免费智能真题库 > 历年试卷 > 信息系统项目管理师 > 2010年下半年 信息系统项目管理师 上午试卷 综合知识
  第16题      
  知识点:   安全策略   信息安全
  关键词:   安全策略   信息安全   安全        章/节:   信息系统安全策略       

 
某单位在制定信息安全策略时采用的下述做法中,正确的是(16)。
 
 
  A.  该单位将安全目标定位为“系统永远不停机、数据永远不丢失、网络永远不瘫痪、信息永远不泄密”
 
  B.  该单位采用了类似单位的安全风险评估结果来确定本单位的信息安全保护等级
 
  C.  该单位的安全策略由单位授权完成制定,并经过单位的全员讨论修订
 
  D.  该单位为减小未经授权的修改、滥用信息或服务的机会,对特定职责和责任领域的管理和执行功能实施职责合并。
 
 
 

 
  第17题    2012年下半年  
   49%
我国强制性国家标准《计算机信息安全保护等级划分准则》将计算机信息系统分为5个安全保护等级,其中适用于地方各级国家机关、金融..
  第63题    2020年下半年  
   42%
按照系统安全策略“七定”要求,系统安全策略首先要( )。
  第16题    2016年上半年  
   22%
在信息系统安全保护中,依据安全策略控制用户对文件、数据库表等客体的访问属于(16)安全管理。
   知识点讲解    
   · 安全策略    · 信息安全
 
       安全策略
        安全策略概述
        安全策略是指人们对由于使用计算机业务应用系统而可能导致企业资产损失而进行保护的各种措施、手段,以及建立的各种管理制度、法规等。
        安全策略的核心内容就是“七定”:定方案、定岗、定位、定员、定目标、定制度、定工作流程。
        安全策略具有科学性、严肃性、非二义性和可操作性。
        建立安全策略需要处理好的关系
        1.安全与应用相互依存
        安全与应用既矛盾,又相互依存。没有应用,就不会产生相应的安全需求等问题;不妥善地解决安全问题,就不能更好地开展应用。另外,安全是有代价的,会增加系统建设和运行的费用,会规定对使用的限制,给应用带来一些不便。
        2.风险度的观点
        安全是相对的,是一个风险大小的问题。它是一个动态过程,我们不能一厢情愿地追求所谓绝对安全,而是要将安全风险控制在合理程度或允许的范围内。
        3.适度安全的观点
        安全风险与安全代价相对应,需要经过风险评估后对风险和代价进行均衡,有效控制两者的平衡点,既能保证安全风险的有效控制,又使安全的代价可以接受。
        4.木桶效应观点
        安全就好比木桶的短板,应关注于安全。
        5.安全等级保护
        国家标准《计算机信息安全保护等级划分准则》将计算机信息系统分为以下5个安全保护等级:
        .用户自主保护级:适用于普通内联网用户。
        .系统审计保护级:适用于通过内联网或国际网进行商业活动,需要保密的非重要单位。
        .安全标记保护级:适用于地方各级国家机关、金融单位机构、邮电通信、能源与水源供给部门、交通运输、大型工商与信息技术企业、重点工程建设等单位。
        .结构化保护级:适用于中央级国家机关、广播电视部门、重要物资储备单位、社会应急服务部门、尖端科技企业集团、国家重点科研单位机构和国防建设等部门。
        .访问验证保护级:适用于国防关键部门和依法需要对计算机信息系统实施特殊隔离的单位。
        建立安全策略的设计原则
        建立安全策略的设计原则是在决策之前需要清理头绪,抓住“关键环节”。
        信息系统安全管理的8个总原则:
        .主要领导人负责原则
        .规范定级原则
        .依法行政原则
        .以人为本原则
        .注重效费比原则
        .全面防范、突出重点原则
        .系统、动态原则
        .特殊的安全管理原则
        信息系统安全管理的10个特殊原则是:
        .分权制衡原则
        .最小特权原则
        .标准化原则
        .失效保护原则
        .普遍参与原则
        .职责分离原则
        .审计独立原则
        .控制社会影响原则
        .保护资源和效率原则
        系统安全方案
        全局性的系统方案直接影响到信息系统安全实施与效果。因此,从信息安全考虑,确定一个有利于信息安全的系统组成方案是十分必要的。与系统安全方案有关的系统组成因素包括:
        .主要硬件设备的选型。
        .操作系统和数据库的选型。
        .网络拓扑结构的选型。
        .数据存储方案和存储设备的选型。
        .安全设备的选型。
        .应用软件开发平台的选型。
        .应用软件系统结构的选型。
        .供货商和集成商的选择。
        .业务运营与安全管理的职责划分。
        .应急处理方案的确定以及人员的落实。
        确定系统安全方案主要包括如下内容:
        .首先确定采用MIS+S、S-MIS或S2-MIS体系架构。
        .确定业务和数据存储方案。
        .确定网络拓扑结构。
        .基础安全设施和主要安全设备的选型。
        .业务应用系统安全级别确定。
        .系统资金和人员投入的档次。
        系统安全策略内容
        安全策略的核心内容为“七定”,安全策略种类包括:
        .机房设备安全管理策略。
        .主机和操作系统管理策略。
        .网络和数据库管理策略。
        .应用和输入输出管理策略。
        .应用开发管理策略。
        .应急事故管理策略。
        .密码和安全设备管理策略。
        .信息审计管理策略等。
 
       信息安全
        信息安全的5个基本要素为机密性、完整性、可用性、可控性和可审查性。
        (1)机密性。确保信息不暴露给未受权的实体或进程。
        (2)完整性。只有得到允许的人才能修改数据,并能够判别出数据是否已被篡改。
        (3)可用性。得到授权的实体在需要时可访问数据。
        (4)可控性。可以控制授权范围内的信息流向及行为方式。
        (5)可审查性。对出现的安全问题提供调查的依据和手段。
        随着信息交换的激增,安全威胁所造成的危害越来越受到重视,因此对信息保密的需求也从军事、政治和外交等领域迅速扩展到民用和商用领域。所谓安全威胁,是指某个人、物、事件对某一资源的机密性、完整性、可用性或合法性所造成的危害。某种攻击就是威胁的具体实现。安全威胁分为两类:故意(如黑客渗透)和偶然(如信息发往错误的地址)。
        典型的安全威胁举例如下表所示。
        
        典型的安全威胁
   题号导航      2010年下半年 信息系统项目管理师 上午试卷 综合知识   本试卷我的完整做题情况  
1 /
2 /
3 /
4 /
5 /
6 /
7 /
8 /
9 /
10 /
11 /
12 /
13 /
14 /
15 /
 
16 /
17 /
18 /
19 /
20 /
21 /
22 /
23 /
24 /
25 /
26 /
27 /
28 /
29 /
30 /
 
31 /
32 /
33 /
34 /
35 /
36 /
37 /
38 /
39 /
40 /
41 /
42 /
43 /
44 /
45 /
 
46 /
47 /
48 /
49 /
50 /
51 /
52 /
53 /
54 /
55 /
56 /
57 /
58 /
59 /
60 /
 
61 /
62 /
63 /
64 /
65 /
66 /
67 /
68 /
69 /
70 /
71 /
72 /
73 /
74 /
75 /
 
第16题    在手机中做本题