该文以上海市苏州河综合整治建设有限公司(以下简称苏建公司)集成信息系统(SSRCC-MIS)的建设为背景,研究了各种信息安全技术及其实际应用.该文归纳了各种常见的身份认证的方法,分析了单重认证方案在安全、功能等方面的缺陷,设计了一个更加安全的双重认证方案;针对苏建公司具体的业务流程规划了一个基于公钥/私钥的认证方案,以满足系统的安全需求,指出安全隐患是企业信息化的重要瓶颈,安全的信息系统可以加速和促进企业的业务流程重组.该文综述了三种访问控制策略;针对苏建公司的管理特点在基于角色的访问控制模型(RBAC)的基础上提出一种新的基于层次树型角色访问控制模型(TRBAC),给出了模型结构,并说明了使用规则;分析了该模型的优点、缺点以及适用范围;在SSRCC-MIS中实现了基于TRBAC的访问控制管理模块,应用于功能选项控制和客户机登录权限控制.论文根据信息安全工程的特点、控制论的思路提出了信息系统安全控制模型,将反馈、信息、系统、工程的概念引入信息安全管理,给出了安全控制各个步骤的工作内容和工作方法,指出安全管理的动态性和周期性;提出安全损失--安全级别模型,用于确定信息系统的安全目标,并定性分析了各种因素对系统安全目标的影响.最后作者对全文的成果进行了总结并指出了信息系统安全研究领域发展的趋势和若干有待进一步解决的问题.