XXXX版-CISP0401信息安全工程ppt課件

1、信息平安工程 培訓(xùn)機(jī)構(gòu)稱號講師姓名版本：3.0發(fā)布日期：2021-12-1生效日期：2021-1-1課程內(nèi)容信息平安工程根底知識體知識域信息平安工程概述信息平安工程實際根底信息平安工程概念知識子域信息平安工程實施開掘信息維護(hù)需求定義信息系統(tǒng)平安要求設(shè)計系統(tǒng)平安體系構(gòu)造開發(fā)詳細(xì)平安設(shè)計實現(xiàn)系統(tǒng)平安評價信息維護(hù)的有效性支持認(rèn)證和認(rèn)可信息平安工程監(jiān)理信息平安工程監(jiān)理概述信息平安工程監(jiān)理過程課程內(nèi)容3信息平安工程才干評價知識體知識域SSE-CMM概述SSE-CMM的體系構(gòu)造SSE-CMM概念及作用知識子域信息平安工程過程風(fēng)險過程領(lǐng)域工程過程領(lǐng)域保證過程領(lǐng)域方案和跟蹤級充分定義級信息平安工程才干量化控制

2、級繼續(xù)改良級未實施級非正式執(zhí)行級知識域：信息平安工程概述知識域：信息平安工程概述 知識子域：信息平安工程概念了解信息平安工程的重要性和意義了解信息平安工程的根本原那么知識子域：信息平安工程實際根底了解系統(tǒng)工程根本思想了解工程管理根本概念和要素了解質(zhì)量管理根本概念了解“才干成熟度模型根本思想4信息平安工程概述信息平安工程是信息平安保證的重要組成部分，但是卻被廣泛忽視等級維護(hù)技術(shù)、管理傳統(tǒng)風(fēng)險評價資產(chǎn)要挾脆弱性從普通管理者的角度看信息平安情況是“重技術(shù)、輕管理；從普通平安人員看信息平安是“重運用、輕平安；從專業(yè)人員的角度看信息平安的情況是“重要素、輕過程，情況更嚴(yán)重。信息平安工程就是要處理信息系統(tǒng)

3、生命周期的“過程平安問題5信息化建立中的案例A公司開展家用自助刷卡支付業(yè)務(wù)用戶可以經(jīng)過其網(wǎng)站查詢個人付款信息第三方平安測平發(fā)現(xiàn)該網(wǎng)站存在SQL注入破綻，可以泄露用戶買賣信息6信息化建立中的案例續(xù)當(dāng)初外包開發(fā)此網(wǎng)站的公司曾經(jīng)倒閉A公司技術(shù)人員對網(wǎng)站系統(tǒng)開發(fā)情況不了解，沒有才干消除該破綻。公司董事會研討最終決議，為維護(hù)用戶隱私，暫時不再為用戶提供網(wǎng)上買賣信息查詢效力！7需求牢記在心的原那么信息平安工程是信息化建立必要的有機(jī)組成部分信息平安建立必需同信息化建立“同步規(guī)劃、同步實施 “重功能、輕平安，“先建立、后平安都是信息化建立的大忌信息平安工程是信息平安保證任務(wù)中不可或缺的環(huán)節(jié)8支撐信息平安工程的

4、實際根底系統(tǒng)工程思想工程管理方法質(zhì)量管理體系才干成熟度模型9什么是系統(tǒng)工程錢學(xué)森：“系統(tǒng)工程是組織管理系統(tǒng)規(guī)劃、研討、制造、實驗、運用的科學(xué)方法，是一種對一切系統(tǒng)都具有普遍意義的科學(xué)方法系統(tǒng)工程不是根本實際，也不屬于技術(shù)實現(xiàn)，而是一種方法論系統(tǒng)工程不同于普通的工程技術(shù)學(xué)科，如水利工程、機(jī)械工程等“硬工程；系統(tǒng)工程偏重于工程的組織與運營管理一類“軟科學(xué)的研討10系統(tǒng)工程根底霍爾三維構(gòu)造圖系統(tǒng)目的設(shè)計知識維專業(yè)、行業(yè)邏輯維任務(wù)步驟時間維階段、進(jìn)程工程技術(shù)醫(yī)學(xué)社會科學(xué)規(guī)劃方案系統(tǒng)開發(fā)制造安裝運轉(zhuǎn)更新明確問題系統(tǒng)綜合系統(tǒng)分析決策最優(yōu)化實施方案11工程管理所謂工程管理，就是工程的管理者，在有限的資源約束

5、下，運用系統(tǒng)的觀念、方法和實際，對工程涉及的全部任務(wù)進(jìn)展有效地管理。工程管理是系統(tǒng)工程思想針對詳細(xì)工程的實際運用。12質(zhì)量管理根本概念質(zhì)量質(zhì)量指產(chǎn)品或效力，滿足規(guī)定或需求的特征。它既包括有形產(chǎn)品也包括無形產(chǎn)品；既包括產(chǎn)品內(nèi)在的特性、也包括產(chǎn)品外在的特性，即包括了產(chǎn)品的適用性和符合性的全部內(nèi)涵。質(zhì)量控制QC對消費的全部過程加以控制，是面的控制，不是點的控制。為保證產(chǎn)品過程或效力質(zhì)量，必需采取一系列的作業(yè)、技術(shù)、組織、管理等有關(guān)活動，這些都屬于質(zhì)量控制的范疇 質(zhì)量管理QM質(zhì)量管理是指為了實現(xiàn)質(zhì)量目的，而進(jìn)展的一切管理性質(zhì)的活動。 在質(zhì)量方面的指揮和控制活動，通常包括制定質(zhì)量方針和質(zhì)量目的以及質(zhì)量謀

6、劃、質(zhì)量控制、質(zhì)量保證和質(zhì)量改良。13質(zhì)量管理規(guī)范和主要內(nèi)容ISO9000族規(guī)范并不是產(chǎn)品的技術(shù)規(guī)范，而是針對組織的管理構(gòu)造、人員、技術(shù)才干、各項規(guī)章制度、技術(shù)文件和內(nèi)部監(jiān)視機(jī)制等一系列表達(dá)組織保證產(chǎn)品及效力質(zhì)量的管理措施的規(guī)范。 ISO9000族規(guī)范在以下四個方面規(guī)范質(zhì)量管理機(jī)構(gòu)程序過程總結(jié)14才干成熟度模型的概念CMM Capability Maturity Model現(xiàn)代統(tǒng)計過程控制實際闡明經(jīng)過強調(diào)消費過程的高質(zhì)量和在過程中組織實施的成熟性可以低本錢地消費出高質(zhì)量產(chǎn)品；一切勝利企業(yè)的共同特點是都具有一組嚴(yán)厲定義、管理完善、可測可控從而高度有效的業(yè)務(wù)過程；CMM模型抽取了這樣一組好的工程實

7、際并定義了過程的“才干；15才干成熟度模型的運用CMM才干成熟模型SW-CMM軟件才干成熟模型SE-CMM系統(tǒng)工程才干成熟模型SSE-CMM信息系統(tǒng)平安工程才干成熟模型SSAM信息系統(tǒng)平安工程才干成熟性模型評價方法評定軟件工程傳統(tǒng)制造業(yè)平安工程。16知識體：信息平安工程根底知識域：信息平安工程實施知識子域：開掘信息維護(hù)需求了解ISSE的本質(zhì)和普經(jīng)過程了解確定信息維護(hù)需求的重要決議要素及主要任務(wù)內(nèi)容知識子域：定義信息系統(tǒng)平安要求了解定義系統(tǒng)平安背景環(huán)境、定義平安操作概念等定義信息系統(tǒng)平安要求階段的主要信息平安任務(wù)內(nèi)容知識子域：設(shè)計系統(tǒng)平安體系構(gòu)造了解設(shè)計并分析系統(tǒng)平安體系構(gòu)造、向體系構(gòu)造分配平安

8、效力等設(shè)計系統(tǒng)平安體系構(gòu)造階段的主要信息平安任務(wù)內(nèi)容17知識體：信息平安工程根底知識域：信息平安工程實施知識子域：開發(fā)詳細(xì)平安設(shè)計了解進(jìn)展平衡取舍研討、定義系統(tǒng)平安設(shè)計元素等開發(fā)詳細(xì)平安設(shè)計階段的主要信息平安任務(wù)內(nèi)容知識子域：實現(xiàn)系統(tǒng)平安了解支持平安實現(xiàn)和集成、支持測試和評價等實現(xiàn)系統(tǒng)平安階段的主要信息平安任務(wù)內(nèi)容了解平安防護(hù)措施的部署需求符合總體平安需求和設(shè)計方案18知識體：信息平安工程根底知識域：信息平安工程實施知識子域：評價信息維護(hù)的有效性了解前述每一階段應(yīng)實施的評價信息維護(hù)有效性的任務(wù)內(nèi)容知識子域：支持認(rèn)證和認(rèn)可了解認(rèn)證和認(rèn)可是確保工程質(zhì)量和平安性的一種保證機(jī)制了解前述每一階段應(yīng)進(jìn)展的

9、支持認(rèn)證和認(rèn)可的活動19系統(tǒng)工程SE的 普經(jīng)過程20信息系統(tǒng)平安工程ISSE過程21了解ISSE的含義：將系統(tǒng)工程思想運用于信息平安領(lǐng)域，在系統(tǒng)生命周期的各階段充分思索和實施平安措施了解系統(tǒng)生命周期的概念和組成階段：開掘信息維護(hù)需求、確定系統(tǒng)平安要求、設(shè)計系統(tǒng)平安體系構(gòu)造、開展詳細(xì)平安設(shè)計、實施系統(tǒng)平安、評價信息維護(hù)的有效性信息系統(tǒng)平安工程實施過程22信息系統(tǒng)平安工程ISSE開掘信息維護(hù)需求確定系統(tǒng)平安要求設(shè)計系統(tǒng)平安體系構(gòu)造開展詳細(xì)平安設(shè)計評價信息維護(hù)有效性實施系統(tǒng)平安23開掘信息維護(hù)需求本階段主要活動分析組織的使命和業(yè)務(wù)評價信息平安風(fēng)險識別平安效力、平安管理角色、職責(zé)及設(shè)計約束24開掘信息

10、維護(hù)需求開掘信息維護(hù)需求主體25開掘信息維護(hù)需求CSDN5名作案者被拘，同時給予CSDN行政警告處分，這是落實等級維護(hù)制度以來的首例“罰單。按照等保要求建立就會不出問題嗎？26開掘信息維護(hù)需求上述信息系統(tǒng)在政策合規(guī)性方面的要求并不高，但是其平安事件卻產(chǎn)生了較大影響上述事件都是由于沒有有效識別本身業(yè)務(wù)的平安風(fēng)險如個人隱私維護(hù)，沒有提出平安目的、沒有制定平安基線，導(dǎo)致沒有實施本來必要的平安措施而產(chǎn)生的27信息系統(tǒng)平安工程ISSE開掘信息維護(hù)需求確定系統(tǒng)平安要求設(shè)計系統(tǒng)平安體系構(gòu)造開展詳細(xì)平安設(shè)計實施系統(tǒng)平安評價信息維護(hù)有效性28確定系統(tǒng)平安要求本階段主要活動定義系統(tǒng)平安背景環(huán)境定義平安操作概念定義

11、系統(tǒng)平安要求基線29確定系統(tǒng)平安要求明確保證目的。信息平安是信息化的重要組成部分，信息化是業(yè)務(wù)開展的重要組成部分，應(yīng)根據(jù)業(yè)務(wù)目的和信息系統(tǒng)的目的來確定信息平安保證戰(zhàn)略我們保證的目的是：業(yè)務(wù)平安，而不是簡單的IT平安30確定系統(tǒng)平安要求信息系統(tǒng)用途、架構(gòu)等特征對平安風(fēng)險特征的影響任何系統(tǒng)都是有風(fēng)險的同樣一項IT技術(shù)運用在不同的業(yè)務(wù)系統(tǒng)中，其風(fēng)險程度不一定一樣，甚至千差萬別同等的運用系統(tǒng)，采用不同的技術(shù)架構(gòu)，其平安風(fēng)險也是不同的31確定系統(tǒng)平安要求32高風(fēng)險低風(fēng)險網(wǎng)上銀行系統(tǒng)和某公司的內(nèi)部辦公系統(tǒng)，同樣采用Oracle數(shù)據(jù)庫，但是兩個系統(tǒng)面臨的平安風(fēng)險是完全不同的確定系統(tǒng)平安要求同樣部署在省級單位

12、的*系統(tǒng)數(shù)據(jù)庫，在A省采用會聚交換機(jī)，集中管理方式；在B省采用直連中心交換機(jī)，分散管理方式。兩種不同的部署方式，也使得其面臨的風(fēng)險迥異A省B省33確定系統(tǒng)平安要求綜上，從信息平安工程/保證的角度定義或描畫信息系統(tǒng)時，應(yīng)以保證業(yè)務(wù)平安的思想為根底，清楚認(rèn)識業(yè)務(wù)平安風(fēng)險以及為業(yè)務(wù)提供效力/支撐的信息系統(tǒng)的平安風(fēng)險，從而科學(xué)、全面地認(rèn)識信息系統(tǒng)及其平安屬性。34信息系統(tǒng)平安工程ISSE開掘信息維護(hù)需求確定系統(tǒng)平安要求設(shè)計系統(tǒng)平安體系構(gòu)造開展詳細(xì)平安設(shè)計實施系統(tǒng)平安評價信息維護(hù)有效性35設(shè)計系統(tǒng)平安體系構(gòu)造定義與設(shè)計的區(qū)別36設(shè)計系統(tǒng)平安體系構(gòu)造該階段的主要活動設(shè)計并分析系統(tǒng)平安體系構(gòu)造向體系構(gòu)造分配

13、平安效力選擇平安機(jī)制類別37設(shè)計系統(tǒng)平安體系構(gòu)造根據(jù)平安需求有針對性地設(shè)計平安措施是非常必要的平安設(shè)計要根據(jù)平安需求平安設(shè)計要具備可行性和一定的前瞻性到達(dá)風(fēng)險需求設(shè)計的一致性和協(xié)調(diào)性38開展詳細(xì)平安設(shè)計開掘信息維護(hù)需求確定系統(tǒng)平安要求設(shè)計系統(tǒng)平安體系構(gòu)造開展詳細(xì)平安設(shè)計實施系統(tǒng)平安評價信息維護(hù)有效性39開展詳細(xì)平安設(shè)計本階段的主要活動進(jìn)展平衡取舍研討思索優(yōu)先級、本錢、進(jìn)度、性能以及剩余平安風(fēng)險定義系統(tǒng)平安設(shè)計元素向系統(tǒng)平安設(shè)計元素分配平安機(jī)制識別備選的商用或政府所提供的現(xiàn)有平安產(chǎn)品，并識別需求定制的平安產(chǎn)品檢驗并最終確定設(shè)計元素和系統(tǒng)接口，包括內(nèi)部及外部接口制定平安規(guī)范，如編制平安編碼規(guī)范等4

14、0實施系統(tǒng)平安開掘信息維護(hù)需求確定系統(tǒng)平安要求設(shè)計系統(tǒng)平安體系構(gòu)造開展詳細(xì)平安設(shè)計實施系統(tǒng)平安評價信息維護(hù)有效性41實施系統(tǒng)平安該階段的主要活動支持平安實現(xiàn)和集成支持測試與評價支持平安培訓(xùn)42實施信息系統(tǒng)平安工程重點平安工程應(yīng)重點把握：風(fēng)險、需求、設(shè)計、實施的一致性和協(xié)調(diào)性風(fēng)險需求設(shè)計實施43評價信息維護(hù)有效性開掘信息維護(hù)需求確定系統(tǒng)平安要求設(shè)計系統(tǒng)平安體系構(gòu)造開展詳細(xì)平安設(shè)計實施系統(tǒng)平安評價信息維護(hù)有效性44評價信息維護(hù)有效性信息平安任務(wù)需求覆蓋系統(tǒng)全生命周期信息平安任務(wù)不是一勞永逸的，需求在全生命周期予以注重要與風(fēng)險管理、平安保證等思想相結(jié)合，綜合認(rèn)識信息平安問題是覆蓋全生命周期繼續(xù)的風(fēng)險

15、評價和風(fēng)險控制是保證系統(tǒng)平安的必要任務(wù) 繼續(xù)的風(fēng)險評價是信息平安保證的一項根底性任務(wù)繼續(xù)的風(fēng)險評價為新的平安決策和需求提供重要根據(jù)45評價信息維護(hù)有效性貫穿于ISSE整個生命周期46ISSE活動中支持認(rèn)證和認(rèn)可的活動47信息系統(tǒng)平安工程案例48授課教師可以引見信息系統(tǒng)平安工程的實踐案例知識體：信息平安工程根底知識域：信息平安工程監(jiān)理知識子域：信息平安工程監(jiān)理概述了解信息平安工程監(jiān)理任務(wù)的意義了解信息平安工程監(jiān)理的普通模型了解信息平安工程監(jiān)理階段、監(jiān)理管理和控制手段和監(jiān)理支撐要素知識子域：工程招標(biāo)階段監(jiān)理了解工程招標(biāo)階段監(jiān)理的目的、監(jiān)理任務(wù)內(nèi)容和監(jiān)理重點知識子域：工程設(shè)計階段監(jiān)理了解工程設(shè)計階段

16、的監(jiān)理目的、監(jiān)理任務(wù)內(nèi)容和監(jiān)理重點49知識體：信息平安工程根底知識域：信息平安工程監(jiān)理知識子域：工程實施階段監(jiān)理了解工程實施階段監(jiān)理的目的、監(jiān)理任務(wù)內(nèi)容和監(jiān)理重點知識子域：工程驗收階段監(jiān)理了解工程驗收階段的監(jiān)理目的、監(jiān)理任務(wù)內(nèi)容和監(jiān)理重點50信息平安工程監(jiān)理模型 信息平安工程監(jiān)理階段、監(jiān)理管理和控制手段和監(jiān)理支撐要素51招標(biāo)階段各方責(zé)任及目的協(xié)助用戶單位明確信息平安工程需求，確定工程建立目的；促使承建單位編制的信息平安方案符合國家和業(yè)主單位的相關(guān)規(guī)定，滿足需求，合理可行；促運用戶單位、承建單位所簽定合同在技術(shù)、經(jīng)濟(jì)上的合理性。52設(shè)計階段各方責(zé)任及目的加強工程實施方案的合法性、合理性、與平安工

17、程需求和設(shè)計方案的符合性；促使工程方案、設(shè)計方案滿足工程需求，符合相關(guān)的法律、法規(guī)和規(guī)范，并與工程建立合同相符，具有可驗證性；協(xié)助業(yè)主單位、承建單位消除設(shè)計文檔在進(jìn)入工程實施前可預(yù)見的缺陷。53實施階段各方責(zé)任及目的加強工程實施方案的合法性、合理性、與設(shè)計方案的符合性；促使工程中所運用的產(chǎn)品和效力符合承建合同及國家相關(guān)法律、法規(guī)和規(guī)范；明確工程實施方案，對于方案的調(diào)整必需合理、受控；促使工程實施過程滿足承建合同的要求，并與工程設(shè)計方案、工程方案相符。54驗收階段各方責(zé)任及目的明確工程工程測實驗收方案的符合性驗收目的、責(zé)任雙方、驗收提交清單、驗收規(guī)范、驗收方式、驗收環(huán)境等及可行性；促使工程的最終

18、功能和性能符合承建合同、法律、法規(guī)和規(guī)范的要求；推進(jìn)承建單位所提供的工程各階段構(gòu)成的技術(shù)、管理文檔的內(nèi)容和種類符合相關(guān)規(guī)范。 55課程內(nèi)容56信息平安工程才干評價知識體知識域SSE-CMM概述SSE-CMM的體系構(gòu)造SSE-CMM概念及作用知識子域信息平安工程實施風(fēng)險過程領(lǐng)域工程過程領(lǐng)域保證過程領(lǐng)域方案和跟蹤級充分定義級信息平安工程才干量化控制級繼續(xù)改良級未實施級非正式執(zhí)行級知識體：信息平安工程才干評價知識域： SSE-CMM概述知識子域：SSE-CMM概念及作用了解SSE-CMM的概念及作用了解SSE-CMM的適用范圍知識子域：SSE-CMM的體系構(gòu)造了解SSE-CMM的二維體系構(gòu)造了解域維

19、的組織構(gòu)造，了解根本實施、過程區(qū)域、過程類的概念了解才干維的組織構(gòu)造，了解通用實施、公共特征、才干級別的概念57知識體：信息平安工程才干評價知識域：信息平安工程過程知識子域：風(fēng)險過程領(lǐng)域了解風(fēng)險過程領(lǐng)域相關(guān)活動的目的掌握風(fēng)險過程領(lǐng)域的相關(guān)活動和任務(wù)內(nèi)容知識子域：工程過程領(lǐng)域了解工程過程領(lǐng)域相關(guān)活動的目的掌握工程過程領(lǐng)域應(yīng)實施的過程區(qū)域及其根本實施知識子域：保證過程領(lǐng)域了解保證過程領(lǐng)域相關(guān)活動的目的掌握保證過程領(lǐng)域應(yīng)實施的過程區(qū)域及其根本實施58知識體：信息平安工程才干評價知識域：信息平安工程才干知識子域：未實施級了解才干成熟度為未實施級0級的信息平安工程組織和工程過程的含義知識子域：非正式執(zhí)行

20、級了解非正式執(zhí)行級1級的設(shè)計思想掌握才干成熟度到達(dá)1級應(yīng)具有的公共特征知識子域：方案和跟蹤級了解方案和跟蹤級2級的設(shè)計思想掌握才干成熟度到達(dá)2級應(yīng)具有的公共特征59知識體：信息平安工程才干評價知識域：信息平安工程才干(續(xù))知識子域：充分定義級了解充分定義級3級的設(shè)計思想掌握才干成熟度到達(dá)3級應(yīng)具有的公共特征知識子域：量化控制級了解量化控制級4級的設(shè)計思想了解才干成熟度到達(dá)4級應(yīng)具有的公共特征知識子域：繼續(xù)改良級了解繼續(xù)改良級5級的設(shè)計思想了解才干成熟度到達(dá)5級應(yīng)具有的公共特征60平安工程才干成熟度模型的價值SSE-CMM為信息平安工程過程改良建立一個框架模型經(jīng)過SSE-CMM的學(xué)習(xí)了解信息平安

21、工程通常要實施哪些活動？評價和改良這些過程目的是什么？61什么是SSE-CMM系統(tǒng)平安工程才干成熟模型Systems Security Engineering Capability Maturity Model描畫了一個組織的系統(tǒng)平安工程過程必需包含的根本特征這些特征是完善的平安工程保證也是系統(tǒng)平安工程實施的度量規(guī)范還是一個易于了解的評價系統(tǒng)平安工程實施的框架62SSE-CMM的作用協(xié)助獲取組織系統(tǒng)、產(chǎn)品的采購方選擇合格的招標(biāo)者，以一致的規(guī)范對平安工程過程進(jìn)展監(jiān)管提高工程實施質(zhì)量，減少爭議協(xié)助工程組織系統(tǒng)開發(fā)和集成商經(jīng)過可反復(fù)、可預(yù)測的過程減少返工、提高質(zhì)量、降低本錢；改良平安工程實施才干；獲

22、得證明平安工程實施才干的資質(zhì)協(xié)助認(rèn)證評價組織獲得獨立于系統(tǒng)和產(chǎn)品的可重用的過程評價規(guī)范用來確定被評價者將平安工程集成在系統(tǒng)工程之中，并且其系統(tǒng)平安工程是可信的63SSE-CMM覆蓋范圍SSE-CMM涉及到可信產(chǎn)品或者系統(tǒng)整個生命周期的平安工程活動，其中包括概念定義、需求分析、設(shè)計、開發(fā)、集成、安裝、運轉(zhuǎn)、維護(hù)和終止。覆蓋整個組織的活動，包括管理、組織和工程活動等，而不僅僅是系統(tǒng)平安的工程活動；它不是孤立了工程，而是與其它工程并行且相互作用，包括企業(yè)工程、軟件工程、硬件工程、基建工程、人力資源工程、通訊工程、測試工程、系統(tǒng)管理等；與其它組織的相互作用，涉及開發(fā)者、產(chǎn)品供應(yīng)商、集成商、采購者、平安

23、評價組織、資質(zhì)評價認(rèn)證組織、咨詢效力商等；SSE-CMM可運用于一切類型和大小的平安工程機(jī)構(gòu)，如商務(wù)機(jī)構(gòu)、政府機(jī)構(gòu)和學(xué)術(shù)機(jī)構(gòu)。64SSE-CMM開展歷史1993年4月美國國家平安局NSA開場醞量1996年10月出版了SSE-CMM模型的第一個版本，1997年4月出版了評定方法的第一個版本。從1996年6月到1997年6月進(jìn)展許多實驗工程 1999年4月出版了第二版。2002年，ISO/IEC IS 21827目前，SSE-CMM V3.0與其配套的評價方法，SSAM,65SSE-CMM體系構(gòu)造才干維Capability Dimension域維Domain Dimension公共特征2.4跟蹤執(zhí)

24、行PA 05評價脆弱性兩維模型：“域維 由一切定義的平安工程過程區(qū)構(gòu)成?！安鸥删S代表組織實施這一過程的才干。66域維過程類域維Base PracticesBase PracticesBase PracticesBase PracticesBase Practices根本實施Process AreasProcess AreasProcess Areas過程區(qū)BP,Base Practice。域維的最小單位。假設(shè)選擇執(zhí)行其所屬的PA，那么必需執(zhí)行它。共129個PA，Process Area由一些根本實施構(gòu)成，這些BP共同實施以到達(dá)該PA的目的。共22個PA被分為平安工程類、組織管理類和工程管理類

25、。67才干維才干維才干級別GP，Generic Practice 管理、度量和制度方面的活動，可用于決議一切活動的才干程度CF，Common Feature由GP組成的邏輯域由公共特征組成的過程才干程度的級別劃分。0-5共6個級別公共特征通用實際68SSE-CMM才干成熟度評價經(jīng)過設(shè)置這兩個相互依賴的維，SSE-CMM在各個才干級別上覆蓋了整個平安活動范圍。給每個PA賦予一個才干級別評分，所得到的兩維圖形便籠統(tǒng)地反映一個工程組織整體上的系統(tǒng)平安工程才干成熟度，也間接的反映其任務(wù)結(jié)果的質(zhì)量及其平安上的可信度。543210PA01PA02PA03PA04PA05才干級別平安過程區(qū)域69域維-22個

26、PA分成三類系統(tǒng)平安工程涉及到三個過程類工程過程類Engineering組織過程類Organization工程過程類Project工程過程類中包含11個過程區(qū)域，描畫了系統(tǒng)平安工程中實施的與平安直接相關(guān)的活動組織和工程過程類中包含11個過程區(qū)域，并不直接同系統(tǒng)平安相關(guān)，但常與11個工程過程區(qū)域一同用來度量系統(tǒng)平安隊伍的過程才干成熟度70域維-工程類PA核實和確認(rèn)平安Verify and Validate SecurityPA11明確平安需求Specify Security NeedsPA10提供平安輸入Provide Security InputPA09監(jiān)視平安態(tài)勢Monitor Securi

27、ty PosturePA08協(xié)調(diào)平安Coordinate SecurityPA07建立保證論據(jù)Build Assurance Argument)PA06評價脆弱性Assess VulnerabilityPA05評價要挾Assess ThreatPA04評價平安風(fēng)險Assess Security Risk)PA03評價影響Assess ImpactPA02管理平安控制Administer Security ControlsPA01風(fēng)險過程工程過程保證過程71域維-工程類和組織類PA與供應(yīng)商協(xié)調(diào)PA22提供繼續(xù)開展的技藝和知識PA21管理系統(tǒng)工程支持環(huán)境PA20管理產(chǎn)品系列進(jìn)化PA19改良組織的系

28、統(tǒng)工程過程PA18定義組織的系統(tǒng)工程過程PA17方案技術(shù)活動PA16監(jiān)視和控制技術(shù)活動PA15管理工程風(fēng)險PA14管理配置PA13保證質(zhì)量PA12工程過程組織過程72過程類之間的相互關(guān)系保證論據(jù)風(fēng)險信息產(chǎn)品或效力工程過程Engineering保證過程Assurance風(fēng)險過程Risk73風(fēng)險過程PA04：評價要挾要挾信息threat脆弱性信息vulnerability影響信息impact風(fēng)險信息PA05：評價脆弱性PA02：評價影響PA03：評價平安風(fēng)險風(fēng)險就是有害事件發(fā)生的能夠性一個有害事件有三個部分組成：要挾、脆弱性和影響。 74工程過程平安工程與其它科目一樣，它是一個包括概念、設(shè)計、實現(xiàn)

29、、測試、部署、運轉(zhuǎn)、維護(hù)、退出的完好過程。SSE-CMM強調(diào)平安工程是一個大的工程隊伍中的一部分，需求與其它科目工程師的活動相互協(xié)調(diào)。 PA10確定平安需求需求、戰(zhàn)略等配置信息處理方案、指點等風(fēng)險信息PA08監(jiān)控平安態(tài)勢PA07協(xié)調(diào)平安PA01管理平安控制PA09提供平安輸入75PA10：確定平安需求本過程區(qū)域?qū)崿F(xiàn)依賴的7項根本實施了解用戶的平安需求識別適用的法律、政策、規(guī)范和約束識別系統(tǒng)用途，確定系統(tǒng)平安關(guān)聯(lián)性描畫系統(tǒng)運轉(zhuǎn)的平安視圖定義高層的平安目的定義平安需求相關(guān)方對平安需求達(dá)成一致，并獲得系統(tǒng)用戶的認(rèn)可76PA10：確定平安需求普通情況下，用戶最初的平安需求均比較模糊。如：符合*政策要求

30、、提高平安保證程度、抵抗普通攻擊行為等。如“符合信息平安保證才干級別二級的要求，就需求從平安措施和保證才干兩個角度進(jìn)展需求分析，并在平安措施設(shè)計中兼顧技術(shù)、管理、工程三個方面的內(nèi)容。如“抵抗普通性攻擊，不但要分析要挾源、要挾才干、要挾動機(jī)等，還要分析信息系統(tǒng)本身存在的破綻脆弱性情況另：任何需求的分析或提出，都必需建立在明確的系統(tǒng)使命根底之上77PA10：確定平安需求協(xié)助用戶梳理需求是一項重要任務(wù)，必需按照其業(yè)務(wù)特點提出適宜的平安需求。以下做法均不可?。盒枨笸耆坑脩籼子闷渌袠I(yè)需求照搬規(guī)范需求提出過程不能忽略與相關(guān)法律法規(guī)和規(guī)范的符合性問題需求牢記的是：需求分析越細(xì)致，與系統(tǒng)使命聯(lián)絡(luò)越嚴(yán)密，平

31、安工程的根底才越結(jié)實78PA09：提供平安輸入此過程區(qū)域包括以下6項根本實施了解平安輸入需求確定平安約束和需求思索的問題制定平安候選處理方案分析工程可選方案的平安性為工程組提供平安工程指南為運轉(zhuǎn)系統(tǒng)的用戶和管理員提供平安指南79PA01：管理平安控制此過程區(qū)域包括以下4項根本實施建立平安職責(zé)管理平安配置管理平安認(rèn)識、培訓(xùn)和教育管理平安效力和控制機(jī)制80PA01：管理平安控制管理平安控制既是在工程實施過程中要著重把握的環(huán)節(jié)，處理工程實施完好性問題工程部署各個環(huán)節(jié)均要落實到位落實人員和職責(zé)落實技術(shù)產(chǎn)品和技術(shù)措施的配置落實培訓(xùn)落實平穩(wěn)移交操作、維護(hù)、應(yīng)急、文檔等躲避工程實施后，只需承建單位了解系統(tǒng)，

32、業(yè)主單位不熟習(xí)情況的風(fēng)險81PA08：監(jiān)控平安態(tài)勢此過程區(qū)域包括以下7項根本實施分析事件記錄監(jiān)控要挾、脆弱性和影響等方面的變化識別平安事件監(jiān)控平安防護(hù)措施的有效性評審平安態(tài)勢管理平安事件呼應(yīng)維護(hù)平安監(jiān)控得到的記錄數(shù)據(jù)82PA08：監(jiān)控平安態(tài)勢平安工程實施部署后，應(yīng)對系統(tǒng)的運轉(zhuǎn)情況進(jìn)展監(jiān)控，該部分任務(wù)主要在試運轉(zhuǎn)期間完成。監(jiān)控的內(nèi)容應(yīng)包含：新系統(tǒng)能否按照設(shè)計要求，有效降低了風(fēng)險新系統(tǒng)能否對原有系統(tǒng)產(chǎn)生影響，能否引入了新的風(fēng)險分析新系統(tǒng)在功能和性能上的變化趨勢，判別能否需求進(jìn)一步伐整對系統(tǒng)在試運轉(zhuǎn)過程出現(xiàn)的事件進(jìn)展詳細(xì)記錄和分析，并構(gòu)成文檔83PA07：協(xié)調(diào)平安此過程區(qū)域包括以下4項根本實施定義協(xié)

33、調(diào)目的識別協(xié)調(diào)機(jī)制促進(jìn)協(xié)調(diào)協(xié)調(diào)平安決策和建議84PA07：協(xié)調(diào)平安“信息平安人人有責(zé)，特別是在平安工程過程中必需注重工程組織各方的溝通與協(xié)調(diào)任務(wù)，這項任務(wù)作用在“工程過程的全部PA中作為系統(tǒng)承建單位應(yīng)做到：熟習(xí)工程組織各方的角色定好位熟習(xí)業(yè)主單位的組織方式和與信息系統(tǒng)相關(guān)的各部門職責(zé)踩好點協(xié)助業(yè)主單位定義工程組各方職責(zé)提供工程工程溝通協(xié)調(diào)機(jī)制的處理方案工程過程中嚴(yán)厲執(zhí)行溝通協(xié)調(diào)機(jī)制85保證過程證據(jù)證據(jù)保證論據(jù)PA11驗證和證明平安指定平安要求其他多個PAPA06建立保證論據(jù)保證是指平安需求得到滿足的信任程度SSE-CMM的信任程度來自于平安工程過程可反復(fù)性的結(jié)果質(zhì)量。 86PA11：驗證和證明

34、平安此過程區(qū)域包括以下5項BP制定驗證和證明目的和方案制定驗證和證明詳細(xì)方法和嚴(yán)密等級執(zhí)行驗證執(zhí)行證明提供驗證和證明結(jié)果87PA06：建立保證論據(jù)本過程區(qū)域包括以下5項根本實施識別并確定用戶的平安保證目的制定平安保證戰(zhàn)略識別并控制保證證據(jù)分析證據(jù)提供保證論據(jù)88總結(jié)信息平安工程活動系統(tǒng)是干什么用的？系統(tǒng)面臨哪些風(fēng)險？需求到達(dá)怎樣的平安程度？有哪些方法可以到達(dá)這樣的平安程度？我們的總體思緒是什么？我們的詳細(xì)方案是什么？按照方案把平安措施都裝好。保證這些平安措施確實發(fā)揚作用了。發(fā)生平安事件或平安措施運轉(zhuǎn)不正常得及時發(fā)現(xiàn)。大家團(tuán)結(jié)一致，協(xié)調(diào)配合把以上事情做好。過程記錄整理好，證明該干的活都仔細(xì)的完成了。驗收測試證明平安措施的功能、性能都達(dá)標(biāo)了。于是指點稱心了，同志們放心了。89方案執(zhí)行規(guī)范化執(zhí)行跟蹤執(zhí)行驗證執(zhí)行定義規(guī)范過程協(xié)調(diào)平安實施執(zhí)行已定義的過程建立可丈量的質(zhì)量目的客觀地管理過程的執(zhí)行1非正規(guī)執(zhí)行2方案與跟蹤3充分定義4量化控制5延續(xù)改良執(zhí)行根本實施改良組織才干改良過程的有效性才干級別：代表平