信息安全工程与管理 (2009 年度畅销榜NO.4974 )

本书主要针对“注册信息安全专业人员”培训，以注册信息安全专业人员所应具备的知识体系为大纲进行编写。全书主要介绍了风险评估、安全策略、安全工程以及信息安全管理的基本知识，并详细列述了对环境、人员、软件、应用系统、操作和文档的安全管理，应急响应和灾难恢复，国家信息安全组织结构等与信息安全管理有关的内容。通过对本书的学习，信息安全及相关行业的从业人员可对风险、安全策略及安全工程的概念有所了解，并明确信息安全管理所应包含的内容。\r\n\r\n 本书适合作为信息安全专业人员培训班的培训教材，也可供从事相关工作的技术人员和对信息安全感兴趣的读者阅读参考。\r\n
\r\n

第1章 风险评估 \r\n\r\n 1. 1 安全威胁 \r\n\r\n 1. 1. 1 安全威胁的分类 \r\n\r\n 1. 1. 2 安全威胁的对象及资产评估鉴定 \r\n\r\n 1. 1. 3 安全威胁利用的弱点及安全薄弱环节评估 \r\n\r\n 1. 1. 4 信息系统面临的安全威胁 \r\n\r\n 1. 2 风险评估的方法 \r\n\r\n 1. 3 综合的风险评估过程 \r\n\r\n 1. 4 风险评估分析方法 \r\n\r\n 1. 5 自我安全评估 \r\n\r\n 1. 5. 1 管理控制 \r\n\r\n 1. 5. 2 生命周期 \r\n\r\n 1. 5. 3 授权处理(认证鉴定) \r\n\r\n 1. 5. 4 系统安全计划 \r\n\r\n 1. 5. 5 人事安全 \r\n\r\n 1. 5. 6 物理和环境保护 \r\n\r\n 1. 5. 7 生产. 输入／输出控制 \r\n\r\n 1. 5. 8 应急计划 \r\n\r\n 1. 5. 9 硬件及系统软件维护 \r\n\r\n 1. 5. 10 数据完整性 \r\n\r\n 1. 5. 11 文档 \r\n\r\n 1. 5. 12 安全认识. 培训 \r\n\r\n 1. 5. 13 事故反应能力 \r\n\r\n 1. 5. 14 身份识别及授权 \r\n\r\n 1. 5. 15 逻辑访问控制 \r\n\r\n 1. 5. 16 审计跟踪 \r\n\r\n 第2章 安全策略 \r\n\r\n 2. 1 建立安全策略 \r\n\r\n 2. 2 系统安全策略 \r\n\r\n 2. 2. 1 相关术语 \r\n\r\n 2. 2. 2 系统安全策略的制定 \r\n\r\n 2. 2. 3 信息系统应采取的安全策略 \r\n\r\n 2. 2. 4 与开放性网络连接的信息系统的管理策略 \r\n\r\n 2. 3 组织安全策略 \r\n\r\n 2. 3. 1 构成 \r\n\r\n 2. 3. 2 准则项目 \r\n\r\n 第3章 安全工程 \r\n\r\n 3. 1 安全工程概述 \r\n\r\n 3. 2 SSE-CMM基础 \r\n\r\n 3. 3 SSE-CMM体系结构 \r\n\r\n 3. 3. 1 基本概念 \r\n\r\n 3. 3. 2 过程 \r\n\r\n 3. 3. 3 SSE-CMM体系结构 \r\n\r\n 3. 4 SSE-CMM应用 \r\n\r\n 3. 4. 1 SSE-CMM的适用范围 \r\n\r\n 3. 4. 2 使用SSE-CMM进行评定 \r\n\r\n 3. 4. 3 使用SSE-CMM改进过程 \r\n\r\n 3. 4. 4 使用SSE-CMM获得安全保证 \r\n\r\n 3. 4. 5 在组织中如何使用SSE-CMM \r\n\r\n 第4章 信息安全组织保障 \r\n\r\n 4. 1 我国政府信息安全管理机构 \r\n\r\n 4. 1. 1 国家公安机关 \r\n\r\n 4. 1. 2 国家安全机关 \r\n\r\n 4. 1. 3 国家保密机关 \r\n\r\n 4. 1. 4 国家密码管理机关 \r\n\r\n 4. 2 我国信息安全产品测评认证机构 \r\n\r\n 4. 2. 1 国家信息安全测评认证工作的必要性 \r\n\r\n 4. 2. 2 我国信息安全产品测评认证体系 \r\n\r\n 4. 2. 3 中国信息安全产品测评认证中心 \r\n\r\n 4. 2. 4 测评认证机构的主要业务 \r\n\r\n 4. 2. 5 信息安全测评认证要点 \r\n\r\n 4. 2. 6 测评认证的程序 \r\n\r\n 4. 3 国家计算机病毒应急处理机构 \r\n\r\n 4. 3. 1 国家计算机病毒应急处理中心介绍 \r\n\r\n 4. 3. 2 国家计算机病毒应急处理中心的主要职能 \r\n\r\n 4. 4 中国计算机网络安全应急处理协调中心 \r\n\r\n 4. 5 单位信息安全管理机构 \r\n\r\n 4. 5. 1 单位信息安全领导小组 \r\n\r\n 4. 5. 2 单位安全策略顾问委员会 \r\n\r\n 4. 5. 3 单位信息安全领导小组办公室 \r\n\r\n 4. 6 单位信息安全工作人员 \r\n\r\n 4. 6. 1 单位信息安全工作人员的条件 \r\n\r\n 4. 6. 2 单位信息安全工作人员的管理原则 \r\n\r\n 4. 6. 3 单位信息安全工作人员的岗位职责 \r\n\r\n 第5章 信息安全管理 \r\n\r\n 5. 1 信息安全 \r\n\r\n 5. 2 信息载体安全管理 \r\n\r\n 5. 3 信息密级标签管理 \r\n\r\n 5. 3. 1 信息的分类与管理 \r\n\r\n 5. 3. 2 涉密信息管理 \r\n\r\n 5. 4 信息存储管理 \r\n\r\n 5. 5 信息访问控制管理 \r\n\r\n 5. 5. 1 基本理论 \r\n\r\n 5. 5. 2 安全管理 \r\n\r\n 5. 5. 3 标识和验证 \r\n\r\n 5. 5. 4 口令机制 \r\n\r\n 5. 6 数据备份管理 \r\n\r\n 5. 7 信息完整性管理 \r\n\r\n 5. 8 信息可用性管理 \r\n\r\n 5. 9 不良信息监控管理 \r\n\r\n 5. 9. 1 不良信息监控的目标 \r\n\r\n 5. 9. 2 不良信息监控的方法 \r\n\r\n 5. 9. 3 响应方法 \r\n\r\n 5. 10 可疑信息跟踪审计 \r\n\r\n 5. 10. 1 安全审计的应用 \r\n\r\n 5. 10. 2 审计跟踪记录内容 \r\n\r\n 5. 10. 3 审计跟踪安全 \r\n\r\n 5. 10. 4 审计跟踪复查 \r\n\r\n 5. 10. 5 敲键监控 \r\n\r\n 第6章 物理安全 \r\n\r\n 6. 1 机房与设施安全 \r\n\r\n 6. 1. 1 计算机机房的安全等级 \r\n\r\n 6. 1. 2 机房场地的环境选择 \r\n\r\n 6. 1. 3 机房建筑设计 \r\n\r\n 6. 1. 4 机房组成及面积 \r\n\r\n 6. 1. 5 设备布置 \r\n\r\n 6. 1. 6 机房的环境条件 \r\n\r\n 6. 1. 7 电源 \r\n\r\n 6. 1. 8 围墙和门禁 \r\n\r\n 6. 1. 9 钥匙和锁 \r\n\r\n 6. 1. 10 计算机设备 \r\n\r\n 6. 1. 11 通信线路的安全 \r\n\r\n 6. 2 技术控制 \r\n\r\n 6. 2. 1 人员控制 \r\n\r\n 6. 2. 2 检测监视系统 \r\n\r\n 6. 2. 3 智能卡／哑卡 \r\n\r\n 6. 2. 4 生物访问控制 \r\n\r\n 6. 2. 5 审计访问记录 \r\n\r\n 6. 3 环境与人身安全 \r\n\r\n 6. 4 电磁泄露 \r\n\r\n 6. 4. 1 计算机设备防泄露措施 \r\n\r\n 6. 4. 2 计算机设备的电磁辐射标准 \r\n\r\n 6. 4. 3 我国的TEMPEST标准研究 \r\n\r\n 第7章 人员安全管理 \r\n\r\n 7. 1 安全组织 \r\n\r\n 7. 2 安全职能 \r\n\r\n 7. 3 人员安全审查 \r\n\r\n 7. 4 岗位安全考核 \r\n\r\n 7. 5 人员安全培训 \r\n\r\n 7. 6 安全保密契约管理 \r\n\r\n 7. 7 离岗人员安全管理 \r\n\r\n 第8章 软件安全管理 \r\n\r\n 8. 1 概述 \r\n\r\n 8. 1. 1 软件安全和网络安全 \r\n\r\n 8. 1. 2 影响软件安全的因素 \r\n\r\n 8. 1. 3 软件安全管理的措施 \r\n\r\n 8. 2 软件的选型. 购置与储藏 \r\n\r\n 8. 2. 1 软件选型小组 \r\n\r\n 8. 2. 2 软件选型应考虑的因素 \r\n\r\n 8. 2. 3 软件选型. 购置与储藏的实施 \r\n\r\n 8. 3 软件安全检测预验收 \r\n\r\n 8. 3. 1 软件安全检测与验收 \r\n\r\n 8. 3. 2 软件安全检测的方法 \r\n\r\n 8. 4 软件安全跟踪与报告 \r\n\r\n 8. 5 软件版本控制 \r\n\r\n 8. 6 软件使用与维护 \r\n\r\n 8. 6. 1 软件错误. 恶性代码 \r\n\r\n 8. 6. 2 软件使用和维护 \r\n\r\n 第9章 应用系统安全管理 \r\n\r\n 9. 1 应用系统安全概述 \r\n\r\n 9. 1. 1 应用系统分类 \r\n\r\n 9. 1. 2 应用系统开发生命周期 \r\n\r\n 9. 1. 3 应用系统的可靠性 \r\n\r\n 9. 1. 4 应用系统的安全问题 \r\n\r\n 9. 1. 5 应用系统安全管理的实现 \r\n\r\n 9. 2 系统启动安全审查管理 \r\n\r\n 9. 2. 1 应用系统开发管理 \r\n\r\n 9. 2. 2 应用系统运行管理 \r\n\r\n 9. 3 应用软件监控管理 \r\n\r\n 9. 3. 1 应用软件监控的重要性 \r\n\r\n 9. 3. 2 应用软件的可靠性与维护性 \r\n\r\n 9. 3. 3 应用软件安全控制 \r\n\r\n 9. 3. 4 应用软件安全防护 \r\n\r\n 9. 4 应用软件版本安装管理 \r\n\r\n 9. 5 应用软件维护安全管理 \r\n\r\n 第10章 设备管理 \r\n\r\n 第11章 运行管理 \r\n\r\n 11. 1 故障管理 \r\n\r\n 11. 1. 1 故障诊断 \r\n\r\n 11. 1. 2 验证用户权限 \r\n\r\n 11. 1. 3 确定问题的范围 \r\n\r\n 11. 1. 4 重现故障 \r\n\r\n 11. 1. 5 验证物理连接 \r\n\r\n 11. 1. 6 验证逻辑连接 \r\n\r\n 11. 1. 7 留意网络设备的变化 \r\n\r\n 11. 1. 8 实施解决方案 \r\n\r\n 11. 1. 9 检验解决方案 \r\n\r\n 11. 2 排障工具 \r\n\r\n 11. 2. 1 网线测试工具 \r\n\r\n 11. 2. 2 网络监视器和分析仪 \r\n\r\n 11. 3 性能管理 \r\n\r\n 11. 4 变更管理 \r\n\r\n 11. 4. 1 保持同步跟踪 \r\n\r\n 11. 4. 2 软件修订 \r\n\r\n 11. 4. 3 硬件和物理设备的改变 \r\n\r\n 11. 4. 4 管理增长和变化 \r\n\r\n 第12章 操作安全管理 \r\n\r\n 12. 1 操作权限管理 \r\n\r\n 12. 1. 1 操作权限管理机制 \r\n\r\n 12. 1. 2 操作权限的划分 \r\n\r\n 12. 1. 3 操作权限的作用实现 \r\n\r\n 12. 1. 4 与其他安全措施的配合 \r\n\r\n 12. 2 操作规范管理 \r\n\r\n 12. 3 操作责任管理 \r\n\r\n 12. 3. 1 操作责任的界定与分析 \r\n\r\n 12. 3. 2 操作责任的实施 \r\n\r\n 12. 3. 3 操作责任的承担 \r\n\r\n 12. 4 操作监控管理 \r\n\r\n 12. 5 误操作恢复管理 \r\n\r\n 12. 5. 1 预防误操作的方法 \r\n\r\n 12. 5. 2 误操作的界定 \r\n\r\n 12. 5. 3 误操作恢复的经验日志 \r\n\r\n 第13章 技术文档安全管理 \r\n\r\n 13. 1 文档密级管理 \r\n\r\n 13. 2 文档借阅管理 \r\n\r\n 13. 3 文档的登记和保管 \r\n\r\n 13. 4 文档的销毁和监毁 \r\n\r\n 13. 5 电子文档安全管理 \r\n\r\n 13. 5. 1 保证电子文档信息安全的技术措施 \r\n\r\n 13. 5. 2 保证电子文档信息安全的管理措施 \r\n\r\n 13. 5. 3 电子文档的保存与维护 \r\n\r\n 13. 5. 4 电子文档的利用与管理 \r\n\r\n 13. 5. 5 电子文档的传输安全 \r\n\r\n 13. 6 技术文档备份 \r\n\r\n 第14章 灾难恢复计划 \r\n\r\n 14. 1 灾难恢复的概念 \r\n\r\n 14. 1. 1 灾难恢复的基本概念 \r\n\r\n 14. 1. 2 灾难恢复涉及的范围 \r\n\r\n 14. 1. 3 灾难恢复的基本技术要求 \r\n\r\n 14. 1. 4 灾难恢复的局限性 \r\n\r\n 14. 2 灾难恢复技术及恢复级别 \r\n\r\n 14. 2. 1 几个主要方面的灾难恢复技术 \r\n\r\n 14. 2. 2 灾难恢复解决方案的7个级别 \r\n\r\n 14. 3 灾难恢复计划 \r\n\r\n 14. 3. 1 灾难恢复计划的概念 \r\n\r\n 14. 3. 2 灾难恢复计划的目标及制定原则 \r\n\r\n 14. 3. 3 灾难恢复计划的制定流程 \r\n\r\n 14. 3. 4 影响灾难恢复计划实现效果的因素 \r\n\r\n 第15章 安全应急响应 \r\n\r\n 15. 1 安全应急响应的概况 \r\n\r\n 15. 1. 1 国外的历史和现状 \r\n\r\n 15. 1. 2 国内的背景和现状 \r\n\r\n 15. 1. 3 应急响应组织(IRT)的分类. 服务和特点 \r\n\r\n 15. 2 安全应急响应管理系统的建立 \r\n\r\n 15. 2. 1 应急响应目标的限定 \r\n\r\n 15. 2. 2 应急响应责任的详细规定 \r\n\r\n 15. 2. 3 针对安全应急的程序规则及报告渠道 \r\n\r\n 15. 2. 4 安全应急事件的提交策略 \r\n\r\n 15. 2. 5 指定安全应急响应的优先级 \r\n\r\n 15. 2. 6 安全应急的调查与评估 \r\n\r\n 15. 2. 7 与安全应急有关的补救措施 \r\n\r\n 15. 2. 8 通知受到影响的各方 \r\n\r\n 15. 2. 9 对安全应急响应的评估 \r\n\r\n 15. 2. 10 安全应急发现措施的使用 \r\n\r\n 15. 3 安全应急响应手册 \r\n\r\n 15. 3. 1 准备工作 \r\n\r\n 15. 3. 2 确认紧急事件 \r\n\r\n 15. 3. 3 控制 \r\n\r\n 15. 3. 4 找出事件发生原因 \r\n\r\n 15. 3. 5 恢复 \r\n\r\n 15. 3. 6 跟踪 \r\n\r\n 15. 3. 7 紧急行动步骤 \r\n\r\n 15. 4 安全应急响应管理系统的有效性测试 \r\n
\r\n

随着我国社会信息化进程发展, 计算机网络及信息系统在政府机构. 企事业单位及社会团体的运作中发挥着越来越重要的作用. 信息化水平的提高在带来巨大发展机遇的同时也带来了严峻的挑战. 由于信息系统本身的脆弱性和日益呈现出的复杂性, 信息安全问题不断暴露. 信息安全既关系着个人的隐私, 也关系着国计民生, 乃至整个国家的安全与利益. 信息安全问题已经倍受政府和社会的广泛关注和重视. 在这样的大背景下, 社会对信息安全专业人员的需求逐年增加. 据统计, 国内从事信息安全方面的专业人员仅有3000余人, 社会需求与人才供给间还存在着很大差距, 怎样培养信息安全的专门人才, 并确保现有信息安全从业人员的职业素质等, 将成为信息安全产业发展中需要迫切解决的重要问题.

人员认证概述

中国信息安全产品测评认证中心是经中央批准成立, 代表国家开展信息安全测评认证的职能机构, “中华人民共和国国家信息安全认证”是目前国家对信息安全技术. 产品. 信息系统安全质量以及信息安全服务资质. 人员资质的最高认可, 由中国信息安全产品测评认证中心及其授权测评机构进行评估, 由中国信息安全产品测评认证中心进行认证. 本丛书是针对“注册信息安全专业人员认证”部分的培训教材.

“注册信息安全专业人员”(Certified Information Security Professional, 简称CISP)是指机构组织中负责信息系统(网络)建设. 运行和应用管理的必备的专业性人才, 其基本职能是为信息系统的安全提供技术和管理保障. 对信息安全专业人员的认证和注册, 是提高信息安全从业人员职业道德和技术水平. 提升信息安全产业的竞争能力和强化国家信息安全管理的有效手段.

从书内容特色

本套丛书充分考虑“注册信息安全专业人员”培训学习的需要, 以注册信息安全专业人员所应具备的知识体系为大纲, 从信息安全的理论基础出发, 兼顾理论学习与实践应用, 较好地反映了信息安全学科的主要内容和基本特点, 较为全面地覆盖了学科的知识要点.

为了使广大信息安全技术人员对信息安全有比较系统和全面的了解, 本套丛书共分为以下3册：

《信息安全理论与技术》

《信息安全工程与管理》

《信息安全标准与法律法规》

内容涉及安全体系. 密码技术. 网络安全. 系统安全. 风险评估. 安全策略. 安全工程. 信息安全管理. 应急响应. 国内外相关标准及法律等诸多方面, 使相关从业人员对信息安全学科有一个较为全面的了解.

适用对象

本丛书适合作为培养信息安全专业人员的培训班教材, 也适合从事信息安全工作的技术人员和广大对信息安全感兴趣的读者阅读参考.

关于作者

本丛书由中国信息安全产品测评认证中心组织编写, 丛书的编写得到了何德全. 周仲义. 沈昌祥. 蔡吉人几位院士的悉心指点, 曲成义. 方关宝. 宁家骏. 黄德根等专家更是为本书细心审校, 业内相关人士尤其是首批CISP也给予了大力支持, 在此一并表示感谢!

需要指出的是, 由于丛书涉及内容较广, 限于水平和经验, 难免会有疏漏之处, 敬请专家和广大读者指正.

有关本丛书内容的更新更正以及参考资料信息, 可查询：http://www. cisp. org, cn.

中国信息安全产品测评认证中心

2003年9月

无封面