資訊安全策略 資訊安全策略是一種基於資訊安全需要所建立的準則並非資訊安全細則而是方向性的策略一般而言資訊安全策略有最大特權策略以及最小特權策略兩種根據此二種策略又細分為存取控制方法資料流控制方法推論控制方法以及資料加密方法 最小特權策略 最小特權策略意謂著任何資料如果沒有被設定存取權限則是當然不允許存取的 最大特權策略 最大特權策略意謂著任何資料如果沒有設定存取權限則默認為可以被存取 存取控制方法 存取控制方法有強制存取控制自由存取控制以及角色存取控制三種 強制存取控制Mandatory Access Control MAC以管理者授權為基礎所有的資訊元件都需要經過管理者授權才能被使用者所存取 自由選定存取控制Discretionary Access Control DAC以創建資訊元件的元件持有者授權為基礎不需要經過管理者授權持有者授權可以決定使用者對於資訊元件的存取權限 以角色為基礎的存取控制RoleBased Access ControlRBAC存取權限與使用者角色相依資訊元件的存取被授權給角色使用者需要先取得角色身份才能透過角色身份取得存取權限例如某公司有經理人與一般職員兩個角色經理人可以存取A與B兩元件但職員只可以存取B元件某甲進入公司之後取得職員身份依據角色存取控制方法某甲只能存取B資訊元件直到他獲得經理人角色之後才可以獲得A資訊元件的存取權限 以規則為基礎的存取控制RuleBased Access Control照預定的規則控制資料的存取及限制例如允取特定IP可存取特定服務允許特定帳號在工作時段可存取指定的檔案通常應用在檔案或系統層級用以限制資料存取權限 資料流控制方法 資料流控制方法主要應用在資料流向上以權限高低進行控制擁有低權限的程序無法接受較高存取權限的資訊元件例如T可以存取ABT只能存取A則當T存取AB之後欲將結果傳送給TT於資料流控制方法中因其不具備B的存取權限則當然無法接受來自於T的資料流傳送 推論控制方法 禁止透過資料推論方式獲得資訊結果例如SQL語法中SELECT  FROM Emp WHERE Empsalary 可以推論出Emp資料表中年薪少於兩萬的人員資料而此種方法應該是被禁止的 資料加密方法 資料加密方法包括對稱式加密方法例如AES DES triple DES非對稱加密方法公開金鑰系統 RSA等等