信息安全体系规划(最后一节)

1、安全保障系统规划讲课者：金 海1第一部分 信息安全的认识第二部分 信息安全的发展第三部分 信息安全体系的设计第四部分 信息安全工程的实施第五部分 信息安全的维护2第一部分信息安全的认识3信息安全的两个方面面向数据和信息的安全通过安全服务，安全产品解决面向访问（人）的安全通过安全咨询解决4信息安全的理念安全是收敛的安全产品不等于安全安全是动态平衡安全必须通过管理实现5正确认识安全(1)安全产品与产品安全在字面上理解是比较显然的，但在实际工作中很容易混淆和难以判断，如：交换机-可以造成信息安全，但不是安全产品等。安全的相对性和不可预测性安全与时间（不同时间段）、应用对象（如金融与政务）、范围（内部

2、办公人员与规模服务）等呈现出它的相对性；安全还有不可预测性，这就需要建立完备的灾难应急机制与组织。6正确认识安全(2)没有证明安全就认为不安全与没有证明不安全就认为安全持有这种观点的用户（特别是部门主管）很多，甚至于部分安全专家，系统和产品安全不能简单地从本观点出发，首先具体问题具体分析，如安全需求（有时需要对信息分层次管理保护）、安全策略保障程度是否满足需求。7正确认识安全(3)安全服务和服务安全安全服务一般指安全评估、技术解决方案提供、安全培训、安全配套管理体系设计、甚至安全托管服务等；服务安全是指服务提供商所带来的安全问题，除了技术水平和服务质量以外，还有通过利用自己对客户安全策略的了解

3、或在设计过程中有意或无意所留漏洞，进行非法的活动（对服务对象或以服务对象为跳板对网络、数据库等进行非法扫描、攻击、窃取信息等），由于安全的特殊性，需要对服务企业进行必要的资格认证和有效的管理。8正确认识安全(4)正确处理好技术与管理的关系我们坚持三分技术、七分管理的指导原则，通过推广管理结标准健全管理机制，从组织、机构、制度上加强安全管理力度，并提出适合国情的、具有多层次的安全管理标准。技术模型主要对虚拟环境的管理，安全管理模型主要对现实物理环境的管理。虚拟与现实是问题的两个方面，虚拟是抽象环境、技术含量较高，所出现的安全问题远比现实物理环境复杂，而麻烦制造者远没有现实物理环境麻烦制造者多；特

4、别是结合不同技术安全模型，配不同程度的安全管理制度。9ConsultingImplementation安全实施发现问题、提出问题防止问题、处理问题解决问题ManagementEducation教育培训10安全咨询资产界定风险评估制度制订解决方案制定发现问题提出问题11安全实施制度执行加固与优化产品选型产品配置解决问题制度培训12安全维护制定紧急响应制度安全集中监控平台日常监控工作防止问题处理问题网络设备集中监控服务器健康状态监控应用系统集中监控服务器访问操作监控数据库操作监控网络安全设备集中监控备份状态监控网络安全制度监控防病毒紧急响应系统菪机紧急响应黑客攻击紧急响应管理违规紧急响应灾难恢复紧

5、急响应误操作紧急响应监察集中监控平台定期风险评估定期优化加固及升级定期性能分析及优化安全技术更新制度更新13安全培训安全制度培训安全技术培训日常维护安全理论培训操作系统安全培训网络安全产品培训数据库操作监控全体人员培训部门人员的制度针对管理层人员的培训针对技术人员的培训14第二部分信息安全的发展15安全防御理论的发展数据传输加密密码与加密技术通讯保密安全防护保障体系静态安全防护网络隔离访问控制鉴别与认证安全审计强调管理深度多重防御策略，人，技术，操作动态安全16信息系统的主要特点 高可靠性，无间断连续运行信息系统的广泛互连和集中化的趋势 企业的关键业务应用系统，层次丰富，操作环节多企业信息系统

6、与Internet和外部网络的互连性日益增强随着业务内容的不断推出，应用系统日益增加 17设计遵循的原则采用信息安全保障体系(ITAF)理论多重深度防御战略原则管理与技术并重原则统一规划，分布实施原则风险管理和风险控制原则 网络安全性与成本、效率之间平衡原则 18安全企业采取的策略提供科学、完整、可操作的安全策略减轻服务对象的灾难恐惧心理建立面向用户的安全指南19提供科学、完整、易操作的安全方案科学性完整性可操作性20科学性认真科学分析用户实际需求和资金投入量，提出客观、合理、可操作的安全方案，尽管投入资金量会直接影响安全强度、效率、服务项目等，但是在投入资金非常有限的情况下，合理使用资金，充

7、分发挥现有的设备并通过加强安全管理制度的建设也能暂时达到一定的安全（如通过将重要信息集中管理、加强安全管理力度、减少安全服务项目、适当地牺牲运行效率来降低投资量，并使得安全强度基本不变），要使用户了解方案优点和缺陷，并留有扩展的余地，在有条件时将现有不足改进（科学性体现在科学合理使用资金、现有条件、系统安全与效率平衡、保护对象与资金投入平衡等）；21完整性安全方案设计一定要充分析用户需求和现有条件的基础上，给出完整的安全策略和解决方案，以及根据投资情况提出逐步改进和安全系统升级的内容等，根据技术模型提出完整的、配套的安全管理机制（随着科学发展和资金不断投入，方案要具有可扩容性和可升级性，技术模

8、型与安全管理模型要紧密配套）；22可操作性尽可能模块化设计、界面具有层次性结构、根据网络重要性分类、安全强度分级、并给出几种安全强度等级（从网络物理机构上-可物理隔离、并可采用其他方式接入，系统安全监控上-起用备用的安全功能如探测器个数、系统状态参数扫描周期等升级，密码技术选择上密码强度升级考虑）的安全策略模型，只有这样才能使安全系统机构更清晰、界面更友好、在网络不正常时有备用安全策略体系（根据安全系统设计中所遗留的缺陷，以及网络在异常状态下最可能发生的故障设计出可操作的应对策略，同时在特殊情况下起用特殊手段确保安全）。23减轻服务对象的灾难的恐惧心理恐惧心理的产生与后果培训与预防应急与救援2

9、4恐惧心理的产生与后果一方面媒体对网络信息安全的报道与宣传多数是基于灾难事件与其损失，以及万一发生安全事故的后果渲染报道对用户产生了恐惧心理；另一方面用户在对安全技术没有充分了解的情况下，往往感到虚拟环境离现实物理环境很遥远，也很神秘，使其对网络信息安全没有任何把握和信心，从而在现实物理环境内采取极端措施；25培训与预防只有通过对用户特别是主管领导的培训，使其建立对网络信息安全有正确和客观认识，同时提出与现实物理环境紧密相连安全预防措施（大部分可以通过预防消除安全隐患），在一定程度上解除用户对安全恐惧心理；26应急与救援要使用户明白没有绝对的安全，只有相对安全（包括现实物理环境），可见发生安全

10、事故再所难免，关键是将事故损失将到最底程度，这样需要从技术上、软硬件上、组织机构上、管理制度上建立应急与求援机制或进程，通过培训与预防、应急与求援等扎实的基础工作才能使用户消除恐惧睦恚建立对网络信息安全的正确认识，积极参与到国家计算机网络与信息安全应急保障体系的建设中。27建立面向用户的安全指南安全需求与建设指南灾难应急与求援指南28安全需求与建设指南建立面向客户的安全需求与安全策略，目前有BSI7799安全管理模型、CC标准安全技术模型、公共数据平台集成环境模型都是面向安全专家，急需建立面向用户的安全需求与建设指南，根据安全需求特点对安全需求分类，并提出完整、统一的安全模型，通过建立安全基本

11、单元，对每一安全基本单元分级（系统数据交换单元、边界客户端、身份与信息认证单元、数据库单元、线路传输单元、系统监控单元等），并配上与安全基本单元的安全级相对应的安全管理规则（如系统数据交换单元可分为严格物理隔断、时序物理隔断、逻辑隔断、信息内容数据交换、访问控制数据交换、非限制数据交换等，它们组合可分出安全等级，对不同等级配上响应的安全管理规则），用户根据资金、现有条件、需求选择适合自己的安全策略（保护范围、方式和安全强度）形成安全方案；另一方面用户也要根据自己的经济实力和现有条件选择合适的软硬件设备、以及建设经济实惠的物理环境，这样需要建立现实物理环境的集成商指南。29灾难应急与求援指南建立

12、完备的应急组织与机构，通过这些机构开展预防性安全警告，以及发生灾难后的应急处理，如救援，数据恢复，查找安全原因并研发补救措施等。建立信息沟通渠道如CERT网站、电话，发布安全服务企业指南，建立安全专家会诊中心与应急体系组织结构等。安全系统运行与维护指南-建立标准故障或漏洞分类术语，建立定期发布安全产品的渠道如网站、专业刊物等，最新安全产品介绍，以及在网上升级安全系统。30第三部分信息安全体系的设计31OperationsPeopleTechnologyOperationsPeopleTechnologyDefense in Depth Focus AreasOperationsTechnolo

13、gy运作体系组织体系技术体系深 度 防 护 的 目 标 区 域信息安全保障体系安全策略体系深度防护战略信息安全保障体系框架设计保护网络与基础设施保护综合业务网络KMI/PKI检测响应MonitorCenter安全基础设施保护内部网络保护Internet业务32OperationsPeopleTechnologyOperationsPeopleTechnologyOperationsTechnology运作体系组织体系技术体系安全策略体系安全组织/人员遵照策略制度依靠技术手段进行运作管理组织、策略、技术、运作之间的关系33OperationsPeopleTechnology信息安全保障体系安全策

14、略体系深度防护战略安全策略体系安全策略框架安全方针安全组织管理体系和职责安全标准和规范安全制度和管理办法安全操作流程用户协议安全策略运作流程安全策略制定和开发安全策略培训和教育安全策略实施发布和推行安全策略实施审计考核安全策略定期审核和修订34安全策略框架安全方针/Top-level Policy组织机构和人员职责/O.chart,Role-Resp.技术标准和规范、方法学 /Standards管理制度和规定/Regulation 操作流程 /Procedure,Manual用户协议/AgreementB 表示B从A引申而出，将A作为依据，遵照A，不发生违背和冲突。A35安全策略覆盖的内容组织

15、有关组织架构，组织和人员责任。人员人员安全管理、意识、技能资产对资产管理、分类和价值。业务业务系统的安全规范和制度，覆盖综合业务网络、企业内部网络和企业调度、生产业务网络 技术安全技术框架和系列安全技术标准运作安全运行和维护管理业务连续性业务连续性计划和框架策略策略自身的建设和管理36OperationsPeopleTechnologyOperationsPeopleTechnologyDefense in Depth Focus AreasOperationsTechnology运作体系组织体系技术体系信息安全保障体系安全策略体系深度防护战略安全领导小组安全组织建设安全顾问组组织间的合作岗位

16、安全职责培训和教育安全考核和处罚第三方安全管理安全组织体系37OperationsPeopleTechnologyOperationsPeopleTechnologyOperations运作体系信息安全保障体系安全策略体系深度防护战略安全运作体系组织体系技术体系资产识别风险评估安全规划方案设计工程实施工程验收运行维护事件响应运作规范化业务连续性管理38安全技术体系OperationsPeopleTechnologyOperationsPeopleTechnologyOperationsTechnology运作体系组织体系技术体系信息安全保障体系安全策略体系深度防护战略保护网络与基础设施保护综合

17、业务网络保护内部网络保护Internet业务KMI/PKI检测响应MonitorCenter安全基础设施39主要保护对象大型业务主机系统应用网络应用业务内部网络其他业务网络保护综合业务网络安全主要保护内容边界安全应用系统安全业务流程安全数据安全保护企业用户综合业务网络40保护内部网络安全主要保护对象电子公文系统电子邮件系统MIS信息管理系统财务信息管理系统人事信息管理系统主要保护内容边界安全应用系统安全业务流程安全数据安全保护企业用户内部网络41应用环境的安全访问控制鉴别与认证（操作系统，应用程序）数据安全（完整性，保密性，可用性，不可否认性）安全审计和监控内容安全（加密，防病毒）主机安全配置

18、网络边界的安全网络隔离与安全域划分物理隔离防火墙网络入侵检测安全扫描器业务网络安全对策保护综合业务网络保护内部网络保护Internet业务42保护内容主干网可用性广域连接的安全数据传输安全安全对策网络管理路由安全网络冗余传输加密保护网络基础设施保护网络基础设施43Monitor Center集中管理和监控平台）安全设备监控服务器监控网络流量监控网络设备监控应用业务监控检测和响应入侵检测体系紧急事件响应体系安全基础设施KMI/PKI检测响应MonitorCenter企业用户安全基础设施44第四部分信息安全工程的实施45ISSE(信息系统安全工程模型）DISCOVERNEEDSDEFINESYST

19、EMREQUIREMENTSDESIGNSYSTEMARCHITECTUREDEVELOPDETAILEDDESIGNIMPLEMENTSYSTEMASSESSEFFECTIVENESSUSERS/USERS拀REPRESENTATIVESDISCOVERNEEDSDEFINESYSTEMREQUIREMENTSDESIGNSYSTEMARCHITECTUREDEVELOPDETAILEDDESIGNIMPLEMENTSYSTEM风险评估/需求开发效果评估用户建议需求分析与定义体系架构设计详细设计系统实施46信息安全项目中的阶段1-项目准备与范围确定项目计划项目组织结构项目工作环境项目启动会议

20、2-项目定义和蓝图详细实施方案设计定义项目目标定义详细项目范围定义输出成果格式蓝图户签署3-评估阶段总部评估典型分行评估综合评估4-安全体系设计需求分析安全保障体系框架设计详细方案设计安全策略设计安全建设规划设计123447价值资产风险后果可能性严重性严重性弱点可能性威胁威胁引发安全对策组织技术运作安全对策框架安全保护对象框架资产价值等级化弱点现状等级化威胁强度等级化安全保护需求框架保护需求等级化安全现状等级化等级化安全对策安全等级指标体系安全体系设计安全解决方案等级化技术方案等级化安全体系安全建设规划风险评估安全体系设计解决方案设计安全策略设计安全方针标准规范制度规定组织职责保护对象等级化等

21、级化管理方案1安全需求组织技术运作2453678910项目总体流程逻辑图等级化安全目标等级化安全需求体48信息安全项目阶段3 评估阶段49半定量风险分析模型价值资产拥有者信息资产威胁来源风险后果可能性难易程度严重性弱点可能性威胁影响50风险评估基本流程资产识别与估价威胁评估弱点评估影响评估现有安全措施评估风险评估风险控制51信息资产识别与估价信息资产识别数据服务软件硬件文档设备人员信息资产估价机密性价值完整性价值可用性价值52威胁评估方法针对实际环境进行用户访谈安全事件记录统计；IDS威胁数据统计和日志分析；社会或行业安全威胁统计均值进行综合分析确定威胁列表53安全工具扫描(网络、系统、数据库

22、)主机安全人工评估入侵痕迹（后门）检查模拟黑客渗透测试业务软件安全评估业务流程评估网络拓扑结构评估安全策略文档分析安全审计和顾问访谈安全弱点的评估方法54安全现状报告各业务系统安全现状各网络分布安全现状各安全层次安全现状物理层网络层操作系统层应用程序层业务系统层数据保护安全现状综述人员安全安全组织资产分类及控制安全策略、制度与规范业务连续性法律和策略符合性55评估的价值清晰地了解当前的风险和安全现状明确地看到当前安全现状与安全目标之间的差距为下一步控制和降低安全风险、设计解决方案和安全体系提供客观和详实的依据56信息安全项目阶段4 安全体系设计阶段57安全需求综合断言需求风险方法组合分析相关性

23、C框架F用户调研用户断言风险评估风险分析业务B分布D层次H分析基线L分析58OperationsPeopleTechnologyOperationsPeopleTechnologyDefense in Depth Focus AreasOperationsTechnology运作体系组织体系技术体系深 度 防 护 的 目 标 区 域保护网络与基础设施信息安全保障体系保护综合业务网络安全策略体系深度防护战略信息安全保障体系框架设计保护内部网络保护Internet业务KMI/PKI检测响应MonitorCenter安全基础设施59详细解决方案设计需求体分解和综合每个子建议方案引言方案建议可行性分析

24、优劣势分析预算和回报分析推荐意见60安全建设项目规划方法 项目紧迫性分析项目可实施性分析项目实施难易程度分析项目预期效果分析项目规划综合分析最终形成未来3/5年安全建设项目规划建议61防病毒体系制订最高安全方针落实项目的安全审核工作建立网络安全领导小组策略的有效发布和执行策略体系开发和建立网管安全培训与资质认证落实安全责任文件安全组织建设资产鉴别和分类项目全员网络安全教育培训第三方安全管理策略的定期审查和修订BS7799认证项目网络安全域隔离和划分统一时钟服务防火墙和网络隔离紧急响应体系PKI/KMI系统建立入侵监测系统主机安全加固聘请公司、专家作为顾问周期性风险评估服务项目日志监控系统移动办

25、公的安全管理网络设备安全安全管理中心和管理平台基础性项目待建项目高级目标项目技术类项目管理类项目表示必要的支持或支撑作用安全保障系统项目规划示例ERP系统安全CRM系统安全PMI统一授权系统建立统一应用安全平台电子商务系统安全62设计参考的标准NAS ITAF3.1（美国国防部信息保障技术框架）ISO 17799 / BS7799ISO15408/GB18336ISO13335SSE-CMMISO 7498-263ISO15408安全模型ISO/IEC 15408-1 安全概念和关系模型所 有 者攻 击 者 对 策 漏 洞 风 险 威 胁 资 产64ISO13335以风险为核心的安全模型风险安全措施信息资产威胁漏洞安全需求降低增加增加利用暴露价值拥有抗击增加引出被满足65SSE-CMM系统安全工程 - 能力成熟度模型项目和