 上传我的文档
 下载
 收藏
该文档贡献者很忙，什么也没留下。
 下载此文档
正在努力加载中...
如何理解信息安全等级保护与分级保护
下载积分：30
内容提示：信息安全
文档格式：PDF|
浏览次数：349|
上传日期： 13:53:36|
文档星级：
该用户还上传了这些文档
如何理解信息安全等级保护与分级保护.PDF
官方公共微信附近人在搜什么
基于技术与管理的云数据隐私保护与安全保证
（速途网专栏 作者：金欣）盛夏来袭，傍晚在武汉江滩散步乘凉是很不错的选择。看着江上的轮船，吹着令人心怡的江风，岸边悠闲散步或玩乐的人，有人时不时举起手机，随手一拍，一键上传，就这样实时跟好友分享了自己的动态及所见，很方便。
这是我们常用的云相册。其实，除了云相册，云存储无处不在。免漫游的“微云”，海量存储的“云音乐”，任意读取的电子书，兼容各种文件的手机精灵，随时随地，只要一键，爱听的音乐、承载记忆的照片，以及至关重要的联系人，都存储在上千公里外的服务器集群中，我们全部的数字生活都记录在“云”中的世界。
云端隐忧，几人知晓？
殊不知，当你享受科技带来的便捷时，当你沉浸与好友分享你的动态时，你往往忽视了一个最重要的东西：隐私。你拍的东西上传到了哪里，它真的像广告语说的那样：随时随地安全便捷存取所有的文件吗？
当被问到“随拍族”，知道他们的东西上传到了哪里，大多数人表示不清楚。韦克菲尔德研究中心（Wakefield Research）最近开展的一项调查中，约半数参与者说自己没有使用“云”，而实际使用者比例高达95%。是的，“云”的创造者的最大花招，是让人用了“云”，但感觉不到“云”的存在。
云服务将改变我们对所有权的基本设想。当下，我们能够通过任何设备，方便地获取在线服务和数字财产，同理，我们张贴在社交媒体网站上的照片和视频等附件也能为别人所共享。云端成了一个数字文件柜，我们可以随意取用，但是钥匙却不在我们手上。
比如，基于云端的服务会蓄意删除文件，这个很常见。当云供应商的程序算法认为可能包含非法或者色情内容的时候，他们可以丢掉你的东西，却不受任何惩罚。反过来，如果你想删除自己的文件，却无法保证那些文件在云服务器上真的会被删除。
换言之，只要把自己拥有的资料交给第三方，就会有可能会发生隐私泄露的风险。然而，公众一味享受科技带来的便捷，对这种隐忧懵然不知。
隐私事件频有发生
2012年1月，亚马逊旗下美国电子商务网站Zappos遭到黑客网络攻击，2400万用户的电子邮件和密码等信息被窃取。
2012年3月，东软集团被曝商业秘密外泄，约20名员工因涉嫌侵犯公司商业秘密被警方抓捕。此次商业秘密外泄造成东软公司损失高达4000余万元人民币。
京东商城、一号店等电子商务网站数据库泄密也让网民坐立不安；更有传言称民生银行、工商银行纷纷中招，这些网络“泄密门”的不断升级，显示出网络数据安全堪忧，由此可见，云数据不是完全安全的。
再比如，一位名为凯尔·古德温（Kyle Goodwin）的专门拍摄体育赛事的人，为保护那些宝贵的视频素材，他将它们放置在了一家颇受欢迎的存储机构。当他想取回这些资料时，结果发现所有这些资产全部毫无预警地消失了。一同消失的，还有其它1.5亿用户存储在那里的一切。他要求索回这些资料时，却遭到拒绝。于是，他决定告上法庭。没收这些资料的机构则回应称：在古德温上传这些素材的那一刻，他便已经丧失了对这些财产的所有权。
由此可见，无论是法律保障、技术安全、还是企业自律，要真正实现云存储“便捷又安全”的目标，仍然任重而道远。
云环境下的“陈冠希”们如何保护自己的隐私？
云存储概念的诞生，让我们沉浸在不用担心恶意软件、按键记录器和PC监控等软件的喜悦之中，从而忘了在我们将数据转移至云端之后依旧面临数据安全的问题。
受益于科技却又被科技绑票，在移动操作系统之下设置安全壁垒并不复杂，但毕竟不是像穿过公园那样简单。为避免安全事故的发生，我们应反思云时代如何捍卫自己的隐私权，保障自己隐私安全。志欣合众网络科技有限公司提醒，可以从以下几点出发，提高云使用过程中的安全。
1、选择权威、大型的云服务提供商
大型的云服务提供商意味着更强大的技术支持，更成熟运营手段、更加健全的用户保障。相较而言，小型的云服务提供商会更易因安全漏洞遭黑客攻击，或运营不善遭到查处，泄露隐私的可能性更大。
2、养成良好的上网习惯
（1）保护好个人使用终端，避免被盗或者被他人使用。若发生被盗，要及时删除账号内的各种资料。在非自己的终端上登录操作时，注意其它设备是可以通过浏览器进行信息的保存的，这时很容易造成信息的泄露，所以要注意你登录的设备，注意操作完成之后进行数据清理。在登录时开启隐私模式浏览，切记不要因为图方便就选择保存账户名和密码。
（2）设置安全度更高的密码。单纯的数字和字母密码安全级别低，建议数字加大小写字母加符号组合。对于不同网站的密码设定，理想状态是每个网站的密码都是唯一的，这样，当一个账户被破解之后，其它账户是安全的。不要为了方便记忆而将密码设成一致的，导致其它账户的安全性降低。此外，定时更新自己互联网密码，并通过不同邮箱来注册不同等级的互联网账号。
（3）管理密码。当你拥有众多的用户名和密码的时候，最好能使用密码管理软件，特别是为移动应用和软件。
（4）密码加密。如果可能的话，尝试将密码进行加密，这种做法很不错。加密软件对于部分用户来说有点难度，但这绝对能够增加账户的安全性，因为没有人能够轻易能破解。
（5）设置安全问题。尽量避免你设置的安全问题很容易就能够在网络上找到答案，最好的方法是设置一个问题，而将答案设置成其它问题的答案。例如，将问题设置为“你最崇拜的人是谁?”，而答案则设置成“苹果”。
（6）双重身份认证。要通过两种模式才能登录网站，而不仅仅是用户名和密码，还需要一个动态口令。如通过短信形式发送到你的手机上，只有输入正确的用户名、密码以及动态口令才能登录，这样就为你的账户又增加了一道锁。
（7）管住自己的嘴巴。不要和任何人分享你的云存储信息，密码必须是保密的。
（8）注意数据备份。资料同步到云端之后要记得及时备份资料，也可能是涉及到保障数据安全时，被告知需要备份数据，一定要在自己的硬盘上备份自己的数据。
（9）处理完成后记得删除。由于免费网盘容量有限，及时删除过期或者不需要的资料。而且你永远不知道未来你的数据会为你带来多大的麻烦。
（10）个人电脑的安全。一定要装好杀毒软件以及最新的系统补丁，不要进一些不良网站或者使用任何不信任的软件。因为你进行所有的云存储操作都是在操作系统的基础之上的，如果你的系统不安全，那么你的数据必然是不安全的。如果你忘了加密，这时只需一个键盘记录器就可获取你的登录信息，所以反病毒和反间谍软件是很有必要的。
技术平台如何保护隐私？
通过对云平台的隐私保护手段的多项案例研究，志欣合众公司总结以下几种技术平台的隐私保护手段：
1、云平台常见的隐私保护手段
（1）无菌隔离
“无菌隔离”主要用于多组人、批量性数据流转与处理。此手段如同生物隔离室，可运用机械手、远程方式进行操作，但并不会直接接触到事物本身。引申至云平台，操作员在下达命令时应采用通过已测试验证、安全有效的操作工具（或管理系统）对数据进行操作与管理，数据在各系统或子系统中流转应该是“无菌隔离”的，人员无法直接接触到原数据，数据流转是系统对系统，最终数据输出至使用部门。
案例：某省移动云平台，建立数据集市系统应对数据安全，数据流转采用操作人员下达指令方式推送，各子系统接收集市平台推送的数据，全程数据“无污染”。
（2）黑白盒策略
通过无菌隔离得到数据后，最终操作、分析数据的业务人员应是不知道实现的机制与原理，数据已按预定义的行为操作进行了剥离，通常业务人员权限不高，剥离数据的限制较高参与。
案例：某电商网站在双十一活动结束后，数据无菌隔离进入分析系统，业务操作人员基于黑白盒策略只能操作剥离下来的部份数据进行数据汇总分析，结果形成汇总统计而不会泄露用户隐私信息。
（3）信息域管理
信息域是被管理信息的集合，它被安排满足下列组织要求：按若干个功能用途（或方针）诸如按安全、计费、故障管理等划分环境，或者按每一个用途诸如按地理、技术或组织结构划分环境。不同的信息域存储的内容不一样，不同的信息域安全级别不同，不同的信息域要求的授权不一致，不同的信息域所针对的业务也不相同。
案例：某游戏系统需划分成多个信息域，用户账户信息域、游戏服务器信息域、经济系统信息域、道具信息域等，各信息域可轻耦合，也可无不关联，每信息域的进入门槛与权限系统也各不相同。
（4）信息片段管理
若干个信息片段组成一个信息域，这些片断基本是服务于一个业务。
案例：以用户账户信息域为例，用于账户认证与账户相关资料的应保存于不同的信息域中，成为多个信息片断。
隐私保护的手段与级别示意图：
2、云数据管理隐私保护具备的特征
云平台的隐私保护手段保证了云数据的安全性，志欣合众公司技术总监张晓康指出，云数据管理的隐私保护具有三个特征：
（1）云数据管理不允许超级管理员存在
云数据管理需在制度上与技术平台上屏蔽超级管理员的存在，能力越强，责任越大，不是每个人都具备承担超级管理员的特质，且该角色的存在理论上就存在极大风险。
（2）数据安全才不会泄露隐私
数据安全意指通过一些技术或者非技术的方式来保证数据的访问是受到合理控制，并保证数据不被人为或者意外的损坏而泄露或更改。从非技术角度上来看，可以通过法律或者一些规章制度来保证数据的安全性；从技术的角度上来看，可以通过防火墙、入侵检测、安全配置、数据加密、访问认证、权限控制、数据备份等手段来保证数据的安全性。对于任何一个IT系统来说，在运行生命周期过程中使用的和生产的数据都是整个系统的核心部分。我们一般把这些系统数据分为公有数据和私有数据两种类型。
公有数据代表可以从公共资源获得的数据信息，例如股票信息、公开的财务信息等，这类数据可以被任何一个IT系统获得并使用。而私有数据则代表这些数据是被IT系统所独占并无法和其它IT系统所共享的信息。对于公有数据，使用它们的IT系统并不需要处理安全相关的事务，然而对于私有数据特别是一些较为敏感的私有数据，在构建IT系统时需要专门考虑如何保证数据不被盗用甚至修改。
传统的IT系统通常搭建在客户自身的数据中心内，数据中心的内部防火墙保证了系统数据的安全性。和传统软件相比，云计算在数据方面的最大不同便是所有的数据将由第三方而非第一方来负责维护，并且由于云计算架构的特点，这些数据可能被存储在非常分散的地方，并且都按照明文的方式进行存储。尽管防火墙能够对恶意的外来攻击提供一定程度的保护，但这种架构使得一些关键性的数据可能被泄露，无论是偶然还是恶意。例如，由于开发和维护的需要，软件提供商的员工一般都能够访问存储在云平台上的数据，一旦这些员工信息被非法获得，黑客便可以在万维网上访问部署在云平台上的程序或者得到关键性的数据。这对于对安全性有较高要求的企业应用来说是完全不能接受的。
开发者和管理者分离
程序开发者与实际管理人员分离，开发者不能掌控生产系统管理权限，管理人员不明白系统架构与运作机理，只能通过已测试并经授权的管理界面进行操作。
如何保障云数据的安全性
志欣合众通过对云数据安全的相关技术深入研究，总结需使用两步法来保证云数据的安全：
第一步：身份认证。
身份认证如同锁与钥匙的关系，有三个方面需要注意。
首先是密码，每个网站都有自己的账户和密码，理想状态是每个网站中每个用户的不可逆加密密码都是唯一的，同网站中当一个账户被破解后，其它账户是安全的。不能设定相同密码，因用户密码相同而降低其它账户的安全性。
接下来是双重身份认证，即需要通过两种模式登录网站，不仅需要用户名和密码，还需要一个动态口令，如通过短信形式发送到手机上，只有输入正确的用户名、密码以及动态口令才能登录，这样为账户又增加了一道锁。
最后注意的是登录的终端，一般情况下我们通过自己的设备进行数据操作，但有时也会在非自己的设备上进行登录操作，其它设备通过浏览器进行信息保存时，很容易造成信息泄露，因此需要使用隐私模式操作或操作完成之后进行数据清理。
第二步：平台环境。
平台环境的安全如同银行的金库系统，涉及四个层次：
第一：通讯安全。如同银行的金库系统，别人能不能进入银行金库。首先需有一个信息安全通道，在技术上需采用数字认证与高强度流加密算法保证通道安全，不能被截获；
第二：平台系统安全。如同银行的保险柜好不好，平台系统由硬软件组成。硬件层面要确保稳定；软件平台在操作系统层面需时刻检查系统本身有没有漏洞，进行漏洞扫描，打补丁，防范风险的发生；应用软件层面需防止后门存在，加强测试；
第三：加密系统安全。如同银行保险柜加密锁够不够好，加密系统够不够安全，系统中各出入口、各项敏感数据均需进行加密存储，即便被黑拿到数据也无法被破解成明文；
第四：防止扩散。确保发生安全事故后损失不会扩大，即使有一部份数据泄露了，也不会对整体造成影响。
管理上无漏洞保障云数据安全性
除了在技术上的环环保证，志欣合众公司总经理金欣强调在管理上也要保证无漏洞，要注意以下四点：
遵循技术管理的相应原则
目前，在数据安全和个人隐私方面可借鉴美国的立法、管理和技术等系统化的保障体系。美国国家标准与技术研究院(NIST)在云计算基本概念、技术路线图、标准路线图方面的sp800和sp500文件已经成为全世界研究这一领域的蓝本。而在标准蓝图中所涉及的云计算用例、可交互性标准、可移植性标准和云计算安全标准也引导了这一领域的创新和应用。
技术能力是否与管理要求相匹配
根据CISCO安全部门统计约有70%以上的安全事故（特别是泄密）来自于单位内部。由于对内部网络安全威胁认识不足，单位安全部门没有妥善采取科学的防范措施，导致来自于内部的网络安全事故逐年增加。所以说内部网络安全隐患除了来自安全系统的漏洞，更大的是来自于内部的管理问题。相应的，保障云数据的安全，需要技术能力与管理要求相匹配。
长期严格的制度执行
技术体系结构设计再合理，无制度保障终将会带来破坏与损失，制订了度而将制度束之高搁其结果也将是会破坏或泄露数据，因此，在制订了制度的前提下，还需严格确保制度的可执行性。在确保制度无问题的情况下，需要在执行上无问题，并建立相应执行监督机制，长治才能久安。
在各项管理措施上得到保证后，发生安全事件，必须追溯事情是何时出现的，事件发生的原因是什么，造成的损失如何补救，如何防范和预防再次发生此类的事件等。
总得来说，云数据安全保证上，从理论上来说技术是无敌的，但实际上仅靠技术并不能完全保证其安全，还需要制度上的执行、管理上的支撑，两手抓两手都要硬。
补充阅读：
到底什么是“云”
“云”是网络、互联网的一种比喻说法。它其实指的是后端（服务器端），平时我们很少能够看到的那一端，正因为平时难得看到，所以有一种虚无缥缈的感觉，也许就是因为这个原因，才被称为“云”。我们平时能够看到的是什么呢，就是自己用的PC和手机这些东西了，也就是所谓的“客户端”。
过去在图中往往用云来表示电信网，后来也用来表示互联网和底层基础设施的抽象。狭义云计算指IT基础设施的交付和使用模式，指通过网络以按需、易扩展的方式获得所需资源；广义云计算指服务的交付和使用模式，指通过网络以按需、易扩展的方式获得所需服务。这种服务可以是IT和软件、互联网相关，也可是其它服务。它意味着计算能力也可作为一种商品通过互联网进行流通，如云计算、云阅读、云搜索等。
作者简介：金欣，中国电子商务领军人物，国家级专家。志欣合众（电子商务方向）、志欣育杰、云泥科技创始人。邮箱：service@，欢迎交流。军事秘密分为绝密、机密、秘密三个等级，“绝密”是最重要的军事秘密，泄露会使国防和军队的安全与利益
案件回放受境外间谍指示对军事基地进行观察
经广东省国家安全机关证实，近日广东破获一起由境外间谍通过网络，勾连策反境内人员，窃取中国军事秘密的案件。案犯李某，因泄露机密级军事秘密13份，秘密级军事秘密10份，被判处有期徒刑10年。三年来，李某受境外间谍“飞哥”指示，长期为其订购和提供本应持有境内专业人员才能订购的军事类刊物，并对当地重要军事基地进行长期定点定时观察，大量军事基地动态情况和军事装备的照片，通过他的手，流向境外，对我国军事安全造成严重威胁。
据不完全统计，2007年以来，境外间谍“飞哥”利用“网上书店”军事爱好者网站等渠道在广东省策反运用12人，在全国范围内，更有20多个省市40多名境内人员被“飞哥”策反运用。
近日，广东破获一起间谍窃取军事机密案，受到媒体高度关注。
在这个案件里，有几个关键词，首先是间谍，然后是军事秘密。这个案件当中的案犯李某，因为泄露国家军事秘密，被判处有期徒刑十年。
受到境外间谍情报机关的利用，刺探泄露国家秘密，李某受到了法律的制裁。他原来只是个非常普通的打工仔，为什么会变成间谍窃取国家军事秘密的工具？
有人加他QQ “女网友”热情体贴
李某，男，1973年出生，初中文化，四川达州市人，让人很难想象，这个看似相貌平平的普通人，竟是一个窃密者。2000年，李某从家乡来到沿海城市打工。做过保安，业务员，后来又与妻子开了一家小食店，日子简单而平凡。2011年5月的一天，李某在QQ上收到了一个加他为好友的请求。而这个陌生的QQ号给他的生活带来了翻天覆地的变化。
李某说，当时的备注里面写的是女的，大概30多岁的样子。
“女网友”热情体贴，从工作到生活，事事关心，渐渐成为了李某的“知心人”。
金钱诱惑，让他拍军事基地照片
谁知，一个月以后，“女网友”突然告诉李某，其实“她”是个男的，名字叫“飞哥”。“飞哥”抛出金钱诱惑，让他偷偷地向国家图书馆订购了大量只有境内专业人员才能订购的军事类书刊。从此，他开始走上了泄露国家秘密的道路。
李某说：“我想，这也是朋友间互相帮忙的一个事情。”随后，“飞哥”通过QQ不断传来授意，以每月3000元的报酬，要求李某拍摄当地军事基地的照片。随着拍摄范围不断扩大，李某的足迹遍布该市的军事码头和舰艇、警备区等，获得的物质奖励也更加丰富。
汕头市国家安全局办公人员说：“试探性地让他帮忙做一些，平常我们认为比较简单的事，（后来）指定了一个观察目标体，让他按照（境外间谍组织的）要求，三天观察一次。主要是观察我们军港、军舰的动态情况。”
辞掉工作 不断将军事秘密发境外
连续不断地监控拍摄，大量军事装备的照片通过他的手传输到境外，时间一长，李某也逐渐意识到，“飞哥”应该就是专门收集军事情报的间谍，自己的工作可能是违法的，但是这份担忧并没有敌过金钱的诱惑。李某反而对自己的窃密行为开始谨慎，辞掉了原有的工作，甚至还搬了家，并开了一家不起眼的小食店，作为窃密的据点。每天晚上，李某便躲在阁楼里，通过网络将大量的国家秘密输送到境外。
据办案人员说，他提供的书刊大概有一百多份，就是内部的书刊杂志，涉及到军事方面的都是境外情报集团的任务，在我们的港口，包括军用机场，收集报送了将近两千条部队的动态信息。“连他老婆都不知道，他是在干违法的事情。”
不经意间 你也有可能泄露军事秘密！
在国内一些军事论坛上，经常可以看到网友拍摄的我军新式武器装备等，殊不知这种行为已有意无意间让自己成为一名地地道道的“被泄密者”。
金钱的诱惑，法律意识的淡薄，让李某不知不觉地进入了境外间谍的圈套里，成为了刺探国家秘密的工具，而除了李某这种被境外间谍策反之后，主动地故意泄露之外，有时候一些军事爱好者在网络上发布的图片信息，也无形为海外情报机构获取情报带来便利。对于情报人员来说，通过一张普通士兵的照片，就可能从中看出一些绝密设备或军事设施的内部情况，而这正是国外谍报机构梦寐以求的，而眼下，在国内一些军事论坛上，经常可以看到网友拍摄的我军新式武器装备等，殊不知这种行为已有意无意间让自己成为一名地地道道的“被泄密者”。
反恐专家李伟谈道：“一些军迷包括在一些论坛上，他可能自己掌握了一些情况，为了显示自己的知识面广，或者是知识深，会不经意地把自己掌握的一些情报泄露出去，我们知道国外很多情报机构人员，会在一些论坛网站上，包括以参与讨论，或者是提问的形式物色一些人，如果经过交谈或者交流以后，他们认为谁可以被诱导或者说被发展，他们就会进一步地通过其他形式，来发展这些人为他们服务，这也就造成了我们说的间谍活动行为。”
美国情报机构统计，在各国情报机构获得的情报之中，大约有80%左右来源于公开的信息，这其中又有将近一半来源于互联网，在美国军方研究中国军情的文件《中国军事与安全态势发展报告》中，有相当一部分信息来自中国军迷们在网络上所发布的内容。
反恐专家李伟认为：“当前的一些国际情报机构，通过公开的国际情报信息，获取相关的国家情报，这已经成为一种惯常的做法，所以有些看似单个的情报，如果这样的信息多了，就有可能让一些人能够把零碎的信息积累起来进行一些相关分析研究，那么就可以得出一些可能是很机密的情报。”
全国人大内务司法委员会发布的一项调研显示：目前网络泄密已占泄密事件总数的七成以上，而且正呈高发之势。
现在说句实话，这类案件相应还是比较多的，就是说很多民众还处于两种状况。第一是可能涉密的警惕性不高，第二是从来没有把保守国家机密或者说保护国家安全作为个人的一种意识来看待。
据央视《24小时》 余小红 杨欢 何鹏飞整理
什么是军事秘密
分三个等级
“绝密”最重要
根据日实施新修订的《中国人民解放军保密条例》，军事秘密是指关系国家军事利益，依照规定的权限和程序确定，在一定时间内只限一定范围的人员知悉的事项，是国家秘密的重要组成部分。
军事秘密分为绝密、机密、秘密三个等级，“绝密”是最重要的军事秘密，泄露会使国防和军队的安全与利益遭受特别严重的损害。“机密”是重要的军事秘密，泄露会使国防和军队的安全与利益遭受严重的损害。“秘密”是一般的军事秘密，泄露会使国防和军队的安全与利益遭受损害。
根据《中国人民解放军保密条例》，“军事秘密”在一定时间内只限于一定范围的人员知悉，不能对外公开并直接关系到国防安全和军事利益的事项。如，国防和战斗力量建设规划及其实施情况；军事部署，作战和其他重要军事行动的计划及其实施情况；战备演习、军事训练计划及其实施情况；军事情报及其来源，通信，电子对抗和其他特种状态等等。
为境外的机构、组织、人员窃取、刺探、收买、非法提供国家秘密或者情报的，处五年以上十年以下有期徒刑；情节特别严重的，处十年以上有期徒刑或者无期徒刑；情节较轻的，处五年以下有期徒刑、拘役、管制或者剥夺政治权利。
已投稿到：
以上网友发言只代表其个人观点，不代表新浪网的观点或立场。