同. I:信息完整性是指为保护信息及其处理方法的准确性和完整性,一是指信息在利用,传输,储存等过程中不被篡改,丢失,缺损等,另外是指信息处理方法的正确性. A:信息可用性是指信息及相关信息资产在授权人需要时可立即获得.系统硬件,软件安全,可读性保障等 4信息安全的重要性：a.信息安全是国家安全的需要b.信息安全是组织持续发展的需要 c.信息安全是保护个人隐私与财产的需要 5如何确定组织信息安全的要求：a.法律法规与合同要求b.风险评估的结果(保护程度与控制 方式)c.组织的原则、目标与要求 6信息安全管理是指导和控制组织的关于信息安全风险的相互协调的活动，关于信息安全风险的指导和控制活动通常包括制定信息安全方针、风险评估、控制目标与方式选择、风险控制、安全保证等。信息安全管理实际上是风险管理的过程,管理的基础是风险的识别与评估。 7 图1-1信息安全管理PDCA持续改进模式：.doc 系统的信息安全管理原则： （1）制订信息安全方针原则：制定信息安全方针为信息安全管理提供导向和支持（2）风险评估原则：控制目标与控制方式的选择建立在风险评估的基础之上 （3）费用与风险平衡原则：将风险降至组织可接受的水平，费用太高不接受 （4）预防为主原则：信息安全控制应实行预防为主，做到防患于未然 （5）商务持续性原则：即信息安全问题一旦发生，我们应能从故障与灾难中恢复商务运作，不至于发生瘫痪，同时应尽力减少故障与灾难对关键商务过程的影响（6）动态管理原则：即对风险实施动态管理 （7）全员参与的原则： （8）PDCA原则：遵循管理的一般循环模式--Plan(策划)---Do(执行)---Check(检查)---Action(措施)的持续改进模式。PDCA模式，如图
来，国际上已经提出了许多种公钥密码体制，但比较流行的主要有两类：一类是基于大整数因子分解问题的，其中最典型的代表是ＲＳＡ；另一类是基于离散对数问题的，比如ＥｌＧａｍａｌ公钥密码和影响比较大的椭圆曲线公钥密码。 我国学者也提出了一些公钥密码，另外在公钥密码的快速实现方面也做了一定的工作，比如在ＲＳＡ的快速实现和椭圆曲线公钥密码的快速实现方面都有所突破。 公钥密码主要用于数字签名和密钥分配。当然，数字签名和密钥分配都有自己的研究体系，形成了各自的理论框架。目前数字签名的研究内容非常丰富，包括普通签名和特殊签名。特殊签名有盲签名，代理签名，群签名，不可否认签名，公平盲签名，门限签名，具有消息恢复功能的签名等，它与具体应用环境密切相关。 序列密码主要用于政府、军方等国家要害部门，尽管用于这些部门的理论和技术都是保密的，但由于一些数学工具（比如代数、数论、概率等）可用于研究序列密码，其理论和技术相对而言比较成熟。从八十年代中期到九十年代初，序列密码的研究非常热，在序列密码的设计与生成以及分析方面出现了一大批有价值的成果，我国学者在这方面也做了非常优秀的工作。 国外目前不仅在密码基础理论方面的研究做的很好，而且在实际应用方面也做的非常好。制定了一系列的密码标准，特别规范。算法的征集和讨论都已经公开化，但密码技术作为一种关键技术，各国都不会放弃自主权和控制权，都在争夺霸权地位。我国在密码基础理论的某些方面的研究也做得很好，但在实际应用方面与国外存在差距，缺乏自己的标准，也不够规范。 密码技术特别是加密技术是信息安全技术中的核心技术，国家关键基础设施中不可能引进或采用别人的加密技术，只能自主开发。目前我国在密码技术的应用水平
信息安全技术发展现状及发展趋势 【1】摘要：信息时代已然到来，我们的生活越来越趋于信息化，人们利用网络的范围也越来越广。人们对信息安全的关注程度越来越高。信息安全的内涵也在不断地延伸,从最初的信息保密性发展到信息的完整性、可用性、可控性和不可否认性,进而又发展为“攻、防、测、控、管、评”等多方面的基础理论和实施技术。信息安全涉及数学、物理、网络、通信和计算机诸多学科的知识。掌握信息安全，谨防高科技犯罪。本文对信息安全技术发展现状和趋势问题作一粗浅分析。 【2】关键词：密码学；信息安全；发展现状 【3】正文 信息安全是指信息网络的硬件、软件及系统设备中的数据受到保护，不受偶然的或恶意的原因而遭到破坏、更改、泄露，系统中连续可靠正常的运行、信息服务不中断。 网络发展到现在，与我们的生活密切相关，“账户”“密码”“个人用户”······已成为必备的生活数据。在越来越普及的计算机生活中，我们在应用的同时也要预防黑客攻击，病毒入侵，人肉搜索······ 目前，信息安全技术涉及的领域还包括黑客的攻防、网络安全管理、网络安全评估、网络犯罪取证等方面的技术。信息安全关系到个人、企事业单位，国家安全。21世纪的战争，实际上很大程度上取决于我们在信息对抗方面的能力。 信息安全的目标是保证数据的保密性、完整性、可用性、真实性、不了否认性、可控制性、以及可追究性。而从信息安全技术发展到安全应用，是主要以密码学为主，包括安全协议、安全体系结构、信息对抗、安全检测和评估等关键技术。以此为基础，还出现了一大批安全产品。 常见的安全威胁有： 第一，信息泄露。信息被泄露或透露给某个非授权的实体。 第二，破坏信息的完整性。数据被非授权地进行增删、修改或破坏而受到损失。
信息安全体系框架 (第一部分综述)
目录 1概述 (4) 1.1信息安全建设思路 (4) 1.2信息安全建设内容 (6) 1.2.1建立管理组织机构 (6) 1.2.2物理安全建设 (6) 1.2.3网络安全建设 (6) 1.2.4系统安全建设 (7) 1.2.5应用安全建设 (7) 1.2.6系统和数据备份管理 (7) 1.2.7应急响应管理 (7) 1.2.8灾难恢复管理 (7) 1.2.9人员管理和教育培训 (8) 1.3信息安全建设原则 (8) 1.3.1统一规划 (8) 1.3.2分步有序实施 (8) 1.3.3技术管理并重 (8) 1.3.4突出安全保障 (9) 2信息安全建设基本方针 (9) 3信息安全建设目标 (9) 3.1一个目标 (10) 3.2两种手段 (10) 3.3三个体系 (10) 4信息安全体系建立的原则 (10) 4.1标准性原则 (10) 4.2整体性原则 (11) 4.3实用性原则 (11)
4.4先进性原则 (11) 5信息安全策略 (11) 5.1物理安全策略 (12) 5.2网络安全策略 (13) 5.3系统安全策略 (13) 5.4病毒管理策略 (14) 5.5身份认证策略 (15) 5.6用户授权与访问控制策略 (15) 5.7数据加密策略 (16) 5.8数据备份与灾难恢复 (17) 5.9应急响应策略 (17) 5.10安全教育策略 (17) 6信息安全体系框架 (18) 6.1安全目标模型 (18) 6.2信息安全体系框架组成 (20) 6.2.1安全策略 (21) 6.2.2安全技术体系 (21) 6.2.3安全管理体系 (22) 6.2.4运行保障体系 (25) 6.2.5建设实施规划 (25)