信息安全保障概述

信息安全保障概述中国信息安全测评中心课程内容2信息安全保障概述信息安全保障框架国家信息安全政策法规信息安全保障框架基础知识重点法律法规解读重点政策解读信息安全保障基本实践知识体：信息安全保障框架知识域：安全保障框架基础知识理解信息安全的基本概念理解信息安全保障的意义和内涵；了解信息安全保障工作的总体思路和基本实践方法。知识域：信息安全保障基本实践了解我国信息安全保障工作发展阶段；我国信息安全保障基本原则；我国信息安全保障建设主要内容；我国信息安全保障工作的基本内容。3什么是安全？安全Security：事物保持不受损害4什么是信息安全？不该知道的人，不让他知道！5什么是信息安全？信息不能追求残缺美！6什么是信息安全？信息要方便、快捷！不能像某国首都二环早高峰，也不能像春运的火车站7什么是信息安全秘密保密性（Confidentiality）完整性（Integrity）可用性（Availability）信息本身的机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）的保持，即防止防止未经授权使用信息、防止对信息的非法修改和破坏、确保及时可靠地使用信息。保密性：确保信息没有非授权的泄漏，不被非授权的个人、组织和计算机程序使用完整性：确保信息没有遭到篡改和破坏可用性：确保拥有授权的用户或程序可以及时、正常使用信息8为什么会有信息安全问题？因为有病毒吗？•因为有黑客吗？•因为有漏洞吗？这些都是原因，但没有说到根源9信息系统安全问题产生的根源与环节内因复杂性导致脆弱性：过程复杂，结构复杂，使用复杂外因对手:威胁与破坏10内在复杂——过程信息系统理论•冯-诺伊曼机，在程序与数据的区分上没有确定性的原则设计•从设计的角度看，在设计时考虑的优先级中安全性相对于易用性、代码大小、执行程度等因素被放在次要的位置实现•由于人性的弱点和程序设计方法学的不完善，软件总是存在BUG生产与集成使用与运行维护11安全问题根源—内因系统越来越复杂12安全问题根源—内因我们使用的网络是开放的内在复杂——使用14安全问题根源—外因来自对手的威胁国家安全威胁信息战士减小国家决策空间、战略优势，制造混乱，进行目标破坏情报机构搜集政治、军事，经济信息共同威胁恐怖分子破坏公共秩序，制造混乱，发动政变商业间谍掠夺竞争优势，恐吓犯罪团伙施行报复，实现经济目的，破坏制度局部威胁社会型黑客攫取金钱，恐吓，挑战，获取声望娱乐型黑客以吓人为乐，喜欢挑战15安全问题根源—外因来自自然的破坏16信息安全的范畴信息技术问题——技术系统的安全问题组织管理问题——人+技术系统+组织内部环境社会问题——法制、舆论国家安全问题——信息战、虚拟空间17信息网络已逐渐成为经济繁荣、社会稳定和国家发展的基础信息化深刻影响着全球经济的整合、国家战略的调整和安全观念的转变从单纯的技术性问题变成事关国家安全的全球性问题。信息安全和信息安全保障适用于所有技术领域。硬件软件军事计算机通讯指挥控制和情报(C4I)系统，制造工艺控制系统，决策支持系统，电子商务，电子邮件，生物医学系统和智能运输系统(ITS)。信息安全的地位和作用18信息安全发展阶段COMSEC通信安全COMPUSEC计算机安全INFOSEC信息系统安全IA信息安全保障19CS/IA网络空间安全/信息安全保障COMSEC：CommunicationSecurity20世纪，40年代-70年代核心思想：•通过密码技术解决通信保密，保证数据的保密性和完整性•主要关注传输过程中的数据保护安全威胁：搭线窃听、密码学分析安全措施：加密标志•1949年：shannon发表《保密通信的信息理论》•1977年：美国国家标准局公布数据加密标准DES•1976年：Diffle和Hellman在“NewDirectionsinCryptography”一文中提出公钥密码体系通信安全20COMPUSEC：ComputerSecurity20世纪，70-90年代核心思想：•预防、检测和减小计算机系统（包括软件和硬件）用户（授权和未授权用户）执行的未授权活动所造成的后果。•主要关注于数据处理和存储时的数据保护。安全威胁：非法访问、恶意代码、脆弱口令等安全措施：安全操作系统设计技术（TCB）标志：•1985年，美国国防部的可信计算机系统评估保障（TCSEC，橙皮书），将操作系统安全分级（D、C1、C2、B1、B2、B3、A1）；后补充红皮书TNI（1987）和TDI（1991），发展为彩虹（rainbow）系列计算机安全21INFOSEC：InformationSecurity20世纪，90年代后核心思想：•综合通信安全和计算机安全安全•重点在于保护比“数据”更精炼的“信息”，确保信息在存储、处理和传输过程中免受偶然或恶意的非法泄密、转移或破坏。安全威胁：网络入侵、病毒破坏、信息对抗等安全措施：防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等标志•安全评估保障CC（ISO15408，GB/T18336）信息系统安全22信息安全保障发展历史第一次定义：在1996年美国国防部DoD指令5-3600.1（DoDD5-3600.1）中，美国信息安全界第一次给出了信息安全保障的标准化定义现在：信息安全保障的概念已逐渐被全世界信息安全领域所接受。中国：中办发27号文《国家信息化领导小组关于加强信息安全保障工作的意见》，是信息安全保障工作的纲领性文件信息安全保障发展历史从通信安全（COMSEC）-〉计算机安全（COMPUSEC）-〉信息系统安全（INFOSEC）-〉信息安全保障（IA）-〉网络空间安全/信息安全保障（CS/IA）。23IA：InformationAssurance今天，将来……核心思想：•保障信息和信息系统资产，保障组织机构使命的执行；•综合技术、管理、过程、人员；•确保信息的保密性、完整性和可用性。安全威胁：黑客、恐怖分子、信息战、自然灾难、电力中断等安全措施：技术安全保障体系、安全管理体系、人员意识/培训/教育、认证和认可标志：•技术：美国国防部的IATF深度防御战略•管理：BS7799/ISO17799•系统认证：美国国防部DITSCAP信息安全保障24网络空间安全/信息安全保障CS/IA：CyberSecurity/InformationAssurance2009年，在美国带动下，世界各国信息安全政策、技术和实践等发生重大变革……共识：网络安全问题上升到国家安全的重要程度核心思想：从传统防御的信息保障（IA），发展到“威慑”为主的防御、攻击和情报三位一体的信息保障/网络安全（IA/CS）的网空安全•网络防御-Defense（运维）•网络攻击-Offense（威慑）•网络利用-Exploitation（情报）252008年1月，布什政府发布了国家网络安全综合倡议（CNCI），号称网络安全“曼哈顿项目”，提出威慑概念，其中包括爱因斯坦计划、情报对抗、供应链安全、超越未来（“Leap-Ahead”）技术战略2009年5月29日发布了《网络空间政策评估：确保信息和通讯系统的可靠性和韧性》报告2009年6月25日，英国推出了首份“网络安全战略”，并将其作为同时推出的新版《国家安全战略》的核心内容2009年6月，美国成立网络战司令部12月22日，奥巴马任命网络安全专家担任“网络沙皇”…26网络空间安全/信息安全保障阶段年代安全威胁安全措施通信安全20世纪，40—70年代搭线窃听、密码学分析加密计算机安全20世纪，70-90年代非法访问、恶意代码、脆弱口令等安全操作系统设计技术（TCB）信息系统安全20世纪，90年代后网络入侵、病毒破坏、信息对抗等防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等信息安全保障今天，……黑客、恐怖分子、信息战、自然灾难、电力中断等技术安全保障体系、安全管理体系、人员意识/培训/教育、认证和认可网络安全空间/信息安全保障2009年开始国家安全的高度网络防御网络攻击网络利用从技术角度看信息安全27•组织机构的使命/业务目标实现越来越依赖于信息系统•信息系统成为组织机构生存和发展的关键因素•信息系统的安全风险也成为组织风险的一部分•为了保障组织机构完成其使命，必须加强信息安全保障，抵抗这些风险。信息系统使命风险保障为什么需要信息安全保障28信息安全保障作用益处受益者基础设施系统人类安全免受偶然和恶意的事故造成的死伤个人及家庭、制造商、经销商、操作者电信，电力，石油和天然气，供水，运输，应急响应。环境安全使环境免受偶然的和恶意的，永久的或暂时的破坏个人，社会，设施的制造商，经销商和操作者电信，电力，石油和天然气，供水，运输，应急响应，政府财产安全使财产免受偶然的和恶意的，永久的或暂时的损害和破坏财产所有者，财产使用者，制造商，经销商电信，电力，石油和天然气，供水，运输，应急响应。信息安全保障的意义29经济稳定和安全免受经济损失，混乱，物资和服务匮乏的困扰个人，社会，金融机构，批发、零售企业，制造业，本地、全国、全球贸易。电信，银行与金融，电力，石油和天然气，供水，运输，应急响应，政府。社会稳定免受社会动乱，暴力，断绝生路，个人安全的困扰个人，社会电信，银行与金融，电力，石油和天然气，供水，运输，应急响应，政府。隐私a.个人b.公司a.免受身份被窃，财务损失，隐私被侵犯，人格损毁，知识产权被盗的困扰b.免受财务损失，客户流失，知识产权被盗的困扰a.个人，其家庭，其雇主b.公司雇员，股东，业务伙伴电信，银行与金融，电力，石油和天然气，供水，运输，应急响应，政府。国家安全保护对敏感的经济资产及其他战略资产的获取与披露个人，社会，相邻国家，全球贸易伙伴，跨国公司电信，银行与金融，电力，石油和天然气，供水，运输，应急响应，政府。信息安全保障的意义30信息安全保障是一种立体保障31信息系统安全保障是在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。信息安全保障定义32技术工程管理人员保障要素开发采购实施交付运行维护完整性可用性废弃保密性安全特征计划组织生命周期国家标准：《GB/T20274.1-2006信息安全技术信息系统安全保障评估框架第一部分：简介和一般模型》信息系统安全保障模型-保障评估框架33技术操作深度防御战略人人通过技术进行操作计算环境区域边界网络基础设施支撑性基础设施密钥管理检测响应成功的组织功能信息安全保障（IA）信息系统安全保障模型-IATF34安全保障的目标是支持业务信息安全保障是为了支撑业务高效稳定运行要以安全促发展，在发展中求安全35信息安全保障需要持续进行36措施信息系统保障风险脆弱性威胁使命能力策略模型信息安全、系统及业务关系37信息安全保障“组织内部环境”信息系统安全问题通信安全数据安全技术系统安全问题网络安全现在人们意识到：技术很重要，但技术不是一切；信息系统很重要，只有服务于组织业务使命才有意义个人信息可能面临的安全威胁1、外部人员通过互联网利用木马等攻击手段窃取、篡改或破坏个人计算机中存放的敏感信息；2、外部人员非法接入税务系统内网或直接操作内网计算机窃取、篡改或破坏敏感信息；3、外部人员盗窃笔记本电脑、U盘等移动计算和存储设备窃取敏感信息；4、病毒通过网络或移动介质传播造成个人计算机无法正常使用或数据破坏；5、内部工作人员由于误操作等过失行为导致敏感信息丢失或被破坏；6、内部工作人员由于利益驱使，利用工作之便窃取他人个人计算机中工作敏感信息。39案例1国内最大的影音播放软件暴风影音爆出存在安全漏洞，该漏洞发生在暴风影音II的一个activex控件上，当安装了暴风影音II的用户在浏览黑客精心构造的包含恶意代码的网页后，会下载木马病毒，并以当前