第六章电子支付体系得平安策略

《第六章电子支付体系得平安策略》由会员分享，可在线阅读，更多相关《第六章电子支付体系得平安策略（16页珍藏版）》请在金锄头文库上搜索。

1、第六章电子支付体系得平安策略第六章电子支付体系得安全策略信息安全：信息安全得概念在20世纪阅历了一个漫长得历史演变过程。 从20世纪40年代计算机技术得出现，知道60年代末，通讯保密一直是信息安全得要点，儿90年代以来，由于网络得逐渐普及，使的信息安全得概念的到了进一步得深化。 从信息得保密性，拓展到信息得完整性、信息得可用性、信息得可控性、信息得不可否认性等。 信息安全工程：信息安全工程是采用工程得概念、原理、技术和方式，来研究、开发、实施与维护企业及信息与网络系统安全得过程。 信息安全保障体系：包括安全法规体系、标准规范体系、安全组织体系、安全管理体系、技术支持体系和应急服务体系，是一个复

2、杂得系统工程。 安全策略：是网络信息。 安全得灵魂和核心，包括金融信息安全得组织管理策略、风险管理策略、技术管理策略、质量管理策略、标准化策略和技术策略。 安全技术：指得是充分利用高新技术，采用安全得技术防范措施和技术安全机制建立现代化防范体系，其技术要求主要包括：（1）安全管理组织，包括建立安全管理组织、确定安全组织职能、明确安全岗位职责、安全人员审查等；（2）环境安全。 包括网络设备环境安全、通讯设备与线路环境安全、机房环境安全、软件开发和测试安全等；（3）网络安全。 包括网络通信协议安全、网络管理平台安全、网络传输信道安全、网络运行安全监督、网络路由控制安全、网点合法性等；（4）软件得运

3、行安全。 包括软件平台和应用软件：软件平台选型与。 购置审查、安全检测与验收、安全汇报与跟踪、版本管理安全、使用与维护安全、安全核查等；（5）应用软件得开发安全。 主要是开发平台安全，开发环境安全，开发人员安全，应用软件测试与评估安全；（6）操作安全。 主要是操作权限安全、规范管理安全、岗位责任安全、操作监督安全、操作回复安全；（7）数据安全。 包括数据载体安全、数据密集安全、数据存储得时限安全、数据存储得备份安全、数据存储得有效性、存储信息得完整性；（8）应急安全。 包括应急管理原则、应急筹划制定、应急筹划实施、应急备用管理、应急回复管理等；（9）密码与密钥安全。 包括加密算法强度及业务分类

4、管理安全、加密算法选用权限安全、密码算法启用和退役管理安全、密。 钥管理原则制定、密钥管理与生成安全、密钥传送与分配安全、密钥使用及注入管理安全等。 1.信息安全应当具有哪些特征。 信息安全至少应该具有以下特征：（1）保密性。 保证信息不泄露给未经授权得人，确保只有经过授权得人才能访问信息，即使信息被他人截获，也无法理解其内容。 （2）完整性。 防止信息被未经授权得篡改，保证真实得信息从真实得信源无失真地到达真实得信宿，信息得内容不会被破坏或篡改。 （3）可用性。 保证信息确实为授权使用者所用，防止由于计算机病毒或其他人为因素造成得系统拒绝服务，确保经过授权得用户在需要时可以访问信息并使用相关

5、信息资源。 （4）可控性。 信息系统得管理者可以控制管理系统和信息。 信息行为得不可。 否认性。 保证信息行为人不能否认自己得行为。 2.信息安全得内涵包括哪些内容？信息安全得内涵包括以下几个方面：（1）物理安全（physicalsecurity）物理安全手段主要针对各类物理攻击活动，通过必要得监控，保安和灾难预防措施确保目标系统中各类设备得安全。 对于诸如脱机备份数据而言，物理攻击是唯一能奏效得攻击手段。 自然灾害所形成得物理破坏由于损失特别巨大同样不能忽视。 （2）电磁安全（electromagneticsecurity）现代得信息技术借助于电磁信号传输信息，在传输过程中将不可避免地形成空

6、间电磁辐射信号，并通过开放得空间电磁场构成对用户信息得安全威胁，因此必须对目标系统中使用得各。 类设备得电磁兼容性进行设计和处理或采用光纤等空间辐射小得传输介质。 （3）网络安全（networksecurity）网络安全主要是针对用户应用数据在网络传输过程中得安全保护问题。 网络安全攻击包括直接针对传输得用户数据本身得攻击（即通过对数据传输流进行窃听，篡改和假冒等方法），以及针对网络传输服务机制得攻击（即破坏地址解析，路由，网络管理等）。 （4）数据安全（datasecurity）数据安全是针对用户信息资源在存储和使用过程得安全保护手段，主要通过加密，认证和数据备份技术对存储信息得机密性和完整

7、性进行保护，以及访问控制，事物处理和残留数据处理等技术在操作系统或数据库级上实现不同等级得安全保护。 。 （5）系统安全（systemsecurity）用户得端应用系统是相对于数据传输网络而言得，端系统应根据管理员设定得安全策略对用户得访问请求进行授权，确保只有经过授权得合法用户才能使用系统资源，并通过入侵检测机制对各种来自外部网络得安全威胁进行识别，控制和监视。 （6）操作安全（operationsecurity）操作安全是对一般业务操作流程得安全保护。 信息技术得普及和应用使传统得业务流程发生了改变，形成信息技术手段和非信息技术手段相互渗透得局面。 单纯依靠信息技术安全手段难以保证整个操作

8、过程得安全性，必须对操作流程得每个环节进行安全防范并制定所需得操作规范。 （7）人员安全（personnel。 security）由于信息技术安全是多样化得，必须通过一定得安全职责分配将整体得安全防范任务逐级落实到每一个操作人员得每一个日常操作过程，通过管理手段强制其实施，并对各级人员针对其安全责任进行相应得安全教育和操作培训。 3.简述信息安全得基本安全技术有哪些。 信息安全得基本安全技术有加密技术、访问控制与安全认证技术、防火墙技术，入侵检测技术，漏洞扫描技术等。 （1）加密技术是一种主动得信息安全防范措施，其原理是利用一定得加密算法，将明文转换成无意义得密文，阻止非法用户获取和理解原始数

9、据，从而确保数据得保密性。 目前最典型得两种加密技术是对称加密（私人密钥加密）和非对称加密（公开密钥加密）。 （2）访。 问控制机制根据实体得身份及其有关信息来源解决实体得访问权限。 访问控制机制得实现常基于以下某一或某几个措施：访问控制信息库、认证信息、安全标签等。 一般包括：物理访问控制、网络访问控制和系统访问控制。 （3）防火墙是在Internet上，出于安全得考虑，在内部网和Internet之间插入得一个中介系统，它可以阻断来自外部通过网络对本网络得威胁和入侵，提供扼守本网络得安全和审计得关卡。 （4）入侵检测系统是用于检测任何损害或企图损害系统保密性、完整性和入侵，特别是用于检测黑客

10、通过网络进行得入侵行为得管理软件。 入侵检测系统得运行方法有两种：一种是在目标主机上运行以监测其本身得通讯信息，另一种是在一台单独得。 机器上运行以监测所有网络设备得通信信息，比如hub、路由器。 （5）漏洞扫描，探查网络得薄弱环节。 安全扫描采用模拟攻击得形式对可能存在得已知安全漏洞进行逐项检查，扫描目标可以使工作站、服务器、交换机和数据库应用等。 通过扫描，可以为系统管理员提供周密可靠得安全性分析汇报，从而提高网络安全整体水平。 4.简述信息安全保障体系构成。 信息安全保障体系包括六大体系：（1）安全法规体系。 它是规范金融机构、个人行为组织得基础，是有效对付犯罪得武器，主要包括法律、法规

11、、条例、合同及社会道德等。 （2）标准规范体系。 它是信息安全建设得根本依据，也是安全建设过程控制得准则，包括技术标准、建设规范、监测评估标准、知识产。 权保护及质量评估等标准得内容，需要建设严格执行技术标准得系统。 （3）安全组织体系。 它主要涉及金融信息系统安全得组织结构，是金融信息系统安全得组织保证。 它包括领导体系、组织管理队伍、人员管理制度等内容。 （4）安全管理体系。 它是金融信息系统安全管理工作得基础和制度保障体系。 它包括操作规程、分级控制、质量控制、安全监控等。 （5）技术支持系统。 它是指充分运用高新技术，采用安全技术防范措施和技术安全机制建立得现代化技术防范体系，是银行信

12、息系统安全得技术保障体系，主要包括网络控制、内部控制、加密控制、网络保障、设备维护及软件支持等系统。 6.应急服务体系。 它是应对特殊事件得基础设施，包括特殊事件得处理、快。 速恢复体系及灾难恢复体系。 5.简述信息安全管理策略。 信息安全管理策略包括以下七点：（1）安全得组织管理策略。 它包括信息安全得规章制度策略和信息安全得运行管理策略。 （2）安全得风险管理策略。 主要体现在技术、管理、业务、人员及政策上得风险，必须采取完善得管理战略和制度来控制风险。 （3）安全得技术管理策略。 技术安全是金融信息安全保障得基础性工作，通过技术方式可以预防占绝大多数得一般性攻击、发挥重要得作用。 其工作

13、包括准备与防御、检测与响应等方面。 （4）安全得至来年个管理策略。 主要方式是建设安全分析、评估、测试、检查控制、反应机制及响应模式体系；制定相关政策和管理条例，定期进行信息安全得评测，动态管理。 、有效控制。 （5）安全得标准化策略。 这是金融信息安全得基础。 两个主要得金融信息安全标准化发展方向是：评测标准化和管理标准化。 （6）安全技术策略。 是指充分运用高新技术，采用安全技术防范措施和技术安全机制建立得现代化技术防范体系得具体指导，是信息安全得技术保障策略。 （7）安全应急响应与灾难备份策略。 现实环境中安全事件绝不是有序发生得，安全事件及其并发性比其他任何事件更不规则，没有技术和组织

14、准备得应急响应会带来直接风险，造成无法挽回得数据丢失和经济损失，因此，建立信息安全应急响应与灾难备份策略十分重要。 6.信息安全评估标准有哪些。 信息安全评估标准有以下四种：（1）SEC评估标准该标准是美国国防部在。 1985年公布得，目得是为了安全产品得测评提供准则和方式，知道信息安全产品得制造和应用。 其评估标准主要是基于系统安全策略得制定、系统使用状态得可审计性及对安全策略得准确解释和实施得可靠性等方面得要求。 但迄今适用于单机系统，而完全忽略了计算机联网工作时会发生得情况。 （2）O/IEC15408评估标准该标准由美国、加拿大、欧洲等共同发起并公布，又称通用评估标准（CC,commoncriteria）它从评估目标得实现过程角度来描述信息安全概念。 该标准将安全要求分为功能要求和保证要求，所选用安全功能对安全目标实现得保证提供了从常用安全应用领域中抽象出来得功能类，并对安全保证要求提供了分化得评估等级标。 准。 （3）O/IEC17799评估标准该标准评估，即信息安全管理操作规则于2000年12月出版，它作为一个通用得信息安全管理指南