信息安全管理模型是對信息安全管理的一個抽象化描述。它是組織建立信息安全管理體系的基礎。目前，在對安全理論、安全技術和安全標準研究的基礎上，不同的組織都提出了相應的信息安全管理模型。這些模型的側重點不同，對信息安全的管理方式也不同。
OSI安全體系結構OSI安全體系結構的研究始于1982年，到1989年又制定了一系列特定安全服務的標準，其成果標志是ISO發布的 ISO 7498-2 標準。OSI安全體系模型主要包括3方面的內容：
1)安全服務：包括認證服務、訪問控制服務、數據保密服務、數據完整性服務和抗抵賴服務。
2)安全機制：包括加密機制、數字簽名機制、訪問控制機制、數據完整性機制、鑒別交換機制、業務流填充機制、路由控制機制、公正機制等。
3)安全管理：通過實施一系列安全政策，對系統和網絡上的操作進行管理，包括系統安全管理、安全服務管理和安全機制管理。
PDRR 模型 PDRR(Protection Detection Response Recovery，如下圖所 示)是一個比較成熟的網絡安全模型，可以用于信息安全管理。該模型由防御、檢測、響應、恢復組成了一個動態的信息安全周期。安全政策的每一部分包括一組安 全單元來實現一定的安全功能。安全策略的第一部分是防御。根據系統已知的所有的安全問題做出防御措施，如打補丁、訪問控制、數據加密等等。安全策略的第二 部分就是檢測。攻擊者如果穿過了防御系統，檢測系統就會檢測出來。這個安全戰線的功能就是檢測出入侵者的身份，包括攻擊源、系統損失等。一旦檢測出入侵， 響應系統開始響應，包括事件處理和其他業務。安全策略的最后一個戰線是系統恢復。在入侵事件發生后，把系統恢復到原來的狀態。
PDRR模型
信息安全管理 PDCA 持續改進模式該模型的結構如下圖所示。
信息安全管理PDCA持續改進模式
P——策劃：根據組織的商務運作需求(包括顧客的信息安全要求)及有關法律法規要求，確定安全管理范圍與策略，通過風險評估建立控制目標與方式，包括必要的過程與商務持續性計劃。
D——實施：實施過程，即組織要按照組織的策略、程序、規章等規定的要求，也就是按照所選定的控制目標與方式進行信息安全控制。
C——檢查：根據策略、目標、安全標準即法律法規要求，對安全管理過程和信息系統的安全進行監視與驗證，并報告結果。
A——行動：對策略適宜性評審與評估，評價ISMS 的有效性，采取措施，持續改進。
HTP信息安全模型該模型(如下圖所示)由三部分組成：人員與管理(Human and management)、技術與產品(Technology and products)、流程與體系(Process and Framework)。
HTP信息安全模型
人員與管理：從國家的角度考慮有法律、法規、政策問題;從組織角度考慮有安全方針政策程序、安全管理、安全教育與培訓、組織文化、應急計劃和業務持續性管理 等問題。人是信息安全最活躍的因素，人的行為是信息安全保障最主要的方面;從個人角度來看有職業要求、個人隱私、行為學、心理學等問題。
技術與產品：組織可以依據“適度防范”原則綜合采用商用密碼、防火墻、防病毒、身份識別、網絡隔離、可信服務、安全服務、備份恢復、PKI 服務、取證、網絡入侵陷阱、主動反擊等多種技術與產品來保護信息系統安全。
流程與體系：組織應當遵循國內外相關信息安全標準與最佳實踐過程，考慮到組織對信息安全的各個層面的實際需求，在風險分析的基礎上引入恰當控制，建立合理的安全管理體系，從而保證組織賴以生存的信息資產的安全性、完整性和可用性。
其他模型
著名的美國互聯網安全系統公司( ISS) 基于P2DR，提 出了自適應性網絡安全模型(ANSM:adaptive network security model)。具體模型可以用 PADIMEE 來描述。安氏公司通過對技術和業務需求分析及對客戶信息安全的“生命周期”考慮，在 7 個方面體現信息系統安全的持續循環：策略(policy) 、評估 (assessment) 、 設計 (design) 、 執行 (implementation) 、 管理(management) 、緊急響應(emergency response) 和教育(education) 。
中國科學院信息安全國家重點實驗室的趙戰生教授在一次信息安全會議報告中，給出了一個信息安全保障框架模型，在PDRR模型的基礎上前加上一個 W(warning)，后加上一個 C(counterattack)，反映了6大能力，分別是預警能力、保護能力、檢測能力、反應能力、恢復能力和反擊能力。
共有條評論 網友評論