希賽小編為考生整理了2022年信息安全工程師考試知識點（三）：信息安全管理基礎，希望對大家備考信息安全工程師考試會有幫助。

【考法分析】

本知識點主要是對信息安全管理相關內容的考查。

【要點分析】

1．信息安全的定義：保護信息系統(tǒng)的硬件，軟件及相關數據，使之不因為偶然或惡意的侵犯而遭受破壞，更改和泄露；保證信息系統(tǒng)中信息的機密性（Confidentiality），完整性（Integrity）和可用性（Availability）。

2．信息安全管理體系是信息安全管理活動的直結果，可表示為策略，原則，目標，方法，程序和資源等總的集合。

3．密碼管理，密碼除了用于信息加密外，也用于數據信息簽名和安全認證。我國的商用密碼管理原則：統(tǒng)一領導，集中管理，定點研制，專控經營，滿足使用。

4．商用密碼的應用領域十分廣泛，主要用于對不涉及密秘碼內容但又具有敏感性的內部信息，行政事物信息，經濟信息等進行加密保護。

5．《商用密碼管理條例》中所稱商用密碼，是指對不涉及密碼內容的信息進行加密保護或者安全認證所使用的密碼技術和密碼產品。

6．商用密碼技術是商用密碼的核心，將商用密碼技術列入秘密，任何單位和個人都有責任和義務保護商用密碼技術的秘密。

7．密碼管理局公布了無線局域網產品須使用的系列密碼算法，包括：

① 對稱密碼算法：SMS4；

② 簽名算法：ECDSA；

③ 密鑰協商算法：ECDH；

④ 雜湊算法：SHA-256；

⑤ 隨機數生成算法；自行選擇。

其中ECDSA和ECDH密碼算法須采用密碼管理制定的橢圓曲線和參數；這是國內公布的第一個商用密碼算法系列。

8．網絡管理從功能上講一般包括配置管理，性能管理，安全管理，故障管理等；網絡管理最突出的特點是對網絡組成成分管理的統(tǒng)一性和遠程性。是以保證網絡傳輸的性能和安全性為前提的。

9．網絡管理體系結構包括以下四個方面：

協議：因為SNMP屬于應用層

表示：適用面向對象式的表示方法

安全：管理者和被管理者之間要有認證和加密協議

對象：包括設備，各種協議，業(yè)務和交易過程

總體而言，網絡管理的4個確定性特征是：統(tǒng)一化，智能化，安全化和主動化。

10．網絡管理的幾個主要開發(fā)方向：網管系統(tǒng)，應用性能管理，桌面管理，員工行為管理，安全管理。

11．網管系統(tǒng)：主要針對網絡設備進行監(jiān)測，配置和故障診斷；通用軟件供應商開發(fā)的NMS系統(tǒng)試針對各個廠商網絡設備的通用網管系統(tǒng)。

12．應用性能管理：

① 應用性能管理師一個比較新的網絡管理方向，主要指對企業(yè)的關鍵業(yè)務應用進行監(jiān)測，優(yōu)化，提高企業(yè)應用的可靠性和質量，保證用戶得到良好的服務，降低IT總擁有成本。

② 應用性能管理主要功能如下：監(jiān)測企業(yè)關鍵應用性能；快速定位應用系統(tǒng)性能故障；優(yōu)化系統(tǒng)性能。

13．桌面管理系統(tǒng)：由最終用戶的電腦組成，這些電腦運行Windows，MAC系統(tǒng)。

14．員工行為管理：一部分是員工網上行為管理（EIM），另一部是員工桌面行為監(jiān)測。

15．安全管理：保障合法用戶對資源安全訪問，防止病杜絕黑客蓄意攻擊和破壞。

16．設備安全管理包括設備的選型，檢測，安裝，等級，使用，維護和存儲管理等多方面的內容。

17．《信息安全等級保護管理辦法》將信息系統(tǒng)的安全保護等級分為以下五級：

第一級：信息系統(tǒng)受到破壞后，會對公民，法人和其他組織的合法權益造成損害，但不損害安全，社會秩序和公共利益。

第二級：信息系統(tǒng)受到破壞后，會對公民，法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害安全。

第三級：信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對安全造成損害。

第四級：信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對安全造成嚴重損害。

第五級：信息系統(tǒng)受到破壞后，會對安全造成特別嚴重損害。

《信息安全等級保護管理辦法》明確規(guī)定，在信息系統(tǒng)建設過程中，運營，使用單位應當按照《計算機信息系統(tǒng)安全保護等級劃分準則》。

18．GB17859-1999標準規(guī)定了計算機系統(tǒng)安全保護能力的五個等級：

第一級：用戶自主保護級，通過隔離用戶與數據，使用戶具備自主安全保護的能力。

第二級：系統(tǒng)審計保護級，通過登錄規(guī)程，審計安全性相關事件和隔離資源，使用戶對自己的行為負責。

第三級：安全標記保護級，具有系統(tǒng)審計保護級所有功能，還提供有關安全策略模型，數據標記以及祖逖對客體強制性訪問控制的非形式化描述，具有準確地標記輸出信息的能力，消除通過測試發(fā)現的任何錯誤。

第四級：結構化保護級，要求將第三級系統(tǒng)中的自主和強制訪問控制擴展到所有主體與客體。此外，還要考慮隱蔽通道。

第五級：訪問驗證保護級，滿足訪問監(jiān)控器需求。訪問監(jiān)控器仲裁主體對客體的全部訪問。

19．涉密信息系統(tǒng)安全分級保護可以劃分為秘密級，機密級和機密級（增強），絕密級三個等級：

① 秘密級：不低于信息安全等級保護三級的要求

② 機密級：不低于信息安全等級保護四級的要求

屬于下列情況之一的機密級信息系統(tǒng)應選擇機密級（增強）的要求：副省級以上的黨政首腦機關，以及國防，外交，安全，軍工等要害部門；機密級信息含量較高或數量較多；使用單位對信息系統(tǒng)的依賴程度較高。

③ 絕密級：信息系統(tǒng)中包含有較高為絕密級的秘密，不低于信息安安等級保護五級的要求。

20．涉密信息系統(tǒng)分級保護的管理過程分為八個階段，即系統(tǒng)定級階段，安全規(guī)劃方案設計階段，安全工程實施階段，信息系統(tǒng)測評階段，系統(tǒng)審批階段，安全運行及維護階段，定期評測與檢查階段和系統(tǒng)隱退終止階段等。

21．涉密信息系統(tǒng)定級遵循“誰建設，誰定級”的原則。

22．目前國內外的趨勢都是用網絡隔離這個概念來代替物理隔離或安全隔離等；隔離技術的發(fā)展：

第一代隔離技術：完全地隔離

第二代隔離技術：硬件卡隔離

第三代隔離技術：數據傳播隔離

第四代隔離技術：空氣開關隔離

第五代隔離技術：安全通道隔離

23．防火墻是最常用的網絡隔離手段；防火墻有一個很顯著的缺點：就是防火墻只能做網絡四層以下的控制，對于應用層內的病毒、蠕蟲都沒有辦法。對于安全要求初級的隔離是可以的。

24．網閘的設計形象的借鑒了船閘的概念，設計采用“代理+擺渡”。不在河上架橋，可以設擺渡船，擺渡船不直接連接兩岸，安全性當然要比橋好，即使是攻擊，也不可能一下就進入，在船上總要收到管理者的各種控制。

25．網絡隔離技術的安全要點：

① 要具有高度的自身安全性；

② 要確保網絡之間是隔離的；

③ 要保證網間交換的只是應用數據；

④ 要對網閘的訪問進行嚴格的控制和檢查；

⑤ 要在堅持隔離的前提下保證網絡暢通和應用透明。

網絡隔離的關鍵是在于系統(tǒng)對通信數據的控制，即通過不可路由的協議來完成網閘的數據交換。

26．安全監(jiān)控可以分為網絡安全監(jiān)控和主機安全監(jiān)控兩大類。

27．信息安全風險評估，則是指依據有關信息安全技術標準，對信息系統(tǒng)及由其處理，傳輸和存儲的信息的保密性，完整性和可用性等安全屬性進行科學評價的過程，它要評估信息系統(tǒng)的脆弱性，信息系統(tǒng)面臨的威脅以及脆弱性被威脅源利用后所產生的實際負面影響，并根據安全事件發(fā)生的可能性和負面影響的程度來識別信息系統(tǒng)的安全風險；任何系統(tǒng)的安全性都可以通過風險的大小來衡量。

28．風險評估：指確定在計算機系統(tǒng)和網絡中每一種資源缺失或遭到破壞對整個系統(tǒng)造成的預計損失數量。

29．風險評估的過程：

① 確定資產

② 脆弱性和威脅分析

③ 制定及評估控制措施

④ 決策

⑤ 溝通與交流

⑥ 監(jiān)督實施

30．風險評估的方法：

① 典型的定量分析方法有因子分析法，聚類分析法，時序模型，回歸模型，等風險圖發(fā)，決策樹法等。

② 典型的定性分析方法有因素分析法，邏輯分析法，歷史比較法，德爾菲法。

③ 定性與定量相結合的綜合評估方法。

④ 典型的風險評估方法：層次分析法，它的基本步驟是：系統(tǒng)分解→構造判斷矩陣→層次總排序。

31．風險管理就是以可以接受的費用識別，控制，降低或消除可能影響信息系統(tǒng)的安全風險的過程。

32．降低風險的途經：

① 避免風險

② 轉移風險

③ 減少威脅

④ 減少脆弱性

⑤ 減少威脅可能的影響

⑥ 檢測意外事件

風險接受是一個對殘留風險進行確認和評價的過程。