计算机安全的基本概念，包括哪几个方面？

随着个人计算机和互联网的普及，越来越多的公司依赖于使用互联网经营其业务，行政机构和政府借助计算机存储重要的信息和数据，个人利用计算机与各式各样的终端设备享受互联网的快捷和便利。但是，大量敏感的信息——大到维系公共安全的重要行政信息和军事信息，小到个人隐私——不可避免地在互联网上传递和存储。大量的资金通过网络进行转账，通过网上银行进行支付。对于怀有恶意的计算机罪犯来说，这些都是他们所垂涎的目标。如果对其没有适当的保护以满足其安全性的要求，那么个人、公司或各种组织将会面临巨大的经济风险和信任风险。

从技术角度看，计算机信息安全是一个涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的边缘性综合学科。

国际标准化组织（ISO）将“计算机安全”定义为：“为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露”。此概念偏重于静态信息保护，因此通常视为“信息保护”的概念范畴。也有人将“计算机安全”定义为：“计算机的硬件、软件和数据受到保护，不因偶然和恶意的原因而遭到破坏、更改和泄露，系统连续正常运行。”该定义着重于动态信息描述，而且提出了用户访问系统时系统的可用性要求，因此通常定义为“信息保障”的概念范畴。

由于网络技术的发展和进步，当今世界上很少有人使用未接入网络、不与其他计算机相连接的计算机了。如何对连接在同一网络中的多台计算机以及它们之间的连接设备进行保护，属于“网络安全”的定义范围。综合以上几个定义，可以看出，计算机安全应该至少包括网络安全、信息保护和信息保障这三个方面的内容。

1.1安全工作的三角形

安全工作的目的就是为了在安全法律、法规、政策的支持与指导下，通过采用合适的安全技术与安全管理措施，维护计算机的信息安全。保障计算机系统及其相关配套的设备、网络设施安全，保障运行环境的安全，保障信息的安全，保障计算机系统和网络系统功能的正常发挥，以维护整个信息系统的安全运行。因此，为了更好地界定和分析计算机安全，有如下图所示的安全模型。在这一安全模型中，所有的安全定义归类于三个相对独立但又相互影响的部分。这模式包括以下三个方面：

计算机安全包括哪几个方面？

1、物理安全（physical cecurity）

物理安全，顾名思义就是保护信息和有价值的资产（例如所使用的高档服务器或价值不菲的企业专用通信线路），只有在经过许可的条件下才能被物理访问。换句话说，安全人员必须保护这些资产不会被移动或窃取。破坏分子常常自称技术服务人员、记者、客户、供应商甚至冒充公司员工，这样他们可以方便地窃取设备、故意损坏或非法复制数据、从文件柜甚至垃圾桶里面搜寻重要的文件材料。

他们的动机多种多样，可能是有意识地窃取商业机密，也有可能是为了发泄对企业或管理人员的不满而采取的报复性行为，或者纯粹因为对金钱的贪婪——一个例子是小偷盗窃了价值1000美元的存储设备，他们只是以极低的价格出售该设备，而并没有意识到这一设备上存储有价值远高于1000美元的数据。除此之外，物理安全还需要保护计算机、网络设备、相关设施以及传输介质免遭自然界的不可抗拒力量的破坏，如地震、水灾、火灾、有害气体和其它环境事故（如电磁污染等）所产生的破坏。特别是避免由于电磁泄露产生信息泄露，从而干扰他人或受他人干扰。

物理安全在这一模型中是相对容易完成的任务。可以通过设置门锁、安全检查、门卫等方式控制进入办公区域或敏感区域的人和物品。利用保险箱或带锁文件柜存储各类重要文件。员工被告知必须随身携带身份证件或门禁身份卡以便通过门禁系统。利用监控摄像和闭路电视系统监事重要场所的出入口。尽管门卫或笔录电视监视系统通常被人诟病为作用不够明显，但是根据心理学理论，它们仍然是震慑破坏分子的一种有力武器。

还有一类物理安全所需要做到的是：恢复受到损失的关键信息或关键系统，使组织从损失中恢复过来，并能够以最快的速度开始工作或开展正常的业务。例如，企业的服务器机房发生一次偶然的断电事故，导致企业的各项Internet业务无法正常进行，如何能够在短时间内恢复电力供应以及恢复正常业务，在这段时间内如何保证企业的业务受到最小影响？这一类物理安全的保障牵涉到组织管理中需要预先做好的准备，包括大量的规划、决策和带有一定风险的测试。

物理安全是组织能够较好实现整体安全性的基础，但是较高的物理安全基础不能取代运行安全和管理安全。例如，一台昂贵的、具有良好安全性的服务器并不能防止由于组织人员缺少责任心而导致的盗窃。

2、运行安全（operation security）

运行安全是组织在应对安全威胁的时候所需要完成的任务。这一概念包括了计算机、网络和通信系统以及运行于其中的管理信息，覆盖了大量安全领域和技术领域。保障运行安全是一个安全人员所必须面对的首要任务。

运行安全问题主要包括：网络访问控制（network access control），身份验证（authentication），实现安全的网络拓扑。同时，为保障系统功能的安全实现，提供相应的安全措施，如风险分析、审计跟踪、备份与恢复、应急流程，来保护信息处理过程中的安全，不同于物理安全将安全目标放在数据和资产上（以维护存储有数据的服务器或主机为代表），运行安全将目标聚集于网络和连接，并细化具体的操作机制以保证以上两者的安全。

保障运行安全与物理安全和管理安全密不可分。运行安全可以补足物理安全的不足引起的缺陷和安全威胁。例如，一台不具有安全密码控制的主机，可以借助制定并实施密码轮换计划以提升其安全性，也可以根据已制定的管理条例向相关机构申请更换或附加安全密码控制功能。不过，运行安全的保障严重依赖于良好的管理安全。如上例中，若已经制定和实施了密码轮换计划（30天更新一次密码，密码必须是不低于8位的混合大写字母、小写字母和数字的字符串），但是相关操作人员未在规定更改期间按照要求进行密码修改操作，则这种密码轮换计划并不能提升安全性。

以下一些名词涉及运行安全相关的领域：

①网络访问控制：保证网络信息资源不被非授权地使用。访问控制根据主体和客体之间的访问授权关系，对访问过程做出限制。

②身份验证：保证信息使用者和信息服务者都是真实声称者，防止冒充和重演的攻击。

③风险分析：为了使计算机信息系统能安全地运行，首先了解影响计算机信息系统安全运行的诸多因素和存在的风险，从而进行风险分析，找出克服这些风险的方法。

④审计跟踪：利用计算机信息系统所提供的的审计跟踪工具，对计算机信息系统的工作过程进行详尽的跟踪记录，同时保存好审计记录和审计日志，并从中及时发现和解决问题，保证计算机信息系统安全可靠地运行。这就要求系统管理员要认真负责，切实保存、维护和管理审计日志。

⑤应急措施和备份恢复：两者应同时考虑。首先要根据所用信息系统的功能特性和灾难特点制定包括应急反应、备份操作、恢复措施三个方面内容的应急计划，一旦发生灾害事件，就可按计划方案最大限度地恢复计算机系统的正常运行。

3、管理安全（management security）

管理和政策为整个组织的安全提供了最高级别的指导、规则和程序实施的安全环境。信息安全方面的专业人士可以向管理层提供有效的政策或相关建议，并需要得到管理层充分的支持。一个得不到管理层支持的安全人员不可能有效地实施任何安全措施。安全政策应应用于整个组织而非组织内某一个或特定的层级。组织管理层应将管理安全定位在组织文化或组织人力资源战略相同的重要地位。

管理安全是组织安全中最高级也是最重要的一环。现实情况是大多数公司成员能够说出他们有多少假期或收入情况，但是不能说出哪些公司信息能够公开，哪些必须保证不被泄露。管理安全需要持续不断、自上而下地加强，包括所有组织成员的教育和培训。

以下一些名词涉及管理安全相关的领域：

①行政政策：行政政策制定组织安全的指导方针和预期效果。对于日常业务，行政政策应明确说明何时进行以及以何种方式进行，还应当确定监管者、执行者以及审查者。行政政策应该是一个框架式的文件，制定者需要在主旨与细节之间取得一个较好的平衡。因为实际执行该政策的人员不可避免地需要对现场环境做出一定的妥协。

②灾难恢复计划：灾难恢复计划（disease recovery plan，DRP）用于在安全事故发生之后，以最快的速度恢复可用性的方案。它基于组织对可能发生的安全事件进行的风险评估。一个良好的DRP应具有良好的完整性，即考虑到所有类型的安全事件发生的可能性以及部署相应的应对措施。DRP的制定过程中，良好的资产评估和有效的测试有助于完善DRP。

③信息政策：信息政策是指组织如何管理信息和保证信息安全的基本政策，包括访问信息、分级和分类信息、标记和存储信息、传输和销毁信息的方法。信息政策最显著的特点就是对组织拥有的信息进行分类和分级。

④安全政策：安全政策定义了如何配置系统和网络，如何确保计算机机房和数据中心的安全以及如何进行身份鉴别和身份认证。同时还确定如何进行访问控制、审计、报告和处理网络连接、加密和反病毒。安全政策还规定密码选择、账户到期、登录尝试失败处理等相关领域的程序和步骤。

⑤软件设计要求：软件设计要求将规定自行开发的软件系统或外购的软件系统必须能够达到的安全指标。软件设计要求是根据企业的行政、信息、安全政策综合考虑进行制定的，必须达到以上几项政策所提出的安全要求。软件设计要求应该是具体的、可实施的。同时软件设计要求需要考虑到未来一段时期内网络环境和系统环境所发生的变化，以便软件系统得到合理的升级或补充。

⑥使用政策：包括如何使用信息和资源，该政策需要想组织成员或系统使用者解释使用组织资源的方法和用途。这些政策包括计算机使用的规定、隐私、所有权和不当行为的后果。政策制定者应该阐明他们对用户的期望。通常最简单的使用政策描述为“本计算机所有权属于公司，只能应用于公司事务”。

⑦用户管理政策：用户管理政策描述员工在系统内的权限范围，同时需要包括员工地位或岗位变化所导致的系统变动。员工岗位轮替或变换是一种正常的现象，但是在员工转移到新岗位时，必须重新设定该员工的权限并将其原有权限撤销。否则可能导致权限超越或员工获取不应获取的信息。用户管理政策需要与人力资源策略紧密相连，一旦员工人事状况发生变动，用户管理政策应及时应对该变动并能够根据预定方案进行反应。