物联网信息安全标准物联网安全导论

1、第11章 物联网信息安全标准 第1页学习任务国际信息技术标准化组织 中国信息安全标准 中国国家物联网标准组织 Click to add title in here 123本章主要包括：4信息安全管理体系 5第2页11.1 国际信息技术标准化组织 网络与信息安全标准化工作是国家信息安全保障体系建设主要组成。网络与信息安全标准研究与制订为国家主管部门管理信息 安全设备提供了有效技术依据，这对于确保安全设备正常运行，并在此基础上确保我国国民经济和社会管理等领域中网络信息系统运行安全和信息安全含有非常主要意义。第3页11.1 国际信息技术标准化组织 11.1.1 国际信息安全标准化组织国际上信息安全标

2、准化工作兴起于20世纪70年代中期，80年代有了较快发展，90年代引发了世界各国普遍关注。当前世界上有近300个国际和区域性组织制订标准或技术规则，与信息安全标准化相关组织主要有以下4个：第4页11.1 国际信息技术标准化组织 （1）国际标准化组织(ISO)于1947年2月23日正式开始工作，信息技术标准化委员会 (ISO/IEC JTC1)所属安全技术分委员会(SC 27)前身是数据加密分技术委员会(SC20)，主要从事信息技术安全普通方法和技术标准化工作。第5页11.1 国际信息技术标准化组织 而ISO/TC68负责与银行业务应用范围内相关信息安全标准制订，它主要制订行业应用标准，在组织上

3、和标准之间与SC27有着亲密联络。ISO/IEC JTC1负责制订标准主要是开放系统互连、密钥管理、数字署名、安全评定等方面内容。第6页11.1 国际信息技术标准化组织 （2）国际电工委员会(IEC)正式成立于1910月，是世界上成立最早专门国际标准化机构。在信息安全标准化方面，除了与ISO联合成立了JTC1属分委员会外，它还在电信、电子系统、信息技术和电磁兼容等方面成立了技术委员会，并为信息技术设备安全(IEC 60950)等制订相关国际标准。第7页11.1 国际信息技术标准化组织 （3）国际电信联盟(ITU)成立于1865年5月17日，所属SG17组主要负责研究通信系统安全标准。SG17组

4、主要研究内容包含：通信安全项目、安全架构和框架、计算安全、安全管理、用于安全生物测定、安全通信服务。另外SG16和下一代网络关键组也在通信安全、H323网络安全、下一代网络安全等标准方面进行了研究。第8页11.1 国际信息技术标准化组织 （4）Internet工程任务组(IETF)创建于1986年，其主要任务是负责互联网相关技术规范研发和制订。IETF制订标准详细工作由各个工作组负担，工作组分成8个领域，包括Internet路由、传输、应用领域等等，包含在RFC系列之中IKE和IPsec，还有电子邮件，网络认证和密码标准，另外，也包含了 TLS标准和其它安全协议标准。第9页11.1 国际信息技

5、术标准化组织 11.1.2 国际信息安全管理体系 国际上比较有影响信息安全标准体系主要有：1. ISO/IEC国际标准13335、17799、27001系列SO/IEC JTC1 SC27/WG1(国际标准化组织/国际电工委员会信息技术委员会 安全技术分委员会/第一工作组)是制订和修订ISMS标准国际组织。第10页11.1 国际信息技术标准化组织 ISO和IEC是世界范围标准化组织，它由各个国家和地域组员组成，各国相关标准化组织都是其组员，他们经过各技术委员会，参加相关标准制订。为了更加好协作和共同规范信息技术领域，ISO和国际电工委员会(ITU)成立了联合技术委员会，即ISO/IEC JTC

6、1，负责信息技术领域标准化工作。其中子委员会27专门负责IT安全技术领域标准化工作。第11页11.1 国际信息技术标准化组织 在ISO/IEC JTC1 SC 27所公布标准和技术汇报中，当前最主要标准是ISO/IEC 13335、ISO/IEC 17799等。ISO/IEC将采取27000系列号码作为编号方案，将原先全部信息安全管理标准进行综合，并进行深入开发，形成一整套包含ISMS要求、风险管理、度量和测量以及实施指南等在内信息安全管理体系。第12页11.1 国际信息技术标准化组织 2. 英国家标准准协会（BSI）7799系列信息安全管理体系（Information Security Ma

7、nagement System,简称ISMS）概念最初起源于英国家标准准学会制订BS7799标准, 并伴伴随其作为国际标准公布和普及而被广泛地接收。同美国NIST相对应，英国家标准准协会(BSI)是英国负责信息安全管理标准机构。在信息安全管理和相关领域，BSI做了大量工作，其结果已得到国际社会广泛认可。 第13页11.1 国际信息技术标准化组织 3.美国国家标准和技术委员会（NIST）尤其出版物系列，美国经过了一部联邦信息安全管理法案(FISMA)。依据它，美国国家标准和技术委员会(NIST)负责为美国政府和商业机构提供信息安全管理相关标准规范。所以，NIST一系列FIPS标准和NIST 尤其

8、出版物800系列(NIST SP 800系列)成为了指导美国信息安全管理建设主要标准和参考资料。第14页11.2 中国信息安全标准11.2.1 我国信息安全标准化现实状况当前，我国按照国务院授权，在国家质量监督检验检疫总局管理下，由国家标准化管理委员会统一管理全国家标准准化工作，下设有255个专业技术委员会。中国家标准准化工作实施统一管理与分工负责相结合管理体制，分工管理本行政区域内、本部门、本行业标准化工作。第15页11.2 中国信息安全标准成立于1984年全国信息技术安全标准化技术委员会(CITS)，在国家标准化管理委员会和信息产业部共同领导下负责全国信息技术领域以及与 ISO/IEC J

9、TC1相对应标准化工作，当前下设24个分技术委员会和尤其工作组，是当前国内最大标准化技术委员会。它是一个含有广泛代表性、权威性和军民结合信息安全标准化组织。第16页11.2 中国信息安全标准11.2.2 国内安全标准组织机构国内安全标准组织主要有信息技术安全标准化技术委员会(CITS)以及中国通信标准化协会(CCSA)下辖网络与信息安全技术工作委员会。1. 信息技术安全标准化技术委员会信息技术安全标准化技术委员会(CITS)成立于1984年，在国家标准化管理委员会和信息产业部共同领导下负责全国信息技术领域以及与ISO/IEC JTC1相对应标准化工作。 第17页11.2 中国信息安全标准2.中

10、国通信标准化协会中国通信标准化协会(CCSA)成立于12月18日。CCSA下设了有线网络信息安全、无线网络信息安全、安全管理和安全基础设施4个工作组负责研究:有线网络中电话网、互联网、传输网、接入网等在内全部电信网络相关安全标准;无线网络中接入、关键网、业务等相关安全标准以及安全管理工作组;安全基础设施工作组中网管安全以及安全基础设施相关标准。第18页11.2 中国信息安全标准11.2.3 信息安全标准体系研究特点基于信息内容过虑和管制技术将越来越受关注；防范和治理垃圾信息成为网络安全研究主要内容；网络与信息安全研究重点将逐步从设备层面向网络层面转移；业务安全越来越成为运行商研究重点；认证技术

11、将研究和梳理，生物判别成为主要内容；第19页11.2 中国信息安全标准网络建设将重视信任体系建设；互联网安全将深入研究，其结果将适合用于下一代网以及3G关键网；网络上信息安全将划分责权，网络侧负责部分私密性(隔离)和完整性，机密性和不可否定性由端到端保障；安全管理中安全风险评定将成为安全研究主要内容。第20页11.2 中国信息安全标准11.2.4 我国在信息安全管理标准方面采取办法 我国政府主管部门以及各行各业已经认识到了信息安全主要性。政府部门开始出台一系列相关策略,直接牵引、推进信息安全应用和发展。由政府主导各大信息系统工程和信息化程度要求非常高相关行业,也开始出台对信息安全技术产品应用标

12、准和规范。 第21页11.3 中国国家物联网标准组织物联网标准划分应该是分层次， 如传感器、应用、传输等，或者细化为芯片、电路、通信接口、路由等层次，而当前我国在做主要是在传感器上标准，是传感网络路由层面专利。当前，我国物联网技术研发水平已位于世界前列， 与德国、美国、日本等国一起，成为国际标准制订主要国家，逐步成为全球物联网产业链中主要一环。 第22页11.3 中国国家物联网标准组织11.3.1 电子标签国家标准工作组12月2日， 电子标签标准工作组在北京正式宣告成立。该工作组任务是联合社会各方面力量，开展电子标签标准体系研究，并以企业为主体进行标准预先研究和制/修订工作。 第23页11.3

13、 中国国家物联网标准组织电子标签标准工作组组织结构 第24页11.3 中国国家物联网标准组织11.3.2 传感器网络标准工作组9月11日，传感器网络标准工作组成立大会暨“感知中国”高峰论坛在北京举行。传感器网络标准工作组是由国家标准化管理委员会同意筹建，全国信息技术标准化技术委员会同意成立并领导，从事传感器网络（简称传感网）标准化工作全国性技术组织。第25页11.3 中国国家物联网标准组织传感器网络标准工作组组成 第26页11.3 中国国家物联网标准组织11.3.3 泛在网技术工作委员会2月2日， 中国通信标准化协会（CCSA）泛在网技术工作委员会（TC10）成立大会暨第一次全会在北京召开。T

14、C10成立，标志着CCSA今后泛在网技术与标准化研究将愈加专业化、系统化、深入化，必将深入促进电信运行商在泛在网领域进行主动探索和有益实践，不停优化设备制造商技术研发方案，推进泛在网产业健康快速发展。第27页11.3 中国国家物联网标准组织10.3.4 中国物联网标准联合工作组6月8日，在国家标准化管理委员会、工业和信息化部等相关部委共同领导和直接指导下，由全国工业过程测量和控制标准化技术委员会、全国智能建筑及居住区数字化标准化技术委员会、全国智能运输系统标准化技术委员会等19家现有标准化组织联合提倡并发起成立物联网标准联合工作组。第28页11.4 信息安全管理体系11.4.1 信息安全管理介

15、绍如今，遍布全球互联网使得组织机构不但内在依赖IT系统，还不可防止地与外部IT系统建立了错综复杂联络，但系统瘫痪、黑客入侵、病毒感染、网页改写、客户资料流失及企业内部资料泄露等事情时有发生，这些给组织经营管理、生存甚至国家安全都带来严重影响。所以，对信息加以保护，防范信息损坏和泄露，已成为当前组织迫切需要处理问题。第29页11.4 信息安全管理体系11.4.2信息安全管理体系标准发展历史当前，ISO/IEC27001:信息安全管理体系标准已经成为世界上应用最广泛与经典信息安全管理标准。ISO/IEC27001是由英国家标准准BS7799转换而成。依据ISO/IEC27001：建立信息安全管理体

16、系并取得认证正成为世界时尚。标准包含11大管理要项、39个控制目标和133项控制办法，为组织提供全方位信息安全保障。第30页11.4 信息安全管理体系11.4.3信息安全管理体系标准主要内容 信息安全管理体系标准主要内容有： 1.安全方针 2.安全组织 3.资产分类与管理 4.人力资源安全 5.物理和环境安全 6.通信与操作管理 7.访问控制 8.系统获取、开发和维护 9.信息安全事件管理 10.业务连续性管理 11.符合性第31页11.4 信息安全管理体系信息安全管理体系标准主要内容 第32页11.4 信息安全管理体系11.4.4 信息安全管理体系认证BS7799-2 从1998年颁布后，在全世界范围内得到广泛认可。当前已经有40多个国家和地域开展信息安全管理体系认证。依据信息安全管理体系国际使用者协会（ISMS International User Group）最新统计，到底，全球经过信息安全管理体系BS 7799-2认证组织已经超出家。第33页11.4 信息安