第章信息系统安全评估PPT课件.ppt

第9章信息系统安全评估 9 1信息系统安全标准9 2信息系统安全评估标准9 3国际与国内信息系统安全测评认证 2020 3 18 1 9 1信息系统安全标准 9 1 1信息系统安全标准简介9 1 2我国的信息系统安全标准 2020 3 18 2 9 1 1信息系统安全标准简介 信息系统安全标准是构建国家信息安全保护体系必须具备的技术 管理规范 国家要尽快建立自主完善的标准体系 同时要加强标准的普及使用 特别是要在主机等主要设备的操作系统和数据库安全技术 安全服务器技术和产品研发等方面实现迅速突破 为国家基础信息系统及重要信息系统提供第二级以上信息安全等级保护产品 信息系统安全的标准化是一项艰巨 长期的基础性工作 在我国 有关主管部门十分关注信息安全标准化工作 在1984年7月组建了数据加密技术委员会 并于1997年8月改组成全国信息技术标准化委员会的信息安全技术分委员会 负责制定信息安全的国家标准 本着积极采用国际标准的原则 转化了一批国际信息安全基础技术标准 另外 公安部 安全部 国家保密局 国家密码管理委员会等相继制定 颁布了一批信息安全的行业标准 为推动信息安全技术在各行业的应用和普及发挥了积极的作用 2020 3 18 3 9 1 2我国的信息系统安全标准 截至2002年初 我国正式颁布信息安全相关国家标准已达40多项 规定了信息安全的不同技术要求 下面分类列表说明 1 安全技术及安全机制相关国家标准 表9 1 表9 1安全技术及安全机制相关国家标准 2020 3 18 4 9 1 2我国的信息系统安全标准 2 物理安全相关国家标准 表9 2 表9 2物理安全相关国家标准 2020 3 18 5 9 1 2我国的信息系统安全标准 3 信息安全评估相关国家标准 表9 3 表9 3信息安全评估相关国家标准 2020 3 18 6 9 2信息系统安全评估标准 9 2 1安全评估标准及其发展9 2 2信息系统安全评估标准9 2 3信息系统安全评估标准所面临的问题及改进建议 2020 3 18 7 9 2 1安全评估标准及其发展 1 安全评估标准的概念信息系统安全评估是指评估机构依据信息系统安全评估标准 或准则 采用一定的方法 方案 对信息安全产品或系统安全性进行评价 它包括对系统安全的技术和非技术环节进行测试 检查 审核等 是系统进行认证与认可的前期工作 与自评估相对 它是一种非常全面 深入 细致的评估 信息系统安全评估标准是信息系统安全评估的行动指南 2020 3 18 8 9 2 1安全评估标准及其发展 2 安全评估标准的发展在国际上 针对信息系统安全的等级防护和评估 先后制定了多个标准 其发展过程和关系见下图 图9 1 但是 由于标准众多 对于标准的争论从未停息过 2020 3 18 9 9 2 2信息系统安全评估标准 1 侧重于对系统和产品的技术指标方面的标准美国国防部于1985年公布可信的计算机系统安全评估标准 TCSEC 从橘皮书到彩虹系列 是计算机系统信息安全评估的第一个正式标准 它把计算机系统的安全分为4类 7个级别 对用户登录 授权管理 访问控制 审计跟踪 隐蔽通道分析 可信通道建立 安全检测 生命周期保障 文档写作 用户指南等内容提出了规范性要求 法 英 荷 德欧洲四国90年代初联合发布信息技术安全评估标准 ITSEC 欧洲百皮书 它提出了信息安全的机密性 完整性 可用性的安全属性 ITSEC把可信计算机的概念提高到可信信息技术的高度上来认识 对国际信息安全的研究 实施产生了深刻的影响 2020 3 18 10 9 2 2信息系统安全评估标准 2 偏重于安全管理方面的标准1995年 英国贸工部根据英国国内企业对信息安全日益高涨的呼声 组织大企业的信息安全经理们 制定了世界上第一个信息安全管理体系标准BS7799 1 1995 信息安全管理实施规则 作为工商业和大 中 小型组织实施信息安全管理的指南 1998年 为了适应第三方认证的需要 英国又制定了第一个信息安全管理体系认证标准 BS7799 2 1998 信息安全管理体系规范 作为对一个组织的全面或部分信息安全管理体系进行评审认证的依据标准 2020 3 18 11 9 2 2信息系统安全评估标准 信息系统安全管理标准发展过程如图9 2所示 2020 3 18 12 9 2 2信息系统安全评估标准 3 我国目前的信息系统安全评估标准我国2001年由中国信息安全产品测评认证中心牵头 将ISO IEC15408转化为国家标准 GB T18336 2001 信息技术安全性评估准则 并直接应用于我国的信息安全测评认证工作 其中 基础性等级划分标准 GB17859 1999计算机信息系统安全保护等级划分准则 是其他标准的基础 是信息系统安全等级保护实施指南 为等级保护的实施提供指导 标准体系的基本思想概括为 如图9 3 以信息安全的五个属性为基本内容 从实现信息安全的五个层面 按照信息安全五个等级的不同要求 分别对安全信息系统的构建过程 测评过程和运行过程等三个过程进行控制和管理 实现对不同信息类别按不同要求进行分等级安全保护的总体目标 2020 3 18 13 9 2 2信息系统安全评估标准 五个属性是指 机密性 完整性和可用性 可控性 责任可追查性 五个层面是指 物理层面 网络层面 系统层面 应用层面 管理层面 五个等级是指 用户自主保护级 系统审计保护级 安全标记保护级 结构化保护级 访问验证保护级 以第一级为基础 逐级增强保护能力 安全保护能力方面 第一级为基础级 安全保护能力从第一级到第五级访问验证保护级 逐级增强 在安全登记保护标准方面 安全保护范围从第一级到第五级逐渐缩小 级别越高 保护强度越高 保护的范围越小 级别越低 保护的强度越低 保护范围越大 2020 3 18 14 9 2 2信息系统安全评估标准 五个属性是指 机密性 完整性和可用性 可控性 责任可追查性 五个层面是指 物理层面 网络层面 系统层面 应用层面 管理层面 五个等级是指 用户自主保护级 系统审计保护级 安全标记保护级 结构化保护级 访问验证保护级 以第一级为基础 逐级增强保护能力 安全保护能力方面 第一级为基础级 安全保护能力从第一级到第五级访问验证保护级 逐级增强 在安全登记保护标准方面 安全保护范围从第一级到第五级逐渐缩小 级别越高 保护强度越高 保护的范围越小 级别越低 保护的强度越低 保护范围越大 2020 3 18 15 9 2 2信息系统安全评估标准 三个过程控制是指 构建过程控制 测评过程控制 执行过程控制 2020 3 18 16 9 2 3信息系统安全评估标准比较分析 1 侧重于对系统和产品的技术指标方面的标准TCSEC ITSEC CPCPEC CC ISO15408之间的比较从图9 1中可以看出 信息评估标准是经历了TCSEC ITSEC CPCPEC CC ISO15408五个发展阶段 最初的TCSEC是针对孤立计算机系统提出的 该标准适用于军队 开始时应用在OS的评估上 TCSEC与ITSEC均是不涉及开放系统的安全标准 仅针对产品的安全保证要求来划分等级并进行评测 并均为静态模型 仅能反应静态安全状况 CPCPEC虽在两者的基础上有一定的发展 但也未能突破上述的局限性 FC对TCSEC做了补充和修改 但因其自身的缺陷一直没有正式投入使用 CC与早期的评估标准相比 其优势体现在其结构的开放性 表达方式的通用性以及结构和表达方式的内在完备性和实用性等方面 总体来说 各标准适用范围略有不同 各有优劣 这里将对目前主要使用的标准 TCSEC ITSEC CC ISO15408等进行简要介绍和比较 如表9 7和表9 8所示 2020 3 18 17 9 2 3信息系统安全评估标准比较分析 1 侧重于对系统和产品的技术指标方面的标准TCSEC ITSEC CPCPEC CC ISO15408之间的比较从图9 1中可以看出 信息评估标准是经历了TCSEC ITSEC CPCPEC CC ISO15408五个发展阶段 最初的TCSEC是针对孤立计算机系统提出的 该标准适用于军队 开始时应用在OS的评估上 TCSEC与ITSEC均是不涉及开放系统的安全标准 仅针对产品的安全保证要求来划分等级并进行评测 并均为静态模型 仅能反应静态安全状况 CPCPEC虽在两者的基础上有一定的发展 但也未能突破上述的局限性 FC对TCSEC做了补充和修改 但因其自身的缺陷一直没有正式投入使用 CC与早期的评估标准相比 其优势体现在其结构的开放性 表达方式的通用性以及结构和表达方式的内在完备性和实用性等方面 总体来说 各标准适用范围略有不同 各有优劣 这里将对目前主要使用的标准 TCSEC ITSEC CC ISO15408等进行简要介绍和比较 2020 3 18 18 9 2 3信息系统安全评估标准比较分析 2 CC标准与BS7799的异同点CC 即GB T18336 2001idtISO IEC15408 1999 和BS7799标准的共同点表现在以下四个方面 1 两个标准所涉及的范围从大的角度来说都是信息安全领域 2 两个标准对信息安全的定义相同 都是指对信息保密性 完整性和可用性的保护 3 两个标准对信息安全风险的定义基本相同 都是从资产 威胁 薄弱点和影响来考察风险 4 两个标准都针对不同的风险提出了相应的控制目标和控制措施 2020 3 18 19 9 2 4信息系统安全评估标准所面临的问题及改进建议 1 建立多边安全的安全功能安全评估标准从一开始就偏重于仅对系统拥有者和操作者的保护 用户的安全 特别是通信系统用户的安全则没有被考虑 因此提供双边或多边安全的各种技术 就不能用当前标准来正确的描述 2 增强标准的可操作性目前的信息安全评估标准只是制定了一个框架 明确了标准的主体 但是可操作性不强 具体的步骤需要大量文档进行补充 而且评估结果最终是一个客观参考性的结构 对企业的实际指导意义不强 2020 3 18 20 9 2 4信息系统安全评估标准所面临的问题及改进建议 3 加强国内信息系统安全评估标准的研究从沟通交流的角度说 最好全世界只有一个标准 从国家安全的角度说 最好所有的标准都和国外的不同 就像中国和俄罗斯之间的铁路一样 轨距是不同的 标准意味着开放 互通 弱点公开 如果你自豪的宣称你的系统达到了CCEAL4安全级别 那就意味着你同时也具有EAL4级缺陷 采用EAL5分析方法就可以解决 2020 3 18 21 9 3国际与国内信息系统安全测评认证 9 3 1测评认证的概念9 3 2测评认证的标准与规范9 3 3测评认证的方法与流程 2020 3 18 22 9 3国际与国内信息系统安全测评认证 信息系统安全测评认证制度是维护国家安全 加强信息安全保障体系建设的重要手段 早期的信息系统安全标准主要是在产品和组件级上提出安全要求 各国的信息系统安全测评认证工作也曾一度围绕产品而展开 随着人们对信息系统安全的认识的深化 以及信息系统安全保障体系建设的开展和政府对信息安全宏观管理的需要 系统级上的测评认证工作已经在很多国家得到重视 与之相关的研究也在大力开展 但信息系统安全的评估 认证与认可是个复杂的问题 其复杂性不但有来源于信息系统安全本身 更来源于评估中涉及的角色 责任 流程以及行政管理问题 本节将简要介绍国内外信息系统安全测评认证情况 探讨信息系统安全测评认证的方法 流程和标准 2020 3 18 23 9 3 1测评认证的概念 1 什么是测评认证 测评认证是现代质量认证制度的重要内容 其实质是由一个中立的权威机构 通过科学 规范 公正的测试和评估向消费者 购买者 即需方 证实生产者或供方所提供的产品和服务 符合公开 客观和先进的标准 具体言之 测评认证的对象是产品或过程 服务 它的依据是国家标准 行业标准或认证机构确认的技术规范 它的方法是对产品进行抽样测试检验和对供方的质量保证能力即质量体系进行检查评审 以及事后定期监督 它的性质是由具有检验技术能力和政府授权认证资格的权威机构 按照严格程序进行的科学公正的评价活动 它的表示方式是颁发认证证书和认证标志 2020 3 18 24 9 3 1测评认证的概念 2 安全性认证的概念安全性认证是指 随着信息产品 信息安全产品和信息系统的增多 面对越来越多的向社会提供专门的信息安全服务 包括安全技术开发 产品经营和系统集成的公司 企业 如何让消费者 管理者乃至国家确信它们是 安全的 这就需要一个高度专业化 具有专门技术手段和能力的权威机构 通过科学公正和有效手段对它们作安全性测评认证 因此 信息安全性认证成为信息化时代国家测评认证工作的新领域 2020 3 18 25 9 3 1测评认证的概念 3 测评认证的产生国际上信息大国每年用于信息安全领域的预算开支都在10亿美元以上 中国的信息安全产业近10年以惊人的速度发展起来 2000年底与信息安全相关的注册公司达1300多家 随着中国信息化水平的全面提高 将拥有世界最大的信息安全市场 2020 3 18 26 9 3 1测评认证的概念 4 测评认证的重要性就我国而言 如何吸取国外测评认证的先进经验 采用国外信息安全管理的通行办法 建立起我国的信息安全测评认证制度和实施体系 就成为我国信息化发展的当务之急 信息安全测评认证体系的建立和运行 对我国国家信息化的各个方面都具有十分现实的意义 首先 对我国按国际惯例建立和实施有关信息产品 信息安全产品的市场准入制度 技术管理和信息系统运行控制制度等方面的决策 提供科学公正的技术依据 其次 对各方用户采购信息安全产品 设计 建设 使用和管理安全的信息系统提供权威公正的专业指导 第三 对信息安全产品的研究 开发 生产企业和提供其他信息安全服务的企业 进行严格规范与科学引导 提高其市场竞争能力和技术进步水平 2020 3 18 27 9 3 2测评认证的标准与规范 1 标准的作用标准是技术性法规 作为一种依据和尺度 没有标准就没有测评认证 在信息安全这一特殊高技术领域 没有标准 国家有关的立法 执法就会因缺乏相应的技术尺度而失之偏颇 最终会给国家信息安全的管理带来严重后果 比如 对信息安全产品的生产 销售管理 对产品的市场准入管理 对信息安全产品采购政策的制订 对社会各类信息系统 网络 的安全管理 对电子网络违法犯罪行为的司法管理等等 无一不依据相应标准 2020 3 18 28 9 3 2测评认证的标准与规范 2 国内外测评认证标准在信息安全标准的体系性 详尽性和先进性各方面都走在前面的是美国 美国国家安全局 美国国家标准技术局 美国联邦政府 美国国防部 美国商务部等 都不断推出自己的适用标准 这些标准 基本上左右了全球信息安全技术的走向 但是 由于信息安全产品和系统的安全性评价 事关国家主权和安全利益 通常 任何国家不会轻易相信由别的国家所作的评价结果 为保险起见 总要通过自己的测试才认为可靠 因此没有一个国家会把事关国家安全利益的信息安全产品和系统的安全可信性建立在别人的评价基础上 而是在充分借鉴国际标准的前提下 制订自己的测评认证标准 以美国诞生TCSEC为契机 世界其他先进国家也开始制定本国的信息技术安全评估标准 2020 3 18 29 9 3 2测评认证的标准与规范 3 测评认证工作体系 1 体系信息安全测评认证体系 由三个层次的组织和功能构成 第一层次是国家信息安全测评认证管理委员会 这个管理委员会是一个跨部门的机构 代表国家有关信息产业和信息安全主管部门以及信息安全产品的供方 需方 对中国国家信息安全测评认证中心运作的独立性 测评认证活动的公正性 科学性和规范性进行监督管理 其主要职责是 制订 修订有关认证实施的方针 政策性文件 审批中国国家信息安全测评认证中心工作规划 审查拟开展认证产品目录并报经国务院产品质量监督行政主管部门批准实施 审批因现行标准不能满足认证需要时由认证中心设定的有关技术规范和补充技术要求 审批测评认证中心的外部检验机构和审核机构以及批准认证证书的撤消 受理有关投诉 申诉等 2020 3 18 30 9 3 2测评认证的标准与规范 2 中国国家信息安全测评认证中心1997年初 经国务院信息化工作领导小组批准 国务院信息化工作领导小组办公室立项筹建 中国互联网络安全产品测评认证中心 1998年7月 中心建成并通过国家验收 邹家华副总经理专门发来贺信 1998年10