信息安全风险评估及信息安全保障体系

曲成义研究员提升信息安全风险评估意识

强化信息安全保障体系建设1信息安全面临的威胁网上黑客与计算机欺诈网络病毒的蔓延和破坏有害信息内容污染与舆情误导机要信息流失与“谍件”潜入内部人员误用、滥用、恶用IT产品的失控（分发式威胁）物理临近式威胁网上恐怖活动与信息战网络的脆弱性和系统漏洞2网络突发事件正在引起全球关注2000年2月7日美国网上恐怖事件造成巨大损失

（DDos、八大重要网站、$12亿美元）2001年日本东京国际机场航管失灵，影响巨大

（红色病毒、几百架飞机无法起降、千人行程受阻）2003年美国银行的ATM网遭入侵，损失惨重

（Slammer、几十亿美元）

2004年震荡波几天波及全球2005年CardSystem公司4000万张卡用户信息被盗

（美国最大的窃密事件、植入特洛伊木马、假冒消费）网络正在成为恐怖组织联络和指挥工具（911、伦敦事件）9.11事件造成世贸中心1200家企业信息网络荡然无存

（有DRP/NCP的400家企业能够恢复和生存）网络舆情的爆发波及到物理社会的稳定信息网络的失窃密事件层出不穷3我国网络信息安全入侵事件态势严竣(CNCERT/CC05年度报告数据)

收到信息安全事件报告12万件(04年的2倍)监测发现2万台计算机被木马远程控制(04年的2倍)发现1.4万个网站遭黑客篡改,其中政府网站2千(04年的2倍)网络钓鱼(身份窃取)事件报告400件(04年的2倍)监测发现70万台计算机被植入谍件(源头主要在国外)发现僵尸网络143个(受控计算机250万台)4互联网信息安全威胁的某些新动向

僵尸网络威胁兴起谍件泛滥值得严重关注网络钓鱼的获利动机明显网页篡改(嵌入恶意代码),诱人上当DDoS开始用于敲诈

木马潜伏孕育着杀机获利和窃信倾向正在成为主流5领导重视、管理较严、常规的系统和外防机制基本到位深层隐患值得深思

内控机制脆弱高危漏洞存在信息安全域界定与边控待探索风险自评估能力弱灾难恢复不到位用户自控权不落实----------“重要信息系统”安全态势与深层隐患（案例考察）6国家信息化领导小组第三次会议《关于加强信息安全保障工作的意见》—中办发[2003]27号文—

坚持积极防御、综合防范全面提高信息安全防护能力

重点保障信息网络和重要信息系统安全创建安全健康的网络环境保障和促进信息化发展、保护公众利益、维护国家安全立足国情、以我为主、管理与技术并重、统筹规划、突出重点

发挥各界积极性、共同构筑国家信息安全保障体系

7国家信息安全保障工作要点

实行信息安全等级保护制度：风险与成本、资源优化配置、安全风险评估

基于密码技术网络信任体系建设：密码管理体制、身份认证、授权管理、责任认定

建设信息安全监控体系：提高对网络攻击、病毒入侵、网络失窃密、有害信息的防范能力

重视信息安全应急处理工作：指挥、响应、协调、通报、支援、抗毁、灾备

推动信息安全技术研发与产业发展：关键技术、自主创新、强化可控、引导与市场、测评认证、采购、服务

信息安全法制与标准建设：信息安全法、打击网络犯罪、标准体系、规范网络行为

信息安全人材培养与增强安全意识：学科、培训、意识、技能、自律、守法

信息安全组织建设：信息安全协调小组、责任制、依法管理8国家信息安全保障工作高层会议(2004.1.9)

信息安全的重要性：IT增长25%、GDP的6%、强烈依赖

信息安全的重大案例信息安全存在的问题

一个并重、两手抓、三个同步新思路、新眼光，建立信息安全保障体系

关键技术产品要自主可控认真落实中央27号文件9《国家信息安全战略报告》

—国信[2005]2号文—

维护国家在网络空间的根本利益确保国家的经济、政治、文化和信息的安全三大信息基础设施、八大重要信息系统、信息内容信息安全基础支撑能力信息安全防护与对抗能力网络突发事件快速反应能力网络舆情驾驭能力综合治理、协调联动、群防群治政策、标准、管理、技术、产业、人材、理论

构筑国家信息安全保障体系信息安全长效机制信息安全战略的主动权------

10《2006-2020年年国家家信息息化发发展战战略》》—中办[2006]11号号文—第(八)部部分:““建建设国国家信信息安安全保保障体体系””实现信信息化化与信信息安安全协协调发发展增强信信息基基础设设施和和重要要信息息系统统抗毁毁能力力增强国国家信信息安安全保保障能能力研究国国际信信息安安全先先进理理论、、先进进技术术掌握握核核心心安安全全技技术术、、提提高高关关键键设设备备装装备备能能力力促进进我我国国信信息息安安全全技技术术和和产产业业的的自自主主发发展展完善善国国家家信信息息安安全全长长效效机机制制------11“信信息息安安全全””内内涵涵保值值威胁胁威胁发起者资产拥有者对策脆弱性风险系统资产使命贬值值利用用增加加滥用用与与破破坏坏发现现意识识到到减少少降低低合法法与与可可用用？12信息息安安全全概概念念演演变变早期期：：通通信信保保密密阶阶段段（（ComSec）），，通通信信内内容容保保密密为为主主中期期：：信信息息安安全全阶阶段段（（InfoSec）），，信信息息自自身身的的静静态态防防护护为为主主近期期：：信信息息保保障障阶阶段段（（InformationAssurance—IA）），，强调调动动态态的的、、纵纵深深的的、、生生命命周周期期的的、、整整个个信信息息系系统统资资产产的的信信息息对对抗抗。。我们们当当前前所所指指““信信息息安安全全””=““信信息息保保障障””，，即“在在整整个个生生命命周周期期中中，，处处在在纵纵深深防防御御和和动动态态对对抗抗的的信信息息系系统统，，为为保保障障其其中中数数据据及及服服务务的的完完整整性性、、保保密密性性、、可可用用性性（（防防拒拒绝绝和和破破坏坏））、、真真实实性性（（交交互互双双方方的的数数据据、、人人员员的的身身份份和和权权限限、、设设施施的的鉴鉴别别））、、可可控控性性（（监监控控、、审审计计、、取取证证、、防防有有害害内内容容传传播播））、、可可靠靠性性而而抵抵制制各各类类威威胁胁所所提提供供的的一一种种能能力力13信息系统安安全整体对对策(一)构建建信息安全保保障体系(二)作好好信息安全风风险评估14(一)构建建信息安全保保障体系15电子政务安安全保障体体系框架安全法规安全管理安全标准安全工程与服务安全基础设施安全技术与产品16信息安全法法规《关于开展展信息安全全风险评估估工作的意意见》（国信办[2005]1号文））《信息安全全等级保护护管理办法法（试行））》（公通字[2006]7号文文）《中华人民民共和国保保守国家秘秘密法》》(在修订)《信息安全全法》（信息安全管管理条例））《电子签名名法》（2005年4月1日实施））------------17行政管理体体制:国家网络信信息安全协协调小组，，部门，地地区技术管理体体制:CSO信息系统安安全管理准准则（ISO17799））--GBxxxx管理策略组织与人员员资产分类与与安全控制制配置与运行行网络信息安安全域与通通信安全异常事件与与审计信息标记与与文档物理与环境境开发与维护护作业连续性性保障符合性信息安全组组织管理18国家信息安安全标准化化委员会安全功能定定义安全要素设设计：物理、网络络、系统、、应用、管管理全程安全控控制风险全程管管理安全有效评评估强壮性策略略成成立.十个个工作组））标准体系与与协调（含含可信计算算）涉密信息系系统保密密码算法与与模块PKI/PMI安全评估应急处理安全管理(风险评估估)电子证据身份标识与与鉴别操作系统与与数据国家报批搞搞16项、、送审稿25项、研研制近70项19信息系统安安全工程和和服务安全需求分分析：威胁，弱点点，风险，，资产、使使命、对策策、安全体系结结构与功能能定义安全要素设设计：物理、网络络、系统、、应用、管管理安全系统统构建与集集成管理服服务全程的信息息安全风险险评估信息系统强强壮性策策略、（ISSE，IATF，CC，TESEC）20信息加密技技术（对称、公公开、可恢恢复、量子子、隐藏)鉴别与认证（口令/密密码、动态态口令/ToKen、CA/签名、、物理识别别）访问控制技技术（ACL、、RBAC、DAC、MAC、能力表表、AA））网络边界安安全技术（FW、Proxy、NG、、GAP、、UTM））病毒防治技技术（防、查、、杀、清））网络隐患扫扫描与发现现（缺陷、后后门、嵌入入、恶意代代码）内容识别与与过滤技术术（关键字、、特征、上上下文、自自然语言））主机内控防防护技术（监控、检检测、防泄泄、管理、、审计）信息安全技技术领域21信息安全风风险评估技技术（收集、分分析、检测测、滲透、、管理）网络检测、、预警和攻攻击技术（IDS、、Agent、面防防、追踪、、反击、陷陷阱）“内容”产产权保护技技术（数字水印印、安全容容器、加密密、签名））“安全基””技术（补丁、配配置、清除除、监视、、加固、监监视、升级级）审计与取证证（全局审计计、审计保保护、反向向工程、恢恢复提取））备份与容灾灾（SAN、NAS、集集群、冗余余、镜象））可信计算（TCG、、TCPA、TSS、TPM、TWC、----）信息安全集集成管理（信息共享享、协同联联动、策略略牵引）信息安全技技术领域22信息网络安安全域纵深深防御框架架核心内网局域计算环环境（安全域a）专用外网局域计算环环境（安全域m）公共服务网网局域计算环环境（安全域n）Internet、、TSP、、PSTN、VPN网络通信基基础设施（光纤、无无线、卫星星）信息安全基基础设施(PKI、、PMI、、KMI、、CERT、DRI)网络安全边边界23EG用主流流的信息安安全产品防范外部入入侵类放火墙、防防病毒、入入侵检测、、物理隔离防控内部作作案类强审计、主主机内控、、主机安保保、系统级安全全类加密、鉴别、授权、扫扫描、灾备、过滤、物理安全、、集成管理理、安全测评24信息安全基基础设施的的支撑数字证书认认证体系（（CA/PKI）网络应急支支援体系（（CERT）灾难恢复基基础设施（（DRI））病毒防治服服务体系（（AVERT）产品与系统统安全检测测、评估体体系（CC/TCSEC）密钥管理基基础设施（（KMI））授权管理基基础设施（（AA/PMI）信息息安安全全事事件件通通报报与与会会商商体体系系网络络监监控控与与预预警警体体系系信息息保保密密检检查查体体系系信息息安安全全偵偵控控体体系系网络络舆舆情情掌掌控控与与治治理理体体系系25信息息安安全全保保障障体体系系建建设设的的目目标标1））增增加加信信息息网网络络四四种种安安全全能能力力信息息安安全全防防护护能能力力隐患患发发现现能能力力网络络应应急急反反应应能能力力信息息对对抗抗能能力力2））保保障障信信息息及及其其服服务务具具有有六六性性保密密性性、、完完整整性性、、可可用用性性、、真实实性性、、可可核核查查性性（（可可控控性性））、、可可靠靠性性26(二二)作好好信息息安安全全风风险险评评估估27提升升信信息息安安全全风风险险评评估估意意识识社会会、、经经济济、、政政治治、、文文化化对对信信息息化化的的强强烈烈依依赖赖作业业连连续续性性保保障障（（BCM/BCP））引引起起普普遍遍关关注注信息息安安全全保保障障体体系系建建设设（（IA））成成为为焦焦点点实施施信信息息安安全全的的风风险险管管理理正正在在被被认认同同提升升信信息息安安全全风风险险评评估估意意识识和和能能力力是是当当务务之之急急信息息安安全全风风险险评评估估既是是信信息息安安全全建建设设的的起点点也覆覆盖盖终生生创建建一一个个安安全全的的信信息息化化环环境境保障障信信息息化化健健康康发发展展28威胁胁脆弱弱性性防护护措措施施风险险资产产防护护需需求求价值值抗击击利用用增加加增加加暴露露被满满足足引出出增加加拥有有风险险管管理理要要素素关关系系图图29信息息系系统统安安全全风风险险管管理理比较和对比可用攻击研究敌方行为理论开创任务影响理论比较和对比各种行为行动决策对策识别与特征描述任务关键性参数权衡脆弱性与攻击的识别与特征描述威胁的识别与特征描述任务影响的识别与描述基础础研研究究与与事事件件分分离离系统统改改进进风险险分分析析30信息息系系统统安安全全风风险险评评估估的的特特征征信息系统是是一个巨型型复杂系统统（系统要要素、安全全要素）信息系统受受制于外部部因素（物物理环境、、行政管理理、人员））信息系统安安全风险评评估是一项项系统工程程发现隐患、、采取对策策、提升强强度、总结结经验自评估、委委托评估、、检察评估估31信息系统安安全评估目目的提供采取降低影响完成保护安全保证技术提供者系统评估者安全保证信心风险对策资产使命资产拥有者价值给出证据生成保证具有32信息安全风风险评估是是提升信息安全体体系强度重重要保证信息系统资资产是有价价资产脆弱性/威威胁力力力图使资产产贬值影响/风风险分析风险评估：：发现、预防防、降低、、转移、补补偿、承受受采取措施以以提升系统统安全强度度保护信息系系统资产价价值（保密性、完完整性、可可用性）完成系统的的使命33信息系统生生命周期中中

安全保保障与评估估策划与组织开发与采购信息系统安全保障与评估实施与交付运行与维护更新与废弃34国家对信息息安全风险评估工工作高度重视国信办[2005]5号文件件<信息系统统风险评估估试点工作作方案>“国信办””与“安标标委”《信息安全风险评估规规范》（GB/T报报批稿稿）“国信办””抓紧风险评评估试点、、宣贯和推推广（05、06年年）“保密局””涉密信息领领域风险评评估规范”科技部部“信息安全风险评估方方法、工具具、模型研研制35国内信息安安全评估机机构的现状状国家信息安安全标准化化委员会（（“信息安安全评估工工作组-WG5）国家信息安安全测评中中心（信息息技术安全全性评估准准则-GB/T18336）（EG信息系统安安全保障评评估准则））公安部（计计算机信息息系统安全全保护等级级划分准则则-GB17859-1999）（计算机信信息系统安安全等级保保护通用技技术要求-GA/T390-2002）国家保密局局（涉及国国家秘密的的计算机信信息系统安安全保密测测评指南-BMZ3-2001）北京市信息息办（党政政机关信息息系统安全全测评规范范）上海市信息息办（信息息系统安全全测评规范范）解放军（信信息系统安安全评估规规范）其它36建立国家信信息安全评评估体系信息安全评评估标准和和规范体系系IT产品、、IT系统统、IT服服务信息安全评评估监管体体系对评估组织织与评估行行为的监管管(等级,资质,规规则)信息安全评评估组织体体系，在认认监委、信信息办领导导下认可机构认证机构评估技术支援中心（实验室）专家委员会检测、评估机构检测、评估机构评估操作层技术支持层认证层认可监管层37国际信息系系统安全测测评状况NIACAPDICSCAPNSTISSIFIPS102行业与企业业的风险评评估投入明明显（1%———5%）38信息系统安安全评估方方法定性分析与与定量结合合评估机构与与评估专家家结合评估考查与与评估检测测结合技术安全与与管理安全全结合39信息系统安安全分析与与检测管理安全分分析组织、人员员、制度、、资产控制制、物理、、操作、连连续性、应应急过程安全分分析威胁、风险险、脆弱性性、需求、、策略、方方案、符合合性分发、运行行、维护、、更新、废废弃技术安全分分析与检测测安全机制、、功能和强强度分析网络设施、、安全设施施及主机配配置安全分分析网络设备和和主机设备备脆弱性分分析系统穿透性性测试40风险评估实实施步骤(1)风险险评估的准准备(2)资资产识别(3)威威胁识别(4)脆脆弱性识别别(5)已已有安全措措施的确认认(6)风风险分析(7)风风险评估文文件记录(8)风风险险评评估估对对策策41风险险评评估估流流程程42风险险分分析析示示意意图图43风险险评评估估工工具具（1））风风险险评评估估管管理理工工具具基于于安安全全标标准准、、基基于于知知识识、、基基于于模模型型采点点、、收收集集、、描描述述、、分分析析（2））风风险险评评估估检检测测工工具具脆弱弱性性扫扫描描：：网网络络、、主主机机、、数数据据库库、、网网站站、、滲透透性性测测试试：：黑黑客客、、病病毒毒、、木木马马、、谍谍件件、、劫劫持持、、拒拒绝绝、、破破译译（3））风风险险评评估估辅辅助助工工具具入侵侵检检测测、、安安全全审审计计、、拓拓扑扑发发现现、、资资产产收收集集知识识库库、、漏漏洞洞库库、、算算法法库库、、模模型型库库、、指指标标库库44信息息安安全全风险险评评估估试试点点成成效效显显著著（（05年年））提高高了了风风险险意意识识、、培培育育自自评评估估能能力力（（8个个试试点点、、几几千千人人日日））三要要素素的的识识别别与与赋赋值值能能力力有有所所提提高高、、（（并并探探索索行行业业细细则则））发现现和和消消除除大大量量隐隐患患、、提提升升了了安安全全强强度度（（表表层层与与深深层层））采用用了了多多种种评评估估模模式式并并总总结结经经验验（（自自评评、、委委托托、、检检查查））实效效性性/关关键键性性/涉涉密密性性/常常规规性性等等系系统统的的分分类类指指导导风险险评评估估方方法法、、工工具具、、平平台台有有所所创创新新应急急予予案案、、离离线线评评估估、、管管理理软软件件、、识识别别知知识识化化、、多多种种评评估估方方法法——----评估估过过程程的的风风险险控控制制对对策策（（管管理理、、协协议议、、技技术术、、机机制制））全程程的的风风险险评评估估分分类类试试点点（（规规划划、、设设计计、、实实施施、、运运行行、、更更新新））评估估协协同同机机制制的的探探索索（（业业主主、、建建设设、、评评估估三三方方协协同同））体系系与与深深层层隐隐患