信息安全保密设计

     信息安全保密设计到信息系统的整个生命周期，它包括系统的保密规则、保密设计、保密实施、保密运营和安全废弃等环节，目标是为了保障系统中的信息的机密性、完整性、可用性和可审计性。而以安全风险评估和控制为主的保密风险管理则贯穿在整个信息保密工作中。

　　信息安全保密工程由以下环节组成：

　　（1）保密策略制定：确定信息安全保密的策略和保密目标。

　　（2）保密风险评估：实现保密需求分析、风险分析、明确表述信息安全保密现状和保密需求目标之间的差距。

　　（3）保密方案设计：形成系统安全保密解决方案，为达到目标给出有效的方法和步骤。

　　（4）保密工程实施：根据方案设计的框架，建设、部署整个信息安保体系。

　　（5）保密日常管理：在管理阶段包括两种情况，即正常情况下的保密管理，包括信息系统的安全测评和安全加固，以及出现失、泄密情况下的应急响应和处理。

　　（6）安全保密教育：该阶段贯穿整个信息安保生命周期，需要对决策层、管理层、普通用户层的各类相关人员进行保密教育培训，以及考核、检查及监督。

　　制定安全保密策略应该考虑的主要因素有：

　　（1）阐述保密的总体和具体目标。

　　（2）标引相关的法律、法规文件。

　　（3）明确保密教育和培训的相关需求。

　　（4）列出信息安全保密的技术和管理需求。

　　（5）明确保密的责任、义务和权利。

　　（6）说明违法规定或造成失、泄密应该承担的后果。

　　（7）制定应急响应计划。

　　（8）考虑成本、效率、技术进步和可能带来的风险等因素。

　　确定保密需求对一个组织机构来说是十分关键的。保密需求有三个主要来源：
第一个来源是保密风险的评估。通过风险评估，辨别出可能存在的各种泄密隐患；对重要涉密资产的威胁；威胁发生可能造成的泄密损失，以及威胁发生的可能性，进而有针对性的提出保密需求。

　　第二个来源是法律的、规定的和标准的要求。这些要求是必需满足的。

　　第三个来源是一个组织机构根据自身情况已经制定的特殊原则、目标和保密需求。

　　保密需求包括管理需求、技术需求和组织需求三大部分。