CIS信息安全保障体系和测评认证

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,cnitsec,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,信息安全理论,信息安全保障体系和测评认证,目录,信息系统安全保障测评认证历史和成绩,信息系统安全保障通用评估准则介绍,信息系统安全保障测评认证方法和实践,中国信息安全产品测评认证中心信息系统安全测评认证介绍,第一部分,信息系统安全保障测评认证历史和成绩,我国国家领导高度重视信息安全,胡锦涛总书记在一份报告上批示：信息安全事关国家安全，必须予以高度重视,李岚清同志在中办的一份信息通报上批示：信息安全是危及国家安全的大事,国家高度重视信息安全测评认证工作,胡锦涛总书记在一份报告上批示：信息安全事关国家安全，必须予以高度重视。,在,2000,年,3,月,29,日的信息网络安全协调会议上又强调,“要建设好信息安全测评认证中心”,吴邦国同志在一份报告上批示：,信息安全认证中心的工作很重要,，是确保国家信息安全，促进互联网健康发展的重大举措，又是当前急需解决的紧迫问题,1997,年初，国务院信息化工作领导小组委托筹建“,中国互联网络安全产品测评认证中心,”,1998,年,7,月， 该中心挂牌运行,1998,年,10,月，国家质量技术监督局授权成立“,中国国家信息安全测评认证中心,”,1999,年,2,月,9,日，该中心挂牌运行,2001,年,5,月，中编办根据党中央、国务院有关领导的指示精神，正式批准成立“,中国信息安全产品测评认证中心,” ，英文简称为,CNITSEC,，为独立的副局级事业单位,测评认证中心的建设过程,国家信息安全测评认证管理委员会,中国信息安全产品测评,认证中心及其分支机构,授权测试实验室,国家实验室,认可程序,ISO65,、,25,认证申请者,授权,质管,测试,报告,申报,测试报告,评估报告,认证证书,监管机构,国家认证实体,授权测评机构,国家信息安全测评认证体系组织结构,认证中心的性质,中国信息安全产品测评认证中心是经,中央批准成立的,、代表国家实施信息安全测评认证的职能机构，依据国家有关,产品质量认证,和,信息安全管理,的法律法规，管理和运行国家信息安全测评认证体系,认证中心的主要职能任务,1,、 对国内外信息安全,设备,和信息,技术,实施安全性检验、测试与认证,2,、对国内,信息系统,和,工程,进行安全性评估与认证,3,、对提供,信息安全服务的单位,、,人员的资质,进行评估与认证,4,、承担国家信息安全,技术标准,的,研究,、,制订,和信息安全,培训,5,、与各国相应的测评认证机构进行,国际交流与合作,中 心 标 志,中 国 信 息 安 全 产 品 测 评 认 证 中 心,CHINA INFORMATION TECHNOLOGY SECURITY CERTIFICATION CENTER,CNITSEC,中,华,华,人,人,民,民,共,共,和,和,国,国,国 家,信,信,息,息,安,安 全,认,认,证,证,认,证,证,标,标,志,志,CNITSEC,1,、包过滤,防,防火墙安,全,全技术要,求,求,2,、应用级,防,防火墙安,全,全技术要,求,求,3,、信息技术,安,安全性评,估,估准则,4,、信息系,统,统安全工,程,程能力成,熟,熟模型,5,、信息安全,服,服务评价,准,准则,6,、信息安,全,全工程质,量,量管理要,求,求,7,、,电,电,信,信,智,智,能,能,卡,卡,安,安,全,全,技,技,术,术,要,要,求,求,8,、,商,商,用,用,密,密,码,码,产,产,品,品,安,安,全,全,技,技,术,术,要,要,求,求,9,、,网,网,上,上,证,证,券,券,委,委,托,托,系,系,统,统,安,安,全,全,技,技,术,术,要,要,求,求,10,、,信,信,息,息,技,技,术,术,安,安,全,全,性,性,评,评,估,估,方,方,法,法,等,等,共,共,20,多,项,项,国,家,家,标,标,准,准,的,的,制,制,定,定,情,情,况,况,参,与,与,国,国,际,际,合,合,作,作,的,的,情,情,况,况,代,表,表,我,我,国,国,参,参,加,加,第,第,一,一,届,届,（,（,美,美,国,国,）,）,、,、,第,第,二,二,届,届,（,（,英,英,国,国,）,）,、,、,第,第,四,四,届,届,（,（,）,）,信,信,息,息,安,安,全,全,测,测,评,评,认,认,证,证,标,标,准,准,与,与,互,互,认,认,国,国,际,际,会,会,议,议,与,美,美,国,国,、,、,俄,俄,罗,罗,斯,斯,、,、,英,英,国,国,、,、,法,法,国,国,、,、,新,新,加,加,坡,坡,、,、,日,日,本,本,等,等,国,国,家,家,开,开,展,展,信,信,息,息,安,安,全,全,测,测,试,试,、,、,评,评,估,估,技,技,术,术,的,的,交,交,流,流,2002,年,起,起,，,，,按,按,WTO,的,原,原,则,则,，,，,积,积,极,极,参,参,与,与,和,和,推,推,动,动,信,信,息,息,安,安,全,全,领,领,域,域,的,的,国,国,际,际,互,互,认,认,中,国,国,信,信,息,息,安,安,全,全,产,产,品,品,测,测,评,评,认,认,证,证,中,中,心,心,信,信,息,息,系,系,统,统,安,安,全,全,测,测,评,评,认,认,证,证,介,介,绍,绍,第,二,二,部,部,分,分,信,息,息,系,系,统,统,安,安,全,全,保,保,障,障,通,通,用,用,评,评,估,估,准,准,则,则,介,介,绍,绍,概,述,述,为,推,推,动,动,信,信,息,息,系,系,统,统,安,安,全,全,测,测,评,评,认,认,证,证,工,工,作,作,开,开,展,展,，,，,2002,年,1,月,，,，,中,中,国,国,信,信,息,息,安,安,全,全,产,产,品,品,测,测,评,评,认,认,证,证,中,中,心,心,内,内,部,部,立,立,项,项,，,，,开,开,始,始,进,进,行,行,有,有,关,关,部,部,门,门,信,信,息,息,系,系,统,统,安,安,全,全,测,测,评,评,认,认,证,证,的,的,标,标,准,准,，,，,程,程,序,序,，,，,方,方,法,法,和,和,工,工,具,具,的,的,研,研,究,究,工,工,作,作,。,。,信,息,息,系,系,统,统,安,安,全,全,通,通,用,用,评,评,估,估,准,准,则,则,作,为,为,其,其,中,中,十,十,分,分,重,重,要,要,的,的,工,工,作,作,之,之,一,一,开,开,始,始,展,展,开,开,。,。,经过,两,两年,的,的工,作,作和,实,实践,，,，目,前,前完,成,成了,：,：,信息,系,系统,安,安全,保,保障,通,通用,评,评估,准,准则,（征,求,求意,见,见稿,）,）,电子,政,政务,信,信息,系,系统,安,安全,保,保障,评,评估,准,准则,（征,求,求意,见,见稿,）,）,信息系统使命,信息系统建模，。,GB 18336 idt ISO/IEC 15408,信息技术安全性评估准则,IATF,信息保障技术框架,ISSE,信息系统安全工程,SSE-CMM,系统安全工程能力成熟度模型,BS 7799, ISO/IEC 17799,信息安全管理实践准则,其他相关标准、准则,例如：,ISO/IEC 15443, COBIT,。,系统认证和认可标准和实践,例如：美国,DITSCAP, ,中国信息安全产品测评认证中心,相关文档和系统测评认证实践,技术准则,（信息技术系统评估准则）,管理准则,（信息系统管理评估准则）,过程准则,（信息系统安全工程评估准则）,信息系统安全性评估准则,信息安全管理和管理能力成熟度模型,将GB 18336从产品和产品系统扩展到信息技术系统安全性评估,安全工程过程和能力成熟度模型,传统C&A信息系统认证认可和实践,信息系统相关基础知识,信息,系,系统,安,安全,保,保障,通,通用,评,评估,准,准则,内,内,容,容组,成,成,信息,系,系统,安,安全,保,保障,模,模型,技术,过程,管理,人员,保,证,对,象,生命周期,信,息,特,征,计,划,组,织,开,发,采,购,实,施,交,付,运,行,维,护,废,弃,机密性,完整性,可用性,信息,系,系统,分,分类,和,和安,全,全保,障,障分,级,级,信息,系,系统,使,使命,类,类,信息,系,系统,威,威胁,分,分级,信息,系,系统,安全,保,保障,级,级,ISAL,+,价值,信息,特,特征,机密,性,性,完整,行,行,可用,性,性,产品,EAL,级别,要,要求,EAL,管理,能,能力,成,成熟,度,度级,别,别,ISAM-CML,过程,能,能力,成,成熟,度,度级,别,别,ISAE-CML,信息,系,系统,安全,分,分类,安全,要,要求,基线,信息,系,系统,使,使命,类,类分,类,类,信息系统,使命类,信息特征,信息和信息系统价值,机密性,完整性,可用性,I,B,B,B,对信息保障策略的违犯造成的负面影响和结果可以忽略。,II,B,M,M,对信息保障策略的违犯会对安全、保险、金融状况、组织机构的基础设施造成不良影响和,/,或小的破坏。,III,B,M,H,对信息保障策略的违犯会产生一定破坏,IV,B,H,H,对信息保障策略的违犯会严重的破坏安全、保险、金融状况、组织机构的基础设施,V,M,H,H,对信息保障策略的违犯会造成异常严重的破坏,信息,系,系统,威,威胁,分,分类,威胁级别,威胁说明,T1,无意的或意外的事件,T2,被动的、无意识的占有很少资源并且愿意冒少量风险的对手,T3,占有少量资源但是愿意冒很大风险的对手,T4,占有中等程度资源的熟练的对手，愿意冒少量风险,T5,占有中等程度资源的熟练的对手，愿意冒较大风险,T6,占有丰富程度资源的特别熟练的对手，愿意冒少量风险,T7,占有丰富程度资源的特别熟练的对手，愿意冒较大风险,信息,系,系统,安,安全,保,保障,级,级,信息系统安全保障级,技术,（主要安全产品,EAL,级）,安全保障管理能力成熟度级别,安全保障过程能力成熟度级别,EGISAL 1,EAL 1,EGISAM-CML 1,EGISAE-CML 1,EGISAL2,EAL 2,EGISAM-CML 1,EGISAE-CML 1,EGISAL3,EAL 3,EGISAM-CML 2,EGISAE-CML 2,EGISAL4,EAL 4,EGISAM-CML 3,EGISAE-CML 3,EGISAL5,EAL 5,EGISAM-CML 3,EGISAE-CML 3,信息,系,系统,安,安全,保,保障,安,安,全,全管,理,理能,力,力成,熟,熟度,级,级别,信息,系,系统,安,安全,保,保障,安,安,全,全过,程,程能,力,力成,熟,熟度,级,级别,中国,信,信息,安,安全,产,产品,测,测评,认,认证,中,中心,信,信,息,息系,统,统安,全,全测,评,评认,证,证介,绍,绍,第三,部,部分,信息,系,系统,安,安全,保,保障,测,测评,认,认证,方,方法,和,和实,践,践,信息,系,系统,安,安全,认,认证,定义,：,：“,对,对信,息,息系,统,统在,其,其运,行,行环,境,境中,的,的技,术,术和,非,非技,术,术环,节,节进,行,行全,面,面的,分,分析,，,，从,而,而确,定,定与,其,其所,声,声称,的,的安,全,全目,标,标和,需,需求,的,的符,合,合性,”(PP/ST),通过,在,在系,统,统生,命,命周,期,期过,程,程中,实,实施,一,一整,套,套结,构,构化,的,的活,动,动来,实,实现,识别,并,并降,低,低系,统,统非,授,授权,访,访问,、,、修,改,改信,息,息和,资,资源,拒,拒绝,服,服务,的,的风,险,险,系统,认,认可,定义,：,：“,某,某个,指,指定,机,机构,根,根据,认,认证,过,过程,的,的结,果,果和,其,其他,相,相关,的,的考,虑,虑对,信,信息,系,系统,的,的运,行,行所,作,作出,的,的管,理,理决,定,定”,在实,施,施恰,当,当的,安,安全,措,措施,后,后，,平,平衡,业,业务,需,需求,和,和信,息,息系,统,统的,残,残余,风,风险,将信,息,息系,统,统或,网,网络,安,安全,和,和可,靠,靠运,行,行的,责,责任,指,指派,给,给了,某,某个,指,指定,的,的机,构,构,信息,系,系统,测,测评,认,认证,流,流程,申请,及,及文,档,档审,查,查阶,段,段,项目,启,启动,阶,阶段,现场,核,核查,安全,性,性测,试,试,综合,评,评估,阶,阶段,现,场,检,测,阶,段,安全,认,认证,阶,阶段,信息系统安全策略,信息系统安全技术方案,信息系统安全管理机构及制度,信息系统安全工程过程,信息系统安全审计与评估,提交,的,的五,类,类文,档,档：,用户,申,申请,书,书,问题,？,？,系统,安,安全,保,保障,方,方案,（,（ISST）,管理,制,制度,描,描述,组织,机,机构,描,描述,管理,制,制度,及,及流,程,程描,述,述,系统,资,资产,描,描述,工程,实,实施,过,过程,文,文档,工程,实,实施,计,计划,安全,产,产品,及,及应,用,用系,统,统功,能,能及,系,系统,测,测试,纪,纪录,，,，选,型,型依,据,据,实施,过,过程,的,的重,大,大改,进,进或,意,意外,事,事件,纪,纪录,系统,联,联调,及,及测,试,试报,告,告,系统,验,验收,报,报告,系统,自,自我,风,风险,评,评估,文,文档,信息,系,系统,威,威胁,分,分析,；,；,信息,系,系统,脆,脆弱,性,性分,析,析；,信息,系,系统,威,威胁,所,所产,生,生的,后,后果,分,分析,；,；,风险,分,分析,；,；,风险,处,处理,；,；,现场,核,核查,管理,核,核查,运行,核,核查,审计,核,核查,网络,结,结构,探,探测,；,；,Router,Firewall,IDS,OS,安全,测,测试,；,；,脆弱,性,性扫,描,描；,口令,猜,猜解,；,；,日志,检,检查,；,；,渗透,性,性测,试,试,安全,性,性测,试,试,认证,与,与认,可,可阶,段,段,提交,认,认证,与,与认,可,可批,准,准包,：,：,申请,方,方系,统,统安,全,全计,划,划；,测评,认,认证,计,计划,；,；,安全,性,性测,试,试计,划,划；,申请,方,方风,险,险自,评,评报,告,告；,安全,现,现场,核,核查,报,报告,；,；,安全,性,性测,试,试报,告,告；,安全,性,性综,合,合评,估,估报,告,告；,每年,进,进行,一,一次,管,管理,体,体系,监,监督,检,检查,每年,进,进行,一,一次,产,产品,质,质量,的,的监,督,督检,测,测,每年,进,进行,一,一次,对,对系,统,统运,行,行维,护,护状,态,态的,监,监,督,督核,查,查,根据,需,需要,安,安排,系,系统,测,测试,2.3,证后,监,监督,问题,？,？,9,、静,夜,夜四,无,无邻,，,，荒,居,居旧,业,业贫,。,。12,月,月-2212,月,月-22,Tuesday,December20,2022,10,、雨,中,中黄,叶,叶树,，,，灯,下,下白,头,头人,。,。17:28:0117:28:0117:28,12/20/20225:28:01PM,11,、,以,以,我,我,独,独,沈,沈,久,久,，,，,愧,愧,君,君,相,相,见,见,频,频,。,。,。,。12,月,月-2217:28:0117:28,Dec-2220-Dec-22,12,、,故,故,人,人,江,江,海,海,别,别,，,，,几,几,度,度,隔,隔,山,山,川,川,。,。,。,。17:28:0117:28:0117:28,Tuesday,December20,2022,13,、乍,见,见翻,疑,疑梦,，,，相,悲,悲各,问,问年,。,。12,月,月-2212,月,月-2217:28:0117:28:01,December20,2022,14,、他乡生,白,白发，旧,国,国见青山,。,。20 十,二,二月 20225:28:01,下,下午17:28:0112月-22,15,、比不了,得,得就不比,，,，得不到,的,的就不要,。,。十二月225:28,下,下午12月-2217:28,December20,2022,16,、行动,出,出成果,，,，工作,出,出财富,。,。2022/12/20 17:28:0117:28:01,20December2022,17,、做,前,前，,能,能够,环,环视,四,四周,；,；做,时,时，,你,你只,能,能或,者,者最,好,好沿,着,着以,脚,脚为,起,起点,的,的射,线,线向,前,前。,。,。5:28:01,下,下午5:28,下,下,午,午17:28:0112,月,月-22,9,、没,有,有失,败,败，,只,只有,暂,暂时,停,停止,成,成功,！,！。12,月,月-2212,月,月-22,Tuesday,December20,2022,10,、,很,很,多,多,事,事,情,情,努,努,力,力,了,了,未,未,必,必,有,有,结,结,果,果,，,，,但,但,是,是,不,不,努,努,力,力,却,却,什,什,么,么,改,改,变,变,也,也,没,没,有,有,。,。,。,。17:28:0117:28:0117:28,12/20/20225:28:01PM,11,、,成,成,功,功,就,就,是,是,日,日,复,复,一,一,日,日,那,那,一,一,点,点,点,点,小,小,小,小,努,努,力,力,的,的,积,积,累,累,。,。,。,。12,月,月-2217:28:0117:28,Dec-2220-Dec-22,12,、,世,世,间,间,成,成,事,事,，,，,不,不,求,求,其,其,绝,绝,对,对,圆,圆,满,满,，,，,留,留,一,一,份,份,不,不,足,足,，,，,可,可,得,得,无,无,限,限,完,完,美,美,。,。,。,。17:28:0117:28:0117:28,Tuesday,December20,2022,13,、不,知,知香,积,积寺,，,，数,里,里入,云,云峰,。,。12,月,月-2212,月,月-2217:28:0117:28:01,December20,2022,14,、意志坚,强,强的人能,把,把世界放,在,在手中像,泥,泥块一样,任,任意揉捏,。,。20 十,二,二月 20225:28:01,下,下午17:28:0112月-22,15,、,楚,楚,塞,塞,三,三,湘,湘,接,接,，,，,荆,荆,门,门,九,九,派,派,通,通,。,。,。,。,。,。十,二,二,月,月225:28,下,下,午,午12,月,月-2217:28,December20,2022,16,、少年十五,二,二十时，步,行,行夺得胡马,骑,骑。2022/12/2017:28:0117:28:01,20 December 2022,17,、空山,新,新雨后,，,，天气,晚,晚来秋,。,。5:28:01 下,午,午5:28 下,午,午17:28:0112月-22,9,、杨柳,散,散和风,，,，青山,澹,澹吾虑,。,。12月-2212月-22,Tuesday,December20,2022,10,、阅读一,切,切好书如,同,同和过去,最,最杰出的,人,人谈话。17:28:0117:28:0117:28,12/20/2022 5:28:01 PM,11,、越是没,有,有本领的,就,就越加自,命,命不凡。12月-2217:28:0117:28,Dec-2220-Dec-22,12,、越,是,是无,能,能的,人,人，,越,越喜,欢,欢挑,剔,剔别,人,人的,错,错儿,。,。17:28:0117:28:0117:28,Tuesday,December20,2022,13,、知,人,人者,智,智，,自,自知,者,者明,。,。胜,人,人者,有,有力,，,，自,胜,胜者,强,强。12,月,月-2212,月,月-2217:28:0117:28:01,December20,2022,14,、意志,坚,坚强的,人,人能把,世,世界放,在,在手中,像,像泥块,一,一样任,意,意揉捏,。,。20,十,十二月20225:28:01 下,午,午17:28:0112月-22,15,、最具,挑,挑战性,的,的挑战,莫,莫过于,提,提升自,我,我。十二月225:28 下,午,午12月-2217:28,December20,2022,16,、,业,业,余,余,生,生,活,活,要,要,有,有,意,意,义,义,，,，,不,不,要,要,越,越,轨,轨,。,。2022/12/2017:28:0117:28:01,20December2022,17,、一,个,个人,即,即使,已,已登,上,上顶,峰,峰，,也,也仍,要,要自,强,强不,息,息。5:28:01,下,下午5:28,下,下,午,午17:28:0112,月,月-22,MOMODA POWERPOINT,Lorem ipsum dolor,sit,eleifend nulla ac, fringilla purus. Nulla iaculis tempor felis,amet, consectetur adipiscing elit. Fusce id urna blanditut,cursus.,感谢,您,您的,下,下载,观,观看,专家,告,告诉,