银行及相关金融服务信息安全标准体系

信息安全标准介绍中国信息安全产品测评认证中心张利博士cnitsec2主要内容信息安全基础标准信息安全评估标准发展史通用评估准则（CC）PP和ST产生指南IATFSCCcnitsec3标准化基础标准：标准是对重复性事物和概念所做的统一规定。它以科学、技术和实践的综合成果为基础，经有关方面协商一致，由主管部门批准，以特定的方式发布，作为共同遵守的准则和依据。强制性标准：保障人体健康、人身、财产安全的标准和法律、行政法规规定强制执行的标准；其它标准是推荐性标准。我国标准分四级：国家标准、行业标准、地方标准、企业标准。cnitsec4国家标准：对需要在全国范围内统一的技术要求(含标准样品的制作）。GB/TXXXX.X-200XGBXXXX-200X行业标准：没有国家标准，需要在全国某个行业范围内统一的技术要求。GA,SJ地方标准：没有国家标准、行业标准而又需要在省、自治区、直辖市范围内统一的工业产品的安全、卫生要求。DBXX/TXXX-200XDBXX/XXX-200X企业标准：对企业范围内需要统一的技术要求、管理要求和工作要求。QXXX-XXX-200X标准化基础cnitsec5标准化基础标准化：为在一定的范围内获得最佳秩序，对实际的或潜在的问题制定共同的和重复使用的规则的活动实质：通过制定、发布和实施标准，达到统一。目的：获得最佳秩序和社会效益。cnitsec6标准化基础标准化三维空间国际级区域级国家级行业级地方级企业级人员服务系统产品过程管理应用技术机制体系、框架术语XYZX轴代表标准化对象，Y轴代表标准化的内容，Z轴代表标准化的级别。cnitsec7标准化基础我国通行“标准化八字原理”：•“统一”原理•“简化”原理•“协调”原理•“最优”化原理cnitsec8我国标准工作归口单位2001年10月11日成立国家标准化委员会信息技术标准委员会数据加密技术标准委员会2002年4月15日成立信息安全技术标准委员会cnitsec9标准化基础采标：•等同采用idt（identical）：指技术内容相同，没有或仅有编辑性修改，编写方法完全相对应；•修改采用MOD（modified）：与国际标准之间存在技术性差异，有编辑性修改，可能不采用部分条款•非等效采用NEQ（notequivalent）：指技术内容有重大差异，只表示与国际标准有关。cnitsec10IT标准化IT标准发展趋势(1)标准逐步从技术驱动向市场驱动方向发展。(2)信息技术标准化机构由分散走向联合。(3)信息技术标准化的内容更加广泛，重点更加突出，从IT技术领域向社会各个领域渗透，涉及教育、文化、医疗、交通、商务等广泛领域，需求大量增加。(4)从技术角度看，IT标准化的重点将放在网络接口、软件接口、信息格式、安全等方面，并向着以技术中立为前提，保证互操作为目的方向发展。cnitsec11信息安全标准化组织•ISO•JTC1SC27，信息技术-安全技术•ISO/TC68银行和有关的金融服务–SC2，安全管理和通用银行运作；–SC4，安全及相关金融工具；–SC6，零售金融服务。•JTC1其他分技术委员会：–SC6—系统间通信与信息交换，主要开发开放系统互连下四层安全模型和安全协议，如ISO9160、ISO/IEC11557。–SC17—识别卡和有关设备，主要开发与识别卡有关的安全标准ISO7816–SC18—文件处理及有关通信，主要开发电子邮件、消息处理系统等。–SC21—开放系统互连，数据管理和开放式分布处理，主要开发开放系统互连安全体系结构，各种安全框架，高层安全模型等标准，如:ISO/IEC7498-2、ISO/IEC9594-1至8。–SC22—程序语言，其环境及系统软件接口，也开发相应的安全标准。–SC30—开放式电子数据交换，主要开发电子数据交换的有关安全标准。如ISO9735-9、ISO9735-10。cnitsec12信息安全标准化组织（续）•IECTC56可靠性；TC74IT设备安全和功效；TC77电磁兼容；CISPR无线电干扰特别委员会•ITU前身是CCITT消息处理系统目录系统(X.400系列、X.500系列)安全框架安全模型等标准cnitsec13信息安全标准化组织（续）•IETF（170多个RFC、12个工作组）1.PGP开发规范(openpgp)；2.鉴别防火墙遍历(aft)；3.通用鉴别技术(cat)；4.域名服务系统安全(dnssec)；5.IP安全协议(ipsec)；6.一次性口令鉴别(otp)；7.X.509公钥基础设施(pkix)；8.S/MIME邮件安全(smime)；9.安全Shell(secsh)；10.简单公钥基础设施(spki)；11.传输层安全(tls)12.Web处理安全(wts)cnitsec14信息安全标准化组织（续）•美国•ANSI–NCITS-T4制定IT安全技术标准–X9制定金融业务标准–X12制定商业交易标准•NIST–负责联邦政府非密敏感信息–FIPS-197•DOD–负责涉密信息–NSA–国防部指令（DODI）（如TCSEC）cnitsec15信息安全标准化组织（续）•IEEE–SILS（LAN/WAN）安全–P1363公钥密码标准•ECMA(欧洲计算机厂商协会)•TC32——“通信、网络和系统互连”曾定义了开放系统应用层安全结构；•TC36——“IT安全”负责信息技术设备的安全标准。cnitsec16信息安全标准化组织（续）•英国•BS7799•医疗卫生信息系统安全•加拿大–计算机安全管理•日本–JIS国家标准–JISC工业协会标准•韩国–KISA负责–防火墙、IDS、PKI方面标准cnitsec17信息安全标准化组织（续）•我国•共38个标准•4个产品标准其他工业标准•SSL•SET•CDSA•PGP•PCT•……cnitsec182.信息安全基础标准词汇安全体系结构安全框架安全模型GB/T5271.8-2000信息技术词汇第8部分：安全GB/T9387.2-1995开放系统互连基本参考模型第2部分：安全体系结构ISO/IEC10181-1~7开放系统的安全框架GB/T17965高层安全模型GB/T18231低层安全模型ISO/IEC15443-1IT安全保障框架IATF信息保障技术框架ISO/IEC11586-1~6通用高层安全网络层安全GJB2256-1994军用计算机安全术语RFC2401因特网安全体系结构ISO/IEC7498-4管理框架传输层安全cnitsec19基于OSI七层协议的安全体系结构OSI参考模型7应用层6表示层5会话层4传输层3网络层2链路层1物理层安全机制公证路由选择控制通信业务填充鉴别交换数据完整性访问控制数字签名加密安全服务鉴别服务访问控制数据完整性数据机密性抗抵赖cnitsec20五种安全服务鉴别：提供对通信中的对等实体和数据来源的鉴别。访问控制：提供保护以对抗开放系统互连可访问资源的非授权使用。可应用于对资源的各种不同类型的访问（例如，使用通信资源，读、写或删除信息资源，处理资源的操作），或应用于对某种资源的所有访问数据机密性：对数据提供保护使之不被非授权地泄露数据完整性：对付主动威胁。在一次连接上，连接开始时使用对某实体鉴别服务，并在连接的存活期使用数据完整性服务就能联合起来为在此连接上传送的所有数据单元的来源提供确证，为这些数据单元的完整性提供确证。抗抵赖：可取有数据原发证明的抗抵赖、有交付证明的抗抵赖两种形式，或两者之一。cnitsec21与网络各层相关的OSI安全服务安全服务1234567对等实体鉴别数据源鉴别访问控制服务连接机密性无连接机密性选择字段机密性流量机密性有恢复功能的连接完整性无恢复功能的连接完整性选择字段连接完整性无连接完整性选择字段非连接完整性源发方抗抵赖接收方抗抵赖－－－Y－－Y－－－－－－－－－－YY－－－－－－－－－YYYYY－Y－Y－Y－－－YYYYY－－YY－Y－－－－－－－－－－－－－－－－－－－－YYY－－－－－－－－YYYYYYYYYYYYYYcnitsec22八种安全机制加密：加密既能为数据提供机密性，也能为通信业务流信息提供机密性。数字签名：确定两个过程：对数据单元签名和验证签过名的数据单元。访问控制：为了决定和实施一个实体的访问权，访问控制机制可以使用该实体已鉴别的身份，或使用有关该实体的信息（例如它与一个已知的实体集的从属关系），或使用该实体的权力。数据完整性：包括单个数据单元或字段的完整性以及数据单元流或字段流的完整性。cnitsec23安全机制鉴别交换机制：可以提供对等实体鉴别。如果在鉴别实体时，这一机制得到否定的结果，就会导致连接的拒绝或终止，也可能使在安全审计跟踪中增加一个记录，或给安全管理中心一个报告。通信业务填充机制：能用来提供各种不同级别的保护，对抗通信业务分析。路由选择控制机制：路由能动态地或预定地选取，以便只使用物理上安全的子网络、中继站或链路。在检测到持续的操作攻击时，端系统可希望指示网络服务的提供者经不同的路由建立连接。公证机制：有关在两个或多个实体之间通信的数据的性质，如它的完整性、原发、时间和目的地等能够借助公证机制而得到确保。cnitsec24OSI安全服务和安全机制之间的关系安全服务加密数字签名访问控制数据完整鉴别交换业务填塞路由控制公证对等实体鉴别数据源鉴别访问控制服务连接机密性无连接机密性选择字段机密性流量机密性有恢复功能的连接完整性无恢复功能的连接完整性选择字段连接完整性无连接完整性选择字段非连接完整性源发方抗抵赖接收方抗抵赖YY－YYYYYYYYY－－YY－－－－－－－－YYYY－－Y－－－－－－－－－－－－－－－－－－YYYYYYYY－－－－－－－－－－－－－－－－－－－Y－－－－－－－－－－YY－Y－－－－－－－－－－－－－－－－－－－YYcnitsec25TCP/IP协议四层概念模型：应用层、传输层、网络层和网络接口层IP层是TCP/IP模型的网络层（不考虑网络接口），提供数据在源和目的主机之间通过子网的路由功能　其他协议ＦＴＰSNMP其他协议ＴＣＰＵＤＰＩＰ应用层传输层网络层cnitsec26OSI参考模型与TCP/IP的对应关系OSI参考模型TCP/IP协议集模型应用层表示层应用层会晤层传输层传输层网络层互联网层数据链路层物理层网络接口层cnitsec273.信息安全评测标准发展1999年GB17859计算机信息系统安全保护等级划分准则1991年欧洲信息技术安全性评估准则（ITSEC）国际通用准则1996年（CC1.0）1998年（CC2.0）1985年美国可信计算机系统评估准则（TCSEC）1993年加拿大可信计算机产品评估准则（CTCPEC）1993年美国联邦准则（FC1.0）1999年国际标准ISO/IEC154081989年英国可信级别标准（MEMO3DTI）德国评估标准（ZSEIC）法国评估标准（B-W-RBOOK）2001年国家标准GB/T18336信息技术安全性评估准则1993年美国NIST的MSFRcnitsec28美国TCSEC1970年由美国国防科学委员会提出。1985年公布。主要为军用标准。延用至民用。安全级别从高到低分为A、B、C、D四级，级下再分小级。彩虹系列桔皮书：可信计算机系统评估准则黄皮书：桔皮书的应用指南红皮书：可信网络解释紫皮书：可信数据库解释cnitsec29美国TCSECD:最小保护MinimalProtectionC1:自主安全保护DiscretionarySecurityProtectionC2:访问控制保护ControlledAccessProtectionB1:安全标签保护LabeledSecurityProtectionB2:结构化保护StructuredProtectionB3:安全域保护SecurityDomainA1:验证设计保护VerifiedDesign低保证系统高保证系统cnitsec30主要依据之间的关