1-信息安全保障框架

中国信息安全产品测评认证中心编号：信息安全保障框架版本：1.0日期：2005年9月信息安全保障框架目录信息信息安全安全保障保障框架框架123信息安全保障历史和背景信息系统安全保障评估框架信息系统安全保障建设和评估实践中国信息安全产品测评认证中心信息安全保障历史和背景信息安全保障（IA）发展历史信息安全保障（IA）发展历史IAINFOSECCOMPUSECCOMSEC信息安全保障（IA）发展历史通信安全（COMSEC：CommunicationSecurity）™20世纪，40年代-70年代ƒ通过密码技术解决通信保密，保证数据的保密性和完整性ƒ安全威胁：搭线窃听、密码学分析ƒ安全措施：加密ƒ标志•1949年：shannon发表《保密通信的信息理论》•1977年：美国国家标准局公布数据加密标准DES•1976年：Diffle和Hellman在“NewDirectionsinCryptography”一文中提出公钥密码体系ƒ参考资料：BruceSchneier的“应用密码学-AppliedCryptography”信息安全保障（IA）发展历史计算机安全（COMPUSEC：ComputerSecurity）™20世纪，80-90年代ƒ确保信息系统资产（包括硬件、软件、固件和通信、存储和处理的信息）保密性、完整性和可用性的措施和控制ƒ安全威胁：非法访问、脆弱口令等ƒ安全措施：安全操作系统设计技术（TCB）ƒ标志：•1995年，美国国防部的可信计算机系统评估保障（TCSEC，橙皮书），操作系统安全分级（D、C1、C2、B1、B2、B3、A1）；后发展为彩虹（rainbow）系列信息安全保障（IA）发展历史信息系统安全（INFOSEC：InformationSystemSecurity）™20世纪，90年代后ƒ综合通信安全和信息系统安全ƒ保护信息系统，确保信息在存储、处理和传输过程中免受非授权的访问，防止授权用户的拒绝服务，以及包括那些检测、记录和对抗此类威胁的措施。ƒ安全威胁：网络入侵、信息对抗等ƒ安全措施：防火墙、防病毒、PKI、VPN等ƒ标志•安全评估保障CC（ISO15408，GB/T18336）信息安全保障（IA）发展历史信息安全保障（IA：InformationAssurance）™今天，将来。。。ƒ保障信息和信息系统资产，保障组织机构使命的执行；综合技术、管理、过程、人员；确保信息的保密性、完整性和可用性。ƒ安全威胁：黑客、恐怖分子、信息战、自然灾难、电力中断等ƒ安全措施：技术安全保障体系、安全管理体系、人员意识/培训/教育、认证和认可ƒ标志：•技术：美国国防部的IATF深度防御战略•管理：BS7799/ISO17799•系统认证：美国国防部DITSCAP•。。。信息安全保障“组织内部环境”信息系统安全问题通信安全数据安全技术系统安全问题网络安全组织外部环境–法律与政策信息安全保障覆盖信息安全的对策：风险管理™信息安全对策必须以风险管理为基础ƒ安全不必是完美无缺、面面俱到的。但风险必须是能够管理的。™最适宜的信息安全策略就是最优的风险管理对策。ƒ这是一个在有限资源前提下的最优选择问题：™防范不足会造成直接的损失；防范过多又会造成间接的损失。必须根据安全目标审查安全手段。™信息安全保障的问题就是安全的效用问题，在解决或预防信息安全问题时，要从经济、技术、管理的可行性和有效性上做出权衡和取舍。实现信息安全的策略™先进的技术：™严格的管理：™威严的法律：进不来拿不走改不了跑不了看不懂打不跨通俗地说,安全就是保障的含义™主观:信心™客观:性质™从客观到主观:能力与水平CC中保障被定义为：实体满足其安全目的的信心基础（Groundsforconfidencethatanentitymeetsitssecurityobjectives），因而在信息安全领域谈保障，就是谈安全保障。™内因：复杂性：过程复杂，结构复杂，使用复杂™外因：对手:威胁与破坏信息系统安全问题产生的根源与环节内在复杂——过程™信息系统理论ƒ如图灵机，在程序与数据的区分上没有确定性的原则，™设计ƒ从设计的角度看，在设计时考虑的优先级中安全性相对于易用性、代码大小、执行程度等因素被放在次要的位置™实现ƒ由于人性的弱点和程序设计方法学的不完善，软件总是存在BUG™生产与集成™使用与运行维护内在复杂——结构•工作站中存在信息数据•员工•移动介质•网络中其他系统•网络中其他资源•访问Internet•访问其他局域网•到Internet的其他路由•电话和调制解调器•开放的网络端口•远程用户•厂商和合同方的访问访问外部资源•公共信息服务•运行维护环境信息保障框架背景系统脆弱性-OS-操作系统漏洞统计操作系统漏洞增长趋势安全外因信息战士减小美国决策空间、战略优势，制造混乱，进行目标破坏国家安全威胁情报机构搜集政治、军事，经济信息恐怖分子破坏公共秩序，制造混乱，发动政变工业间谍掠夺竞争优势，恐吓共同威胁犯罪团伙施行报复，实现经济目的，破坏制度社会型黑客攫取金钱，恐吓，挑战，获取声望局部威胁娱乐型黑客以吓人为乐，喜欢挑战低高高低潜在的破坏出现的可能性200020022005来源:DSB研究报告黑客罪犯间谍恐怖分子国家赞助信息保障框架背景：威胁的趋势不断增加的安全威胁高低19801985199019952000攻击者知识攻击复杂性Crosssitescripting口令猜测自复制代码口令破解发掘已知脆弱性禁止审计后门会话劫持sweeperssnifferspacketspoofingGUI自动探测/扫描DoS拒绝服务攻击工具“秘密行动”/高级扫描技术偷窃网管诊断分布的攻击工具Staged资料来源：CERTCoordinationCenter入侵者信息保障框架背景：威胁的趋势攻击方式：攻击复杂性vs.入侵者技术知识能力高级入侵者发掘新的脆弱性开始分发粗糙原始的探查工具新手入侵者使用这些粗糙原始的探查工具开发出扫描/探查工具广泛使用自动扫描/探查工具入侵者开始使用新类型的探查工具资料来源：CERTCoordinationCenter信息保障框架背景：威胁的趋势攻击方式：脆弱性探查周期安全保障能力从那里来™空间:要素与结构ƒ技术ƒ管理ƒ人™时间ƒ生命周期ƒ过程谁能增加保障能力管理保障能力工程保障能力技术架构能力™所有和使用者---管理保障能力™开发方---工程保障能力™设计方---技术架构能力信息安全保障™信息安全保障体系的建设是一项长期而艰巨的任务™当前，人们从以下几个方面致力于建立信息安全保障体系ƒ信息安全保障管理体系ƒ信息安全保障技术与产品体系ƒ信息安全保障标准、法规体系ƒ信息安全保障人才培养、培训与服务咨询体系信息安全保障工作™美国：ƒ1998年10月开始，NSA颁布了信息保障技术框架（IATF）1.1版，目前版本为3.1。信息保障技术框架的研究和不断完善表明了美国军政各方对信息保障的认识逐步趋于一致。ƒ美国国防部2002年10月24日颁布了信息保障训令8500.1，并于2003年2月6日颁布了信息保障的实施的指令8500.2。ƒ2002年下半年，以《国土安全战略》为引导，美国政府逐步出台一系列国家安全，将信息保障战略纳入总体国家战略之中：•《国土安全战略》，2002年7月•《保护网络空间的国家战略》（草案），2002年9月18日•《国家安全战略》，2002年9月20日•《打击大规模毁灭性武器的国家战略》，2002年12月•《打击恐怖主义的国家战略》，2003年2月•《国家毒品管制战略》，2003年2月•《保护网络空间的国家战略》，2003年2月•《保护关键基础设施和重要资产的国家战略》，2003年2月•。。。信息安全保障工作™中国：ƒ中办发[2003]27号文件《国家信息化领导小组关于加强信息安全保障工作的意见》ƒ2004年1月召开了全国首次信息安全保障工作会议ƒ信息安全保障工作•等级保护•风险评估•灾难备份•应急响应•安全管理体系中国信息安全产品测评认证中心信息系统安全保障评估框架信息安全保障框架的背景什么是信息系统？™信息技术系统ƒ作为信息系统一部分的执行组织机构信息功能的用于采集、创建、通信、计算、分发、处理、存储和/或控制数据或信息的计算机硬件、软件和/或固件的任何组合。™信息系统ƒ信息系统用于采集、处理、存储、传输、分发和部署信息的整个基础设施、组织结构、人员和组件的总和。™信息系统是在信息技术系统的基础上，综合考虑了人员、管理等系统综合运行环境的一个整体。信息安全保障框架的背景现有标准及其局限性？信息安全保障框架的背景方案的思考？™模型和整体结构？™内容覆盖的范围？™现有标准等的成果，国际研究趋势和方向？™能力成熟度的考虑？™。。。信息系统安全保障模型技术工程管理人员保障要素开发采购实施交付运行维护完整性可用性废弃保密性安全特征计划组织生命周期信息系统安全保障的含义™出发点和核心ƒ在信息系统所处的运行环境里，以风险和策略为出发点，即从信息系统所面临的风险出发制定组织机构信息系统安全保障策略，™信息系统生命周期ƒ通过在信息系统生命周期中从技术、管理、工程和人员等方面提出安全保障要求，™确保信息的安全特征ƒ确保信息的保密性、完整性和可用性特征，从而实现和贯彻组织机构策略并将风险降低到可接受的程度，™保护资产ƒ达到保护组织机构信息和信息系统资产，™最终保障使命ƒ从而保障组织机构实现其使命的最终目的。信息系统安全保障评估框架的组成™共包括四个部分ƒ第一部分：简介和一般模型ƒ第二部分：技术保障ƒ第三部分：管理保障ƒ第四部分：工程保障第二部分技术保障安全技术控制组件技术架构能力级第一部分简介和一般模型第三部分管理保障安全管理控制组件管理能力级第四部分工程保障安全工程控制组件工程能力级组成及与现有标准关系信息系统和信息系统安全保障架构信息系统和信息系统安全保障架构信息系统架构GB18336idt.ISO/IEC15408信息技术安全性评估准则GB18336idt.ISO/IEC15408信息技术安全性评估准则IATF信息保障技术框架IATF信息保障技术框架将GB18336从产品和产品系统扩展到信息技术系统安全性评估技术保障（信息系统安全技术保障）技术保障（信息系统安全技术保障）信息系统安全保障评估框架BS7799,ISO/IEC17799信息安全管理实践准则BS7799,ISO/IEC17799信息安全管理实践准则其他相关标准、准则例如：ISO/IEC15443,COBIT。。。其他相关标准、准则例如：ISO/IEC15443,COBIT。。。信息安全管理和管理能力成熟度模型管理保障（信息系统安全管理保障）管理保障（信息系统安全管理保障）ISSE信息系统安全工程ISSE信息系统安全工程SSE-CMM系统安全工程能力成熟度模型SSE-CMM系统安全工程能力成熟度模型工程保障（信息系统安全工程保障）工程保障（信息系统安全工程保障）安全工程过程和能力成熟度模型系统认证和认可标准和实践例如：美国DITSCAP,…系统认证和认可标准和实践例如：美国DITSCAP,…中国信息安全产品测评认证中心相关文档和系统测评认证实践中国信息安全产品测评认证中心相关文档和系统测评认证实践传统C&A信息系统认证认可和实践其他：ISO/IEC19791，NISTSP。。。其他：ISO/IEC19791，NISTSP。。。第一部分：简介和一般模型范围™信息系统安全保障等级评估保障中，不包含以下内容：ƒ针对人员技能和能力的评估内容，但对人员安全的要求在管理保障中体现。ƒ系统评估方法学。ƒ密码算法固有质量的评价。第一部分：简介和一般模型信息系统安全保障模型背景信息系统安全保障信息系统安全保障的对象信息系统安全保障的对象技术目标技术目标政策、需求目标政策、需求目标人员目标人员目标管理目标管理目标服务目标服务目标信息系统安全保障-生命周