信息系统安全相关标准培宣贯培训

信息系统安全相关标准培宣贯培训主讲人：彭勇主讲人：彭勇2009年12月29日2009年12月29日信息安全上周大事12月21日——中国ƒ12月21日，全国工业和信息化工作会议•网络与信息安全问题日益突出，2010年工信部的主要工作之一即“把网络与信息安全放在更加突出的位置，维护国家安全和社会稳定”。位置，维护国家安全和社会稳定”。信息安全上周大事12月22日——美国ƒ12月22日，奥巴马任命网络安全专家担任“网络沙皇”月日，奥巴马任命网络安全专家担任“网络沙皇”•奥巴马总统任命网络安全专家霍华德·施密特担任美国政府网络安全协调员•施密特将领导白宫网络安全办公室，向美国国家安全委员会和国家经济委员会汇报工作，并协调美国联邦政府的军事和民事部门网络安全政策。员会汇报工作，并协调美国联邦政府的军事和民事部门网络安全政策。信息安全上周报道12月24日——网络战与核武同属战略武器可使地球瞬间瘫痪ƒ美国兰德公司指出，工业时代的战略战是核战争，信息时代的战略战主要是网络战。争，信息时代的战略战主要是网络战。目录目录ƒ内容ƒ内容第一部分：信息安全保障原理介绍第二部分：信息系统安全相关标准介绍第二部分：信息系统安全相关标准介绍讨论问题•讨论问题1.信息安全是什么？2.信息系统安全标准和实践？3.信息系统安全标准使用的困难和问题？4.信息系统安全相关标准内容信息系统安全相关标准宣贯培训宣贯培训第一部分：信息安全保障原理介绍第部分：信息安全保障原理介绍目录目录一．信息安全保障历史和背景一．信息安全保障历史和背景二．信息系统安全标准和实践简介三．信息系统安全标准使用的困难和问题信息安全保障历史和背景一、信息安全保障历史和背景信息安全发展历史信息安全发展历史COMPUSECCOMSEC信息安全保障（IA）COMPUSEC信息安全保障（IA）发展历史INFOSECCS/IAIA信息安全保障（IA）发展历史信息安全保障发展历史通信安全（COMSEC：CommunicationSecurity）ƒ20世纪，40年代70年代ƒ20世纪，40年代-70年代•通过密码技术解决通信保密，保证数据的保密性和完整性安全威胁：搭线窃听、密码学分析•安全威胁：搭线窃听、密码学分析•安全措施：加密标志•标志ƒ1949年：shannon发表《保密通信的信息理论》ƒ1977年：美国国家标准局公布数据加密标准DESƒ1977年：美国国家标准局公布数据加密标准DESƒ1976年：Diffle和Hellman在“NewDirectionsinCryptography”一文中提出公钥密码体系•参考资料：BruceSchneier的“应用密码学-AppliedCryptography”信息安全保障（IA）发展历史信息安全保障发展历史计算机安全（COMPUSEC：ComputerSecurity）20世纪，7090年代ƒ20世纪，70-90年代•确保信息系统资产（包括硬件、软件、固件和通信、存储和处理的信息）保密性、完整性和可用性的措施和控制•安全威胁：非法访问、脆弱口令等•安全措施：安全操作系统设计技术（TCB）安全措施：安全操作系统设计技术（TCB）•标志：ƒ1985年，美国国防部的可信计算机系统评估保障ƒ1985年，美国国防部的可信计算机系统评估保障（TCSEC，橙皮书），操作系统安全分级（D、C1、C2、B1、B2、B3、A1）；后发展为彩虹（rainbow）系列B1、B2、B3、A1）；后发展为彩虹（rainbow）系列信息安全保障（IA）发展历史信息安全保障发展历史信息系统安全（INFOSEC：InformationSystemSecurity）20世纪，90年代后ƒ20世纪，90年代后•综合通信安全和信息系统安全•保护信息系统，确保信息在存储、处理和传输过程中免受非授权的访问，防止授权用户的拒绝服务，中免受非授权的访问，防止授权用户的拒绝服务，以及包括那些检测、记录和对抗此类威胁的措施。•安全威胁：网络入侵、信息对抗等安全威胁：网络入侵、信息对抗等•安全措施：防火墙、防病毒、PKI、VPN等标志•标志ƒ安全评估保障CC（ISO15408，GB/T18336）信息安全保障（IA）发展历史信息安全保障（）发展历史信息安全保障（IA：InformationAssurance）ƒ信息安全保障（IA）ƒ信息安全保障（IA）•保障信息和信息系统资产，保障组织机构使命的执行；综合技术、管理、过程、人员；确保信息的保密性、完整性和可技术、管理、过程、人员；确保信息的保密性、完整性和可用性。•安全威胁：黑客、恐怖分子、信息战、自然灾难、电力中断等等•安全措施：技术安全保障体系、安全管理体系、人员意识/培训/教育、认证和认可培训/教育、认证和认可•标志：ƒ技术：美国国防部的IATF深度防御战略技术：美国国防部的深度防御战略ƒ管理：BS7799/ISO17799ƒ系统认证：美国国防部DITSCAPƒ。。。ƒ。。。信息安全保障（IA）发展历史信息安全保障（IA）发展历史网络空间安全/信息安全保障（CS/IA：CyberSecurity/InformationAssurance）ƒ网络空间安全/信息安全保障（CS/IA）ƒ网络空间安全/信息安全保障（CS/IA）•共识：网络安全问题上升到国家安全的重要程度网络战背景：2009年6月，美国成立网络战司令部，从传统•网络战背景：2009年6月，美国成立网络战司令部，从传统防御的信息保障（IA），发展到“威慑”为主的防御、攻击和情报三位一体的信息保障/网络安全（IA/CS）的网空安全和情报三位一体的信息保障/网络安全（IA/CS）的网空安全ƒ网络防御-Defense（运维）ƒ网络攻击-Offense（威慑）ƒ网络利用-Exploitation（情报）ƒ2009年，在美国带动下，世界各国信息安全政策、技年，在美国带动下，世界各国信息安全政策、技术和实践等发生重大变革信息安全保障（IA）发展历史信息安全保障（IA）发展历史网络空间安全/信息安全保障（CS/IA：CyberSecurity/InformationAssurance）ƒ网络空间安全/信息安全保障（CS/IA）标志ƒ网络空间安全/信息安全保障（CS/IA）标志•2008年1月，布什政府发布了国家网络安全综合倡议（CNCI），号称网络安全“曼哈顿项目”，提出威慑概念，（CNCI），号称网络安全“曼哈顿项目”，提出威慑概念，其中包括爱因斯坦计划、情报对抗、供应链安全、超越未来（“Leap-Ahead”）技术战略2009年5月29日发布了《网络空间政策评估：确保信息和通•2009年5月29日发布了《网络空间政策评估：确保信息和通讯系统的可靠性和弹性》报告•2009年6月25日，英国推出了首份“网络安全战略”，并将•2009年6月25日，英国推出了首份“网络安全战略”，并将其作为同时推出的新版《国家安全战略》的核心内容•2009年6月，美国成立网络战司令部年月，美国成立网络战司令部•12月22日，奥巴马任命网络安全专家担任“网络沙皇”•…信息安全问题的多个层面性质性质问题问题内涵内涵影响影响表现表现信息安全问题的多个层面性质性质问题问题内涵内涵影响影响表现表现基础设施技术安全信息的完整性、机密性、可用社会经济安全事故基础设施技术安全机密性、可用性等社会经济损失安全事故文化安全、网络信息内容社会、政治道德影响、新兴媒体文化安全、舆论安全网络信息内容的健康、积极和可控社会、政治稳定道德影响、信任危机社会形态政治与国家安全、经济和社会安全网络社会的政治、经济和社会秩序政权、经济发展和社会稳定突发事件、社会危机主权存在军事安全、国家安全国家之间的信息对抗与斗争国家主权、国际利益军事冲突、信息对抗什么是信息系统？什么是信息系统？ƒ信息技术系统ƒ信息技术系统•作为信息系统一部分的执行组织机构信息功能的用于采集、创建、通信、计算、分发、处理、存储和/或控制数据或信创建、通信、计算、分发、处理、存储和/或控制数据或信息的计算机硬件、软件和/或固件的任何组合。ƒ信息系统•信息系统用于采集、处理、存储、传输、分发和部署信息的整个基础设施、组织结构、人员和组件的总和。的整个基础设施、组织结构、人员和组件的总和。信息系统是在信息技术系统的基础上，综合考虑了人ƒ信息系统是在信息技术系统的基础上，综合考虑了人员、管理等系统综合运行环境的一个整体。信息系统安全信息系统安全通信安全网络安全数据安全网络安全信息系统安全问题数据安全技术系统安全问题“组织内部环境”信息系统安全问题组织外部环境–法律与政策基础信息网络和重要信息系统信息系统安全问题复杂系统相互依赖性和级联效应信息系统安全问题产生的根源与环节信息系统安全问题产生的根源与环节内因：ƒ内因：复杂性：过程复杂，结构复杂，使用复杂外因：ƒ外因：对手:威胁与破坏对手威胁与破坏系统相互依赖性ƒ系统相互依赖性内在复杂过程内在复杂——过程ƒ信息系统理论ƒ信息系统理论•如图灵机，在程序与数据的区分上没有确定性的原则，ƒ设计ƒ设计•从设计的角度看，在设计时考虑的优先级中安全性相对于易用性、代码大小、执行程度等因素被放在次要的位置用性、代码大小、执行程度等因素被放在次要的位置ƒ实现•由于人性的弱点和程序设计方法学的不完善，软件总是存在由于人性的弱点和程序设计方法学的不完善，软件总是存在BUGƒ生产与集成生产与集成ƒ使用与运行维护内在复杂使用内在复杂——使用安全外因安全外因减小美国决策空间战略优信息战士减小美国决策空间、战略优势，制造混乱，进行目标破坏国家安全威胁情报机构搜集政治、军事，经济信息威胁情报机构搜集政治、军事，经济信息恐怖分子破坏公共秩序，制造混乱，发动政变工业间谍掠夺竞争优势，恐吓共同威胁威胁犯罪团伙施行报复，实现经济目的，破坏制度社会型黑客攫取金钱，恐吓，挑战，获取声望局部威胁以吓人为乐喜欢挑战威胁娱乐型黑客以吓人为乐，喜欢挑战保障的含义保障的含义ƒ主观:信心ƒ主观:信心ƒ客观:性质ƒ从客观到主观:能力与水平能力与水平CC中保障被定义为：实体满足其安全目的的信心基础CC中保障被定义为：实体满足其安全目的的信心基础（Groundsforconfidencethatanentitymeetsitssecurityobjectives），因而在信息安全领域谈保障，securityobjectives），因而在信息安全领域谈保障，就是谈安全保障。信息安全保障信息安全保障信息安全保障体系的建设是一项长期而艰巨的ƒ信息安全保障体系的建设是一项长期而艰巨的任务ƒ当前，人们从以下几个方面致力于建立信息安全保障体系全保障体系•技术管理•管理•人•政策、法规和标准等对策风险管理对策：风险管理ƒ信息安全对策必须以风险管理为基础ƒ信息安全对策必须以风险管理为基础•安全不必是完美无缺、面面俱到的。但风险必须是能够管理的。的。ƒ最适宜的信息安全策略就是最优的风险管理对策。这是一个在有限资源前提下的最优选择问题：•这是一个在有限资源前提下的最优选择问题：ƒ防范不足会造成直接的损失；防范过多又会造成间接的损失。必须根据安全目标审查安全手段。的损失。必须根据安全目标审查安全手段。ƒ信息安全保障的问题就是安全的效用问题，在解决或信息安全保障的问题就是安全的效用问题，在解决或预防信息安全问题时，要从经济、技术、管理的可行性和有效性上做出权衡和取舍。信息安全风险评估信息安全风险评估ƒ信息安全风险评估就是从风险管理角度，运用ƒ信息安全风险评估就是从风险管理角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威及其存在的，事统所面临的威胁及其存在的漏洞，评估安全事件—旦发生可能造成的危害程度，提出有针对件度性的抵御威胁的防护对策和整改措施。并为防范和化解信息安全风险，或者将风险控制在可范和化解信息安全风险，或者将风险控制在可接受的水平，从而最大限度地保障网络和信息安全提供科学依据。安全提供科学依据。信息系统安全理解风险与各种类型检查和测评关系国家：政策法规行业/领域：政策法根据组织机构自身:业务等合规性要求•风