信息安全管理体系.ppt

《信息安全管理体系.ppt》由会员分享，可在线阅读，更多相关《信息安全管理体系.ppt（53页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、本节内容本节内容等级测试的基本概念等级测试的基本概念1测评方法和测评强度测评方法和测评强度2主要测评内容主要测评内容36第一页，编辑于星期五：二点 十七分。1 1、等级保护基本概念、等级保护基本概念第二页，编辑于星期五：二点 十七分。v在我国，在我国，19941994年，年，中华人民共和国计算机信息系中华人民共和国计算机信息系统安全保护条例统安全保护条例的发布，开始关注信息系统的安的发布，开始关注信息系统的安全和测评。全和测评。v0303年和年和0404年，中央办公厅、国务院办公厅年，中央办公厅、国务院办公厅2727号文、号文、四部委四部委6666号文进一步规定：号文进一步规定：信息和信息系统

2、的运营、使用单位按照等级保护的信息和信息系统的运营、使用单位按照等级保护的管理管理规范和技术标准规范和技术标准，确定其信息和信息系统的安全保护等级；，确定其信息和信息系统的安全保护等级；进行安全规划设计、安全建设施工；定期进行安全状况检进行安全规划设计、安全建设施工；定期进行安全状况检测评估。测评估。国家指定信息安全监管职能部门按照等级保护的国家指定信息安全监管职能部门按照等级保护的管理规范管理规范和技术标准和技术标准的要求，对信息和信息系统的安全等级保护的要求，对信息和信息系统的安全等级保护状况进行监督检查。状况进行监督检查。背景背景背景背景1 1、等级测评基本概念、等级测评基本概念第三页，

3、编辑于星期五：二点 十七分。v信息安全等级保护信息安全等级保护 根据信息系统在国家安全、经济安全、社会稳根据信息系统在国家安全、经济安全、社会稳定和保护公共利益等方面的不同程度，结合系统面定和保护公共利益等方面的不同程度，结合系统面临的风险、应对风险的安全保护要求和成本开销等临的风险、应对风险的安全保护要求和成本开销等因素，将其划分成不同的信息安全等级，采取相应因素，将其划分成不同的信息安全等级，采取相应的安全保护措施，以保障信息和信息系统的安全。的安全保护措施，以保障信息和信息系统的安全。1 1、等级测评基本概念、等级测评基本概念1.1 1.1 基本概念基本概念基本概念基本概念第四页，编辑于

4、星期五：二点 十七分。v等级保护的基本原则等级保护的基本原则 重点保护原则 “谁主管谁负责、谁运营谁负责”原则 分区域保护原则 “同步建设、动态调整”原则 重点保护关系国家安全、经济命脉、社会稳定等方面的重要信息系统 各主管部门和运营单位资助确定信息系统的安全等级，按相关要求组织实施。分类、分级、分阶段划分安全保护等级区域实现不同强度的安全保护与建设（新建、改建、扩建）同步建设信息安全措施，动态调整信息安全保护等级第五页，编辑于星期五：二点 十七分。v安全等级划分安全等级划分 自主保护级自主保护级 指导保护级指导保护级 监督保护级监督保护级 强制保护级强制保护级 专控保护级专控保护级一般的信息

5、和信息系统涉及国家安全、社会秩序、经济建设的一般系统涉及国家安全、社会秩序、经济建设的信息系统涉及国家安全、社会秩序、经济建设的重要信息系统涉及国家安全、社会秩序、经济建设的重要信息系统及其核心子系统第六页，编辑于星期五：二点 十七分。v等级保护实施方法等级保护实施方法安全定级基本安全要求分析系统特定安全要求分析风险评估改进和选择安全措施实施第七页，编辑于星期五：二点 十七分。v等级保护实施过程等级保护实施过程三个阶段 定级阶段：系统识别与描述与等级确定 规划与设计阶段：1、系统分域保护框架建立 2、选择和调整安全措施 3、安全规划与方案设计 实施、等级评估与改进阶段：1、安全措施实施 2、评

6、估与验收 3、运行监控与改进第八页，编辑于星期五：二点 十七分。2 2、等级测评基本概念、等级测评基本概念第九页，编辑于星期五：二点 十七分。v信息安全技术和管理概念在发展深化，从信息保信息安全技术和管理概念在发展深化，从信息保密阶段（密阶段（6060、7070年代）、信息安全保护阶段（年代）、信息安全保护阶段（8080、9090年代）发展到信息保障阶段（年代）发展到信息保障阶段（9090年未）。年未）。v信息安全测评也得到同步发展，从信息安全测评也得到同步发展，从8080、9090年代关年代关注信息安全产品的质量保证和安全评测发展到信注信息安全产品的质量保证和安全评测发展到信息系统的整体安全

7、测试评估和研究上来，从只重息系统的整体安全测试评估和研究上来，从只重技术到技术、管理并重的全面测评。技术到技术、管理并重的全面测评。1 1、等级测评基本概念、等级测评基本概念1.1 1.1 基本概念背景基本概念背景第十页，编辑于星期五：二点 十七分。测评是信息安全等级保护的重要环节，测评活测评是信息安全等级保护的重要环节，测评活动跨越整个信息安全等级保护过程，为信息系动跨越整个信息安全等级保护过程，为信息系 统统提供安全保证。提供安全保证。1.2 1.2 基本概念作用基本概念作用1 1、等级测评基本概念、等级测评基本概念第十一页，编辑于星期五：二点 十七分。v对信息系统实施等级保护的过程也是一

8、个工程过程，应对其各个实施过程进行测评，以提供等级保护安全保证。v确保信息系统安全等级保护标准在信息系统中得到合理的应用，促使信息系统达到应有安全防护能力。1.2 1.2 基本概念作用基本概念作用1 1、等级测评基本概念、等级测评基本概念第十二页，编辑于星期五：二点 十七分。1.2 1.2 1.2 1.2 基本概念作用基本概念作用1 1、等级测评基本概念、等级测评基本概念第十三页，编辑于星期五：二点 十七分。v等级测评等级测评 assessment for classified security protection 具有相关资质的、独立的第三方测评服务机构，对信息系统的等级保护落实情况与信息

9、安全等级保护相关标准要求之间的符合程度的测试评定。主体：主体：测评服务机构对象：对象：信息系统（被测系统）工作内容：工作内容：等级保护标准要求的符合性评定方式：方式：assessment 1.2 1.2 基本概念术语基本概念术语基本概念术语基本概念术语1 1、等级测评基本概念、等级测评基本概念第十四页，编辑于星期五：二点 十七分。涉及到标准：涉及到标准：信息系统安全等级保护基本要求信息系统安全等级保护基本要求 解决测评的目标和内容信息系统安全等级保护测评准则信息系统安全等级保护测评准则解决测评的方法、实施过程和判定要求信息系统安全等级保护测评指南信息系统安全等级保护测评指南解决测评的程序流程和

10、过程要求1 1、等级测评基本概念、等级测评基本概念1.2 1.2 1.2 1.2 基本概念术语基本概念术语基本概念术语基本概念术语第十五页，编辑于星期五：二点 十七分。v测评单元 assessment unit 等级测评的最小工作单位，由测评项、测评方法、测评对象、测评实施和结果判定组成。1.2 1.2 基本概念术语基本概念术语1 1、等级测评基本概念、等级测评基本概念第十六页，编辑于星期五：二点 十七分。v测评强度测评强度 assessment intensity 测评的广度和深度，体现测评工作的努力程度。v访谈访谈 interview测评人员通过与信息系统用户（个人/群体）进行交流、讨论等

11、活动，以获取证据证明信息系统安全保障措施是否有效的一种方法。v检查检查 examine 测评人员通过对测评对象进行观察、查验、分析等活动，以获取证据证明信息系统安全保证措施是否有效的一种方法。v测试测试 test测评人员通过对测评对象按照预定的方法/工具使其产生特定的行为等活动，查看输出结果与预期结果的差异，以获取证据证明信息系统安全保证措施是否有效的一种方法。1 1、等级测评基本概念、等级测评基本概念1.2 1.2 1.2 1.2 基本概念术语基本概念术语基本概念术语基本概念术语第十七页，编辑于星期五：二点 十七分。2、基本方法和测评强度第十八页，编辑于星期五：二点 十七分。2.1 2.1

12、2.1 2.1 基本方法基本方法基本方法基本方法2 2、基本方法和测评强度、基本方法和测评强度v三种基本测评方法：三种基本测评方法：访谈Interview检查Examine测试Testv一种测评技巧：一种测评技巧：抽样是取出一部分产品或者部件作为其整体的代表性样品进行检测或校准的一种方法。第十九页，编辑于星期五：二点 十七分。2.1 2.1 基本方法基本方法基本方法基本方法2 2、基本方法和测评强度、基本方法和测评强度v访谈的对象是人员。v典型的访谈包括：访谈信息安全主管、信息系统安全管理员、系统管理员、网络管理员、人力资源管理员、设备管理员和用户等。v工具：管理核查表（checklist）。

13、v适用情况：对技术要求，使用访谈方法进行测评的目的目的是为了了解了解信息系统的全局性(包括局部，但不是细节)、方向/策略性和过程性信息，一般不涉及到具体的实现细节和具体技术措施。对管理要求，访谈的内容内容应该较为详细和明确的。第二十页，编辑于星期五：二点 十七分。2.1 2.1 基本方法基本方法基本方法基本方法2 2、基本方法和测评强度、基本方法和测评强度v检查包括：评审、核查、审查、观察、研究和分析等方式。v检查对象包括文档、机制、设备等。v工具：技术核查表（checklist）。v适用情况：对技术要求，检查的内容内容应该是具体的、较为详细的机制配置和运行实现。对管理要求，检查方法主要用于规

14、范性要求（检查文档）。第二十一页，编辑于星期五：二点 十七分。2.1 2.1 2.1 2.1 基本方法基本方法2 2、基本方法和测评强度、基本方法和测评强度v测试包括：功能/性能测试、渗透测试等。v测评对象包括机制和设备等。v测试一般需要借助特定工具。扫描检测工具网络协议分析仪攻击工具渗透工具v适用情况：对技术要求，测试的目的目的是验证信息系统当前的、具体的安全机制或运行的有效性或安全强度。对管理要求，一般不采用测试技术。第二十二页，编辑于星期五：二点 十七分。2.2 2.2 测评强度测评强度2 2、基本方法和测评强度、基本方法和测评强度v对信息系统的要求：安全等级级别越高，基本要求强度越强，

15、体现为安全控制点越多，安全控制要求越细。v对信息系统的测评：安全等级级别越高，测评强度越强，测评强度体现测评工作的努力程度，反映出测评的广度和深度。第二十三页，编辑于星期五：二点 十七分。2.2 2.2 2.2 2.2 测评强度测评强度2 2、基本方法和测评强度、基本方法和测评强度第第4级信息系统级信息系统第第3级信息系统级信息系统第第2级信息系统级信息系统第第1级信息系统级信息系统测测 评评强度强度第二十四页，编辑于星期五：二点 十七分。2.2 2.2 测评强度测评强度测评强度测评强度2 2、基本方法和测评强度、基本方法和测评强度v测评强度体现测评工作的努力程度，反映出测评的广度和深度。v测

16、评广度越大，范围越大，广度越大，范围越大，包含的测评对象就越多，就需要更大的努力更大的努力。v测评的深度越深深度越深，越需要在细节上展开，就越需要更大的努力。更大的努力。v越大的努力越大的努力程度就越能为测评提供更好的保证，体现测评强度越强测评强度越强。第二十五页，编辑于星期五：二点 十七分。2.2 2.2 测评强度测评强度2 2、基本方法和测评强度、基本方法和测评强度v测评的广度和深度落实在具体的测评方法测评的广度和深度落实在具体的测评方法访谈、访谈、检查和测试上，体现出访谈、检查和测试的努力程检查和测试上，体现出访谈、检查和测试的努力程度不同。度不同。第二十六页，编辑于星期五：二点 十七分

17、。2.2 2.2 2.2 2.2 测评强度测评强度测评强度测评强度2 2、基本方法和测评强度、基本方法和测评强度第二十七页，编辑于星期五：二点 十七分。2.2 2.2 2.2 2.2 测评强度测评强度测评强度测评强度2 2、基本方法和测评强度、基本方法和测评强度v访谈方法的测评强度方法深度广度访谈 访谈的深度体现在访谈过程的严格和详细程度，可以分为三种：简要的、充分的、较全面的和全面的。简要访谈只包含通用和高级的问题；充分访谈包含通用和高级的问题以及一些较为详细的问题；较全面访谈包含通用和高级的问题以及一些有难度和探索性的问题；全面访谈包含通用和高级的问题以及较多有难度和探索性的问题。访谈的广

18、度体现在访谈人员的构成和数量上。访谈覆盖不同类型的人员和同一类人的数量多少，体现出访谈的广度不同。第二十八页，编辑于星期五：二点 十七分。2.2 2.2 测评强度测评强度2 2、基本方法和测评强度、基本方法和测评强度v检查方法的测评强度方法深度广度检查 检查的深度体现在检查过程的严格和详细程度，可以分为三种：简要的、充分的和全面的。简要检查是功能级的，使用简要的评审、观察或检查以及检查列表和其他相似手段的简短测评；充分检查还要有详细的分析、观察和研究；全面检查还需要总体/概要和详细设计以及实现上的相关信息。检查的广度体现在检查对象的种类（文档、机制等）和数量上。检查覆盖不同类型的对象和同一类对

19、象的数量多少，体现出对象的广度不同。第二十九页，编辑于星期五：二点 十七分。2.2 2.2 2.2 2.2 测评强度测评强度2 2、基本方法和测评强度、基本方法和测评强度v测试方法的测评强度方法深度广度测试 测试的深度体现在执行的测试类型上：功能/性能测试和渗透测试。功能/性能测试只涉及机制的功能规范、高级设计和操作规程；渗透测试涉及机制的所有可用文档，并试图智取进入信息系统。测试的广度体现在被测试的机制种类和数量上。测试覆盖不同类型的机制以及同一类机制的数量多少，体现出对象的广度不同。第三十页，编辑于星期五：二点 十七分。2.2 2.2 测评强度测评强度测评强度测评强度2 2、基本方法和测评

20、强度、基本方法和测评强度v测评强度反映到物理层面（举例）第三十一页，编辑于星期五：二点 十七分。2.2 2.2 2.2 2.2 测评强度测评强度2 2、基本方法和测评强度、基本方法和测评强度v测评强度反映到网络层面（举例）第三十二页，编辑于星期五：二点 十七分。3、主要测评内容3.1 测评原则3.2 被测系统3.3 技术部分(五个层面）3.4 管理部分（五个方面）第三十三页，编辑于星期五：二点 十七分。3 3、主要测评内容、主要测评内容v适当性适当性所有参与安全测评工作的机构，为达到预定的强度等级，所采取的测评活动应该是适当的。v公正性公正性所有的测评活动应当没有偏见。相互认可的测评方案必须详

21、细地提出不可接受的利益冲突。v客观性客观性既然不能完全摆脱个人主张或判断，测评人员应当在最小主观判断或主张情形下，基于明确定义的测评方法和解释，得到测评结果。3.1 3.1 测评原则测评原则测评原则测评原则第三十四页，编辑于星期五：二点 十七分。v可重复性和可再现性可重复性和可再现性不论谁执行测评，依照同样的要求，使用同样的测评方法，对每个测评项的重复评估应该导出同样的结果。可再现性和可重复性的区别在于，前者与不同测评者测评结果的一致性有关，后者与同一测评者测评结果的一致性有关。v可重用性可重用性出于成本和工作复杂性考虑，测评工作可以重用以前的测评结果。所有重用的结果，都应基于结果适用于目前的

22、系统，并且能够反映出目前系统的安全状态基础之上。v结果的完善性结果的完善性测评所产生的结果应当证明是良好的判断和对测评项的正确理解。测评过程和结果应当服从正确的测评方法以确保其满足了测评项的要求。3 3、主要测评内容、主要测评内容3.1 3.1 3.1 3.1 测评原则测评原则第三十五页，编辑于星期五：二点 十七分。v进入等级保护范围内的所有重要信息系统进入等级保护范围内的所有重要信息系统v具体而言，下列单位的信息系统：具体而言，下列单位的信息系统：(一)各级机关；(二)银行、保险、证券等金融单位；(三)邮政、电信单位；(四)广播、电视、新闻出版单位；(五)重点电力、煤炭、燃气、燃油等能源单位

23、；(六)航空、铁路和重点公路、水运等运输单位；(七)水利及水源供给单位；(八)重要物资储备单位；(九)重点工程建设单位；(十)大型工商、信息技术企业；(十一)重点科研、教育机构；(十二)医疗卫生、消防、紧急救援等社会应急服务机构；(十三)需要实行重点保护的其他单位。3.2 3.2 3.2 3.2 被测系统被测系统3 3、主要测评内容、主要测评内容第三十六页，编辑于星期五：二点 十七分。被测系统描述物理安全技术部分管理部分信息系统（等级）网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理3.2 3.2 3.2 3.2 被测系统被测系统被测系统被测系统3

24、3、主要测评内容、主要测评内容第三十七页，编辑于星期五：二点 十七分。3.3 3.3 3.3 3.3 被测系统技术被测系统技术v物理层面物理层面构成组件包括信息系统工作的设施环境以及构成信息系统的硬件设备和介质等。物理层面构成组件可能分布在被测单位物理控制范围内，也可能位于被测单位物理控制范围外。一般来说，大部分物理层面构成组件位于被测单位的物理控制范围内，是物理层面安全测评的重点。3 3、主要测评内容、主要测评内容第三十八页，编辑于星期五：二点 十七分。物理环境可以划分为一般客户机运行场地A（如数据录入室和一般终端室等）、重要客户机运行场地B（如重要终端室）、通信线路间C（如网络设备室等）和

25、机房和介质存放地S（包括计算机机房和已记录的媒体存放间等）一般客户机场地A重要客户机场地B通信线路间C机房和介质存放地S3.3 3.3 被测系统技术被测系统技术3 3、主要测评内容、主要测评内容第三十九页，编辑于星期五：二点 十七分。v网络层面网络层面构成组件负责支撑信息系统进行网络互联，为信息系统各个构成组件进行安全通信传输，一般包括计算机、网络设备、连接线路以及它们构成的网络拓扑等。网络层面构成组件可能位于被测单位的物理控制范围内，也可能处于被测单位物理控制范围外。一般来说，大部分网络层面构成组件位于被测单位的物理控制范围内，是网络层面安全保护的重点。3.3 3.3 被测系统技术被测系统技

26、术3 3、主要测评内容、主要测评内容第四十页，编辑于星期五：二点 十七分。位于被测单位物理控制范围内的网络，通常是局域网，包括客户机、网络设备和服务器等。3.3 3.3 被测系统技术被测系统技术3 3、主要测评内容、主要测评内容第四十一页，编辑于星期五：二点 十七分。被测单位内的两个不同信息系统可能需要交换信息，而进行网络互联（内部互联）。被测单位为了与其他单位/网络交换信息，可能需要与他们的网络互联（外部互联）。网络互联一般都有网络连接边界，这些边界是网络安全测评的重点之一。3.3 3.3 3.3 3.3 被测系统技术被测系统技术3 3、主要测评内容、主要测评内容第四十二页，编辑于星期五：二

27、点 十七分。设备共用 设备共用是指被测系统和其他信息系统共用网络中的设备、通信线路和/或主机（共用设备的系统可能不需要交换信息）。设备共用可能发生在内网、外网或者外网连接处，设备共用一般有三种基本方式：客户机共用（少）；网络通信设备共用；服务器共用。3.3 3.3 3.3 3.3 被测系统技术被测系统技术被测系统技术被测系统技术3 3、主要测评内容、主要测评内容第四十三页，编辑于星期五：二点 十七分。v系统层面系统层面主要是指主机系统，构成组件有服务器、终端/工作站等计算机设备，包括他们的操作系统、数据库系统及其相关环境等主机系统直接为信息系统的信息采集、加工、存储、传输、检索等提供运行环境，

28、包括为信息系统用户提供人机交互的环境。通常采取身份鉴别、访问控制、安全审计、系统资源控制等安全功能，以保证系统的安全。目前常见的操作系统有Windows、Linux和类UNIX等，数据库系统有Oracle、Sybase、MS SQL SERVER等。3.3 3.3 被测系统技术被测系统技术3 3、主要测评内容、主要测评内容第四十四页，编辑于星期五：二点 十七分。v应用系统 应用系统体系结构模型可以根据用户与数据之间所具有的层次来划分，即：单层应用体系结构模型、两层应用体系结构模型、多层（可以是三层或三层以上）应用体系结构模型。3.3 3.3 3.3 3.3 被测系统技术被测系统技术3 3、主要

29、测评内容、主要测评内容第四十五页，编辑于星期五：二点 十七分。v数据层面数据层面构成组件主要包括信息系统安全功能数据和用户数据，这些数据可能处于传输和处理过程中，也可能处于存储状态。对于传输和处理过程中的数据，一般有机密性和完整性的安全要求，而对于存储中的数据，还需要有备份恢复的安全要求。3.3 3.3 3.3 3.3 被测系统技术被测系统技术3 3、主要测评内容、主要测评内容第四十六页，编辑于星期五：二点 十七分。v安全管理机构安全管理机构包括安全管理的岗位设置、人员配备、授权和审批、沟通和合作等方面内容，严格的安全管理应该由相对独立的职能部门和岗位来完成。v安全管理制度在被测系统中，安全管

30、理制度一般是文档化的，被正式制定、评审、发布和修订，内容包括策略、制度、规程、表格和记录等，构成一个塔字结构的文档体系。3.3.被测系统管理被测系统管理3 3、主要测评内容、主要测评内容第四十七页，编辑于星期五：二点 十七分。安全管理制度文档体系3.3.被测系统管理被测系统管理被测系统管理被测系统管理3 3、主要测评内容、主要测评内容第四十八页，编辑于星期五：二点 十七分。v人员安全管理人员安全管理包括信息系统用户、安全管理人员和第三方人员的管理，覆盖人员录用、人员离岗、人员考核、安全意识教育和培训、第三方人员管理等方面内容。v系统建设管理系统建设管理包括系统定级、安全风险分析、安全方案设计、

31、产品采购、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、安全测评、系统备案等信息系统安全等级建设的各个方面。3.3.被测系统管理被测系统管理3 3、主要测评内容、主要测评内容第四十九页，编辑于星期五：二点 十七分。v系统运维管理系统运维管理包括运行环境管理、资产管理、介质管理、设备使用管理、运行监控管理、恶意代码防护管理、网络安全管理、系统安全管理、密码管理、变更管理、备份和恢复管理、安全事件处置和应急计划管理等方面内容。3.3.3.3.被测系统管理被测系统管理被测系统管理被测系统管理3 3、主要测评内容、主要测评内容第五十页，编辑于星期五：二点 十七分。第二章第二章 信息安全管理体系信息安全管理体系2 2小结小结第五十一页，编辑于星期五：二点 十七分。第二章第二章 信息安全管理体系信息安全管理体系2 2习题习题5.叙述信息安全等级保护的含义。我国对于信息和信息系统的安全保护等级是如何划分的？6.等级保护的实施分为哪几个阶段？每一个阶段的主要任务是什么？第五十二页，编辑于星期五：二点 十七分。LOGO第五十三页，编辑于星期五：二点 十七分。