1.4.2　保障信息安全的主要防御策略

盡管計算機網(wǎng)絡信息安全受到威脅，但是采取恰當?shù)姆雷o措施也能有效地保護網(wǎng)絡信息的安全。信息系統(tǒng)的安全策略是為了保障在規(guī)定級別下的系統(tǒng)安全而制定和必須遵守的一系列準則和規(guī)定，它考慮到入侵者可能發(fā)起的任何攻擊，以及為使系統(tǒng)免遭入侵和破壞而必然采取的措施。實現(xiàn)信息安全，不但要靠先進的技術(shù)，而且要靠嚴格的安全管理、法律約束和安全教育。

信息系統(tǒng)的安全策略主要包括：物理安全策略、運行管理策略、信息安全策略、備份與恢復策略、應急計劃和相應策略、計算機病毒與惡意代碼防護策略、身份鑒別策略、訪問控制策略、信息完整性保護策略、安全審計策略。

1.物理安全策略

計算機信息和其他用于存儲、處理或傳輸信息的物理設施，例如硬件、磁介質(zhì)、電纜等，對于物理破壞來說是易受攻擊的，同時也不可能完全消除這些風險。因此，應該將這些信息及物理設施放置于適當?shù)沫h(huán)境中并在物理上給予保護使之免受安全威脅和環(huán)境危害。

2.運行管理策略

為避免信息遭受人為過失、竊取、欺騙、濫用的風險，應加強計算機信息系統(tǒng)運行管理，提高系統(tǒng)安全性、可靠性，減少惡意攻擊、各類故障帶來的負面效應，全體相關(guān)人員都應該了解計算機及系統(tǒng)的網(wǎng)絡與信息安全需求，建立行之有效的系統(tǒng)運行維護機制和相關(guān)制度。比如，建立健全中心機房管理制度、信息設備操作使用規(guī)程、信息系統(tǒng)維護制度、網(wǎng)絡通信管理制度、應急響應制度等。

3.信息安全策略

為保護計算機中數(shù)據(jù)信息的安全性、完整性、可用性，保護系統(tǒng)中的信息免受惡意的或偶然的篡改、偽造和竊取，有效控制內(nèi)部泄密的途徑和防范來自外部的破壞，可借助數(shù)據(jù)異地容災備份、密文存儲、設置訪問權(quán)限、身份識別、局部隔離等策略提高安全防范水平。

在設計信息系統(tǒng)時，選用相對成熟、穩(wěn)定和安全的系統(tǒng)軟件并保持與其提供商的密切接觸，通過其官方網(wǎng)站或合法渠道，密切關(guān)注其漏洞及補丁發(fā)布情況，爭取“第一時間”下載補丁軟件，彌補不足。

4.計算機病毒與惡意代碼防護策略

病毒防范包括預防和檢查病毒（包括實時掃描、過濾和定期檢查），主要內(nèi)容包括：控制病毒入侵途徑，安裝可靠的防病毒軟件，對系統(tǒng)進行實時檢測和過濾，定期殺毒，及時更新病毒庫，詳細記錄，防病毒軟件的安裝和使用由信息安全管理員執(zhí)行。

5.身份鑒別和訪問控制策略

為了保護計算機系統(tǒng)中信息不被非授權(quán)的訪問、操作或被破壞、必須對信息系統(tǒng)實行控制訪問。采用有效的口令保護機制，包括：規(guī)定口令的長度、有效期、口令規(guī)則。保障用戶登錄和口令的安全；用戶選擇和使用密碼時應參考良好的安全慣例，嚴格設置對重要服務器、網(wǎng)絡設備的訪問權(quán)限。

6.安全審計策略

計算機及信息系統(tǒng)的信息安全審計活動和風險評估應當定期執(zhí)行。

特別是系統(tǒng)建設前或系統(tǒng)進行重大變更之前，必須進行風險評估工作。

定期進行信息安全審計和信息安全風險評估，并形成文檔化的信息安全審計報告和風險評估報告。