安全策略：是指在某個安全區域內（一個安全區域，通常是指屬於某個組織的一系列處理和通信資源），用於所有與安全相關活動的一套規則。這些規則是由此安全區域中所設立的一個安全權力機構建立的，並由安全控制機構來描述、實施或實現的。
基本介紹
- 中文名：安全策略
- 方面1：基於身份的安全策略
- 方面2：基於規則的安全策略
- 方面3：基於角色的安全策略
定義,分類,實施原則,最小特權原則,最小泄露原則,多級安全策略,服務安全,綜述,信息安全,網路安全,網路信息安全,網路套用服務,套用服務安全,分層,分類,實體劃分分析,企業移動設備,
定義
網路管理員或者CIO根據組織機構的風險及安全目標制定的行動策略即為安全策略。安全策略通常建立在授權的基礎之上，未經適當授權的實體，信息不可以給予、不被訪問、不允許引用、任何資源也不得使用。
分類
按照授權的性質，安全策略分為如下幾個方面：
（1）基於身份的安全策略
（2）基於規則的安全策略
（3）基於角色的安全策略
實施原則
最小特權原則
最小特權原則是指主體執行操作時，按照主體所需權利的最小化原則分配給主體權利
最小泄露原則
最小泄露原則是指主體執行任務時，按照主體所需要知道的信息最小化的原則分配給主體權利
多級安全策略
多級安全策略是指主體和客體間的數據流向和許可權控制按照安全級別的絕密（TS）、機密（C）、秘密（S）、限制（RS）和無級別（U）5級來劃分。
服務安全
綜述
當前的信息化對網路與信息安全提出了更高的要求。網路與信息的安全性已成為維護國家安全、社會穩定的焦點。網路套用是利用網路以及信息系統直接為用戶提供服務以及業務的平台。網路套用服務直接與成千上萬的用戶打交道：用戶通過網路套用服務瀏覽網站、網上購物、下載檔案、看電視、發簡訊等，網路套用服務的安全直接關係到廣大網路用戶的利益。因此網路套用服務的安全是網路與信息安全中重要組成部分。
雖然當前全社會關注網路與信息安全，但對網路與信息安全的相關概念、範圍卻缺乏共識。當前常用的概念與說法有網路安全、信息安全、網路與信息安全、信息與信息安全、信息系統安全、網路套用服務、網路業務等。不同的部門對上述概念基於各自的立場與利益做出了不同的解釋，導致當前概念與範圍相對混亂。本文採用如下定義。
信息安全
狹義信息安全是指信息的機密性、完整性和不可否認性，主要研究加密和認證等算法。狹義信息安全還可能包括意識形態相關的內容安全。廣義信息安全通常是指信息在採集、加工、傳遞、存儲和套用等過程中的完整性、機密性、可用性、可控性和不可否認性以及相關意識形態的內容安全。
網路安全
狹義的網路安全通常是指網路自身的安全。如果網路與業務捆綁，例如電話網，則還包括業務的安全。狹義的網路安全通常不提供高層業務，只提供點到點傳送業務的網路。廣義的網路安全除包括狹義網路安全內容外還包括網路上的信息安全以及有害信息控制。廣義的網路安全通常用在提供高層業務的網路。
網路信息安全
網路套用服務
在網路上利用軟/硬體平台滿足特定信息傳遞和處理需求的行為。信息在軟/硬體平台上處理，通過網路在平台與信息接收者/傳送者之間傳遞。一些商務模式完善的網路套用服務已成為電信業務。
套用服務安全
包括網路與套用平台的安全，由網路套用平台提供的服務能夠合法有效受控開展，還包括網路套用的信息存儲、傳遞加工處理能完整、機密且可用，信息內容涉及內容安全時能及時有效採取相應措施。
分層
網路套用服務安全可以分為如下四層。
網路與套用平台安全：主要包括網路的可靠性與生存行與信息系統的可靠性和可用性。網路的可靠性與生存行依靠環境安全、物理安全、節點安全、鏈路安全、拓撲安全、系統安全等方面來保障。信息系統的可靠性和可用性可以參照計算機系統安全進行。
套用服務提供安全：主要包括套用服務的可用性與可控性。服務可控性依靠服務接入安全以及服務防否認、服務防攻擊、國家對套用服務的管制等方面來保障。服務可用性與承載業務網路可靠性以及維護能力等相關。
信息加工和傳遞安全：主要包括信息在網路傳輸和信息系統存儲時完整性、機密性和不可否認性。信息完整性可以依靠報文鑑別機制，例如哈希算法等來保障，信息機密性可以依靠加密機制以及密鑰分發等來保障，信息不可否認性可以依靠數字簽名等技術來保障。
信息內容安全：主要指通過網路套用服務所傳遞的信息內容不涉及危害國家安全，泄露國家秘密或商業秘密，侵犯國家利益、公共利益或公民合法權益，從事違法犯罪活動。
分類
網路套用服務可以有多種分類方法。一些典型的分類方法如下文所述。
按照技術特徵分類：點到點業務與點到多點業務；按照電信業務分類：基礎電信業務和增值電信業務；按照是否經營分類：經營性網路套用服務與非經營性網路套用服務；按照所傳遞加工的信息分類：自主保護、指導保護、監督保護、強制保護與專控保護五級；按照服務涉及的範圍分類：公眾類網路套用服務與非公眾類網路套用服務。
各個分類方式從不同角度將網路套用服務進行了分類。本文採用公眾類網路套用服務與非公眾類網路套用服務的分類方法。
公眾信息類網路套用是在公眾網路範圍內信息傳送者不指定信息接收者情況下的網路套用。信息傳送者將信息傳送到套用平台上，信息接收者主動決定是否通過網路接收信息的網路套用，信息傳送者在一定範圍內以廣播或組播的方式不指定信息接收者強行推送信息。公眾信息類網路套用通常涉及網路媒體，主要包括有BBS、網路聊天室、WWW服務、IPTV、具有聊天室功能的網路遊戲等套用。
非公眾信息類網路套用是公眾網路範圍內信息傳送者指定信息接收者的網路套用以及非公眾網路範圍內的網路套用。非公眾信息類網路套用類型中，公眾網路上一般是點到點的信息傳播的網路套用，主要有普通QQ套用、普通MSN套用、普通Email、PC2PC的VoIP、電子商務等套用。
實體劃分分析
網路套用服務安全分析中涉及到如下幾個實體：信息傳送者，通過網路傳送信息的實體，可以是ICP或者傳送信息的個人。平台提供者，網路套用的提供者，通信的雙方（多方）通過套用平台互動信息。通道提供者，為信息傳送者、信息接收者和平台提供者提供接入網路的手段以及網路層面的互通。信息接收者，網路接收信息的實體。設備製造商，為信息傳送者、信息接收者、平台提供者、通道提供者提供軟硬體設備。業務監管者，監管網路套用的安全，主要包括業務安全以及內容安全。
幾個典型的網路套用服務分析如下所述。
普通3W瀏覽套用：3W伺服器構成的服務平台。3W頁面的擁有人為信息傳送者，3W頁面的請求者為信息接收者，ISP為通道提供者。公網上的3W套用是一種典型的公眾信息類網路套用服務，是信息傳送者無法指定信息接收者的媒體類網路套用。在3W套用中網路與平台安全由通道提供者ISP與3W伺服器擁有人負責。3W服務提供安全主要體現在主管部門對服務平台的監管。信息傳遞安全由ISP或者信息傳送者與信息接收者端到端負責，信息存儲處理安全由3W伺服器擁有人負責。
電話業務：電話網作為服務平台以及通道提供者。主叫方作為信息傳送者，被叫方作為信息接收者。電話業務的信息接收者（被叫方）由信息發布者（主叫方）通過電話號碼指定，這是一種典型的非公眾信息類網路套用服務。在電話業務中，網路與平台安全由電話業務提供者負責。服務提供安全通過認證等方式提供。監管由主管部門負責。信息傳遞安全由電話業務提供者負責。信息內容安全由信息傳送者負責，法定授權部門查處。
DNS服務：由DNS伺服器以及客戶機構成的服務平台，該服務平台分層架構。DNS伺服器的擁著者為平台提供者，根域名伺服器由ICANN擁有維護，各級域名伺服器由相應組織擁有維護。DNS域名伺服器信息發布者為DNS擁有人，DNS服務信息接收者為域名解析的請求者。公網上的DNS服務通常由通道提供者ISP提供。DNS信息接收者無法指定，因此也是一種古拙類網路套用服務。DNS服務中網路與服務平台安全由ISP與DNS伺服器擁有人負責：DNS服務不涉及業務提供安全：信息傳遞安全由ISP負責：信息存儲安全由ICANN負責：DNS服務不涉及信息內容安全。
BBS套用：由Telnet/3W協定伺服器端、BBS伺服器端以及主機構成服務平台。BBS伺服器的擁有者為平台提供者。BBS發帖人為信息發布者，訪問BBS閱讀的人為信息接收者。BBS服務的信息傳送者一般無法指定信息接收者，因此BBS套用通常也有媒體功能，是一種公眾類網路套用服務。在BBS套用中網路與平台安全由通道提供者ISP與BBS伺服器擁有人負責：BBS服務提供安全主要體現在主管部門對服務平台的監管：信息傳遞安全由ISP或者信息傳送者與信息接收者端到端負責：信息存儲處理安全由WWW伺服器擁有人負責：信息內容安全由平台提供者與信息傳送者負責，主管部門監管，法定授權部門查處。
Mail套用：由SMTP伺服器端、POP3伺服器端以及主機構成的服務平台。Mail伺服器的擁有者為設備提供者。郵件傳送者為信息發布者，郵件接收者為信息接收者。郵件服務的信息接收者通過郵件地址指定，是一種典型的非公眾信息類網路套用服務。在郵件服務中，平台安全由郵件服務提供者負責：服務提供安全通過認證等方式提供，監管由主管部門負責：信息傳遞安全由ISP或者端到端保障：信息內容安全由信息傳送者負責，法定授權部門查處。
MSN套用：由MSN伺服器端以及主機（群）構成的服務平台。MSN伺服器的擁有者為平台提供者。發信息的人為信息傳送者。聊天看到信息的人是信息接收者。聊天雙方既是信息發布者也是信息接收者。ISP為通道提供者。MSN套用的信息接收者由信息發布者指定，是一種典型的非公眾信息類網路套用服務。在MSN套用中，網路與平台安全由MSN業務提供者負責：服務提供安全通過認證等方式提供：信息內容安全由信息傳送者負責，法定授權部門查處。
網路本身只是一個提供互通的平台，網路套用通過網路為用戶提供豐富多彩的服務，可以說網路套用服務促進了網路的飛速發展。網路套用服務的安全是當前網路與信息安全中的重要組成部分。網路套用服務安全可以分網路與套用平台安全、套用服務提供安全、信息傳遞加工安全以及信息內容安全四層研究。網路套用服務可以分成公眾類網路套用服務與非公眾類網路套用服務兩類。在這兩類套用服務中四個層面的安全問題可以分別落實到信息傳送者、信息接收者、平台提供者、通道提供者以及業務監管者這些實體上負責。不同類型網路套用服務中各個實體的責權利有待進一步研究。
企業移動設備
企業需要為移動設備的安全進行預算，因為在發生硬體丟失時，IT部門需要認證工具及類似的專業軟體來跟蹤設備並刪除其中的數據。
IT管理者應當重視設備內部和外部的認證。許多可用的企業級移動設備平台包括了比普通設備自身內部所安裝的認證更為強健的認證。相同的認證策略可用於所有不同類型的設備，並可推廣到整個網路。
這種認證意味著在雇員每次訪問設備時都必須輸入口令。IT管理者必須確保口令難以猜測，並且雇員不會將口令貼上在某個明顯的位置（如筆記本的電腦包上等）。
也許要求雇員在每次檢查新郵件時都需要輸入口令有點兒麻煩，但是這樣做可以提醒雇員：你正在使用包含著機密信息的設備進行工作。
當然，企業的移動設備安全策略需要最適用的規則，要提供充分的幫助信息。IT管理者要警告雇員不能將移動設備隨意放置在飯店或酒吧的桌子上，而應當隨身攜帶。在旅館住宿時，如果不使用設備，要將其鎖在保險箱或其它安全設備中。要警告雇員，無論是工作用的筆記本電腦還是智慧型手機，都不要輕易允許他人使用。
