[精选]安全保障体系的建立讲义1057

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,#,45,信息,安全技术基础,制作：张浩军,学习目标,信息安全涉及范畴、安全属性需求以及信息安全保障体系结构,动态和可适应的信息安全防御模型,风险评估、等级保护、安全测评的内容与方法,本章介绍信息安全保障体系的建立，信息系统主动防御模型，以及信息安全风险评估、等级保护的相关标准规范和内容,。,2,目 录,2.1,信息安全保障体系,2.2,信息安全防御模型,2.3,风险评估与等级保护,3,如何构架全面的信息安全保障？,4,IS Assurance?,范畴,属性,体系结构,2.1.1,信息安全范畴,信息自身,5,文本、图形、图像、音频、视频、动画等。,信息载体,信息环境,信息载体,信息环境,2.1.1,信息安全范畴,信息自身,6,信息载体,信息环境,物理平台,计算芯片：,CPU,、控制芯片、专用处理芯片等。,存储介质：内存、磁盘、光盘、,U,盘、磁带等。,通信介质：双绞线、同轴电缆、光纤、无线电波、微波、红外线等。,系统设备,：,计算机：包括个人计算机、服务器、小型机、智能终端等各类计算机；打印机、扫描仪、数字摄像机、智能手机等硬件设备。,2.1.1,信息安全范畴,信息自身,7,信息载体,信息环境,软件,平台,系统平台：操作系统、数据库系统等系统软件。,通信平台：通信协议及其软件。,网络平台：网络协议及其软件。,应用平台：应用软件。,2.1.1,信息安全范畴,信息自身,8,信息载体,信息环境,硬环境,机房、电力、照明、温控、湿控、防盗、防火、防震、防水、防雷、防电磁辐射、抗电磁干扰等设施。,软环境,国家法律、行政法规、部门规章、政治经济、社会文化、思想意识、教育培训、人员素质、组织机构、监督管理、安全认证等方面。,2.1.2,信息安全属性,9,如何刻画信息及信息系统的安全性？,IS Attributes?,2.1.2,信息安全属性,保密性（也称机密性，,Confidentiality,）：,保证信息与信息系统不被非授权者所获取或利用。保密性包含数据的保密性和访问控制等方面内容。,10,完整性（,Integrity,）：,保证信息与信息系统正确和完备，不被冒充、伪造或篡改，包括数据的完整性、系统的完整性等方面。,2.1.2,信息安全属性,鉴别性（也称可认证性，,Authentication,）：,保证信息与信息系统真实，包括实体身份的真实性、数据的真实性、系统的真实性等方面。,11,不可否认性（不可抵赖性，,Non-Repudiation,）：,建立有效的责任机制，防止用户否认其行为，这一点在电子商务中极为重要。,2.1.2,信息安全属性,可用性（,Availability,）：,保证信息与信息系统可被授权者在需要的时候能够被访问和使用。,12,可靠性（,Reliability,）：,保证信息系统为合法用户提供稳定、正确的信息服务。,2.1.2,信息安全属性,可追究性（,Accountability,）：,保证从一个实体的行为能够唯一地追溯到该实体，它支持不可否认、故障隔离、事后恢复、攻击阻断等应用，具有威慑作用，支持法律事务，其结果可以保证一个实体对其行为负责。,13,2.1.2,信息安全属性,保障（,Assurance,）：,为在具体实现和实施过程中，保密性、完整性、可用性和可追究性等得到足够满足提供信心基础，这种信心基础主要通过认证和认可来实现。,14,可控性（,Controlability,）：,指对信息和信息系统实施有效的安全监控管理，防止非法利用信息和信息系统。,2.1.3,信息安全保障体系结构,15,如何构建,全面的,信息安全保障体系？,IS Assurance?,2.1.3,信息安全保障体系结构,信息安全保障包括人、政策（包括法律、法规、制度、管理）和技术三大要素,主要内涵是实现上述保密性、鉴别性、完整性、可用性等各种安全属性,保证信息、信息系统的安全性目的。,16,2.1.3,信息安全保障体系结构,技术体系,机制,加密、数字签名、访问控制、数据完整性、鉴别交换、通信业务填充、路由选择控制、公证、可信功能度、安全标记、事件检测、安全审计跟踪、安全恢复、电磁辐射控制、抗电磁干扰等。,服务,鉴别,/,身份认证、访问控制、数据机密性、数据完整性、抗抵赖、可靠性、可用性、安全审计等。,管理,技术管理策略、系统安全管理、安全机,制管理、安全服务管理、安全审计管理、安全恢复管理等。,标准,上述安全技术的实现依据、交互接口和评估准则。,17,2.1.3,信息安全保障体系结构,组织体系,机构,决策层：明确总体目标、决定重大事宜。,管理层：根据决策层的决定全面规划、制定策略、设置岗位、协调各方、处理事件等。,执行层：按照管理层的要求和规定执行某一个或某几个特定安全事务。,岗位,负责某一个,或某几,个特定安全事务的职位。,人事,负责岗位上人员管理的部门。,18,2.1.3,信息安全保障体系结构,管理体系,法律,根据国家法律和行政法规，强制性约束相关主体的行为。,制度,依据部门的实际安全需求，具体化法律法规，制定规章制度，规范相关主体的行为。,培训,培训相关主体的法律法规、规章制度、岗位职责、操作规范、专业技术等知识，提高其安全意识、安全技能、业务素质等。,19,2.1.3,信息安全保障体系结构,安全服务,认证（也称鉴别）服务,访问控制服务,数据保密性服务,数据完整性服务,抗否认性服务,可靠性服务,可用性服务,安全审计服务,20,信息系统,-,开放系统互连基本参考模型 第,2,部分：安全体系结构,GB/T 9387.2-1995,（等同于,ISO 7498-2,）,2.1.3,信息安全保障体系结构,安全机制,加密机制,数字签名机制,访问控制机制,数据完整性机制,鉴别交换机制,业务流填充机制,路由选择控制机制,公正机制,21,信息系统,-,开放系统互连基本参考模型 第,2,部分：安全体系结构,GB/T 9387.2-1995,（等同于,ISO 7498-2,）,目 录,2.1,信息安全保障体系,2.2,信息安全防御模型,2.3,风险评估与等级保护,22,2.2,信息安全防御模型,23,如何有效实现信息安全防御？,IS Defenses?,2.2,信息安全防御模型,24,主动信息安全防御模型,Evaluation,Policy,Protection,Restoration,Detection,Reaction,2.2,信息安全防御模型,1.,风险评估,25,对信息系统进行全面的风险评估，这需要对信息系统应用需求、网络基础设施、外部内部环境、安全威胁、人员、政策法规、安全技术等具有全面的了解，并善于应用各种方法、手段、工具对系统风险进行人工和自动分析，给出全面细致的风险评估。,2.2,信息安全防御模型,2.,制定策略,26,安全策略是安全模型的核心，防护、检测、响应和恢复各个阶段都是依据安全策略实施的，安全策略为安全管理提供管理方向和支持手段。,策略体系的建立包括安全策略的制订、评估、执行等。,2.2,信息安全防御模型,3.,实施保护,27,安全保护就是采用一切可能的方法、手段和技术防护信息及信息系统遭受安全威胁，减少和降低遭受入侵和攻击的可能，即实现保密性、完整性、可用性、可控性和不可否认性等安全属性。,2.2,信息安全防御模型,4.,监测,28,在系统实施保护之后根据安全策略对信息系统实施,监控和检测,。,监控是对系统运行状态进行监视和控制，发现异常，并可能作出动态调整。,检测是对已部署的系统及其安全防护进行检查测量，是动态响应和加强防护的依据，是强制落实安全策略的手段。,2.2,信息安全防御模型,5.,响应,29,响应就是已知一个攻击（入侵）事件发生之后，所进行的处理。把系统调整到安全状态；对于危及安全的事件、行为、过程，及时做出处理，杜绝危害进一步扩大，力求系统保持提供正常的服务。,2.2,信息安全防御模型,6.,恢复,30,恢复可以分为系统恢复和信息恢复。,系统恢复是指修补安全事件所利用的系统缺陷，如系统升级、软件升级和打补丁等方法，去除系统漏洞或后门。,信息恢复是指恢复丢失的数据。,目 录,2.1,信息安全保障体系,2.2,信息安全防御模型,2.3,风险评估与等级保护,31,2.3,风险评估与等级保护,32,建设信息系统时，,如何确定和规划安全保护？,Protection?,2.3,风险评估与等级保护,2.3.1,等级保护,2.3.2,风险评估,2.3.3,系统安全测评,2.3.4,信息系统安全建设实施,2.3.5,信息安全原则,33,2.3.1,等级保护,类别,级别,名称,主要特征,A,A1,验证设计,形式化的最高级描述和验证，形式化的隐藏通道分析，形式化的代码对应证明,B,B3,安全区域,存取监控，高抗渗透能力,B2,结构化保护,形式化模型,/,隐通道约束、面向安全的体系结构，较好的抗渗透能力,B1,标识的安全保护,强制存取控制、安全标识,C,C2,受控制的存取控制,单独用户的可查性、广泛的审计跟踪,C1,自主安全保护,自主存取控制,D,D,低级保护,系统只为文件和用户提供安全保护。最普通的形式是本地操作系统，或者是一个完全没有保护的网络。,34,2.3.2,风险评估,风险评估是安全建设的出发点，遵循成本,/,效益平衡原则，通过对用户关心的,重要资产,（如信息、硬件、软件、文档、代码、服务、设备、企业形象等）的分级，对,安全威胁,（如人为威胁、自然威胁等）发生的可能性及严重性分析，对系统物理环境、硬件设备、网络平台、基础系统平台、业务应用系统、安全管理、运行措施等方面的安全脆弱性（或称薄弱环节）分析，以及已有安全控制措施的确认，借助定量、定性分析的方法，推断出用户关心的重要资产当前的,安全风险,，并根据风险的严重级别制定风险处理计划，确定下一步的安全需求方向。,35,36,风险评估要素,关系图,37,风险分析原理图,38,风险评估实施,流程图,2.3.3,系统安全测评,系统安全测评是指由具备检验技术能力和政府授权资格的权威机构（如中国信息安全测评中心），依据国家标准、行业标准、地方标准或相关技术规范，按照严格程序对信息系统的安全保障能力进行的科学公正的综合测试评估活动，以帮助系统运行单位分析系统当前的安全运行状况、查找存在的安全问题，并提供安全改进建议，从而最大程度地降低系统的安全风险。,39,2.3.4,信息系统安全建设实施,规划需求阶段：定级备案,、,风险评估。,设计开发及实施阶段：系统安全体系结构及详细实施方案的设计，采购和使用，建设安全设施，落实安全技术措施。第三方机构评审。,运行维护阶段：周期性的安全测评和安全认可。,废弃阶段：废弃处理对资产的影响、对信息,/,硬件,/,软件的废弃处置方面威胁、对访问控制方面的弱点进行综合风险评估。,40,2.3.5,信息安全原则,安全是相对的，同时也是动态的，没有绝对的安全,！,安全是一个系统工程,！,信息安全技术原则：,最小化原则,分权制衡原则,安全隔离原则,41,小 结,本章从信息安全范畴、衡量信息安全的属性出发，介绍了信息安全保障体系，信息安全保障包括人、政策和技术工程方法，使用各类安全机制实现安全服务，满足安全功能需求。信息安全防御体系构建应该是动态和可适应的，以策略为核心，实施评估、保护、监测、响应和恢复等环节的闭环管理。最后介绍了等级保护、风险评估和安全测评的内容与方法，以及它们之间的关系。本章从整体上概括了信息系统安全保障体系和实施的工程方法。,42,Q,&,A,43,作业与思考,主要安全属性有哪些？它们含义是什么？,信息防御模型包括哪些主要环节？各个环节的功能是什么？,什么是风险评估？风险评估的主要内容是什么？,什么是等级保护？我国发布计算机信息系统安全保护等级划分准则将信息系统安全保护能力分为哪几个等级？各个等级是如何定义的？,44,9,、静夜四无邻，荒居旧业贫。,10月-24,10月-24,Tuesday, October 1, 2024,10,、雨中黄叶树，灯下白头人。,15:15:47,15:15:47,15:15,10/1/2024 3:15:47 PM,11,、以我独沈久，愧君相见频。,10月-24,15:15:47,15:15,Oct-24,01-Oct-24,12,、故人江海别，几度隔山川。,15:15:47,15:15:47,15:15,Tuesday, October 1, 2024,13,、乍见翻疑梦，相悲各问年。,10月-24,10月-24,15:15:47,15:15:47,October 1, 2024,14,、他乡生白发，旧国见青山。,01 十月 2024,3:15:47 下午,15:15:47,10月-24,15,、比不了得就不比，得不到的就不要。,。,十月 24,3:15 下午,10月-24,15:15,October 1, 2024,16,、行动出成果，工作出财富。,2024/10/1 15:15:47,15:15:47,01 October 2024,17,、做前，能够环视四周；做时，你只能或者最好沿着以脚为起点的射线向前。,3:15:47 下午,3:15 下午,15:15:47,10月-24,9,、没有失败，只有暂时停止成功！。,10月-24,10月-24,Tuesday, October 1, 2024,10,、很多事情努力了未必有结果，但是不努力却什么改变也没有。,15:15:47,15:15:47,15:15,10/1/2024 3:15:47 PM,11,、成功就是日复一日那一点点小小努力的积累。,10月-24,15:15:47,15:15,Oct-24,01-Oct-24,12,、世间成事，不求其绝对圆满，留一份不足，可得无限完美。,15:15:47,15:15:47,15:15,Tuesday, October 1, 2024,13,、不知香积寺，数里入云峰。,10月-24,10月-24,15:15:47,15:15:47,October 1, 2024,14,、意志坚强的人能把世界放在手中像泥块一样任意揉捏。,01 十月 2024,3:15:47 下午,15:15:47,10月-24,15,、楚塞三湘接，荆门九派通。,。,十月 24,3:15 下午,10月-24,15:15,October 1, 2024,16,、少年十五二十时，步行夺得胡马骑。,2024/10/1 15:15:47,15:15:47,01 October 2024,17,、空山新雨后，天气晚来秋。,3:15:47 下午,3:15 下午,15:15:47,10月-24,9,、杨柳散和风，青山澹吾虑。,10月-24,10月-24,Tuesday, October 1, 2024,10,、阅读一切好书如同和过去最杰出的人谈话。,15:15:47,15:15:47,15:15,10/1/2024 3:15:47 PM,11,、越是没有本领的就越加自命不凡。,10月-24,15:15:47,15:15,Oct-24,01-Oct-24,12,、越是无能的人，越喜欢挑剔别人的错儿。,15:15:47,15:15:47,15:15,Tuesday, October 1, 2024,13,、知人者智，自知者明。胜人者有力，自胜者强。,10月-24,10月-24,15:15:47,15:15:47,October 1, 2024,14,、意志坚强的人能把世界放在手中像泥块一样任意揉捏。,01 十月 2024,3:15:47 下午,15:15:47,10月-24,15,、最具挑战性的挑战莫过于提升自我。,十月 24,3:15 下午,10月-24,15:15,October 1, 2024,16,、业余生活要有意义，不要越轨。,2024/10/1 15:15:47,15:15:47,01 October 2024,17,、一个人即使已登上顶峰，也仍要自强不息。,3:15:47 下午,3:15 下午,15:15:47,10月-24,MOMODA POWERPOINT,Lorem ipsum dolor sit amet, consectetur adipiscing elit. Fusce id urna blandit, eleifend nulla ac, fringilla purus. Nulla iaculis tempor felis ut cursus.,感谢您的下载观看,专家告诉,