信息安全工程

这一章在讲什么

一台电脑本身可能值五千块，但它里面存着的客户名单、投标文件值五百万。信息的价值早就超过了承载它的设备，所以必须专门建一套"护栏"来保护它。

这一章就讲这套护栏怎么建：8.1 讲管理（制度、组织、等级保护），8.2 讲系统（安全机制和安全服务是什么），8.3 讲工程方法（用什么成熟度模型来规范建设过程）。它是 IT 技术板块（1～8 章）里最常考、最容易拿分的一章，选择题基本每年都出，尤其"等保五级"和"ISSE-CMM 五级"几乎是送分题。

逻辑骨架

一句话：管理定规矩（8.1），系统出手段（8.2），工程保质量（8.3）——"三分技术、七分管理"。

考点地图

本章速记

• CIA 三要素：保密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。第四要素常加"不可否认性/可审计性"。
• 安全空间五大属性：认证、权限、完整、加密、不可否认。
• 三三分：信息安全"三分技术、七分管理"。
• ISO/IEC 27000 四类控制：组织、人员、物理、技术。
• 等保 2.0：2019 年 12 月 1 日起实施；五个等级；定级流程：确定定级对象 → 初步确定等级 → 专家评审 → 主管部门审核 → 公安机关备案。
• 安全服务 7 项：对等实体认证、访问控制、数据保密、数据完整性、数据源点认证、禁止否认、犯罪证据提供。
• OSI 安全体系结构：8 类安全机制（加密、数字签名、访问控制、数据完整性、认证交换、流量填充、路由控制、公证）+ 5 类安全服务（认证、访问控制、数据保密性、数据完整性、不可否认性）。
• ISSE 三部分：工程过程、风险过程、保证过程。
• ISSE-CMM 五级：非正规实施级 → 规划与跟踪级 → 充分定义级 → 量化控制级 → 持续改进级。
• WPDRRC：预警、保护、检测、反应、恢复、反击。

节列表

• 8.1 信息安全管理
• 8.2 信息安全系统
• 8.3 工程体系架构
• 8.4 本章练习