信息安全认证审核员考试内容 注册信息安全人员考试

ISO对信息安全的定义：为数据处理系统建立和采取技术、管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到破坏、更改、泄露，我来为大家科普一下关于信息安全认证审核员考试内容 注册信息安全人员考试?下面希望有你要的答案，我们一起来看看吧!

信息安全认证审核员考试内容 注册信息安全人员考试

ISO对信息安全的定义：为数据处理系统建立和采取技术、管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到破坏、更改、泄露。

美国法典第3542条给出了信息安全的定义为：“信息安全，是防止未经授权的访问、使用、披露、中断、修改、检查、记录或破坏信息的做法。它是一个可以用于任何形式的数据（例如电子、物理）的通用术语”。

欧盟将信息安全定义为：“在既定的密集条件下，网络与信息系统抵御意外事件或恶意行为的能力，这些事件和行为将威胁所存储或传输的数据以及经由这些网络和系统所提供的服务的可用性、真实性、完整性和机密性”。

• 狭义：建立在以IT技术基础上的的安全范畴。
• 广义：信息安全是一个跨学科领域的安全问题。信息安全应该建立在整个生命周期中所关联的人、事、物的基础上，综合考虑人、技术、管理和过程控制，使得信息安全不是一个局部而是一个整体。安全的根本目的是保证组织业务可持续性运行，要考虑成本因素。

• 内因：信息系统复杂性导致漏洞的存在不可避免。
• 外因：环境因素、人为因素。包括不可抗力因素，以及人为不可控制的操作，比如通过信息获利导致的信息泄露，恶意攻击等。

• 系统性：系统性包含两层含义，一方面,信息安全的解决方案需要各种安全产品、技术手段、管理措施有机地结合起来,而不能通过几项离散的安全产品或技术手段来解决安全问题;另一方面,信息安全不仅是一个技术性的问题,同时也是管理问题,而且它还与社会道德、法律法规、行业管理以及人们的行为模式等紧密联系在一起,需要综合考虑各方面的因素。
• 动态性：信息系统始于需求分析，终止于废弃或者退役，具有"生命周期"的概念。风险是动态变化的，新的漏洞被发现，新的攻击手段出现，都会对系统的安全状况产生影响。
• 无边界：信息化的重要特点是开放性和互通性，信息关键基础设施都是广域覆盖的、大规模、复杂的信息系统，往往与互联网通过各种方式连接，同时各系统之间也日益互联互通，这使得信息安全威胁超越了现实地域的限制。
• 非传统：信息技术是20 世纪最为重要的技术变革，其安全问题与军事安全、政治安全等传统安全相比，有显著不同。国家没有受到武力进攻，国家领土和主权是完整的，但人们却感受到不安全；没有明确的敌对国家，人们却感受到威胁的存在。传统的维护安全的军事和治安手段，无法应对信息安全这种新事物，必须采用新的信息安全保障手段来维护互联网安全。

建立在大量的数据搜集和处理的基础上，通过对搜集数据的分析和评估，从而形成相应的结论。为管理人员提供行动和指导决策的依据，已经成为信息安全保障中关键能力。

建立在威胁情报的基础上，利用大数据和高性能计算为支撑，综合网络威胁相关的形式化及非形式化数据进行分析，并形成对未来网络威胁状态进行预判以便调整安全策略。

• CIA基本属性：

（1）保密性：信息按给定要求不泄漏给非授权的个人、实体或过程，或提供其利用的特性，即杜绝有用信息泄漏给非授权个人或实体，强调有用信息只被授权对象使用的特征。

（2）完整性：信息在传输、交换、存储和处理过程保持非修改、非破坏和非丢失的特性，即保持信息原样性，使信息能正确生成、存储、传输，这是最基本的安全特征。

（3）可用性：指网络信息可被授权实体正确访问，并按要求能正常使用或在非正常情况下能恢复使用的特征，即在系统运行时能正确存取所需信息，当系统遭受攻击或破坏时，能迅速恢复并能投入使用。可用性是衡量网络信息系统面向用户的一种安全性能。

• 其他属性：

（1）真实性：真实性是指网络空间信息与实际物理空间、社会空间的客观事实保持一致性。如，网络谣言信息不符合真实情况，违背了客观事实。

（2）可问责性：作为治理的一个方面，同责是承认和承担行动、产品、决策和政策的责任，包括在角色或就业岗位范围内的行政、治理和实施以及报告,解释并对所造成的后果负责。

（3）不可否认性：指通信双方在信息交互过程中，确信参与者本身，以及参与者所提供的信息的真实同一性，即所有参与者都不可能否认或抵赖本人的真实身份，以及提供信息的原样性和完成的操作与承诺。

（4）可靠性：可靠性是指网络信息系统在规定条件及时间下，能够有效完成预定的系统功能的特性。

• 国家视角：由互联网的开放、自由和共有的脆弱性，使国家安全、社会公共利益以及个人权利在网络活动中面临着来自各方面的威胁，国家需要在技术允许的范围内保持适当的安全要求。
• 企业视角：业务数据对组织的重要性使得组织必须关注业务连续性。
• 个人视角：从个人角度而言，这不仅仅是一个技术问题，还是一个社会问题、法律问题以及道德问题。信息资产被恶意利用后会形成人身的损害、信息资产被恶意利用后会形成财物的损失、信息资产被恶意利用后会导致承担法律责任。个人更关注隐私保护、资产保护、防范社会工程攻击。

• 通信安全：20世纪，40年代-70年代，主要关注传输过程中的数据保护。主要安全威胁：搭线窃听、密码学分析。核心思想是通过密码技术解决通信保密，保证数据的保密性和完整性。主要安全措施是数据加密。
• 计算机安全：20世纪，70-90年代，主要关注于数据处理和存储时的数据保护。主要安全威胁包括非法访问、恶意代码、脆弱口令等。核心思想是预防、检测和减小计算机系统（包括软件和硬件）用户（授权和未授权用户）执行的未授权活动所造成的后果。安全措施通常为通过操作系统的访问控制技术来防止非授权用户的访问。
• 信息系统安全：20世纪，90年代后，主要关注信息系统整体安全。安全威胁来自于网络入侵、病毒破坏、信息对抗等。核心思想使重点在于保护比“数据”更精炼的“信息”。主要安全措施包括防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等。
• 信息安全保障：1996年，DoDD 5-3600.1首次提出了信息安全保障。主要关注信息、信息系统对组织业务及使命的保障。是信息安全概念延伸，实现全面安全。我国信息安全保障工作总体要求：积极防御，综合防范；主要原则：技术与管理并重，正确处理安全与发展的关系。
• 网络空间安全：互联网已经将传统的虚拟世界与物理世界相互连接，形成网络。空间新技术领域融合（工业控制系统、“云大移物智”）带来新的安全风险。核心思想：强调“威慑”概念。将防御、威慑和利用结合成三位一体的网络空间安全保障。

工业控制系统、云计算、虚拟化、物联网、大数据、移动互联网等方面面临的安全威胁及安全防护。