信息安全保障技術(shù)原理與架構(gòu)體系

1、信息安全保障技術(shù)原理與架構(gòu)體系知識(shí)域：信息安全保障原理知識(shí)子域：信息安全的內(nèi)涵和外延理解信息安全的特征與范疇理解信息安全的地位和作用理解信息安全、信息系統(tǒng)和系統(tǒng)業(yè)務(wù)使命之間的關(guān)系理解信息安全的內(nèi)因：信息系統(tǒng)的復(fù)雜性理解信息安全的外因：人為和環(huán)境的威脅2信息安全特征信息安全是系統(tǒng)的安全信息安全是動(dòng)態(tài)的安全信息安全是無(wú)邊界的安全信息安全是非傳統(tǒng)的安全信息安全的范疇信息技術(shù)問(wèn)題技術(shù)系統(tǒng)的安全問(wèn)題組織管理問(wèn)題人+技術(shù)系統(tǒng)+組織內(nèi)部環(huán)境社會(huì)問(wèn)題法制、輿論國(guó)家安全問(wèn)題信息戰(zhàn)、虛擬空間信息安全的特征與范疇3信息化越重要，信息安全越重要信息網(wǎng)絡(luò)成為經(jīng)濟(jì)繁榮、社會(huì)穩(wěn)定和國(guó)家發(fā)展的基礎(chǔ)信息化深刻影響著全球經(jīng)濟(jì)的整

2、合、國(guó)家戰(zhàn)略的調(diào)整和安全觀念的轉(zhuǎn)變從單純的技術(shù)性問(wèn)題變成事關(guān)國(guó)家安全的全球性問(wèn)題信息安全和信息安全保障適用于所有技術(shù)領(lǐng)域。硬件軟件軍事計(jì)算機(jī)通訊指揮控制和情報(bào)(C4I)系統(tǒng)，制造工藝控制系統(tǒng)，決策支持系統(tǒng)，電子商務(wù)，電子郵件，生物醫(yī)學(xué)系統(tǒng)和智能運(yùn)輸系統(tǒng)(ITS)。信息安全的地位和作用4 措施信息系統(tǒng)保障風(fēng)險(xiǎn)脆弱性威脅使命能力策略 模型信息安全、系統(tǒng)及業(yè)務(wù)關(guān)系5信息: 數(shù)據(jù)/信息流計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)-信息技術(shù)系統(tǒng)執(zhí)行組織機(jī)構(gòu)信息功能的用于采集、創(chuàng)建、通信、計(jì)算、分發(fā)、處理、存儲(chǔ)和/或控制數(shù)據(jù)或信息的計(jì)算機(jī)硬件、軟件和/或固件的任何組合。運(yùn)行環(huán)境:包括人員、管理等系統(tǒng)綜合的一個(gè)整體對(duì)信息系統(tǒng)的理解6I

3、SO/IEC 15408（CC）中保障被定義為：實(shí)體滿足其安全目的的信心基礎(chǔ)（Grounds for confidence that an entity meets its security objectives)。主觀:信心客觀:性質(zhì)（保密性、完整性、可用性）從客觀到主觀:能力與水平對(duì)保障的理解7為什么會(huì)有信息安全問(wèn)題？因?yàn)橛胁《締?？因?yàn)橛泻诳蛦幔恳驗(yàn)橛新┒磫?？這些都是原因，但沒(méi)有說(shuō)到根源8內(nèi)因，信息系統(tǒng)復(fù)雜性過(guò)程復(fù)雜結(jié)構(gòu)復(fù)雜應(yīng)用復(fù)雜外因：人為和環(huán)境威脅與破壞信息安全問(wèn)題產(chǎn)生根源9系統(tǒng)理論：在程序與數(shù)據(jù)上存在“不確定性”設(shè)計(jì)：從設(shè)計(jì)的角度看，在設(shè)計(jì)時(shí)考慮的優(yōu)先級(jí)中安全性相對(duì)于易用性、代碼大小

4、、執(zhí)行程度等因素被放在次要的位置實(shí)現(xiàn)：由于人性的弱點(diǎn)和程序設(shè)計(jì)方法學(xué)的不完善，軟件總是存在BUG。使用、運(yùn)行：人為的無(wú)意失誤、人為的惡意攻擊如：無(wú)意的文件刪除、修改主動(dòng)攻擊：利用病毒、入侵工具實(shí)施的操作被動(dòng)攻擊：監(jiān)聽(tīng)、截包維護(hù)技術(shù)體系中安全設(shè)計(jì)和實(shí)現(xiàn)的不完整。技術(shù)管理或組織管理的不完善，給威脅提供了機(jī)會(huì)。內(nèi)在復(fù)雜-過(guò)程10工作站中存在信息數(shù)據(jù)員工移動(dòng)介質(zhì)網(wǎng)絡(luò)中其他系統(tǒng)網(wǎng)絡(luò)中其他資源訪問(wèn)Internet訪問(wèn)其他局域網(wǎng)到Internet的其他路由電話和調(diào)制解調(diào)器開(kāi)放的網(wǎng)絡(luò)端口遠(yuǎn)程用戶廠商和合同方的訪問(wèn)訪問(wèn)外部資源公共信息服務(wù)運(yùn)行維護(hù)環(huán)境內(nèi)在復(fù)雜-結(jié)構(gòu)11內(nèi)在復(fù)雜-使用12外因人為的威脅13外因自然

5、威脅14知識(shí)域：信息安全保障原理知識(shí)子域：信息安全保障體系理解安全保障需要貫穿系統(tǒng)生命周期理解保密性、可用性和完整性三個(gè)信息安全特征理解策略和風(fēng)險(xiǎn)是安全保障的核心問(wèn)題理解技術(shù)、管理、工程過(guò)程和人員是基本保障要素理解業(yè)務(wù)使命實(shí)現(xiàn)是信息安全保障的根本目的15 信息系統(tǒng)安全保障是在信息系統(tǒng)的整個(gè)生命周期中，通過(guò)對(duì)信息系統(tǒng)的風(fēng)險(xiǎn)分析，制定并執(zhí)行相應(yīng)的安全保障策略，從技術(shù)、管理、工程和人員等方面提出安全保障要求，確保信息系統(tǒng)的保密性、完整性和可用性，降低安全風(fēng)險(xiǎn)到可接受的程度，從而保障系統(tǒng)實(shí)現(xiàn)組織機(jī)構(gòu)的使命。 信息安全保障定義16國(guó)家標(biāo)準(zhǔn)：GB/T 20274.1-2006 信息安全技術(shù) 信息系統(tǒng)安全保

6、障評(píng)估框架 第一部分：簡(jiǎn)介和一般模型 信息系統(tǒng)安全保障模型17信息系統(tǒng)安全保障含義總結(jié)出發(fā)點(diǎn)和核心在信息系統(tǒng)所處的運(yùn)行環(huán)境里，以風(fēng)險(xiǎn)和策略為出發(fā)點(diǎn)，即從信息系統(tǒng)所面臨的風(fēng)險(xiǎn)出發(fā)制定組織機(jī)構(gòu)信息系統(tǒng)安全保障策略，信息系統(tǒng)生命周期通過(guò)在信息系統(tǒng)生命周期中從技術(shù)、管理、工程和人員等方面提出安全保障要求。 18信息系統(tǒng)安全保障含義總結(jié)確保信息的安全特征確保信息的保密性、完整性和可用性特征，從而實(shí)現(xiàn)和貫徹組織機(jī)構(gòu)策略并將風(fēng)險(xiǎn)降低到可接受的程度，保護(hù)資產(chǎn)達(dá)到保護(hù)組織機(jī)構(gòu)信息和信息系統(tǒng)資產(chǎn)最終保障使命從而保障組織機(jī)構(gòu)實(shí)現(xiàn)其使命的最終目的 19信息安全保障體系建設(shè)信息安全技術(shù)體系信息安全管理體系信息安全工程過(guò)

7、程高素質(zhì)的人員隊(duì)伍20裝甲運(yùn)輸車安全保護(hù)的連接真實(shí)世界物理安全傳統(tǒng)的鎖安全攝像頭和保安指紋識(shí)別安全辦公室邊界安全安全監(jiān)視身份識(shí)別安全管理21虛擬世界信息安全I(xiàn)nternet安全保護(hù)的連接邊界安全安全監(jiān)視身份識(shí)別漏洞管理VPN防火墻入侵檢測(cè)和掃描PKI/CA主機(jī)和應(yīng)用系統(tǒng)加固22DMZ? E-Mail? File Transfer? HTTPIntranet信息網(wǎng)絡(luò)業(yè)務(wù)處室行政部門財(cái)務(wù)門人事部路由Internet中繼安 全 隱 患外部/個(gè)體外部/組織內(nèi)部/個(gè)體內(nèi)部/組織關(guān)閉安全維護(hù)“后門”更改缺省的系統(tǒng)口令漏洞掃描補(bǔ)丁管理Modem數(shù)據(jù)文件加密訪問(wèn)控制審計(jì)系統(tǒng)入侵檢測(cè)實(shí)時(shí)監(jiān)控病毒防護(hù)23完善的信

8、息安全技術(shù)體系24有效的信息安全管理體系策略體系風(fēng)險(xiǎn)管理系統(tǒng)測(cè)評(píng)/風(fēng)險(xiǎn)評(píng)估生命周期安全管理對(duì)手，動(dòng)機(jī)和攻擊國(guó)家/業(yè)務(wù)/機(jī)構(gòu)策略，規(guī)范，標(biāo)準(zhǔn)使命要求組織體系建設(shè)業(yè)務(wù)持續(xù)性管理應(yīng)急響應(yīng)管理意識(shí)培訓(xùn)和教育策略標(biāo)準(zhǔn)流程，指導(dǎo)方針&實(shí)踐信息安全保障管理體系建設(shè)25相關(guān)方信息安全需求&期待設(shè)計(jì)和實(shí)施ISMS改進(jìn)ISMSPlan計(jì)劃Do實(shí)施Act改進(jìn)Check檢查開(kāi)發(fā)、維護(hù)&改進(jìn)循環(huán)相關(guān)方管理的信息安全Plan計(jì)劃（建立ISMS環(huán)境）根據(jù)組織機(jī)構(gòu)的整體策略和目標(biāo)，建立同控制風(fēng)險(xiǎn)和改進(jìn)信息安全相關(guān)的安全策略、目的、目標(biāo)、過(guò)程和流程以交付結(jié)果。Do做（設(shè)計(jì)&實(shí)施）實(shí)施和操作策略（過(guò)程和流程）Check檢查（監(jiān)控&審核）通過(guò)策略、目的和實(shí)踐經(jīng)驗(yàn)測(cè)量和評(píng)估過(guò)程執(zhí)行，并將結(jié)果匯報(bào)給決策人。Act行動(dòng)（改進(jìn)）建立糾正和預(yù)防行動(dòng)以進(jìn)一步改進(jìn)過(guò)程的執(zhí)行建立ISMS環(huán)境&風(fēng)險(xiǎn)評(píng)估監(jiān)控&審核ISMS管理體系建設(shè)26科學(xué)的信息安全工程過(guò)程27DISCOVERNEEDSDEFINESYSTEMREQUIREMENTSDESIGNSYSTEMARCHITECTUREDEVELOPDETAILEDDESIGNIMPLEMENTSYSTEM發(fā)掘需求定義系統(tǒng)要求定義系統(tǒng)體系