构建信息安全保障体系

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,构建信息平安保障体系,曲成义 研究员,2021.5,1,我国网络信息平安威胁增加迅速 CNCERT/CC,僵尸网络范围扩大，14万台主机被植入僵尸程序,木马/谍件威胁严重，4.5万IP地址植入木马,网页篡改数量迅速增加，到达24477次,政府网站被篡改3831次，占总量16%,平安事件报告的年增量为196%,网络恶意代码年增量12.8倍,漏洞发现量的年增196%,2,网络威胁的新动向值得高度关注,“零日攻击现象出现魔波蠕虫,复合式病毒给防范增加难度,僵尸网成为DDos和垃圾邮件的源头,网络仿冒/劫持是在线窃信的重要途径,谍件泛滥是窃密/泄密的主要元凶,通过网页/邮件/P2P传播恶意代码的数量猛增,非法牟利动机明显增加和趋于嚣张,黑客地下产业链正在形成,僵尸源和木马源的跨国控制应该高度警惕,内部平安事件的增加引起高度重视,3,国家信息化领导小组第三次会议,?关于加强信息平安保障工作的意见?,中办发2003 27号文,坚持积极防御、综合防范,全面提高信息平安防护能力,重点保障信息网络和重要信息系统平安,创立平安健康的网络环境,保障和促进信息化开展、保护公众利益、,维护国家平安,立足国情、以我为主、管理与技术并重、,统筹规划、突出重点,发挥各界积极性、共同构筑国家信息平安保障体系,4,国家信息平安保障工作要点,中办发2003 27号文,实行信息平安等级保护制度：风险与本钱、资源优化配置、平安,风险评估,基于密码技术网络信任体系建设：密码管理体制、身份认证、,授权管理、责任认定,建设信息平安监控体系：提高对网络攻击、病毒入侵、网络失窃,密、有害信息的防范能力,重视信息平安应急处理工作：指挥、响应、协调、通报、支援、,抗毁、灾备,推动信息平安技术研发与产业开展：关键技术、自主创新、强化可控,、引导与市场、测评认证、采购、效劳,信息平安法制与标准建设：信息平安法、打击网络犯罪、标准体,系、标准网络行为,信息平安人材培养与增强平安意识：学科、培训、意识、技能、,自律、守法,信息平安组织建设：信息平安协调小组、责任制、依法管理,5,构造信息平安保障体系的目标,增强信息网络四种平安能力,创立信 息平安的根底支撑能力,平安 根底设施、技术与产业、人才与教育,提升信息平安防护与对抗能力,.,加强网络突发事件的快速反响能力,拥有平安管理的控制能力,保障信息及其效劳具有六性,保密性、完整性、可用性、真实性、可核查性、可控性,6,信息系统平安的全局对策,(一)科学划分信息平安等级,投入与风险的平衡点,平安资源的优化配置,(一)构建信息平安保障体系,重视顶层设计,做好信息平安技术体系与信息平安管理体系,强化信息平安的保障性,(二)作好信息平安风险评估,是信息平安建设的起点、也覆盖终生,提升信息平安的可信性,7,一科学划分信息平安等级,8,我国信息平安等级保护工作职责分工,2006年1月，?信息平安等级保护管理方法试行?公通字20067号明确了公安、保密、密码、信息化部门的职责：,公安机关全面,国家保密工作部门涉密信息系统,国家密码管理部门密码,国务院信息办协调,9,信息平安等级保护关注点 公通字200743号文、中保委发20047号文,等级保护涉及的内容：信息系统、信息平安产品、信息平安事件,分级依据：重要程度、危害程度、保护水平 (业务信息、系统效劳,保护级别划分：,自主保护级、指导保护级、监督保护级、强制保护级、专控保护级,系统管理模式,一级：自主保护 一般系统/合法权益,二级：指导保护一般系统/合法权益、社会利益,三级：监督检查重要系统/社会利益、国家平安 (秘密),四级：强制监督 重要系统/社会利益、国家平安 (机密 、增强,五级：专门监督 极端重要系统/国家平安 (绝密),平安管理,自主定级-审核批准-系统建设-平安测评,10,信息平安等级保护相关标准 公通字200743号文,GB/T20269-2006,-,BMB 17-2006,BMB 22-2007,BMB 20-2007,11,二构建信息平安保障体系,12,信息平安保障体系框架,安,全,法,规,安,全,管,理,安,全,标,准,安,全,工,程,与,服,务,安,全,基,础,设,施,教,育,培,训,13,1信息平安法规,?关于开展信息平安风险评估工作的意见?,国信办20051号文,?信息平安等级保护管理方法?,公通字20067号文、公通字200743号文、,?关于做好国家重要信息系统灾难备份的通知?,?关于做好信息平安管理试点的通知?,?中华人民共和国保守国家秘密法?(在修订),?信息平安法?信息平安条例,?电子签名法?2005年4月1日实施,?个人数据保护法?,-,-,14,2重视信息平安管理体系建设,(ISMS),国家文件屡次指出：,建立信息平安管理组织,明确信息平安管理责任制,平安技术与平安管理要并重,信息平安标准化委员会正抓紧制订管理标准,构建信息平安保障体系时一定要重视ISMS,建设,15,信息平安管理体系要求,(ISO/IEC 27001-2005 GBT 20269-2006),规定了组织建立、实施、运行、监视、评审,保持、改进、ISMS的要求,基于风险管理思想提出了“PDCA模型，使组织,到达更有效的平安管理,用于认证和审核,16,应用于ISMS过程的PDCA模型,PDCA循环是能使任何一项活动有效改进的工作程序,相关方,受控的,信息安全,信息安全,要求和期望,相关方,检查Check,建立ISMS,实施和,运行ISMS,保持和,改进ISMS,监视和,评审ISMS,规划Plan,实施,Do,处置,Act,应用于ISMS过程的PDCA模型,17,信息平安管理实用规那么,(ISO/IEC-27002 GB/T-),平安管理方针:业务、法规,信息平安组织：内部、外部、控制措施,信息资产管理：责任、分类、控制措施,人力资源平安：角色、职责、培训、任用、处分,物理和环境平安：平安域控制、设备平安控制,通信与操作管理：职责、交付、验收、完整性、备份,网控、介质、交换、EC、监视,访问控制：策略、授权、控制、移动,信息系统开发维护：密码、文件、应用、过程、漏洞,信息平安事件管理：报告、弱点、改进、职责,业务持续性管理：中断、恢复、预案、评测,符合性：法规、策略、标准、审核,18,信息平安管理实用规那么,(ISO/IEC 27002-2007),详细严格的平安管理控制，贯穿系统,生命周期全过程和系统所有环节,11个控制工程,39个控制目标,133个控制措施,19,国信办信息平安管理试点,(06年的9个月时间),5省中选7个点进行ISMS试点,遵循 ISO/IEC 27001-2005 ISO/IEC 17799-2005,并将ISMS试点与等级保护/风险评估相结合,重视需求牵引、领导参与,ISMS建立要全员发动、培训、参与,进一步认识过程的复杂性、困难性,需要多个结合：工作流程、现实制度,工程管理、多方参与,20,3国家信息平安标准化委员会,平安功能定义,平安要素设计：物理、网络、系统、应用、管理,全程平安控制,风险全程管理,平安有效评估,强壮性策略,02.4.15方案成立.十个工作组,1 标准体系与协调含可信计算,2 涉密信息系统保密(内容分级),3 密码算法与模块,4 PKI/PMI,5 平安评估,应急处理,7 平安管理灾难恢复、风险评估-,电子证据,身份标识与鉴别,操作系统与数据,国家发布33项、报批搞9项、送审稿14项、征求意见14项,21,4信息系统平安工程建设,平安需求分析：威胁，弱点，风险，对策,平安技术体系设计,平安管理体系设计,平安要素设计：物理、网络、系统、应用、管理,平安集成管理:SOC,平安风险评估与全程控制,提升预警、防护、检测、响应、恢复、还击的能力,ISSE，IATF，CC，TESEC,BMB,ISMS,22,23,A网络平安纵深防御体系,网络信息平安域的划分、隔离控制、可信接入,内部网平安效劳与控制策略,专网平安效劳与控制策略,外部网平安效劳与控制策略,互联网平安效劳与控制策略,公共干线的平安效劳与控制策略有线、无线、卫星,计算环境的平安效劳机制,多级设防与科学布署策略,全局平安测评、集成管理、联动控制与恢复,24,电子政务网络信息平安域的结构,外网,外网,互联网,互联网,内网,内网,内网,物理隔离,逻辑隔离,内网VPN-私有专线或公共通信网,外网,互联网,外网VPN-公共通信网,互联网Internet,节点1,节点,N,节点2,25,信息平安域的科学划分,内网、(专网)、外网、互联网,信息平安域边界的平安控制,逻辑隔离/物理隔离,信息平安机制的纵深多级布署,多级配置/集成管理/设施联动,公共干线TSP的平安保障,有线/无线/卫星,纵深型防御技术关注点,26,防火墙/UTM,平安网关,NAT,应用代理,VLAN,可信接入(TNC、NAC、NAP,VPN,网络边界逻辑隔离,27,网络边界物理隔离技术,物理级电磁域、物理域,屏蔽室/线、干扰器端、线、区域保护,终端级隔离卡,双机型、双盘型、双区型,传输信道级端端加密,专用信道：VPN、IP密码机,电路交换方式PVC：认证与链路加密,网络级物理隔离与信息交换,物理切断：平安岛交换,单向网闸：开放环境信息单向进入秘密级环境,双向网闸：物理隔离网络环境内平安域间的信息交换、,共享和互操作,28,基于时间“t的动态过程防御,#Pt：入侵防护时间Protection,#Dt：入侵检测时间Detection,#Rt：入侵事件反响恢复时间Response/Recovery,要求PtDt+Rt,“资产价值损失资产拥有者承受能力,预警Warning要长备不卸懈,还击A要有所准备,B动态防御技术模型WPDRRA),29,风险评估与系统漏洞的预先发现SCAN,网络威胁检测、预警,信息系统边界防护(FW/UTM/NG),入侵检测诊断、防护IDS/IPS/IPM,应急预案与机制快速启动,备份、修复与容灾,虚拟资产的从新部署,动态拓扑结构的调整,积极防御机制的启动,陷阱、隐蔽、追踪、取证,侦探、预警、还击、制瘫,动态防御技术的关注点,30,密码管理体制,身份认证：,PKI/CA、TOKEN-,授权管理：,PMI/AA、ACL -,-,责任认定：,全局审计,C基于密码技术网络信任体系建设 中办发2003 27号文,31,数字认证与网络信任体系的建设,CA/PKI,适应开放型、大时空、无限边界,提供真实性、完整性、保密性、抗否认性,可以构建良好的信任环境,支持平安的交往/交换/交易多种业务对象,PKI/CA在EG中广泛应用,32,D强化内部审计,全局审计,网络级、数据库级、应用级、主机级效劳器、端机,介质级,审计信息的平安加固,保密性、完整性、防拷贝、可重现、防假冒,审计信息的证据有效性,法律上、管理上、技术上恢复、反向工程,审计点前移,事后-事中-事前,33,E网络信息产品平安可控技术,针对“分发式威胁,隐通道、嵌入病毒、缺陷、可恢复密钥、恶意代码,采用自控技术：,扫描、发现、补丁、配置、,去除、监视、加固、升级B级,用户重新获取自控权,34,信息平安事件监控予警,信息平安事件通报：定级GB/Z 209822007,启动应急予案,事件应急抑制：物理、网络、主机、应用、效劳,事件应急铲除,事件应急恢复：恢复、抢救、灾备、回退,应急审计评估：设施、数据、效劳、审计、修订,“灾难恢复是BCM关键之一，是“应急恢复的最后一道防线,F应急予案与响应流程,35,我国灾难恢复等级划分：六级、七要素,大致可以分为二类：数据类、应用类,“第1级：数据介质转移异地存放、平安保管、定期更新,“第2级：备用场地支持异地介质存放、系统硬件网络可调,“第3级：电子传送和局部设备支持网络传送、磁盘镜像复制,“第4级：电子传送和完整设备支持网络传送、网络与系统就绪,“第5级：实时数据传送及完整设备支持关键数据实时复制、网,络系统就绪、人机切换,“第6级：数据零丧失和远程在线