信息安全风险解决方案

1信息安全架构概述

我国的信息安全架构是我国信息安全领域有关部门和专家学者经过多年研究，基于我国国情并充分借鉴国外先进经验，提出的分等级保护策略，用于解决我国信息安全问题。由公安部和全国信息安全标准化技术委员提出，公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室等部门联合制定，下发了关于信息安全等级保护的相关标准、意见等，涉及基础标准类、应用类（系统定级、保护实施、安全建设、等级测评等）、产品类（操作系统、路由器、防火墙、服务器、pki〔公钥基础设施〕等）、其他标准类（风险评估、事件管理等）等标准规范，为信息系统的安全建设、提高网络与信息安全保障水平提供了技术和管理依据，同时随着网络安全问题的日益突出及信息技术发展，也在逐步更新标准规范中的相关内容，进一步完善信息安全认证认可体系，加强信息安全系统建设工作，为保障国家信息安全做出了重大贡献。参考《信息系统安全等级保护体系框架》（ga/t708-2007），信息系统安全的组成如图1所示。物理安全提供基本的计算机和网络硬件设备、设施、介质及其环境等方面的安全支持；网络安全提供安全的网络软件、安全的网络协议，确保数据传输的保密性、完整性、可用性等；系统安全提供安全的操作系统和安全的数据库管理系统，以实现系统所存储、传输和处理数据的安全保护；应用安全提供部署在计算机硬件环境基础上的应用软件安全、支撑软件安全、工具软件安全等保障信息系统安全的运行环境；安全管理是指对组成信息系统安全的物理安全、系统安全、网络安全和应用安全的管理，通过技术手段、管理制度等方式保障信息系统的正常运行。信息安全架构要求信息系统建设和使用单位，根据其单位的重要程度、信息系统承载业务的重要程度、信息内容的重要程度、系统遭到攻击破坏后造成的危害程度等安全需求及安全成本因素，根据国家规定的等级划分标准，设定其保护等级，自主进行信息系统安全建设和安全管理，提高安全保护的科学性、整体性、实用性。

2信息安全架构分析

2.1风险分析

1）网络安全风险分析

信息传输依赖于网络，信息的安全很大程度上依赖于网络的安全。数据在网络传输过程中可能会被窃取、非法篡改，真实性和完整性遭到破坏，从而造成信息泄漏。影响网络安全运行的风险主要包括：a）网络结构存在单点故障，设备性能不足以支撑业务系统需求等原因造成网络堵塞，业务丢包率较高。b）由于网络互连引起越权访问、恶意攻击、病毒入侵等原因，使得网络边界存在安全隐患。c）缺乏必要的身份鉴别、安全防范、安全审计等技术手段，容易造成设备的无权限访问和恶意更改设备参数。d）缺乏必要的网络安全检测、主动防御设备，使得恶意攻击、非法访问、网络病毒、dos（拒绝服务）/ddos攻击、网页篡改等时常发生，无法有效阻止网络攻击而造成网络瘫痪。

2）主机安全风险分析

主机安全主要指终端设备、服务器的系统安全。目前的操作系统无论是windows还是linux都可能存在安全漏洞，影响主机运行安全的风险主要有：a）缺乏必要的身份鉴别、安全审计等手段，容易造成设备的无权限访问和恶意更改设备参数。b）系统中残存有未及时删除的过期账号、测试账号、共享账号、默认用户等可非法入侵的账户信息。c）操作系统存在安全漏洞、安全设置不当、用户权限设置不当等情况，使得文件信息、数据库信息、敏感信息等被用户非法获取。d）病毒入侵导致信息泄漏、文件丢失、机器死机等不安全因素。

3）应用安全风险分析