免费智能真题库 > 历年试卷 > 信息系统项目管理师 > 2013年上半年 信息系统项目管理师 上午试卷 综合知识
  第14题      
  知识点:   信息安全系统和安全体系   安全服务   宏观   信息安全   信息安全保障系统
  关键词:   OSI   安全服务   三维   网络   信息安全   OS   安全        章/节:   信息安全系统工程       

 
信息安全保障系统可以用一个宏观的三维空间来表示,第一维是OSI网络参考模型,第二维是安全机制,第三维是安全服务,该安全空间的五个要素分别是(14)。
 
 
  A.  应用层、传输层、网络层、数据链路层和物理层
 
  B.  基础设施安全、平台安全、数据安全、通信安全和应用安全
 
  C.  对等实体服务、访问控制服务、数据保密服务、数据完整性服务和物理安全服务
 
  D.  认证、权限、完整、加密和不可否认
 
 
 

 
  第9题    2008年下半年  
   42%
安全管理是信息系统安全能动性的组成部分,它贯穿于信息系统规划、设计、运行和维护的各阶段。安全管理中的介质安全属于(9) 。
  第52题    2021年下半年  
   63%
信息安全系统工程将信息安全系统工程的实施过程分为工程过程,( )保证过程三个基本的部分。
  第53题    2021年下半年  
   55%
目标资源具有一个等级的安全标签,访问者拥有包含等级列表的许可,其中定义可以访问哪个等级的目标,该模型属于()。
   知识点讲解    
   · 信息安全系统和安全体系    · 安全服务    · 宏观    · 信息安全    · 信息安全保障系统
 
       信息安全系统和安全体系
        信息安全系统三维空间
        信息安全系统的三维空间中,X轴是“安全机制”,Y轴是“OSI网络参考模型”,Z轴是“安全服务”。
        安全空间的5大属性,即安全五要素为认证、权限、完整、加密和不可否认。
        1.OSI网络参考模型
        OSI七层结构从上到下分别为:
        .应用层:向应用程序提供服务。
        .表示层:为不同的用户端提供数据和信息的语法转换内码。
        .会话层:建立和维持会话,并能使会话获得同步。
        .传输层:源端到目的端对数据传送进行控制。
        .网络层:建立网络连接和为上层提供服务。
        .数据链路层:为网络层提供数据传送服务。
        .物理层:定义了所有电子及物理设备的规范,传输透明比特流。
        
        2.安全机制
        安全机制体系包括:
        .基础设施实体安全:机房、场地、设施、动力系统等的安全,灾难预防与恢复。
        .平台安全:操作系统、网络基础设施、通用基础应用程序的漏洞检测与修复以及网络安全产品部署。
        .数据安全:介质与载体安全保护、数据访问控制、数据完整性和可用性、数据监控和审计以及数据存储与备份安全。
        .通信安全:通信线路和网络基础设施的安全、网络协议安全、通信加密软件等。
        .应用安全:业务软件的安全性,业务资源的访问,业务数据的保密性、一致性,业务系统的可靠性、可用性等。
        .运行安全:应急处理机制、网络安全产品运行监测等。
        .管理安全:人员管理、培训管理、应用系统管理、软件管理、设备管理等。
        .授权和审计安全:向用户和应用程序提供权限管理和授权服务以及进行安全方面的审计。
        .安全防范体系:可发挥预警、保护、检测、反应、恢复和反击6项能力。
        3.安全服务
        安全服务包括:
        .对等实体认证服务:用于两个开放系统同等层中的实体建立链接或数据传输时,对对方实体的合法性、真实性进行确认,以防假冒。
        .数据保密服务:可提供链接方式和无链接方式两种数据保密,同时也可对用户可选字段的数据进行保护。
        .数据完整性服务:用以防止非法实体对交换数据的修改、插入、删除以及在数据交换过程中的数据丢失。
        .数据源点认证服务:用于确保数据发自真正的源点,防止假冒。
        .禁止否认服务:防止发送方在发送数据后否认自己发送过此数据,接收方在收到数据后否认自己收到过此数据或伪造接收数据,由不得否认发送和不得否认接收两种服务组成。
        .犯罪证据提供服务:审计及使用历史数据进行取证、分析。
        4.安全技术
        安全技术包括:
        .加密技术:确保数据安全性的基本方法。
        .数字签名技术:确保数据真实性的基本方法,数字签名具有解决收发双方纠纷的能力。
        .访问控制技术:按事先确定的规则决定主体对客体的访问是否合法。
        .数据完整性技术:通过纠错编码和差错控制来应对信道干扰,通过报文认证来应对非法入侵者的主动攻击,通过病毒实时监测来应对计算机病毒。
        .认证技术:计算机网络中的认证主要有站点认证、报文认证、用户和进程认证等。多数认证过程采用密码技术和数字签名技术。
        .数据挖掘技术:是及早发现隐患、将犯罪扼杀在萌芽阶段并及时修补不健全的安全防范体系的重要技术。
        信息安全系统架构体系
        信息安全保障系统有3种不同的架构:MIS+S系统、S-MIS系统和S2-MIS系统。
        1.MIS+S系统
        MIS+S系统也称为“初级信息安全保障系统”或“基本信息安全保障系统”。这种系统的特点如下:
        .业务应用系统基本不变。
        .硬件和系统软件通用。
        .安全设备基本不带密码。
        2.S-MIS系统
        S-MIS系统也称为“标准信息安全保障系统”,它是建立在世界公认的PKI/CA标准的信息安全基础设施上的。这种系统的特点如下:
        .硬件和系统软件通用。
        .PKI/CA安全保障系统必须带密码。
        .业务应用系统必须根本改变。业务应用系统是必须按照PKI/CA的标准重新编制的“全新”的安全业务应用信息系统。
        .主要的通用硬件、软件也要通过PKI/CA认证。
        3.S2-MIS系统
        S2-MIS系统也称为“超安全的信息安全保障系统”,它是建立在“绝对”安全的信息安全基础设施上的,不仅使用世界公认的PKI/CA标准,同时硬件和系统软件都使用专有的安全产品。这种系统的特点如下:
        .硬件和系统软件都专用。
        .PKI/CA安全保障系统必须带密码。
        .业务应用系统必须根本改变。
        .主要的通用硬件、软件要通过PKI/CA认证。
        信息安全保障系统定义
        信息安全保障系统是一个在网络上集成各种硬件、软件和密码设备,以保障其他业务应用系统正常运行的专用的信息应用系统,以及与之相关的岗位、人员、策略、制度和规程的总和。
        信息安全保障系统是业务应用信息系统成熟发展到一定阶段的必然结果。信息安全保障系统的核心就是保证信息、数据的安全。
        按照信息安全保障的定义,对MIS+S、S-MIS和S2-MIS体系结构的理解有:
        .MIS+S是一个初步的、低级的信息安全保障系统,它是在已有的业务应用信息系统基础不变的情况下,为防止病毒、黑客等增加一些安全措施和安全防范设备,如防火墙、防病毒、物力隔离卡、网闸、漏洞扫描、黑客防范、动态口令卡和VPN等。这些只能在局部或某个方面提高业务应用信息系统的安全强度,但不能从根本上解决业务应用信息系统的安全问题,尤其不能胜任电子商务、电子政务等实际需要解决的安全问题。
        .S-MIS将业务应用信息系统直接建立在PKI/CA的安全基础设施上,并且主要的硬件和系统软件需要PKI/CA认证。借助PKI/CA安全基础设施,业务应用信息系统能真正“以我为主”、“以安全为主”掌控计算机的硬件、系统软件、人员、数据和应用系统的方方面面。再加上与MIS+S同样的外围安全措施和安全防范设备,获得从里到外的安全保护,因此成为标准的业务应用信息系统的信息安全保障系统。
        .S2-MIS基本与S-MIS相同,只是系统硬件和系统软件都是专用的,从而增加了整个系统的安全强度。
 
       安全服务
        安全服务是指计算机网络提供的安全防护措施,包括认证服务、访问控制、数据机密性服务、数据完整性服务、不可否认服务。
        (1)认证服务:确保某个实体身份的可靠性,可分为两种类型。一种类型是认证实体本身的身份,确保其真实性,称为实体认证。实体的身份一旦获得确认就可以和访问控制表中的权限关联起来,决定是否有权进行访问。口令认证是实体认证中一种最常见的方式。另一种认证是证明某个信息是否来自于某个特定的实体,这种认证叫做数据源认证。数据签名技术就是一例。
        (2)访问控制:防止对任何资源的非授权访问,确保只有经过授权的实体才能访问受保护的资源。
        (3)数据机密性服务:确保只有经过授权的实体才能理解受保护的信息。在信息安全中主要区分两种机密性服务:数据机密性服务和业务流机密性服务,数据机密性服务主要是采用加密手段使得攻击者即使窃取了加密的数据也很难分析出有用的信息;业务流机密性服务则要使监听者很难从网络流量的变化上分析出敏感信息。
        (4)数据完整性服务:防止对数据未授权的修改和破坏。完整性服务使消息的接收者能够发现消息是否被修改,是否被攻击者用假消息换掉。
        (5)不可否认服务:防止对数据源以及数据提交的否认。它有两种可能:数据发送的不可否认性和数据接收的不可否认性。这两种服务需要比较复杂的基础设施的支持,如数字签名技术。
 
       宏观
        从宏观上来看,信息系统项目风险可以分为项目风险、技术风险和商业风险。
        项目风险是指潜在的预算、进度、个人(包括人员和组织)、资源、用户和需求方面的问题,以及它们对软件项目的影响。项目复杂性、规模和结构的不确定性也构成项目的(估算)风险因素。项目风险威胁到项目计划,一旦项目风险成为现实,可能会拖延项目进度,增加项目的成本。
        技术风险是指潜在的设计、实现、接口、测试和维护方面的问题。此外,规格说明的多义性、技术上的不确定性、技术陈旧、最新技术(不成熟)也是风险因素。技术风险之所以出现是由于问题的解决比我们预想的要复杂,技术风险威胁到待开发软件的质量和预定的交付时间。如果技术风险成为现实,开发工作可能会变得很困难或根本不可能。
        商业风险威胁到待开发软件的生存能力。5种主要的商业风险是:
        (1)建立的软件虽然很优秀但不是市场真正所想要的(市场风险);
        (2)建立的软件不再符合公司的整个软件产品战略(策略风险);
        (3)建立了销售部门不清楚如何推销的软件(销售风险);
        (4)由于重点转移或人员变动而失去上级管理部门的支持(管理风险);
        (5)没有得到预算或人员上的保证(预算风险)。
 
       信息安全
        信息安全的5个基本要素为机密性、完整性、可用性、可控性和可审查性。
        (1)机密性。确保信息不暴露给未受权的实体或进程。
        (2)完整性。只有得到允许的人才能修改数据,并能够判别出数据是否已被篡改。
        (3)可用性。得到授权的实体在需要时可访问数据。
        (4)可控性。可以控制授权范围内的信息流向及行为方式。
        (5)可审查性。对出现的安全问题提供调查的依据和手段。
        随着信息交换的激增,安全威胁所造成的危害越来越受到重视,因此对信息保密的需求也从军事、政治和外交等领域迅速扩展到民用和商用领域。所谓安全威胁,是指某个人、物、事件对某一资源的机密性、完整性、可用性或合法性所造成的危害。某种攻击就是威胁的具体实现。安全威胁分为两类:故意(如黑客渗透)和偶然(如信息发往错误的地址)。
        典型的安全威胁举例如下表所示。
        
        典型的安全威胁
 
       信息安全保障系统
        在实施信息系统的安全保障系统时,应严格区分信息安全保障系统的3种不同体系结构,分别是MIS+S、S-MIS和S2-MIS。
        (1)MIS+S(Management Information System+Security)系统:为初级信息安全保障系统或基本信息安全保障系统,这种系统是初等的、简单的信息安全保障系统,该系统的特点是应用基本不变;硬件和系统软件通用;安全设备基本不带密码。
        (2)S-MIS(Security-Management Information System)系统:为标准信息安全保障系统,这种系统是建立在PKI/CA(Certificate Authority,认证中心)标准的信息安全保障系统,该系统的特点是硬件和系统软件通用;PKI/CA安全保障系统必须带密码;应用系统必须根本改变。
        (3)S2-MIS(Super Security-Management Information System)系统:为超安全的信息安全保障系统,这种系统是“绝对的”的安全的信息安全保障系统,不仅使用PKI/CA标准,同时硬件和系统软件都使用专用的安全产品。这种系统的特点是硬件和系统软件都专用;PKI/CA安全保障系统必须带密码;应用系统必须根本改变;主要的硬件和系统软件需要PKI/CA认证。
   题号导航      2013年上半年 信息系统项目管理师 上午试卷 综合知识   本试卷我的完整做题情况  
1 /
2 /
3 /
4 /
5 /
6 /
7 /
8 /
9 /
10 /
11 /
12 /
13 /
14 /
15 /
 
16 /
17 /
18 /
19 /
20 /
21 /
22 /
23 /
24 /
25 /
26 /
27 /
28 /
29 /
30 /
 
31 /
32 /
33 /
34 /
35 /
36 /
37 /
38 /
39 /
40 /
41 /
42 /
43 /
44 /
45 /
 
46 /
47 /
48 /
49 /
50 /
51 /
52 /
53 /
54 /
55 /
56 /
57 /
58 /
59 /
60 /
 
61 /
62 /
63 /
64 /
65 /
66 /
67 /
68 /
69 /
70 /
71 /
72 /
73 /
74 /
75 /
 
第14题    在手机中做本题