免费智能真题库 > 历年试卷 > 系统集成项目管理工程师 > 2010年上半年 系统集成项目管理工程师 上午试卷 综合知识
  第26题      
  知识点:   系统运行安全与保密层次构成   安全策略   运行安全
  关键词:   安全策略   安全        章/节:   应用系统安全管理       

 
某企业应用系统为保证运行安全,只允许操作人员在规定的工作时间段内登录该系统进行业务操作,这种安全策略属于(26)层次。
 
 
  A.  数据域安全
 
  B.  功能性安全
 
  C.  资源访问安全
 
  D.  系统级安全
 
 
 

 
  第25题    2011年上半年  
   54%
信息安全的级别划分有不同的维度,以下级别划分正确的是(25)。
  第26题    2009年下半年  
   50%
应用系统运行中涉及的安全和保密层次包括4层,这4个层次按粒度从粗到细的排列顺序是(26)。
  第26题    2012年上半年  
   42%
系统运行安全和保护的层次按照粒度从粗到细排序为(26) 。
   知识点讲解    
   · 系统运行安全与保密层次构成    · 安全策略    · 运行安全
 
       系统运行安全与保密层次构成
        系统运行安全与保密由四个层次构成,按粒度由大到小顺序排列为:
        .系统级安全:企业应用系统越来越复杂,因此制定得力的系统级安全策略才是从根本上解决问题的基础。系统级安全策略包括敏感系统的隔离、访问IP地址段的限制、登录时间段的限制、会话时间的限制、连接数的限制、特定时间段内登录次数的限制以及远程访问控制等,系统级安全是应用系统的第一道防护大门。
        .资源访问安全:对程序资源的访问进行安全控制,在客户端上,为用户提供与其权限相关的用户界面,仅出现与其权限相符的菜单和操作按钮;在服务端则对URL程序资源和业务服务类方法的调用进行访问控制。
        .功能性安全:功能性安全会对程序流程产生影响,如用户在操作业务记录时,是否需要审核,上传附件不能超过指定大小等。这些安全限制已经不是入口级的限制,而是程序流程内的限制,在一定程度上影响程序流程的运行。
        .数据域安全:数据域安全包括两个层次,一是行级数据域安全,即用户可以访问哪些业务记录,一般以用户所在单位为条件进行过滤;二是字段级数据域安全,即用户可以访问业务记录的哪些字段。不同的应用系统数据域安全的需求存在很大的差别,业务相关性比较高。
 
       安全策略
        安全策略概述
        安全策略是指人们对由于使用计算机业务应用系统而可能导致企业资产损失而进行保护的各种措施、手段,以及建立的各种管理制度、法规等。
        安全策略的核心内容就是“七定”:定方案、定岗、定位、定员、定目标、定制度、定工作流程。
        安全策略具有科学性、严肃性、非二义性和可操作性。
        建立安全策略需要处理好的关系
        1.安全与应用相互依存
        安全与应用既矛盾,又相互依存。没有应用,就不会产生相应的安全需求等问题;不妥善地解决安全问题,就不能更好地开展应用。另外,安全是有代价的,会增加系统建设和运行的费用,会规定对使用的限制,给应用带来一些不便。
        2.风险度的观点
        安全是相对的,是一个风险大小的问题。它是一个动态过程,我们不能一厢情愿地追求所谓绝对安全,而是要将安全风险控制在合理程度或允许的范围内。
        3.适度安全的观点
        安全风险与安全代价相对应,需要经过风险评估后对风险和代价进行均衡,有效控制两者的平衡点,既能保证安全风险的有效控制,又使安全的代价可以接受。
        4.木桶效应观点
        安全就好比木桶的短板,应关注于安全。
        5.安全等级保护
        国家标准《计算机信息安全保护等级划分准则》将计算机信息系统分为以下5个安全保护等级:
        .用户自主保护级:适用于普通内联网用户。
        .系统审计保护级:适用于通过内联网或国际网进行商业活动,需要保密的非重要单位。
        .安全标记保护级:适用于地方各级国家机关、金融单位机构、邮电通信、能源与水源供给部门、交通运输、大型工商与信息技术企业、重点工程建设等单位。
        .结构化保护级:适用于中央级国家机关、广播电视部门、重要物资储备单位、社会应急服务部门、尖端科技企业集团、国家重点科研单位机构和国防建设等部门。
        .访问验证保护级:适用于国防关键部门和依法需要对计算机信息系统实施特殊隔离的单位。
        建立安全策略的设计原则
        建立安全策略的设计原则是在决策之前需要清理头绪,抓住“关键环节”。
        信息系统安全管理的8个总原则:
        .主要领导人负责原则
        .规范定级原则
        .依法行政原则
        .以人为本原则
        .注重效费比原则
        .全面防范、突出重点原则
        .系统、动态原则
        .特殊的安全管理原则
        信息系统安全管理的10个特殊原则是:
        .分权制衡原则
        .最小特权原则
        .标准化原则
        .失效保护原则
        .普遍参与原则
        .职责分离原则
        .审计独立原则
        .控制社会影响原则
        .保护资源和效率原则
        系统安全方案
        全局性的系统方案直接影响到信息系统安全实施与效果。因此,从信息安全考虑,确定一个有利于信息安全的系统组成方案是十分必要的。与系统安全方案有关的系统组成因素包括:
        .主要硬件设备的选型。
        .操作系统和数据库的选型。
        .网络拓扑结构的选型。
        .数据存储方案和存储设备的选型。
        .安全设备的选型。
        .应用软件开发平台的选型。
        .应用软件系统结构的选型。
        .供货商和集成商的选择。
        .业务运营与安全管理的职责划分。
        .应急处理方案的确定以及人员的落实。
        确定系统安全方案主要包括如下内容:
        .首先确定采用MIS+S、S-MIS或S2-MIS体系架构。
        .确定业务和数据存储方案。
        .确定网络拓扑结构。
        .基础安全设施和主要安全设备的选型。
        .业务应用系统安全级别确定。
        .系统资金和人员投入的档次。
        系统安全策略内容
        安全策略的核心内容为“七定”,安全策略种类包括:
        .机房设备安全管理策略。
        .主机和操作系统管理策略。
        .网络和数据库管理策略。
        .应用和输入输出管理策略。
        .应用开发管理策略。
        .应急事故管理策略。
        .密码和安全设备管理策略。
        .信息审计管理策略等。
 
       运行安全
        运行安全的目标是保证系统能连续、正常地运行,包括系统风险管理、审计跟踪、备份与恢复、应急处理四个方面的内容。
   题号导航      2010年上半年 系统集成项目管理工程师 上午试卷 综合知识   本试卷我的完整做题情况  
1 /
2 /
3 /
4 /
5 /
6 /
7 /
8 /
9 /
10 /
11 /
12 /
13 /
14 /
15 /
 
16 /
17 /
18 /
19 /
20 /
21 /
22 /
23 /
24 /
25 /
26 /
27 /
28 /
29 /
30 /
 
31 /
32 /
33 /
34 /
35 /
36 /
37 /
38 /
39 /
40 /
41 /
42 /
43 /
44 /
45 /
 
46 /
47 /
48 /
49 /
50 /
51 /
52 /
53 /
54 /
55 /
56 /
57 /
58 /
59 /
60 /
 
61 /
62 /
63 /
64 /
65 /
66 /
67 /
68 /
69 /
70 /
71 /
72 /
73 /
74 /
75 /
 
第26题    在手机中做本题