安全管理学习笔记

安全管理是管理科学的一个重要分支，它是为实现安全目标而进行的有关决策、计划、组织和控制等方面的活动。本图内容涵盖了安全策略、信息安全系统工程、PKI公开密钥基础设施、PMI权限管理基础设施。

安全管理

• 安全策略
  • 核心内容：七定
    • 定方案
    • 定岗
    • 定位
    • 定员
    • 定目标
    • 定制度
    • 定工作流程
  • 5个安全保护等级
    • 用户自主保护级
      • 普通内联网用户
    • 系统审计保护级
      • 通过内联网或国际网进行商务活动，需要保密的非重要单位
    • 安全标记保护级
      • 地方各国家机关、金融、邮电、能源、交通、大企业、重点工程
    • 结构化保护级
      • 中央级国家机关、广电、物资储备、应急、监管科技、国家重点科研、国防建设
    • 访问控制保护级
      • 国防关键部门、特殊隔离单位
  • 两个定级要素
    • 受侵害的客体
    • 对客体的侵害程度
• 信息安全系统工程
  • 信息系统工程
    • 信息安全系统工程
    • 业务应用系统工程
    • 独立且不可分割
  • 三维模型
    • 三轴
      • X
        • 安全机制
      • Y
        • OSI网络参考模型
      • Z
        • 安全服务
    • 安全空间五大属性
      • 认证、权限、完整、加密、不可否认
    • 安全服务
      • 对等实体认证服务
        • 两个系统数据传输时
      • 数据保密服务
      • 数据完整性服务
      • 数据源点认证服务
      • 禁止否认服务
      • 犯罪证据提供服务
    • 图
  • 信息安全系统架构体系
    • MIS+S
      • 初级信息安全保障系统 基本信息安全保障系统
        • 业务应用系统基本不变
        • 硬件和系统软件通用
        • 安全设备基本不带密码
    • S-MIS
      • 标准信息安全保障系统
        • 硬件和软件系统通用
        • PKI/CA安全保障系统必须带密码
        • 业务应用系统必须根本改变
        • 主要通用软硬件需要通过PKI/CA认证
    • S²-MIS
      • 超安全的信息安全保障系统
        • 硬件和软件系统专用
        • PKI/CA安全保障系统必须带密码
        • 业务应用系统必须根本改变
• PKI公开密钥基础设施
  • 基本概念
    • 公钥基础设施PKI
    • 数字证书
    • 认证中心
• PMI权限管理基础设施
  • PMI与 PKI区别
    • PMI
      • 授权管理
        • 你能做什么
    • PKI
      • 身份鉴别
        • 你是谁
  • PMI支撑体系
    • DAC自主访问控制
      • 定义用户可以访问的资源
    • ACL访问控制列表
      • 定义资源可以被那些用户访问
    • MAC强制访问控制
      • 设置包含等级的安全标签，不保密、秘密、机密、绝密
    • RBAC基于角色的访问控制
      • 先定义角色，再给角色分配权限