第10章 信息安全管理

1、第第1010章章 信息安全管理信息安全管理主要內(nèi)容主要內(nèi)容10.1 概述概述10.2 信息安全風(fēng)險管理信息安全風(fēng)險管理(風(fēng)險評估、風(fēng)險控制風(fēng)險評估、風(fēng)險控制)10.3 信息安全標(biāo)準(zhǔn)信息安全標(biāo)準(zhǔn)(CC標(biāo)準(zhǔn)、標(biāo)準(zhǔn)、BS7799標(biāo)準(zhǔn)標(biāo)準(zhǔn))10.4 信息安全法律法規(guī)及道德規(guī)范信息安全法律法規(guī)及道德規(guī)范10.1 概述概述n當(dāng)今社會已經(jīng)進(jìn)入到信息化社會，其信息安全是當(dāng)今社會已經(jīng)進(jìn)入到信息化社會，其信息安全是建立在信息社會的基礎(chǔ)設(shè)施及信息服務(wù)系統(tǒng)之間建立在信息社會的基礎(chǔ)設(shè)施及信息服務(wù)系統(tǒng)之間的互聯(lián)、互通、互操作意義上的安全需求上。的互聯(lián)、互通、互操作意義上的安全需求上。n安全需求安全需求可以分為可以分為安全

2、技術(shù)需求安全技術(shù)需求和和安全管理需求安全管理需求兩個方面。兩個方面。n管理在信息安全中的重要性高于安全技術(shù)層面，管理在信息安全中的重要性高于安全技術(shù)層面，“三分技術(shù)，七分管理三分技術(shù)，七分管理”的理念在業(yè)界中已經(jīng)得的理念在業(yè)界中已經(jīng)得到共識。到共識。絡(luò)絡(luò)信息安全管理體系信息安全管理體系ISMSn信息安全管理體系信息安全管理體系ISMS是從管理學(xué)慣用的是從管理學(xué)慣用的過程模型過程模型PDCA（Plan、Do、Check、Act）發(fā)展演化而來。）發(fā)展演化而來。管理學(xué)中的一個通用模型，被管理學(xué)中的一個通用模型，被廣泛宣傳和運用于持續(xù)改善產(chǎn)廣泛宣傳和運用于持續(xù)改善產(chǎn)品質(zhì)量的過程中，是全面質(zhì)量品質(zhì)量的過

3、程中，是全面質(zhì)量管理所應(yīng)遵循的科學(xué)程序。管理所應(yīng)遵循的科學(xué)程序。 規(guī)劃規(guī)劃：通過風(fēng)險評估：通過風(fēng)險評估了解安全需求，根據(jù)了解安全需求，根據(jù)需求制定解決方案。需求制定解決方案。實施實施：具體運作，實：具體運作，實現(xiàn)計劃中的內(nèi)容現(xiàn)計劃中的內(nèi)容 檢查檢查：監(jiān)視評審解：監(jiān)視評審解決方案的有效性，決方案的有效性，發(fā)現(xiàn)問題在下一個發(fā)現(xiàn)問題在下一個階段予以解決。階段予以解決。處置處置：對總結(jié)檢查的結(jié)：對總結(jié)檢查的結(jié)果進(jìn)行處理，沒有解決果進(jìn)行處理，沒有解決的問題，應(yīng)提給下一個的問題，應(yīng)提給下一個PDCAPDCA循環(huán)中去解決。循環(huán)中去解決。 PDCA模型模型國際標(biāo)準(zhǔn)化組織國際標(biāo)準(zhǔn)化組織(ISO)(ISO)和國際

4、電工學(xué)會和國際電工學(xué)會(IEC)(IEC)聯(lián)合將相關(guān)工作轉(zhuǎn)化為聯(lián)合將相關(guān)工作轉(zhuǎn)化為ISMSISMS國際標(biāo)準(zhǔn)國際標(biāo)準(zhǔn)(ISO/IEC (ISO/IEC 27001:2005)27001:2005)ISMS信息安全管理體系信息安全管理體系nISMS是一個是一個系統(tǒng)化、過程化系統(tǒng)化、過程化的管理體系，體系的建立需要的管理體系，體系的建立需要全面、系統(tǒng)、科學(xué)的風(fēng)險評估、制度保證和有效監(jiān)督機制。全面、系統(tǒng)、科學(xué)的風(fēng)險評估、制度保證和有效監(jiān)督機制。nISMS應(yīng)該體現(xiàn)應(yīng)該體現(xiàn)預(yù)防控制預(yù)防控制為主的思想，強調(diào)遵守國家有關(guān)信為主的思想，強調(diào)遵守國家有關(guān)信息安全的法律法規(guī)，強調(diào)全過程的動態(tài)調(diào)整，從而確保整個息安全

5、的法律法規(guī)，強調(diào)全過程的動態(tài)調(diào)整，從而確保整個安全體系在有效管理控制下，不斷改進(jìn)完善以適應(yīng)新的安全安全體系在有效管理控制下，不斷改進(jìn)完善以適應(yīng)新的安全需求。需求。n在信息安全管理體系的各環(huán)節(jié)中，安全需求是在信息安全管理體系的各環(huán)節(jié)中，安全需求是前提前提，運作實，運作實施、監(jiān)視評審和維護(hù)改進(jìn)是施、監(jiān)視評審和維護(hù)改進(jìn)是重要步驟重要步驟，而可管理的信息安全，而可管理的信息安全是是最終的目標(biāo)最終的目標(biāo)。n在各環(huán)節(jié)中，風(fēng)險評估管理、標(biāo)準(zhǔn)規(guī)范管理以及制度法規(guī)管在各環(huán)節(jié)中，風(fēng)險評估管理、標(biāo)準(zhǔn)規(guī)范管理以及制度法規(guī)管理這三項工作直接影到響整個信息安全管理體系是否能夠有理這三項工作直接影到響整個信息安全管理體系是

6、否能夠有效實行。效實行。信息安全管理體系的架構(gòu)信息安全管理體系的架構(gòu)信息安全管理體系的目的和特點信息安全管理體系的目的和特點信息安全管理涉及的領(lǐng)域信息安全管理涉及的領(lǐng)域A風(fēng)險評估風(fēng)險評估n風(fēng)險評估風(fēng)險評估（Risk Assessment）是指對信息資產(chǎn)所）是指對信息資產(chǎn)所面臨面臨的威脅的威脅、存在的弱點存在的弱點、可能導(dǎo)致的、可能導(dǎo)致的安全事件安全事件以及三者以及三者綜合綜合作用作用所帶來的風(fēng)險進(jìn)行評估。所帶來的風(fēng)險進(jìn)行評估。n作為風(fēng)險管理的基礎(chǔ)，風(fēng)險評估是組織確定信息安全需求作為風(fēng)險管理的基礎(chǔ)，風(fēng)險評估是組織確定信息安全需求的一個重要手段。的一個重要手段。n風(fēng)險評估管理：風(fēng)險評估管理：在信息

7、安全管理體系的各環(huán)節(jié)中，合理地在信息安全管理體系的各環(huán)節(jié)中，合理地利用風(fēng)險評估技術(shù)對信息系統(tǒng)及資產(chǎn)進(jìn)行安全性分析及風(fēng)利用風(fēng)險評估技術(shù)對信息系統(tǒng)及資產(chǎn)進(jìn)行安全性分析及風(fēng)險管理，為規(guī)劃設(shè)計完善信息安全解決方案提供基礎(chǔ)資料，險管理，為規(guī)劃設(shè)計完善信息安全解決方案提供基礎(chǔ)資料，屬于信息安全管理體系的屬于信息安全管理體系的規(guī)劃環(huán)節(jié)規(guī)劃環(huán)節(jié)。標(biāo)準(zhǔn)規(guī)范管理標(biāo)準(zhǔn)規(guī)范管理n在規(guī)劃實施信息安全解決方案時，各項工作遵循國際或國家在規(guī)劃實施信息安全解決方案時，各項工作遵循國際或國家相關(guān)標(biāo)準(zhǔn)規(guī)范，有完善的檢查機制。相關(guān)標(biāo)準(zhǔn)規(guī)范，有完善的檢查機制。n國際標(biāo)準(zhǔn)可以分為國際標(biāo)準(zhǔn)可以分為互操作標(biāo)準(zhǔn)互操作標(biāo)準(zhǔn)、技術(shù)與工程標(biāo)準(zhǔn)技術(shù)

8、與工程標(biāo)準(zhǔn)、信息安全信息安全管理與控制標(biāo)準(zhǔn)管理與控制標(biāo)準(zhǔn)三類。三類?；ゲ僮鳂?biāo)準(zhǔn)互操作標(biāo)準(zhǔn)：非標(biāo)準(zhǔn)組織研發(fā)的算法和協(xié)議經(jīng)過自發(fā)的選擇過：非標(biāo)準(zhǔn)組織研發(fā)的算法和協(xié)議經(jīng)過自發(fā)的選擇過程，成為了所謂的事實標(biāo)準(zhǔn)，如程，成為了所謂的事實標(biāo)準(zhǔn)，如AESAES、RSARSA、SSLSSL以及以及CVECVE等。等。技術(shù)與工程標(biāo)準(zhǔn)技術(shù)與工程標(biāo)準(zhǔn)：由標(biāo)準(zhǔn)化組織制定的用于規(guī)范信息安全產(chǎn)品、：由標(biāo)準(zhǔn)化組織制定的用于規(guī)范信息安全產(chǎn)品、技術(shù)和工程的標(biāo)準(zhǔn)，如信息產(chǎn)品通用評測準(zhǔn)則、安全系統(tǒng)工程技術(shù)和工程的標(biāo)準(zhǔn)，如信息產(chǎn)品通用評測準(zhǔn)則、安全系統(tǒng)工程能力成熟度模型等。能力成熟度模型等。信息安全管理與控制標(biāo)準(zhǔn)信息安全管理與控制標(biāo)準(zhǔn)

9、：由標(biāo)準(zhǔn)化組織制定的用于指導(dǎo)和管：由標(biāo)準(zhǔn)化組織制定的用于指導(dǎo)和管理信息安全解決方案實施過程的標(biāo)準(zhǔn)規(guī)范，如信息安全管理體理信息安全解決方案實施過程的標(biāo)準(zhǔn)規(guī)范，如信息安全管理體系標(biāo)準(zhǔn)（系標(biāo)準(zhǔn)（BS-7799BS-7799）、信息和相關(guān)技術(shù)控制目標(biāo)（）、信息和相關(guān)技術(shù)控制目標(biāo)（COBITCOBIT）等。）等。制度法規(guī)管理制度法規(guī)管理n指宣傳國家及各部門制定的相關(guān)制度法規(guī)，并監(jiān)督有關(guān)人指宣傳國家及各部門制定的相關(guān)制度法規(guī)，并監(jiān)督有關(guān)人員是否遵守這些制度法規(guī)。員是否遵守這些制度法規(guī)。n每個組織部門（如企事業(yè)單位、公司等）都有信息安全規(guī)每個組織部門（如企事業(yè)單位、公司等）都有信息安全規(guī)章制度，有關(guān)人員嚴(yán)格

10、遵守這些規(guī)章制度對于一個組織部章制度，有關(guān)人員嚴(yán)格遵守這些規(guī)章制度對于一個組織部門的信息安全來說十分重要，而門的信息安全來說十分重要，而完善的規(guī)章制度完善的規(guī)章制度和和建全的建全的監(jiān)管機制監(jiān)管機制更是必不可少。更是必不可少。n除了有關(guān)的組織部門自己制定的相關(guān)規(guī)章制度之外，國家除了有關(guān)的組織部門自己制定的相關(guān)規(guī)章制度之外，國家的有關(guān)信息安全法律法規(guī)更是有關(guān)人員需要遵守的。的有關(guān)信息安全法律法規(guī)更是有關(guān)人員需要遵守的。目前在計算機系統(tǒng)、互聯(lián)網(wǎng)以及其它信息領(lǐng)域中，國家目前在計算機系統(tǒng)、互聯(lián)網(wǎng)以及其它信息領(lǐng)域中，國家均制定了相關(guān)法律法規(guī)進(jìn)行約束管理，如果觸犯，勢必均制定了相關(guān)法律法規(guī)進(jìn)行約束管理，如果

11、觸犯，勢必受到相應(yīng)的懲罰。受到相應(yīng)的懲罰。立法現(xiàn)狀立法現(xiàn)狀n根據(jù)英國學(xué)者巴雷特的歸納，各國對計算機犯罪的立法，根據(jù)英國學(xué)者巴雷特的歸納，各國對計算機犯罪的立法，主要采取了兩種方案主要采取了兩種方案一種是制定計算機犯罪的一種是制定計算機犯罪的專項立法專項立法，如美國、英國等；，如美國、英國等；一種是通過修訂法典，一種是通過修訂法典，增加規(guī)定增加規(guī)定有關(guān)計算機犯罪的內(nèi)容，有關(guān)計算機犯罪的內(nèi)容，如法國、俄羅斯等。如法國、俄羅斯等。n目前我國現(xiàn)行法律法規(guī)中，與信息安全有關(guān)的已有近百部目前我國現(xiàn)行法律法規(guī)中，與信息安全有關(guān)的已有近百部涉及網(wǎng)絡(luò)與信息系統(tǒng)安全、信息內(nèi)容安全、信息安全系涉及網(wǎng)絡(luò)與信息系統(tǒng)安全

12、、信息內(nèi)容安全、信息安全系統(tǒng)與產(chǎn)品、保密及密碼管理、計算機病毒與危害性程序統(tǒng)與產(chǎn)品、保密及密碼管理、計算機病毒與危害性程序防治、金融等特定領(lǐng)域的信息安全、信息安全犯罪制裁防治、金融等特定領(lǐng)域的信息安全、信息安全犯罪制裁等多個領(lǐng)域，初步形成了我國信息安全的法律體系。等多個領(lǐng)域，初步形成了我國信息安全的法律體系。道德規(guī)范道德規(guī)范n道德規(guī)范也是信息領(lǐng)域從業(yè)人員及廣大用戶應(yīng)該遵守的。道德規(guī)范也是信息領(lǐng)域從業(yè)人員及廣大用戶應(yīng)該遵守的。包括計算機從業(yè)人員道德規(guī)范、網(wǎng)絡(luò)用戶道德規(guī)范以包括計算機從業(yè)人員道德規(guī)范、網(wǎng)絡(luò)用戶道德規(guī)范以及服務(wù)商道德規(guī)范等。及服務(wù)商道德規(guī)范等。n信息安全道德規(guī)范的信息安全道德規(guī)范的基

13、本出發(fā)點基本出發(fā)點一切個人信息行為必須服從于信息社會的整體利益，一切個人信息行為必須服從于信息社會的整體利益，即個體利益服從整體利益；即個體利益服從整體利益；對于運營商來說，信息網(wǎng)絡(luò)的規(guī)劃和運行應(yīng)以服務(wù)于對于運營商來說，信息網(wǎng)絡(luò)的規(guī)劃和運行應(yīng)以服務(wù)于社會成員整體為目的。社會成員整體為目的。10.2 信息安全風(fēng)險管理信息安全風(fēng)險管理n信息安全風(fēng)險管理信息安全風(fēng)險管理是信息安全管理的重要部分是信息安全管理的重要部分是規(guī)劃、建設(shè)、實施及完善信息安全管理體系的基礎(chǔ)是規(guī)劃、建設(shè)、實施及完善信息安全管理體系的基礎(chǔ)和主要目標(biāo)。和主要目標(biāo)。其核心內(nèi)容包括其核心內(nèi)容包括風(fēng)險評估風(fēng)險評估和和風(fēng)險控制風(fēng)險控制兩個部

14、分。兩個部分。n風(fēng)險管理的風(fēng)險管理的概念來源于商業(yè)領(lǐng)域概念來源于商業(yè)領(lǐng)域，主要指對商業(yè)行為或目，主要指對商業(yè)行為或目的投資的風(fēng)險進(jìn)行分析、評估與管理，力求以最小的風(fēng)險的投資的風(fēng)險進(jìn)行分析、評估與管理，力求以最小的風(fēng)險獲得最大的收益。獲得最大的收益。10.2.1 風(fēng)險評估風(fēng)險評估 風(fēng)險評估主要包括風(fēng)險分析和風(fēng)險評價風(fēng)險評估主要包括風(fēng)險分析和風(fēng)險評價風(fēng)險分析：風(fēng)險分析：全面地識別風(fēng)險來源及類型；全面地識別風(fēng)險來源及類型；風(fēng)險評價：風(fēng)險評價：依據(jù)風(fēng)險標(biāo)準(zhǔn)估算風(fēng)險水平依據(jù)風(fēng)險標(biāo)準(zhǔn)估算風(fēng)險水平,確定風(fēng)險的嚴(yán)重性。確定風(fēng)險的嚴(yán)重性。與信息安全風(fēng)險有關(guān)的因素：與信息安全風(fēng)險有關(guān)的因素：n資產(chǎn)：資產(chǎn)：是指對組

15、織具有價值的信息資源，是安全策略保是指對組織具有價值的信息資源，是安全策略保護(hù)的對象。護(hù)的對象。n威脅：威脅：主要指可能導(dǎo)致資產(chǎn)或組織受到損害的安全事件主要指可能導(dǎo)致資產(chǎn)或組織受到損害的安全事件的潛在因素。的潛在因素。n脆弱性：脆弱性：一般指資產(chǎn)中存在的可能被潛在威脅所利用的一般指資產(chǎn)中存在的可能被潛在威脅所利用的缺陷或薄弱點，如操作系統(tǒng)漏洞等。缺陷或薄弱點，如操作系統(tǒng)漏洞等。n安全控制：安全控制：是指用于消除或減低安全風(fēng)險所采取的某種是指用于消除或減低安全風(fēng)險所采取的某種安全行為，包括措施、程序及機制等。安全行為，包括措施、程序及機制等。風(fēng)險評估的目的和意義風(fēng)險評估的目的和意義n認(rèn)識現(xiàn)有的資

16、產(chǎn)及其認(rèn)識現(xiàn)有的資產(chǎn)及其價值價值n對信息系統(tǒng)安全的各個方面的當(dāng)前潛在威脅、弱點和影響對信息系統(tǒng)安全的各個方面的當(dāng)前潛在威脅、弱點和影響進(jìn)行全面的進(jìn)行全面的評估評估n通過安全評估，能夠清晰地了解當(dāng)前所面臨的安全風(fēng)險，通過安全評估，能夠清晰地了解當(dāng)前所面臨的安全風(fēng)險，清晰地了解信息系統(tǒng)的清晰地了解信息系統(tǒng)的安全現(xiàn)狀安全現(xiàn)狀n明確地看到當(dāng)前安全現(xiàn)狀與安全目標(biāo)之間的明確地看到當(dāng)前安全現(xiàn)狀與安全目標(biāo)之間的差距差距n為下一步控制和降低安全風(fēng)險、改善安全狀況提供客觀和為下一步控制和降低安全風(fēng)險、改善安全狀況提供客觀和詳實的詳實的依據(jù)依據(jù)信息安全風(fēng)險因素及相互關(guān)系信息安全風(fēng)險因素及相互關(guān)系風(fēng)險計算依據(jù)風(fēng)險計算

17、依據(jù)風(fēng)險分析原理風(fēng)險分析原理對資產(chǎn)進(jìn)行識別，并對對資產(chǎn)進(jìn)行識別，并對資產(chǎn)價值進(jìn)行賦值資產(chǎn)價值進(jìn)行賦值 對威脅進(jìn)行識別，描述對威脅進(jìn)行識別，描述威脅的屬性，并對威脅威脅的屬性，并對威脅出現(xiàn)的頻率賦值出現(xiàn)的頻率賦值對資產(chǎn)的脆弱性進(jìn)行識對資產(chǎn)的脆弱性進(jìn)行識別，并對具體資產(chǎn)的脆別，并對具體資產(chǎn)的脆弱性的嚴(yán)重程度賦值弱性的嚴(yán)重程度賦值根據(jù)威脅及威脅利用弱根據(jù)威脅及威脅利用弱點的難易程度判斷安全點的難易程度判斷安全事件發(fā)生的可能性事件發(fā)生的可能性根據(jù)脆弱性的嚴(yán)重程度及根據(jù)脆弱性的嚴(yán)重程度及安全事件所作用資產(chǎn)的價安全事件所作用資產(chǎn)的價值計算安全事件的損失值計算安全事件的損失計算安全事件一旦發(fā)計算安全事件一旦

18、發(fā)生，對組織的影響，生，對組織的影響，即風(fēng)險值即風(fēng)險值風(fēng)險描述風(fēng)險描述n風(fēng)險可以描述成關(guān)于風(fēng)險可以描述成關(guān)于威脅發(fā)生概率威脅發(fā)生概率和發(fā)生時的和發(fā)生時的破壞程度破壞程度的的函數(shù)，用數(shù)學(xué)符號描述如下：函數(shù)，用數(shù)學(xué)符號描述如下：n由于某組織部門可能存在很多資產(chǎn)和相應(yīng)的脆弱性，故該由于某組織部門可能存在很多資產(chǎn)和相應(yīng)的脆弱性，故該組織的資產(chǎn)總風(fēng)險組織的資產(chǎn)總風(fēng)險可以描述如下：可以描述如下：n上述關(guān)于風(fēng)險的數(shù)學(xué)表達(dá)式，只是給出了風(fēng)險評估的概念上述關(guān)于風(fēng)險的數(shù)學(xué)表達(dá)式，只是給出了風(fēng)險評估的概念性描述。性描述。)()(),(iiiiiiTFTPVTAR)()(),(11iniiniiTFTPVTARR總因

19、為存在威脅因為存在威脅Ti而使資而使資產(chǎn)產(chǎn)Ai具有的風(fēng)險，具有的風(fēng)險，Ti為針對資產(chǎn)為針對資產(chǎn)Ai的脆弱的脆弱性性Vi的威脅的威脅威脅威脅Ti發(fā)生的概率發(fā)生的概率威脅威脅Ti發(fā)生時的破發(fā)生時的破壞程度壞程度風(fēng)險評估的任務(wù)風(fēng)險評估的任務(wù)識別組織面臨的各種風(fēng)險，了解總體的安全狀況；識別組織面臨的各種風(fēng)險，了解總體的安全狀況；分析計算風(fēng)險概率，預(yù)估可能帶來的負(fù)面影響；分析計算風(fēng)險概率，預(yù)估可能帶來的負(fù)面影響；評價組織承受風(fēng)險的能力，確定各項安全建設(shè)的優(yōu)先等評價組織承受風(fēng)險的能力，確定各項安全建設(shè)的優(yōu)先等級；級；推薦風(fēng)險控制策略，為安全需求提供依據(jù)。推薦風(fēng)險控制策略，為安全需求提供依據(jù)。n風(fēng)險評估的操

20、作范圍可以是風(fēng)險評估的操作范圍可以是整個組織整個組織，也可以是組織中的，也可以是組織中的某某一部門一部門，或者獨立的信息系統(tǒng)、特定系統(tǒng)組件和服務(wù)等。，或者獨立的信息系統(tǒng)、特定系統(tǒng)組件和服務(wù)等。常見的風(fēng)險評估方法常見的風(fēng)險評估方法n基線評估（基線評估（Baseline Assessment）: 基本風(fēng)險評估基本風(fēng)險評估就是有關(guān)組織根據(jù)其實際情況（所在行業(yè)、業(yè)務(wù)環(huán)境與就是有關(guān)組織根據(jù)其實際情況（所在行業(yè)、業(yè)務(wù)環(huán)境與性質(zhì)等），對信息系統(tǒng)進(jìn)行安全基線檢查（將現(xiàn)有的安性質(zhì)等），對信息系統(tǒng)進(jìn)行安全基線檢查（將現(xiàn)有的安全措施與安全基線規(guī)定的措施進(jìn)行比較，計算之間的差全措施與安全基線規(guī)定的措施進(jìn)行比較，計算之

21、間的差距），得出基本的安全需求，給出風(fēng)險控制方案。距），得出基本的安全需求，給出風(fēng)險控制方案?；€基線：就是在諸多標(biāo)準(zhǔn)規(guī)范中確定的一組安全控制措施：就是在諸多標(biāo)準(zhǔn)規(guī)范中確定的一組安全控制措施或者慣例，這些措施和慣例可以滿足特定環(huán)境下的信息或者慣例，這些措施和慣例可以滿足特定環(huán)境下的信息系統(tǒng)的基本安全需求，使信息系統(tǒng)達(dá)到一定的安全防護(hù)系統(tǒng)的基本安全需求，使信息系統(tǒng)達(dá)到一定的安全防護(hù)水平。水平。選擇安全基線選擇安全基線n基線評估（基線評估（Baseline Assessment）: 基本風(fēng)險評估基本風(fēng)險評估優(yōu)點優(yōu)點：n需要的資源少、周期短、操作簡單，是經(jīng)濟(jì)有效的風(fēng)需要的資源少、周期短、操作簡單，是

22、經(jīng)濟(jì)有效的風(fēng)險評估途徑。險評估途徑。n同樣或類似的控制能被許多信息安全管理體系所采用，同樣或類似的控制能被許多信息安全管理體系所采用，不需要耗費很大的精力。不需要耗費很大的精力。缺點缺點：n基線水準(zhǔn)的高低難以設(shè)定，過高導(dǎo)致資源浪費和限制基線水準(zhǔn)的高低難以設(shè)定，過高導(dǎo)致資源浪費和限制過度，過低可能難以達(dá)到所需的安全要求。過度，過低可能難以達(dá)到所需的安全要求。n管理與安全相關(guān)的變更可能有困難。管理與安全相關(guān)的變更可能有困難。 詳細(xì)評估詳細(xì)評估Detailed Assessmentn指組織對信息資產(chǎn)進(jìn)行指組織對信息資產(chǎn)進(jìn)行詳細(xì)識別和評價詳細(xì)識別和評價，對可能引起風(fēng)險的，對可能引起風(fēng)險的威脅和脆弱性進(jìn)

23、行威脅和脆弱性進(jìn)行充分地評估充分地評估，根據(jù)全面系統(tǒng)的風(fēng)險評估結(jié)，根據(jù)全面系統(tǒng)的風(fēng)險評估結(jié)果來確定安全需求及控制方案。果來確定安全需求及控制方案。具體程序：具體程序：n對資產(chǎn)、威脅和脆弱性進(jìn)行測量與賦值對資產(chǎn)、威脅和脆弱性進(jìn)行測量與賦值n使用適當(dāng)?shù)娘L(fēng)險測量方法完成風(fēng)險計算和測量使用適當(dāng)?shù)娘L(fēng)險測量方法完成風(fēng)險計算和測量優(yōu)點：優(yōu)點：n可以通過詳細(xì)的風(fēng)險評估對信息安全風(fēng)險有較全面的可以通過詳細(xì)的風(fēng)險評估對信息安全風(fēng)險有較全面的認(rèn)識，能夠準(zhǔn)確確定目前的安全水平和安全需求認(rèn)識，能夠準(zhǔn)確確定目前的安全水平和安全需求n可從詳細(xì)的風(fēng)險評估中獲得額外信息，使與組織變革可從詳細(xì)的風(fēng)險評估中獲得額外信息，使與組織變

24、革相關(guān)的安全管理受益相關(guān)的安全管理受益缺點：缺點：非常耗費時間、精力和技術(shù)的過程，組織應(yīng)該仔非常耗費時間、精力和技術(shù)的過程，組織應(yīng)該仔細(xì)設(shè)定待評估的信息資產(chǎn)范圍，以減少工作量。細(xì)設(shè)定待評估的信息資產(chǎn)范圍，以減少工作量。組合評估組合評估 n組合評估要求首先對所有的系統(tǒng)進(jìn)行一次初步的風(fēng)險評估，組合評估要求首先對所有的系統(tǒng)進(jìn)行一次初步的風(fēng)險評估，依據(jù)各信息資產(chǎn)的實際價值和可能面臨的風(fēng)險，劃分出依據(jù)各信息資產(chǎn)的實際價值和可能面臨的風(fēng)險，劃分出不同不同的評估范圍的評估范圍，對于具有較高重要性的資產(chǎn)部分采取，對于具有較高重要性的資產(chǎn)部分采取詳細(xì)風(fēng)險詳細(xì)風(fēng)險評估評估，而其它部分采用，而其它部分采用基線風(fēng)險評

25、估基線風(fēng)險評估。優(yōu)點：優(yōu)點：n將兩種評估的優(yōu)勢結(jié)合起來，既節(jié)省了評估所耗費的將兩種評估的優(yōu)勢結(jié)合起來，既節(jié)省了評估所耗費的資源，又能確保獲得一個全面系統(tǒng)的評估結(jié)果資源，又能確保獲得一個全面系統(tǒng)的評估結(jié)果n組織的資源和資金能夠應(yīng)用到最能發(fā)揮作用的地方，組織的資源和資金能夠應(yīng)用到最能發(fā)揮作用的地方，具有高風(fēng)險的信息系統(tǒng)能夠被優(yōu)先關(guān)注具有高風(fēng)險的信息系統(tǒng)能夠被優(yōu)先關(guān)注缺點缺點：如果初步的高級風(fēng)險評估不夠準(zhǔn)確，可能導(dǎo)致某：如果初步的高級風(fēng)險評估不夠準(zhǔn)確，可能導(dǎo)致某些本需要詳細(xì)評估的系統(tǒng)被忽略。些本需要詳細(xì)評估的系統(tǒng)被忽略。風(fēng)險評估的輸出結(jié)果風(fēng)險評估的輸出結(jié)果n資產(chǎn)識別表資產(chǎn)識別表反映了資產(chǎn)名稱、描述范

26、圍、重要性程度、部門、所屬反映了資產(chǎn)名稱、描述范圍、重要性程度、部門、所屬業(yè)務(wù)流程等業(yè)務(wù)流程等風(fēng)險評估的輸出結(jié)果風(fēng)險評估的輸出結(jié)果n重要資產(chǎn)列表重要資產(chǎn)列表反映了資產(chǎn)名稱、描述范圍、機密性、可用性、完整性反映了資產(chǎn)名稱、描述范圍、機密性、可用性、完整性評分等級、資產(chǎn)與信息安全系數(shù)關(guān)系、所屬業(yè)務(wù)流程評分等級、資產(chǎn)與信息安全系數(shù)關(guān)系、所屬業(yè)務(wù)流程風(fēng)險評估的輸出結(jié)果風(fēng)險評估的輸出結(jié)果n威脅列表威脅列表反映了資產(chǎn)名稱、面臨的威脅類、具體可能的威脅反映了資產(chǎn)名稱、面臨的威脅類、具體可能的威脅n脆弱性識別表脆弱性識別表反映了脆弱性分類、脆弱性詳細(xì)描述、嚴(yán)重程度、與威反映了脆弱性分類、脆弱性詳細(xì)描述、嚴(yán)重程

27、度、與威脅的對應(yīng)關(guān)系、可能影響的資產(chǎn)脅的對應(yīng)關(guān)系、可能影響的資產(chǎn)風(fēng)險評估的輸出結(jié)果風(fēng)險評估的輸出結(jié)果n資產(chǎn)風(fēng)險表資產(chǎn)風(fēng)險表反映了資產(chǎn)名稱、面臨的威脅、可能被威脅利用的脆弱反映了資產(chǎn)名稱、面臨的威脅、可能被威脅利用的脆弱性、威脅發(fā)生的可能性、威脅的影響程度性、威脅發(fā)生的可能性、威脅的影響程度n風(fēng)險處理計劃風(fēng)險處理計劃反映了資產(chǎn)名稱、威脅反映了資產(chǎn)名稱、威脅/薄弱點、風(fēng)險系數(shù)、處理措施、薄弱點、風(fēng)險系數(shù)、處理措施、優(yōu)先處理等級等優(yōu)先處理等級等10.2.2 風(fēng)險控制風(fēng)險控制n風(fēng)險控制是信息安全風(fēng)險管理在風(fēng)險評估完成之后的另一項風(fēng)險控制是信息安全風(fēng)險管理在風(fēng)險評估完成之后的另一項重要工作重要工作n風(fēng)險

28、控制任務(wù)風(fēng)險控制任務(wù)：對風(fēng)險評估結(jié)論及建議中的各項安全措施進(jìn)：對風(fēng)險評估結(jié)論及建議中的各項安全措施進(jìn)行分析評估，確定優(yōu)先級以及具體實施的步驟。行分析評估，確定優(yōu)先級以及具體實施的步驟。n風(fēng)險控制的目標(biāo)風(fēng)險控制的目標(biāo)：是將安全風(fēng)險降低到一個可接受的范圍內(nèi)：是將安全風(fēng)險降低到一個可接受的范圍內(nèi)消除所有風(fēng)險往往是不切實際、近乎不可能的消除所有風(fēng)險往往是不切實際、近乎不可能的安全管理人員有責(zé)任運用安全管理人員有責(zé)任運用最小成本最小成本來實現(xiàn)來實現(xiàn)最合適最合適的控制，的控制，使?jié)撛诎踩L(fēng)險對該組織造成的負(fù)面影響使?jié)撛诎踩L(fēng)險對該組織造成的負(fù)面影響最小化最小化。實施風(fēng)險控制實施風(fēng)險控制中中風(fēng)險確認(rèn)與接收風(fēng)

29、險確認(rèn)與接收n為確保組織的信息安全，殘余風(fēng)險應(yīng)在可接受范圍內(nèi)為確保組織的信息安全，殘余風(fēng)險應(yīng)在可接受范圍內(nèi)風(fēng)險控制手段風(fēng)險控制手段n風(fēng)險承受風(fēng)險承受是指運行的信息系統(tǒng)具有良好的健壯性，是指運行的信息系統(tǒng)具有良好的健壯性，可以接受潛在的風(fēng)險并穩(wěn)定運行，或采取簡單的安可以接受潛在的風(fēng)險并穩(wěn)定運行，或采取簡單的安全措施，就可以把風(fēng)險降低到一個可接受的級別。全措施，就可以把風(fēng)險降低到一個可接受的級別。n風(fēng)險規(guī)避風(fēng)險規(guī)避是指通過消除風(fēng)險出現(xiàn)的必要條件（如識是指通過消除風(fēng)險出現(xiàn)的必要條件（如識別出風(fēng)險后，放棄系統(tǒng)某項功能或關(guān)閉系統(tǒng)）來規(guī)別出風(fēng)險后，放棄系統(tǒng)某項功能或關(guān)閉系統(tǒng)）來規(guī)避風(fēng)險。避風(fēng)險。n風(fēng)險轉(zhuǎn)移

30、風(fēng)險轉(zhuǎn)移是指通過使用其它措施來補償損失，從而是指通過使用其它措施來補償損失，從而轉(zhuǎn)移風(fēng)險，如購買保險等。轉(zhuǎn)移風(fēng)險，如購買保險等。安全風(fēng)險系統(tǒng)判斷過程安全風(fēng)險系統(tǒng)判斷過程風(fēng)險控制具體做法風(fēng)險控制具體做法n當(dāng)存在系統(tǒng)脆弱性時，當(dāng)存在系統(tǒng)脆弱性時，減少或修補系統(tǒng)脆弱性減少或修補系統(tǒng)脆弱性，降低脆弱，降低脆弱性被攻擊利用的可能性；性被攻擊利用的可能性；n當(dāng)系統(tǒng)脆弱性可利用時，運用層次化保護(hù)、結(jié)構(gòu)化設(shè)計以當(dāng)系統(tǒng)脆弱性可利用時，運用層次化保護(hù)、結(jié)構(gòu)化設(shè)計以及管理控制等手段，及管理控制等手段，防止脆弱性被利用或降低被利用后的防止脆弱性被利用或降低被利用后的危害程度危害程度；n當(dāng)攻擊成本小于攻擊可能的獲利時，

31、運用保護(hù)措施，通過當(dāng)攻擊成本小于攻擊可能的獲利時，運用保護(hù)措施，通過提高攻擊者成本提高攻擊者成本來降低攻擊者的攻擊動機，如加強訪問控來降低攻擊者的攻擊動機，如加強訪問控制，限制系統(tǒng)用戶的訪問對象和行為，降低攻擊獲利；制，限制系統(tǒng)用戶的訪問對象和行為，降低攻擊獲利；n當(dāng)風(fēng)險預(yù)期損失較大時，優(yōu)化系統(tǒng)設(shè)計、加強容錯容災(zāi)以當(dāng)風(fēng)險預(yù)期損失較大時，優(yōu)化系統(tǒng)設(shè)計、加強容錯容災(zāi)以及運用非技術(shù)類保護(hù)措施來限制攻擊的范圍，從而及運用非技術(shù)類保護(hù)措施來限制攻擊的范圍，從而將風(fēng)險將風(fēng)險降低到可接受范圍降低到可接受范圍。具體的風(fēng)險控制措施具體的風(fēng)險控制措施類別措施屬性技術(shù)類技術(shù)類身份認(rèn)證技術(shù)身份認(rèn)證技術(shù)加密技術(shù)加密技術(shù)

32、防火墻技術(shù)防火墻技術(shù)入侵檢測技術(shù)入侵檢測技術(shù)系統(tǒng)審計系統(tǒng)審計蜜罐、蜜網(wǎng)技術(shù)蜜罐、蜜網(wǎng)技術(shù)預(yù)防性預(yù)防性預(yù)防性預(yù)防性預(yù)防性預(yù)防性檢查性檢查性檢查性檢查性糾正性糾正性運營類運營類物理訪問控制，如重要設(shè)備使用授權(quán)等；物理訪問控制，如重要設(shè)備使用授權(quán)等；容災(zāi)、容侵，如系統(tǒng)備份、數(shù)據(jù)備份等；容災(zāi)、容侵，如系統(tǒng)備份、數(shù)據(jù)備份等；物理安全檢測技術(shù)，防盜技術(shù)、防火技術(shù)等；物理安全檢測技術(shù)，防盜技術(shù)、防火技術(shù)等；預(yù)防性預(yù)防性預(yù)防性預(yù)防性檢查性檢查性管理類管理類責(zé)任分配責(zé)任分配權(quán)限管理權(quán)限管理安全培訓(xùn)安全培訓(xùn)人員控制人員控制定期安全審計定期安全審計預(yù)防性預(yù)防性預(yù)防性預(yù)防性預(yù)防性預(yù)防性預(yù)防性預(yù)防性檢查性檢查性以計算機

33、及網(wǎng)絡(luò)技術(shù)為基以計算機及網(wǎng)絡(luò)技術(shù)為基礎(chǔ)的直接消除或降低安全礎(chǔ)的直接消除或降低安全風(fēng)險水平的控制措施風(fēng)險水平的控制措施以設(shè)備管理、容災(zāi)容侵以設(shè)備管理、容災(zāi)容侵和物理安全為核心的控和物理安全為核心的控制措施制措施以人員管理為核心以人員管理為核心的控制措施的控制措施風(fēng)險控制實施流程風(fēng)險控制實施流程 NIST SP800系列標(biāo)準(zhǔn)系列標(biāo)準(zhǔn)n第一步第一步 對實施控制措施的優(yōu)先級進(jìn)行排序?qū)嵤┛刂拼胧┑膬?yōu)先級進(jìn)行排序，分配資源時，分配資源時，對標(biāo)有不可接受的高等級的風(fēng)險項應(yīng)該給予較高的優(yōu)先級；對標(biāo)有不可接受的高等級的風(fēng)險項應(yīng)該給予較高的優(yōu)先級；n第二步第二步 評估所建議的安全選項評估所建議的安全選項，風(fēng)險評

34、估結(jié)論中建議的，風(fēng)險評估結(jié)論中建議的控制措施對于具體的單位及其信息系統(tǒng)可能不是最適合或控制措施對于具體的單位及其信息系統(tǒng)可能不是最適合或最可行的，因此要對所建議的控制措施的可行性和有效性最可行的，因此要對所建議的控制措施的可行性和有效性進(jìn)行分析，選擇出最適當(dāng)?shù)目刂拼胧?；進(jìn)行分析，選擇出最適當(dāng)?shù)目刂拼胧?；n第三步第三步 進(jìn)行成本效益分析進(jìn)行成本效益分析，為決策管理層提供風(fēng)險控制，為決策管理層提供風(fēng)險控制措施的成本效益分析報告；措施的成本效益分析報告；n第四步第四步 在成本效益分析的基礎(chǔ)上，在成本效益分析的基礎(chǔ)上，確定即將實施確定即將實施的成本的成本有效性最好的有效性最好的安全措施安全措施；n第五

35、步第五步 遴選出遴選出那些擁有合適的專長和技能，可實現(xiàn)所選那些擁有合適的專長和技能，可實現(xiàn)所選控制措施的控制措施的人員人員（內(nèi)部人員或外部合同商），并賦以相應(yīng)（內(nèi)部人員或外部合同商），并賦以相應(yīng)責(zé)任；責(zé)任；n第六步第六步 制定控制措施的實現(xiàn)計劃制定控制措施的實現(xiàn)計劃，計劃內(nèi)容主要包括風(fēng)，計劃內(nèi)容主要包括風(fēng)險評估報告給出的風(fēng)險、風(fēng)險級別以及所建議的安全措施，險評估報告給出的風(fēng)險、風(fēng)險級別以及所建議的安全措施，實施控制的優(yōu)先級隊列、預(yù)期安全控制列表、實現(xiàn)預(yù)期安實施控制的優(yōu)先級隊列、預(yù)期安全控制列表、實現(xiàn)預(yù)期安全控制時所需的資源、負(fù)責(zé)人員清單、開始日期、完成日全控制時所需的資源、負(fù)責(zé)人員清單、開始日

36、期、完成日期以及維護(hù)要求等；期以及維護(hù)要求等；n第七步第七步 分析計算出殘余風(fēng)險分析計算出殘余風(fēng)險，風(fēng)險控制可以降低風(fēng)險級，風(fēng)險控制可以降低風(fēng)險級別，但不會根除風(fēng)險，因此安全措施實施后仍然存在的殘別，但不會根除風(fēng)險，因此安全措施實施后仍然存在的殘余風(fēng)險。余風(fēng)險。風(fēng)險控制實施流程風(fēng)險控制實施流程 NIST SP800系列標(biāo)準(zhǔn)系列標(biāo)準(zhǔn)10.3 信息安全標(biāo)準(zhǔn)信息安全標(biāo)準(zhǔn)n互操作、技術(shù)與工程、信息安全管理與控制三類標(biāo)準(zhǔn)互操作、技術(shù)與工程、信息安全管理與控制三類標(biāo)準(zhǔn)技術(shù)與工程標(biāo)準(zhǔn)技術(shù)與工程標(biāo)準(zhǔn)最多也最詳細(xì)，它們有效地推動了信息安最多也最詳細(xì)，它們有效地推動了信息安全產(chǎn)品的開發(fā)及國際化，如全產(chǎn)品的開發(fā)及國

37、際化，如CCCC、SSE-CMMSSE-CMM等標(biāo)準(zhǔn)。等標(biāo)準(zhǔn)?；ゲ僮鳂?biāo)準(zhǔn)互操作標(biāo)準(zhǔn)多數(shù)為所謂的多數(shù)為所謂的“事實標(biāo)準(zhǔn)事實標(biāo)準(zhǔn)”，這些標(biāo)準(zhǔn)對信息，這些標(biāo)準(zhǔn)對信息安全領(lǐng)域的發(fā)展同樣做出了巨大的貢獻(xiàn)，如安全領(lǐng)域的發(fā)展同樣做出了巨大的貢獻(xiàn)，如RSARSA、DESDES、CVECVE等標(biāo)準(zhǔn)。等標(biāo)準(zhǔn)。信息安全管理與控制標(biāo)準(zhǔn)的信息安全管理與控制標(biāo)準(zhǔn)的意義意義在于可以更具體有效地在于可以更具體有效地指指導(dǎo)信息安全具體實踐導(dǎo)信息安全具體實踐，其中，其中BS 7799BS 7799就是這類標(biāo)準(zhǔn)的代表，就是這類標(biāo)準(zhǔn)的代表，其卓越成績也已得到業(yè)界共識。其卓越成績也已得到業(yè)界共識。10.3.2信息安全產(chǎn)品標(biāo)準(zhǔn)信息安全產(chǎn)

38、品標(biāo)準(zhǔn)CCnCC標(biāo)準(zhǔn)是標(biāo)準(zhǔn)是信息技術(shù)安全性通用評估標(biāo)準(zhǔn)信息技術(shù)安全性通用評估標(biāo)準(zhǔn)的簡稱，在美的簡稱，在美國和歐洲等推出的測評準(zhǔn)則上發(fā)展起來的。國和歐洲等推出的測評準(zhǔn)則上發(fā)展起來的。CC文檔結(jié)構(gòu)文檔結(jié)構(gòu)nCC標(biāo)準(zhǔn)提倡標(biāo)準(zhǔn)提倡安全工程安全工程的思想，通過信息安全產(chǎn)品的的思想，通過信息安全產(chǎn)品的開發(fā)、開發(fā)、評價、使用評價、使用全過程的各個環(huán)節(jié)的綜合考慮來全過程的各個環(huán)節(jié)的綜合考慮來確保產(chǎn)品的安確保產(chǎn)品的安全性全性。第第1 1部分部分“簡介和一般模型簡介和一般模型”，介紹，介紹CCCC中的有關(guān)術(shù)語、中的有關(guān)術(shù)語、基本概念和一般模型以及與評估有關(guān)的一些框架，附錄基本概念和一般模型以及與評估有關(guān)的一些框架

39、，附錄部分主要介紹部分主要介紹“保護(hù)輪廓保護(hù)輪廓”和和“安全目標(biāo)安全目標(biāo)”的基本內(nèi)容；的基本內(nèi)容；第第2 2部分部分“安全功能要求安全功能要求”，這部分以，這部分以“類、子類、組類、子類、組件件”的方式提出安全功能要求，對每一個的方式提出安全功能要求，對每一個“類類”的具體的具體描述除正文之外，在提示性附錄中還有進(jìn)一步的解釋；描述除正文之外，在提示性附錄中還有進(jìn)一步的解釋；第第3 3部分部分“安全保證要求安全保證要求”，定義了評估保證級別，介，定義了評估保證級別，介紹了紹了“保護(hù)輪廓保護(hù)輪廓”和和“安全目標(biāo)安全目標(biāo)”的評估，并同樣的評估，并同樣以以“類、子類、組件類、子類、組件”的方式提出安全

40、保證要求。的方式提出安全保證要求。CC標(biāo)準(zhǔn)的內(nèi)容標(biāo)準(zhǔn)的內(nèi)容n安全需求的定義安全需求的定義CCCC標(biāo)準(zhǔn)對安全需求的表示形式標(biāo)準(zhǔn)對安全需求的表示形式給出了一套定義方法，并將安給出了一套定義方法，并將安全需求分成產(chǎn)品安全功能方面全需求分成產(chǎn)品安全功能方面的需求和安全保證措施方面的的需求和安全保證措施方面的需求兩個獨立的范疇來定義。需求兩個獨立的范疇來定義。在在CCCC標(biāo)準(zhǔn)中，標(biāo)準(zhǔn)中，安全需求以類、安全需求以類、族、組件的形式進(jìn)行定義族、組件的形式進(jìn)行定義，這，這給出了對安全需求進(jìn)行分組歸給出了對安全需求進(jìn)行分組歸類的方法。對全部安全需求進(jìn)類的方法。對全部安全需求進(jìn)行分析，根據(jù)不同的側(cè)重點，行分析，根

41、據(jù)不同的側(cè)重點，劃分成若干大組，每個大組就劃分成若干大組，每個大組就稱為一個類；稱為一個類；安全功能需求類（共11項）安全保證需求類（共7項）安全審計類通信類加密支持類用戶數(shù)據(jù)保護(hù)類身份識別與認(rèn)證類安全管理類隱私類安全功能件保護(hù)類資源使用類安全產(chǎn)品訪問類可信路徑/通道類。構(gòu)造管理類發(fā)行與使用類開發(fā)類指南文檔類生命周期支持類測試類脆弱性評估類需求定義的用法需求定義的用法n安全需求定義中的安全需求定義中的“類、族、組件類、族、組件”體現(xiàn)的是分類方法，體現(xiàn)的是分類方法，安全需求由組件體現(xiàn)，選擇需求組件等同選擇安全需求。安全需求由組件體現(xiàn)，選擇需求組件等同選擇安全需求。nCC標(biāo)準(zhǔn)定義了三種類型的組織結(jié)

42、構(gòu)用于描述產(chǎn)品安全需求標(biāo)準(zhǔn)定義了三種類型的組織結(jié)構(gòu)用于描述產(chǎn)品安全需求安全組件包安全組件包：把多個安全需求組件組合在一起所得到的：把多個安全需求組件組合在一起所得到的組件集合。組件集合。保護(hù)輪廓定義保護(hù)輪廓定義是一份安全需求說明書，是針對某一類安是一份安全需求說明書，是針對某一類安全環(huán)境確立相應(yīng)的安全目標(biāo)，進(jìn)而定義為實現(xiàn)這些安全全環(huán)境確立相應(yīng)的安全目標(biāo)，進(jìn)而定義為實現(xiàn)這些安全目標(biāo)所需要的安全需求。目標(biāo)所需要的安全需求。安全對象定義安全對象定義是一份安全需求與概要設(shè)計說明書，不同是一份安全需求與概要設(shè)計說明書，不同的是安全對象定義的安全需求是為某一特定的安全產(chǎn)品的是安全對象定義的安全需求是為某一

43、特定的安全產(chǎn)品而定義的，具體的安全需求可通過引用一個或多個保護(hù)而定義的，具體的安全需求可通過引用一個或多個保護(hù)輪廓定義來定義，也可從頭定義。輪廓定義來定義，也可從頭定義。安全產(chǎn)品的開發(fā)安全產(chǎn)品的開發(fā)nCC標(biāo)準(zhǔn)體現(xiàn)了軟件工程與安全工程相結(jié)合思想。標(biāo)準(zhǔn)體現(xiàn)了軟件工程與安全工程相結(jié)合思想。n信息安全產(chǎn)品信息安全產(chǎn)品必須按照必須按照軟件工程和安全工程軟件工程和安全工程的方法進(jìn)行開發(fā)的方法進(jìn)行開發(fā)才能較好地才能較好地獲得獲得預(yù)期的預(yù)期的安全可信度安全可信度。n安全產(chǎn)品從需求分析到產(chǎn)品的最終實現(xiàn)，整個開發(fā)過程可依安全產(chǎn)品從需求分析到產(chǎn)品的最終實現(xiàn)，整個開發(fā)過程可依次分為應(yīng)用環(huán)境分析、明確產(chǎn)品安全環(huán)境、確立

44、安全目標(biāo)、次分為應(yīng)用環(huán)境分析、明確產(chǎn)品安全環(huán)境、確立安全目標(biāo)、形成產(chǎn)品安全需求、安全產(chǎn)品概要設(shè)計、安全產(chǎn)品實現(xiàn)等幾形成產(chǎn)品安全需求、安全產(chǎn)品概要設(shè)計、安全產(chǎn)品實現(xiàn)等幾個階段。個階段。n各個階段順序進(jìn)行，前一個階段的工作結(jié)果是后一個階段的各個階段順序進(jìn)行，前一個階段的工作結(jié)果是后一個階段的工作基礎(chǔ)。有時前面階段的工作也需要根據(jù)后面階段工作的工作基礎(chǔ)。有時前面階段的工作也需要根據(jù)后面階段工作的反饋內(nèi)容進(jìn)行完善拓展，形成循環(huán)往復(fù)的過程。反饋內(nèi)容進(jìn)行完善拓展，形成循環(huán)往復(fù)的過程。n開發(fā)出來的產(chǎn)品經(jīng)過安全性評價和可用性鑒定后，再投人實開發(fā)出來的產(chǎn)品經(jīng)過安全性評價和可用性鑒定后，再投人實際使用。際使用。產(chǎn)

45、品安全性評價產(chǎn)品安全性評價nCC標(biāo)準(zhǔn)在評價安全產(chǎn)品時，把待評價的安全產(chǎn)品及其相關(guān)指標(biāo)準(zhǔn)在評價安全產(chǎn)品時，把待評價的安全產(chǎn)品及其相關(guān)指南文檔資料作為評價對象。南文檔資料作為評價對象。n定義了三種評價類型，分別為定義了三種評價類型，分別為安全功能需求評價安全功能需求評價、安全保證安全保證需求評價需求評價和和安全產(chǎn)品評價安全產(chǎn)品評價第一項評價的目的是證明安全功能需求是完全的、一致的第一項評價的目的是證明安全功能需求是完全的、一致的和技術(shù)良好的，能用作可評價的安全產(chǎn)品的需求表示；和技術(shù)良好的，能用作可評價的安全產(chǎn)品的需求表示；第二項評價的目的是證明安全保證需求是完全的、一致的第二項評價的目的是證明安全

46、保證需求是完全的、一致的和技術(shù)良好的，可作為相應(yīng)安全產(chǎn)品評價的基礎(chǔ)，如果安和技術(shù)良好的，可作為相應(yīng)安全產(chǎn)品評價的基礎(chǔ)，如果安全保證需求中含有安全功能需求一致性的聲明，還要證明全保證需求中含有安全功能需求一致性的聲明，還要證明安全保證需求能完全滿足安全功能需求。安全保證需求能完全滿足安全功能需求。最后一項安全產(chǎn)品評價的目的是要證明被評價的安全產(chǎn)品最后一項安全產(chǎn)品評價的目的是要證明被評價的安全產(chǎn)品能夠滿足安全保證的安全需求。能夠滿足安全保證的安全需求。10.3.3信息安全管理體系標(biāo)準(zhǔn)信息安全管理體系標(biāo)準(zhǔn)BS7799nBS7799是英國標(biāo)準(zhǔn)協(xié)會（是英國標(biāo)準(zhǔn)協(xié)會（British Standards I

47、nstitute，BSI）針對信息安全管理而制定的一個標(biāo)準(zhǔn)，共分為兩個）針對信息安全管理而制定的一個標(biāo)準(zhǔn)，共分為兩個部分。部分。第一部分第一部分BS7799-1BS7799-1是是信息安全管理實施細(xì)則信息安全管理實施細(xì)則，也，也就是國際標(biāo)準(zhǔn)化組織的就是國際標(biāo)準(zhǔn)化組織的ISO/IEC 17799ISO/IEC 17799標(biāo)準(zhǔn)的部分，主標(biāo)準(zhǔn)的部分，主要要提供給負(fù)責(zé)信息安全系統(tǒng)開發(fā)的人員參考使用提供給負(fù)責(zé)信息安全系統(tǒng)開發(fā)的人員參考使用，其，其中分中分1111個標(biāo)題，定義了個標(biāo)題，定義了133133項安全控制（最佳慣例）。項安全控制（最佳慣例）。第二部分第二部分BS7799-2BS7799-2是是信息

48、安全管理體系規(guī)范信息安全管理體系規(guī)范（即（即ISO/IEC 27001ISO/IEC 27001），其中詳細(xì)說明了建立、實施和維護(hù)），其中詳細(xì)說明了建立、實施和維護(hù)信息安全管理體系的要求，信息安全管理體系的要求，可用來指導(dǎo)相關(guān)人員去應(yīng)可用來指導(dǎo)相關(guān)人員去應(yīng)用用ISO/IEC 17799ISO/IEC 17799，其最終目的是建立適合企業(yè)所需的，其最終目的是建立適合企業(yè)所需的信息安全管理體系信息安全管理體系。信息安全管理實施細(xì)則信息安全管理實施細(xì)則-11個方面定義個方面定義n在在BS 7799-1信息安全管理實施細(xì)則信息安全管理實施細(xì)則中，從中，從11個方面定義了個方面定義了133項控制措施，項

49、控制措施，n這這11個方面分別是：個方面分別是： 安全策略安全策略組織信息安全組織信息安全資產(chǎn)管理資產(chǎn)管理人力資源安全人力資源安全 物理和環(huán)境安全物理和環(huán)境安全 通信和操作管理通信和操作管理 訪問控制訪問控制 信息系統(tǒng)獲取、開發(fā)和信息系統(tǒng)獲取、開發(fā)和維護(hù)維護(hù) 信息安全事件管理信息安全事件管理 業(yè)務(wù)連續(xù)性管理業(yè)務(wù)連續(xù)性管理 符合性符合性建立信息安全管理體系六個基本步驟建立信息安全管理體系六個基本步驟n步驟一、步驟一、定義信息安全策略定義信息安全策略 信息安全策略是組織信息安全的最高信息安全策略是組織信息安全的最高方針，需要根據(jù)組織內(nèi)各個部門的實際情況，分別制訂不同的信息方針，需要根據(jù)組織內(nèi)各個部

50、門的實際情況，分別制訂不同的信息安全策略。安全策略。n步驟二、步驟二、定義定義ISMSISMS的范圍的范圍 ISMSISMS的范圍描述了需要進(jìn)行信息安全管的范圍描述了需要進(jìn)行信息安全管理的領(lǐng)域輪廓，組織根據(jù)自己的實際情況，在整個范圍或個別部門理的領(lǐng)域輪廓，組織根據(jù)自己的實際情況，在整個范圍或個別部門構(gòu)架構(gòu)架ISMSISMS。n步驟三、步驟三、進(jìn)行信息安全風(fēng)險評估進(jìn)行信息安全風(fēng)險評估 信息安全風(fēng)險評估的復(fù)雜程度將信息安全風(fēng)險評估的復(fù)雜程度將取決于風(fēng)險的復(fù)雜程度和受保護(hù)資產(chǎn)的敏感程度，所采用的評估措取決于風(fēng)險的復(fù)雜程度和受保護(hù)資產(chǎn)的敏感程度，所采用的評估措施應(yīng)該與組織對信息資產(chǎn)風(fēng)險的保護(hù)需求相一致

51、。施應(yīng)該與組織對信息資產(chǎn)風(fēng)險的保護(hù)需求相一致。n步驟四、步驟四、信息安全風(fēng)險管理信息安全風(fēng)險管理 根據(jù)風(fēng)險評估的結(jié)果進(jìn)行相應(yīng)的風(fēng)險根據(jù)風(fēng)險評估的結(jié)果進(jìn)行相應(yīng)的風(fēng)險管理。管理。 n步驟五、步驟五、確定控制目標(biāo)和選擇控制措施確定控制目標(biāo)和選擇控制措施 控制目標(biāo)的確定和控制措控制目標(biāo)的確定和控制措施的選擇原則是費用不超過風(fēng)險所造成的損失。施的選擇原則是費用不超過風(fēng)險所造成的損失。n步驟六、步驟六、準(zhǔn)備信息安全適用性聲明準(zhǔn)備信息安全適用性聲明 信息安全適用性聲明紀(jì)錄了組信息安全適用性聲明紀(jì)錄了組織內(nèi)相關(guān)的風(fēng)險控制目標(biāo)和針對每種風(fēng)險所采取的各種控制措施?？梼?nèi)相關(guān)的風(fēng)險控制目標(biāo)和針對每種風(fēng)險所采取的各種控

52、制措施。10.3.4 中國的有關(guān)信息安全標(biāo)準(zhǔn)中國的有關(guān)信息安全標(biāo)準(zhǔn)n1985年發(fā)布了第一個標(biāo)準(zhǔn)年發(fā)布了第一個標(biāo)準(zhǔn)GB4943“信息信息技術(shù)設(shè)備的安全技術(shù)設(shè)備的安全”，并于，并于1994年發(fā)布了第年發(fā)布了第一批信息安全技術(shù)標(biāo)準(zhǔn)。一批信息安全技術(shù)標(biāo)準(zhǔn)。n截止截止2008年年11月，國家共發(fā)布有關(guān)信息月，國家共發(fā)布有關(guān)信息安安全技術(shù)、產(chǎn)品、測評和管理全技術(shù)、產(chǎn)品、測評和管理的國家標(biāo)準(zhǔn)的國家標(biāo)準(zhǔn)69項（不包括密碼與保密標(biāo)準(zhǔn)）。項（不包括密碼與保密標(biāo)準(zhǔn)）。國家信息安全標(biāo)準(zhǔn)體系國家信息安全標(biāo)準(zhǔn)體系GB17895-1999計算機信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則計算機信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則n在我國眾多的信息

53、安全標(biāo)準(zhǔn)中，公安部主持制定、在我國眾多的信息安全標(biāo)準(zhǔn)中，公安部主持制定、國家質(zhì)量技術(shù)監(jiān)督局發(fā)布的中華人民共和國國家國家質(zhì)量技術(shù)監(jiān)督局發(fā)布的中華人民共和國國家標(biāo)準(zhǔn)標(biāo)準(zhǔn)GB17895-1999計算機信息系統(tǒng)安全保護(hù)計算機信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則等級劃分準(zhǔn)則被認(rèn)為我國信息安全標(biāo)準(zhǔn)的奠基被認(rèn)為我國信息安全標(biāo)準(zhǔn)的奠基石。石。n準(zhǔn)則將信息系統(tǒng)安全分為準(zhǔn)則將信息系統(tǒng)安全分為5個等級：個等級：自主保護(hù)級自主保護(hù)級、系統(tǒng)審計保護(hù)級系統(tǒng)審計保護(hù)級、安全標(biāo)記保護(hù)級安全標(biāo)記保護(hù)級、結(jié)構(gòu)化保護(hù)結(jié)構(gòu)化保護(hù)級級和和訪問驗證保護(hù)級訪問驗證保護(hù)級。五個安全等級五個安全等級n第一級第一級 用戶自主保護(hù)級用戶自主保護(hù)級：本級的

54、計算機信息系統(tǒng)可信計算基通：本級的計算機信息系統(tǒng)可信計算基通過隔離用戶與數(shù)據(jù)，使用戶具備自主安全保護(hù)的能力。過隔離用戶與數(shù)據(jù)，使用戶具備自主安全保護(hù)的能力。n第二級第二級 系統(tǒng)審計保護(hù)級：與用戶自主保護(hù)級相比，本級的計算系統(tǒng)審計保護(hù)級：與用戶自主保護(hù)級相比，本級的計算機信息系統(tǒng)可信計算基實施了粒度更細(xì)的自主訪問控制，它通機信息系統(tǒng)可信計算基實施了粒度更細(xì)的自主訪問控制，它通過登錄規(guī)程、審計安全性相關(guān)事件和隔離資源，使用戶對自己過登錄規(guī)程、審計安全性相關(guān)事件和隔離資源，使用戶對自己的行為負(fù)責(zé)。的行為負(fù)責(zé)。n第三級第三級 安全標(biāo)記保護(hù)級安全標(biāo)記保護(hù)級：本級的計算機信息系統(tǒng)可信計算基具：本級的計算機

55、信息系統(tǒng)可信計算基具有系統(tǒng)審計保護(hù)級所有功能。有系統(tǒng)審計保護(hù)級所有功能。n第四級第四級 結(jié)構(gòu)化保護(hù)級結(jié)構(gòu)化保護(hù)級：本級的計算機信息系統(tǒng)可信計算基建立：本級的計算機信息系統(tǒng)可信計算基建立于一個明確定義的形式化安全策略模型之上，它要求將第三級于一個明確定義的形式化安全策略模型之上，它要求將第三級系統(tǒng)中的自主和強制訪問控制擴(kuò)展到所有主體與客體。系統(tǒng)中的自主和強制訪問控制擴(kuò)展到所有主體與客體。n第五級第五級 訪問驗證保護(hù)級訪問驗證保護(hù)級：本級的計算機信息系統(tǒng)可信計算基滿：本級的計算機信息系統(tǒng)可信計算基滿足訪問監(jiān)控器需求。訪問監(jiān)控器仲裁主體對客體的全部訪問。足訪問監(jiān)控器需求。訪問監(jiān)控器仲裁主體對客體的全

56、部訪問。10.4 信息安全法律法規(guī)及道德規(guī)范信息安全法律法規(guī)及道德規(guī)范10.4.1 信息犯罪信息犯罪n信息資源是當(dāng)今社會的重要資產(chǎn)，圍繞信息資源的犯罪已成信息資源是當(dāng)今社會的重要資產(chǎn)，圍繞信息資源的犯罪已成為影響社會安定的重要因素。為影響社會安定的重要因素。n信息犯罪信息犯罪：以信息技術(shù)為犯罪手段，故意實施的有社會危害：以信息技術(shù)為犯罪手段，故意實施的有社會危害性的，依據(jù)法律規(guī)定，應(yīng)當(dāng)予以刑罰處罰的行為。性的，依據(jù)法律規(guī)定，應(yīng)當(dāng)予以刑罰處罰的行為。n目前多數(shù)的信息犯罪均屬于目前多數(shù)的信息犯罪均屬于計算機及網(wǎng)絡(luò)犯罪計算機及網(wǎng)絡(luò)犯罪。n公安部公安部 “所謂計算機犯罪，就是在信息活動領(lǐng)域中，以計算所

57、謂計算機犯罪，就是在信息活動領(lǐng)域中，以計算機信息系統(tǒng)或計算機信息知識作為手段，或者針對計算機信機信息系統(tǒng)或計算機信息知識作為手段，或者針對計算機信息系統(tǒng)，對國家、團(tuán)體或個人造成危害，依據(jù)法律規(guī)定，應(yīng)息系統(tǒng)，對國家、團(tuán)體或個人造成危害，依據(jù)法律規(guī)定，應(yīng)當(dāng)予以刑罰處罰的行為當(dāng)予以刑罰處罰的行為”。n“網(wǎng)絡(luò)犯罪網(wǎng)絡(luò)犯罪就是行為主體以計算機或計算機網(wǎng)絡(luò)為犯罪工具就是行為主體以計算機或計算機網(wǎng)絡(luò)為犯罪工具或攻擊對象，故意實施的危害計算機網(wǎng)絡(luò)安全的，觸犯有關(guān)或攻擊對象，故意實施的危害計算機網(wǎng)絡(luò)安全的，觸犯有關(guān)法律規(guī)范的行為。法律規(guī)范的行為?！毙畔⒎缸锓诸愋畔⒎缸锓诸恘信息犯罪一般可以分為兩類：信息犯罪一般

58、可以分為兩類：n一類是以一類是以信息資源信息資源為侵害對象，另一類是以為侵害對象，另一類是以非信息資源的主非信息資源的主體體為侵害對象。為侵害對象。n以信息資源為犯罪對象的犯罪常見的有：以信息資源為犯罪對象的犯罪常見的有：信息破壞信息破壞 犯罪主體出于某種動機，利用非法手段進(jìn)入未授權(quán)犯罪主體出于某種動機，利用非法手段進(jìn)入未授權(quán)的系統(tǒng)或?qū)λ说男畔①Y源進(jìn)行非法控制，具體行為表現(xiàn)為故的系統(tǒng)或?qū)λ说男畔①Y源進(jìn)行非法控制，具體行為表現(xiàn)為故意利用損壞、刪除、修改、增加、干擾等手段，對信息系統(tǒng)內(nèi)意利用損壞、刪除、修改、增加、干擾等手段，對信息系統(tǒng)內(nèi)部的硬件、軟件以及傳輸?shù)男畔⑦M(jìn)行破壞，從而導(dǎo)致網(wǎng)絡(luò)信息部

59、的硬件、軟件以及傳輸?shù)男畔⑦M(jìn)行破壞，從而導(dǎo)致網(wǎng)絡(luò)信息丟失、篡改、更換等，嚴(yán)重的可引起系統(tǒng)或網(wǎng)絡(luò)的癱瘓。丟失、篡改、更換等，嚴(yán)重的可引起系統(tǒng)或網(wǎng)絡(luò)的癱瘓。信息竊取信息竊取 此類犯罪是指未經(jīng)信息所有者同意，擅自秘密竊取此類犯罪是指未經(jīng)信息所有者同意，擅自秘密竊取或非法使用其信息的犯罪行為?；蚍欠ㄊ褂闷湫畔⒌姆缸镄袨?。信息濫用信息濫用 這類犯罪是指由使用者違規(guī)操作，在信息系統(tǒng)中輸這類犯罪是指由使用者違規(guī)操作，在信息系統(tǒng)中輸入或者傳播非法數(shù)據(jù)信息，毀滅、篡改、取代、涂改數(shù)據(jù)庫中入或者傳播非法數(shù)據(jù)信息，毀滅、篡改、取代、涂改數(shù)據(jù)庫中儲存的信息，給他人造成損害的犯罪行為。儲存的信息，給他人造成損害的犯罪行

60、為。信息犯罪危害性信息犯罪危害性n妨害國家安全和社會穩(wěn)定妨害國家安全和社會穩(wěn)定的信息犯罪的信息犯罪 犯罪主體利用網(wǎng)絡(luò)信息造謠、誹謗或者發(fā)表、傳播有害信息，犯罪主體利用網(wǎng)絡(luò)信息造謠、誹謗或者發(fā)表、傳播有害信息，煽動顛覆國家政權(quán)、推翻社會制度及破壞國家統(tǒng)一等。煽動顛覆國家政權(quán)、推翻社會制度及破壞國家統(tǒng)一等。n妨害社會秩序和市場秩序妨害社會秩序和市場秩序的信息犯罪的信息犯罪 犯罪主體利用信息網(wǎng)絡(luò)從事虛假宣傳、非法經(jīng)營及其它非法犯罪主體利用信息網(wǎng)絡(luò)從事虛假宣傳、非法經(jīng)營及其它非法活動，對社會秩序和正規(guī)的市場秩序造成惡劣影響。例如一活動，對社會秩序和正規(guī)的市場秩序造成惡劣影響。例如一些犯罪分子利用網(wǎng)上購