() 阅读以下关于信息系统安全性的叙述,在答题纸上回答问题1至问题3。 某企业根据业务扩张的要求,

Question

（） 阅读以下关于信息系统安全性的叙述，在答题纸上回答问题1至问题3。 某企业根据业务扩张的要求，需要将原有的业务系统扩展到互联网上，建立自己的B2C业务系统，但此时系统的安全性成为一个非常重要的设计需求。【问题1】（8分） 信息系统面临的安全威胁多种多样，来自多个方面。请指出信息系统面临哪些方面的安全威胁并分别子以简要描述。【问题2】（7分） 认证是安全系统中不可缺少的环节，请简要描述主要的认证方式，并说明该企业应采用哪种认证方式。

Answer 1

正确答案：（）
【问题1】
　　信息系统面临的安全威胁来自于物理环境、通信链路、网络系统、操作系统、应用系统以及管理等多个方面。
　　物理安全威胁是指对系统所用设备的威胁,如自然灾害、电源故障、数据库故障和设备被盗等造成数据丢失或信息泄漏。
　　通信链路安全威胁是指在传输线路上安装窃听装置或对通信链路进行干扰。
　　网络安全威胁当前主要是指由于因特网的开放性、国际性与无安全管理性,对内部网络形成的严重安全威胁。
　　操作系统安全威胁指的是操作系统本身的后门或安全缺陷,如“木马”和“陷阱门”等。
　　应用系统安全威胁是指对于网络服务或用户业务系统安全的威胁,包括应用系统自身漏洞,也受到“木马”的威胁。
　　管理系统安全威胁指的是人员管理和各种安全管理制度。
【问题2】
　　目前主要的认证方式有三类：
　　（1）用户名和口令认证：主要是通过一个客户端与服务器共知的口令（或与口令相关的数据）进行验证。根据处理形式的不同,分为验证数据的明文传送、利用单向散列函数处理验证数据、利用单向散列函数和随机数处理验证数据。
　　（2）使用令牌认证：该方式中,进行验证的密钥存储于令牌中,目前的令牌包括安全证书和智能卡等方式。
　　（3）生物识别认证：主要是根据认证者的图像、指纹、气味和声音等作为认证数据。根据该企业的业务特征,采用令牌认证较为合适。


    本题考查信息系统的安全威胁以及采用的常用方案。
　　信息系统面临的安全主要包括信息系统所依赖环境的安全、信息系统自身安全和使用信息系统的人员管理和相关规章制度。
　　信息系统所依赖的环境带来的安全威胁有物理环境、通信链路和操作系统。物理安全威胁是指对系统所用设备的威胁，如自然灾害、电源故障、数据库故障和设备被盗等造成数据丢失或信息泄漏。通信链路安全威胁是指在传输线路上安装窃听装置或对通信链路进行干扰。网络安全威胁当前主要是指由于因特网的开放性、国际性与无安全管理性，对内部网络形成的严重安全威胁。操作系统安全威胁指的是操作系统本身的后门或安全缺陷，如“木马”和“陷阱门”等。
　　应用系统安全威胁是指对于网络服务或用户业务系统安全的威胁，包括应用系统自身漏洞，也受到“木马”的威胁。
　　管理系统安全威胁指的是人员管理和各种安全管理制度。所谓的安全措施，是指“三分技术 ，七分管理”。
　　在信息系统安全中，认证是必不可少的环节。常见的认证方式有三种：（1）用户名和口令认证；主要是通过一个客户端与服务器共知的口令（或与口令相关的数据）进行验证。根据处理形式的不同，分为验证数据的明文传送、利用单向散列函数处理验证数据、利用单向散列函数和随机数处理验证数据。（2）使用令牌认证：该方式中，进行验证的密钥存储于令牌中，目前的令牌包括安全证书和智能卡等方式。（3）生物识别认证：主要是根据认证者的图像、指纹、气味和声音等作为认证数据。根据该企业原有信息系统中的认证方式，并考虑到接入因特网后的用户特征，采用令牌认证的方式较为适合。