1、信息安全保障,培训机构 培训讲师,课程内容,2,知识域：信息安全保障背景,知识子域：信息安全发展阶段 了解电报/电话、计算机、网络等阶段信息技术发展概况及各阶段信息安全面临的主要威胁和防护措施 了解信息化和网络对个人、企事业单位和社会团体、经济发展、社会稳定、国家安全等方面的影响及信息安全保障的概念,3,信息安全发展阶段,4,电报电话,解决传输数据安全 斯巴达人的智慧：公元前500年，斯巴达人把一条羊皮螺旋形地缠在一个圆柱形棒上写数据 现代人的智慧：20世纪，40年代-70年代通过密码技术解决通信保密，内容篡改,5,COMSEC：Communication Security 20世纪，40年代
2、-70年代 核心思想： 通过密码技术解决通信保密，保证数据的保密性和完整性 主要关注传输过程中的数据保护 安全威胁：搭线窃听、密码学分析 安全措施：加密 标志 1949年：shannon发表保密通信的信息理论 1977年：美国国家标准局公布数据加密标准DES 1976年：Diffle和Hellman在“New Directions in Cryptography”一文中提出公钥密码体系,通信安全,6,COMPUSEC：Computer Security 20世纪，70-90年代 核心思想： 预防、检测和减小计算机系统（包括软件和硬件）用户（授权和未授权用户）执行的未授权活动所造成的后果。 主要
3、关注于数据处理和存储时的数据保护 。 安全威胁：非法访问、恶意代码、脆弱口令等 安全措施：安全操作系统设计技术（TCB） 标志： 1985年，美国国防部的可信计算机系统评估保障（TCSEC，橙皮书），将操作系统安全分级（D、C1、C2、B1、B2、B3、A1）；后补充红皮书TNI（1987）和TDI（1991），发展为彩虹（rainbow）系列,计算机安全,7,INFOSEC：Information Security 20世纪，90年代后 核心思想： 综合通信安全和计算机安全安全 重点在于保护比“数据”更精炼的“信息”，确保信息在存储、处理和传输过程中免受偶然或恶意的非法泄密、转移或破坏 。
4、安全威胁：网络入侵、病毒破坏、信息对抗等 安全措施：防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等 标志 安全评估保障CC（ISO 15408，GB/T 18336）,信息系统安全,8,网络化社会,新世纪信息技术应用于人类社会的方方面面 军事 经济 文化 现在人们意识到：技术很重要，但技术不是一切；信息系统很重要，只有服务于组织业务使命才有意义,9,IA：Information Assurance 今天，将来 核心思想： 保障信息和信息系统资产，保障组织机构使命的执行； 综合技术、管理、过程、人员； 确保信息的保密性、完整性和可用性。 安全威胁：黑客、恐怖分子、信息战、自然灾难、电力中断
5、等 安全措施：技术安全保障体系、安全管理体系、人员意识/培训/教育、认证和认可 标志： 技术：美国国防部的IATF深度防御战略 管理：BS7799/ISO 17799 系统认证：美国国防部DITSCAP,信息安全保障,10,网络空间安全/信息安全保障,CS/IA：Cyber Security/Information Assurance 2009年，在美国带动下，世界各国信息安全政策、技术和实践等发生重大变革 共识：网络安全问题上升到国家安全的重要程度 核心思想：从传统防御的信息保障（IA），发展到“威慑”为主的防御、攻击和情报三位一体的信息保障/网络安全（IA/CS）的网空安全 网络防御-De
6、fense（运维） 网络攻击-Offense（威慑） 网络利用-Exploitation（情报）,11,信息安全保障发展历史,第一次定义：在1996年美国国防部DoD指令5-3600.1（DoDD 5-3600.1）中，美国信息安全界第一次给出了信息安全保障的标准化定义 现在：信息安全保障的概念已逐渐被全世界信息安全领域所接受。 中国：中办发27号文国家信息化领导小组关于加强信息安全保障工作的意见，是信息安全保障工作的纲领性文件 信息安全保障发展历史 从通信安全（COMSEC）-计算机安全（COMPUSEC）-信息系统安全（INFOSEC）-信息安全保障（IA） -网络空间安全/信息安全保障（
7、CS/IA） 。,12,2008年1月，布什政府发布了国家网络安全综合倡议（CNCI），号称网络安全“曼哈顿项目”，提出威慑概念，其中包括爱因斯坦计划、情报对抗、供应链安全、超越未来（“Leap-Ahead”）技术战略 2009年5月29日发布了网络空间政策评估：确保信息和通讯系统的可靠性和韧性报告 2009年6月25日，英国推出了首份“网络安全战略”，并将其作为同时推出的新版国家安全战略的核心内容 2009年6月，美国成立网络战司令部 12月22日，奥巴马任命网络安全专家担任“网络沙皇” 2011年5月，美国发布网络空间国际战略，明确了针对网络攻击的指导原则 ,13,网络空间安全/信息安全保
8、障,信息安全保障是一种立体保障,14,知识域：信息安全保障原理,知识子域：信息安全的内涵和外延 理解信息安全的特征与范畴 理解信息安全的地位和作用 理解信息安全、信息系统和系统业务使命之间的关系 理解信息安全的内因：信息系统的复杂性 理解信息安全的外因：人为和环境的威胁,15,信息安全特征 信息安全是系统的安全 信息安全是动态的安全 信息安全是无边界的安全 信息安全是非传统的安全 信息安全的范畴 信息技术问题技术系统的安全问题 组织管理问题人+技术系统+组织内部环境 社会问题法制、舆论 国家安全问题信息战、虚拟空间,信息安全的特征与范畴,16,信息化越重要，信息安全越重要 信息网络成为经济繁荣
9、、社会稳定和国家发展的基础 信息化深刻影响着全球经济的整合、国家战略的调整和安全观念的转变 从单纯的技术性问题变成事关国家安全的全球性问题 信息安全和信息安全保障适用于所有技术领域。 硬件 软件 军事计算机通讯指挥控制和情报(C4I)系统，制造工艺控制系统，决策支持系统，电子商务，电子邮件，生物医学系统和智能运输系统(ITS)。,信息安全的地位和作用,17,信息安全、系统及业务关系,18,信息: 数据/信息流计算机网络系统-信息技术系统 执行组织机构信息功能的用于采集、创建、通信、计算、分发、处理、存储和/或控制数据或信息的计算机硬件、软件和/或固件的任何组合。运行环境:包括人员、管理等系统综
10、合的一个整体,对信息系统的理解,19,ISO/IEC 15408（CC）中保障被定义为：实体满足其安全目的的信心基础（Grounds for confidence that an entity meets its security objectives)。 主观:信心 客观:性质（保密性、完整性、可用性） 从客观到主观:能力与水平,对保障的理解,20,为什么会有信息安全问题？,因为有病毒吗？,因为有黑客吗？,因为有漏洞吗？,这些都是原因， 但没有说到根源,21,内因，信息系统复杂性 过程复杂 结构复杂 应用复杂 外因：人为和环境 威胁与破坏,信息安全问题产生根源,22,系统理论：在程序与数据上
11、存在“不确定性” 设计：从设计的角度看，在设计时考虑的优先级中安全性相对于易用性、代码大小、执行程度等因素被放在次要的位置 实现：由于人性的弱点和程序设计方法学的不完善，软件总是存在BUG。 使用、运行：人为的无意失误、人为的恶意攻击 如：无意的文件删除、修改 主动攻击：利用病毒、入侵工具实施的操作 被动攻击：监听、截包 维护技术体系中安全设计和实现的不完整。技术管理或组织管理的不完善，给威胁提供了机会。,内在复杂-过程,23,工作站中存在信息数据 员工 移动介质 网络中其他系统 网络中其他资源 访问Internet 访问其他局域网 到Internet的其他路由 电话和调制解调器 开放的网络端
12、口 远程用户 厂商和合同方的访问访问外部资源 公共信息服务 运行维护环境,内在复杂-结构,24,内在复杂-使用,25,外因人为的威胁,26,外因自然威胁,27,知识域：信息安全保障原理,知识子域：信息安全保障体系 理解安全保障需要贯穿系统生命周期 理解保密性、可用性和完整性三个信息安全特征 理解策略和风险是安全保障的核心问题 理解技术、管理、工程过程和人员是基本保障要素 理解业务使命实现是信息安全保障的根本目的,28,信息系统安全保障是在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性
13、和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。,信息安全保障定义,29,国家标准：GB/T 20274.1-2006 信息安全技术 信息系统安全保障评估框架 第一部分：简介和一般模型,信息系统安全保障模型,30,信息系统安全保障含义总结,出发点和核心 在信息系统所处的运行环境里，以风险和策略为出发点，即从信息系统所面临的风险出发制定组织机构信息系统安全保障策略， 信息系统生命周期 通过在信息系统生命周期中从技术、管理、工程和人员等方面提出安全保障要求。,31,信息系统安全保障含义总结,确保信息的安全特征 确保信息的保密性、完整性和可用性特征，从而实现和贯彻组织机构策略并
14、将风险降低到可接受的程度， 保护资产 达到保护组织机构信息和信息系统资产 最终保障使命 从而保障组织机构实现其使命的最终目的,32,信息安全保障体系建设,信息安全技术体系 信息安全管理体系 信息安全工程过程 高素质的人员队伍,33,装甲运输车,安全保护的连接,真实世界物理安全,传统的锁,安全摄像头和保安,指纹识别,安全办公室,边界安全,安全监视,身份识别,安全管理,34,虚拟世界信息安全,安全保护的连接,边界安全,安全监视,身份识别,漏洞管理,VPN,防火墙,入侵检测和扫描,PKI/CA,主机和应用系统加固,35,Modem,36,完善的信息安全技术体系,37,有效的信息安全管理体系,信息安全
15、保障管理体系建设,38,管理体系建设,39,科学的信息安全工程过程,40,计划组织,开发采购,实施交付,运行维护,废弃,将安全措施融入信息系统生命周期,信息安全对抗归根结底是人与人的对抗，保障信息安全不仅需要专业信息技术人员，还需要信息系统普通使用者提高安全意识，加强个人防范,41,高素质的人员队伍,知识域：典型信息系统安全模型与框架,知识子域：P2DR模型 理解P2DR模型的基本原理：策略、防护、检测、响应 理解P2DR数学公式所表达的安全目标 知识子域：信息保障技术框架 理解IATF深度防御思想 理解IATF对信息技术系统四个方面的安全需求划分及基本实现方法：本地计算环境、区域边界、网络及
16、基础设施、支撑性基础设施,42,什么是信息安全模型 通过建模的思想来解决网络安全管理问题，有效抵御外部攻击，保障网络安全 安全模型用于精确和形式地描述信息系统的安全特征，解释系统安全相关行为。 为什么需要安全模型 能准确地描述安全的重要方面与系统行为的关系。 能提高对成功实现关键安全需求的理解层次。 从中开发出一套安全性评估准则，和关键的描述变量,安全模型的概念,43,思想：承认漏洞，正视威胁，适度防护，加强检测，落实反应，建立威慑 出发点：任何防护措施都是基于时间的，是可以被攻破的 核心与本质：给出攻防时间表 固定防守、测试攻击时间； 固定攻击手法，测试防守时间 缺点：难于适应网络安全环境的
17、快速变化,基于时间的PDR模型,44,攻击者,基于PDR的安全架构,45,PDR模型强调落实反应 P2DR模型则更强调控制和对抗，即强调系统安全的动态性 以安全检测、漏洞监测和自适应填充“安全间隙”为循环来提高网络安全 特别考虑人为的管理因素,P2DR模型-分布式动态主动模型,46,P2DR：Policy 策略 模型的核心，所有的防护、检测、响应都是依据安全策略实施的。 策略体系的建立包括安全策略的制定、评估与执行等。 策略包括： 访问控制策略 加密通信策略 身份认证策略 备份恢复策略 ,P2DR的基本原理,47,P2DR： Protection 防护 通过传统的静态安全技术和方法提高网络的防
18、护能力，主要包括： 访问控制技术 ACL Firewall 信息加密技术 身份认证技术 一次性口令 X.509 ,P2DR的理解,48,P2DR： Detection 检测 利用检测工具，监视、分析、审计网络活动，了解判断网络系统的安全状态。 使安全防护从被动防护演进到主动防御，是整个模型动态性的体现。 主要方法包括： 实时监控 检测 报警,P2DR的理解,49,P2DR： Response 反应 在检测到安全漏洞和安全事件时，通过及时的响应措施将网络系统的安全性调整到风险最低的状态。 评估系统受到的危害与损失，恢复系统功能和数据，启动备份系统等。 主要方法包括： 关闭服务 跟踪 反击 消除影
19、响,P2DR的理解,50,P2DR模型中的数学法则,假设S系统的防护、检测和反应的时间关系如下： Pt=防护时间(有效防御攻击的时间)， Dt=检测时间（发起攻击到检测到的时间）， Rt=反应时间（检测到攻击到处理完成时间）， Et=暴露时间，则该系统防护、检测和反应的时间关系如下： 如果PtDtRt，那么S是安全的； 如果PtDtRt，那么Et(DtRt)Pt。,51,P2DR模型的安全目标,依据P2DR 模型构筑的网络安全体系， 在统一安全策略的控制下， 在综合运用防护工具基础上， 利用检测工具检测评估网络系统的安全状态， 通过及时的响应措施将网络系统调整到风险最低的安全状态,52,再看P
20、2DR,安全管理的持续性、安全策略的动态性： 以实时监视网络活动、发现威胁和弱点来调整和填补网络漏洞。可测即可控 通过经常对网络系统的评估把握系统风险点，及时弱化甚至堵塞系统的安全漏洞。,53,IATF-深度防御保障模型,信息保障技术框架（Information Assurance Technical Framework，IATF） 美国国家安全局（NSA）制定的，为保护美国政府和工业界的信息与信息技术设施提供技术指南。 IATF的代表理论为“深度防御（Defense-in-Depth）”。 在关于实现信息保障目标的过程和方法上，IATF论述了系统工程、系统采购、风险管理、认证和鉴定以及生命周
21、期支持等过程，指出了一条较为清晰的建设信息保障体系的路子。,54,何谓“深度防御”？,IATF强调人、技术、操作这三个核心要素，从多种不同的角度对信息系统进行防护。 IATF关注四个信息安全保障领域（三保护一支撑） 本地计算环境 区域边界 网络和基础设施 支撑性基础设施 在此基础上，对信息信息系统就可以做到多层防护，实现组织的任务/业务运作。这样的防护被称为 “深度防护战略（Defense-in-Depth Strategy）”。,55,IATF框架,56,人（People）： 信息保障体系的核心，是第一位的要素，同时也是最脆弱的。 基于这样的认识，安全管理在安全保障体系中愈显重要，包括： 意
22、识培训、组织管理、技术管理、操作管理 技术（Technology）： 技术是实现信息保障的重要手段。 动态的技术体系： 防护、检测、响应、恢复 操作（Operation）： 也叫运行，构成安全保障的主动防御体系。 是将各方面技术紧密结合在一起的主动的过程，包括 风险评估、安全监控、安全审计 跟踪告警、入侵检测、响应恢复 ,IATF的三要素,57,IATF三要素,58,IATF的安全需求划分,IATF定义了四个主要的技术焦点领域： 本地计算环境 区域边界 网络和基础设施 支撑性基础设施。 这四个领域构成了完整的信息保障体系所涉及的范围。 在每个领域范围内，IATF都描述了其特有的安全需求和相应的
23、可供选择的技术措施。,59,目标： 使用信息保障技术确保数据在进人、离开或驻留客户机和服务器时具有保密性、完整性和可用性。 方法： 使用安全的操作系统, 使用安全的应用程序 安全消息传递、安全浏览、文件保护等 主机入侵检测 防病毒系统 主机脆弱性扫描 文件完整性保护,保护计算环境,60,保护区域边界,什么是边界？ “域”指由单一授权通过专用或物理安全措施所控制的环境，包括物理环境和逻辑环境。 区域的网络设备与其它网络设备的接入点被称为“区域边界”。 目标： 对进出某区域（物理区域或逻辑区域）的数据流进行有效的控制与监视。 方法： 病毒、恶意代码防御 防火墙 人侵检测 边界护卫 远程访问 多级别
24、安全,61,保护网络和基础设施,目标： 网络和支持它的基础设施必须 防止数据非法泄露 防止受到拒绝服务的攻击 防止受到保护的信息在发送过程中的时延、误传或未发送。 方法： 骨干网可用性 无线网络安全框架 系统高度互联和虚拟专用网。,62,支撑性基础设施建设,目标： 为安全保障服务提供一套相互关联的活动与基础设施,包括： 密钥管理功能 检测和响应功能 方法： 密钥管理 优先权管理 证书管理 入侵检测、 审计、配置 信息调查、收集,63,IATF框架,64,65,知识子域：国外信息安全保障情况 了解发达国家信息安全状况和信息安全保障的主要举措 了解发达国家信息安全方面主要动态 知识子域：我国信息安
25、全保障工作总体情况 了解我国信息安全保障工作发展阶段 理解国家信息安全保障基本原则 了解国家信息安全保障建设主要内容,知识域：信息安全保障工作概况,65,66,发达国家信息安全保障的主要举措,信息安全是国家安全的重要组成部分已成为世界各国的共识; 各国纷纷出台自己的信息安全战略和政策，加强自身的国家信息安全保障体系建设。,66,67,国外信息安全保障体系的最新趋势,战略：发布网络安全战略、政策评估报告、推进计划等文件 政治：通过设立网络安全协调机构、设立协调官，强化集中领导和综合协调 军事：陆续成立网络战司令部，开展大规模攻防演练，招募网络战精英人才，加快军事网络和通信系统的升级改造，网络战成
26、为热门话题 外交：信息安全问题的国际交流与对话增多，美欧盟友之间网络协同攻防倾向愈加明显，信息安全成为国际多边或双边谈判的实质性内容 科技：各国寻求走突破性跨越式发展路线推进技术创新，力求在科技发展上保持和占据优势地位 关键基础设施仍然是信息安全保障的最核心内容,68,美国信息安全保障战略： 一个轮回 三届政府 四个文件,网络空间国家安全战略框架,1998年5月，克林顿政府发布了第63号总统令（PDD63）：克林顿政府对关键基础设施保护的政策,2000年1月，克林顿政府发布了信息系统保护国家计划V1.0，提出了美国政府在21世纪之初若干年的网络空间安全发展规划。,2001年10月16日，布什政
27、府意识到了911之后信息安全的严峻性，发布了第13231号行政令信息时代的关键基础设施保护，宣布成立“总统关键基础设施保护委员会”，简称PCIPB，代表政府全面负责国家的网络空间安全工作,2003年2月，在征求国民意见的基础上，发布了保护网际空间的国家战略的正式版本，对原草案版本做了大篇幅的改动，重点突出国家政府层面上的战略任务，这是一个非常大的跨越,2010年3月2日， 奥巴马政府部分解密了CNCI， 包括3个重要目标，12个倡议,69,美国CNCI：网络“曼哈顿计划”,2008年1月2日发布的国家安全总统令54/国土安全总统令23，建立了国家网络安全综合计划(CNCI)。 三道防线 建立第
28、一线防御：减少当前漏洞和隐患，预防入侵； 全面应对各类威胁：增强反间能力，加强供应链安全来抵御各种威胁； 强化未来安全环境：增强研究、开发和教育以及投资先进的技术来构建将来的环境。 十二项提议 可信互联网连接（TIC）、网络入侵检测系统、网络入侵防护系统、科技研发、态势感知、网络反间、增强涉密安全、加强网络教育、“超越未来（Leap Ahead）”技术研发、网络威慑战略、全球供应链风险管理机制、公私协作,70,美国信息安全保障的重点对象,关键基础设施 2001年美国出台美国爱国者法案，定义“关键基础实施”的含义； 2003年12月发布国土安全总统令/HSPD-7确定了17个关键基础设施； 20
29、08年3月国土安全部将关键制造业类为第18项关键基础设施； 目前美国关键基础设施和主要资源部门 （1）信息技术；（2）电信；（3）化学制品；（4）商业设施；（5）大坝；（6）商用核反应堆、材料和废弃物；（7）政府设施；（8）交通系统；（9）应急服务；（10）邮政和货运服务；（11）农业和食品；（12）饮用水和废水处理系统；（13）公共健康和医疗；（14）能源；（15）银行和金融；（16）国家纪念碑和象征性标志；（17）国防工业基地；（18）关键制造业,71,美国信息安全保障组织机构,网络安全协调官：负责领导白宫“网络安全办公室”，制定和发布国家信息安全政策 首任网络安全协调官霍华德施密特，被喻
30、为“网络沙皇”国土安全部（DHS）、国家安全局（NSA）、国防部（DOD）、联邦调查局（FBI）、中央情况报局（CIA）、国家标准技术研究所（NIST）等6个机构具体执行不同的分管职责公私合作机构:国家基础设施顾问委员会（NIAC）、信息共享和分析中心（ISAC）、网络安全全国联盟（NCSA）等等,72,美国信息安全保障基本做法,1993年克林顿政府提出兴建“国家信息基础设施”（信息高速公路），1998年首次提出信息安全的概念和意义；1998年5月国家安全局制定了信息保障技术框架；2000年公布首个信息系统保护国家计划；2002年下半年，以国土安全战略为引导，布什政府逐步出台一系列国家安全政策
31、，将信息保障战略纳入总体国家战略之中： 2003年2月，发布网络空间安全国家战略、保护关键基础设施和重要资产的国家战略,73,美国信息安全保障基本做法,2005年美国建立了国家漏洞库（NVD），利用技术优势掌握全球最全面的信息安全漏洞信息2008年1月8日，布什以第54号国家安全总统令和第23号国土安全总统令的形式签署国家网络安全综合计划 这项计划高度强调国家意志，被称为信息安全的“曼哈顿计划； 目标：保护美国网络安全，防止美国遭到敌对的电子攻击，并能对敌方展开在线攻击； 预算：高达300-400亿美元 属于高度机密，2010年3月奥巴马政府公开了其部分内容 要求美国政府与安全有关的部门参与实
32、施,74,其他国家信息安全保障体系建设动态,英国 全面紧跟美国，注重信息安全标准组织建设，注重标准向海外推广，积极参见国际信息安全标准制定 强化网络监控，警方、国家安全、税务部门有权监控网络及电话 德国 第一个建立电子政务标准，注重基线安全防御 法国 强化四大安全目标（领导通信、政府通信、反攻击能力、信息安全纳入安全政策范围） 俄罗斯 注重测评 分级管理,75,分析总结重点保护对象,关键基础设施是保障重点 各国之间历史、国情、文化不同，具体的重点保护对象也有所差异，但共同特点是将与国家安全、社会稳定和民生密切相关的关键基础设施作为信息安全保障的重点； 国际关键信息基础设施保护手册（CIIP H
33、andbook）2008/2009显示，所有国家最常被提到的关键部门都是现代化社会的核心部门，也是被破坏后可能造成极大规模灾害的部门； 其中银行和金融被全部24个接受CIIP调查的国家列为国家关键基础设施。,76,分析总结信息安全组织机构,少数国家在中央政府一级设立机构专门负责处理网络信息安全问题，如美国；大多数国家信息安全管理职能由不同政府部门的多个机构和单位共同承担；机构单位的设立，以及机构在信息安全管理中的影响力，受到民防传统、资源配置、历史经验以及决策者对信息安全威胁总体认识程度的影响；两种观念在机构设置问题上具有较大影响力： 执法机关强调信息安全属于防范敌对势力入侵及网络犯罪的范畴
34、经营基础设施的部门将调信息安全属于技术问题或经济成本问题 在现实信息安全威胁性质的决定下，前一种观念在大多数国家成为主流,77,分析总结基本做法,将信息安全视为国家安全的重要组成部分是主流 积极推动信息安全立法和标准规范建设是主流 重视对基础网络和重要信息系统的监管和安全测评是主流 普遍重视信息安全事件应急响应 普遍认识到公共私营合作伙伴关系的重要性，一方面政府加强管理力度，一方面充分利用社会资源,78,我国信息安全保障工作发展阶段 国家信息安全保障基本原则 国家信息安全保障建设主要内容,我国信息安全保障总体情况,78,79,我国信息安全保障工作发展阶段,79,80,信息安全保障的基本原则立足
35、国情，以我为主，坚持管理与技术并重；正确处理安全与发展的关系，以安全保发展，在发展中求安全；统筹规划，突出重点，强化基础性工作；明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保障体系。等级保护制度：根据应用系统、应用单位的重要程度，将信息系统划分为不同的重要级别，然后采用不同的技术和产品进行保护。,国家信息安全保障基本原则,80,81,我国信息安全保障建设的主要内容,建立健全国家信息安全组织与管理体制机制，加强信息安全工作的组织保障 建立健全信息安全法律法规体系，推进信息安全法制建设 建立完善信息安全标准体系，加强信息安全标准化工作 建立信息安全技术体系，实现国
36、家信息化发展的自主可控 建设信息安全基础设施，提供国家信息安全保障能力支撑 建立信息安全人才培养体系，加快信息安全学科建设和信息安全人才培养,82,制定信息安全保障需求的作用 制定信息系统安全保障需求的方法和原则信息安全保障解决方案 确定安全保障解决方案的原则 实施信息安全保障解决方案的原则信息安全测评 信息安全测评的重要性 国内外信息安全测评现状 产品、人员、商资、系统测评的方法和流程持续提高信息系统安全保障能力。 信息系统安全监护和维护,确定需求,制定方案,开展测评,持续改进,信息安全保障工作基本内容,82,83,知识域：信息安全保障工作基本内容,知识子域：确定安全需求 理解确定信息系统安
37、全保障需求的作用 理解确定信息系统安全保障需求的方法和原则,83,为什么要提取信息安全需求,信息安全需求是安全方案设计和安全措施实施的依据 准确地提取安全需求 一方面可以保证安全措施可以全面覆盖信息系统面临的风险，是安全防护能力达到业务目标和法规政策的要求的基础 另一方面可以提高安全措施的针对性，避免不必要的安全投入，防止浪费,84,2019/2/19,85,“信息系统安全保障需求描述”,风险评估,确定信息系统安全保障具体需求,如何制定信息安全保障需求,85,法规符合性,86,安全需求的制定流程,86,87,信息系统保护轮廓（ISPP）是根据组织机构使命和所处的运行环境，从组织机构的策略和风险
38、的实际情况出发，对 具体信息系统安全保障需求和能力进行具体描述。表达一类产品或系统的安全目的和要求。ISPP是从信息系统的所有者（用户）的角度规范化、结构化的描述信息系统安全保障需求。,信息系统安全保障的具体需求由信息系统保护轮廓(ISPP)确定。,ISPP,87,标准化的安全保障需求文档-ISPP,88,ISSP引言 信息系统描述 信息系统安全环境 安全保障目的 安全保障要求 ISPP应用注解 符合性声明,规范化保障需求,88,规范化、结构化信息系统安全保障具体需求,89,ISPP的框架结构,89,90,参考国家标准制定安全需求,90,安全需求的具体内容可以从国家标准信息系统安全保障评估框架
39、中抽取,91,知识域：信息系统安全保障工作基本内容,知识子域：设计和实施信息安全方案 理解信息安全方案的作用和主要内容 理解制定信息安全方案的主要原则 理解信息安全方案实施的主要原则,91,信息安全保障解决方案制定的原则,以风险评估和法规要求得出的安全需求为依据 考虑系统的业务功能和价值 考虑系统风险哪些是必须处置的，哪些是可接受的 贴合实际具有可实施性 可接受的成本 合理的进度 技术可实现性 组织管理和文化的可接受性,92,93,信息系统安全目标（ISST）是根据信息系统保护轮廓（ISPP）编制的信息系统安全保障方案。 某一特定产品或系统的安全需求。 ISST从信息系统安全保障的建设方（厂商
40、）的角度制定的信息系统安全保障方案。,信息系统安全目标（ISST）,规范化、结构化信息系统安全保障方案,93,94,ISST的结构和内容,ISST引言 信息系统描述 信息系统安全环境 安全保障目的 安全保障要求 信息系统概要规范 ISPP声明 符合性声明,94,95,编制信息系统安全保障目标（ISST）,信息系统安全保障方案,95,96,信息系统安全保障方案,96,97,以信息安全保障方案为依据 覆盖方案提出的建设目标和建设内容 规范的实施过程 实施的质量、进度和成本必须受控 实施过程中出现的变更必须受控 充分考虑实施风险，如资源不足、组织文化的抵触情绪、对业务正常运行造成的影响、信息泄露或破
41、坏等,信息安全保障实施的原则,97,98,覆盖信息系统全生命周期 以风险和策略为核心 风险评估贯穿系统全生命周期 建立完整的策略体系 涉及技术、管理、工程、人 技术：分层多点的深度防御系统 管理：建立能力成熟的信息安全管理体系 工程：选择有能力的信息安全集成商和服务商 人：建立完善的人才体系，增强安全意识和文化,信息安全保障实施的内容,98,99,知识域：信息系统安全保障工作基本内容,99,知识子域：信息安全测评 了解信息安全测评的重要性 了解国内外信息安全测评概况 理解信息安全产品测评方法和流程 理解信息系统安全测评方法和流程 了解服务商资质测评方法和流程 了解信息安全人员资质测评方法和流程
42、,100,信息系统安全保障评估在信息系统所处的运行环境中对信息系统安全保障的具体工作和活动进行客观的评估，通过信息系统安全保障评估所搜集的客观证据，向信息系统的所有相关方提供信息系统的安全保障工作能够实现其安全保障策略，能够将其所面临的风险降低到其可接受的程度的主观信心。,100,信息系统安全保障评估,101,信息安全保障评估,评估是信息系统安全保障的一个重要概念，系统所有者可以根据评估所得到的客观评估结果建立其主观的信心。评估对象是信息系统，不仅包含了信息技术系统，还包括同信息系统所处的运行环境相关的人和管理等领域。评估是一种动态持续的评估过程。,101,102,我国信息安全测评认证标准,我
43、国信息安全测评认证所使用的标准主要有三个来源：采用国 家标准、在没有国家标准的情况下采用国际标准、采用认证中 心管委会批准的技术要求和保护轮廓。,102,国家信息安全测评主要对象,信息产品安全测评 信息系统安全测评 服务商资质测评 信息安全人员资质测评,103,104,信息产品安全评估是测评机构对产品的安全性做出的独立评价，目的是为产品认证提供证据，增强用户对已评估产品安全的信任，向消费者提供信息技术安全产品的采购依据，从而推动信息技术安全产业的发展、提高信息技术安全科研和生产水平。,信息产品安全测评依据的标准是：CC、CEM和CNITSEC（20274）的要求,信息安全产品测评,104,10
44、5,信息系统安全保障的评估，是从信息系统安全保障的概念出发，在信息系统的生命周期内，根据组织机构的要求在信息系统的安全技术、安全管理和安全工程领域内对信息系统的安全技术控制措施和技术架构能力、安全管理控制和管理能力以及安全工程实施控制措施和工程实施能力进行评估综合，从而最终得出信息系统在其运行环境中安全保障措施满足其安全保障要求的符合性以及信息系统安全保障能力的评估。,信息系统安全保障评估的内容,105,106,信息系统安全测评标准,信息系统安全测评标准是GB/T20274 信息系统安全保障评估框架，它为信息系统安全测评提供了思路框架和操作规范,保障要素,生命周期,信息特征,106,107,信
45、息系统的安全保障能力成熟度级,管理能力成熟度等级（MCML）：MCML1、MCML2、MCML3、MCML4和 MCML5工程能力成熟度等级（PCML）：PCML1、PCML2、PCML3、PCML4和PCML5技术体系架构成熟度级别（TCML） ：TCML1、TCML2、TCML3、TCML4、TCML5,107,108,信息安全服务资质测评,信息安全服务资质测评是对信息安全服务商的技术、资源、管理等方面的能力和稳定性、可靠性进行评估 目前中国信息安全测评中心开展的信息安全服务资质评估包括3个类别 信息安全工程类 信息安全开发类 信息系统灾难恢复类,108,109,基本资格 独立实体本身合法
46、 遵守国家有关法规行为合法 基本能力 组织机构 外部协作 人员素质 资产规模 设施环境 业绩,信息安全服务资质评估主要内容,109,110,安全工程过程能力级别是评定信息系统安全服务组织资质的主要依据，标志着服务组织提供给客户的安全服务专业水平和质量保证程度。 信息系统工程的过程能力级别按成熟性排序，表示依次增加的组织能力。信息系统安全服务资质评估准则将信息系统安全服务组织的工程能力分为五个级别： 一级：基本执行级 二级：计划跟踪级 三级：充分定义级 四级：量化控制级 五级：连续改进级,信息安全服务资质评估主要内容,110,111,项目和组织过程能力包括： 1、质量保证； 2、管理配置； 3、
47、管理项目风险； 4、监控技术活动； 5、规划技术活动； 6、管理系统工程支持环境； 7、提供不短发展的技能和知识； 8、与供应商协调。,信息安全服务资质评估主要内容,111,112,概述,“注册信息安全专业人员”(Certified Information Security Engineer，简称CISP)是一种特殊专业岗位人员，其所具备的专业资质和能力，系经国家认证和认可。CISP的基本职能是对信息系统的安全提供技术保障。 申请CISP认证的境内人员必须具备相关的教育和工作经历，通过信息安全专业人员培训及考试，提交申请，并由认证中心认证。CISP证书在有效期内实行年度确认制度，在有效期结束进
48、行复查换证。,112,113,CISP,CISP分为根据实际岗位工作需要，分为两个基础类别:注册信息安全工程师（CISE）,适合从事信息安全技术领域的工作；注册信息安全管理人员（CISO）,适合信息安全管理领域的工作； 在两个基础类别之上还有两个扩展类别：注册信息安全专业人员-审计师（CISP-AUDIT（原CISA），适合从事信息安全审计工作。 注册信息安全专业人员-灾难恢复工程师（CISP-DRP），适合从事信息系统灾难恢复工作。,113,114,信息安全人才知识体系战略,114,115,CISP的知识体系架构,115,116,CISP资质认证流程,申请阶段,评估阶段,认证阶段,监督阶段,
49、116,117,知识域：信息系统安全保障工作基本内容,117,知识子域：信息安全监控与维护 理解在系统生命周期中持续提高信息系统安全保障能力的意义 理解信息系统安全监控与维护的主要原则,118,为什么投入钱、投入人，信息安全问题还是层出不穷？ 因为风险是动态变化的，信息系统安全保障需要覆盖信息系统的整个生命周期，形成持续改进的信息系统安全保障能力（技术/管理/工程能力）,系统安全监控维护的意义,118,信息系统安全监控与保持,一种是已经被攻破的,从风险的角度看，信息系统只有以下两种：,另一种是即将被攻破的,119,持续的风险评估是 信息安全保障的一 项基础性工作,持续的风险评估为新 的安全决策和需求提供 重要依据,风险评估,信息系统安全监控与保持的工作内容,120,121,以风险管理为基础做好以下工作 安全漏洞隐患的消控 建立有效事件管理与应急响应机制 建立强大的信息系统灾难恢复能力,121,信息系统安全监控与保持的工作内容,
