信息安全技术教程清华大学出版社-第十八章.ppt

1、2020/7/27,第18章 信息安全建设标准,18.1 通用安全原则 18.2 安全标准 18.3 安全法规 18.4 习题,18.1 通用安全原则,18.1.1 通用原则 18.1.2 安全策略 18.1.3 安全管理工具 18.1.4 物理安全 18.1.5 人员安全,2020/7/27,18.1.1 通用原则,特权分离原则 不主张单一的人员有足够的权限导致核心事件的发生 最小特权原则 一个人进行控制或相应的工作职责时，应该只分配最低限度的权限。 深度防御原则 模糊安全 依靠恶意入侵者不知道系统内部所采用的管理安全措施这一事实来保证安全,2020/7/27,18.1.2 安全策略,常见的

2、安全策略 可接受使用策略：让策略能够有效地限制用户权限范围内的行为，同时还要求可以应付不可预知的行为 备份策略：应付组织内被保护的数据丢失或损坏 保密策略 数据管理策略：数据类型、最短保管时间、最长保管时间 无线设备策略：无线设备能够给组织造成很大程度的安全威胁，所以在制定该策略时应当小心谨慎，并能够有力地执行下去,2020/7/27,策略执行 政策制定 建立共识 人员培训：所有被策略影响的员工提供有效的教育与训练，组织提供的安全培训应针对不同的角色定制具体的培训内容 策略执行：包含强制执行规定，明确阐明违反政策行为和应遵循的程序时候所负的责任 策略维护：包含强制执行规定，明确阐明违反政策行为

3、和应遵循的程序时候所负的责任,2020/7/27,18.1.3 安全管理工具,安全校验表 安全专家应该审阅组织当前存在的安全清单，确保概述的程序与组织内的信息安全策略一致 安全从业者可能希望建立自己安全校验表用于具体的安全目的 安全矩阵,2020/7/27,18.1.4 物理安全,边界防护/访问控制 防御的方式：栅栏、运动检测器、巡逻。 防御的等级很大程度上取决于该设施的用途和位置 信息安全领域的深度防御原则也可同时用于物理安全领域 电子实体保护 电子设备发出的辐射在数百米远的地方都可以被利用重新恢复出其承载的内容,2020/7/27,18.1.5 人员安全,主要措施 在为员工提供就业时，应该

4、首先进行背景调查 对员工的行为进行监控 强制假期 尽可能的提供给要离开公司的员工一个友好的环境,2020/7/27,18.2 安全标准,18.2.1 TCSEC 18.2.2 ITSEC 18.2.3 CTCPEC 18.2.4 FIPS 18.2.5 BS7799系列（ISO/IEC 27000系列） 18.2.6 ISO/IEC TR 13335系列 18.2.7 SSE-CMM 18.2.8 ITIL和BS15000 18.2.9 CC 18.2.10 CoBIT 18.2.11 NIST SP800系列,2020/7/27,信息技术安全评估标准的历史和发展,2020/7/27,18.2

5、.1 TCSEC,TCSEC（Trusted Computer System Evaluation Criteria，可信计算机安全评价标准）标准是计算机系统安全评估的第一个正式标准，也称为橘皮书，具有划时代的意义 4个安全等级 D类安全等级：D1级 C类安全等级：C1和C2级 B类安全等级：B1、B2和B3级 A类安全等级：A1级,2020/7/27,18.2.2 ITSEC,ITSEC（Information Technology Security Evaluation Criteria）标准将安全概念分为功能与评估两部分。功能准则从F1F10共分10级。15级对应于TCSEC的D到A。F

6、6至F10级分别对应数据和程序的完整性、系统的可用性、数据通信的完整性、数据通信的保密性以及机密性和完整性的网络安全。 ITSEC把完整性、可用性与保密性作为同等重要的因素,2020/7/27,18.2.3 CTCPEC,CTCPEC (Canadian Trusted Computer Product Evaluation Criteria)是加拿大的评价标准，专门针对政府需求而设计。 功能性需求共划分为四大类：机密性、完整性、可用性和可控性。每种安全需求又可以分成很多小类，来表示安全性上的差别，分级条数为05级。,2020/7/27,18.2.4 FIPS,联邦信息处理标准（Federal

7、 Information Processing Standards，FIPS）是一套描述文件处理、加密算法和其他信息技术标准（在非军用政府机构和与这些机构合作的政府承包商和供应商中应用的标准）的标准。,2020/7/27,18.2.5 BS7799系列,BS7799第一部分 全称是Code of Practice for Information Security，最新版成为ISO 17799: 2005 ISO/IEC 17799:2005 通过层次结构化形式提供安全策略、信息安全的组织结构、资产管理、人力资源安全等11个安全管理要素，还有39个主要执行目标和133个具体控制措施（最佳实践）

8、BS7799 第二部分 全称是Information Security Management Specification，最新版成为ISO/IEC 27001:2005 ISO/IEC 27001:2005详细说明了建立、实施和维护信息安全管理体系的要求,2020/7/27,18.2.6 ISO/IEC TR 13335系列,五部分标准 ISO/IEC13335-1:1996IT安全的概念与模型 ISO/IEC13335-2:1997IT安全管理与策划 ISO/IEC13335-3:1998IT安全管理技术 ISO/IEC13335-4:2000防护措施的选择 ISO/IEC13335-5:2

9、001网络安全管理指南,2020/7/27,18.2.7 SSE-CMM,SSE-CMM (System Security Engineering Capability Maturity Model)模型是专门用于系统安全工程的能力成熟度模型。 三个相关组织过程 工程过程 风险过程 保证过程 5个能力级别 基本执行级 计划跟踪级 充分定义级 量化控制级 持续改进级,2020/7/27,18.2.8 ITIL和BS15000,ITIL的全称是信息技术基础设施库（Information Technology Infrastructure Library）。ITIL针对一些重要的IT实践，详细描述了

10、可适用于任何组织的全面的清单（Checklists）、任务（Tasks）、程序（Procedures）、 职责（Responsibilities）等。 服务交付（Service Delivery） 服务支持（Service Support） BS15000 ISO/IEC 20000-1 ISO/IEC 20000-2 ITIL不是一个正式标准，而是目前普遍实行的事实上的标准,2020/7/27,18.2.9 CC,通用标准或通用准则（Common Criteria，简称CC）是指ISO/IEC15408:1999标准 组成部分 GB/T 18336.12001 idt ISO/IEC1540

11、8-1:1999 信息技术安全技术信息技术安全性评估准则第1部分：简介和一般模型。 GB/T 18336.22001 idt ISO/IEC15408-2:1999 信息技术安全技术信息技术安全性评估准则第2部分：安全功能要求。 GB/T 18336.32001 idt ISO/IEC15408-3:1999 信息技术安全技术信息技术安全性评估准则第3部分：安全保证要求。,2020/7/27,CC与其它标准的评测级别对应关系图,2020/7/27,18.2.10 CoBIT,CoBIT的全称是信息和相关技术的控制目标（Control Objectives for Information and

12、 related Technology），是ITGI提出的IT治理模型（IT Governance)，是一个IT控制和IT治理的框架（Framework）。 八个控制过程 计划和组织（Planning & Organisation）、采购和实施（Acquisition & Implementation）、交付和支持（Delivery & Support）、监视和评估（Monitoring & Evaluation） 七个控制目标 机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）、有效性（Effectiveness）、高效性（Effici

13、ency）、可靠性（Reliability）、符合性（Compliance）,2020/7/27,18.2.11 NIST SP800系列,美国国家标准技术协会NIST发布的Special Publication 800 文档是一系列针对信息安全技术和管理领域的实践参考指南。 主要文件 SP 800-12：计算机安全介绍（An Introduction to Computer Security: The NIST Handbook） SP 800-30 ： IT 系统风险管理指南（Risk Management Guide for Information Technology Systems）

14、 SP 800-34：IT 系统应急计划指南（Contingency Planning Guide for Information Technology Systems） SP 800-26 ： IT 系统安全自我评估指南（ Security Self-Assessment Guide for Information Technology Systems）,2020/7/27,18.3 安全法规,我国现阶段的一些信息安全方面的法律法规 互联网出版管理暂行规定 计算机信息系统保密管理暂行规定 计算机病毒防治管理办法 计算机信息网络国际联网出入口信道管理办法 计算机信息网络国际联网安全保护管理办法 公安部关于对与国际联网的计算机信息系统进行备案工作的通知 计算机信息系统安全专用产品检测和销售许可证管理办法 中华人民共和国计算机信息网络国际联网管理暂行规定实施办法 中华人民共和国计算机信息系统安全保护条例 商用密码管理条例 电子签名法,2020/7/27,2020/7/27,18.4 习题,一、选择题