第24章 信息系统安全和安全体系

第24章信息安全系统和安全体系24.1信息安全系统三维空间“信息安全保障系统” 一般简称为“信息安全系统”。

我们给出一个“宏观”三维空间 图来（如图24.1所示)，可以直观地理解和掌握信息安全系统的体系架构以及它的组成， 同时也描述出各个层面之间的内在关系。

图24.1信息安全系统三维空间示意图从图中可以看出，三维空间中，Y 轴是O S I 网络参考模型，信息安全系统的许多技术、 技巧都是在网络的各个层面上实施的。

离开网络，信息系统的安全也就失去意义。

从学习 的角度，大家也要充分地认识这一特点，深入了解和掌握信息安全系统的“奥秘”。

安全空间第24章信息安全系统和安全体系539三维空间中，X轴是“安全机制”。

安全机制是什么？可以理解为提供某些安全服务，利用各种安全技术和技巧，所形成的一个较为完善的结构体系。

如“平台安全”机制，实 际上就是指的安全操作系统、安全数据库、应用开发运营的安全平台以及网络安全管理监 控系统等。

三维空间中，Z轴是“安全服务”，就是从网络中的各个层次提供给信息应用系统所需 要的安全服务支持。

如：对等实体认证服务、访问控制服务、数据保密服务等。

由X、Y、Z三个轴形成的空间就是信息系统的“安全空间”，随着网络逐层扩展，这 个空间不仅范围逐步加大，安全的内涵也就更丰富，达到具有认证、权限、完整、加密和 不可否认五大要素，也叫做“安全空间”的五大“属性”。

显然，每个“轴”上的内容越丰富，越深入，越科学，“安全空间”就越大，安全性越好。

24.1.1安全机制1.第一层：基础设施实体安全(1)机房安全包括机房环境、温度、湿度、电磁、噪声、防尘、静电和振动等。

(2)场地安全包括建筑安全、防火、防雷、围墙和门禁系统等。

(3)设施安全包括设备可靠性、通信线路安全性和辐射控制与防泄露等。

(4)动力系统安全包括电源安全和空调等。

(5)灾难预防与恢复2.第二层：平台安全(1)操作系统漏洞检测与修复包括Unix系统、Windows系统、LIN U X系统和网络协议等。

04757信息系统开发与管理（各章知识点总结）仅供参考信息系统开发与管理第⼀章管理信息系统导论⼀、管理信息系统的概念及其发展管理信息系统是管理和信息技术不断融合的产物，是信息化的具体表现形式和主要内容之⼀。

管理信息系统是⼀个由⼈、计算机组成的能进⾏管理信息的收集、传递、存储、加⼯、维护和使⽤的系统。

管理信息系统是⼀个以信息技术为⼯具，具有数据处理、预测、控制和辅助决策功能的信息系统。

管理信息系统是⼀个⼈机系统，同时也是⼀个⼀体化集成系统（数据⼀体化和系统开发的⼀体化），以计算机技术、通信技术和软件技术为技术基础。

书本概念：管理信息系统是⼀个由⼈、机(计算机)组成的能进⾏管理信息的收集、传递、存储、加⼯、维护和使⽤的系统。

它能监测企业或组织的各种运⾏情况，利⽤过去的数据预测未来；从全局出发辅助决策；利⽤信息控制企业或组织⾏为，帮助其实现长远的规划⽬标。

简⾔之，管理信息系统是⼀个以信息技术为⼯具，具有数据处理、预测、控制和辅助决策功能的信息系统。

⼆、管理信息系统的分类：（1）按核⼼业务活动分类：电⼦业务系统（服务于组织的内部管理），电⼦政务系统（政府部门的政务管理活动和服务职能），电⼦商务系统（商贸活动）（2）按数据处理⽅式分类（操作型管理信息系统，分析型管理信息系统）（3）按管理应⽤层次分类（事务型管理信息系统，管理型管理信息系统，战略型管理信息系统）（4）按⾏业和业务职能分类三、管理信息系统的结构（1）功能结构（任何⼀个管理信息系统均有明确的⽬标，并由若⼲具体功能组成。

为了完成这个⽬标，各功能相互联系，构成了⼀个有机结合的整体，表现出系统的特征，这就是管理信息系统的功能结构。

）（2）概念结构（信息源，信息处理器[信息的传输，加⼯，存储等任务]，信息⽤户[信息的最终使⽤者]，信息管理者[负责信息系统的设计、实施、维护等⼯作]四⼤部件。

）（3）管理职能结构（纵向视⾓：战略计划层[任务：为企业战略计划的制订和调整提供辅助决策功能]，管理控制层[任务：为企业各职能部门管理⼈员提供⽤于衡量企业效益，控制企业⽣产经营活动，制定企业资源分配⽅案等活动所需要的信息]，执⾏控制层[任务：确保基层的⽣产经营活动正常有效的进⾏]。

哈拉沟煤矿安全管理信息系统运行管理办法第一章总则第一条为确保安全管理信息系统（以下简称系统）正常运行，根据公司安全管理信息系统运行办法及《煤矿安全生产标准化》要求，结合系统功能特点和运行方式，制定本办法。

第二条本办法中的系统基础数据包括组织机构、人员信息、考核标准、危险源管控、不安全行为认定标准；系统应用数据指系统运行中录入的数据。

第三条本办法适用于矿属各单位和承包商。

第二章组织与职责第四条系统运行管理由安全管理办公室统一组织，各部门、区队分工负责的方式。

设专职系统管理员一名（崔亚虎），兼职系统管理员两名（刘培壮、刘世刚）。

其它所有部门和区队设置兼职系统管理员。

第五条运行职责（一）矿长对系统运行管理整体部署，全面负责。

（二）安全副矿长对系统运行管理具体负责，对存在问题向矿长汇报，做到持续改进，确保系统有效运行。

（三）安全管理办公室负责系统运行的总体协调。

主要包括（但不限于）系统的初始化配置、操作培训、组织机构及人员调整、权限分配；负责更新系统中的各类基础数据；负责对提出的合理化建议和改进需求进行收集汇总上报；负责应用数据的统计分析汇总、考核奖罚。

第六条系统内的考核标准、考核权重在考核内部单位时有充分的自主权利，可根据我矿实际情况进行适时修改。

安全管理办公室负责组织分管负责人和业务人员对新增的的考核标准、不安全行为认定标准、危险源等进行审定。

第三章系统运行管理第七条系统运行管理模式矿系统管理员负责总体协调，在业务上有领导和督导其他系统管理员的权利。

第八条专职系统管理员职责（一）负责各使用层级的系统培训。

（二）负责人员调整及密码管理（密码重置）。

（三）负责权限分配。

（四）负责矿级基础数据的维护。

（五）负责解答具体操作中的问题，将系统问题和故障及时反馈上级系统管理员。

（六）负责对录入问题无对应标准、危险源的信息进行统计。

（七）负责每月对系统应用数据进行考核奖罚兑现。

第九条各科室、区队系统管理员职责（一）对本科室、区队系统操作人员进行系统使用培训。

中华人民共和国计算机信息系统安全保护条例目录[隐藏]中华人民共和国国务院令第一章总则第二章安全保护制度第三章安全监督第四章法律责任第五章附则[编辑本段]中华人民共和国国务院令第１４７号现发布《中华人民共和国计算机信息系统安全保护条例》，自发布之日起施行。

总理李鹏１９９４年２月１８日[编辑本段]第一章总则第一条为了保护计算机信息系统的安全，促进计算机的应用和发展，保障社会主义现代化建设的顺利进行，制定本条例。

第二条本条例所称的计算机信息系统，是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

第三条计算机信息系统的安全保护，应当保障计算机及其相关的和配套的设备、设施（含网络）的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全运行。

第四条计算机信息系统的安全保护工作，重点维护国家事务、经济建设、国防建设、尖端科学技术等重要领域的计算机信息系统的安全。

第五条中华人民共和国境内的计算机信息系统的安全保护，适用本条例。

未联网的微型计算机的安全保护办法，另行制定。

第六条公安部主管全国计算机信息系统安全保护工作。

国家安全部、国家保密局和国务院其他有关部门，在国务院规定的职责范围内做好计算机信息系统安全保护的有关工作。

第七条任何组织或者个人，不得利用计算机信息系统从事危害国家利益、集体利益和公民合法利益的活动，不得危害计算机信息系统的安全。

[编辑本段]第二章安全保护制度第八条计算机信息系统的建设和应用，应当遵守法律、行政法规和国家其他有关规定。

第九条计算机信息系统实行安全等级保护。

安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。

第十条计算机机房应当符合国家标准和国家有关规定。

在计算机机房附近施工，不得危害计算机信息系统的安全。

第十一条进行国际联网的计算机信息系统，由计算机信息系统的使用单位报省级以上人民政府公安机关备案。

第24卷第4期工程管理学报V ol. 24 No. 4 2010年08月Journal of Engineering Management Aug. 2010 基于UML的台风应急指挥管理系统模型研究邓中美1，施延2（1. 厦门理工学院建筑工程系，福建厦门 361024，E-mail：zmdeng@；2. 厦门海迈科技有限公司，福建厦门 361008）摘要：台风应急指挥系统可以提高城市应对突发灾害的处置能力，减小灾害带来的损失。

文章简要介绍UML的建模概念和特点，并以统一建模语言UML为基础，对台风应急管理系统需求进行分析，提出了台风应急指挥管理系统构建，并利用UML用例图、类图等进行详细描述。

从而为台风应急指挥管理系统的开发集成奠定基础，实现防台抗台工作程序化、规范化、高效化。

关键词：UML；应急管理；系统架构；用例图；类图中图分类号：F407.9 文献标识码：A 文章编号：1674-8859（2010）04-408-04UML-Based Typhoon Emergency Command Management SystemDENG Zhong-mei1，SHI Yan2（1．Department of Architectural Engineering，Xiamen University of Technology，Xiamen 361024，China，E-mail：zmdeng@；2. Xiamen Haimai Technology Co.Ltd.，Xiamen 361008，China）Abstract：Typhoon emergency command system can improve city's disposal capacity of dealing with unexpected disasters and reduce disaster losses. The paper briefly introduced the concept of Unified Modeling Language (UML) modeling and its characteristics. Based on the UML，the functions and requirements of the emergency command management system was analyzed. A typhoon emergency command management system was developed using UML use case diagram and class diagram for the description，which lays the foundation for the integration development of the comprehensive system. This system achieves the anti-typhoon working procedures，standardization and high efficiency.Keywords：Unified Modeling Language (UML)；emergency management；system architecture；use case diagram；class diagram由于应对台风涉及部门多、区域广，指挥和协调难度非常大，因此建立统一指挥、信息共享、协同作战的应急指挥体制，是快速处理应急突发事件的重要保证。

四45五3六57十4十一34十二47没做“信息安全理论与技术”习题及答案教材：《信息安全概论》段云所，魏仕民，唐礼勇，陈钟，高等教育出版社第一章概述（习题一，p11）1.信息安全的目标是什么？答：信息安全的目标是保护信息的机密性、完整性、抗否认性和可用性；也有观点认为是机密性、完整性和可用性，即CIA(Confidentiality,In tegrity,Availability)。

机密性（Confidentiality）是指保证信息不被非授权访问；即使非授权用户得到信息也无法知晓信息内容，因而不能使用完整性（Integrity）是指维护信息的一致性，即信息在生成、传输、存储和使用过程中不应发生人为或非人为的非授权簒改。

抗否认性（Non-repudiation）是指能保障用户无法在事后否认曾经对信息进行的生成、签发、接收等行为，是针对通信各方信息真实同一性的安全要求。

可用性（Availability）是指保障信息资源随时可提供服务的特性。

即授权用户根据需要可以随时访问所需信息。

2.简述信息安全的学科体系。

解：信息安全是一门交叉学科，涉及多方面的理论和应用知识。

除了数学、通信、计算机等自然科学外，还涉及法律、心理学等社会科学。

信息安全研究大致可以分为基础理论研究、应用技术研究、安全管理研究等。

信息安全研究包括密码研究、安全理论研究；应用技术研究包括安全实现技术、安全平台技术研究；安全管理研究包括安全标准、安全策略、安全测评等。

3. 信息安全的理论、技术和应用是什么关系？如何体现？答：信息安全理论为信息安全技术和应用提供理论依据。

信息安全技术是信息安全理论的体现，并为信息安全应用提供技术依据。

信息安全应用是信息安全理论和技术的具体实践。

它们之间的关系通过安全平台和安全管理来体现。

安全理论的研究成果为建设安全平台提供理论依据。

安全技术的研究成果直接为平台安全防护和检测提供技术依据。

平台安全不仅涉及物理安全、网络安全、系统安全、数据安全和边界安全，还包括用户行为的安全，安全管理包括安全标准、安全策略、安全测评等。

信息系统安全等级保护标准体系信息系统安全等级保护标准体系是指根据《中华人民共和国网络安全法》和《信息系统安全等级保护管理办法》，结合国家信息安全等级保护标准，对信息系统按照其承载信息的重要性和保密等级，划分为不同的安全等级，并对不同安全等级的信息系统提出相应的安全保护要求和措施的一套标准体系。

信息系统安全等级保护标准体系的建立和实施，对于保障国家重要信息基础设施和关键信息系统的安全运行，维护国家安全和社会稳定，具有重要意义。

首先，信息系统安全等级保护标准体系的建立，能够有力地提高国家信息系统的整体安全水平。

通过对信息系统进行安全等级划分和分类管理，可以根据信息系统承载的信息重要性和保密等级，有针对性地制定相应的安全保护要求和措施，从而有效地提高信息系统的安全性和可靠性。

其次，信息系统安全等级保护标准体系的建立，有利于加强对关键信息基础设施和关键信息系统的保护。

针对国家重要信息基础设施和关键信息系统，可以通过严格的安全等级划分和保护要求，加强对其安全运行的监测和管理，有效地防范和应对各类网络安全威胁和风险，确保其安全稳定运行。

此外，信息系统安全等级保护标准体系的建立，有助于促进信息系统安全保护工作的规范化和标准化。

通过统一的安全等级划分标准和保护要求，可以使各类信息系统的安全保护工作更加规范和标准化，为相关安全管理和技术人员提供明确的指导和依据，提高安全管理工作的科学性和有效性。

总的来说，信息系统安全等级保护标准体系的建立和实施，对于提高信息系统整体安全水平，加强关键信息基础设施和关键信息系统的保护，促进安全保护工作的规范化和标准化，都具有重要意义和价值。

希望各相关单位和部门能够充分重视信息系统安全等级保护标准体系的建设和实施，切实加强对信息系统安全的管理和保护，共同维护国家信息安全和社会稳定。

四45五3六57十4十一34十二47没做“信息安全理论与技术”习题及答案教材：《信息安全概论》段云所，魏仕民，唐礼勇，陈钟，高等教育出版社第一章概述（习题一，p11）1.信息安全的目标是什么？答：信息安全的目标是保护信息的机密性、完整性、抗否认性和可用性；也有观点认为是机密性、完整性和可用性，即CIA(Confidentiality,Integ rity,Availability)。

机密性（Confidentiality）是指保证信息不被非授权访问；即使非授权用户得到信息也无法知晓信息内容，因而不能使用完整性（Integrity）是指维护信息的一致性，即信息在生成、传输、存储和使用过程中不应发生人为或非人为的非授权簒改。

抗否认性（Non-repudiation）是指能保障用户无法在事后否认曾经对信息进行的生成、签发、接收等行为，是针对通信各方信息真实同一性的安全要求。

可用性（Availability）是指保障信息资源随时可提供服务的特性。

即授权用户根据需要可以随时访问所需信息。

2.简述信息安全的学科体系。

解：信息安全是一门交叉学科，涉及多方面的理论和应用知识。

除了数学、通信、计算机等自然科学外，还涉及法律、心理学等社会科学。

信息安全研究大致可以分为基础理论研究、应用技术研究、安全管理研究等。

信息安全研究包括密码研究、安全理论研究；应用技术研究包括安全实现技术、安全平台技术研究；安全管理研究包括安全标准、安全策略、安全测评等。

3. 信息安全的理论、技术和应用是什么关系？如何体现？答：信息安全理论为信息安全技术和应用提供理论依据。

信息安全技术是信息安全理论的体现，并为信息安全应用提供技术依据。

信息安全应用是信息安全理论和技术的具体实践。

它们之间的关系通过安全平台和安全管理来体现。

安全理论的研究成果为建设安全平台提供理论依据。

安全技术的研究成果直接为平台安全防护和检测提供技术依据。

平台安全不仅涉及物理安全、网络安全、系统安全、数据安全和边界安全，还包括用户行为的安全，安全管理包括安全标准、安全策略、安全测评等。

内容简介在国务院鼓励软件产业发展政策的带动下，我国软件业一年一大步，实现了跨越式发展，销售收入由2000年的593亿元增加到2003年的1633亿元，年均增长速度39．2％；2000年出口软件仅4亿美元，去年则达到20亿美元，三年中翻了两番多；全国"双软认证工作体系"已经规范运行，截止2003年11月底，认定软件企业8582家，登记软件产品18287个；11个国家级软件产业基地快速成长，相关政策措施正在落实；我国软件产业的国际竞争力日益提高。

根据人事部、信息产业部文件，计算机技术与软件专业技术资料考试纳入全国专业技术人员职业资格证书制度的统一规划。

通过考试获得证书的人员，表明其已具备从事相应专业的岗位工作的水平和能力，用人单位可根据工作需要从获得证书的人员中择优聘任相应专业技术职务。

计算机技术与软件专业实施全国统一考试后，不再进行相应专业技术职务任职资格的评审工作。

如果说信息产业部发布的《信息系统工程监理工程师资格管理办法》已经确定了信息系统工程监理人员管理的体系框架，那么，信息产业部和人事部联合发布的国人部发【2003】39号文件则在信息系统监理人员的培训方面起到巨大的推动作用，成为适合“时节”需要的“好雨”。

因为，正是在这个文件中，“信息系统监理师”开始列入计算机技术与软件专业技术资格（水平）考试系列。

《信息系统监理师教程》包括三大部分，分别是信息工程监理基础理论、信息系统工程网络建设监理、应用系统工程建设监理。

全书系统地讲述信息系统项目管理、监理手段、监理工作的组织和规划、招投标、设计、施工、验收阶段监理工作内容。

本书旨在帮助读者在具积极因素一定的IT项目实施与管理经验基础上，通过“IT技术+信息系统工程管理+监理方法”的知识结构，系统地掌握信息系统工程监察院理的知识体系、监察院理方法、手段和技能，提高涉业人员实际监察院理工作能力和业务水平，使之能有效在组织和实施信息系统工程项目的监理工作。