千呼萬喚始出來，最近工作實在太忙了，所以第22章的第一節(jié)和第二節(jié)間隔時間太長了，估計快有兩個月了，所以還是先給大家回顧一下22章的主要章節(jié)構成?。
月底就要考試了，大家加油哈?！
第22 章 信息系統(tǒng)安全管理（609—670頁，共62頁）包括5節(jié)，分別是22.1 信息系統(tǒng)安全策略；22.2信息安全系統(tǒng)工程；22.3 PKI公開密鑰基礎設施；22.4 PMI權限（授權）管理基礎設施；22.5 信息安全審計。今天分享第二節(jié)，這節(jié)內容其實比較多，所以總結的圖表也比較多，花了大概兩個全天的時間整理的?。
22.2信息安全系統(tǒng)工程（是整個信息系統(tǒng)工程的一部分）
本節(jié)包括信息安全系統(tǒng)工程概述、信息安全系統(tǒng)及其架構體系、工程基礎、工程體系結構五小部分。
信息系統(tǒng)=一個或多個業(yè)務應用信息系統(tǒng)（主要）+一個信息安全系統(tǒng)（次要，但又必不可少）
【業(yè)務應用信息系統(tǒng)工程關注的問題】客戶的需求、業(yè)務流程、價值鏈等的企業(yè)的業(yè)務優(yōu)化和改造的問題。
信息安全系統(tǒng)是客觀的、獨立于業(yè)務應用信息系統(tǒng)而存在的信息系統(tǒng)，用于保證“業(yè)務應用信息系統(tǒng)”正常運營。
信息安全系統(tǒng)與業(yè)務應用信息系統(tǒng)既有區(qū)別又有緊密聯(lián)系。
【相同點】用戶的業(yè)務應用信息系統(tǒng)生命周期與信息安全系統(tǒng)生命周期的關系幾乎是一樣的，因為它們是同步進行的。
【不同點】但是，它們在工程實施過程和工程保證過程則完全不同的。其中最大不同點是，信息安全系統(tǒng)從項目啟動(立項)開始，需要嚴格保密的。一般情況下，不允許外單位人員參加。所有參加該項目的人員，不僅需要簽訂工程建設期間的保密協(xié)議，還要簽訂3-5年不泄密的保密協(xié)議。
1、信息安全系統(tǒng)工程概述
【背景】由業(yè)務應用信息系統(tǒng)再來解決安全，?已經(jīng)不能勝任。再由操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、網(wǎng)絡管理系統(tǒng)來解決安全問題，也不能滿足實際的需要，于是才不得不建立獨立的信息安全系統(tǒng)。
【定義及內容】信息安全系統(tǒng)工程就是要建造一個信息安全系統(tǒng)，而且最好是與業(yè)務應用信息系統(tǒng)工程同步進行，圍繞“信息安全”的內容，如信息安全風險評估、信息安全策略制定、信息安全需求確定、信息安全系統(tǒng)總體設計、信息安全系統(tǒng)詳細設計、信息安全系統(tǒng)設備選型、信息安全系統(tǒng)工程招投標、密鑰密碼機制確定、資源界定和授權、信息安全系統(tǒng)施工中需要注意防泄密問題和施工中后期的信息安全系統(tǒng)測試、運營、維護的安全管理等問題。
【注意事項】信息安全系統(tǒng)工程和信息系統(tǒng)安全工程兩個是完全不一樣的，前者主體信息安全系統(tǒng)，后者主體的信息系統(tǒng)。
2、信息安全系統(tǒng)架構體系
（1）X軸—安全機制：為提供某些安全服務，利用各種安全技術和技巧，所形成的一個較為完善的結構體系。如平臺安全機制，主要指安全操作系統(tǒng)、安全數(shù)據(jù)庫、應用開發(fā)運營的安全平臺以及網(wǎng)絡安全管理監(jiān)控系統(tǒng)等。
（2）Y軸—OSI網(wǎng)絡參考模型：信息安全系統(tǒng)的許多技術、技巧都是在網(wǎng)絡的各個層面上實施的，離開網(wǎng)絡，信息系統(tǒng)的的安全也就失去意義。
（3）Z軸—安全服務：就是從網(wǎng)絡中的各個層次提供給信息應用系統(tǒng)所需要的安全服務支持。如對等實體認證服務、訪問控制服務、數(shù)據(jù)保密服務等。
由X, Y, Z三個軸形成的信息安全系統(tǒng)三維空間就是信息系統(tǒng)的“安全空間”。
隨著網(wǎng)絡逐層擴展，這個空間不僅范圍逐步加大，安全的內涵也就更豐富，達到具有認證、權限、完整、加密和不可否認五大要素，也叫作“安全空間”的五大屬性。
3、信息安全系統(tǒng)工程基礎
（1）與技術工程的關系：離不開以下8個相關工程：硬件、軟件、通信及網(wǎng)絡、數(shù)據(jù)存儲和災備、系統(tǒng)、測試、密碼、企業(yè)信息化工程。
（2）與安全管理的關系：應該吸納安全管理的成熟規(guī)范部分，主要包括以下內容：
4、信息安全系統(tǒng)工程體系結構
ISSE是一門系統(tǒng)工程學，它的主要內容是確定系統(tǒng)和過程的安全風險，并且使安全風險降到最低或使其得到有效控制。
信息安全系統(tǒng)工程能力成熟度模型（Information Security System Engineering Capability Maturity Model，ISSE-CMM）是一種衡量信息安全系統(tǒng)工程實施能力的方法，是使用面向工程過程的一種方法。
ISSE-CMM是建立在統(tǒng)計過程控制理論基礎上的。統(tǒng)計過程控制理論認為，所有成功企業(yè)的共同特點是它們都具有一整套嚴格定義、管理完善、可測可控的有效業(yè)務過程。
ISSE-CMM模型抽取了這樣一組“好的”工程實施并定義了過程的“能力”。主要用于指導信息安全系統(tǒng)工程的完善和改進，使信息安全系統(tǒng)工程成為一個清晰定義的、成熟的、可管理的、可控制的、有效的和可度量的學科。
ISSE-CMM模型是信息安全系統(tǒng)工程實施的度量標準，它覆蓋了:
（1）整個生命期，包括工程開發(fā)、運行、維護和終止。
（2）管理、組織和工程活動等的組織。
（3）與其他規(guī)范如系統(tǒng)、軟件、硬件、人的因素、測試工程、系統(tǒng)管理、運行和維護等規(guī)范并行的相互作用。
（4）與其他組織(包括獲取、系統(tǒng)管理、認證、認可和評估組織)的相互作用。
?表22-2 公共特性表示為取得每一個級別需滿足的成熟的信息安全工程特性
上一篇：軟考高項學習筆記｜22-1 信息系統(tǒng)安全策略
2021下半年高級信息系統(tǒng)項目管理師（綜合知識）真題參考答案及詳細解析：
2021上半年高級信息系統(tǒng)項目管理師（綜合知識）真題參考答案及詳細解析：
