网络信息安全概述

这是一篇关于网络信息安全概述的思维导图，主要内容包括：网络信息安全基础，网络信息安全基本属性，网络信息安全目标与功能，网络信息安全技术需求，网络信息安全管理，网络信息安全管理要素，网络信息安全管理流程，网络信息安全法律与政策，网络产品和服务安全审查办法，国家密码管理制度，网络安全等级保护，网络信息安全部门，网络信息安全术语。

网络信息安全概述

• 网络信息安全基础
  • 网络安全基本概念
    • 狭义网络安全
      • 网络信息系统组成要素符合安全属性，包括机密性、完整性、可用性、抗抵赖性、可控性
    • 广义网络安全
      • 涉及国家安全、城市安全、经济安全、社会安全、生产安全、人身安全等大安全
  • 网络安全三大发展趋势
    • 对象内容
      • 从单维度向多维度转变，保障网络空间域、物理空间域、社会空间域
    • 理念方法
      • 从单一性（技术）向综合性（法律、政策、技术、管理、产业、教育）转变
    • 持续时间
      • 覆盖网络系统的整个生命周期，响应速度要求不断缩短，无战时、平时之分
  • 网络安全12大问题
    • 网络强依赖性及安全关联风险
    • 网络信息产品供应链与安全质量风险
    • 技术同质性与技术滥用风险
    • 网络安全建设与管理发展不平衡、不充分风险
    • 网络数据安全风险
    • 高级持续威胁风险
    • 恶意代码风险
    • 软件代码和安全漏洞风险
    • 人员的网络安全意识风险
    • 网络信息技术复杂性和运营安全风险
    • 网络地下黑产经济风险
    • 网络间谍与网络战风险
• 网络信息安全基本属性
  • CIA特性
    • 机密性
      • 防止非授权者获取信息，如窃听-加密
    • 完整性
      • 防止信息未经授权被更改，如修改HASH/签名
    • 可用性
      • 合法用户能够及时获取信息或服务，如DOS-冗余/清洗
  • 其他特性
    • 抗抵赖性
      • 防止网络信息系统相关用户否认其活动行为，如数字签名
    • 可控性
      • 信息系统责任主体对系统具有管理、支配能力
    • 真实性、时效性、合规性、公平性、可靠性、可生存性、隐私性
      • 分别指网络空间信息与实际物理空间、社会空间的客观事实一致性等其他特性要求
• 网络信息安全目标与功能
  • 网络信息安全目标
    • 宏观目标
      • 满足国家安全需求特性，符合国家法律法规政策要求
    • 微观目标
      • 具体安全要求，如保证网络信息系统免受网络安全威胁
  • 网络信息安全基本功能
    • 防御
      • 采取各种手段和措施阻止、抵御已知网络安全威胁
    • 监测
      • 检测、发现已知或未知的网络安全威胁
    • 应急
      • 针对网络系统中的突发事件，及时响应和处置网络攻击
    • 恢复
      • 针对已经发生的网络灾害事件，恢复网络系统运行
• 网络信息安全技术需求
  • 物理环境安全
    • 环境、设备和记录介质的总体安全是网络系统安全、可靠、不间断运行的基本保证
  • 认证访问控制
    • 限制非法用户获取或使用网络资源，防止合法用户滥用权限
  • 网络安全保密
    • 防止非授权用户访问网上信息或网络设备
  • 漏洞扫描
    • 监测系统是否存在安全漏洞，以便及时修补
  • 恶意代码防护
    • 防止恶意代码通过邮件、文件共享等方式进入个人计算机或服务器
  • 内容安全
    • 保证相关网络信息系统承载的信息及数据符合法律法规要求
  • 安全监测与预警
    • 发现网络系统入侵活动和检查安全保护措施的有效性
  • 应急响应
    • 采取措施保证网络系统正常运转，对网络攻击行为进行电子取证
• 网络信息安全管理
  • 安全管理内容
    • 对网络资产采取合适的安全措施，确保网络资产的可用性、完整性、可控性和抗抵赖性
  • 管理方法
    • 包括风险管理、等级保护、纵深防御、层次化保护、应急响应以及PDCA方法等
  • 管理工具
    • 包括SOC、T资产管理系统、态势感知系统、漏扫、协议分析器、上网行为管理等
  • 等保评测
    • 通过技术+管理综合评估，保障系统安全
  • 安全评估
    • 包括信息安全管理体系认证(SMS)、系统安全工程能力成熟度模型(SSE-CMM)等
• 网络信息安全管理要素
  • 网络管理对象、网络威胁、网络脆弱性、网络风险、网络保护措施
  • 风险控制
    • 包括避免风险、转移风险、减少威胁、消除脆弱点、减少威胁的影响、风险监测
• 网络信息安全管理流程
  • 确定网络信息安全管理对象、评估价值、识别威胁、识别脆弱性、确定风险级别、制定防范体系及措施、实施防范措施、运行/维护管理设备、配置
• 网络信息安全法律与政策
  • 法律与政策文件
    • 涉及国家安全、网络安全战略、网络安全保护制度、密码管理、技术产品、域名服务、数据保护、安全测评等
  • 《中华人民共和国国家安全法》
    • 2015年7月1日通过并公布实施
  • 《中华人民共和国网络安全法》
    • 2016年11月7日通过，2017年6月1日起施行
  • 其他相关法律
    • 包括《网络安全等级保护2.0》、《中华人民共和国密码法》、《中华人民共和国数据安全法》等
• 网络产品和服务安全审查办法
  • 评估采购的产品和服务可能带来的国家安全风险
  • 产品和服务使用后带来的风险
    • 包括关键信息基础设施被非法控制、遭受干扰或破坏，以及重要数据被窃取、泄露、毁损的风险等
  • 安全审查技术与认证中心
    • 负责实施网络安全审查和认证的专门机构
• 国家密码管理制度
  • 国家密码管理相关法律政策
    • 包括《中华人民共和国密码法》、《商用密码管理条例》等
• 网络安全等级保护
  • 定级、备案、建设整改、等级测评、运营维护
• 网络信息安全部门
  • 中国网络安全审查技术与认证中心
    • 负责实施网络安全审查和认证的专门机构
  • 域名服务
    • 网络基础服务，涉及域名根服务器运行和管理、顶级域名运行和管理、域名注册、域名解析等
  • 国家计算机网络应急技术处理协调中心
    • 负责互联网网络安全事件的预防、发现、预警和协调处置等工作
  • 网络信息安全科技信息获取来源
    • 包括网络安全会议、期刊、网站、术语等
  • 网络信息安全领域四大顶级学术会议
    • 包括S&P, CCS, NDSS, USENIX Security
• 网络信息安全术语
  • 分类内容
    • 基础技术类、风险评估技术类、防护技术类、检测技术类、响应恢复技术类、测评技术类等