信息系統(tǒng)等級(jí)保護(hù)與風(fēng)險(xiǎn)管理課件

第17章信息系統(tǒng)等級(jí)保護(hù)與風(fēng)險(xiǎn)管理李劍北京郵電大學(xué)信息安全中心E-mail:lijian@電話：130－01936882版權(quán)所有，盜版必糾第17章信息系統(tǒng)等級(jí)保護(hù)與風(fēng)險(xiǎn)管理版權(quán)所有，盜版必糾1概況信息安全等級(jí)保護(hù)是指國家通過制定統(tǒng)一的信息安全等級(jí)保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，組織公民、法人和其他組織對(duì)信息系統(tǒng)分等級(jí)實(shí)行安全保護(hù)，對(duì)等級(jí)保護(hù)工作的實(shí)施進(jìn)行監(jiān)督、管理。風(fēng)險(xiǎn)管理是安全管理的重要組成部分。它包括：風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)控制以及根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果對(duì)信息系統(tǒng)的運(yùn)行中的相關(guān)事項(xiàng)做出決策。等級(jí)保護(hù)是基本制度，風(fēng)險(xiǎn)評(píng)估是過程，風(fēng)險(xiǎn)管理是目標(biāo)。版權(quán)所有，盜版必糾概況信息安全等級(jí)保護(hù)是指國家通過制定統(tǒng)一的信息安全等級(jí)保護(hù)管2第17章信息系統(tǒng)等級(jí)保護(hù)與風(fēng)險(xiǎn)管理 17.1信息安全等級(jí)保護(hù) 17.1.1我國信息安全等級(jí)保護(hù) 17.1.2國外信息安全等級(jí)保護(hù) 17.2信息安全風(fēng)險(xiǎn)管理 17.3信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估 17.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述 17.3.2信息安全風(fēng)險(xiǎn)評(píng)估方法思考題 版權(quán)所有，盜版必糾第17章信息系統(tǒng)等級(jí)保護(hù)與風(fēng)險(xiǎn)管理 版權(quán)所有，盜版必糾317.1信息安全等級(jí)保護(hù)信息安全等級(jí)保護(hù)制度是國家在國民經(jīng)濟(jì)和社會(huì)信息化的發(fā)展過程中，提高信息安全保障能力和水平，維護(hù)國家安全、社會(huì)穩(wěn)定和公共利益，保障和促進(jìn)信息化建設(shè)健康發(fā)展的一項(xiàng)基本制度。實(shí)行信息安全等級(jí)保護(hù)制度，能夠充分調(diào)動(dòng)國家、法人和其他組織及公民的積極性，發(fā)揮各方面的作用，達(dá)到有效保護(hù)的目的，增強(qiáng)安全保護(hù)的整體性、針對(duì)性和實(shí)效性，使信息系統(tǒng)安全建設(shè)更加突出重點(diǎn)、統(tǒng)一規(guī)范、科學(xué)合理，對(duì)促進(jìn)我國信息安全的發(fā)展將起到重要推動(dòng)作用。版權(quán)所有，盜版必糾17.1信息安全等級(jí)保護(hù)信息安全等級(jí)保護(hù)制度是國家在國民經(jīng)417.1.1我國信息安全等級(jí)保護(hù)1994年國務(wù)院頒布的《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》規(guī)定，“計(jì)算機(jī)信息系統(tǒng)實(shí)行安全等級(jí)保護(hù)，安全等級(jí)的劃分標(biāo)準(zhǔn)和安全等級(jí)保護(hù)的具體辦法，由公安部會(huì)同有關(guān)部門制定”。1999年9月13日國家發(fā)布《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》。2003年中央辦公廳、國務(wù)院辦公廳轉(zhuǎn)發(fā)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[2003]27號(hào)）明確指出，“要重點(diǎn)保護(hù)基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟(jì)命脈、社會(huì)穩(wěn)定等方面的重要信息系統(tǒng)，抓緊建立信息安全等級(jí)保護(hù)制度，制定信息安全等級(jí)保護(hù)的管理辦法和技術(shù)指南”。2007年6月，公安部、國家保密局、國家密碼管理局、國務(wù)院信息化工作辦公室制定了《信息安全等級(jí)保護(hù)管理辦法》（以下簡稱《管理辦法》），明確了信息安全等級(jí)保護(hù)的具體要求。版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)1994年國務(wù)院頒布的《517.1.1我國信息安全等級(jí)保護(hù)信息安全等級(jí)保護(hù)制度的實(shí)施，必將大大提高我國的信息安全水平，有力保護(hù)我國信息化建設(shè)成果。同時(shí)，我國相關(guān)的信息安全企業(yè)也將得到實(shí)惠。有關(guān)技術(shù)專家分析，國家對(duì)于信息系統(tǒng)以及相關(guān)安全產(chǎn)品進(jìn)行等級(jí)劃分，會(huì)使很多企事業(yè)單位的安全意識(shí)更加增強(qiáng)，有了這樣的認(rèn)識(shí)之后，信息安全廠商的相關(guān)產(chǎn)品才能夠被廣泛了解，安全廠商可以應(yīng)針對(duì)等級(jí)劃分要把自己的產(chǎn)品進(jìn)行有針對(duì)性的調(diào)整，相關(guān)解決方案是否符合當(dāng)前信息系統(tǒng)的安全需求也可以經(jīng)過等級(jí)評(píng)估的檢驗(yàn)。我國的信息系統(tǒng)的安全保護(hù)等級(jí)分為以下五級(jí)：版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)信息安全等級(jí)保護(hù)制度的實(shí)施617.1.1我國信息安全等級(jí)保護(hù)(1)第一級(jí)為自主保護(hù)級(jí)。由用戶來決定如何對(duì)資源進(jìn)行保護(hù)，以及采用何種方式進(jìn)行保護(hù)。本級(jí)別適用于一般的信息系統(tǒng)，其受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益產(chǎn)生損害，但不損害國家安全、社會(huì)秩序和公共利益。(2)第二級(jí)為指導(dǎo)保護(hù)級(jí)。本級(jí)的安全保護(hù)機(jī)制支持用戶具有更強(qiáng)的自主保護(hù)能力。特別是具有訪問審記能力，即它能創(chuàng)建、維護(hù)受保護(hù)對(duì)象的訪問審計(jì)跟蹤記錄，記錄與系統(tǒng)安全相關(guān)事件發(fā)生的日期、時(shí)間、用戶和事件類型等信息，所有和安全相關(guān)的操作都能夠被記錄下來，以便當(dāng)系統(tǒng)發(fā)生安全問題時(shí)，可以根據(jù)審記記錄，分析追查事故責(zé)任人。本級(jí)別適用于一般的信息系統(tǒng)，其受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成輕微損害，但不損害國家安全。(3)第三級(jí)為監(jiān)督保護(hù)級(jí)。具有第二級(jí)系統(tǒng)審計(jì)保護(hù)級(jí)的所有功能，并對(duì)訪問者及其訪問對(duì)象實(shí)施強(qiáng)制訪問控制。通過對(duì)訪問者和訪問對(duì)象指定不同安全標(biāo)記，限制訪問者的權(quán)限。本級(jí)別適用于涉及國家安全、社會(huì)秩序和公共利益的重要信息系統(tǒng)，其受到破壞后，會(huì)對(duì)國家安全、社會(huì)秩序和公共利益造成損害。版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)(1)第一級(jí)為自主保護(hù)級(jí)717.1.1我國信息安全等級(jí)保護(hù)(4)第四級(jí)為強(qiáng)制保護(hù)級(jí)。將前三級(jí)的安全保護(hù)能力擴(kuò)展到所有訪問者和訪問對(duì)象，支持形式化的安全保護(hù)策略。其本身構(gòu)造也是結(jié)構(gòu)化的，以使之具有相當(dāng)?shù)目節(jié)B透能力。本級(jí)的安全保護(hù)機(jī)制能夠使信息系統(tǒng)實(shí)施一種系統(tǒng)化的安全保護(hù)。本級(jí)別適用于涉及國家安全、社會(huì)秩序和公共利益的重要信息系統(tǒng)，其受到破壞后，會(huì)對(duì)國家安全、社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害。(5)第五級(jí)為?？乇Ｗo(hù)級(jí)。具備第四級(jí)的所有功能，還具有仲裁訪問者能否訪問某些對(duì)象的能力。為此，本級(jí)的安全保護(hù)機(jī)制不能被攻擊、被篡改的，具有極強(qiáng)的抗?jié)B透能力。本級(jí)別適用于涉及國家安全、社會(huì)秩序和公共利益的重要信息系統(tǒng)的核心子系統(tǒng)，其受到破壞后，會(huì)對(duì)國家安全、社會(huì)秩序和公共利益造成特別嚴(yán)重?fù)p害。信息系統(tǒng)運(yùn)營、使用單位及個(gè)人依據(jù)“信息安全等級(jí)保護(hù)管理辦法”和相關(guān)技術(shù)標(biāo)準(zhǔn)對(duì)信息系統(tǒng)進(jìn)行保護(hù)，國家有關(guān)信息安全職能部門對(duì)其信息安全等級(jí)保護(hù)工作進(jìn)行監(jiān)督管理版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)(4)第四級(jí)為強(qiáng)制保護(hù)級(jí)817.1.1我國信息安全等級(jí)保護(hù)(1)第一級(jí)信息系統(tǒng)運(yùn)營、使用單位或者個(gè)人可以依據(jù)國家管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。(2)第二級(jí)信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。必要時(shí)，國家有關(guān)信息安全職能部門可以對(duì)其信息安全等級(jí)保護(hù)工作進(jìn)行指導(dǎo)。(3)第三級(jí)信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)，國家有關(guān)信息安全職能部門對(duì)其信息安全等級(jí)保護(hù)工作進(jìn)行監(jiān)督、檢查。(4)第四級(jí)信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)，國家有關(guān)信息安全職能部門對(duì)其信息安全等級(jí)保護(hù)工作進(jìn)行強(qiáng)制監(jiān)督、檢查。(5)第五級(jí)信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)，國家指定的專門部門或者專門機(jī)構(gòu)對(duì)其信息安全等級(jí)保護(hù)工作進(jìn)行專門監(jiān)督、檢查。信息安全等級(jí)保護(hù)的主要內(nèi)容如圖17.1所示，大的方面分為技術(shù)要求和管理要求。技術(shù)要求分為物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全。管理要求又分為安全管理機(jī)構(gòu)、安全管理制度、人員安全管事、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理。版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)(1)第一級(jí)信息系統(tǒng)運(yùn)營917.1.1我國信息安全等級(jí)保護(hù)版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)版權(quán)所有，盜版必糾1017.1.1我國信息安全等級(jí)保護(hù)信息系統(tǒng)等級(jí)保護(hù)實(shí)施生命周期內(nèi)的主要活動(dòng)有四個(gè)階段，包括定級(jí)階段、規(guī)劃設(shè)計(jì)階段、安全實(shí)施/實(shí)現(xiàn)階段、安全運(yùn)行管理階段，如圖所示。版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)信息系統(tǒng)等級(jí)保護(hù)實(shí)施生1117.1.1我國信息安全等級(jí)保護(hù)版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)版權(quán)所有，盜版必糾1217.1.2國外信息安全等級(jí)保護(hù)第一個(gè)有關(guān)信息技術(shù)安全評(píng)價(jià)的標(biāo)準(zhǔn)誕生于八十年代的美國，就是著名的“可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)準(zhǔn)則”（TCSEC,又稱桔皮書）。該準(zhǔn)則對(duì)計(jì)算機(jī)操作系統(tǒng)的安全性規(guī)定了不同的等級(jí).從九十年代開始,一些國家與國際組織相繼提出了新的安全評(píng)價(jià)準(zhǔn)則。1991年，歐共體發(fā)布了“信息技術(shù)安全評(píng)價(jià)準(zhǔn)則”（ITSEC）。1993年,加拿大發(fā)布了“加拿大可信計(jì)算機(jī)產(chǎn)品評(píng)價(jià)準(zhǔn)則”（CTCPEC）,CTCPEC綜合了TCSEC與ITSEC兩個(gè)準(zhǔn)則的優(yōu)點(diǎn)。同年，美國在對(duì)TCSEC進(jìn)行修改補(bǔ)充并吸收ITSEC優(yōu)點(diǎn)的基礎(chǔ)上，發(fā)布了“信息技術(shù)安全評(píng)價(jià)聯(lián)邦準(zhǔn)則”（FC）。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)第一個(gè)有關(guān)信息技術(shù)安全評(píng)價(jià)1317.1.2國外信息安全等級(jí)保護(hù)美國，作為一直走在信息安全前列的大國，近幾年來在信息系統(tǒng)安全方面，突出體現(xiàn)了對(duì)信息系統(tǒng)分類分級(jí)實(shí)施保護(hù)的發(fā)展思路，制定了一系列體系化的標(biāo)準(zhǔn)和指南性文件，并根據(jù)有關(guān)的技術(shù)標(biāo)準(zhǔn)、指南，對(duì)聯(lián)邦政府一些重要的信息系統(tǒng)已實(shí)現(xiàn)了安全分級(jí)，并在整體上體現(xiàn)了分級(jí)保護(hù)、管理的思想。下面主要介紹的“可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)準(zhǔn)則”，即桔皮書。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)美國，作為一直走在信息安全1417.1.2國外信息安全等級(jí)保護(hù)桔皮書是美國國家安全局（NSA）的國家電腦安全中心（NCSC）頒布的官方標(biāo)準(zhǔn)，其正式的名稱為“受信任電腦系統(tǒng)評(píng)價(jià)標(biāo)準(zhǔn)”（TCSEC：TrustedComputerSystemEvaluationCRITERIA）.目前，桔皮書是權(quán)威性的電腦系統(tǒng)安全標(biāo)準(zhǔn)之一，它將一個(gè)電腦系統(tǒng)可接受的信任程度給予分級(jí)，依照安全性從高到低劃分為A，B，C，D四個(gè)等級(jí)，其中這些安全等級(jí)不是線性的，而是指數(shù)級(jí)上升的。桔皮書將計(jì)算機(jī)安全由低到高分為四類七級(jí)：D1、C1、C2、B1、B2、B3、A1。其中D1級(jí)是不具備最低安全限度的等級(jí)，C1和C2級(jí)是具備最低安全限度的等級(jí)，B1和B2級(jí)是具有中等安全保護(hù)能力的等級(jí)，B3和A1屬于最高安全等級(jí)。D1級(jí)：計(jì)算機(jī)安全的最低一級(jí)，不要求用戶進(jìn)行用戶登錄和密碼保護(hù)，任何人都可以使用，整個(gè)系統(tǒng)是不可信任的，硬件軟件都易被侵襲。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)桔皮書是美國國家安全局（N1517.1.2國外信息安全等級(jí)保護(hù)C1級(jí)：自主安全保護(hù)級(jí)，要求硬件有一定的安全級(jí)（如計(jì)算機(jī)帶鎖），用戶必須通過登錄認(rèn)證方可使用系統(tǒng)，并建立了訪問許可權(quán)限機(jī)制。C2級(jí)：受控存取保護(hù)級(jí)，比C1級(jí)增加了幾個(gè)特性：引進(jìn)了受控訪問環(huán)境，進(jìn)一步限制了用戶執(zhí)行某些系統(tǒng)指令；授權(quán)分級(jí)使系統(tǒng)管理員給用戶分組，授予他們?cè)L問某些程序和分級(jí)目錄的權(quán)限；采用系統(tǒng)審計(jì)，跟蹤記錄所有安全事件及系統(tǒng)管理員工作。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)C1級(jí)：自主安全保護(hù)級(jí)，要1617.1.2國外信息安全等級(jí)保護(hù)B1級(jí)：標(biāo)記安全保護(hù)級(jí)，對(duì)網(wǎng)絡(luò)上每個(gè)對(duì)象都予實(shí)施保護(hù)；支持多級(jí)安全，對(duì)網(wǎng)絡(luò)、應(yīng)用程序工作站實(shí)施不同的安全策略；對(duì)象必須在訪問控制之下，不允許擁有者自己改變所屬資源的權(quán)限。B2級(jí)：結(jié)構(gòu)化保護(hù)級(jí)，對(duì)網(wǎng)絡(luò)和計(jì)算機(jī)系統(tǒng)中所有對(duì)象都加以定義，給一個(gè)標(biāo)簽；為工作站、終端等設(shè)備分配不同的安全級(jí)別；按最小特權(quán)原則取消權(quán)力無限大的特權(quán)用戶。B3級(jí)：安全域級(jí)，要求用戶工作站或終端必須通過信任的途徑連接到網(wǎng)絡(luò)系統(tǒng)內(nèi)部的主機(jī)上；采用硬件來保護(hù)系統(tǒng)的數(shù)據(jù)存儲(chǔ)區(qū)；根據(jù)最小特權(quán)原則，增加了系統(tǒng)安全員，將系統(tǒng)管理員、系統(tǒng)操作員和系統(tǒng)安全員的職責(zé)分離，將人為因素對(duì)計(jì)算機(jī)安全的威脅減至最小。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)B1級(jí)：標(biāo)記安全保護(hù)級(jí)，對(duì)1717.1.2國外信息安全等級(jí)保護(hù)A1級(jí)：驗(yàn)證設(shè)計(jì)級(jí)，是計(jì)算機(jī)安全級(jí)中最高一級(jí)，本級(jí)包括了以上各級(jí)別的所有措施，并附加了一個(gè)安全系統(tǒng)的受監(jiān)視設(shè)計(jì)；合格的個(gè)體必須經(jīng)過分析并通過這一設(shè)計(jì)；所有構(gòu)成系統(tǒng)的部件的來源都必須有安全保證；還規(guī)定了將安全計(jì)算機(jī)系統(tǒng)運(yùn)送到現(xiàn)場(chǎng)安裝所必須遵守的程序。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)A1級(jí)：驗(yàn)證設(shè)計(jì)級(jí)，是計(jì)算1817.2信息安全風(fēng)險(xiǎn)管理信息安全風(fēng)險(xiǎn)管理是信息安全管理的重要組成部分，它是信息安全等級(jí)保護(hù)的基礎(chǔ)。1.風(fēng)險(xiǎn)(Risk)風(fēng)險(xiǎn)指在某一特定環(huán)境下，在某一特定時(shí)間段內(nèi)，特定的威脅利用資產(chǎn)的一種或一組薄弱點(diǎn)，導(dǎo)致資產(chǎn)的丟失或損害的潛在可能性，即特定威脅事件發(fā)生的可能性與后果的結(jié)合。ISO27001要求組織通過風(fēng)險(xiǎn)評(píng)估來識(shí)別組織的潛在風(fēng)險(xiǎn)及其大小，并按照風(fēng)險(xiǎn)的大小安排控制措施的優(yōu)先等級(jí)。例如，在使用計(jì)算機(jī)的時(shí)候，如果安裝了360安全衛(wèi)士等安全工具，則有時(shí)會(huì)出現(xiàn)如圖17.3所示的安全風(fēng)險(xiǎn)告警。版權(quán)所有，盜版必糾17.2信息安全風(fēng)險(xiǎn)管理信息安全風(fēng)險(xiǎn)管理是信息安全管理的重1917.2信息安全風(fēng)險(xiǎn)管理版權(quán)所有，盜版必糾17.2信息安全風(fēng)險(xiǎn)管理版權(quán)所有，盜版必糾2017.2信息安全風(fēng)險(xiǎn)管理版權(quán)所有，盜版必糾17.2信息安全風(fēng)險(xiǎn)管理版權(quán)所有，盜版必糾2117.2信息安全風(fēng)險(xiǎn)管理2.風(fēng)險(xiǎn)評(píng)估(RiskAssessment)風(fēng)險(xiǎn)評(píng)估有時(shí)候也稱為風(fēng)險(xiǎn)分析，是組織使用適當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估工具，對(duì)信息和信息處理設(shè)施的威脅(Threat)、影響(Impact)和薄弱點(diǎn)(Vulnerability)及其發(fā)生的可能性的評(píng)估，也就是確認(rèn)安全風(fēng)險(xiǎn)及其大小的過程。風(fēng)險(xiǎn)評(píng)估是信息安全管理的基礎(chǔ)，它為安全管理的后續(xù)工作提供方向和依據(jù)，后續(xù)工作的優(yōu)先等級(jí)和關(guān)注程度都是由信息安全風(fēng)險(xiǎn)決定的，而且安全控制的效果也必須通過對(duì)剩余風(fēng)險(xiǎn)的評(píng)估來衡量。風(fēng)險(xiǎn)評(píng)估是在一定范圍內(nèi)識(shí)別所存在信息安全風(fēng)險(xiǎn)，并確定其大小的過程。風(fēng)險(xiǎn)評(píng)估保證信息安全管理活動(dòng)可以有的放矢，將有限的信息安全預(yù)算應(yīng)用到最需要的地方，風(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)管理的前提。版權(quán)所有，盜版必糾17.2信息安全風(fēng)險(xiǎn)管理2.風(fēng)險(xiǎn)評(píng)估(RiskAss2217.2信息安全風(fēng)險(xiǎn)管理3.風(fēng)險(xiǎn)管理(RiskManagement)風(fēng)險(xiǎn)管理以可接受的費(fèi)用識(shí)別、控制、降低或消除可能影響信息系統(tǒng)的安全風(fēng)險(xiǎn)的過程。風(fēng)險(xiǎn)管理通過風(fēng)險(xiǎn)評(píng)估來識(shí)別風(fēng)險(xiǎn)大小，通過制定信息安全方針，選擇適當(dāng)?shù)目刂颇繕?biāo)與控制方式使風(fēng)險(xiǎn)得到避免、轉(zhuǎn)移或降至一個(gè)可被接受的水平。在風(fēng)險(xiǎn)管理方面應(yīng)考慮控制費(fèi)用與風(fēng)險(xiǎn)之間的平衡。版權(quán)所有，盜版必糾17.2信息安全風(fēng)險(xiǎn)管理3.風(fēng)險(xiǎn)管理(RiskMan2317.3信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估17.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估的意義在于對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)，而風(fēng)險(xiǎn)的處理過程，可以在考慮了管理成本后，選擇適合企業(yè)自身的控制方法，對(duì)同類的風(fēng)險(xiǎn)因素采用相同的基線控制，這樣有助于在保證效果的前提下降低風(fēng)險(xiǎn)評(píng)估的成本。如圖17.5所示為信息安全風(fēng)險(xiǎn)評(píng)估的要素。版權(quán)所有，盜版必糾17.3信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估17.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述2417.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述版權(quán)所有，盜版必糾17.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述版權(quán)所有，盜版必糾2517.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述針對(duì)風(fēng)險(xiǎn)評(píng)估的工程實(shí)現(xiàn)，SSE-CMM、OCTAVE等標(biāo)準(zhǔn)和方法對(duì)評(píng)估過程給予了較好的指導(dǎo)。常規(guī)的風(fēng)險(xiǎn)評(píng)估方法包括以下階段：項(xiàng)目準(zhǔn)備階段、項(xiàng)目執(zhí)行階段、項(xiàng)目維護(hù)階段。為保障評(píng)估的規(guī)范性、一致性，降低人工成本，目前國內(nèi)外普遍開發(fā)了一系列的評(píng)估工具。其中，網(wǎng)絡(luò)評(píng)估工具主要有Nessus、Retina、天鏡、ISS、N-Stalker等漏洞掃描工具，依托這些網(wǎng)絡(luò)掃描工具，可以對(duì)網(wǎng)絡(luò)設(shè)備、主機(jī)進(jìn)行漏洞掃描，給出技術(shù)層面存在的安全漏洞、等級(jí)和解決方案建議。管理評(píng)估工具主要有以BS7799-1（ISO/IEC17799）為基礎(chǔ)的COBRA、天清等，借助管理評(píng)估工具，結(jié)合問卷式調(diào)查訪談，可以給出不同安全管理域在安全管理方面存在的脆弱性和各領(lǐng)域的安全等級(jí)，給出基于標(biāo)準(zhǔn)的策略建議。版權(quán)所有，盜版必糾17.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述針對(duì)風(fēng)險(xiǎn)評(píng)估的工程實(shí)現(xiàn)，S2617.3.2信息安全風(fēng)險(xiǎn)評(píng)估方法主要的風(fēng)險(xiǎn)評(píng)估方法有以下6種：(1)定制個(gè)性化的評(píng)估方法雖然已經(jīng)有許多標(biāo)準(zhǔn)評(píng)估方法和流程，但在實(shí)踐過程中，不應(yīng)只是這些方法的套用和拷貝，而是以他們作為參考，根據(jù)企業(yè)的特點(diǎn)及安全風(fēng)險(xiǎn)評(píng)估的能力，進(jìn)行“基因”重組，定制個(gè)性化的評(píng)估方法，使得評(píng)估服務(wù)具有可裁剪性和靈活性。評(píng)估種類一般有整體評(píng)估、IT安全評(píng)估、滲透測(cè)試、邊界評(píng)估、網(wǎng)絡(luò)結(jié)構(gòu)評(píng)估、脆弱性掃描、策略評(píng)估、應(yīng)用風(fēng)險(xiǎn)評(píng)估等。(2)安全整體框架的設(shè)計(jì)風(fēng)險(xiǎn)評(píng)估的目的，不僅在于明確風(fēng)險(xiǎn)，更重要的是為管理風(fēng)險(xiǎn)提供基礎(chǔ)和依據(jù)。作為評(píng)估直接輸出，用于進(jìn)行風(fēng)險(xiǎn)管理的安全整體框架，至少應(yīng)該明確。但是由于不同企業(yè)環(huán)境差異、需求差異，加上在操作層面可參考的模板很少，使得整體框架應(yīng)用較少。但是，企業(yè)至少應(yīng)該完成近期1～2年內(nèi)框架，這樣才能做到有律可依。版權(quán)所有，盜版必糾17.3.2信息安全風(fēng)險(xiǎn)評(píng)估方法主要的風(fēng)險(xiǎn)評(píng)估方法有以下62717.3.2信息安全風(fēng)險(xiǎn)評(píng)估方法(3)多用戶決策評(píng)估不同層面的用戶能看到不同的問題，要全面了解風(fēng)險(xiǎn)，必須進(jìn)行多用戶溝通評(píng)估。將評(píng)估過程作為多用戶“決策”過程，對(duì)于了解風(fēng)險(xiǎn)、理解風(fēng)險(xiǎn)、管理風(fēng)險(xiǎn)、落實(shí)行動(dòng)，具有極大的意義。事實(shí)證明，多用戶參與的效果非常明顯。多用戶“決策”評(píng)估，也需要一個(gè)具體的流程和方法。(4)敏感性分析企業(yè)的系統(tǒng)越發(fā)復(fù)雜且互相關(guān)聯(lián)，使得風(fēng)險(xiǎn)越來越隱蔽。要提高評(píng)估效果，必須進(jìn)行深入關(guān)聯(lián)分析，比如對(duì)一個(gè)漏洞，不是簡單地分析它的影響和解決措施，而是要推斷出可能相關(guān)的其他技術(shù)和管理漏洞，找出病“根”，開出有效的“處方”。這需要強(qiáng)大的評(píng)估經(jīng)驗(yàn)知識(shí)庫支撐，同時(shí)要求評(píng)估者具有敏銳的分析能力。版權(quán)所有，盜版必糾17.3.2信息安全風(fēng)險(xiǎn)評(píng)估方法(3)多用戶決策評(píng)估版權(quán)2817.3.2信息安全風(fēng)險(xiǎn)評(píng)估方法(5)集中化決策管理安全風(fēng)險(xiǎn)評(píng)估需要具有多種知識(shí)和能力的人參與，對(duì)這些能力和知識(shí)的管理，有助于提高評(píng)估的效果。集中化決策管理，是評(píng)估項(xiàng)目成功的保障條件之一，它不僅是項(xiàng)目管理問題，而且是知識(shí)、能力等“基因”的組合運(yùn)用。必須選用具有特殊技能的人，去執(zhí)行相應(yīng)的關(guān)鍵任務(wù)。如控制臺(tái)審計(jì)和滲透性測(cè)試，由不具備攻防經(jīng)驗(yàn)和知識(shí)的人執(zhí)行，就達(dá)不到任何效果。(6)評(píng)估結(jié)果管理安全風(fēng)險(xiǎn)評(píng)估的輸出，不應(yīng)是文檔的堆砌，而是一套能夠進(jìn)行記錄、管理的系統(tǒng)。它可能不是一個(gè)完整的風(fēng)險(xiǎn)管理系統(tǒng)，但至少是一個(gè)非常重要的可管理的風(fēng)險(xiǎn)表述系統(tǒng)。企業(yè)需要這樣的評(píng)估管理系統(tǒng)，使用它來指導(dǎo)評(píng)估過程，管理評(píng)估結(jié)果，以便在管理層面提高評(píng)估效果。版權(quán)所有，盜版必糾17.3.2信息安全風(fēng)險(xiǎn)評(píng)估方法(5)集中化決策管理版權(quán)29思考題1．簡述我國等級(jí)保護(hù)的主要內(nèi)容。2．簡述美國“桔皮書”中等級(jí)保護(hù)的主要內(nèi)容。3．等級(jí)保護(hù)和風(fēng)險(xiǎn)評(píng)估的關(guān)系是什么？4．為什么要進(jìn)行等級(jí)保護(hù)？5．為什么要進(jìn)行風(fēng)險(xiǎn)評(píng)估？6．風(fēng)險(xiǎn)評(píng)估的要素有哪些？7．風(fēng)險(xiǎn)評(píng)估的主要方法有哪些？版權(quán)所有，盜版必糾思考題1．簡述我國等級(jí)保護(hù)的主要內(nèi)容。版權(quán)所有，盜版必糾30返回ThanksForAttendance!致謝版權(quán)所有，盜版必糾返回ThanksForAttendance!致謝版31演講完畢，謝謝觀看！演講完畢，謝謝觀看！32第17章信息系統(tǒng)等級(jí)保護(hù)與風(fēng)險(xiǎn)管理李劍北京郵電大學(xué)信息安全中心E-mail:lijian@電話：130－01936882版權(quán)所有，盜版必糾第17章信息系統(tǒng)等級(jí)保護(hù)與風(fēng)險(xiǎn)管理版權(quán)所有，盜版必糾33概況信息安全等級(jí)保護(hù)是指國家通過制定統(tǒng)一的信息安全等級(jí)保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，組織公民、法人和其他組織對(duì)信息系統(tǒng)分等級(jí)實(shí)行安全保護(hù)，對(duì)等級(jí)保護(hù)工作的實(shí)施進(jìn)行監(jiān)督、管理。風(fēng)險(xiǎn)管理是安全管理的重要組成部分。它包括：風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)控制以及根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果對(duì)信息系統(tǒng)的運(yùn)行中的相關(guān)事項(xiàng)做出決策。等級(jí)保護(hù)是基本制度，風(fēng)險(xiǎn)評(píng)估是過程，風(fēng)險(xiǎn)管理是目標(biāo)。版權(quán)所有，盜版必糾概況信息安全等級(jí)保護(hù)是指國家通過制定統(tǒng)一的信息安全等級(jí)保護(hù)管34第17章信息系統(tǒng)等級(jí)保護(hù)與風(fēng)險(xiǎn)管理 17.1信息安全等級(jí)保護(hù) 17.1.1我國信息安全等級(jí)保護(hù) 17.1.2國外信息安全等級(jí)保護(hù) 17.2信息安全風(fēng)險(xiǎn)管理 17.3信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估 17.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述 17.3.2信息安全風(fēng)險(xiǎn)評(píng)估方法思考題 版權(quán)所有，盜版必糾第17章信息系統(tǒng)等級(jí)保護(hù)與風(fēng)險(xiǎn)管理 版權(quán)所有，盜版必糾3517.1信息安全等級(jí)保護(hù)信息安全等級(jí)保護(hù)制度是國家在國民經(jīng)濟(jì)和社會(huì)信息化的發(fā)展過程中，提高信息安全保障能力和水平，維護(hù)國家安全、社會(huì)穩(wěn)定和公共利益，保障和促進(jìn)信息化建設(shè)健康發(fā)展的一項(xiàng)基本制度。實(shí)行信息安全等級(jí)保護(hù)制度，能夠充分調(diào)動(dòng)國家、法人和其他組織及公民的積極性，發(fā)揮各方面的作用，達(dá)到有效保護(hù)的目的，增強(qiáng)安全保護(hù)的整體性、針對(duì)性和實(shí)效性，使信息系統(tǒng)安全建設(shè)更加突出重點(diǎn)、統(tǒng)一規(guī)范、科學(xué)合理，對(duì)促進(jìn)我國信息安全的發(fā)展將起到重要推動(dòng)作用。版權(quán)所有，盜版必糾17.1信息安全等級(jí)保護(hù)信息安全等級(jí)保護(hù)制度是國家在國民經(jīng)3617.1.1我國信息安全等級(jí)保護(hù)1994年國務(wù)院頒布的《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》規(guī)定，“計(jì)算機(jī)信息系統(tǒng)實(shí)行安全等級(jí)保護(hù)，安全等級(jí)的劃分標(biāo)準(zhǔn)和安全等級(jí)保護(hù)的具體辦法，由公安部會(huì)同有關(guān)部門制定”。1999年9月13日國家發(fā)布《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》。2003年中央辦公廳、國務(wù)院辦公廳轉(zhuǎn)發(fā)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[2003]27號(hào)）明確指出，“要重點(diǎn)保護(hù)基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟(jì)命脈、社會(huì)穩(wěn)定等方面的重要信息系統(tǒng)，抓緊建立信息安全等級(jí)保護(hù)制度，制定信息安全等級(jí)保護(hù)的管理辦法和技術(shù)指南”。2007年6月，公安部、國家保密局、國家密碼管理局、國務(wù)院信息化工作辦公室制定了《信息安全等級(jí)保護(hù)管理辦法》（以下簡稱《管理辦法》），明確了信息安全等級(jí)保護(hù)的具體要求。版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)1994年國務(wù)院頒布的《3717.1.1我國信息安全等級(jí)保護(hù)信息安全等級(jí)保護(hù)制度的實(shí)施，必將大大提高我國的信息安全水平，有力保護(hù)我國信息化建設(shè)成果。同時(shí)，我國相關(guān)的信息安全企業(yè)也將得到實(shí)惠。有關(guān)技術(shù)專家分析，國家對(duì)于信息系統(tǒng)以及相關(guān)安全產(chǎn)品進(jìn)行等級(jí)劃分，會(huì)使很多企事業(yè)單位的安全意識(shí)更加增強(qiáng)，有了這樣的認(rèn)識(shí)之后，信息安全廠商的相關(guān)產(chǎn)品才能夠被廣泛了解，安全廠商可以應(yīng)針對(duì)等級(jí)劃分要把自己的產(chǎn)品進(jìn)行有針對(duì)性的調(diào)整，相關(guān)解決方案是否符合當(dāng)前信息系統(tǒng)的安全需求也可以經(jīng)過等級(jí)評(píng)估的檢驗(yàn)。我國的信息系統(tǒng)的安全保護(hù)等級(jí)分為以下五級(jí)：版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)信息安全等級(jí)保護(hù)制度的實(shí)施3817.1.1我國信息安全等級(jí)保護(hù)(1)第一級(jí)為自主保護(hù)級(jí)。由用戶來決定如何對(duì)資源進(jìn)行保護(hù)，以及采用何種方式進(jìn)行保護(hù)。本級(jí)別適用于一般的信息系統(tǒng)，其受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益產(chǎn)生損害，但不損害國家安全、社會(huì)秩序和公共利益。(2)第二級(jí)為指導(dǎo)保護(hù)級(jí)。本級(jí)的安全保護(hù)機(jī)制支持用戶具有更強(qiáng)的自主保護(hù)能力。特別是具有訪問審記能力，即它能創(chuàng)建、維護(hù)受保護(hù)對(duì)象的訪問審計(jì)跟蹤記錄，記錄與系統(tǒng)安全相關(guān)事件發(fā)生的日期、時(shí)間、用戶和事件類型等信息，所有和安全相關(guān)的操作都能夠被記錄下來，以便當(dāng)系統(tǒng)發(fā)生安全問題時(shí)，可以根據(jù)審記記錄，分析追查事故責(zé)任人。本級(jí)別適用于一般的信息系統(tǒng)，其受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成輕微損害，但不損害國家安全。(3)第三級(jí)為監(jiān)督保護(hù)級(jí)。具有第二級(jí)系統(tǒng)審計(jì)保護(hù)級(jí)的所有功能，并對(duì)訪問者及其訪問對(duì)象實(shí)施強(qiáng)制訪問控制。通過對(duì)訪問者和訪問對(duì)象指定不同安全標(biāo)記，限制訪問者的權(quán)限。本級(jí)別適用于涉及國家安全、社會(huì)秩序和公共利益的重要信息系統(tǒng)，其受到破壞后，會(huì)對(duì)國家安全、社會(huì)秩序和公共利益造成損害。版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)(1)第一級(jí)為自主保護(hù)級(jí)3917.1.1我國信息安全等級(jí)保護(hù)(4)第四級(jí)為強(qiáng)制保護(hù)級(jí)。將前三級(jí)的安全保護(hù)能力擴(kuò)展到所有訪問者和訪問對(duì)象，支持形式化的安全保護(hù)策略。其本身構(gòu)造也是結(jié)構(gòu)化的，以使之具有相當(dāng)?shù)目節(jié)B透能力。本級(jí)的安全保護(hù)機(jī)制能夠使信息系統(tǒng)實(shí)施一種系統(tǒng)化的安全保護(hù)。本級(jí)別適用于涉及國家安全、社會(huì)秩序和公共利益的重要信息系統(tǒng)，其受到破壞后，會(huì)對(duì)國家安全、社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害。(5)第五級(jí)為?？乇Ｗo(hù)級(jí)。具備第四級(jí)的所有功能，還具有仲裁訪問者能否訪問某些對(duì)象的能力。為此，本級(jí)的安全保護(hù)機(jī)制不能被攻擊、被篡改的，具有極強(qiáng)的抗?jié)B透能力。本級(jí)別適用于涉及國家安全、社會(huì)秩序和公共利益的重要信息系統(tǒng)的核心子系統(tǒng)，其受到破壞后，會(huì)對(duì)國家安全、社會(huì)秩序和公共利益造成特別嚴(yán)重?fù)p害。信息系統(tǒng)運(yùn)營、使用單位及個(gè)人依據(jù)“信息安全等級(jí)保護(hù)管理辦法”和相關(guān)技術(shù)標(biāo)準(zhǔn)對(duì)信息系統(tǒng)進(jìn)行保護(hù)，國家有關(guān)信息安全職能部門對(duì)其信息安全等級(jí)保護(hù)工作進(jìn)行監(jiān)督管理版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)(4)第四級(jí)為強(qiáng)制保護(hù)級(jí)4017.1.1我國信息安全等級(jí)保護(hù)(1)第一級(jí)信息系統(tǒng)運(yùn)營、使用單位或者個(gè)人可以依據(jù)國家管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。(2)第二級(jí)信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。必要時(shí)，國家有關(guān)信息安全職能部門可以對(duì)其信息安全等級(jí)保護(hù)工作進(jìn)行指導(dǎo)。(3)第三級(jí)信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)，國家有關(guān)信息安全職能部門對(duì)其信息安全等級(jí)保護(hù)工作進(jìn)行監(jiān)督、檢查。(4)第四級(jí)信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)，國家有關(guān)信息安全職能部門對(duì)其信息安全等級(jí)保護(hù)工作進(jìn)行強(qiáng)制監(jiān)督、檢查。(5)第五級(jí)信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)，國家指定的專門部門或者專門機(jī)構(gòu)對(duì)其信息安全等級(jí)保護(hù)工作進(jìn)行專門監(jiān)督、檢查。信息安全等級(jí)保護(hù)的主要內(nèi)容如圖17.1所示，大的方面分為技術(shù)要求和管理要求。技術(shù)要求分為物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全。管理要求又分為安全管理機(jī)構(gòu)、安全管理制度、人員安全管事、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理。版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)(1)第一級(jí)信息系統(tǒng)運(yùn)營4117.1.1我國信息安全等級(jí)保護(hù)版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)版權(quán)所有，盜版必糾4217.1.1我國信息安全等級(jí)保護(hù)信息系統(tǒng)等級(jí)保護(hù)實(shí)施生命周期內(nèi)的主要活動(dòng)有四個(gè)階段，包括定級(jí)階段、規(guī)劃設(shè)計(jì)階段、安全實(shí)施/實(shí)現(xiàn)階段、安全運(yùn)行管理階段，如圖所示。版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)信息系統(tǒng)等級(jí)保護(hù)實(shí)施生4317.1.1我國信息安全等級(jí)保護(hù)版權(quán)所有，盜版必糾17.1.1我國信息安全等級(jí)保護(hù)版權(quán)所有，盜版必糾4417.1.2國外信息安全等級(jí)保護(hù)第一個(gè)有關(guān)信息技術(shù)安全評(píng)價(jià)的標(biāo)準(zhǔn)誕生于八十年代的美國，就是著名的“可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)準(zhǔn)則”（TCSEC,又稱桔皮書）。該準(zhǔn)則對(duì)計(jì)算機(jī)操作系統(tǒng)的安全性規(guī)定了不同的等級(jí).從九十年代開始,一些國家與國際組織相繼提出了新的安全評(píng)價(jià)準(zhǔn)則。1991年，歐共體發(fā)布了“信息技術(shù)安全評(píng)價(jià)準(zhǔn)則”（ITSEC）。1993年,加拿大發(fā)布了“加拿大可信計(jì)算機(jī)產(chǎn)品評(píng)價(jià)準(zhǔn)則”（CTCPEC）,CTCPEC綜合了TCSEC與ITSEC兩個(gè)準(zhǔn)則的優(yōu)點(diǎn)。同年，美國在對(duì)TCSEC進(jìn)行修改補(bǔ)充并吸收ITSEC優(yōu)點(diǎn)的基礎(chǔ)上，發(fā)布了“信息技術(shù)安全評(píng)價(jià)聯(lián)邦準(zhǔn)則”（FC）。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)第一個(gè)有關(guān)信息技術(shù)安全評(píng)價(jià)4517.1.2國外信息安全等級(jí)保護(hù)美國，作為一直走在信息安全前列的大國，近幾年來在信息系統(tǒng)安全方面，突出體現(xiàn)了對(duì)信息系統(tǒng)分類分級(jí)實(shí)施保護(hù)的發(fā)展思路，制定了一系列體系化的標(biāo)準(zhǔn)和指南性文件，并根據(jù)有關(guān)的技術(shù)標(biāo)準(zhǔn)、指南，對(duì)聯(lián)邦政府一些重要的信息系統(tǒng)已實(shí)現(xiàn)了安全分級(jí)，并在整體上體現(xiàn)了分級(jí)保護(hù)、管理的思想。下面主要介紹的“可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)準(zhǔn)則”，即桔皮書。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)美國，作為一直走在信息安全4617.1.2國外信息安全等級(jí)保護(hù)桔皮書是美國國家安全局（NSA）的國家電腦安全中心（NCSC）頒布的官方標(biāo)準(zhǔn)，其正式的名稱為“受信任電腦系統(tǒng)評(píng)價(jià)標(biāo)準(zhǔn)”（TCSEC：TrustedComputerSystemEvaluationCRITERIA）.目前，桔皮書是權(quán)威性的電腦系統(tǒng)安全標(biāo)準(zhǔn)之一，它將一個(gè)電腦系統(tǒng)可接受的信任程度給予分級(jí)，依照安全性從高到低劃分為A，B，C，D四個(gè)等級(jí)，其中這些安全等級(jí)不是線性的，而是指數(shù)級(jí)上升的。桔皮書將計(jì)算機(jī)安全由低到高分為四類七級(jí)：D1、C1、C2、B1、B2、B3、A1。其中D1級(jí)是不具備最低安全限度的等級(jí)，C1和C2級(jí)是具備最低安全限度的等級(jí)，B1和B2級(jí)是具有中等安全保護(hù)能力的等級(jí)，B3和A1屬于最高安全等級(jí)。D1級(jí)：計(jì)算機(jī)安全的最低一級(jí)，不要求用戶進(jìn)行用戶登錄和密碼保護(hù)，任何人都可以使用，整個(gè)系統(tǒng)是不可信任的，硬件軟件都易被侵襲。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)桔皮書是美國國家安全局（N4717.1.2國外信息安全等級(jí)保護(hù)C1級(jí)：自主安全保護(hù)級(jí)，要求硬件有一定的安全級(jí)（如計(jì)算機(jī)帶鎖），用戶必須通過登錄認(rèn)證方可使用系統(tǒng)，并建立了訪問許可權(quán)限機(jī)制。C2級(jí)：受控存取保護(hù)級(jí)，比C1級(jí)增加了幾個(gè)特性：引進(jìn)了受控訪問環(huán)境，進(jìn)一步限制了用戶執(zhí)行某些系統(tǒng)指令；授權(quán)分級(jí)使系統(tǒng)管理員給用戶分組，授予他們?cè)L問某些程序和分級(jí)目錄的權(quán)限；采用系統(tǒng)審計(jì)，跟蹤記錄所有安全事件及系統(tǒng)管理員工作。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)C1級(jí)：自主安全保護(hù)級(jí)，要4817.1.2國外信息安全等級(jí)保護(hù)B1級(jí)：標(biāo)記安全保護(hù)級(jí)，對(duì)網(wǎng)絡(luò)上每個(gè)對(duì)象都予實(shí)施保護(hù)；支持多級(jí)安全，對(duì)網(wǎng)絡(luò)、應(yīng)用程序工作站實(shí)施不同的安全策略；對(duì)象必須在訪問控制之下，不允許擁有者自己改變所屬資源的權(quán)限。B2級(jí)：結(jié)構(gòu)化保護(hù)級(jí)，對(duì)網(wǎng)絡(luò)和計(jì)算機(jī)系統(tǒng)中所有對(duì)象都加以定義，給一個(gè)標(biāo)簽；為工作站、終端等設(shè)備分配不同的安全級(jí)別；按最小特權(quán)原則取消權(quán)力無限大的特權(quán)用戶。B3級(jí)：安全域級(jí)，要求用戶工作站或終端必須通過信任的途徑連接到網(wǎng)絡(luò)系統(tǒng)內(nèi)部的主機(jī)上；采用硬件來保護(hù)系統(tǒng)的數(shù)據(jù)存儲(chǔ)區(qū)；根據(jù)最小特權(quán)原則，增加了系統(tǒng)安全員，將系統(tǒng)管理員、系統(tǒng)操作員和系統(tǒng)安全員的職責(zé)分離，將人為因素對(duì)計(jì)算機(jī)安全的威脅減至最小。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)B1級(jí)：標(biāo)記安全保護(hù)級(jí)，對(duì)4917.1.2國外信息安全等級(jí)保護(hù)A1級(jí)：驗(yàn)證設(shè)計(jì)級(jí)，是計(jì)算機(jī)安全級(jí)中最高一級(jí)，本級(jí)包括了以上各級(jí)別的所有措施，并附加了一個(gè)安全系統(tǒng)的受監(jiān)視設(shè)計(jì)；合格的個(gè)體必須經(jīng)過分析并通過這一設(shè)計(jì)；所有構(gòu)成系統(tǒng)的部件的來源都必須有安全保證；還規(guī)定了將安全計(jì)算機(jī)系統(tǒng)運(yùn)送到現(xiàn)場(chǎng)安裝所必須遵守的程序。版權(quán)所有，盜版必糾17.1.2國外信息安全等級(jí)保護(hù)A1級(jí)：驗(yàn)證設(shè)計(jì)級(jí)，是計(jì)算5017.2信息安全風(fēng)險(xiǎn)管理信息安全風(fēng)險(xiǎn)管理是信息安全管理的重要組成部分，它是信息安全等級(jí)保護(hù)的基礎(chǔ)。1.風(fēng)險(xiǎn)(Risk)風(fēng)險(xiǎn)指在某一特定環(huán)境下，在某一特定時(shí)間段內(nèi)，特定的威脅利用資產(chǎn)的一種或一組薄弱點(diǎn)，導(dǎo)致資產(chǎn)的丟失或損害的潛在可能性，即特定威脅事件發(fā)生的可能性與后果的結(jié)合。ISO27001要求組織通過風(fēng)險(xiǎn)評(píng)估來識(shí)別組織的潛在風(fēng)險(xiǎn)及其大小，并按照風(fēng)險(xiǎn)的大小安排控制措施的優(yōu)先等級(jí)。例如，在使用計(jì)算機(jī)的時(shí)候，如果安裝了360安全衛(wèi)士等安全工具，則有時(shí)會(huì)出現(xiàn)如圖17.3所示的安全風(fēng)險(xiǎn)告警。版權(quán)所有，盜版必糾17.2信息安全風(fēng)險(xiǎn)管理信息安全風(fēng)險(xiǎn)管理是信息安全管理的重5117.2信息安全風(fēng)險(xiǎn)管理版權(quán)所有，盜版必糾17.2信息安全風(fēng)險(xiǎn)管理版權(quán)所有，盜版必糾5217.2信息安全風(fēng)險(xiǎn)管理版權(quán)所有，盜版必糾17.2信息安全風(fēng)險(xiǎn)管理版權(quán)所有，盜版必糾5317.2信息安全風(fēng)險(xiǎn)管理2.風(fēng)險(xiǎn)評(píng)估(RiskAssessment)風(fēng)險(xiǎn)評(píng)估有時(shí)候也稱為風(fēng)險(xiǎn)分析，是組織使用適當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估工具，對(duì)信息和信息處理設(shè)施的威脅(Threat)、影響(Impact)和薄弱點(diǎn)(Vulnerability)及其發(fā)生的可能性的評(píng)估，也就是確認(rèn)安全風(fēng)險(xiǎn)及其大小的過程。風(fēng)險(xiǎn)評(píng)估是信息安全管理的基礎(chǔ)，它為安全管理的后續(xù)工作提供方向和依據(jù)，后續(xù)工作的優(yōu)先等級(jí)和關(guān)注程度都是由信息安全風(fēng)險(xiǎn)決定的，而且安全控制的效果也必須通過對(duì)剩余風(fēng)險(xiǎn)的評(píng)估來衡量。風(fēng)險(xiǎn)評(píng)估是在一定范圍內(nèi)識(shí)別所存在信息安全風(fēng)險(xiǎn)，并確定其大小的過程。風(fēng)險(xiǎn)評(píng)估保證信息安全管理活動(dòng)可以有的放矢，將有限的信息安全預(yù)算應(yīng)用到最需要的地方，風(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)管理的前提。版權(quán)所有，盜版必糾17.2信息安全風(fēng)險(xiǎn)管理2.風(fēng)險(xiǎn)評(píng)估(RiskAss5417.2信息安全風(fēng)險(xiǎn)管理3.風(fēng)險(xiǎn)管理(RiskManagement)風(fēng)險(xiǎn)管理以可接受的費(fèi)用識(shí)別、控制、降低或消除可能影響信息系統(tǒng)的安全風(fēng)險(xiǎn)的過程。風(fēng)險(xiǎn)管理通過風(fēng)險(xiǎn)評(píng)估來識(shí)別風(fēng)險(xiǎn)大小，通過制定信息安全方針，選擇適當(dāng)?shù)目刂颇繕?biāo)與控制方式使風(fēng)險(xiǎn)得到避免、轉(zhuǎn)移或降至一個(gè)可被接受的水平。在風(fēng)險(xiǎn)管理方面應(yīng)考慮控制費(fèi)用與風(fēng)險(xiǎn)之間的平衡。版權(quán)所有，盜版必糾17.2信息安全風(fēng)險(xiǎn)管理3.風(fēng)險(xiǎn)管理(RiskMan5517.3信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估17.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估的意義在于對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)，而風(fēng)險(xiǎn)的處理過程，可以在考慮了管理成本后，選擇適合企業(yè)自身的控制方法，對(duì)同類的風(fēng)險(xiǎn)因素采用相同的基線控制，這樣有助于在保證效果的前提下降低風(fēng)險(xiǎn)評(píng)估的成本。如圖17.5所示為信息安全風(fēng)險(xiǎn)評(píng)估的要素。版權(quán)所有，盜版必糾17.3信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估17.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述5617.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述版權(quán)所有，盜版必糾17.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述版權(quán)所有，盜版必糾5717.3.1信息安全風(fēng)險(xiǎn)評(píng)估概述針對(duì)風(fēng)險(xiǎn)評(píng)估的工程實(shí)現(xiàn)，SSE-CMM、OCTAVE等標(biāo)準(zhǔn)和方法對(duì)評(píng)估過程給予了較好的指導(dǎo)。常規(guī)的風(fēng)險(xiǎn)評(píng)估方法包括以下階段：項(xiàng)目準(zhǔn)備階段、項(xiàng)目執(zhí)行階段、項(xiàng)目維護(hù)階段。為保障評(píng)估的規(guī)范性、一致性，降低人工成本，目前國內(nèi)外普遍開發(fā)了一系列的評(píng)估工具。其中，網(wǎng)絡(luò)評(píng)估工具主要有Nessus、Retina、天鏡、ISS、N-Stalker等漏洞掃描工