|
|
|
信息安全是指信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。信息安全从信息资源的角度可以定义成：为了防止意外或人为地破坏信息系统的正常运行或利用不正当手段使用信息资源，而对信息系统采取的安全保护措施。
|
|
|
|
|
|
信息安全的基本要素包括真实性、机密性、完整性、可用性、不可抵赖性、可控性和可审查性。
|
|
|
|
（1）真实性：对信息的来源进行判断，能对伪造来源的信息予以鉴别；
|
|
|
|
（2）机密性：确保信息不暴露给未授权的实体或进程；
|
|
|
|
（3）完整性：保证数据的一致性，防止数据被非法用户篡改；
|
|
|
|
（4）可用性：保证合法用户对信息和资源的使用不会被不正当地拒绝；
|
|
|
|
（5）不可抵赖性：建立有效的责任机制，防止用户否认其行为，这一点在电子商务中是极为重要的；
|
|
|
|
（6）可控性：可以控制授权范围的信息内容、流向和行为方式；
|
|
|
|
（7）可审查性：为出现的网络安全问题提供调查的依据和手段。
|
|
|
|
|
|
（1）实体安全。实体安全就是计算机设备、设施（含网络）以及其他媒体免遭地震、水灾、火灾、有害气体和其他环境事故破坏的措施和过程。包括环境安全、设备安全、媒体安全三个方面。
|
|
|
|
（2）运行安全。运行安全就是保障信息处理过程的安全性。
|
|
|
|
（3）信息资产安全。是指防止文件、数据、程序等信息资产被恶意非授权泄漏、更改、破坏或被非法控制，确保信息的完整性、保密性、可用性和可控性。信息资产安全主要包括操作系统安全、数据库安全、网络安全、病毒防护、访问控制、加密和鉴别7个方面。
|
|
|
|
（4）人员安全。主要是指信息系统使用人员的安全意识、法律意识、安全技能等。
|
|
|
|
|
|
按照国家标准（GB 17859—1999），计算机信息系统安全保护划分为5个等级。
|
|
|
|
第一级：用户自主保护级。通过隔离用户与数据，使用户具备自主安全保护能力。向用户提供可执行的手段，保护用户和用户组信息，避免其他用户对数据的非法读写与破坏。
|
|
|
|
第二级：系统审计保护级。通过登录规程、审计安全性相关事件和隔离资源，使用户对自己行为负责。
|
|
|
|
第三级：安全标记保护级。提供有关安全策略模型、数据标记，以及主体对客体强制访问控制的非形式化描述，具有准确地标记输出信息的功能，消除通过测试发现的任何错误。
|
|
|
|
第四级：结构化保护级。将访问控制的粒度控制在单个用户，做到只有授权用户才能对该客体实施所授权的访问，而阻止那些非授权的用户对该客体进行任何访问，也阻止授权用户以非授权的操作形式对该客体进行访问。本级还要求自主访问控制能与身份鉴别和审计相结合。
|
|
|
|
第五级：访问验证保护级。通过确认用户身份的真实性和记录用户的各种成功或不成功的访问，使用户对自己的行为承担明确的责任。
|
|
|
