载信息安全保障综述.ppt

信息安全保障综述 中国信息安全测评中心2020年2月 自我介绍 崔宗军中国信息安全测评中心高级咨询顾问联系方式箱 cui zongjun 地址 北京市海淀区上地东路1号华控大厦3层邮编 100085 目录 信息安全保障历史和背景信息系统安全保障评估框架信息系统安全保障建设和评估实践 信息技术及其应用的发展 A 通信 电报 电话B 计算机C 网络D 网络化社会的崛起 社会技术系统 人 网系统 如何看待信息化和网络 技术性基础设施新兴的大众媒体现实的社会形态主权及国防存在 信息安全问题的多个层面 信息安全保障 IA 发展历史 信息安全保障 IA 发展历史 IA COMPUSEC COMSEC 信息安全保障 IA 发展历史通信安全 COMSEC CommunicationSecurity 20世纪 40年代 70年代通过密码技术解决通信保密 保证数据的保密性和完整性安全威胁 搭线窃听 密码学分析安全措施 加密标志1949年 shannon发表 保密通信的信息理论 1977年 美国国家标准局公布数据加密标准DES1976年 Diffle和Hellman在 NewDirectionsinCryptography 一文中提出公钥密码体系参考资料 BruceSchneier的 应用密码学 AppliedCryptography 信息安全保障 IA 发展历史计算机安全 COMPUSEC ComputerSecurity 20世纪 70 90年代确保信息系统资产 包括硬件 软件 固件和通信 存储和处理的信息 保密性 完整性和可用性的措施和控制安全威胁 非法访问 脆弱口令等安全措施 安全操作系统设计技术 TCB 标志 1985年 美国国防部的可信计算机系统评估保障 TCSEC 橙皮书 操作系统安全分级 D C1 C2 B1 B2 B3 A1 后发展为彩虹 rainbow 系列 信息安全保障 IA 发展历史信息系统安全 INFOSEC InformationSystemSecurity 20世纪 90年代后综合通信安全和信息系统安全保护信息系统 确保信息在存储 处理和传输过程中免受非授权的访问 防止授权用户的拒绝服务 以及包括那些检测 记录和对抗此类威胁的措施 安全威胁 网络入侵 信息对抗等安全措施 防火墙 防病毒 PKI VPN等标志安全评估保障CC ISO15408 GB T18336 信息安全保障 IA 发展历史信息安全保障 IA InformationAssurance 今天 将来 保障信息和信息系统资产 保障组织机构使命的执行 综合技术 管理 过程 人员 确保信息的保密性 完整性和可用性 安全威胁 黑客 恐怖分子 信息战 自然灾难 电力中断等安全措施 技术安全保障体系 安全管理体系 人员意识 培训 教育 认证和认可标志 技术 美国国防部的IATF深度防御战略管理 BS7799 ISO17799系统认证 美国国防部DITSCAP 信息安全保障 通信安全 数据安全 网络安全 组织外部环境 法律与政策 对策 风险管理 信息安全对策必须以风险管理为基础安全不必是完美无缺 面面俱到的 但风险必须是能够管理的 最适宜的信息安全策略就是最优的风险管理对策 这是一个在有限资源前提下的最优选择问题 防范不足会造成直接的损失 防范过多又会造成间接的损失 必须根据安全目标审查安全手段 信息安全保障的问题就是安全的效用问题 在解决或预防信息安全问题时 要从经济 技术 管理的可行性和有效性上做出权衡和取舍 信息安全保障 信息安全保障体系的建设是一项长期而艰巨的任务当前 人们从以下几个方面致力于建立信息安全保障体系信息安全保障管理体系信息安全保障技术与产品体系信息安全保障标准 法规体系信息安全保障人才培养 培训与服务咨询体系 信息安全保障工作 美国 1998年10月开始 NSA颁布了信息保障技术框架 IATF 1 1版 目前版本为3 1 信息保障技术框架的研究和不断完善表明了美国军政各方对信息保障的认识逐步趋于一致 美国国防部2002年10月24日颁布了信息保障训令8500 1 并于2003年2月6日颁布了信息保障的实施的指令8500 2 2002年下半年 以 国土安全战略 为引导 美国政府逐步出台一系列国家安全 将信息保障战略纳入总体国家战略之中 国土安全战略 2002年7月 保护网络空间的国家战略 草案 2002年9月18日 国家安全战略 2002年9月20日 打击大规模毁灭性武器的国家战略 2002年12月 打击恐怖主义的国家战略 2003年2月 国家毒品管制战略 2003年2月 保护网络空间的国家战略 2003年2月 保护关键基础设施和重要资产的国家战略 2003年2月 信息安全保障工作 中国 中办发 2003 27号文件 国家信息化领导小组关于加强信息安全保障工作的意见 2004年1月召开了全国首次信息安全保障工作会议信息安全保障工作等级保护风险评估灾难备份应急响应安全管理体系 目录 信息安全保障历史和背景信息系统安全保障评估框架信息系统安全保障建设和评估实践 信息安全保障框架的背景什么是信息系统 信息技术系统作为信息系统一部分的执行组织机构信息功能的用于采集 创建 通信 计算 分发 处理 存储和 或控制数据或信息的计算机硬件 软件和 或固件的任何组合 信息系统信息系统用于采集 处理 存储 传输 分发和部署信息的整个基础设施 组织结构 人员和组件的总和 信息系统是在信息技术系统的基础上 综合考虑了人员 管理等系统综合运行环境的一个整体 信息安全保障框架的思考 什么是安全 什么是保障 模型和整体结构 内容覆盖的范围 现有标准等的成果 国际研究趋势和方向 信息的安全模型 安全技术模型ISO7498 2 CC的安全技术模型 安全管理模型 安全工程模型ISO21827 安全风险模型 基于风险管理的信息安全保障模型 安全模型优缺点 保障的含义 主观 信心客观 性质从客观到主观 能力与水平CC中保障被定义为 实体满足其安全目的的信心基础 Groundsforconfidencethatanentitymeetsitssecurityobjectives 因而在信息安全领域谈保障 就是谈安全保障 信息系统安全问题产生的根源与环节 内因 复杂性 过程复杂 结构复杂 使用复杂外因 对手 威胁与破坏 内在复杂 过程 信息系统理论如图灵机 在程序与数据的区分上没有确定性的原则 设计从设计的角度看 在设计时考虑的优先级中安全性相对于易用性 代码大小 执行程度等因素被放在次要的位置实现由于人性的弱点和程序设计方法学的不完善 软件总是存在BUG生产与集成使用与运行维护 内在复杂 结构 工作站中存在信息数据员工移动介质网络中其他系统网络中其他资源访问Internet访问其他局域网到Internet的其他路由电话和调制解调器开放的网络端口远程用户厂商和合同方的访问访问外部资源公共信息服务运行维护环境 内在复杂 使用 安全外因 安全保障能力从那里来 空间 要素与结构技术管理人时间生命周期过程 谁能增加保障能力 所有和使用者 管理保障能力开发方 工程保障能力设计方 技术架构能力 管理保障能力 工程保障能力 技术架构能力 信息系统安全保障模型 信息系统安全保障的含义 出发点和核心在信息系统所处的运行环境里 以风险和策略为出发点 即从信息系统所面临的风险出发制定组织机构信息系统安全保障策略 信息系统生命周期通过在信息系统生命周期中从技术 管理 工程和人员等方面提出安全保障要求 确保信息的安全特征确保信息的保密性 完整性和可用性特征 从而实现和贯彻组织机构策略并将风险降低到可接受的程度 保护资产达到保护组织机构信息和信息系统资产 最终保障使命从而保障组织机构实现其使命的最终目的 信息系统安全概念关系 信息系统 保障 风险 漏洞 威胁 架构 模型 功能 机制 流程 控制措施 策略 业务 使命 能力 信息系统安全保障评估框架的组成GB T20274 共包括四个部分第一部分 简介和一般模型第二部分 技术保障第三部分 管理保障第四部分 工程保障 第二部分技术保障 安全技术控制组件 技术架构能力级 第一部分简介和一般模型 第三部分管理保障 安全管理控制组件 管理能力级 第四部分工程保障 安全工程控制组件 工程能力级 组成及与现有标准关系 第一部分 简介和一般模型范围 信息系统安全保障等级评估保障中 不包含以下内容 针对人员技能和能力的评估内容 但对人员安全的要求在管理保障中体现 系统评估方法学 密码算法固有质量的评价 第一部分 简介和一般模型信息系统安全保障模型背景 信息系统安全保障 信息系统安全保障的对象 技术目标 政策 需求目标 人员目标 管理目标 服务目标 信息系统安全保障 生命周期的保证 计划组织 开发采购 实施交付 运行维护 废弃 变更应用于系统 信息系统安全保障 信息系统技术 管理 工程和人员保障要求 信息系统生命周期 保障要求 第一部分 简介和一般模型信息系统安全保障模型 信息系统安全保障评估相关标准 信息技术安全性评估准则 GB T18336idt ISO IEC15408 信息系统安全保障评估框架 产品类型PP ST 包过滤防火墙 操作系统 简介和一般模型 管理保障 技术保障 工程保障 产品评估 网上证券交易系统安全保障要求 网上银行系统安全保障要求 XXXX信息系统安全保障要求 信息技术安全性评估方法ISO IEC18045CEM 信息系统安全目标 ISST 信息系统保护轮廓 ISPP 信息系统安全保障评估方法 其他相关标准和技术报告 信息系统安全保障评估 信息系统安全保障级别评估说明 信息系统安全保障要求 ISPP 信息系统安全保障目标 ISST 第二部分 技术保障安全技术体系架构能力成熟度模型 安全技术架构相关含义安全技术体系是对组织机构信息技术系统的安全体系结构的整体描述 安全技术架构能力是拥有信息技术系统的组织机构根据根据其策略的要求和风险评估的结果 参考相关技术体系构架的标准和最佳实践 结合组织机构信息技术系统的具体现状和需求 建立的符合组织机构信息技术系统战略发展规划的信息技术系统整体体系框架 它是组织机构信息技术系统战略管理的具体体现 技术架构能力是组织机构执行安全技术整体能力的反映 它反映了组织机构在执行信息安全技术体系框架管理达到预定的成本 功能和质量目标上的度量 第二部分 技术保障安全技术体系架构能力成熟度模型 安全架构能力成熟度级别能力级别0 未实施 能力级别1 非规范化设计 基本执行级 能力级别2 文档化设计 规范定义级 能力级别3 结构化设计 正式执行级 能力级别4 半形式化设计 测试验证级 能力级别5 形式化设计 审计优化级 技术组件分类FAU类 安全审计FCO类 通信FCS类 密码支持FDP类 用户数据保护FIA类 标识和鉴别FMT类 安全管理FPR类 隐私FPT类 TSF保护FRU类 资源利用FTA类 TOE访问FTP类 可信路径 信道第二部分 技术保障 信息系统安全保障评估框架第三部分 管理保障部分 第三部分 管理保障信息安全管理模型 第三部分 管理保障信息安全管理能力成熟度示例 第四部分 工程保障安全工程过程生命周期 第四部分 工程保障安全工程生命周期和过程域 第四部分 工程保障信息安全工程过程能力成熟度示例 目录 信息安全保障历史和背景信息系统安全保障评估框架信息系统安全保障建设和评估实践 信息系统安全保障建设和评估实施 步骤一 确定信息系统安全保障需求任务1 确定信息系统安全保障能力级任务2 确定信息系统的具体安全保障需求步骤二 规范化 结构化描述信息系统安全保障具体需求任务3 编制信息系统安全保障要求 ISPP 步骤三 根据信息系统安全保障需求编制具体的安全保障解决方案任务4 编制信息系统安全保障目标 ISST 步骤四 对信息系统安全保障进行评估任务5 评估信息系统安全保障目标 ISST 对信息系统安全保障要求 ISPP 的符合性 即具体的信息系统安全保障措施信息系统在其运行环境下是否满足信息系统安全保障的需求任务6 对信息系统安全保障的执行能力进行评估 评估信息系统安全保障级 包括技术架构能力级 工程能力级和管理能力级的评定 步骤五 用户根据信息系统安全保障评估的结果进行改进 形成满足其信息系统安全保障需求的可持续改进的信息系统安全保障能力 步骤一 确定信息系统安全保障需求任务1 确定信息系统安全保障能力级 信息系统安全分级分类 信息系统安全保障评估框架 信息系统安全保障级ISAL TCML 安全技术架构能力级 MCML 安全管理能力级 ECML 安全过程能力级 信息系统安全分级分类 价值 信息特征保密性完整性可用性 信息系统使命类 信息系统威胁分级 步骤一 确定信息系统安全保障需求任务2 确定信息系统的具体安全保障需求 信息系统安全保障需求描述 风险评估 需求分析等 步骤二 规范化 结构化信息系统安全保障具体需求任务3 编制信息系统安全保障要求 ISPP 信息系统安全保障要求 ISPP 描述用户信息系统安全保障需求 第二部分技术保障 安全技术控制组件 技术架构能力级 第三部分管理保障 安全管理控制组件 管理能力级 第四部分工程保障 安全工程控制组件 工程能力级 步骤二 规范化 结构化信息系统安全保障具体需求任务3 编制信息系统安全保障要求 ISPP 步骤三 编制具体的安全保障解决方案任务4 编制信息系统安全保障目标 ISST 信息系统安全保障目标 ISST 描述用户信息系统安全保障方案 第二部分技术保障 安全技术控制组件 技术架构能力级 第三部分管理保障 安全管理控制组件 管理能力级 第四部分工程保障 安全工程控制组件 工程能力级 信息系统安全保障要求 ISPP 步骤三 编制具体的安全保障解决方案任务4 编制信息系统安全保障目标 ISST 信息安全保障实施 覆盖信息系统全生命周期以风险和策略为核心风险评估贯穿系统全生命周期建立完整的策略体系涉及技术 管理 工程 人技术 分层多点的深度防御系统管理 建立能力成熟的信息安全管理体系工程 选择有能力的信息安全集成商和服务商人 建立完善的人才体系 增强安全意识和文化 信息安全保障实施 管理体系建设 策略体系 风险管理 系统测评 风险评估 生命周期安全管理 对手 动机和攻击 国家 业务 机构策略 规范 标准 使命要求 组织体系建设 业务持续性管理 应急响应管理 意