信息系统安全策略是针对本单位的计算机业务应用信息系统的安全风险（安全威胁）进行有效的识别、评估后，所采取的措施、手段，以及建立的各种管理制度。

1、安全策略的核心内容是“七定”：定方案、定岗、定位、定员、定目标、定制度、定工作流程。

2、安全策略需要处理好的关系

①安全与应用的依存关系：安全与应用是矛盾统一的。没有应用就不会产生相应的安全需求；发生安全问题，就不能更好地开展应用；

②风险度的观点：信息系统的安全目标定位于“系统永不停机、数据永不丢失、网络永不瘫痪、信息永不泄密”；

③适度安全的观点；

④木桶效应的观点；

⑤信息系统安全等级保护概念。

a、第一级：用户自主保护级：通过隔离用户与数据，使用户具备自主安全保护的能力；

b、第二级：系统审计保护级：适用于通过内网或国际网进行商务活动，需要保密的非重要单位；

c、第三级：安全标记保护级：具有系统审计保护级的所有功能。适用于地方各级国家机关、金融单位机构、邮电通信、能源与水源供给部门、交通运输、大型工商与信息技术企业、重点工程建设邓单位；

d、第四级：结构化保护级：建立于一个明确定义的形式安全策略模型之上，要求将第三级中的自主和强制访问控制扩展到所有主体与客体。适用于中央级国家机关、广播电视部门、重要物资储备单位、社会应急服务部门、尖端科技企业集团、国家重点科研单位和国防建设部门；

e、访问验证保护级：满足访问控制器需求。访问控制器本身是抗篡改的，必须足够小，能够分析和测试。适用于国防关键部门和依法需要对计算机信息系统实施特殊隔离的单位。

安全保护等级由2个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。

3、信息安全系统：是信息系统的一部分，用于保证“业务应用信息系统”正常运营。用三维空间来反映信息安全系统的体系架构及其组成：

①X轴是“安全机制”。安全机制可以理解为提供某些安全服务，利用各种安全技术和技巧，所形成的一个较为完善的结构体系；

②Y轴是“OSI网络参考模型”。信息安全系统的许多技术、技巧都是在网络的各个层面上实施的，包括物理层、数据链路层、网络层、传输层、会话层、表示层和应用层；

③Z轴是“安全服务”，从网络中的各个层次提供给信息应用系统所需要的安全服务支持。

X、Y、Z三个轴形成的信息安全系统三维空间就是信息系统的“安全空间”。包含“认证、权限、完整、加密和不可否认”五大要素，也叫作“安全空间”的五大属性。

4、安全服务：分为对等实体认证服务（对对方实体的合法性、真实性进行确认，以防假冒）、数据保密服务、数据完整性服务、数据源点认证服务、截止否认服务、犯罪证据提供服务。

5、安全技术：加密技术、数字签名技术、访问控制技术、数据完整性技术、认证技术、数据挖掘技术。

6、信息安全系统架构体系

①MIS+S系统：初级信息安全保障系统或基本信息安全保障系统，其特点包括：业务应用系统基本不变、硬件和系统软件通用、安全设备基本不带密码；

②S-MIS系统：标准信息安全保障系统，其特点包括：硬件和系统团建通用，PKI/CA安全保障系统必须带密码、业务应用系统必须根本改变、主要的通用的硬件、软件也要通过PKI/CA认证；

③S2-MIS系统：超安全的信息安全保障系统：其特点为硬件和系统软件都专用，PKI/CA安全基础设施必须带密码，业务应用系统必须根本改变。

7、ISSE过程：工程过程、风险过程（一个有害事件由外部威胁、内部脆弱性和影响三个部分组成）和保证过程。

8、PKI（公钥基础设施）：以不对称秘钥加密技术为基础，以数据机密性、完整性、身份认证和行为不可抵赖性为安全目的，来实施和提供安全服务的具有普适性的安全基础设施，PKI的基本构件包括：

①数字证书：由认证机构经过数字签名后发给网上信息交易主体的一段电子文档校验对方的身份真伪，保证交易信息的真实性、完整性、机密性和不可否认性。数字证书是PKI的基础；

②认证中心：CA是PKI的核心，由公正、权威、可信的第三方认证机构，负责数字证书的签发、撤销和生命周期的管理，还提供秘钥管理和证书在线查询等服务；

③数字证书注册审批机构：RA系统是CA的数字证书发放、管理的延伸；

④其它：数字签名、密钥和证书管理工具、双证书体系、PKI的体系架构、PKI信任服务体系、PKI密钥管理中心。

9、X.509证书标准：版本号、序列号、签名算法标识符、认证机构、有效期限、主题信息、认证机构的数字签名、公钥信息。

10、PKI/CA对数字证书的管理：按照数字证书的生命周期实施的，包括证书的安全需求确定、证书申请、证书登记、分发、审计、撤回和更新。

11、CA是一个受信任的机构，为了当前和以后的事务处理，CA给个人、计算机设备和组织机构颁发证书，以证实他们的身份，并为他们使用证书的一切行为提供信誉的担保。

12、PMI即权限管理基础设施或授权管理基础设施。PMI授权技术的核心思想是以资源管理为核心，将对资源的访问控制权统一交由授权机构进行管理，即由资源的所有者来进行访问控制管理。

13、PMI与PKI的区别：PMI主要进行授权管理，证明这个用户有什么权限，能干什么；PKI主要进行身份鉴别，证明用户身份。

14、访问控制的基本概念：信息安全保证机制的核心内容之一。访问控制是为了限制访问主体对访问客体的访问权限，从而使计算机信息应用系统在合法范围内使用；访问控制机制决定用户以及代表一定用户利益的程序能做什么及做到什么程度，有两个重要过程：

①认证过程：通过“鉴别”来检验主体的合法身份；

②授权管理：通过“授权”那赋予用户对某项资源的访问权限。

15、访问控制机制分类：强制访问控制（MAC，用户不能改变他们的安全级别或对象的安全属性）和自主访问控制（DAC-允许对象的属主来制定针对该对象的保护策略，那限定哪些主体针对哪些客体可以执行什么操作）。

16、访问控制的应用：有以下4种：

①DAC，自主访问控制方式：针对每个用户指明能够访问的资源，对不在指定资源列表总的对象不允许访问；

②ACL，访问控制列表方式：目标资源拥有访问权限列表，指明允许哪些用户访问；

③MAC，强制访问控制方式：目标具有一个包含等级的安全标签（不保密、限制、秘密、机密等）；访问者拥有包含等级列表的许可，其中定义了可以单温哪个级别的目标。多用于军事和安全部门；

④RBAC，基于角色的访问控制方式：首先定义一些组织内的角色，如局长、科长、职员；再根据管理规定给这些角色分配相应的权限，最后对组织内的每个人根据具体业务和职位分配一个或多个角色。

17、安全审计：记录、审查主体对客体进行访问和使用情况，保证安全规则被正确执行，并帮助分析安全事故产生的原因。

①安全审计的内容：采用网络监控与入侵防护系统，识别网络各种违规操作与攻击行为，即时相应并进行阻断；对信息内容和业务流程进行审计，可以防止内部机密或敏感信息的非法泄露和单位资产的流失。

②信息安全审计系统就是业务应用信息系统的“黑匣子”。即使在整个系统遭到灭顶之灾的破坏后，“黑匣子”也能安然无恙，并确切记录破坏系统的各种痕迹和“现场记录”。

③信息安全审计系统就是业务应用信息系统的“黑匣子监护神”。随时对一切现行的犯罪行为、违法行为进行监视、追踪、抓捕，同时对暗藏的、隐患的犯罪倾向、违法迹象进行“堵漏”、铲除。

④安全审计的作用：对潜在的攻击者起到震慑或警告作用；对于已经发生的系统破坏行为提供有效的追究证据；为系统安全管理员提供有价值的系统使用日志，从而帮助系统安全管理员及时发现系统入侵行为或潜在的系统漏洞；为系统安全管理员提供系统运行的统计日志，使系统安全管理员能够发现系统性能上的不足或需要改进与加强的地方。

⑤安全审计功能：CC标准将安全审计功能分为6个部分：

a、安全审计自动响应功能：定义被测事件指示出一个潜在的安全攻击时做出的响应，他是管理审计事件的需要，这些需要包括报警或行动；

b、安全审计数据生成功能：要求记录与安全相关的事件的出现，包括鉴别审计层次、列举可被审计的事件类型，以及鉴别由各种审计记录类型提供的相关审计信息的最小集合；

c、安全审计分析功能：定义了分析系统和审计数据来寻找可能的或真正的安全违规操作（分为潜在攻击分析、基于模板的异常检测、简单攻击试探、复杂攻击试探）；

d、安全审计浏览功能：要求审计系统能够给使授权的用户有效地浏览审计数据，包括审计浏览、有限审计浏览、可选审计浏览。

e、安全审计事件选择功能：要求系统管理员能够维护、检查或修改审计事件的集合；

f、安全审计事件存储功能：要求审计系统将提供控制措施，以防止由于资源不可用丢失审计数据。

18、重要应用系统运行情况审计：包括基于主机操作系统代理、基于应用系统代理、基于应用系统独立程序、基于网络旁路监控方式。

19、分布式审计系统：由审计中心（对整个审计系统的数据进行集中存储和管理）、审计控制台（提供给管理员用于对审计数据进行查阅）和审计Agent（直接同被审计网络和系统连接的部件，不同的审计Agent完成不同的功能）组成。