信息安全知识培训

1、1 2012简实公司 版权所有2 2012简实公司 版权所有 信息安全概述信息安全概述1目目 录录123 网络安全基础知识网络安全基础知识 信息安全风险评估信息安全风险评估4 等级保护基础等级保护基础3 2012简实公司 版权所有信息安全概述 信息作为一种无形的资源被广泛应用于政治、军事、经济、科研等行业。随之带来的安全问题越来越多，信息安全培训变得很有意义。4 2012简实公司 版权所有信息安全概述 信息安全培训的意义 计算机问世之初，计算机数量还是相当的少，随着因特网的迅速发展，由于计算机用户数的增加，为今天的计算机犯罪提供了产生和发展的温床。自1998年到2003年安全事件增加了将近37

2、倍。5 2012简实公司 版权所有信息安全概述 几个计算机犯罪的例子： 1.1988年美国康奈尔大学学生释放多个蠕虫病毒，造成因特网6000台主机瘫痪。 2.1989年3名德国黑客闯入北约和美国计算机系统，窃取了许多高度机密的信息 3.1996年美国中央情报局的主页被一群瑞典少年黑客改为中央笨蛋局 4.2000年黑客入侵微软公司并获取新开发产品的机密代码 5.2013年棱镜监听门事件(斯诺登)6 2012简实公司 版权所有信息安全概述 互联网技术的不断成熟发展与为人们的生活带来了巨大的便利，也为社会的发展注入了新的动力。随着各种新网络的的产生，人们对网络的要求越来越高； 宽带技术为社会带来巨大

3、的便利，同时也隐含着巨大的危机，信息系统的安全性已经成为非常重要的研究课题。7 2012简实公司 版权所有信息安全概述 什么是信息安全 信息的概念： ISO/IEC 的IT 安全管理指南（GMITS，即ISO/IEC TR 13335）对信息（Information）的解释是：信息是通过在数据上施加某些约定而赋予这些数据的特殊含义。 8 2012简实公司 版权所有信息安全概述 一般意义上的信息概念是指事物运动的状态和方式，是事物的一种属性，在引入必要的约束条件后可以形成特定的概念体系。通常情况下，可以把信息可以理解为消息、信号、数据、情报和知识。信息本身是无形的，借助于信息媒体以多种形式存在或

4、传播，它可以存储在计算机、磁带、纸张等介质中，也可以记忆在人的大脑里，还可以通过网络等方式进行传播。9 2012简实公司 版权所有信息安全概述 “安全”一词的基本含义为：“远离危险的状态或特性”，或“主观上不存在威胁，主观上不存在恐惧”。在各个领域都存在着安全问题，安全问题是普遍存在的。随着计算机网络的迅速发展，人们对信息的存储、处理和传递过程中涉及的安全问题越来越关注，信息领域的安全问题变得非常突出。10 2012简实公司 版权所有信息安全概述 信息安全是一个广泛而抽象的概念，不同领域不同方面对其概念的阐述都会有所不同。建立在网络基础之上的现代信息系统，其安全定义较为明确，那就是：保护信息系

5、统的硬件、软件及相关数据，使之不因为偶然或者恶意侵犯而遭受破坏、更改及泄露，保证信息系统能够连续、可靠、正常地运行。在商业和经济领域，信息安全主要强调的是消减并控制风险，保持业务操作的连续性，并将风险造成的损失和影响降低到最低程度。11 2012简实公司 版权所有信息安全概述n 信息安全就是关注信息本身的安全，而不管是否应用了计算机作为信息处理的手段。信息安全的任务是保护信息资源，以防止偶然的或未授权者对信息的恶意泄露、修改和破坏，从而导致信息的不可靠或无法处理等。这样可以使得人们在最大限度地利用信息的同时损失最小。 12 2012简实公司 版权所有信息安全概述 总的来说，凡是涉及到保密性、完

6、整性、可用性、可追溯性、真实性和可靠性保护等方 面的技术和理论，都是信息安全所要研究的范畴，也是信息安全所要实现的目标。13 2012简实公司 版权所有信息安全概述 信息安全威胁信息安全威胁 信息安全的威胁是指某个人、物、事件或概念对信息资源的保密性、完整性、可用性或合法使用所造成的危险。攻击就是对安全威胁的具体体现。 目前还没有统一的方法来对各种威胁进行分类，也没有统一的方法来对各种威胁加以区别。信息安全所面临的威胁与环境密切相关，不同威胁的存在及重要性是随环境的变化而变化的。下面给出一些常见的安全威胁。14 2012简实公司 版权所有信息安全概述 1服务干扰：以非法手段窃得对信息的使用权，

7、恶意添加、修改、插入、删除或重复某些无关信息，不断对网络信息服务系统进行干扰，使系统响应减慢甚至瘫痪，影响用户的正常使用，如一些不法分子在国外干扰我国正常卫星通信等。 2恶意访问：没有预先经过授权同意，就使用网络或计算机资源被看作恶意访问，如有意避开系统访问控制机制，对网络设备及资源进行非正常使用，或擅自扩大权限，越权访问信息等。15 2012简实公司 版权所有信息安全概述 3自身失误：网络管理员或网络用户都拥有相应的权限，利用这些权限破坏网络安全的可能性也是存在的。如操作口令被泄露，磁盘上的机密文件被人利用及未将临时文件删除导致重要信息被窃取，都有可能使网络安全机制失效，从内部遭受严重破坏。

8、 4信息泄露：信息被泄露或透露给某个非授权的实体。 5破坏信息的完整性：数据被非授权地进行增删、修改或破坏而受到损失。16 2012简实公司 版权所有信息安全概述 6拒绝服务：对信息或其他资源的合法访问被无缘无故拒绝。 7非法使用：某一资源被某个非授权的人，或以非授权的方式使用。 8窃听：用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。 9业务流分析：通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信问题的变化等参数进行研究，从中发现有价值的信息和规律。 10假冒：通过欺骗通信系统达到非法用户冒充成为合法用户，或者特权小的用户冒充成特权大的用户的目的。 17 2012简实

9、公司 版权所有信息安全概述 11旁路控制：攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非授权的权利或特权。例如，攻击者通过各种攻击手段发现原本应该保密，但是却又暴露出来的一些系统“特性”，利用这些“特性”，攻击者可以绕过防线守卫者侵入到系统的内部。 12内部攻击：被授权以某一目的的使用某一系统或资源的某个个人，却将此权限用于其他非授权的目的。 13特洛伊木马：软件中含有一个察觉不出的或者无害的程序段，当其被执行时，会破坏用户的安全。这种应用程序称为特洛伊木马(Trojan Horse)。 14陷阱门：在某个系统或某个部件中设置的“机关”，使得在特定的数据输入时，允许违反安全策略。18 20

10、12简实公司 版权所有信息安全概述 15抵赖：这是一种来自用户的攻击，比如：否认自己曾经发布过的某条消息，伪造一份对方来信等。 16重放：出于非法目的，将所截获的某次合法的通信数据进行复制，并重新发送。 17电脑病毒：一种人为编制的特定程序。它可以在计算机系统运行过程中实现传染和侵害功能。它可以通过电子邮件、软件下载、文件服务器、防火墙等侵入网络内部，删除、修改文件，导致程序运行错误、死机，甚至毁坏硬件。网络的普及为病毒检测与消除带来很大的难度，用户很难防范。19 2012简实公司 版权所有信息安全概述 18员工泄露：某个授权的人，为了金钱或某种利益，或由于粗心，将信息泄露给某个非授权的人。

11、19媒体废弃：信息被从废弃的磁盘、光盘或纸张等存储介质中获得。 20物理侵入：侵入者绕过物理控制而获得对系统的访问。 21窃取：重要的安全物品(如身份卡等)被盗用。 22业务欺骗：某一伪系统或系统部件欺骗合法的用户或系统自愿放弃敏感信息等。20 2012简实公司 版权所有信息安全概述 上面给出的只是一些常见的安全威胁，通常各种威胁之间是相互联系的。如窃听、业务流分析、员工泄露、旁路控制等可造成信息泄露，而信息泄露、窃取、重放可造成假冒，而假冒又可造成信息泄露等等。 对于信息系统来说，威胁可以针对物理环境、通信链路、网络系统、操作系统、应用系统以及管理系统等方面。 要保证信息的安全就必须想办法在

12、一定程度上克服以上的种种威胁。需要指出的是，无论采取何种防范措施都不能保证信息的绝对安全。安全是相对的，不安全才是绝对的21 2012简实公司 版权所有信息安全概述 信息完全威胁的来源 信息系统安全威胁主要来源有很多方面。信息安全的主要威胁来源包括： 1.自然灾害、意外事故 2.计算机犯罪 3.认为错误，如使用不当、安全意识差 4.黑客行为 5.内部泄密22 2012简实公司 版权所有信息安全概述 6.外部泄密 7.信息丢失 8.电子谍报 9.信息战 10.网络协议自身缺陷 11.计算机硬件系统、操作系统、应用系统等的漏洞23 2012简实公司 版权所有信息安全概述 信息安全的属性 信息安全通

13、常强调所谓CIA三元组的目标，即保密性、完整性和可用性。CIA概念的阐述源自信息安全技术安全评估标准。 （1）保密性：确保信息在存储、使用、传输过程中不会泄露给非授权用户或实体 （2）完整性：确保信息在存储、使用、传输过程中不会被非授权用户篡改24 2012简实公司 版权所有信息安全概述 （3）可用性：确保授权用户或实体对信息及资源的正常使用不会被异常拒绝，允许其可靠而及时访问信息及资源 （4）真实性：对信息的来源进行判断，能伪造来源的信息予以鉴别 （5）不可抵赖性：建立有效的责任机制，防止用户否认其行为，这一点在电子商务中是极其重要的。25 2012简实公司 版权所有信息安全概述 （6）可控

14、制性：对信息的传播及内容具有控制能力 （7）可审查性：对出现的网络安全问题提供调查的依据和手段 （8）可靠性：信息用户认可的质量连续服务于用户的特征。26 2012简实公司 版权所有信息安全概述 信息安全策略 信息安全策略是指保证提供一定级别的安全保护所必需遵守的规则。实现信息安全，不但靠先进的技术，而且也得靠严格的安全管理、法律约束和安全教育。 （1）先进的信息安全是网络安全的保证 （2）严格的安全管理 （3）制定严格的法律、法规27 2012简实公司 版权所有信息安全概述 信息安全模型和层次结构 PDR安全模型 PDR动态安全模型研究的是基于企业网对象、依时间及策略特征的动态安全模型结构。

15、一个良好的安全模型应在充分了解网络系统安全需求的基础上，通过安全模型表达安全体系架构，通常具备以下性质：精确、无歧义、简单、抽象具有一般性，充分体现安全策略。28 2012简实公司 版权所有信息安全概述 该理论的最基本原理认为，信息安全相关的所有活动，不管是攻击行为、防护行为、检测行为还是响应行为都要消耗时间。作为一个防护体系，当入侵者发起攻击时，每一步都需要花费时间。 PDR安全模型公式1：PtDt+Rt Pt代表系统为了保护安全目标设置各种保护后的防护时间，或者理解为在这样的保护方式下，黑客攻击安全目标所花费的时间。29 2012简实公司 版权所有信息安全概述 PDR安全模型公式2： Et

16、=Dt+Rt（假设Pt=0） 公式的前提是假设防护时间为0.Dt代表入侵者破坏了安全目标系统开始，系统能够检测到破坏行为所花费的时间。 通过上面两个公式给出了全新的定义：及时检测和响应就是安全，及时的检测和恢复就是安全。30 2012简实公司 版权所有信息安全概述 信息安全层次体系 物理安全技术：环境安全、设备安全、媒体安全。 系统安全技术：操作系统及数据库系统的安全性。 网络安全技术：网络隔离、访问控制、VPN、入侵检测、扫描评估。31 2012简实公司 版权所有信息安全概述 应用安全技术：Email 安全、Web 访问安全、内容过滤、应用系统安全。 数据加密技术：硬件和软件加密，实现身份认

17、证和数据信息的CIA 特性。 认证授权技术：口令认证、SSO 认证（例如Kerberos）、证书认证等。32 2012简实公司 版权所有信息安全概述 访问控制技术：防火墙、访问控制列表等。 审计跟踪技术：入侵检测、日志审计、辨析取证。 防病毒技术：单机防病毒技术逐渐发展成整体防病毒体系。 灾难恢复和备份技术：业务连续性技术，前提就是对数据的备份。33 2012简实公司 版权所有 信息安全概述信息安全概述1目目 录录123 网络安全基础知识网络安全基础知识 信息安全风险评估信息安全风险评估4 等级保护基础等级保护基础34 2012简实公司 版权所有网络安全基础知识信息安全的含义信息安全的含义信息

18、安全从其本质上来讲就是网络传输处理过程中的信息安全。它涉及的领域相当广泛。这是因为在目前的公用通信网络中存在着各种各样的安全漏洞和威胁。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，都是网络安全所要研究的领域。下面给出网络安全的一个通用定义：信息安全是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。35 2012简实公司 版权所有网络安全基础知识（l）运行系统安全，即保证信息处理和传输系统的安全。 （2）网络上系统信息的安全。 （3）网络上信息传播的安全，即信息传

19、播后果的安全。 （4）网络上信息内容的安全，即我们讨论的狭义的“信息安全”。 36 2012简实公司 版权所有网络安全基础知识网络安全的特征（1）保密性：信息不泄露给非授权的用户、实体或过程，或供其利用的特性。（2）完整性：数据未经授权不能进行改变的特性，即信息在存储或传输过程中保持不被修改、不被破坏和丢失的特性。（3）可用性：可被授权实体访问并按需求使用的特性，即当需要时应能存取所需的信息。网络环境下拒绝服务、破坏网络和有关系统的正常运行等都属于对可用性的攻击。（4）可控性：对信息的传播及内容具有控制能力。 37 2012简实公司 版权所有网络安全基础知识网络安全的威胁 (1)非授权访问（u

20、nauthorized access）：一个非授权的人的入侵。(2)信息泄露（disclosure of information）：造成将有价值的和高度机密的信息暴露给无权访问该信息的人的所有问题。(3)拒绝服务（denial of service）：使得系统难以或不可能继续执行任务的所有问题。 (4)木马/病毒：扰乱系统正常运作，造成数据的不可判损坏(5)恶意/间谍软件：窃取操作用户密码和相关机密信息，实施商业欺诈或恶意信息泄露38 2012简实公司 版权所有网络安全基础知识网络安全的关键技术主机安全技术。身份认证技术。访问控制技术。密码技术。防火墙技术。安全审计技术。安全管理技术。防病毒技

21、术。反垃圾邮件技术。入侵检测技术。39 2012简实公司 版权所有网络安全基础知识网络安全的安全策略网络用户的安全责任：该策略可以要求用户每隔一段时间改变其口令；使用符合一定准则的口令；执行某些检查，以了解其账户是否被别人访问过等。重要的是，凡是要求用户做到的，都应明确地定义。系统管理员的安全责任：该策略可以要求在每台主机上使用专门的安全措施、登录标题报文、监测和记录过程等，还可列出在连接网络的所有主机中不能运行的应用程序。A1G7F7L16B2ZAM3KP5C3J2F35Y5D4G6JX6O9E5V42P9T0F6IQ1S7U9G75R7W2V8H40 2012简实公司 版权所有网络安全基础

22、知识正确利用网络资源：规定谁可以使用网络资源，他们可以做什么，他们不应该做什么等。如果用户的单位认为电子邮件文件和计算机活动的历史记录都应受到安全监视，就应该非常明确地告诉用户，这是其政策。检测到安全问题时的对策：当检测到安全问题时应该做什么？应该通知谁？这些都是在紧急的情况下容易忽视的事情。41 2012简实公司 版权所有网络安全分类根据中国国家计算机安全规范，计算机的安全大致可分为三类：（1）实体安全 （2）网络与信息安全（3）应用安全 机房、线路、主机网络的连通及信息传输安全程序开发运行、IO、数据库42 2012简实公司 版权所有网络安全分类基本安全类 基本安全类包括访问控制、授权、认

23、证、加密以及内容安全。 管理与记账类 管理与记账类安全包括安全的策略的管理、实时监控、报警以及企业范围内的集中管理与记账。网络互联设备安全类 网络互联设备包括路由器、通信服务器、交换机等，网络互联设备安全正是针对上述这些互联设备而言的，它包括路由安全管理、远程访问服务器安全管理、通信服务器安全管理以及交换机安全管理等等。43 2012简实公司 版权所有网络安全解决方案连接控制类连接控制类包括负载均衡、可靠性以及流量管理等。由于网络安全范围的不断扩大；如今的网络安全不再是仅仅保护内部资源的安全，还必须提供附加的服务，例如，用户确认、通过保密、甚至于安全管理传统的商务交易机制，如订货和记账等。网络

24、信息安全模型一个完整的网络信息安全系统至少包括三类措施： 社会的法律政策，企业的规章制度及网络安全教育技术方面的措施，如防火墙技术、防病毒。信息加密、身份确认以及授权等审计与管理措施，包括技术与社会措施 44 2012简实公司 版权所有网络安全解决方案45 2012简实公司 版权所有网络安全解决方案安全策略设计依据在制定网络安全策略时应当考虑如下因素：对于内部用户和外部用户分别提供哪些服务程序初始投资额和后续投资额（新的硬件、软件及工作人员）方便程度和服务效率复杂程度和安全等级的平衡网络性能46 2012简实公司 版权所有网络安全解决方案网络安全解决方案(1)信息包筛选47 2012简实公司

25、版权所有网络安全解决方案(2)应用中继器 48 2012简实公司 版权所有网络安全解决方案49 2012简实公司 版权所有网络安全解决方案(3)保密与确认“保密”可以保证当一个信息被送出后，只有预定的接收者能够阅读和加以解释。它可以防止窃听，并且允许在公用网络上安全地传输机密的或者专用的信息。“确认”意味着向信息（邮件、数据、文件等）的接收者保证发送是该信息的拥有者，并且意味着，数据在传输期间不会被修改。 50 2012简实公司 版权所有网络安全解决方案网络安全性措施 要实施一个完整的网络安全系统，至少应该包括三类措施：社会的法律、法规以及企业的规章制度和安全教育等外部软件环境技术方面的措施，

26、如网络防毒、信息加密、存储通信、授权、认证以及防火墙技术审计和管理措施，这方面措施同时也包含了技术与社会措施。 51 2012简实公司 版权所有网络安全解决方案为网络安全系统提供适当安全的常用的方法：修补系统漏洞病毒检查加密执行身份鉴别防火墙捕捉闯入者直接安全空闲机器守则废品处理守则口令守则52 2012简实公司 版权所有网络安全解决方案可以采取的网络安全性措施有：选择性能优良的服务器。服务器是网络的核心；它的故障意味着整个网络的瘫痪，因此，要求的服务应具有：容错能力。带电热插拔技术，智能IO技术，以及具有良好的扩展性采用服务器备份。服务器备份方式分为冷备份与热备份二种，热备份方式由于实时性好

27、，可以保证数据的完整性和连续性，得以广泛采用的一种备份方式对重要网络设备、通信线路备份。通信故障就意味着正常工作无法进行。所以，对于交换机、路由器以及通信线路最好都要有相应的备份措施53 2012简实公司 版权所有网络安全解决方案Internet安全管理(1)应解决的安全问题 (2) 对Internet网的安全管理措施安全保密遵循的基本原则：根据所面临的安全问题，决定安全的策略。根据实际需要综合考虑，适时地对现有策略进行适当的修改，每当有新的技术时就要补充相应的安全策略。构造企业内部网络，在Intranet和 Internet之间设置“防火墙”以及相应的安全措施。完善管理功能加大安全技术的开发

28、力度 54 2012简实公司 版权所有网络安全解决方案网络安全的评估 确定单位内部是否已经有了一套有关网络安全的方案，如果有的话，将所有有关的文档汇总；如果没有的话，应当尽快制订对已有的网络安全方案进行审查确定与网络安全方案有关的人员，并确定对网络资源可以直接存取的人或单位（部门）确保所需要的技术能使网络安全方案得以落实确定内部网络的类型。因为网络类型的不同直接影响到安全方案接口的选择55 2012简实公司 版权所有 信息安全概述信息安全概述1目目 录录123 网络安全基础知识网络安全基础知识 信息安全风险评估信息安全风险评估4 等级保护基础等级保护基础56 2012简实公司 版权所有目录 风

29、险评估理念风险评估理念 风险评估方法 项目实施过程57 2012简实公司 版权所有p 由于病毒爆发，造成网络阻塞，或系统瘫痪p 一次意外的停电，造成计算机和网络设备无法工作p 一份内部技术资料被内部人员卖给了竞争对手，使得企业遭受损失p 对系统的升级没有经过测试，造成系统不能正常使用p 窃贼光顾了您的办公场所，偷走了存有内部敏感信息的计算机设备p 工作人员为了炫耀，在其个人博客上发布了公司的秘密研发信息p 存放有系统关键数据的硬盘损坏后，由于没有做好日常备份，导致数据丢失p 员工使用BT等下载软件，导致公司上互联网速度缓慢，带宽被严重占用p 黑客侵入了企业的Web网站，篡改了网站上发布的信息“

30、像其它重要业务资产一样，信息也是对组织业务至关重要的资产，需要适当地加以保护。” ISO/IEC 2700258 2012简实公司 版权所有p 信息系统的安全需求是什么？信息系统的安全需求是什么？p 信息系统有哪些关键资产是需要重点保护的？信息系统有哪些关键资产是需要重点保护的？ p 信息系统面临哪些威胁？信息系统面临哪些威胁？p 系统中存在哪些技术隐患与管理的薄弱环节？系统中存在哪些技术隐患与管理的薄弱环节？p 这些威胁会产生什么风险？可能会造成多大的损失？这些威胁会产生什么风险？可能会造成多大的损失？p 这些风险产生的原因是什么，严重程度如何？这些风险产生的原因是什么，严重程度如何？p 应

31、采取哪些对策去控制这些风险？应采取哪些对策去控制这些风险？ “木桶的盛水量取决于最短的那块木板”木桶原理信息安全薄弱点，决定着组织信息安全的整体信息安全薄弱点，决定着组织信息安全的整体水平。找出这些薄弱方面并加以控制，是信息水平。找出这些薄弱方面并加以控制，是信息安全改进的关键所在。安全改进的关键所在。信息安全风险评估可以回答以下问题：59 2012简实公司 版权所有安全措施的有效性如何？安全措施的有效性如何？CSI/FBI 200660 2012简实公司 版权所有并不是发生越多的安全事件带来损失最大并不是发生越多的安全事件带来损失最大CSI/FBI 200661 2012简实公司 版权所有国

32、家相应的政策要求 国家信息化领导小组关于加强信息安全保障工作的意见国家信息化领导小组关于加强信息安全保障工作的意见(中办中办发发200327号号) 要重视信息安全风险评估工作，对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估，综合考虑网络与信息系统的重要性、涉密程度和面临的信息安全风险等因素，进行相应等级的安全建设和管理。 关于开展信息安全风险评估工作的意见（国信办关于开展信息安全风险评估工作的意见（国信办20065号文）号文） 2006年3月16日，国务院信息化工作办公室在昆明召开了关于开展信息安全风险评估工作的意见宣贯会。各省、市信息化主管部门、国信办专家组、解放军有关部门

33、和部分信息安全企业的130余名代表出席了会议。 20062020年国家信息化发展战略年国家信息化发展战略 建设国家信息安全保障体系：加强信息安全风险评估工作。62 2012简实公司 版权所有 63 2012简实公司 版权所有u 资产（资产（Asset） 任何对组织具有价值的东西，包括计算机硬件、通信设施、建筑物、数据库、文档信息、软件、信息服务和人员等，所有这些资产都需要妥善保护。u 威胁（威胁（Threat） 可能对资产或组织造成损害的某种安全事件发生的潜在原因，通常需要识别出威胁源（Threat source）或威胁代理（Threat agent）。u 弱点（弱点（Vulnerabilit

34、y） 也被称作漏洞或脆弱性，即资产或资产组中存在的可被威胁利用的缺点，弱点一旦被利用，就可能对资产造成损害。u 风险（风险（Risk） 特定威胁利用资产弱点给资产或资产组带来损害的潜在可能性。u 可能性（可能性（Likelihood） 对威胁发生几率（Probability）或频率（Frequency）的定性描述。u 影响（影响（Impact） 后果（Consequence），意外事件发生给组织带来的直接或间接的损失或伤害。u 安全措施（安全措施（Safeguard） 控制措施（control）或对策（countermeasure），即通过防范威胁、减少弱点、限制意外事件带来影响等途径来消减风

35、险的机制、方法和措施。u 残留风险（残留风险（Residual Risk） 在实施安全措施之后仍然存在的风险。64 2012简实公司 版权所有所有者对策弱点风险资产威胁威胁者/威胁因素价值希望最小化利用被减少可能意识到可能引入新的利用导致引起损害到企图破坏/滥用降低增加所有者对策弱点风险资产威胁威胁者/威胁因素价值希望最小化利用被减少可能意识到可能引入新的利用导致引起损害到企图破坏/滥用降低增加65 2012简实公司 版权所有风险风险RISKRISKRISKRISKRISKRISKRISKRISK风险风险原有风险原有风险采取措施后的剩余风险采取措施后的剩余风险脆弱性脆弱性66 2012简实公司

36、 版权所有风险风险RISKRISKRISKRISKRISKRISKRISKRISK风险风险原有风险原有风险采取措施后的剩余风险采取措施后的剩余风险脆弱性脆弱性67 2012简实公司 版权所有风险评估是风险管理的关键环节，在风险管理循环中，必须依靠风险评估来确定随后的风险控制与改进活动。68 2012简实公司 版权所有目录 风险评估理念 风险评估方法风险评估方法 项目实施过程69 2012简实公司 版权所有风险评估方法控制措施有效性脆弱性信息资产威胁价值严重程度可能性资产所有者威胁源安全风险风险值风险值（威胁风险值（威胁脆弱性脆弱性资产价值）资产价值）/ / 控制措施控制措施信息系统70 201

37、2简实公司 版权所有u 对资产进行保护是信息安全和风险管理的首要目标。u 划入风险评估范围和边界的每项资产都应该被识别和评价。u 应该清楚识别每项资产的拥有者、保管者和使用者。u 组织应该建立资产清单，可以根据业务流程来识别信息资产。 u 信息资产的存在形式有多种，物理的、逻辑的、无形的。 数据数据：存在于电子媒介中的各种数据资料，包括源代码、数据库、数据文件、系统文档等 软件软件：应用软件，系统软件，开发工具和资源库等 硬件：硬件：计算机硬件、路由器、交换机、硬件防火墙、布线、存储备份设备等 文档文档：纸质的各种文件，如策略方针、合同、财务报告等 设施设施：电源、空调、保险柜、门禁、消防、场

38、所等 人员人员：承担特定职能和责任的人员，包括员工和外部人员 服务服务：计算和通信服务，其他技术性服务， 例如供暖、照明、水电等 组织形象与声誉组织形象与声誉：企业形象，客户关系等，属于无形资产71 2012简实公司 版权所有u 资产评价时应该考虑： 信息资产因为受损而对业务造成的直接损失； 信息资产恢复到正常状态所付出的代价，包括检测、控制、修复时的人力和物力； 信息资产受损对其他部门的业务造成的影响； 组织在公众形象和名誉上的损失； 因为业务受损导致竞争优势丧失而引发的间接损失； 其他损失，例如保险费用的增加。u 定性分析时，我们关心的是资产对组织的重要性或其敏感程度，即由于资产受损而引发

39、的潜在的业务影响或后果。u 可以根据资产的重要性（影响或后果）来为资产划分等级。u 应该同时考虑保密性、完整性和可用性三方面受损可能引发的后果。72 2012简实公司 版权所有u 资产评价时应该考虑： 信息资产因为受损而对业务造成的直接损失； 信息资产恢复到正常状态所付出的代价，包括检测、控制、修复时的人力和物力； 信息资产受损对其他部门的业务造成的影响； 组织在公众形象和名誉上的损失； 因为业务受损导致竞争优势丧失而引发的间接损失； 其他损失，例如保险费用的增加。u 定性分析时，我们关心的是资产对组织的重要性或其敏感程度，即由于资产受损而引发的潜在的业务影响或后果。u 可以根据资产的重要性（

40、影响或后果）来为资产划分等级。u 应该同时考虑保密性、完整性和可用性三方面受损可能引发的后果。73 2012简实公司 版权所有很低（很低（1）低（低（2）中等（中等（3）高（高（4）很高（很高（5）保密性可对社会公开的信息，公用的信息处理设备和系统资源等仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成轻微损害组织的一般性秘密，其泄露会使组织的安全和利益受到损害包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性的影响，如果泄露会造成灾难性的损害 完整性完整性价值非常低，未经授权的修改或破坏对

41、组织造成的影响可以忽略，对业务冲击可以忽略完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，对业务冲击轻微，容易弥补完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但可以弥补完整性价值较高，未经授权的修改或破坏会对组织造成重大影响，对业务冲击严重，较难弥补完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补可用性可用性价值可以忽略，合法使用者对信息及信息系统的可用度在正常工作时间低于25%可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上，或系统允许中断时间小于6

42、0分钟可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上，或系统允许中断时间小于30分钟可用性价值较高，合法使用者对信息及信息系统的可用度达到每天90%以上，或系统允许中断时间小于10分钟可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上，或系统不允许中断74 2012简实公司 版权所有u 识别每项（类）资产可能面临的威胁。一项资产可能面临多个威胁，一个威胁也可能对不同资产造成影响。u 识别威胁的关键在于确认引发威胁的人或物，即威胁源（威胁代理，Threat Agent）。u 威胁可能是蓄意也可能是偶然的因素（不同的性质），通常包括（来源）：

43、 人员威胁人员威胁：故意破坏和无意失误 系统威胁系统威胁：系统、网络或服务出现的故障 环境威胁环境威胁：电源故障、污染、液体泄漏、火灾等 自然威胁自然威胁：洪水、地震、台风、雷电等u 威胁对资产的侵害，表现在CIA某方面或者多个方面的受损上。u 对威胁的评估，主要考虑其发生的可能性。评估威胁可能性时要考虑威胁源的动机（Motivation）和能力（Capability）这两个因素，但更多时候是和弱点结合起来考虑。75 2012简实公司 版权所有等级等级标识标识威胁可能性描述威胁可能性描述5很高出现的频率很高（或1 次/周）；或在大多数情况下几乎不可避免；或可以证实经常发生过4高出现的频率较高（

44、或 1 次/月）；或在大多数情况下很有可能会发生；或可以证实多次发生过3中出现的频率中等（或 1 次/半年）；或在某种情况下可能会发生；或被证实曾经发生过2低出现的频率较小；或一般不太可能发生；或没有被证实发生过1很低威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生76 2012简实公司 版权所有u 针对每一项需要保护的资产，找到可被威胁利用的弱点，包括： 技术脆弱点技术脆弱点：系统、程序、设备中存在的漏洞或缺陷。 管理脆弱点管理脆弱点：策略、程序、规章制度、人员意识、组织结构等方面的不足。 u 脆弱点的识别途径： 审计报告、事件报告、安全检查报告、系统测试和评估报告 专业机构发布的漏洞

45、信息 自动化的漏洞扫描工具和渗透测试u 对弱点的评估需要结合威胁因素，主要考虑其严重程度（Severity）或暴露程度（Exposure，即被利用的容易度）。u 如果资产没有弱点或者弱点很轻微，威胁源无论能力或动机如何，都很难对资产造成损害。77 2012简实公司 版权所有等级等级标识标识脆弱点严重程度描述脆弱点严重程度描述5很高如果被威胁利用，将对资产造成完全损害4高如果被威胁利用，将对资产造成重大损害3中如果被威胁利用，将对资产造成一般损害2低如果被威胁利用，将对资产造成较小损害1很低如果被威胁利用，将对资产造成的损害可以忽略78 2012简实公司 版权所有u 从针对性和实施方式来看，控制

46、措施包括两类： 管理性（管理性（Administrative）：对系统的开发、维护和使用实施管理的措施，包括安全策略、程序管理、人员职责、应急响应、事件处理、意识培训、系统支持和操作等。 技术性（技术性（Technical）：身份识别与认证、逻辑访问控制、日志审计、加密等。 u 从功能来看，控制措施类型包括： 威慑性（威慑性（Deterrent） 预防性（预防性（Preventive） 检测性（检测性（Detective） 纠正性（纠正性（Corrective）u 对于现有的控制措施，可以取消、替换或保持。79 2012简实公司 版权所有u 确定风险的等级，有两个关键因素要考虑（定性风险评估）

47、： 威胁对信息资产造成的影响影响（后果） 威胁发生的可能性可能性u 影响可以通过资产的价值（重要性）评估来确定。u 可能性可以根据对威胁因素和弱点因素的综合考虑来确定。u 按照风险分析模型计算得出风险水平。80 2012简实公司 版权所有u 降低风险（降低风险（Reduce Risk） 采取适当的控制措施来降低风险，包括技术手段和管理手段，如安装防火墙，杀毒软件，或是改善不规范的工作流程、制定业务连续性计划，等等。u 避免风险（避免风险（Avoid Risk） 通过消除可能导致风险发生的条件来避免风险的发生，如将公司内外网隔离以避免来自互联网的攻击，或是将机房安置在不可能造成水患的位置，等等。

48、u 转移风险（转移风险（Transfer Risk） 将风险全部或者部分地转移到其他责任方，例如购买商业保险。u 接受风险（接受风险（Accept Risk） 在实施了其他风险应对措施之后，对于残留的风险，组织可以有意识地选择接受。81 2012简实公司 版权所有u 绝对安全（即零风险）是不可能的。u 实施安全控制后会有残留风险或残存风险（Residual Risk）。 u 为了确保信息安全，应该确保残留风险在可接受的范围内： 残留风险Rr 原有的风险R0 控制R 残留风险Rr 可接受的风险Rtu 对残留风险进行确认和评价的过程其实就是风险接受的过程。决策者可以根据风险评估的结果来确定一个阀值

49、，以该阀值作为是否接受残留风险的标准。 82 2012简实公司 版权所有目录 风险评估理念 风险评估方法 项目实施过程项目实施过程83 2012简实公司 版权所有实施过程现场调查现场调查信息系统/资产/IT管理/威胁调查信息系统/资产/IT管理/威胁调查安全策略/措施调查安全策略/措施调查技术调查/漏洞，配置技术调查/漏洞，配置风险分析风险分析关键资产分析关键资产分析威胁/影响分析威胁/影响分析安全规划安全规划选择降低风险策略选择降低风险策略选择转嫁风险策略选择转嫁风险策略选择接受风险策略选择接受风险策略前期准备前期准备安全调查报告安全调查报告安全评估报告安全评估报告背景资料/技术资料背景资料

50、/技术资料调查提纲认可，签署保密协议调查提纲认可，签署保密协议调查提纲调查提纲安全策略安全策略前期准备前期准备现现场场调调查查风风险险分分析析安全规划安全规划84 2012简实公司 版权所有前期准备前期准备 成立评估项目组 确定评估范围 编写评估实施计划 资料收集 资料分析，制定调查大纲 确认调查大纲，签署保密协议85 2012简实公司 版权所有资料收集资料收集 背景资料单位描述主要业务 技术资料应用系统网络拓扑安全措施 管理制度有关安全管理的策略与制度 配合提供相应的资料86 2012简实公司 版权所有制定调查大纲制定调查大纲 分析资料后制定调查大纲调查表裁剪安全需求调查关键信息资产调查安全

51、威胁调查安全弱点调查安全策略有效性调查技术调查措施扫描的设备配置检查设备87 2012简实公司 版权所有确认调查大纲确认调查大纲 双方对调查内容有一致的认识。安排访谈人员，访谈时间。扫描或配置检查设备以及相关的人员协助。 签署保密协议88 2012简实公司 版权所有现场调查现场调查 人员访谈 技术调查89 2012简实公司 版权所有人员访谈人员访谈 对各层次人员进行访谈信息系统高层管理人员信息系统技术人员了解详细的技术信息信息系统技术人员了解详细的技术信息信息系统普通用户 了解信息系统现状系统应用现状，今后的规划与扩展业务对系统的依赖性业务对系统的依赖性，对安全的需求（机密对安全的需求（机密、

52、完整、可用性）、完整、可用性）系统面临的主要威胁现有的安全措施以及有效性90 2012简实公司 版权所有技术调查技术调查 漏洞扫描重要服务器关键网络设备安全设备 配置检查安全设备重要服务器关键网络设备 渗透性测试内部渗透性测试外部渗透性测试91 2012简实公司 版权所有风险分析风险分析92 2012简实公司 版权所有安全规划安全规划 安全管理措施建议 安全技术措施建议93 2012简实公司 版权所有94 2012简实公司 版权所有95 2012简实公司 版权所有评估成果安全调查报告1.安全调查安全调查报告报告， 包括： 确认客户的信息安全管理与技术现状； 对下列现状的确认与初步调查分析： 信

53、息技术基础设施，包括硬件和通讯网络 软件应用信息安全组织、策略、重要信息资产和服务等2. 风险评估报告风险评估报告， 包括：风险评估方法论：风险评估方法 风险评估实施模型评估报告细分为下列主要内容：关键资产识别面临的各信息安全威胁识别信息系统存在的脆弱性识别现有控制措施有效性识别信息系统安全风险分析3.信息信息安全规划报告安全规划报告， 包括：风险处置策略和原则信息安全管理建议信息安全技术建议本项目将提交本项目将提交的的主要报告主要报告风险评估报告信息安全规划报告96 2012简实公司 版权所有评估最终成果1 1、使现有、使现有ITIT设备充分利用设备充分利用2 2、合理的规划、合理的规划/

54、/添加添加ITIT设备设备3 3、梳理现有管理制度、梳理现有管理制度4 4、添加遗漏管理制度、添加遗漏管理制度5 5、应急预案应对有方、应急预案应对有方6 6、保证业务连续性、保证业务连续性97 2012简实公司 版权所有Q & A ?Q & A ?98 2012简实公司 版权所有 信息安全概述信息安全概述1目目 录录123 网络安全基础知识网络安全基础知识 信息安全风险评估信息安全风险评估4 等级保护基础等级保护基础99 2012简实公司 版权所有第一部分：等级保护是什么？100 2012简实公司 版权所有法律与政策依据 中华人民共和国计算机信息系统安全保护条例第二章安全保护制度部分规定：

55、“计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。护的具体办法，由公安部会同有关部门制定。” 计算机信息系统安全保护等级划分准则GB17859-1999（技术法规）规定：国家对信息系统实行五级保护。 2003年11月，发布27号文件 国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号文件） 我国第一个全面关于信息安全保障工作的文件，是我国今后一段时期内信息安全保障工作的纲领性文件 总体要求：坚持积极防御、综合防范的方针，全面提高信息安全防护能力，重点保障基础信

56、息网络和重要信息系统安全 明确提出实行信息安全等级保护制度101 2012简实公司 版权所有2004年9月，发布66号文件 关于信息安全等级保护工作的实施意见（公通字200466号文件） 主要内容 开展等级保护工作的重要意义开展等级保护工作的重要意义 等级保护制度的原则等级保护制度的原则 等级保护制度的基本内容等级保护制度的基本内容 等级保护工作职责分工等级保护工作职责分工 实施等级保护工作的要求实施等级保护工作的要求 等级保护工作的实施计划等级保护工作的实施计划 102 2012简实公司 版权所有电子政务等级保护实施指南（试行） 国信办200525号 信息安全等级保护管理办法（试行） 公通字

57、 2006 7号103 2012简实公司 版权所有等级保护相关的政策性文件20032003年年9 9月月中办国办颁发中办国办颁发关于加强信息安关于加强信息安全保障工作的意见全保障工作的意见中办发中办发200327200327号号20052005年年9 9月月国信办文件国信办文件 关于转发关于转发电电子政务信息安全等子政务信息安全等级保护实施指南级保护实施指南的通知的通知 国信办国信办200425200425号号20062006年年1 1月月四部委会签四部委会签 关于印发关于印发信信息安全等级保护管息安全等级保护管理办法的通知理办法的通知 公通字公通字2006720067号号20052005年年

58、 公安部标准公安部标准基本要求基本要求定级指南定级指南实施指南实施指南测评准则测评准则20042004年年1111月月四部委会签四部委会签关于信息安全等关于信息安全等级保护工作的实施级保护工作的实施意见意见公通字公通字200466200466号号云南云南云南省人民云南省人民政府第政府第130130号令号令 浙江浙江浙江省人民浙江省人民政府令政府令 北京北京北京政府第北京政府第9 9号令号令 国家级政策文件国家级政策文件国家级技术标准国家级技术标准国家级政策文件国家级政策文件地方政策文件地方政策文件104 2012简实公司 版权所有等级保护的管理结构国家信息办国家信息办公安部网监局公安部网监局北

59、京信息办北京信息办北京公安局网监处北京公安局网监处北京测评中心北京测评中心北京研究一所北京研究一所管理职能：管理职能：监管和测评监管和测评技术支持单位：技术支持单位：定级、测评定级、测评安全厂商、服务商安全厂商、服务商安全厂商、服务商安全厂商、服务商服务实施单位：服务实施单位：咨询、实施、产咨询、实施、产品、运维品、运维北京信息办北京信息办北京信息办北京信息办北京测评中心北京测评中心北京测评中心北京测评中心北京公安局网监处北京公安局网监处北京公安局网监处北京公安局网监处北京研究一所北京研究一所北京研究一所北京研究一所安全厂商、服务商安全厂商、服务商安全厂商、服务商安全厂商、服务商安全厂商、服务

60、商安全厂商、服务商安全厂商、服务商安全厂商、服务商政策、宏观管政策、宏观管理、协调理、协调电子政务领域电子政务领域其他行业领域其他行业领域北京市属北京市属的电子政的电子政务系统务系统地处北京地处北京的各部委的各部委各行业各行业105 2012简实公司 版权所有一、等级保护是什么一、等级保护是什么（一）等级保护基本概念：信息系统安全等级保护是指对信息安全一）等级保护基本概念：信息系统安全等级保护是指对信息安全实行等级化保护和等级化管理实行等级化保护和等级化管理 根据信息系统应用业务重要程度应用业务重要程度及其实际安全需求实际安全需求，实行分级分级、分类、分阶段实施保护、分类、分阶段实施保护，保障