第11章 网络安全评估和安全法规

1、第11章网络安全评估和安全法规、11.1国际安全评估通用指南、11.2国内安全评估通用指南、11.3网络安全法律法规、11.1国际安全评估通用指南和11.1.1信任计算机系统安全评估指南TCSEC将计算机系统的安全分为四个级别和八个级别。d类、c类、b类、a类和11.1.2信息系统技术安全评估通用标准国际通用标准(CC)是国际标准化组织统一许多现有标准的结果，是目前最全面的评估标准。CC认为安全的实现应该建立在以下分层框架(自下而上)上。(1)安全环境：使用评估对象和现有安全威胁时必须遵守的法律和组织安全策略。(2)安全目的：组织安全策略和假设的声明，以防止威胁并满足需求。(3)评价对象的安全

2、要求：安全目的的细化主要是一套安全功能和保障的技术要求。(4)评价对象的安全规格：评价对象实际实现或计划实现的定义。(5)评价对象的安全实现：评价对象符合规范的实际实现。11.2国内安全评估通用标准11.2.1信息系统安全分类国家标准GB17859-99是我国计算机信息系统安全等级保护系列标准的核心，是实施计算机信息系统安全等级保护体系建设的重要基础。本标准将信息系统分为五个层次，即用户独立保护、系统审计保护、安全标志保护、结构化保护和访问验证保护。表11.1五级信息系统。在该标准中，一个重要的概念是可信计算基础(TCB)。可信计算基础是一种实现安全策略的机制，包括硬件、固件和软件，它将处理主

3、体(如系统管理员、安全管理员和用户等)的访问。)到对象(如过程、文件、记录和设备等)。)根据安全政策。1、自主访问控制、2、认证、3、数据完整性、4、对象重用、5、审计、6、强制访问控制、7、隐藏通道分析、9、可信路径、10、可信恢复、11.2.2与信息系统安全相关的标准随着CC标准的不断普及，中国也于2001年发布了GB/T18336标准。本标准等同于ISO/IEC15408-3:信息技术安全技术信息技术安全评估标准、11.3网络安全法律法规和11.3.1网络安全相关法律法规。中国十分重视信息系统的立法工作，有许多关于计算机信息系统安全的法律法规，涉及信息系统安全保护、国际联网管理、计算机病

4、毒防范、商业密码管理、安全产品测试和销售。主要有以下几种。(1)1989年，公安部发布了计算机病毒控制条例(草案)。(2)1991年，国务院第83次常务会议通过了计算机软件保护条例。(3)1994年2月18日，国务院颁布了中华人民共和国计算机信息系统安全保护条例。主要内容如下：(4)1996年2月1日，国务院颁布了中华人民共和国计算机信息网络国际联网管理暂行规定。(5)1997年5月20日，国务院信息化领导小组制定了中华人民共和国计算机公函(6)。1997年，国务院信息化领导小组发布了中国互联网域名注册管理暂行办法和中国互联网域名注册实施细则。(7)1997年，原邮电部发布了互联网接入渠道管理

5、办法。(8)2000年，互联网信息服务管理办法正式实施。(9)2000年11月，国务院新闻办公室和信息产业部联合发布了互联网新闻发布管理暂行规定。(二)网络服务业对口管理根据中华人民共和国计算机信息系统安全保护条例，相关用户应当在24小时内向县级以上地方人民政府公安机关报告。预防和控制计算机病毒和其他危害公共安全的有害数据的研究工作由公安部集中管理。国家对计算机信息系统安全专用产品的销售实行许可制度。具体办法由公安部会同有关部门制定。中华人民共和国计算机网络国际联网管理暂行规定规定，邮电部国家公用电信网提供的国际网关通道必须用于计算机信息网络的直接国际联网。任何单位和个人不得建立或者使用其他国际联网渠道。建立的互联网由邮电部、电子工业部、国家教育委员会和中国科学院管理，根据国务院有关规定进行调整。新建互联网必须报国务院批准。(四)计算机网络系统运行管理根据中华人民共和国计算机信息网络国际联网管理暂行规定实施办法的要求，国际通道提供商、互联单位和接入单位必须建立网络管理中心，完善管理制度，做好网络信息安全管理工作。根据中华人民共和国计算机信息网络国际联网管理暂行规定，从事国际联网业务的单位和个人应当遵守国家有关法律、行政法规，严格执行安全保密制度，不得利用国际联网从事危害