CISP课程培训知识总结课件

1、CISP课程培训知识总结机构名称讲师姓名CISP课程培训知识总结机构名称22CISP课程培训知识总结（安全综合）CISP课程培训知识总结（安全综合） 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准4 主 题一、信息安全保障基本知识4课程内容5课程内容5信息安全发展阶段6COMSEC通信安全COMPUSEC计算机安全INFOSEC信息系统安全IA信息安全保障CS/IA网络空间安全/信息安全保障阶段年代安全威胁安全措施通信安全20世纪，4070年代搭线窃听

2、、密码学分析加密计算机安全20世纪，70-90年代非法访问、恶意代码、脆弱口令等安全操作系统设计技术（TCB）信息系统安全20世纪，90年代后网络入侵、病毒破坏、信息对抗等防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等信息安全保障今天，黑客、恐怖分子、信息战、自然灾难、电力中断等技术安全保障体系、安全管理体系、人员意识/培训/教育、认证和认可网络安全空间/信息安全保障2009年开始国家安全的高度网络防御网络攻击网络利用信息安全发展阶段6COMSEC通信安全COMPUSEC计算机 信息系统安全保障是在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、

3、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。 信息安全保障定义7 信息系统安全保障是在信息系统的整个生命周期中，国家标准：GB/T 20274.1-2019 信息安全技术 信息系统安全保障评估框架 第一部分：简介和一般模型 信息系统安全保障模型8国家标准：GB/T 20274.1-2019 信息安全技P2DR策略、防护、检测、响应P2DR模型则更强调控制和对抗，即强调系统安全的动态性以安全检测、漏洞监测和自适应填充“安全间隙”为循环来提高网络安全特别考虑人为的管理因素分布式动态主动模型P2DR模型9P

4、2DR策略、防护、检测、响应分布式动态主动模型P2技术操作深度防御战略人 人 通过 技术 进行 操作计算环境区域边界网络基础设施支撑性基础设施密钥管理检测响应成功的组织功能信息安全保障（IA）IATF框架10技术操作深度防御战略人 人计算环境区域 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准11 主 题一、信息安全保障基本知识112课程内容1212课程内容12国家信息安全保障工作总体要求坚持积极防御、综合防范的方针，全面提高信息安全的防护能力，重点保

5、障基础信息网络和重要信息系统安全，创建安全健康的网络环境，保障和促进信息化发展，保护公众利益，维护国家安全。13国家信息安全保障工作总体要求坚持积极防御、综合防范的方针，全信息安全保障工作的主要原则立足国情，以我为主，坚持管理与技术并重；正确处理安全与发展的关系，以安全保发展，在发展中求安全；统筹规划，突出重点，强化基础性工作；明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保障体系。14信息安全保障工作的主要原则立足国情，以我为主，坚持管理与技术国家信息安全保障重点工作实行信息安全等级保护加强以密码技术为基础的信息保护和网络信任体系建设建设和完善信息安全监控体系

6、重视信息安全应急处理工作加强信息安全技术研究开发，推进信息安全产业发展加强信息安全法制建设和标准化建设加快信息安全人才培训，增强全民信息安全意识保证信息安全资金加强对信息安全保障工作的领导，建立健全信息安全管理责任制15国家信息安全保障重点工作实行信息安全等级保护1516制定信息安全保障需求的作用制定信息系统安全保障需求的方法和原则信息安全保障解决方案确定安全保障解决方案的原则实施信息安全保障解决方案的原则信息安全测评信息安全测评的重要性国内外信息安全测评现状产品、人员、服务商、系统测评的方法和流程持续提高信息系统安全保障能力。信息系统安全监护和维护确定需求制定方案开展测评持续改进信息系统安全

7、保障工作建设步骤1616确定需求制定方案开展测评持续改进信息系统安全保障工作建设17国家信息安全测评主要对象 信息产品安全测评 信息系统安全测评 服务商资质测评 信息安全人员资质测评1717国家信息安全测评主要对象 信息产品安全测评17 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准18 主 题一、信息安全保障基本知识1三、 信息安全管理体系19三、 信息安全管理体系19信息安全管理20什么是信息安全管理组织中为了完成信息安全目标，针对信息系统，遵循安

8、全策略，按照规定的程序，运用恰当的方法，而进行的规划、组织、指导、协调和控制等活动信息安全管理工作的对象 规则 人员目标组织信息输入立法摘要变化？关键活动测量拥有者资 源记录标 准输入输出生 产经 营过程信息安全管理20什么是信息安全管理 规则 人员目标组织安全风险的基本概念威胁资威胁是可能导致信息安全事故和组织信息资产损失的环境或事件威胁是利用脆弱性来造成后果威胁举例黑客入侵和攻击病毒和其他恶意程序软硬件故障人为误操作盗窃网络监听供电故障后门未授权访问自然灾害如：地震、火灾21安全风险的基本概念威胁21安全风险的基本概念脆弱性是与信息资产有关的弱点或安全隐患。脆弱性本身并不对资产构成危害，但

9、是在一定条件得到满足时，脆弱性会被威胁加以利用来对信息资产造成危害。脆弱性举例系统漏洞程序Bug专业人员缺乏不良习惯缺少审计缺乏安全意识后门物理环境访问控制措施不当22安全风险的基本概念脆弱性22信息安全的风险模型23没有绝对的安全，只有相对的安全信息安全建设的宗旨之一，就是在综合考虑成本与效益的前提下，通过恰当、足够、综合的安全措施来控制风险，使残余风险降低到可接受的程度。信息安全的风险模型23没有绝对的安全，只有相对的安全信息安全风险评估是信息安全管理的基础风险评估主要对ISMS范围内的信息资产进行鉴定和估价，然后对信息资产面对的各种威胁和脆弱性进行评估，同时对已存在的或规划的安全控制措施

10、进行界定。信息安全管理体系的建立需要确定信息安全需求信息安全需求获取的主要手段就是安全风险评估信息安全风险评估是信息安全管理体系建立的基础，没有风险评估，信息安全管理体系的建立就没有依据。24风险评估是信息安全管理的基础风险评估主要对ISMS范围内的信信息安全管理体系的定义信息安全管理体系（ISMS：Information Security Management System）是组织在整体或特定范围内建立的信息安全方针和目标，以及完成这些目标所用的方法和体系。它是直接 管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。25信息安全管理体系的定义信息安全管理体系（

11、ISMS：Infor信息安全管理的特点明确建立管理体系的工作确定范围，制定信息安全方针，明确管理职责，以风险评估为基础选择控制目标和措施管理体系建立有依据基于系统、全面、科学的安全风险评估，体现以预防控制为主的思想，强调遵守国家有关信息安全的法律、法规及其他合同方面的要求强调过程和动态控制控制费用与风险平衡的原则合理选择安全控制方式26信息安全管理的特点明确建立管理体系的工作26信息安全管理体系作用保护资产对组织的关键信息资产进行全面系统的保护，维持竞争优势；保护业务持续性在信息系统受到侵袭时，确保业务持续开展并将损失降到最低程度；促进规范促使管理层贯彻信息安全管理体系，强化员工的信息安全意识

12、，规范组织信息安全行为；提高信心使组织的生意伙伴和客户对组织充满信心；27信息安全管理体系作用保护资产27信息安全管理体系的理念技术因素人的因素管理因素28在信息安全问题上，要综合考虑人员与管理、技术与产品、流程与体系。信息安全管理体系是人员、管理与技术三者的互动。信息安全管理体系的理念技术因素人的因素管理因素28在信息安全ISO 27000系列2927001ISMS要求27004 ISMS度量指标和衡量27002 ISMS实践准则27001的附录A将两者联系起来，作为ISMS过程的一部分测量ISMS控制措施的性能和有效性的要求将两者联系起来ISO 27000系列292700127004 27

13、002 27000：ISMS基础和词汇30正在启动的新标准项目；它将主要以ISO/IEC 13335-1:2019信息和通信技术安全管理第1部分：信息和通信技术安全管理的概念和模型为基础进行研究；该标准将规定27000系列标准所共用的基本原则、概念和词汇。27000：ISMS基础和词汇30正在启动的新标准项目；27001：信息安全管理体系要求312019年10月15日发布；规定了一个组织建立、实施、运行、监视、评审、保持、改进信息安全管理体系的要求；基于风险管理的思想，旨在通过持续改进的过程（PDCA模型）使组织达到有效的信息安全；使用了和ISO 9001、ISO 14001相同的管理体系过程

14、模型；是一个用于认证和审核的标准；27001：信息安全管理体系要求312019年10月1527002：信息安全管理实用规则32即17799，2019年6月15日发布第二版；包含有11个安全类别、39个控制目标、138个控制措施；实施27001的支撑标准，给出了组织建立ISMS时应选择实施的控制目标和控制措施集；是一个行业最佳惯例的汇总集，而不是一个认证和审核标准；27002：信息安全管理实用规则32即17799，20127003：ISMS实施指南33目前处于工作草案阶段；它主要以BS 7799-2:2019附录B的内容为基础进行制定；提供了27001具体实施的指南。27003：ISMS实施指南

15、33目前处于工作草案阶段；27004：信息安全管理度量34旨在为组织提供一个如何通过使用度量、测量项以及合适的测量技术来评估其安全管理状态的指南。27004：信息安全管理度量34旨在为组织提供一个如何通27005：信息安全风险管理35目前处于委员会草案阶段；它将主要以ISO/IEC 13335-2为基础进行制定；描述了信息安全风险管理的过程及每个过程的详细内容。27005：信息安全风险管理35目前处于委员会草案阶段；信息安全管理体系建设（一）信息安全管理体系的规划和建立（P)（二）信息安全管理体系的实施和运行(D)（三）信息安全管理体系的监视和评审(C)（四）信息安全管理体系的保持和改进(A)

16、36信息安全管理体系建设（一）信息安全管理体系的规划和建立（P)信息安全管理体系循环框架37GB/T22080-2019 信息安全技术 信息安全管理体系要.信息安全管理体系是PDCA动态持续改进的一个循环体。规划和建立(plan)实施和运行(do)监视和评审check保持和改进action相关方信息安全要求和期望相关方受控的信息安全信息安全管理体系循环框架37GB/T22080-2019 3、信息安全管理体系文档框架383、信息安全管理体系文档框架38信息安全管理体系规划和建立P1-定义ISMS范围P2-定义ISMS方针P3-确定风险评估方法P4-分析和评估信息安全风险P5-识别和评价风险处理

17、的可选措施P6-为处理风险选择控制目标和控制措施P7-准备详细的适用性声明SoA39信息安全管理体系规划和建立P1-定义ISMS范围39信息安全管理控制规范十一项条款（一）信息安全策略（二）信息安全组织（三）人力资源安全（四）信息资产分类与控制（五）信息安全访问控制（六）物理与环境安全（七）系统开发与维护（八）通信与运营安全（九）信息安全事故管理（十）业务持续性管理（十一）符合性40信息安全管理控制规范十一项条款40 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规

18、十、安全标准41 主 题一、信息安全保障基本知识442四、 信息安全风险管理42四、 信息安全风险管理通用风险管理定义定义是指如何在一个肯定有风险的环境里把风险减至最低的管理过程。风险管理包括对风险的量度、评估和应变策略。理想的风险管理，是一连串排好优先次序的过程，使引致最大损失及最可能发生的事情优先处理、而相对风险较低的事情则押后处理。43通用风险管理定义定义43什么是信息安全风险管理定义一：GB/Z 24364信息安全风险管理指南信息安全风险管理是识别、控制、消除或最小化可能影响系统资源的不确定因素的过程。定义二：在组织机构内部识别、优化、管理风险，使风险降低到可接受水平的过程。 了解风险

19、+控制风险=管理风险44什么是信息安全风险管理了解风险+控制风险=管理风险44何时作风险管理信息安全风险管理是信息安全保障工作中的一项基础性工作 是需要贯穿信息系统生命周期，持续进行的工作规划设计实施运维废弃45何时作风险管理信息安全风险管理是信息安全保障工作中的一项基础信息安全风险术语资产（Asset）威胁源（Threat Agent）威胁（ Threat ）脆弱性（Vunerability）控制措施（Countermeasure,safeguard,control）可能性（Likelihood,Probability）影响（ Impact,loss ）风险（Risk）残余风险（Reside

20、ntal Risk）46信息安全风险术语资产（Asset）46信息安全风险管理工作内容建立背景风险评估风险处理批准监督监控审查沟通咨询GB/Z 24364信息安全风险管理指南 四个阶段，两个贯穿。 -47信息安全风险管理工作内容建立背景风险评估风险处理批准监督监控信息系统风险评估风险评估的政策要求风险评估的流程48信息系统风险评估风险评估的政策要求48 准备 识别 计算 报告 一个简化的风险评估流程：准备（Readiness）、识别（Realization）、 计算（Calculation）、报告（Report） 识别 资产 威胁 漏洞 准备 资料审核 SLA 工作计划 组队 计算 威胁概率

21、事件影响 风险定级 报告 整改建议 各类文档 49 准备 识别 计算 报告 一个简化的风险评估流程：准备（风险分析GB/T 20984-2019 信息安全风险评估规范给出信息安全风险分析思路 50风险值=R（A，T，V）= R(L(T，V)，F(Ia，Va )。其中，R表示安全风险计算函数；A表示资产；T表示威胁；V表示脆弱性； Ia表示安全事件所作用的资产价值；Va表示脆弱性严重程度；L表示威胁利用资产的脆弱性导致安全事件的可能性；F表示安全事件发生后造成的损失。风险分析GB/T 20984-2019 信息安全风险评估规方法优点缺点定性简易的计算方式不必精确算出资产价值不需得到量化的威胁发生

22、率非技术或非安全背景的员工也能轻易参与流程和报告形式比较有弹性本质上是非常主观的对关键资产的财务价值评估参考性较低缺乏对风险降低的成本分析定量 1. 结果建立在独立客观的程序或量化指标上大部分的工作集中在制定资产价值和减缓可能风险主要目的是做成本效益的审核风险计算方法复杂需要自动化工具及相当的基础知识投入大个人难以执行定量分析与定性分析51方法优点缺点定性简易的计算方式本质上是非常主观的定量 1. 定量分析方法步骤1-评估资产：根据资产价值（AV）清单,计算资产总价值及资产损失对财务的直接和间接影响步骤2-确定单一预期损失SLESLE 是指发生一次风险引起的收入损失总额。 SLE 是分配给单个

23、事件的金额，代表一个具体威胁利用漏洞时将面临的潜在损失。 （SLE 类似于定性风险分析的影响。）将资产价值与暴露系数相乘 (EF) 计算出 SLE。暴露系数表示为现实威胁对某个资产造成的损失百分比。 步骤3-确定年发生率AROARO 是一年中风险发生的次数.52定量分析方法步骤1-评估资产：根据资产价值（AV）清单,计算定量分析方法（续）步骤4-确定年预期损失ALEALE 是不采取任何减轻风险的措施在一年中可能损失的总金额。 SLE 乘以 ARO 即可计算出该值。 ALE 类似于定量风险分析的相对级别。步骤5-确定控制成本控制成本就是为了规避企业所存在风险的发生而应投入的费用.步骤6-安全投资

24、收益ROSI(实施控制前的 ALE）（实施控制后的 ALE）（年控制成本）= ROSI53定量分析方法（续）步骤4-确定年预期损失ALE53 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准54 主 题一、信息安全保障基本知识5五、基本安全管理措施55安全管理措施知识体知识域基本安全管理措施重要安全管理过程知识子域安全策略人员安全管理访问控制物理与环境安全系统获取、开发和维护通信及操作管理安全组织机构资产管理符合性管理信息安全事件管理与应急响应业务连续性

25、管理与灾难恢复五、基本安全管理措施55安全管理知识体知识域基本安全重要安全什么是控制措施什么是控制措施管理风险的方法。为达成企业目标提供合理保证，并能预防、检查和纠正风险。它们可以是行政、技术、管理、法律等方面的措施。控制措施的分类：11项控制规范预防性控制检查性控制纠正性控制56什么是控制措施什么是控制措施56基本安全管理措施安全策略安全策略目标：提供与业务需求和法律法规相一致的管理指示及支持信息安全组织组织目标组织工作内容人员安全管理目标：雇佣前、雇佣中、解聘与变更资产资产责任、信息分类57基本安全管理措施安全策略57基本安全管理措施物理和环境安全目标：安全区域、设备安全通信和操作管理目标

26、：网络安全管理、介质处理和安全、信息和软件的交换、电子商务服务、监督访问控制符合性法律符合性组织策略符合性58基本安全管理措施物理和环境安全58 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准59 主 题一、信息安全保障基本知识5六、 重要信息安全管理过程安全管理措施知识体知识域基本安全管理措施重要安全管理过程知识子域安全策略人员安全管理访问控制物理与环境安全系统获取、开发和维护通信及操作管理安全组织机构资产管理符合性管理信息安全事件管理与应急响应业务

27、连续性管理与灾难恢复六、 重要信息安全管理过程安全管理知识体知识域基本安全重要安信息系统购买安全信息系统购买流程需求分析市场招标评标选择供应商签订合同系统实施系统运维61信息系统购买安全信息系统购买流程需求市场评标选择签订系统系统基本概念62应急响应计划（Emergency Response Plan） 是指在突发/重大信息安全事件后对包括计算机运行在内的业务运行进行维持或恢复的策略和规程。 信息安全应急响应计划的制定是一个周而复始、持续改进的过程，包含以下几个阶段：（1）应急响应需求分析和应急响应策略的确定；（2）编制应急响应计划文档；（3）应急响应计划的测试、培训、演练和维护。基本概念62

28、应急响应计划（Emergency Respons应急响应六阶段63第一阶段：准备让我们严阵以待第二阶段：确认对情况综合判断第三阶段：遏制制止事态的扩大第四阶段：根除彻底的补救措施第五阶段：恢复系统恢复常态第六阶段：跟踪还会有第二次吗准备确认遏制根除恢复跟踪应急响应六阶段63第一阶段：准备让我们严阵以待准备确认遏信息安全应急响应计划编制方法64总则角色及职责预防和预警机制应急响应流程应急响应保障措施附件总则角色及职责预防和预警机制应急响应流程应急响应保障措施附件信息安全应急响应计划编制方法64总则总则角色及职责预防和预警计算机取证的步骤65准备保护提取分析提交计算机取证的步骤65准备保护提取分析

29、提交灾难恢复相关概念什么是灾难备份与恢复灾难恢复规划与灾难恢复预案业务连续性规划与业务连续性管理RPO（恢复点目标）/RTO（恢复时间目标）66灾难恢复相关概念什么是灾难66灾难恢复建设流程67灾难恢复建设流程67灾难恢复规划的过程阶段业务影响分析制定恢复策略灾难恢复策略的实现灾难恢复预案的制定、落实和管理分析业务功能和相关资源配置评估中断影响确定灾难恢复资源获取方式确定灾难恢复等级的要素要求正式文档化灾难备份中心的选择和建设灾难备份系统技术方案的实现技术支持能力的实现运行维护能力的实现灾难恢复预案的制订灾难恢复预案的教育、培训和演练灾难恢复预案的管理风险分析标识资产标识威胁标识脆弱性标识现有

30、控制定量/定性风险分析灾难恢复需求分析灾难恢复策略制定灾难恢复预案制定和管理灾难恢复策略实现确定灾难恢复目标关键业务功能及恢复的优先级RTO/RPO的范围68灾难恢复规划的过程阶段业务影响制定灾难恢复策略的实现灾难恢复灾难恢复等级划分国家标准信息安全技术信息系统灾难恢复规范（GB/T 20988）69灾难恢复等级划分国家标准信息安全技术信息系统灾难恢复规范 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准70 主 题一、信息安全保障基本知识7七、信息安全

31、工程71安全工程原理知识体知识域安全工程理论背景安全工程能力成熟度模型知识子域质量管理基础能力成熟度模型基础系统工程与项目管理基础SSE-CMM体系与原理安全工程过程区域安全工程能力评价七、信息安全工程71安全工程知识体知识域安全工程安全工程能力学习目标理解信息安全建设必须同信息化建设“同步规划、同步实施”的原则理解如何运用信息安全能力成熟度模型理论评价和改进信息安全工程能力学习目标理解信息安全建设必须同信息化建设“同步规划、同步实施信息安全工程可以参考的理论基础系统工程思想项目管理方法质量管理体系能力成熟度模型73信息安全工程可以参考的理论基础73系统工程基础霍尔三维结构图系统指标设计知识维

32、（专业、行业）逻辑维（工作步骤）时间维（阶段、进程）工程技术医学社会科学规划计划系统开发制造安装运行更新明确问题系统综合系统分析决策最优化实施计划74系统工程基础霍尔三维结构图系统指标设计知识维（专业、行业）能力成熟度模型的来由由质量管理工作发展出的概念“过程改进”，即增加工作过程的能力随着过程能力的提高，过程变得可预测和可度量，控制或消除造成质量低劣和生产率不高需要一个结构化的架构来指导一个组织的过程改进，即能力成熟度模型75能力成熟度模型的来由由质量管理工作发展出的概念“过程改进”，能力成熟度模型的概念CMM Capability Maturity Model现代统计过程控制理论表明通过强

33、调生产过程的高质量和在过程中组织实施的成熟性可以低成本地生产出高质量产品；所有成功企业的共同特点是都具有一组严格定义、管理完善、可测可控从而高度有效的业务过程；CMM模型抽取了这样一组好的工程实践并定义了过程的“能力”；76能力成熟度模型的概念CMM Capability MatSSE-CMM体系结构能力维（Capability Dimension）域维（Domain Dimension）公共特征2.4跟踪执行PA 05评估脆弱性两维模型：“域维” 由所有定义的安全工程过程区构成。“能力维”代表组织实施这一过程的能力。77SSE-CMM体系结构能力维（Capability DimeSSE-CM

34、M的主要概念过程区域（PA，Process Area）过程的一种单位是由一些基本实施（BP，Base Practice）组成的，这些BP共同实施以达到该PA的目标。这些BP是强制性的，只有全部成功执行，才能满足PA规定的目标；SSE-CMM包含三类过程区域：工程、项目和组织三类；78SSE-CMM的主要概念过程区域（PA，Process Ar域维过程类域维Base PracticesBase PracticesBase PracticesBase PracticesBase Practices基本实施Process AreasProcess AreasProcess Areas过程区BP,Ba

35、se Practice。域维的最小单位。如果选择执行其所属的PA，则必须执行它。共129个PA，Process Area由一些基本实施构成，这些BP共同实施以达到该PA的目标。共22个PA被分为安全工程类、组织管理类和项目管理类 域维过程类域维Base PracticesBase PracSSE-CMM的主要概念过程能力（Process Capability）一个过程是否可以达到预期效果的度量方法，即执行一个过程的成熟度级别划分；过程能力可帮助组织预见达到过程目标的能力，如果一个组织某个过程的能力级别低，意味着完成该过程投入的成本，实现的进度、功能和质量都是不稳定的；或者说过程能力越高则达到预

36、定的成本、进度、功能和质量目标的就越有把握80SSE-CMM的主要概念过程能力（Process Capab能力维能力维能力级别GP，Generic Practice 管理、度量和制度方面的活动，可用于决定所有活动的能力水平CF，Common Feature由GP组成的逻辑域由公共特征组成的过程能力水平的级别划分。0-5共6个级别公共特征通用实践能力维能力维能力级别GP，Generic Practice SSE-CMM能力成熟度评价通过设置这两个相互依赖的维，SSE-CMM在各个能力级别上覆盖了整个安全活动范围。给每个PA赋予一个能力级别评分，所得到的两维图形便形象地反映一个工程组织整体上的系统

37、安全工程能力成熟度，也间接的反映其工作结果的质量及其安全上的可信度。543210PA01PA02PA03PA04PA05能力级别安全过程区域82SSE-CMM能力成熟度评价通过设置这两个相互依赖的维，SS域维-22个PA分成三类系统安全工程涉及到三类过程区域PA工程过程区域（Engineering PA）组织过程区域（Organization PA）项目过程区域（Project PA）工程过程区域11个PA描述了系统安全工程中实施的与安全直接相关的活动组织和项目过程区域（共11个）并不直接同系统安全相关，但常与11个工程过程区域一起用来度量系统安全队伍的过程能力成熟度83域维-22个PA分成三

38、类系统安全工程涉及到三类过程区域PA8域维-工程类PA核实和确认安全（Verify and Validate Security）PA11明确安全需求（Specify Security Needs）PA10提供安全输入（Provide Security Input）PA09监视安全态势（Monitor Security Posture）PA08协调安全（Coordinate Security）PA07建立保证论据（Build Assurance Argument)PA06评估脆弱性（Assess Vulnerability）PA05评估威胁（Assess Threat）PA04评估安全风险（As

39、sess Security Risk)PA03评估影响（Assess Impact）PA02管理安全控制（Administer Security Controls）PA01风险过程工程过程保证过程84域维-工程类PA核实和确认安全（Verify and Val域维-项目类和组织类PA与供应商协调PA22提供持续发展的技能和知识PA21管理系统工程支持环境PA20管理产品系列进化PA19改进组织的系统工程过程PA18定义组织的系统工程过程PA17计划技术活动PA16监视和控制技术活动PA15管理项目风险PA14管理配置PA13保证质量PA12项目过程组织过程85域维-项目类和组织类PA与供应商协

40、调PA22提供持续发展的技计划执行规范化执行跟踪执行验证执行定义标准过程协调安全实施执行已定义的过程建立可测量的质量目标客观地管理过程的执行1非正规执行2计划与跟踪3充分定义4量化控制5连续改进执行基本实施改进组织能力改进过程的有效性能力级别代表安全工程组织的成熟级别 公共特征未实施0能力级别86计划执行定义标准过程建立可测量的质量目标1非正规2计划与跟踪SSE-CMM的使用SSE-CMM可应用于所有从事某种形式的安全工程组织，这种应用与生命期、范围、环境或专业无关。该模型适用于以下三种方式：“评定”，允许获取组织了解潜在项目参加者的组织层次上的安全工程过程能力。“改进”，使安全工程组织获得自

41、身安全工程过程能力级别的认识，并不断地改进其能力。“保证”，通过有根据地使用成熟过程，增加可信产品、系统和服务的可信度。87SSE-CMM的使用SSE-CMM可应用于所有从事某种形式的 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准88 主 题一、信息安全保障基本知识8八、 信息安全工程实践89信息安全工程监理安全工程实施实践知识域知识子域课程名称信息安全工程实践信息安全工程各方职责监理阶段目标ISSE安全工程过程信息系统定义与描述信息系统安全性验证与

42、认可信息系统安全监控与保持信息系统安全需求提取安全措施设计与部署信息安全工程监理模型八、 信息安全工程实践89信息安全工程监理安全工程实施实践知信息系统安全工程ISSE发掘信息保护需求确定系统安全要求设计系统安全体系结构开展详细安全设计评估信息保护有效性实施系统安全90信息系统安全工程ISSE发掘信息保护需求确定系统安全要求设计信息安全工程监理模型 信息安全工程监理阶段、监理管理和控制手段和监理支撑要素信息安全工程监理模型 信息安全工程监理阶段、监理管理和控制手 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措

43、施七、安全工程原理八、安全工程实践九、法律法规十、安全标准92 主 题一、信息安全保障基本知识9九、信息安全法规、政策与道德规范93信息安全法规与政策知识体知识域信息安全法律法规知识子域国家信息安全法治总体情况等级保护有关政策规范风险评估有关政策规范信息安全国家政策现行重要信息安全法规电子政务与重要信息系统信息安全政策国家信息安全保障总体方针道德规范信息安全从业人员道德规范通行道德规范CISP职业道德准则计算机使用道德规范因特网使用道德规范 信息安全从业人员基本道德规范九、信息安全法规、政策与道德规范93信息安全法规与政策知识体宪法中的有关规定宪法 第二章 公民的基本权利和义务 第40条公民的

44、通信自由和通信秘密受法律的保护。除因国家安全或者追查刑事犯罪的需要，由公安机关或者检察机关依照法律规定的程序对通信进行检查外，任何组织或者个人不得以任何理由侵犯公民的通信自由和通信秘密。94宪法中的有关规定宪法 第二章 公民的基本权利和义务 刑法中的有关规定（1）刑法 第六章 妨碍社会管理秩序罪 第一节 扰乱公共秩序罪 第285、286、287条285条：非法侵入计算机信息系统罪；非法获取计算机信息系统数据、非法控制计算机信息系统罪；提供侵入、非法控制计算机信息系统程序、工具罪。违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。违反国家规定，

45、侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。95刑法中的有关规定（1）刑法 第六章 妨碍社会管理秩序刑法中的有关规定（2）刑法 第六章 妨碍社会管理秩序罪 第一节 扰乱公共秩序罪 第285、286、287条286条：破坏计算机信

46、息系统罪。违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。287条：利用计算机实施犯罪的提示性规定。利用计算机实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪的，依照本法有关规定定罪处罚。96刑法中的有关规定（2）刑法 第六章 妨碍社会管理秩序

47、治安管理处罚法中的有关规定治安管理处罚法 第三章 违反治安管理的行为和处罚 第一节 扰乱公共秩序的行为和处罚 第29条有下列行为之一的，处五日以下拘留；情节较重的，处五日以上十日以下拘留：（一）违反国家规定，侵入计算机信息系统，造成危害的；（二）违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行的；（三）违反国家规定，对计算机信息系统中存储、处理、传输的数据和应用程序进行删除、修改、增加的；（四）故意制作、传播计算机病毒等破坏性程序，影响计算机信息系统正常运行的。治安管理处罚法 其他规定（与非法信息传等播相关）：第42、47、68条97治安管理处罚法中

48、的有关规定治安管理处罚法 第三章 违国家安全法中的有关规定国家安全法 第二章 国家安全机关在国家安全工作中的职权 第10、11条第10条 国家安全机关因侦察危害国家安全行为的需要，根据国家有关规定，经过严格的批准手续，可以采取技术侦察措施。第11条 国家安全机关为维护国家安全的需要，可以查验组织和个人的电子通信工具、器材等设备、设施。法律98国家安全法中的有关规定国家安全法 第二章 国家安全机保守国家秘密法（保密法 1）演进保守国家秘密暂行条例（1951年）保守国家秘密法（1989年）保守国家秘密法（2019年修订，4月29日修订，10月1日施行）主旨（总则）目的：保守国家秘密，维护国家安全和

49、利益。国家秘密是关系国家安全和利益，依照法定程序确定，在一定时间内只限一定范围的人员知悉的事项。国家秘密受法律保护。一切国家机关、武装力量、政党、社会团体、企业事业单位和公民都有保守国家秘密的义务。国家保密行政管理部门主管全国的保密工作。国家机关和涉及国家秘密的单位（以下简称机关、单位）管理本机关和本单位的保密工作。保密工作责任制：健全保密管理制度，完善保密防护措施，开展保密宣传教育，加强保密检查。法律99保守国家秘密法（保密法 1）演进法律99保守国家秘密法（保密法 2）国家秘密的范围国家事务、国防武装、外交外事、政党秘密国民经济和社会发展、科学技术维护国家安全的活动、经保密主管部门确定的事

50、项等国家秘密的密级绝密-是最重要的国家秘密，泄露会使国家安全和利益遭受特别严重的损害；保密期限不超过30年；机密-是重要的国家秘密，泄露会使国家安全和利益遭受严重的损害；保密期限不超过20年；秘密-是一般的国家秘密，泄露会使国家安全和利益遭受损害；保密期限不超过10年。国家秘密的其他基本属性定密权限（定密责任人）、保密期限、解密条件、知悉范围国家秘密载体、国家秘密标志法律100保守国家秘密法（保密法 2）国家秘密的范围法律100保守国家秘密法（保密法 3）保密制度对国家秘密载体的行为要求；对属于国家秘密的设备、产品的行为要求；对存储、处理国家秘密的计算机信息系统的要求-分级保护；对组织和个人的

51、行为要求（涉密信息系统管理、国家秘密载体管理、公开发布信息、各类涉密采购、涉密人员分类管理、保密教育培训、保密协议等）；对公共信息网络及其他传媒的行为要求；对互联网及其他公共信息网络运营商、服务商的行为要求。监督管理国家保密行政管理部门依照法律、行政法规的规定，制定保密规章和国家保密标准。组织开展保密宣传教育、保密检查、保密技术防护和泄密案件查处工作，对机关、单位的保密工作进行指导和监督。法律101保守国家秘密法（保密法 3）保密制度法律101保守国家秘密法（保密法 4）法律责任（第48条 人员处分及追究刑责）（一）非法获取、持有国家秘密载体的；（二）买卖、转送或者私自销毁国家秘密载体的；（三

52、）通过普通邮政、快递等无保密措施的渠道传递国家秘密载体的；（四）邮寄、托运国家秘密载体出境，或者未经有关主管部门批准，携带、传递国家秘密载体出境的；（五）非法复制、记录、存储国家秘密的；（六）在私人交往和通信中涉及国家秘密的；（七）在互联网及其他公共信息网络或者未采取保密措施的有线和无线通信中传递国家秘密的；（八）将涉密计算机、涉密存储设备接入互联网及其他公共信息网络的；（九）在未采取防护措施的情况下，在涉密信息系统与互联网及其他公共信息网络之间进行信息交换的；（十）使用非涉密计算机、非涉密存储设备存储、处理国家秘密信息的；（十一）擅自卸载、修改涉密信息系统的安全技术程序、管理程序的；（十二）

53、将未经安全技术处理的退出使用的涉密计算机、涉密存储设备赠送、出售、丢弃或者改作其他用途的。有前款行为尚不构成犯罪，且不适用处分的人员，由保密行政管理部门督促其所在机关、单位予以处理。法律102保守国家秘密法（保密法 4）法律责任（第48条 人员处分全国人大关于维护互联网安全的决定背景互联网日益广泛的应用，对于加快我国国民经济、科学技术的发展和社会服务信息化进程具有重要作用。如何保障互联网的运行安全和信息安全问题已经引起全社会的普遍关注。互联网安全的范畴（法律约束力）互联网的运行安全（侵入、破坏性程序、攻击、中断服务等）国家安全和社会稳定（有害信息、窃取/泄露国家秘密、煽动、非法组织等）市场经济

54、秩序和社会管理秩序（销售伪劣产品/虚假宣传、损害商业信誉、侵犯知识产权、扰乱金融秩序、淫秽内容服务等）个人、法人和其他组织的人身、财产等合法权利（侮辱或诽谤他人、非法处理他人信息数据/侵犯通信自有和通信秘密、盗窃/诈骗/敲诈勒索等）法律责任构成犯罪的，依照刑法有关规定追究刑事责任构成民事侵权的，依法承担民事责任尚不构成犯罪的：治安管理处罚 / 行政处罚 / 行政处分或纪律处分 法律103全国人大关于维护互联网安全的决定背景法律103 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程

55、实践九、法律法规十、安全标准104 主 题一、信息安全保障基本知识1十、信息安全标准105十、信息安全标准105标准的一些基本概念标准和标准化的定义标准的作用我国标准代码的意义GB 强制性国家标准GB/T 推荐性国家标准GB/Z 国家标准化指导性技术文件106标准的一些基本概念标准和标准化的定义106我国标准化组织信息安全标准体系与协调工作组( WG1)涉密信息系统安全保密标准工作组(WG2）密码技术标准工作组（WG3）鉴别与授权工作组（WG4）信息安全评估工作组（WG5）通信安全标准工作组（WG6）信息安全管理工作组（ WG7）107我国标准化组织信息安全标准体系与协调工作组( WG1)10

56、7信息安全评估标准安全技术评估标准发展历史 了解安全技术评估标准发展过程理解可信计算机评估准则（TCSEC）的局限性理解GB/T18336信息技术安全性评估准则（CC）的优点信息安全技术评估准则 了解CC的结构理解CC的术语（TOE、PP、ST、EAL）和基本思想了解使用CC进行信息技术产品安全性评估的基本过程了解通用评估方法（CEM）信息系统安全保证评估框架 了解GB/T20274信息系统安全保障评估框架的目的和意义了解信息系统安全保障评估框架的结构和主要内容108信息安全评估标准安全技术评估标准发展历史 108美国的安全评测标准(TCSEC)1970年由美国国防科学委员会提出,1985年公

57、布。主要为军用标准,延用至民用。安全级别从高到低分为A、B、C、D四级，级下再分小类，即A1、B3、B2、B1、C2、C1、D分级分类主要依据四个准则：安全政策 可控性 保证能力 文档109美国的安全评测标准(TCSEC)1970年由美国国防科学委员通用准则（CC ）国际标准化组织统一现有多种准则的努力结果；1993年开始，2019年出V 1.0, 2019年出V 2.0，2019年6月正式成为国际标准，2019年12月ISO出版发行ISO/IEC 15408；主要思想和框架取自ITSEC和FC；充分突出“保护轮廓”，将评估过程分“功能”和“保证”两部分；是目前最全面的评价准则110通用准则（

58、CC ）国际标准化组织统一现有多种准则的努力结果；信息安全管理标准国际信息安全管理重要标准 了解国外信息安全管理标准发展概况掌握ISO27001和ISO27002的主要内容了解英国和美国等发达国家的信息安全管理标准了解CoBIT和ITIL的用途我国信息安全管理重要标准 掌握GB/T 20984信息安全风险评估规范的主要内容掌握GB/Z 24364信息安全风险管理规范的主要内容了解GB/Z 20985信息安全事件管理指南的主要内容掌握GB/Z 20986信息安全事件分类分级指南的主要内容掌握GB/T 20988信息系统灾难恢复规范的主要内容111信息安全管理标准国际信息安全管理重要标准 111等

59、级保护标准等级保护定级指南了解GB/T 22240信息系统安全保护等级定级指南的主要内容掌握五个信息系统安全保护等级的定义掌握系统定级的要素、基本方法和流程等级保护基本要求了解GB/T 22239信息系统安全等级保护基本要求的主要内容掌握五个信息系统安全保护等级对应的安全保护能力级别掌握管理基本要求包含的五个方面以及安全技术要求包含的五个方面等级保护其它重要标准了解信息系统安全等级保护实施指南的主要内容了解信息系统安全等级保护测评准则的主要内容112等级保护标准等级保护定级指南112什么是等级保护？中华人民共和国计算机信息系统安全保护条例（1994年国务院147号令）第九条 计算机信息系统实行

60、安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。GB 17859-2019计算机信息系统安全保护等级划分准则第一级:用户自主保护级；第二级:系统审计保护级；第三级:安全标记保护级；第四级:结构化保护级；第五级:访问验证保护级；113什么是等级保护？中华人民共和国计算机信息系统安全保护条例CISP课程培训知识总结（安全技术）CISP课程培训知识总结（安全技术） 主 题一、密码学基础二、密码学应用三、访问控制与审计监控四、协议和网络架构安全五、网络安全设备六、系统安全七、应用安全八、恶意代码及安全漏洞九、安全攻防实践十、软件安全开发115 主 题一、密码学基础1