信息安全管理课件

信息安全管理InformationSecurityManagement2003级曹炳文主要内容一.信息安全理论

相关基本概念、理论体系、发展历史、信息安全标准体系、法律法规、部署与操作二.信息安全管理风险管理：OCTAVE

工程角度：SSE-CMM三.研究现状与个人思考四.附录-参考文献2024/1/112信息安全概念什么是信息安全？

ISO:为数据处理系统建立的安全保护，保护计算机硬件、软件、数据不因偶然的或者恶意的原因而遭受到破坏、更改和泄露；国内：计算机系统的硬件、软件、数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改和泄露以及系统连续正常运行。2024/1/113信息系统安全信息系统安全

是为确保信息系统体系结构安全，以及与此相关的各种安全技术、安全服务、安全管理的总和。联系与区别信息系统安全：更具有体系性、可设计性、可实现性和可操作性；信息安全：更广泛、概念化；不说明任何个体或系统2024/1/114信息的安全属性以及信息安全特性信息的安全属性：保密性(Confidentiality)完整性(Integrality)可用性(Availability)可控性(Controllability)不可否认性(Non-repudiation)信息安全特性社会性全面性过程性或生命周期性动态性层次性相对性2024/1/115信息安全发展历史通信保密阶段(COMSEC)

标志：1949年Shannon发表的《保密系统的信息理论》；密码学；数据加密计算机安全(COMPUSEC)和信息安全(INFSEC)

标志：1977美国标准局(NBS)发布的《国家数据加密标准》和1985年美国国防部(DoD)公布的《可信计算机系统评估准则》信息保障(IA)

标志：2000年9月NSA(美国家安全局)发布的《信息保障技术框架》3.0版，2002年更新为3.1版；国防部：第8500.1《信息保障》；第8500.2《信息保障的实施》2024/1/116信息安全——理论体系结构2024/1/117信息安全理论基础密码理论数据加密（对称算法：DES、AES；非对称算法：RSA、ECC）消息摘要数字签名密钥管理安全理论身份认证(Authentication)授权和访问控制(AuthorizationandAccesscontrol)审计追踪安全协议2024/1/118信息安全应用研究信息安全技术防火墙技术入侵检测技术漏洞扫描技术防病毒技术平台安全物理安全网络安全系统安全数据安全用户安全边界安全2024/1/119我国信息安全标准框架2024/1/1110信息标准内容基础标准类

信息安全术语、信息安全体系结构、信息安全框架、信息安全模型、安全技术物理安全标准物理环境和保障、安全产品、介质安全系统与网络标准硬件应用平台安全、软件应用平台安全、网络安全、安全协议、安全信息交换语法规则、人机接口、业务应用平台应用与工程标准安全工程和服务、人员资质、行业标准管理标准管理基础、系统管理、测评认证2024/1/1111实例—北京市信息安全标准体系2024/1/1112信息安全管理标准(BS7799)BS7799与ISO17799

BS7799-1《信息安全管理实施细则》

BS7799-2《信息安全管理体系规范》BS7799-2

包括两大要求：遵循PDCA这种持续改进管理模式

信息安全体系要求；信息安全控制要求2024/1/1113信息技术安全性评估准则2024/1/1114法律法规国家法律如：中华人民共和国保守国家秘密法中华人民共和国标准化法、中华人民共和国国家安全法中华人民共和国产品质量法、维护互联网安全的决定等；行政法规如：中华人民共和国计算机信息系统安全保护条例中华人民共和国计算机信息网络国际联网管理暂行规定商用秘密管理条例等部门规章及规范性文件计算机信息网络国际联网安全保护管理办法等；行业性法规(电信、银行等)2024/1/1115信息安全体系的设计流程2024/1/1116主要内容一.信息安全理论

相关基本概念、理论体系、发展历史、信息安全标准体系、法律法规、部署与操作二.信息安全管理风险管理：OCTAVE

工程角度：SSE-CMM三.研究现状与个人思考四.附录-参考文献2024/1/1117信息安全管理方法2024/1/1118研究方法—弱点评估弱点评估方法：侧重于技术方面弱点评估包括：使用特定的IT技术标准评估整个计算基础结构使用拥有的软件工具分析基础结构及其全部组件提供详细的分析，说明检测到的技术弱点，并且提供具体的建议2024/1/1119基于风险分析的信息安全管理风险分析的四要素资产：物理（计算机）、信息资源等；脆弱性：系统或组织存在的弱点；威胁：不期望发生的事件；影响2024/1/1120基于风险管理的实施步骤彻底地调查企业或组织的资产与资源；标识可能出现或者潜在的威胁；要把人员的因素考虑进去；定义每个威胁的可能性E(x);定义每个威胁出现引起的损失因子D(x);评估该威胁引起的风险：D(x)*E(x)衡量损失与投入等，确定风险的优先级；根据风险优先级，采取安全措施；2024/1/1121基于风险分析的几个问题资产如何识别？如何识别和标识威胁？威胁的可能性E(x)如何确定？损失因子D(x)如何确定？风险如何表示？才能确定其优先级？2024/1/1122确定资产以及要求的安全属性可能的资产：

关键信息系统以及其支撑系统书面的重要资料网络。。。每个资产的安全属性要求：保密性可用性完整性不可否认性2024/1/1123威胁树2024/1/1124风险分析方法及其问题风险分析方法：

AHP法工程经验数据方法问讯表方法技术性测评工具存在问题：

无法准确定义威胁的可能性因子E(x)无法准确定义损失因子D(x)2024/1/1125OCTAVEApproachOCTAVE:

OperationallyCriticalThreat,Asset,andVulnerabilityEvaluation从系统的、组织角度出发强调自主性；一系列讨论会可操作性2024/1/1126OCTAVEApproach框架2024/1/1127OCTAVEmethod2024/1/1128OCTAVE的弱点以及基于安全需求的方法OCTAVE的弱点1、基于风险管理方法的固有弱点2、基础数据完全依赖内部调查基于安全需求的方法

原因：计算模式的变化从以计算机为中心—IT为中心—信息为中心安全需求的驱动：除资产外，业务要求、法律法规等2024/1/1129从工程角度研究信息安全信息安全的特性系统工程发掘需求定义系统功能设计系统实施系统有效性评估信息安全工程发展过程：1994年，美国军方发布《信息系统安全工程手册1.0》借鉴CMM，1996年发布了SSE-CMM版本1.01999年4月，形成了SSE-CMM2.0版本2002年11月，SSE-CMM成为ISO标准，ISO/IEC218272024/1/1130信息系统安全工程(ISSE)以时间维(工程过程)为线索描述参考《信息系统安全工程手册1.0》和信息系统安全工程学ISSE过程发掘信息保护需求（机构、信息系统、信息保护策略）定义信息保护系统（信息保护目标、背景、信息保护需求、功能分析）设计信息保护系统（功能分配、概要设计、详细设计）实施信息保护系统（采购、建设、测试）评估信息保护系统的有效性2024/1/1131信息安全工程(SSE-CMM)的体系结构SSE-CMM是面向过程的信息安全方法学SSE-CMM的体系结构是其方法学的核心,该模型分为两维.横轴定义了11个安全方面的关键过程域(管理安全控制、评估影响、评估安全风险、评估威胁、评估脆弱性、建立保证论据、协调安全、监视安全、监视安全态势、提供安全输入、确定安全需求、验证与确认安全)纵轴为0-5六个能力成熟度级别。每个级别的判定反映为一组共同特征(CF),而每个共同特征通过一组确定的通用实践（GP）来描述；过程能力由GP来衡量。2024/1/1132SSE-CMM的体系结构2024/1/1133SSE-CMM的安全完备性SSE-CMM中的系统安全过程：工程过程、风险过程、保证过程工程过程：PA10“确定安全需求”、PA09“提供安全输入”、PA01“管理安全控制”、PA08“监视安全态势”、PA07“协调安全”风险过程PA04“评估威胁”、PA05“评估脆弱性”、PA02“评估影响”、PA03“评估安全风险”保证过程PA11“验证与确认安全”、PA06“建立保证论据”2024/1/1134主要内容一.信息安全理论

相关基本概念、理论体系、发展历史、信息安全标准体系、法律法规、部署与操作二.信息安全管理风险管理：OCTAVE

工程角度：SSE-CMM三.研究现状与个人思考四.附录-参考文献2024/1/1135研究现状(国内)研究状况研究热点对信息安全标准的研究：综述（如：安全评估标准、技术）从安全技术的角度：(访问控制研究、入侵检测技术、PKI、安全协议)网络信息安全从信息系统角度(安全需求分析、安全体系结构、安全度量、安全模型、信息系统安全度量与评估模型)2024/1/1136应用银行电信电子商务电子政务电力…...2024/1/1137个人思考研究角度

安全需求(SecurityRequirement)行业应用

结合具体行业(电力行业)企业发展特殊时期

EAI(企业应用集成)2024/1/1138研究方法中的几个问题风险分析的局限性形式化描述自下而上可操作性2024/1/1139主要内容一.信息安全理论

相关基本概念、理论体系、发展历史、信息安全标准体系、法律法规、部署与操作二.信息安全管理风险管理：OCTAVE

工程角度：SSE-CMM三.研究现状与个人思考四.附录-参考文献2024/1/1140附录一——相关书沈昌祥.信息安全工程导论.北京:电子工业出版社,2003.7戴宗坤,罗万伯.信息系统安全.北京:电子工业出版社,2002中国信息安全产品测评认证中心.北京:人民邮电出版社,2003.9卿斯汉.信息系统的安全.北京:科学出版社,2003ChristopherM.King.安全体系结构的设计部署与操作.北京:清华大学出版社,2003Alberts,C.;Dorofee,A.ManagingInformationSecurityRisks.段云所,魏仕民等.信息安全概论.北京:高等教育出版社,2003关义章,戴宗坤.信息系统安全工程学.北京:电子工业出版社,20022024/1/1141附录二——相关论文RebccaT.Mercuri.Onauditingaudittrails.CommunicationofACM,2003,46(1):17-20JeffSutberlandandWillem-JanvandenHeuvel.Enterpriseapplicationintegrationandcomplexadaptivesystem.CommunicationofACM,2002,45(10):59-64RebccaT.Mercuri.Computersecurity:Qualityratherthanquantity.CommunicationofACM,2003,46(1):17-20MichaelE.Whitman.Enemyatthegate:Threatstoinformationsecurity.CommunicationofACM,2003,46(8):91-95JackieRees,SubhajyotiBandgopadhyay,andEugeneH.Spafford.PFIRES:Apolicyframeworkforinformationsecurity.CommunicationofACM,2003,46(7):101-106HuaiqingandChenwang.Taxonomyofsecurityconsiderationsandsoftwarequality.CommunicationofACM,2003,46(6):75-782024/1/1142附录二——相关论文MariannaGerberandRossouwVonSolms.Fromriskanalysistosecurityrequirements.Computer&Security2001,20(7),577-584DenisTrcek.AnintegralframeworkforinformationsystemssecuritymanagementComputer&Security2003,22(4),337-360Ching-Yunlee.Modelcalculationstoestimatetheprobabilityofsecretreconstructionincomputerenvironments.Informationmanagement&computersecurity2001,9(1),13-20Informationsecurity-Amultidimensionaldiscipline.Computer&Security2001,20(6),504-508Amodelforderivinginformationsecuritycontrolattributeprofiles.Computer&Security2003,22(3),233-244Trendsinacademicresearch:Vulnerabilitiesanalysisandintrusiondetection.Computer&Security2002,21(7),609-6122024/1/1143附录二——相关论文闫强,陈钟等.信息系统安全度量与评估模型.电子学报,2003(7),1351-1355李守鹏,孙红波.信息系统安全模型研究.电子学报,2003(10),1491-1495李守鹏,孙红波.信息系统安全策略研究.电子学报,2003(7),977-980访问控制研究综述.计算机工程,2004,30(2),1-2基于SSE-CMM的信息系统安全工程模型.计算机工程,2003,29(16),35-36王茜,杨德礼.电子商务的安全体系结构及技术研究.计算机工程,2003,29(1),72-75闫强,段云所等.信息安全评估标准、及其进展.计算机工程,2003,29(6),金凤,蔡家楣等.电子商务系统基本安全问题的分析和描述.计算机工程.2003,29(7),110-112蒋春芳,岳超源,陈太一.信息系统安全体系结构的有关问题研究.计算机工程与应用,2004,40(1),138-1402024/1/1144附录二——相关论文蔡昱,张玉清等.安全评估标准综述.计算机工程与应用.2004,40(2),129-132张友生.网络身份认证系统的设计与应用..