1.安全政策的核心內容是“七定”:定計劃、定崗位、定定位、定人員、定目標、定制度、定流程。
2、安全策略需要處理的關系。
①安全與應用的依賴:安全與應用是矛盾統壹的。沒有應用，就不會有相應的安全需求；如果存在安全問題，就不能更好的應用；
②風險觀:信息系統的安全目標是“系統永不停機、數據永不丟失、網絡永不癱瘓、信息永不泄露”；
③適度安全的觀點；
④木桶效應的觀點；
⑤信息系統安全等級保護的概念。
A.壹級:用戶獨立保護級:通過將用戶與數據隔離，使用戶具備獨立安全保護的能力；
b二級:系統審計保護級別:適用於通過內網或國際網絡開展業務活動且需要保密的非重要單位；
c三級:安全標誌保護級別:具有系統審計保護級別的所有功能。適用於地方各級國家機關、金融機構、郵電通信、能源供水部門、交通運輸、大型工商和信息技術企業、重點工程建設單位；
D.第4級:結構化保護級別:基於明確定義的正式安全策略模型，要求將第3級中的自主和強制訪問控制擴展到所有主體和客體。適用於中央國家機關、廣播電視部門、重要物資儲備單位、社會應急服務部門、尖端科技企業集團、國家重點科研單位和國防建設部門；
E.訪問驗證保護級別:滿足訪問控制器的要求。訪問控制器本身是防篡改的，並且必須足夠小以便分析和測試。適用於依法需要對計算機信息系統進行特殊隔離的國防重點部門和單位。
安全防護等級由兩個分級要素決定:等級防護對象被破壞時所侵害的對象和對對象的侵害程度。
3.信息安全系統:是信息系統的壹部分，用於保證“業務應用信息系統”的正常運行。用三維空間反映信息安全體系的架構和組成；
①X軸是“安全機構”。安全機制可以理解為通過提供壹定的安全服務，使用各種安全技術和技能而形成的相對完整的結構體系；
②Y軸是OSI網絡參考模型。信息安全系統的許多技術和技能都是在網絡的各個層次上實現的，包括物理層、數據鏈路層、網絡層、傳輸層、會話層、表示層和應用層。
③Z軸是“安全服務”，從網絡的各個層面為信息應用系統提供安全服務支持。
X、Y、Z軸構成的信息安全系統三維空間，就是信息系統的“安全空間”。它包含了“認證性、權威性、完整性、加密性和不可否認性”五個要素，也被稱為“安全空間”。
4.安全服務:分為點對點實體認證服務(確認對方實體的合法性和真實性，防止偽造)、數據保密服務、數據完整性服務、數據源認證服務、截止否認服務、刑事證據提供服務。
5.安全技術:加密技術、數字簽名技術、訪問控制技術、數據完整性技術、認證技術和數據挖掘技術。
6、信息安全系統架構
(1) MIS+S系統:初級信息安全系統或基礎信息安全系統。其特點包括:業務應用系統基本不變，硬件和系統軟件通用，安全設備基本無密碼；
(2) S-MIS系統:標準的信息安全系統。其特點包括:硬件和系統通用，PKI/CA安全體系必須攜帶密碼，業務應用系統必須發生根本性改變，主要通用軟硬件必須通過PKI/CA認證；
③S2-MIS系統:超級安全的信息安全系統:以專用硬件和系統軟件、PKI/CA安全基礎設施的密碼、業務應用系統的根本性變革為特征。
7.ISSE過程:工程過程、風險過程(壹個有害事件由外部威脅、內部脆弱性和影響三部分組成)和保障過程。
8.PKI (Public Key Infrastructure):基於非對稱密鑰加密技術，以數據機密性、完整性、身份認證和行為不可否認性為安全目的，實現並提供安全服務的通用安全基礎設施。PKI的基本組件包括:
①數字證書:由認證機構經數字簽名後發送給網上信息交易主體的電子文檔，用以驗證對方身份的真實性，保證交易信息的真實性、完整性、保密性和不可否認性。數字證書是PKI的基礎；
(2)認證中心:CA是PKI的核心。由公正、權威、可信的第三方認證機構負責數字證書的頒發、撤銷和生命周期管理，同時提供證書的密鑰管理和在線查詢等服務。
③數字證書註冊和審批權限:RA系統是CA的數字證書頒發和管理的擴展；
④其他:數字簽名、密鑰和證書管理工具、雙證書系統、PKI架構、PKI信任服務系統、PKI密鑰管理中心。
9.X.509證書標準:版本號、序列號、簽名算法標識符、認證機構、有效期、主題信息、認證機構的數字簽名、公鑰信息。
10，PKI/CA對數字證書的管理:按照數字證書的生命周期實施，包括證書安全需求的確定、證書申請、證書註冊、分發、審核、撤銷和更新。
11，CA是受信任的組織。對於當前和未來的交易，CA向個人、計算機設備和組織頒發證書，以確認他們的身份，並為他們使用證書的所有行為提供信用擔保。
12，PMI是權限管理基礎設施或者授權管理基礎設施。PMI授權技術的核心思想是以資源管理為核心，資源的訪問控制權由授權機構統壹管理，即由資源的所有者管理訪問控制權。
13、PMI和PKI的區別:PMI主要進行授權管理，證明這個用戶有什麽權限，可以做什麽；PKI主要進行身份認證，證明用戶的身份。
14.信息安全保障機制的核心內容之壹。訪問控制是限制訪問主體對訪問對象的訪問權限，使計算機信息應用系統在合法範圍內使用；訪問控制機制決定了代表某些用戶利益的用戶和程序能做什麽，能做到什麽程度。有兩個重要的過程:
①認證過程:通過“認證”檢驗主體的合法身份；
(2)授權管理:通過“授權”，賦予用戶對某項資源的訪問權限。
15.訪問控制機制的分類:強制訪問控制(MAC，用戶不能改變自己的安全級別或對象的安全屬性)和自主訪問控制(DAC——允許對象的所有者為對象制定保護策略，限制哪些主體可以對哪些對象執行哪些操作)。
16.訪問控制的應用:有以下四種類型:
(1) ①DAC，自主訪問控制模式:為每個用戶指定可以訪問的資源，不允許訪問不在指定資源列表中的對象；
②ACL，訪問控制列表模式:目標資源有壹個訪問權限列表，指明允許哪些用戶訪問；
(3) ③MAC，強制訪問控制模式:目標有壹個安全標簽(非機密、受限、秘密、機密等。)包含壹個層次；訪問者有壹個許可證，其中包含壹個級別列表，該列表定義了可以預熱哪個級別的目標。多用於軍事和安全部門；
④RBAC，基於角色的訪問控制方法:首先在組織中定義壹些角色，如主任、科長、職員等；然後根據管理規定給這些角色分配相應的權限，最後根據具體的業務和崗位給組織中的每個人分配壹個或多個角色。
17、安全審計:記錄和審查主體對客體的訪問和使用，確保安全規則正確執行，幫助分析安全事故的原因。
①安全審計的內容:采用網絡監控和入侵防禦系統，識別網絡上的各種非法操作和攻擊，並立即做出相應的響應和阻斷；審計信息內容和業務流程可以防止內部機密或敏感信息的非法泄露和單位資產的損失。
②信息安全審計系統是業務應用信息系統的“黑匣子”。即使在整個系統被災難摧毀後，“黑匣子”也能安然無恙，準確記錄受損系統的各種痕跡和“現場記錄”。
③信息安全審計系統是業務應用信息系統的“黑匣子衛士”。隨時監控、跟蹤、抓捕現有的壹切犯罪行為和違法行為，同時“堵上”和鏟除隱藏和隱蔽的犯罪傾向和違法苗頭。
④安全審計的作用:對潛在攻擊者起到威懾或警示作用；為已經發生的系統損壞提供有效的調查證據；為系統安全管理者提供有價值的系統使用日誌，以便幫助系統安全管理者及時發現系統入侵或潛在的系統漏洞；為系統安全管理員提供系統運行的統計日誌，以便系統安全管理員發現系統性能的不足或需要改進和加強的地方。
⑤安全審計功能:CC標準將安全審計功能分為六個部分:
A.安全審計的自動響應功能:定義當檢測到的事件表明存在潛在的安全攻擊時做出的響應，這是管理審計事件的需要，這些需要包括報警或動作；
b、安全審計數據生成功能:要求記錄安全相關事件的發生，包括識別審計級別，列出可審計的事件類型，識別各種審計記錄類型提供的相關審計信息的最小集合；
C.安全審計分析功能:定義分析系統和審計數據，發現可能或真實的安全違規操作(包括潛在攻擊分析、基於模板的異常檢測、簡單攻擊探測和復雜攻擊探測)；
D.安全審計瀏覽功能:要求審計系統能夠使授權用戶有效瀏覽審計數據，包括審計瀏覽、受限審計瀏覽和可選審計瀏覽。
E.安全審計事件選擇功能:要求系統管理員維護、檢查或修改審計事件集；
F.安全審計事件的存儲功能:審計系統需要提供控制措施，防止由於資源不可用而導致審計數據丟失。
18.重要應用系統審計:包括基於主機的操作系統代理、應用系統代理、應用系統獨立程序和網絡旁路監控模式。
19.分布式審計系統:由審計中心(集中存儲和管理整個審計系統的數據)、審計控制臺(提供給管理員查看審計數據)和審計代理(與被審計網絡和系統直接相連的組件，不同的審計代理執行不同的功能)組成。