从信息安全五大要素谈安全架构建设

核心提示： 保密(Confidentiality)，认证和授权是信息安全的基础，从信息安全五大要素谈安全架构建设(2)，但是光有这两项是不够的，保密是要确保信息在传送过程和存储时不被非法使用者“看”到，如某个IP地址所代表的设备等，身份的管理也包含了“黑名单&rdq

保密(Confidentiality)。认证和授权是信息安全的基础，但是光有这两项是不够的。保密是要确保信息在传送过程和存储时不被非法使用者“看”到。一个典型的例子是，合法使用者在使用信息时要通过网络，这时信息在传送的过程中可能被非法“截取”并导致泄密。一般来说，信息在存储时比较容易通过认证和授权的手段将非授权使用者“拒之门外”。但是，数据在传送过程中则无法或很难做到这一点，因此，加密技术就成为了信息保密的重要手段。

完整性(Integrity)。如果说信息的失密是一个严重的安全问题，那么信息在存储和传送过程中被修改则更严重了。例如，A给B传送一个文件和指令。在其传送过程中，C将信息截取并修改，并将修改后的信息传送给B，使B认为被C修改了的内容就是A所传送的内容。在这种情况下，信息的完整性被破坏了。信息安全的一个重要方面就是保证信息的完整性，特别是信息在传送过程中的完整性。

不可否认(Non-repudiation)。无论是授权的使用还是非授权的使用，事后都应该是有据可查的。对于非授权的使用，必须是非授权的使用者无法否认或抵赖的，这应该是信息安全的最后一个重要环节。

全方位的安全技术实现

企业信息化的安全架构就是根据信息安全的五大要素，从整体上考虑信息的安全防护问题。企业的信息化安全架构应该是一个整体统一考虑，将安全的五大要素落实在信息化系统的每一个环节之上，从而形成对企业信息资源的全面保护。

首先是要有一个统一的身份管理系统。统一的身份管理系统不仅仅需要对人进行管理，也要对相应的各种设备的身份进行管理，如自动柜员机、路由器和主机等等。另外，对企业之外的相关人员和设备也要进行管理，如某个IP地址所代表的设备等。身份的管理也包含了“黑名单”的管理，如垃圾邮件服务器等。