1.6.4 网络信息安全管理要素

2025-06-17 09:05:46 更新

（一）管理要素

（二）管理本质

管理本质是风险控制。对网络管理对象的威胁和脆弱性进行分析，确定其价值、威胁发生可能性、脆弱程度，确定其风险等级，据此选取合适的安保措施，从而降低风险。

（三）管理对象

包括有形（设备硬件、文档）和无形（服务质量、带宽）

	对象类型	范例
1	硬件	计算机、网络设备、传输介质及转换器、输入输出设备、监控设备
2	软件	网络操作系统、网络通信软件、网络管理软件
3	存储介质	光盘、硬盘、软盘、磁带、移动存储器
4	网络信息资产	网络IP地址、网络物理地址、网络用户账号/口令、网络拓扑结构图
5	支持保障系统	消防、保安系统、动力、空调、通信系统、厂商服务系统

（四）安全威胁

分类标准	属性	类型
按威胁主体	非自然	国家、黑客、恐怖分子、网络犯罪、商业竞争对手、新闻机构、不满和粗心的内部工作人员
	自然	自然威胁	地震、雷击、洪水、火灾、静电、鼠害和电力故障等
		人为威胁
按威胁对象	物理安全威胁、网络通信威胁、网络服务威胁、网络管理威胁

（五）网络信息安全脆弱性

（1）安全脆弱性

定义：指系统中与安全策略相冲突的状态或错误，导致攻击者非授权访问、假冒用户执行操作及拒绝服务。

举例：拒绝服务攻击利用资源有限性。

（2）网络信息安全风险

指特定威胁利用网络管理对象所存在的脆弱性，导致其价值受到损害或丢失的可能性。

网络风险 = 网络威胁发生概率 x 所造成影响

控制风险的方法

	控制方法	举例
1	避免风险	通过物理隔离设备隔离内部网和外部网，避免受到外部网攻击
2	转移风险	购买商业保险计划或安全外包
3	减少威胁	安装防病毒软件包，防止病毒攻击
4	消除脆弱点	给操作系统打补丁或强化工作人员的安全意识
5	减少威胁影响	采取多条通信线路进行备份或制定应急预案
6	风险监测	定期对网络系统安全状况进行风险分析，监测潜在的威胁行为

（3）网络信息安全保护措施

指为对付网络安全威胁，减少脆弱性，限制意外事件影响，检测意外事件并促进灾难恢复而实施的各种实践、规程和机制的总称。