計算機安全策略與評估講義課件

1第17-18章安全框架與評估標準華南理工大學電子商務學院

本科課程—電子商務安全與保密1第17-18章安全框架與評估標準華南理工大學電子商務學院12本章要點：→風險評估的要素和基本流程→CC和BS7799安全規(guī)范→SSE-CMM→計算機系統(tǒng)等級保護制度2本章要點：→風險評估的要素和基本流程23安全設計和安全域/等級保護的結合安全體系的全面性措施分級保護、適度安全強度分級三分技術，七分管理3安全設計和安全域/等級保護的結合安全體系的全面性34OSI的安全體系結構網絡信息系統(tǒng)安全體系結構4OSI的安全體系結構網絡信息系統(tǒng)安全體系結構45信息安全評估及相關標準信息安全評估定義:信息安全評估是對一個構件、產品、子系統(tǒng)或系統(tǒng)的安全屬性進行的技術評價，通過評估判斷該構件、產品、子系統(tǒng)或系統(tǒng)是否滿足一組特定的要求產品安全評估信息系統(tǒng)安全評估5信息安全評估及相關標準信息安全評估56風險評估的目的了解組織的安全現(xiàn)狀分析組織的安全需求建立信息安全管理體系的要求制訂安全策略和實施安防措施的依據組織實現(xiàn)信息安全的必要的、重要的步驟6風險評估的目的了解組織的安全現(xiàn)狀67.........風險的四個要素：資產及其價值威脅脆弱性現(xiàn)有的和計劃的控制措施資產的分類電子信息資產軟件資產物理資產人員公司形象和名譽威脅舉例：黑客入侵和攻擊病毒和其他惡意程序軟硬件故障人為誤操作自然災害如：地震、火災、爆炸等盜竊網絡監(jiān)聽供電故障后門未授權訪問……7.........風險的四個要素：資產及其價值資產的分78脆弱性是與信息資產有關的弱點或安全隱患。脆弱性本身并不對資產構成危害，但是在一定條件得到滿足時，脆弱性會被威脅加以利用來對信息資產造成危害。脆弱性舉例：系統(tǒng)漏洞程序Bug專業(yè)人員缺乏不良習慣系統(tǒng)沒有進行安全配置物理環(huán)境不安全缺少審計缺乏安全意識后門……......風險的四個要素：8脆弱性是與信息資產有關的弱點或安全隱患。脆弱性舉例：系統(tǒng)漏89安全評估模型9安全評估模型910安全評估模型10安全評估模型1011安全評估模型11安全評估模型1112風險評估的一般工作流程12風險評估的一般工作流程1213風險評估的一般工作流程13風險評估的一般工作流程1314風險評估的一般工作流程14風險評估的一般工作流程1415評估工具評估工具目前存在以下幾類：掃描工具：包括主機掃描、網絡掃描、數(shù)據庫掃描，用于分析系統(tǒng)的常見漏洞；入侵檢測系統(tǒng)（IDS）：用于收集與統(tǒng)計威脅數(shù)據；滲透性測試工具：黑客工具，用于人工滲透，評估系統(tǒng)的深層次漏洞；主機安全性審計工具：用于分析主機系統(tǒng)配置的安全性；安全管理評價系統(tǒng)：用于安全訪談，評價安全管理措施；

風險綜合分析系統(tǒng)：在基礎數(shù)據基礎上，定量、綜合分析系統(tǒng)的風險，并且提供分類統(tǒng)計、查詢、TOPN查詢以及報表輸出功能；評估支撐環(huán)境工具:

評估指標庫、知識庫、漏洞庫、算法庫、模型庫。15評估工具評估工具目前存在以下幾類：1516信息技術安全評估準則發(fā)展過程

《可信計算機系統(tǒng)評估準則》TCSEC《信息技術安全評估準則》ITSEC通用準則CC（ISO15408、GB/T18336)《計算機信息系統(tǒng)安全保護等級劃分準則》BS7799、ISO17799《信息技術安全技術信息技術安全性評估準則》ISO13335《IT安全管理指南》SSE-CMM系統(tǒng)安全工程能力成熟度模型我國的信息安全標準制定情況標準介紹保障信息安全有三個支柱，一個是技術、一個是管理、一個是法律法規(guī)。國家的法律法規(guī)，有專門的部門在研究和制定和推廣。

根據國務院27號文件，對信息安全實施分級安全保護的規(guī)定出臺后，各有關部門都在積極制定相關的制度和法規(guī)，當前被普遍采用的技術標準的是CC/ISO15408，管理體系標準是ISO17799/BS7799。

16信息技術安全評估準則發(fā)展過程標準介紹保障信息安全有三個1617GB18336idtISO/IEC15408信息技術安全性評估準則IATF信息保障技術框架ISSE信息系統(tǒng)安全工程SSE-CMM系統(tǒng)安全工程能力成熟度模型BS7799,ISO/IEC17799信息安全管理實踐準則其他相關標準、準則例如：ISO/IEC15443,COBIT。。。系統(tǒng)認證和認可標準和實踐例如：美國DITSCAP,…中國信息安全產品測評認證中心相關文檔和系統(tǒng)測評認證實踐技術準則（信息技術系統(tǒng)評估準則）管理準則（信息系統(tǒng)管理評估準則）過程準則（信息系統(tǒng)安全工程評估準則）信息系統(tǒng)安全保障評估準則與現(xiàn)有標準關系信息系統(tǒng)安全保障評估準則17GB18336idtISO/IEC15408IA1718信息技術安全評估準則發(fā)展過程1999年GB17859計算機信息系統(tǒng)安全保護等級劃分準則1991年歐洲信息技術安全性評估準則（ITSEC）國際通用準則1996年（CC1.0）1998年（CC2.0）1985年美國可信計算機系統(tǒng)評估準則（TCSEC）1993年加拿大可信計算機產品評估準則（CTCPEC）1993年美國聯(lián)邦準則（FC1.0）1999年國際標準ISO/IEC154081989年英國可信級別標準（MEMO3DTI）德國評估標準（ZSEIC）法國評估標準（B-W-RBOOK）2001年國家標準GB/T18336信息技術安全性評估準則idtiso/iec154081993年美國NIST的MSFR18信息技術安全評估準則發(fā)展過程1999年GB178591819CC的適用范圍CC定義了評估信息技術產品和系統(tǒng)安全型所需的基礎準則，是度量信息技術安全性的基準針對在安全評估過程中信息技術產品和系統(tǒng)的安全功能及相應的保證措施提出的一組通用要求，使各種相對獨立的安全評估結果具有可比性。該標準適用于對信息技術產品或系統(tǒng)的安全性進行評估，不論其實現(xiàn)方式是硬件、固件還是軟件，還可用于指導產品和系統(tǒng)開發(fā)。該標準的主要目標讀者是用戶、開發(fā)者、評估者。19CC的適用范圍CC定義了評估信息技術產品和系統(tǒng)安全型所需1920CC內容CC吸收了個先進國家對現(xiàn)代信息系統(tǒng)安全的經驗和知識，對信息系統(tǒng)安全的研究和應用定來了深刻的影響。它分為三部分：第一部分介紹CC的基本概念和基本原理；第二部分提出了安全功能要求；第三部分提出了非技術性的安全保證要求。20CC內容CC吸收了個先進國家對現(xiàn)代信息系統(tǒng)安全的經驗和知2021CC內容后兩部分構成了CC安全要求的全部：安全功能要求和安全保證要求，其中安全保證的目的是為了確保安全功能的正確性和有效性，這是從ITSEC和CTCPEC中吸收的。同時CC還從FC中吸收了保護輪廓的(PP)的概念，從而為CC的應用和發(fā)展提供了最大可能的空間和自由度。

CC定義了作為評估信息技術產品和系統(tǒng)安全性的基礎準則，提出了目前國際上公認的表述信息技術安全性的結構，即：安全要求=規(guī)范產品和系統(tǒng)安全行為的功能要求+解決如何正確有效的實施這些功能的保證要求。21CC內容后兩部分構成了CC安全要求的全部：安全功能要求和2122CC的關鍵概念22CC的關鍵概念2223232324通用準則CC第二部分：安全功能要求CC的第二部分是安全功能要求，對滿足安全需求的諸安全功能提出了詳細的要求另外，如果有超出第二部分的安全功能要求，開發(fā)者可以根據“類-族-組件-元素”的描述結構表達其安全要求，并附加在其ST中24通用準則CC第二部分：安全功能要求CC的第二部分是安全2425通用準則CC第二部分：安全功能要求25通用準則CC第二部分：安全功能要求2526通用準則CC第二部分：安全功能要求26通用準則CC第二部分：安全功能要求2627通用準則CC第二部分：安全功能要求27通用準則CC第二部分：安全功能要求2728通用準則CC第二部分：安全功能要求28通用準則CC第二部分：安全功能要求2829安全功能需求層次關系功能和保證要求以“類—族—組件”的結構表述，組件作為安全要求的最小構件塊，可以用于“保護輪廓”、“安全目標”和“包”的構建，例如由保證組件構成典型的包——“評估保證級包”。29安全功能需求層次關系功能和保證要求以“類—族—組件”的結2930通用準則CC：第三部分評估方法CC的第三部分是評估方法部分，共包括10個類。維護類提出了保證評估過的受測系統(tǒng)或產品運行于所獲得的安全級別上的要求只有七個安全保證類是（評估對象）TOE的評估類別30通用準則CC：第三部分評估方法CC的第三部分是評估方法3031通用準則CC：第三部分評估方法31通用準則CC：第三部分評估方法3132通用準則CC：第三部分評估方法32通用準則CC：第三部分評估方法3233通用準則CC：第三部分評估方法33通用準則CC：第三部分評估方法3334通用準則CC：第三部分評估方法34通用準則CC：第三部分評估方法3435通用準則CC：第三部分評估方法35通用準則CC：第三部分評估方法3536通用準則CC七個安全保證類ACM類：配置管理CM自動化CM能力CM范圍ADO類：交付和運行交付安裝、生成和啟動ADV類：開發(fā)功能規(guī)范高層設計實現(xiàn)表示TSF內部低層設計表示對應性安全策略模型36通用準則CC七個安全保證類3637AGD類：指南文檔管理員指南用戶指南ALC類：生命周期支持開發(fā)安全缺陷糾正生命周期定義工具和技術ATE類：測試覆蓋范圍深度功能測試獨立性測試AVA類：脆弱性評定隱蔽信道分析誤用TOE安全功能強度脆弱性分析通用準則CC37AGD類：指南文檔通用準則CC3738通用準則CC安全保證要求部分提出了七個評估保證級別（EvaluationAssuranceLevels：EALs）分別是：38通用準則CC安全保證要求部分提出了七個評估保證級別（3839通用準則CC：EAL解釋39通用準則CC：EAL解釋3940通用準則CC：EAL解釋40通用準則CC：EAL解釋4041CC的EAL與其他標準等級的比較41CC的EAL與其他標準等級的比較4142BS7799的歷史沿革1995年，英國制定國家標準BS7799第一部分：“信息安全管理事務準則”，并提交國際標準組織(ISO)，成為ISODIS14980。1998年，英國公布BS7799第二部分“信息安全管理規(guī)范”并成為信息安全管理認證的依據；同年，歐盟于1995年10月公布之“個人資料保護指令，自1998年10月25日起正式生效，要求以適當標準保護個人資料”。2000年，國際標準組織ISO/IECJTCSC27在日本東京10月21日通過BS7799-1，成為ISODIS17799-1，2000年12月1日正式發(fā)布。目前除英國之外，國際上已有荷蘭、丹麥、挪威、瑞典、芬蘭、澳大利亞、新西蘭、南非、巴西已同意使用BS7799；日本、瑞士、盧森堡表示對BS7799感興趣；我國的臺灣、香港地區(qū)也在推廣該標準。BS7799(ISO/IEC17799)在歐洲的證書發(fā)放量已經超過ISO9001。但是：ISO17799不是認證標準，目前正在修訂。BS7799-2是認證標準，作為國際標準目前正在討論。42BS7799的歷史沿革1995年，英國制定國家標準BS4243BS7799內容：總則要求各組織建立并運行一套經過驗證的信息安全管理體系（ISMS），用于解決如下問題：資產的保管、組織的風險管理、管理標的和管理辦法、要求達到的安全程度。建立管理框架確立并驗證管理目標和管理辦法時需采取如下步驟：定義信息安全策略定義信息安全管理體系的范圍，包括定義該組織的特征、地點、資產和技術等方面的特征進行合理的風險評估，包括找出資產面臨的威脅、弱點、對組織的沖擊、風險的強弱程度等等根據組織的信息安全策略及所要求的安全程度，決定應加以管理的風險領域選出合理的管理標的和管理辦法，并加以實施；選擇方案時應做到有法可依準備可行性聲明是指在聲明中應對所選擇的管理標的和管理辦法加以驗證，同時對選擇的理由進行驗證，并對第四章中排除的管理辦法進行記錄對上述步驟的合理性應按規(guī)定期限定期審核。43BS7799內容：總則要求各組織建立并運行一套經過驗證的4344BS7799部分BS7799-1:1999《信息安全管理實施細則》是組織建立并實施信息安全管理體系的一個指導性的準則，主要為組織制定其信息安全策略和進行有效的信息安全控制提供的一個大眾化的最佳慣例。BS7799-2:2002《信息安全管理體系規(guī)范》規(guī)定了建立、實施和文件化信息安全管理體系(ISMS)的要求，規(guī)定了根據獨立組織的需要應實施安全控制的要求。即本標準適用以下場合:組織按照本標準要求建立并實施信息安全管理體系，進行有效的信息安全風險管理，確保商務可持續(xù)性發(fā)展；作為尋求信息安全管理體系第三方認證的標準。BS7799標準第二部分明確提出安全控制要求，標準第一部分對應給出了通用的控制方法（措施），因此可以說，標準第一部分為第二部分的具體實施提供了指南。BS7799Part2CorporateGovernancePLANDOACTCHECK風險管理處理系統(tǒng)控制內部審計功能ISO/IEC1779944BS7799部分BS7799-1:1999《信息安全管4445十大管理要項BS7799-2:200245十大管理要項BS7799-2:20024546十大管理要項BS7799-2:2002

1、安全方針：為信息安全提供管理指導和支持；2、組織安全：建立信息安全架構，保證組織的內部管理；被第三方訪問或外協(xié)時，保障組織的信息安全；3、資產的歸類與控制：明確資產責任，保持對組織資產的適當保護；將信息進行歸類，確保信息資產受到適當程度的保護；4、人員安全：在工作說明和資源方面，減少因人為錯誤、盜竊、欺詐和設施誤用造成的風險；加強用戶培訓，確保用戶清楚知道信息安全的危險性和相關事項，以便在他們的日常工作中支持組織的安全方針；制定安全事故或故障的反應程序，減少由安全事故和故障造成的損失，監(jiān)控安全事件并從這種事件中吸取教訓；5、實物與環(huán)境安全：確定安全區(qū)域，防止非授權訪問、破壞、干擾商務場所和信息；通過保障設備安全，防止資產的丟失、破壞、資產危害及商務活動的中斷；采用通用的控制方式，防止信息或信息處理設施損壞或失竊；46十大管理要項BS7799-2:20021、4647十大管理要項BS7799-2:20026、通信和操作方式管理：明確操作程序及其責任，確保信息處理設施的正確、安全操作；加強系統(tǒng)策劃與驗收，減少系統(tǒng)失效風險；防范惡意軟件以保持軟件和信息的完整性；加強內務管理以保持信息處理和通訊服務的完整性和有效性通過；加強網絡管理確保網絡中的信息安全及其輔助設施受到保護；通過保護媒體處理的安全，防止資產損壞和商務活動的中斷；加強信息和軟件的交換的管理，防止組織間在交換信息時發(fā)生丟失、更改和誤用；7、訪問控制：按照訪問控制的商務要求，控制信息訪問；加強用戶訪問管理，防止非授權訪問信息系統(tǒng)；明確用戶職責，防止非授權的用戶訪問；加強網絡訪問控制，保護網絡服務程序；加強操作系統(tǒng)訪問控制，防止非授權的計算機訪問；加強應用訪問控制，防止非授權訪問系統(tǒng)中的信息；通過監(jiān)控系統(tǒng)的訪問與使用，監(jiān)測非授權行為；在移動式計算和電傳工作方面，確保使用移動式計算和電傳工作設施的信息安全；8、系統(tǒng)開發(fā)與維護：明確系統(tǒng)安全要求，確保安全性已構成信息系統(tǒng)的一部份；加強應用系統(tǒng)的安全，防止應用系統(tǒng)用戶數(shù)據的丟失、被修改或誤用；加強密碼技術控制，保護信息的保密性、可靠性或完整性；加強系統(tǒng)文件的安全，確保IT方案及其支持活動以安全的方式進行；加強開發(fā)和支持過程的安全，確保應用系統(tǒng)軟件和信息的安全；9、商務連續(xù)性管理：防止商務活動的中斷及保護關鍵商務過程不受重大失誤或災難事故的影響；10、符合：符合法律法規(guī)要求，避免刑法、民法、有關法令法規(guī)或合同約定事宜及其他安全要求的規(guī)定相抵觸；加強安全方針和技術符合性評審，確保體系按照組織的安全方針及標準執(zhí)行；系統(tǒng)審核考慮因素，使效果最大化，并使系統(tǒng)審核過程的影響最小化。

47十大管理要項BS7799-2:20026、通47ISMSSpecifications

ISMSStandards標準BS7799Part2ISMSGuidelines(riskassessment,selectionofcontrols)GMITS/MICTSISO/IEC18044IncidenthandlingPD3000seriesonriskandselectionofcontrolsISMSControlCataloguesISO/IEC17799Managementsystemcertificationandaccreditationstandards(auditingprocess,proceduresetc)ISOGuide62EA7/03EN45013EN45012ISO19011ISO9001NationalschemesandstandardsISMSSpecificationsISMSStanda48ISMSStandards

BS7799-2:2002PLANDOACTCHECKPDCAModelDesignISMSImplement&useISMSMonitor&reviewISMSMaintain&improveISMSRiskbasedcontinualimprovementframeworkforinformationsecuritymanagementISMSStandards

BS7799-2:2002P49PDCA循環(huán)的概念最早是由美國質量管理專家戴明提出來的，所以又稱為“戴明環(huán)”。ＰＤＣＡ循環(huán)即計劃（Ｐｌａｎ）、執(zhí)行（Ｄｏ）、檢查（Ｃｈｅｃｋ）和處理（Ａｃｔｉｏｎ），它是一個標準的管理工作程序，也是進行質量管理的四個步驟。Ｐ（計劃）：即根據用戶的要求，制定相應的技術經濟指標、質量目標，以及實現(xiàn)這些目標的具體措施和方法。Ｄ（執(zhí)行）：按照所制定的計劃和措施付諸實施。Ｃ（檢查）：對照計劃，檢查執(zhí)行的情況和效果，及時發(fā)現(xiàn)問題。Ａ（處理）：根據檢查結果采取措施，鞏固成績，吸取教訓，防止重蹈覆轍，并將未解決的問題轉到下一次ＰＤＣＡ循環(huán)中去。PDCA循環(huán)的概念最早是由美國質量管理專家戴明提出來50ＰＤＣＡ循環(huán)有兩個特點：①大環(huán)套小環(huán)，ＰＤＣＡ能應用于企業(yè)的各個方面和各個層次，整個企業(yè)的質量管理運作是一個大的ＰＤＣＡ循環(huán)，而其中的某一車間或部門乃至個人的行動也按ＰＤＣＡ循環(huán)進行，形成大環(huán)套小環(huán)的綜合循環(huán)系統(tǒng)，相互推動。②螺旋式上升，每次ＰＤＣＡ循環(huán)都不是在原地踏步，而是每次循環(huán)都能解決一些問題，下次循環(huán)就在一個較高的層面上進一步解決新的問題。所以，它在不斷循環(huán)的同時，還在不斷上升，呈螺旋上升狀態(tài)。ＰＤＣＡ循環(huán)有兩個特點：5152第一步制訂信息安全方針BS7799-2對ISMS的要求：組織應定義信息安全方針。信息安全是指保證信息的保密性、完整性和可用性不受破壞。建立信息安全管理體系的目標是對公司的信息安全進行全面管理。信息安全方針是由組織的最高管理者正式制訂和發(fā)布的該組織的信息安全的目標和方向，用于指導信息安全管理體系的建立和實施過程。要經最高管理者批準和發(fā)布體現(xiàn)了最高管理者對信息安全的承諾與支持要傳達給組織內所有的員工要定期和適時進行評審目的和意義為組織提供了關注的焦點，指明了方向，確定了目標；確保信息安全管理體系被充分理解和貫徹實施；統(tǒng)領整個信息安全管理體系。建立ISMS框架52第一步制訂信息安全方針建立ISMS框架5253第一步制訂信息安全方針信息安全方針的內容包括但不限于：組織對信息安全的定義信息安全總體目標和范圍最高管理者對信息安全的承諾與支持的聲明符合相關標準、法律法規(guī)、和其它要求的聲明對信息安全管理的總體責任和具體責任的定義相關支持文件注意事項簡單明了易于理解可實施避免太具體建立ISMS框架53第一步制訂信息安全方針建立ISMS框架5354第二步確定ISMS范圍BS7799-2對ISMS的要求：組織應定義信息安全管理體系的范圍，范圍的邊界應依據組織的結構特征、地域特征、資產和技術特點來確定?？梢愿鶕M織的實際情況，將組織的一部分定義為信息安全管理范圍，也可以將組織整體定義為信息安全管理范圍；信息安全管理范圍必須用正式的文件加以記錄。ISMS范圍文件文件是否明白地描述了信息安全管理體系的范圍范圍的邊界和接口是否已清楚定義建立ISMS框架54第二步確定ISMS范圍建立ISMS框架5455第三步風險評估BS7799-2對ISMS的要求：組織應進行適當?shù)娘L險評估，風險評估應識別資產所面對的威脅、脆弱性、以及對組織的潛在影響，并確定風險的等級。是否執(zhí)行了正式的和文件化的風險評估？是否經過一定數(shù)量的員工驗證其正確性？風險評估是否識別了資產的威脅、脆弱性和對組織的潛在影響？風險評估是否定期和適時進行？建立ISMS框架55第三步風險評估建立ISMS框架5556第四步風險管理BS7799-2對ISMS的要求：組織應依據信息安全方針和組織要求的安全保證程度來確定需要管理的信息安全風險。根據風險評估的結果，選擇風險控制方法，將組織面臨的風險控制在可以接受的范圍之內。是否定義了組織的風險管理方法？是否定義了所需的信息安全保證程度？是否給出了可選擇的控制措施供管理層做決定？建立ISMS框架56第四步風險管理建立ISMS框架5657第五步選擇控制目標和控制措施BS7799-2對ISMS的要求：組織應選擇適當?shù)目刂拼胧┖涂刂颇繕藖頋M足風險管理的要求，并證明選擇結果的正確性。選擇控制措施的示意圖選擇的控制措施是否建立在風險評估的結果之上？是否能從風險評估中清楚地看出哪一些是基本控制措施，哪一些是必須的，哪一些是可以考慮選擇的控制措施？選擇的控制措施是否反應了組織的風險管理戰(zhàn)略？針對每一種風險，控制措施都不是唯一的，要根據實際情況進行選擇建立ISMS框架安全問題安全需求控制目標控制措施解決指出定義被滿足57第五步選擇控制目標和控制措施建立ISMS框架安全問題安5758第五步選擇控制目標和控制措施BS7799-2對ISMS的要求：未選擇某項控制措施的原因風險原因-沒有識別出相關的風險財務原因-財務預算的限制環(huán)境原因-安全設備、氣候、空間等技術-某些控制措施在技術上不可行文化-社會環(huán)境的限制時間-某些要求目前無法實施其它-？建立ISMS框架58第五步選擇控制目標和控制措施建立ISMS框架5859第六步準備適用聲明BS7799-2對ISMS的要求：組織應準備適用聲明，記錄已選擇的控制措施和理由，以及未選擇的控制措施及其理由。在選擇了控制目標和控制措施后，對實施某項控制目標、措施和不實施某項控制目標、措施進行記錄，并對原因進行解釋的文件。建立ISMS框架未來實現(xiàn)公司ISMS適用聲明59第六步準備適用聲明建立ISMS框架未來實現(xiàn)公司ISMS5960BS7799與CC的比較BS7799完全從管理角度制定，并不涉及具體的安全技術，實施不復雜，主要是告訴管理者一些安全管理的注意事項和安全制度，例如磁盤文件交換和處理的安全規(guī)定、設備的安全配置管理、工作區(qū)進出的控制等一些很容易理解的問題。這些管理規(guī)定一般的單位都可以制定，但要想達到BS7799的全面性則需要一番努力。同BS7799相比，信息技術安全性評估準則(CC)和美國國防部可信計算機評估準則(TCSEC)等更側重于對系統(tǒng)和產品的技術指標的評估；系統(tǒng)安全工程能力成熟模型(SSE-CMM)更側重于對安全產品開發(fā)、安全系統(tǒng)集成等安全工程過程的管理。在對信息系統(tǒng)日常安全管理方面，BS7799的地位是其他標準無法取代的?？偟膩碚f，BS7799涵蓋了安全管理所應涉及的方方面面，全面而不失可操作性，提供了一個可持續(xù)提高的信息安全管理環(huán)境。推廣信息安全管理標準的關鍵在重視程度和制度落實方面。它是目前可以用來達到一定預防標準的最好的指導標準。60BS7799與CC的比較BS7799完全從管理角度制定6061SSE-CMM是系統(tǒng)安全工程能力成熟模型（SystemsSecurityEngineeringCapabilityMaturityModel）的縮寫，它描述了一個組織的安全工程過程必須包含的本質特征，這些特征是完善的安全工程的保證。盡管SSE-CMM沒有規(guī)定一個特定的過程和步驟，但是它匯集了工業(yè)界常見的實施方法。本模型是安全工程實施的標準度量準則，它覆蓋了：整個生命期，包括開發(fā)、運行、維護和終止；整個組織，包括其中的管理、組織和工程活動；與其它規(guī)范并行的相互作用，如系統(tǒng)、軟件、硬件、人的因素、測試工程、系統(tǒng)管理、運行和維護等規(guī)范；與其它機構的相互作用，包括采辦、系統(tǒng)管理、認證、認可和評估機構。在SSE-CMM模型描述中，提供了對所基于的原理、體系結構的全面描述；模型的高層綜述；適當運用此模型的建議；包括在模型中的實施以及模型的屬性描述。它還包括了開發(fā)該模型的需求。SSE-CMM評定方法部分描述了針對SSE-CMM來評價一個組織的安全工程能力的過程和工具。

SSE-CMM61SSE-CMM是系統(tǒng)安全工程能力成熟模型（Systems6162安全工程過程的三個組成部分SSE-CMM過程區(qū)域62安全工程過程的三個組成部分SSE-CMM過程區(qū)域6263SSE-CMM將安全工程劃分為三個基本的過程區(qū)域：風險，工程，保證。它們可以獨立地加以考慮，但這決不意味它們之間有截然不同的區(qū)分。在最簡單的級別上，風險過程識別出所開發(fā)的產品或系統(tǒng)的危險性并對這些危險性進行優(yōu)先級排序。針對危險性所面臨的問題，安全工程過程要與其它工程一起來確定和實施解決方案。最后，由安全保證過程來建立對解決方案的信任并向顧客轉達這種安全信任。

SSE-CMM過程區(qū)域63SSE-CMM將安全工程劃分為三個基本的過程區(qū)域：風險，6364風險過程64風險過程6465安全措施的實施可以減輕風險。安全措施可針對威脅、脆弱性、影響和風險自身。但無論如何，并不能消除所有威脅或根除某個具體威脅。這主要是因為風險消除的代價和相關的不確定性。因此，必須接受殘留的風險。在存在很高的不確定性的情況下，由于風險的不精確的本質，因此是否接受風險是需要慎重對待的大問題。SSE-CMM過程域包括威脅、脆弱性、影響和相關風險進行分析的活動保證。

風險過程65安全措施的實施可以減輕風險。安全措施可針對威脅、脆弱性、6566工程過程66工程過程6667安全工程與其它科目一樣，它是一個包括概念、設計、實現(xiàn)、測試、部署、運行、維護、退出的完整過程。在這個過程中，安全工程的實施必須緊密地與其它的系統(tǒng)工程隊伍相合作。SSE-CMM強調安全工程師是一個大的項目隊伍中的一部分，需要與其它科目工程師的活動相互協(xié)調。這會有助于保證安全成為一個大的項目過程中一個整體部分，而不是一個分開的獨立活動。在生命周期的后面階段，安全工程師將根據意識到風險來適當?shù)嘏渲孟到y(tǒng)，以確保新的風險不會造成系統(tǒng)運行的不安全狀態(tài)。

工程過程67安全工程與其它科目一樣，它是一個包括概念、設計、實現(xiàn)、測6768保證過程68保證過程6869保證是指安全需要得到滿足的信任程度。它是安全工程非常重要的產品。存在著有許多的保證形式。SSE-CMM的信任程度來自于安全工程過程可重復性的結果質量。這種信任的基礎是成熟組織比不成熟組織更可能產生出重復的結果。不同保證形式之間的詳細關系目前是正在研究的課題。

安全保證并不能添加任何額外的對安全相關風險的抗拒能力，但它能為減少預期安全風險控制的執(zhí)行提供信心。安全保證也可看作是安全措施按照要求運行的信心。這種信心來自于正確性和有效性。正確性保證了安全措施按設計實現(xiàn)了需求。有效性則保證了提供的安全措施可充分地滿足顧客的安全需要。SSE-CMM體系結構69保證是指安全需要得到滿足的信任程度。它是安全工程非常重要6970SSE-CMM體系結構的設計是可在整個安全工程范圍內決定安全工程組織的成熟性。這個體系結構的目標是清晰地從管理和制度化特征中分離出安全工程的基本特征。為了保證這種分離，這個模型是兩維的，分別稱為“域”和“能力”。重要的是，SSE-CMM并不意味著在一個組織中任何項目組或角色必須執(zhí)行這個模型中所描述的任何過程，也不要求使用最新的和最好的安全工程技術和方法論。然而，這個模型要求是一個組織機構要有一個適當過程，這個過程應包括這個模型中所描述的基本安全實施。組織機構可以以任何方式隨意創(chuàng)建符合他們業(yè)務目標的過程以及組織結構。SSE-CMM也并不意味著執(zhí)行通用實施的專門要求。一個組織機構一般可隨意以他們所選擇的方式和次序來計劃、跟蹤、定義、控制和改進他們的過程。然而，由于一些較高級別的通用實施依賴于較低級別的通用實施，因此組織機構應在試圖達到較高級別之前，應首先實現(xiàn)較低級別通用實施。SSE-CMM體系結構70SSE-CMM體系結構的設計是可在整個安全工程范圍內決定7071域維僅僅由定義安全工程的所有實施構成。這些實施稱為“基本實施”——BP。能力維代表了若干可表現(xiàn)管理和制度化能力的實施。這些實施被稱作“通用實施”——GP，可在廣泛的域中應用。通用實施表現(xiàn)了一個基本實施中應當完成的活動。通過設置這兩個相互依賴的維，SSE-CMM在各個能力級別上覆蓋了整個安全活動范圍。

SSE-CMM基本模型71域維僅僅由定義安全工程的所有實施構成。這些實施稱為“基本7172基本實施與通用實施的關系SSE-CMM基本模型72基本實施與通用實施的關系SSE-CMM基本模型7273將基本實施和通用實施綜合考慮使得可以檢查一個機構實施一個特定活動的能力。上圖中，感興趣的人士可能會問：“你的機構有足夠的資源來查找系統(tǒng)的安全脆弱性嗎？”如果回答“是”，則對方顯然獲知了機構在這方面的能力。在二維圖的所有交叉點上的問題都得到回答后，我們就得到了對一個機構的安全工程能力的總體認識。SSE-CMM基本模型73將基本實施和通用實施綜合考慮使得可以檢查一個機構實施一個737460個基本實施被歸為的11類，稱為過程域。有許多方式將安全工程范疇劃分為過程域。一種可能的做法是將真實世界模型化，創(chuàng)建匹配安全工程服務的過程域。其它的方法可以是概念域的方法，這些概念域形成了基礎的安全工程建設模塊。SSE-CMM在確定11個過程域的過程中，綜合了比較優(yōu)秀的幾種方法。過程域：匯集了一個域中的相關活動與有價值的安全工程服務相關可在整個組織生命周期中應用能在多個組織和多類產品范圍內實現(xiàn)能作為一個獨立的過程加以改進能夠被感興趣的組織加以改進包括了所有需要滿足過程域目標的BP

過程域7460個基本實施被歸為的11類，稱為過程域。有許多方式將安747511個過程域PA01管理安全控制PA02評估影響PA03評估安全風險PA04評估威脅PA05評估脆弱性PA06建立安全論據PA07協(xié)調安全性PA08監(jiān)視安全態(tài)勢PA09提供安全輸入PA10確定安全需求PA11驗證與確認安全過程域7511個過程域PA01管理安全控制過程域7576其它過程域PA12確保質量PA13管理配置PA14管理項目風險PA15監(jiān)視和控制技術工作PA16規(guī)劃技術工作PA17定義機構的系統(tǒng)工程過程PA18改善機構的系統(tǒng)工程過程PA19管理產品線發(fā)展PA20管理系統(tǒng)工程支持環(huán)境PA21提供不斷發(fā)展的技能和知識PA22與提供商相協(xié)調

SSE-CMM還包括其余11個與項目和機構活動相關的過程域。它們來自于SE-CMM（系統(tǒng)工程——能力成熟模型）。這些過程域不是與安全直接相關的，但是它們也會對安全造成影響。過程域76其它過程域PA12確保質量SSE-CMM還包括其余17677第一級：非正式執(zhí)行該級將關注一個機構或項目是否執(zhí)行了包含基本實施過程的安全工程。該級別的特點可以描述為“你必須首先做它，然后才能管理它”。在本級別，過程域中的基本實施通常已得到了執(zhí)行。但這些基本實施的執(zhí)行可能未經過嚴格的計劃和跟蹤，而是基于個人的知識和努力。各過程域的工作結果可用來確認基本實施已經執(zhí)行。在機構中以個人為單元辨別出某基本實施應被執(zhí)行，并對執(zhí)行的需求及時間達成普遍意見。本級的工作結果是可標識的。

SSE-CMM的5個能力級別77第一級：非正式執(zhí)行該級將關注一個機構或項目是否執(zhí)行了包含7778第二級：計劃和跟蹤該級將關注項目層面的定義、規(guī)劃和執(zhí)行問題。該級別的特點可描述為“在定義機構層面的過程之前，先要理解項目的相關事項”。在本級別上，基本實施的執(zhí)行要經過規(guī)劃并被跟蹤。執(zhí)行時要依據具體的流程，并應得到驗證。工作結果要符合特定的標準和需求。執(zhí)行情況還要經過測量，以使機構能夠基于這些執(zhí)行而管理其活動。它與非正式執(zhí)行級的主要區(qū)別是過程的實施要經過規(guī)劃和管理。

SSE-CMM的5個能力級別78第二級：計劃和跟蹤該級將關注項目層面的定義、規(guī)劃和執(zhí)行問7879第三級：充分定義該級將關注于在機構層面上從既定過程中實施已融合了各個專業(yè)領域知識的裁剪結果。該級別的特點可描述為“用項目中學到的最好的東西來創(chuàng)建機構層面的過程”。在本級別，基本實施應按照充分定義的過程來執(zhí)行，執(zhí)行過程中將使用已獲批準的、經裁剪的標準。本級與第2級“計劃和跟蹤級”的主要區(qū)別在于本級將利用機構范圍內的標準化過程來規(guī)劃和管理安全工程過程。SSE-CMM的5個能力級別79第三級：充分定義該級將關注于在機構層面上從既定過程中實施7980第四級：量化控制該級將關注于測量，它是與機構的業(yè)務目標緊密聯(lián)系在一起的。這個級別的特點可以描述為“只有你知道它是什么，你才能測量它”以及“當你測量正確的對象時，基于測量的管理才有意義”。對過程執(zhí)行情況的詳細測量將在本級中進行收集和分析。這將形成對過程能力的量化理解，使機構有能力去預測過程的執(zhí)行。本級中，過程執(zhí)行的管理是客觀的，工作結果的質量是量化的。本級與充分定義級的主要區(qū)別在于所定義的過程是可量化理解和控制的。SSE-CMM的5個能力級別80第四級：量化控制該級將關注于測量，它是與機構的業(yè)務目標緊8081第五級：連續(xù)改進該級將從此前各級的所有管理活動中獲得最大的收益，并強調機構的文化，以保持所取得的成果。該級別的特點可以描述為“一個持續(xù)改進的文化需要以良好的管理措施、既定過程和可測量的目標為基礎”。在本級別，有關工程過程效果和效率的量化執(zhí)行目標已經基于機構的業(yè)務目標而建立。過程的執(zhí)行以及試驗性的新概念和新技術產生了量化反饋，從而使基于這些目標的連續(xù)的過程改進得到了實現(xiàn)。本級與量化控制級的主要區(qū)別在于，在本級中，基于對這些過程變化效果的量化理解，工程中既定過程和標準過程將得到不斷的改進和提高。

SSE-CMM的5個能力級別81第五級：連續(xù)改進該級將從此前各級的所有管理活動中獲得最大8182系統(tǒng)安全等級a)第一級為自主保護級b)第二級為指導保護級c)第三級為監(jiān)督保護級d)第四級為強制保護級e)第五級為?？乇Ｗo級計算機系統(tǒng)等級保護制度82系統(tǒng)安全等級計算機系統(tǒng)等級保護制度8283實施的基本過程計算機系統(tǒng)等級保護制度83實施的基本過程計算機系統(tǒng)等級保護制度8384安全規(guī)劃設計計算機系統(tǒng)等級保護制度84安全規(guī)劃設計計算機系統(tǒng)等級保護制度8485安全規(guī)劃設計計算機系統(tǒng)等級保護制度85安全規(guī)劃設計計算機系統(tǒng)等級保護制度8586安全規(guī)劃設計計算機系統(tǒng)等級保護制度86安全規(guī)劃設計計算機系統(tǒng)等級保護制度8687第17-18章安全框架與評估標準華南理工大學電子商務學院

本科課程—電子商務安全與保密1第17-18章安全框架與評估標準華南理工大學電子商務學院8788本章要點：→風險評估的要素和基本流程→CC和BS7799安全規(guī)范→SSE-CMM→計算機系統(tǒng)等級保護制度2本章要點：→風險評估的要素和基本流程8889安全設計和安全域/等級保護的結合安全體系的全面性措施分級保護、適度安全強度分級三分技術，七分管理3安全設計和安全域/等級保護的結合安全體系的全面性8990OSI的安全體系結構網絡信息系統(tǒng)安全體系結構4OSI的安全體系結構網絡信息系統(tǒng)安全體系結構9091信息安全評估及相關標準信息安全評估定義:信息安全評估是對一個構件、產品、子系統(tǒng)或系統(tǒng)的安全屬性進行的技術評價，通過評估判斷該構件、產品、子系統(tǒng)或系統(tǒng)是否滿足一組特定的要求產品安全評估信息系統(tǒng)安全評估5信息安全評估及相關標準信息安全評估9192風險評估的目的了解組織的安全現(xiàn)狀分析組織的安全需求建立信息安全管理體系的要求制訂安全策略和實施安防措施的依據組織實現(xiàn)信息安全的必要的、重要的步驟6風險評估的目的了解組織的安全現(xiàn)狀9293.........風險的四個要素：資產及其價值威脅脆弱性現(xiàn)有的和計劃的控制措施資產的分類電子信息資產軟件資產物理資產人員公司形象和名譽威脅舉例：黑客入侵和攻擊病毒和其他惡意程序軟硬件故障人為誤操作自然災害如：地震、火災、爆炸等盜竊網絡監(jiān)聽供電故障后門未授權訪問……7.........風險的四個要素：資產及其價值資產的分9394脆弱性是與信息資產有關的弱點或安全隱患。脆弱性本身并不對資產構成危害，但是在一定條件得到滿足時，脆弱性會被威脅加以利用來對信息資產造成危害。脆弱性舉例：系統(tǒng)漏洞程序Bug專業(yè)人員缺乏不良習慣系統(tǒng)沒有進行安全配置物理環(huán)境不安全缺少審計缺乏安全意識后門……......風險的四個要素：8脆弱性是與信息資產有關的弱點或安全隱患。脆弱性舉例：系統(tǒng)漏9495安全評估模型9安全評估模型9596安全評估模型10安全評估模型9697安全評估模型11安全評估模型9798風險評估的一般工作流程12風險評估的一般工作流程9899風險評估的一般工作流程13風險評估的一般工作流程99100風險評估的一般工作流程14風險評估的一般工作流程100101評估工具評估工具目前存在以下幾類：掃描工具：包括主機掃描、網絡掃描、數(shù)據庫掃描，用于分析系統(tǒng)的常見漏洞；入侵檢測系統(tǒng)（IDS）：用于收集與統(tǒng)計威脅數(shù)據；滲透性測試工具：黑客工具，用于人工滲透，評估系統(tǒng)的深層次漏洞；主機安全性審計工具：用于分析主機系統(tǒng)配置的安全性；安全管理評價系統(tǒng)：用于安全訪談，評價安全管理措施；

風險綜合分析系統(tǒng)：在基礎數(shù)據基礎上，定量、綜合分析系統(tǒng)的風險，并且提供分類統(tǒng)計、查詢、TOPN查詢以及報表輸出功能；評估支撐環(huán)境工具:

評估指標庫、知識庫、漏洞庫、算法庫、模型庫。15評估工具評估工具目前存在以下幾類：101102信息技術安全評估準則發(fā)展過程

《可信計算機系統(tǒng)評估準則》TCSEC《信息技術安全評估準則》ITSEC通用準則CC（ISO15408、GB/T18336)《計算機信息系統(tǒng)安全保護等級劃分準則》BS7799、ISO17799《信息技術安全技術信息技術安全性評估準則》ISO13335《IT安全管理指南》SSE-CMM系統(tǒng)安全工程能力成熟度模型我國的信息安全標準制定情況標準介紹保障信息安全有三個支柱，一個是技術、一個是管理、一個是法律法規(guī)。國家的法律法規(guī)，有專門的部門在研究和制定和推廣。

根據國務院27號文件，對信息安全實施分級安全保護的規(guī)定出臺后，各有關部門都在積極制定相關的制度和法規(guī)，當前被普遍采用的技術標準的是CC/ISO15408，管理體系標準是ISO17799/BS7799。

16信息技術安全評估準則發(fā)展過程標準介紹保障信息安全有三個102103GB18336idtISO/IEC15408信息技術安全性評估準則IATF信息保障技術框架ISSE信息系統(tǒng)安全工程SSE-CMM系統(tǒng)安全工程能力成熟度模型BS7799,ISO/IEC17799信息安全管理實踐準則其他相關標準、準則例如：ISO/IEC15443,COBIT。。。系統(tǒng)認證和認可標準和實踐例如：美國DITSCAP,…中國信息安全產品測評認證中心相關文檔和系統(tǒng)測評認證實踐技術準則（信息技術系統(tǒng)評估準則）管理準則（信息系統(tǒng)管理評估準則）過程準則（信息系統(tǒng)安全工程評估準則）信息系統(tǒng)安全保障評估準則與現(xiàn)有標準關系信息系統(tǒng)安全保障評估準則17GB18336idtISO/IEC15408IA103104信息技術安全評估準則發(fā)展過程1999年GB17859計算機信息系統(tǒng)安全保護等級劃分準則1991年歐洲信息技術安全性評估準則（ITSEC）國際通用準則1996年（CC1.0）1998年（CC2.0）1985年美國可信計算機系統(tǒng)評估準則（TCSEC）1993年加拿大可信計算機產品評估準則（CTCPEC）1993年美國聯(lián)邦準則（FC1.0）1999年國際標準ISO/IEC154081989年英國可信級別標準（MEMO3DTI）德國評估標準（ZSEIC）法國評估標準（B-W-RBOOK）2001年國家標準GB/T18336信息技術安全性評估準則idtiso/iec154081993年美國NIST的MSFR18信息技術安全評估準則發(fā)展過程1999年GC的適用范圍CC定義了評估信息技術產品和系統(tǒng)安全型所需的基礎準則，是度量信息技術安全性的基準針對在安全評估過程中信息技術產品和系統(tǒng)的安全功能及相應的保證措施提出的一組通用要求，使各種相對獨立的安全評估結果具有可比性。該標準適用于對信息技術產品或系統(tǒng)的安全性進行評估，不論其實現(xiàn)方式是硬件、固件還是軟件，還可用于指導產品和系統(tǒng)開發(fā)。該標準的主要目標讀者是用戶、開發(fā)者、評估者。19CC的適用范圍CC定義了評估信息技術產品和系統(tǒng)安全型所需105106CC內容CC吸收了個先進國家對現(xiàn)代信息系統(tǒng)安全的經驗和知識，對信息系統(tǒng)安全的研究和應用定來了深刻的影響。它分為三部分：第一部分介紹CC的基本概念和基本原理；第二部分提出了安全功能要求；第三部分提出了非技術性的安全保證要求。20CC內容CC吸收了個先進國家對現(xiàn)代信息系統(tǒng)安全的經驗和知106107CC內容后兩部分構成了CC安全要求的全部：安全功能要求和安全保證要求，其中安全保證的目的是為了確保安全功能的正確性和有效性，這是從ITSEC和CTCPEC中吸收的。同時CC還從FC中吸收了保護輪廓的(PP)的概念，從而為CC的應用和發(fā)展提供了最大可能的空間和自由度。

CC定義了作為評估信息技術產品和系統(tǒng)安全性的基礎準則，提出了目前國際上公認的表述信息技術安全性的結構，即：安全要求=規(guī)范產品和系統(tǒng)安全行為的功能要求+解決如何正確有效的實施這些功能的保證要求。21CC內容后兩部分構成了CC安全要求的全部：安全功能要求和107108CC的關鍵概念22CC的關鍵概念10810923109110通用準則CC第二部分：安全功能要求CC的第二部分是安全功能要求，對滿足安全需求的諸安全功能提出了詳細的要求另外，如果有超出第二部分的安全功能要求，開發(fā)者可以根據“類-族-組件-元素”的描述結構表達其安全要求，并附加在其ST中24通用準則CC第二部分：安全功能要求CC的第二部分是安全110111通用準則CC第二部分：安全功能要求25通用準則CC第二部分：安全功能要求111112通用準則CC第二部分：安全功能要求26通用準則CC第二部分：安全功能要求112113通用準則CC第二部分：安全功能要求27通用準則CC第二部分：安全功能要求113114通用準則CC第二部分：安全功能要求28通用準則CC第二部分：安全功能要求114115安全功能需求層次關系功能和保證要求以“類—族—組件”的結構表述，組件作為安全要求的最小構件塊，可以用于“保護輪廓”、“安全目標”和“包”的構建，例如由保證組件構成典型的包——“評估保證級包”。29安全功能需求層次關系功能和保證要求以“類—族—組件”的結115116通用準則CC：第三部分評估方法CC的第三部分是評估方法部分，共包括10個類。維護類提出了保證評估過的受測系統(tǒng)或產品運行于所獲得的安全級別上的要求只有七個安全保證類是（評估對象）TOE的評估類別30通用準則CC：第三部分評估方法CC的第三部分是評估方法116117通用準則CC：第三部分評估方法31通用準則CC：第三部分評估方法117118通用準則CC：第三部分評估方法32通用準則CC：第三部分評估方法118119通用準則CC：第三部分評估方法33通用準則CC：第三部分評估方法119120通用準則CC：第三部分評估方法34通用準則CC：第三部分評估方法120121通用準則CC：第三部分評估方法35通用準則CC：第三部分評估方法121122通用準則CC七個安全保證類ACM類：配置管理CM自動化CM能力CM范圍ADO類：交付和運行交付安裝、生成和啟動ADV類：開發(fā)功能規(guī)范高層設計實現(xiàn)表示TSF內部低層設計表示對應性安全策略模型36通用準則CC七個安全保證類122123AGD類：指南文檔管理員指南用戶指南ALC類：生命周期支持開發(fā)安全缺陷糾正生命周期定義工具和技術ATE類：測試覆蓋范圍深度功能測試獨立性測試AVA類：脆弱性評定隱蔽信道分析誤用TOE安全功能強度脆弱性分析通用準則CC37AGD類：指南文檔通用準則CC123124通用準則CC安全保證要求部分提出了七個評估保證級別（EvaluationAssuranceLevels：EALs）分別是：38通用準則CC安全保證要求部分提出了七個評估保證級別（124125通用準則CC：EAL解釋39通用準則CC：EAL解釋125126通用準則CC：EAL解釋40通用準則CC：EAL解釋126127CC的EAL與其他標準等級的比較41CC的EAL與其他標準等級的比較127128BS7799的歷史沿革1995年，英國制定國家標準BS7799第一部分：“信息安全管理事務準則”，并提交國際標準組織(ISO)，成為ISODIS14980。1998年，英國公布BS7799第二部分“信息安全管理規(guī)范”并成為信息安全管理認證的依據；同年，歐盟于1995年10月公布之“個人資料保護指令，自1998年10月25日起正式生效，要求以適當標準保護個人資料”。2000年，國際標準組織ISO/IECJTCSC27在日本東京10月21日通過BS7799-1，成為ISODIS17799-1，2000年12月1日正式發(fā)布。目前除英國之外，國際上已有荷蘭、丹麥、挪威、瑞典、芬蘭、澳大利亞、新西蘭、南非、巴西已同意使用BS7799；日本、瑞士、盧森堡表示對BS7799感興趣；我國的臺灣、香港地區(qū)也在推廣該標準。BS7799(ISO/IEC17799)在歐洲的證書發(fā)放量已經超過ISO9001。但是：ISO17799不是認證標準，目前正在修訂。BS7799-2是認證標準，作為國際標準目前正在討論。42BS7799的歷史沿革1995年，英國制定國家標準BS128129BS7799內容：總則要求各組織建立并運行一套經過驗證的信息安全管理體系（ISMS），用于解決如下問題：資產的保管、組織的風險管理、管理標的和管理辦法、要求達到的安全程度。建立管理框架確立并驗證管理目標和管理辦法時需采取如下步驟：定義信息安全策略定義信息安全管理體系的范圍，包括定義該組織的特征、地點、資產和技術等方面的特征進行合理的風險評估，包括找出資產面臨的威脅、弱點、對組織的沖擊、風險的強弱程度等等根據組織的信息安全策略及所要求的安全程度，決定應加以管理的風險領域選出合理的管理標的和管理辦法，并加以實施；選擇方案時應做到有法可依準備可行性聲明是指在聲明中應對所選擇的管理標的和管理辦法加以驗證，同時對選擇的理由進行驗證，并對第四章中排除的管理辦法進行記錄對上述步驟的合理性應按規(guī)定期限定期審核。43BS7799內容：總則要求各組織建立并運行一套經過驗證的129130BS7799部分BS7799-1:1999《信息安全管理實施細則》是組織建立并實施信息安全管理體系的一個指導性的準則，主要為組織制定其信息安全策略和進行有效的信息安全控制提供的一個大眾化的最佳慣例。BS7799-2:2002《信息安全管理體系規(guī)范》規(guī)定了建立、實施和文件化信息安全管理體系(ISMS)的要求，規(guī)定了根據獨立組織的需要應實施安全控制的要求。即本標準適用以下場合:組織按照本標準要求建立并實施信息安全管理體系，進行有效的信息安全風險管理，確保商務可持續(xù)性發(fā)展；作為尋求信息安全管理體系第三方認證的標準。BS7799標準第二部分明確提出安全控制要求，標準第一部分對應給出了通用的控制方法（措施），因此可以說，標準第一部分為第二部分的具體實施提供了指南。BS7799Part2CorporateGovernancePLANDOACTCHECK風險管理處理系統(tǒng)控制內部審計功能ISO/IEC1779944BS7799部分BS7799-1:1999《信息安全管130131十大管理要項BS7799-2:200245十大管理要項BS7799-2:2002131132十大管理要項BS7799-2:2002

1、安全方針：為信息安全提供管理指導和支持；2、組織安全：建立信息安全架構，保證組織的內部管理；被第三方訪問或外協(xié)時，保障組織的信息安全；3、資產的歸類與控制：明確資產責任，保持對組織資產的適當保護；將信息進行歸類，確保信息資產受到適當程度的保護；4、人員安全：在工作說明和資源方面，減少因人為錯誤、盜竊、欺詐和設施誤用造成的風險；加強用戶培訓，確保用戶清楚知道信息安全的危險性和相關事項，以便在他們的日常工作中支持組織的安全方針；制定安全事故或故障的反應程序，減少由安全事故和故障造成的損失，監(jiān)控安全事件并從這種事件中吸取教訓；5、實物與環(huán)境安全：確定安全區(qū)域，防止非授權訪問、破壞、干擾商務場所和信息；通過保障設備安全，防止資產的丟失、破壞、資產危害及商務活動的中斷；采用通用的控制方式，防止信息或信息處理設施損壞或失竊；46十大管理要項BS7799-2:20021、132133十大管理要項BS7799-2:20026、通信和操作方式管理：明確操作程序及其責任，確保信息處理設施的正確、安全操作；加強系統(tǒng)策劃與驗收，減少系統(tǒng)失效風險；防范惡意軟件以保持軟件和信息的完整性；加強內務管理以保持信息處理和通訊服務的完整性和有效性通過；加強網絡管理確保網絡中的信息安全及其輔助設施受到保護；通過保護媒體處理的安全，防止資產損壞和商務活動的中斷；加強信息和軟件的交換的管理，防止組織間在交換信息時發(fā)生丟失、更改和誤用；7、訪問控制：按照訪問控制的商務要求，控制信息訪問；加強用戶訪問管理，防止非授權訪問信息系統(tǒng)；明確用戶職責，防止非授權的用戶訪問；加強網絡訪問控制，保護網絡服務程序；加強操作系統(tǒng)訪問控制，防止非授權的計算機訪問；加強應用訪問控制，防止非授權訪問系統(tǒng)中的信息；通過監(jiān)控系統(tǒng)的訪問與使用，監(jiān)測非授權行為；在移動式計算和電傳工作方面，確保使用移動式計算和電傳工作設施的信息安全；8、系統(tǒng)開發(fā)與維護：明確系統(tǒng)安全要求，確保安全性已構成信息系統(tǒng)的一部份；加強應用系統(tǒng)的安全，防止應用系統(tǒng)用戶數(shù)據的丟失、被修改或誤用；加強密碼技術控制，保護信息的保密性、可靠性或完整性；加強系統(tǒng)文件的安全，確保IT方案及其支持活動以安全的方式進行；加強開發(fā)和支持過程的安全，確保應用系統(tǒng)軟件和信息的安全；9、商務連續(xù)性管理：防止商務活動的中斷及保護關鍵商務過程不受重大失誤或災難事故的影響；10、符合：符合法律法規(guī)要求，避免刑法、民法、有關法令法規(guī)或合同約定事宜及其他安全要求的規(guī)定相抵觸；加強安全方針和技術符合性評審，確保體系按照組織的安全方針及標準執(zhí)行；系統(tǒng)審核考慮因素，使效果最大化，并使系統(tǒng)審核過程的影響最小化。

47十大管理要項BS7799-2:20026、通133ISMSSpecifications

ISMSStandards標準BS7799Part2ISMSGuidelines(riskassessment,selectionofcontrols)GMITS/MICTSISO/IEC18044IncidenthandlingPD3000seriesonriskandselectionofcontrolsISMSControlCataloguesISO/IEC17799Managementsystemcertificationandaccreditationstandards(auditingprocess,proceduresetc)ISOGuide62EA7/03EN45013EN45012ISO19011ISO9001NationalschemesandstandardsISMSSpecificationsISMSStanda134ISMSStandards

BS7799-2:2002PLANDOACTCHECKPDCAModelDesignISMSImplement&useISMSMonitor&reviewISMSMaintain&improveISMSRiskbasedcontinualimprovementframeworkforinformationsecuritymanagementISMSStandards

BS7799-2:2002P135PDCA循環(huán)的概念最早是由美國質量管理專家戴明提出來的，所以又稱為“戴明環(huán)”。ＰＤＣＡ循環(huán)即計劃（Ｐｌａｎ）、執(zhí)行（Ｄｏ）、檢查（Ｃｈｅｃｋ）和處理（Ａｃｔｉｏｎ），它是一個標準的管理工作程序，也是進行質量管理的四個步驟。Ｐ（計劃）：即根據用戶的要求，制定相應的技術經濟指標、質量目標，以及實現(xiàn)這些目標的具體措施和方法。Ｄ（執(zhí)行）：按照所制定的計劃和措施付諸實施。Ｃ（檢查）：對照計劃，檢查執(zhí)行的情況和效果，及時發(fā)現(xiàn)問題。Ａ（處理）：根據檢查結果采取措施，鞏固成績，吸取教訓，防止重蹈覆轍，并將未解決的問題轉到下一次ＰＤＣＡ循環(huán)中去。PDCA循環(huán)的概念最早是由美國質量管理專家戴明提出來136ＰＤＣＡ循環(huán)有兩個特點：①大環(huán)套小環(huán)，ＰＤＣＡ能應用于企業(yè)的各個方面和各個層次，整個企業(yè)的質量管理運作是一個大的ＰＤＣＡ循環(huán)，而其中的某一車間或部門乃至個人的行動也按ＰＤＣＡ循環(huán)進行，形成大環(huán)套小環(huán)的綜合循環(huán)系統(tǒng)，相互推動。②螺旋式上升，每次ＰＤＣＡ循環(huán)都不是在原地踏步，而是每次循環(huán)都能解決一些問題，下次循環(huán)就在一個較高的層面上進一步解決新的問題。所以，它在不斷循環(huán)的同時，還在不斷上升，呈螺旋上升狀態(tài)。ＰＤＣＡ循環(huán)有兩個特點：137138第一步制訂信息安全方針BS7799-2對ISMS的要求：組織應定義信息安全方針。信息安全是指保證信息的保密性、完整性和可用性不受破壞。建立信息安全管理體系的目標是對公司的信息安全進行全面管理。信息安全方針是由組織的最高管理者正式制訂和發(fā)布的該組織的信息安全的目標和方向，用于指導信息安全管理體系的建立和實施過程。要經最高管理者批準和發(fā)布體現(xiàn)了最高管理者對信息安全的承諾與支持要傳達給組織內所有的員工要定期和適時進行評審目的和意義為組織提供了關注的焦點，指明了方向，確定了目標；確保信息安全管理體系被充分理解和貫徹實施；統(tǒng)領整個信息安全管理體系。建立ISMS框架52第一步制訂信息安全方針建立ISMS框架138139第一步制訂信息安全方針信息安全方針的內容包括但不限于：組織對信息安全的定義信息安全總體目標和范圍最高管理者對信息安全的承諾與支持的聲明符合相關標準、法律法規(guī)、和其它要求的聲明對信息安全管理的總體責任和具體責任的定義相關支持文件注意事項簡單明了易于理解可實施避免太具體建立ISMS框架53第一步制訂信息安全方針建立ISMS框架139140第二步確定ISMS范圍BS7799-2對ISMS的要求：組織應定義信息安全管理體系的范圍，范圍的邊界應依據組織的結構特征、地域特征、資產和技術特點來確定?？梢愿鶕M織的實際情況，將組織的一部分定義為信息安全管理范圍，也可以將組織整體定義為信息安全管理范圍；信息安全管理范圍必須用正式的文件加以記錄。ISMS范圍文件文件是否明白地描述了信息安全管理體系的范圍范圍的邊界和接口是否已清楚定義建立ISMS框架54第二步確定ISMS范圍建立ISMS框架140141第三步風險評估BS7799-2對ISMS的要求：組織應進行適當?shù)娘L險評估，風險評估應識別資產所面對的威脅、脆弱性、以及對組織的潛在影響，并確定風險的等級。是否執(zhí)行了正式的和文件化的風險評估？是否經過一定數(shù)量的員工驗證其正確性？風險評估是否識別了資產的威脅、脆弱性和對組織的潛在影響？風險評估是否定期和適時進行？建立ISMS框架55第三步風險評估建立ISMS框架141142第四步風險管理BS7799-2對ISMS的要求：組織應依據信息安全方針和組織要求的安全保證程度來確定需要管理的信息安全風險。根據風險評估的結果，選擇風險控制方法，將組織面臨的風險控制在可以接受的范圍之內。是否定義了組織的風險管理方法？是否定義了所需的信息安全保證程度？是否給出了可選擇的控制措施供管理層做決定？建立ISMS框架56第四步風險管理建立ISMS框架142143第五步選擇控制目標和控制措施BS7799-2對ISMS的要求：組織應選擇適當?shù)目刂拼胧┖涂刂颇繕藖頋M足風險管理的要求，并證明選擇結果的正確性。選擇控制措施的示意圖選擇的控制措施是否建立在風險評估的結果之上？是否能從風險評估中清楚地看出哪一些是基本控制措施，哪一些是必須的，哪一些是可以考慮選擇的控制措施？選擇的控制措施是否反應了組織的風險管理戰(zhàn)略？針對每一種風險，控制措施都不是唯一的，要根據實際情況進行選擇建立ISMS框架安全問題安全需求控制目標控制措施解決指出定義被滿足57第五步選擇控制目標和控制措施建立ISMS框架安全問題安143144第五步選擇控制目標和控制措施BS7799-2對ISMS的要求：未選擇某項控制措施的原因風險原因-沒有識別出相關的風險財務原因-財務預算的限制環(huán)境原因-安全設備、氣候、空間等技術-某些控制措施在技術上不可行文化-社會環(huán)境的限制時間-某些要求目前無法實施其它-？建立ISMS框架58第五步選擇控制目標和控制措施建立ISMS框架144145第六步準備適用聲明BS7799-2對ISMS的要求：組織應準備適用聲明，記錄已選擇的控制措施和理由，以及未選擇的控制措施及其理由。在選擇了控制目標和控制措施后，對實施某項控制目標、措施和不實施某項控制目標、措施進行記錄，并對原因進行解釋的文件。建立ISMS框架未來實現(xiàn)公司ISMS適用聲明59第六步準備適用聲明建立ISMS框架未來實現(xiàn)公司ISMS145146BS7799與CC的比較BS7799完全從管理角度制定，并不涉及具體的安全技術，實施不復雜，主要是告訴管理者一些安全管理的注意事項和安全制度，例如磁盤文件交換和處理的安全規(guī)定、設備的安全配置管理、工作區(qū)進出的控制等一些很容易理解的問題。這些管理規(guī)定一般的單位都可以制定，但要想達到BS7799的全面性則需要一番努力。同BS7799相比，信息技術安全性評估準則(CC)和美國國防部可信計算機評估準則(TCSEC)等更側重于對系統(tǒng)和產品的技術指標的評估；系統(tǒng)安全工程能力成熟模型(SSE-CMM)更側重于對安全產品開發(fā)、安全系統(tǒng)集成等安全工程過程的管理。在對信息系統(tǒng)日常安全管理方面，BS7799的地位是其他標準無法取代的。總的來說，BS7799涵蓋了安全管理所應涉及的方方面面，全面而不失可操作性，提供了一個可持續(xù)提高的信息安全管理環(huán)境。推廣信息安全管理標準的關鍵在重視程度和制度落實方面。它是目前可以用來達到一定預防標準的最好的指導標準。60BS7799與CC的比較BS7799完全從管理角度制定146147SSE-CMM是系統(tǒng)安全工程能力成熟模型（SystemsSecurityEngineeringCapabilityMaturityModel）的縮寫，它描述了一個組織的安全工程過程必須包含的本質特征，這些特征是完善的安全工程的保證。盡管SSE-CMM沒有規(guī)定一個特定的過程和步驟，但是它匯集了工業(yè)界常見的實施方法。本模型是安全工程實施的標準度量準則，它覆蓋了：整個生命期，包括開發(fā)、運行、維護和終止；整個組織，包括其中的管理、組織和工程活