怎样实现信息安全？
发布网友
发布时间：2022-04-22 05:46
共2个回答
热心网友
时间：2024-02-22 19:54
为了消减信息和信息系统面临的众多风险，满足既定的信息安全需求，人们能想到的最直接做法，就是选择并使用各种能够解决信息安全问题的技术和产品。
与信息安全的发展历程一样，信息安全技术在不同的阶段也表现出不同的特点。在通信安全阶段，针对数据通信的保密性需求，人们对密码学理论和技术的研究及应用逐渐成熟了起来。随着计算机和网络技术的急遽发展，信息安全阶段的技术要求集中表现为ISO 7498-2 标准中陈述的各种安全机制上面，这些安全机制的共同特点就是对信息系统的保密性、完整性和可用性进行静态的防护。到了互联网遍布全球的时期，以IATF（信息保障技术框架）为代表的标准规范为我们勾画出了更全面更广泛的信息安全技术框架，这时的信息安全技术，已经不再是以单一的防护为主了，而是结合了防护、检测、响应和恢复这几个关键环节在一起的动态发展的完整体系。归纳起来，典型的信息安全技术包括：
1).物理安全技术：环境安全、设备安全、媒体安全；
2).系统安全技术：操作系统及数据库系统的安全性；
3).网络安全技术：网络隔离、访问控制、VPN、入侵检测、扫描评估；
4).应用安全技术：Email 安全、Web 访问安全、内容过滤、应用系统安全；
5).数据加密技术：硬件和软件加密，实现身份认证和数据信息的CIA 特性；
6).认证授权技术：口令认证、SSO 认证（例如Kerberos）、证书认证等；
7).访问控制技术：防火墙、访问控制列表等；
8).审计跟踪技术：入侵检测、日志审计、辨析取证；
9).防病毒技术：单机防病毒技术逐渐发展成整体防病毒体系；
10).灾难恢复和备份技术：业务连续性技术，前提就是对数据的备份。
解决信息及信息系统的安全问题不能只局限于技术，更重要的还在于管理。安全技术只是信息安全控制的手段，要让安全技术发挥应有的作用，必然要有适当的管理程序的支持，否则，安全技术只能趋于僵化和失败。如果说安全技术是信息安全的构筑材料，那信息安全管理就是真正的粘合剂和催化剂，只有将有效的安全管理从始至终贯彻落实于安全建设的方方面面，信息安全的长期性和稳定性才能有所保证。
现实世界里大多数安全事件的发生和安全隐患的存在，与其说是技术上的原因，不如说是管理不善造成的，理解并重视管理对于信息安全的关键作用，对于真正实现信息安全目标来说尤其重要。我们常说，信息安全是三分技术七分管理，可见管理对于信息安全的重要性。
从概念上讲，信息安全管理（Information Security Management）作为组织完整的管理体系中一个重要的环节，构成了信息安全具有能动性的部分，是指导和控制组织的关于信息安全风险的相互协调的活动，其针对对象就是组织的信息资产。
安全管理牵涉到组织的信息评估、开发和文档化，以及对实现保密性、完整性和可用性目标的策略、标准、程序及指南的实施。安全管理要求识别威胁、分类资产，并依据脆弱性分级来有效实施安全控制。
同其他管理问题一样，安全管理也要解决组织、制度和人员这三方面的问题，具体来说就是：建设信息安全管理的组织机构并明确责任，建立健全的安全管理制度体系，加强人员的安全意识并进行安全培训和教育，只有这样，信息安全管理才能实现包括安全规划、风险管理、应急计划、意识培训、安全评估、安全认证等多方面的内容。
应该注意的是，人们对信息安全管理的认识是在信息安全技术之后才逐渐深入和发展起来的，关于信息安全管理的标准和规范也没有安全技术那么众多，最有代表性的，就是BS 7799 和ISO 13335。
热心网友
时间：2024-02-22 19:54
我觉得应该从三个角度去实现：网民、企业、国家。
网民们、企业：
安全防范意识薄弱：网民、企业的网络安全防范意识薄弱是信息安全不断受威胁的重要原因。目前，网民和企业虽有一定的认知网络安全知识，但却没能将其有效转化为安全防范意识，更少落实在网络行为上。很少能做到未雨绸缪，经常是待到网络安全事故发生了，已造成巨大财产损失才会去想到要落实、安装网络安全管理这些安全防护系统。
2. 国家：
（1）网络立法不完善：中国在网络社会的立法并不完善且层级不高。一些专家指出，中国还没有形成使用成熟的网络社会法理原则，网络法律仍然沿用或套用物理世界的法理逻辑。在信息安全立法上，缺乏统一的立法规划，现有立法层次较低，以部门规章为主，立法之间协调性和相通性不够，缺乏系统性和全面性。
（2）核心技术的缺失
无论是PC端还是移动端，中国都大量使用美国操作系统。中国在PC时代被微软垄断的局面，在移动互联网时代又被另一家美国巨头谷歌复制。由于操作系统掌握最底层、最核心的权限，如果美国意图利用在操作系统上的优势窃取中国信息，犹如探囊取物。
所以只有三管齐下才能做好信息安全！
（1）首先应运用媒体、教育的方式提高广大网民的网络安全防范意识，再者国家应加快完善我国网络立法制度。值得高兴的是：为确保国家的安全性和核心系统的可控性，国家*发布网络设备安全审查制度，规定重点应用部门需采购和使用通过安全审查的产品。
（2）但是作为网络攻击的主要受害国，不能只依靠网络安全审查制度，须从根本上提升中国网络安全自我防护能力，用自主可控的国产软硬件和服务来替代进口产品。因国情，所以一时间要自主研发出和大面积的普及高端服务器等核心硬件设备和操作系统软件也是不可能。
（3）所以现在一些企事业、*单位已大面积的开始部署国产信息化网络安全管理设备，如像UniNAC网络准入控制、数据防泄露这类网络安全管理监控系统等等。用这类管理系统，达到对各个终端的安全状态，对重要级敏感数据的访问行为、传播进行有效监控，及时发现违反安全策略的事件并实时告警、记录、进行安全事件定位分析，准确掌握网络系统的安全状态的作用。确保我们的网络安全。
