《信息安全理论与技术》课件1-信息安全基础知识

学习内容概念类信息安全基本概念、密码基础密码类密钥管理、身份认证、访问控制、安全审计网络应用类防火墙、入侵检测、恶意代码、网络攻击与防御，系统安全学习目的了解信息安全的基本理论知识和概念了解信息安全最常用的安全技术信息安全体系结构的基本规划与设计

网络与信息系统总体结构初步分析

信息安全需求分析设计目标、指导思想与设计原则安全策略的制定与实施3第1章信息安全基础知识42024/3/314学习重点：网络与信息安全基础知识信息安全体系结构与模型信息安全管理体系信息安全评测认证体系难点：信息安全与网络安全的关系与区别信息安全体系结构与模型5目录信息安全现状与分析信息安全相关概念安全协议安全模型信息安全管理体系方法61信息安全现状和分析互联网络发展现状我国的网络安全现状网络安全问题和案例71.1互联网络发展现状第49次中国互联网络发展状况统计报告截至2021年12月，我国网民总体规模持续增长，规模达10.32亿，较2020年12月增长4296万，互联网普及率达73.0%。城乡上网差距继续缩小，我国现有行政村已全面实现“村村通宽带”，贫困地区通信难等问题得到历史性解决。我国农村网民规模已达2.84亿，农村地区互联网普及率为57.6%。我国网民的互联网使用行为呈现新特点：一是人均上网时长保持增长。截至2021年12月，我国网民人均每周上网时长达到28.5个小时，较2020年12月提升2.3个小时，互联网深度融入人民日常生活。二是上网终端设备使用更加多元。截至2021年12月，我国网民使用手机上网的比例达99.7%，手机仍是上网的最主要设备；网民中使用台式电脑、笔记本电脑、电视和平板电脑上网的比例分别为35.0%、33.0%、28.1%和27.4%。2021年我国互联网应用用户规模保持平稳增长。一是即时通信等应用基本实现普及。截至2021年12月，在网民中，即时通信、网络视频、短视频用户使用率分别为97.5%、94.5%和90.5%，用户规模分别达10.07亿、9.75亿和9.34亿。二是在线办公、在线医疗等应用保持较快增长。截至2021年12月，在线办公、在线医疗用户规模分别达4.69亿和2.98亿，同比分别增长35.7%和38.7%，成为用户规模增长最快的两类应用；网上外卖、网约车的用户规模增长率紧随其后，同比分别增长29.9%和23.9%，用户规模分别达5.44亿和4.53亿。891信息安全现状和分析互联网络发展现状我国的网络安全现状网络安全问题和案例1.2

网络安全现状

2021年，全国网络资产暴露加剧，数字资产暴露面不断扩大，用户的数据和个人隐私面临泄露风险，这些潜在威胁不容忽视。与此同时，安全漏洞、高风险端口开放、DDoS攻击、恶意软件等网络威胁几乎遍布全国各省市，为我国的网络安全防护工作带来了严重挑战。新增漏洞数量相比2020年，呈现上升的趋势。跨站脚本CWE-79类型的漏洞数量最多；Windowsms17-010系列漏洞扫描攻击事件最多；服务器中Web服务器受到的攻击是最多，Web服务器中CGI的漏洞利用数量最多。2021年，勒索软件主要攻击目标为制造业、服务业等传统行业，美国遭受勒索软件攻击数量最多；僵尸网络仍然以Mirai、Gafgyt等传统DDoS家族为主；窃密木马与钓鱼邮件仍深度绑定，企业应注意钓鱼邮件的潜在风险。IPv6规模部署取得明显成效的同时，安全问题也逐渐暴露出来，IPv6Web攻击、漏洞利用和扫描事件占比位居前三。相比2020年，IPv6漏洞和利用攻击事件大幅增加，境外的IPv6攻击源大幅增加，成为了国内企业面临的主要IPv6威胁来源，教育行业依旧是被攻击的重灾区。随着物联网设备数量呈指数级增长，其攻击面暴涨。2021年针对物联网的攻击事件数量上升，不断出现新的攻击方式，并带来巨大的危害，物联网安全相关标准化与自动化的需求迫在眉睫。随着2021年《数据安全法》和《个人信息保护法》正式落地和实施，如何遵循合规性和保护敏感数据成为国内企业必答的一个安全命题。2021年数据安全泄露问题依然严峻，其中在国内源代码泄露事件中，金融和政府行业需重点关注。11121信息安全现状和分析互联网络发展现状我国的网络安全现状网络安全问题和案例13案例一：2016年10月21日，美国东海岸（世界最发达地区）发生世界上瘫痪面积最大（大半个美国）、时间最长（6个多小时）的分布式拒绝服务（DDoS）攻击。“物联网破坏者”（“Mirai”未来）劫持网络摄像头（杭州制造），让上百万摄像头同时请求访问互联网，造成网络堵塞瘫痪。更有进一步攻击，升级为PDoS（永久拒绝服务攻击），清除设备里的所有文件。1.3网络安全问题和案例14案例二：2017年5月12日爆发的“WannaCry”的勒索病毒，通过将系统中数据信息加密，使数据变得不可用，借机勒索钱财。病毒席卷近150个国家，教育、交通、医疗、能源网络成为本轮攻击的重灾区。2018年8月3日，台积电遭到勒索病毒入侵，几个小时之内，台积电在中国台湾地区的北、中、南三个重要生产基地全部停摆，造成约十几亿美元的营业损失，最近的5.4侠盗版危害极大。15目录信息安全现状与分析信息安全相关概念安全协议安全模型信息安全管理体系方法162信息安全相关概念概念特征关键技术安全威胁安全威胁的主要来源信息：消息？信号？资料？情报？用通俗的语言来描述，所谓信息，就是有意义的资料，人们可以通过它获得一些知识“信息”具有如下一些特点：没有物理实体形态具有价值具有拥有者，他有权对掌握的信息做处置信息被泄露、破坏，会给拥有者带来损失信息与信息安全18

ProblemsinInfoSec1）没有统一定义什么是安全？理想状态下：客观上不存在威胁主观上不存在恐惧谁真正能做到？谁真正能感觉到？19信息安全面临的问题统一的标准问题无穷域中给出一个限定解问题安全是需要根据具体的应用、具体的需求、具体的客户、具体的实现能力，进行实施的没有完美的安全，但要做到“最安全”安全是手段，管理是根本三分技术，七分管理20安全——“远离危险、威胁的状态或特性”和“为防范间谍活动或蓄意破坏、犯罪、攻击等而采取的措施”。信息安全：防止对数据进行未授权访问的措施或防止信息的有意无意泄露、破坏、篡改、丢失等破坏信息完整性的有关措施。网络空间（CyberSpace）安全网络空间是哲学和计算机领域中的一个抽象概念，指在计算机以及计算机网络里的虚拟现实。赛博空间一词是控制论（cybernetics）和空间（space）两个词的组合，对Cyberspace的译法繁多，有人将它译作“赛博空间”，更有“异次元空间”、“多维信息空间”、“电脑空间”、“网络空间”等译法。21网络空间（CyberSpace）安全“赛博空间”理论最早由美国科学家提出，实质就是指网络电磁空间。进入21世纪，随着网络以指数速度渗透到社会生活的各个角落，并创造出人类活动的第五维空间--网络电磁空间，传统的战争形态及战争观由此发生了急剧变化。崭新形态的网络政治、网络经济、网络文化、网络军事和网络外交等，形成了新空间的道道风景，催生了网络战的闪亮登场。由此可见，赛博空间是一个广泛、无所不在的网络（UbiquitousandPervasiveNetworks）。22网络空间（CyberSpace）安全网络空间具有四大特性：网络融合性：互联网，电信网络，广播电视网络，物联网IoT等；终端多样性：智能手机，电视，PC，IPAD等；内容多样化：云计算，社交网络，对等网络服务等；领域广泛性：涉及政治，经济，文化。23网络空间（CyberSpace）安全网络空间的对抗将是全球性、高速性、大范围的对抗，赛博空间的博弈，以网络为中心，以信息为主导。防的是基础网络、信息数据、心理认知和社会领域不受侵犯，打的是基于“芯片”直接瘫痪敌战争基础和战争潜力的“比特战”.2425年代通信安全发展时期

古代至60年代60年代中期计算机安全发展时期

80年代中期信息安全发展时期

90年代中期信息安全保障发展时期安全保障能力信息安全发展的四个阶段26年代通信安全发展时期

古代至60年代60年代中期计算机安全发展时期

80年代中期信息安全发展时期

90年代中期信息安全保障发展时期安全保障能力信息安全发展的四个阶段这一时期主要关注“机密性”，即如何防范敌方/竞争对手获得自己的秘密。40年代以前“通信安全”也称“通信保密”。40年代增加了“电子安全”，50年代欧美国家将“通信安全”和“电子安全”合称为“信号安全（SIGSEC）”密码学是解决“机密性”的核心技术。二战及战后密码学得到了很好的发展。Shannon于1949年发表的论文《保密系统的信息理论》，为对称密码学建立了理论基础，从此密码学从“艺术”发展成为真正的科学。27年代通信安全发展时期

古代至60年代60年代中期计算机安全发展时期

80年代中期信息安全发展时期

90年代中期信息安全保障发展时期安全保障能力信息安全发展的四个阶段1946年世界上第一台电子计算机诞生，1965年美国率先提出了计算机安全（COMPUSEC）。这一时期主要关注“机密性、访问控制、认证”，即针对计算机操作系统及数据的安全保护。这一时期现代密码学得到了快速发展，Diffiee和Hellman于1976年发表的论文《密码编码学新方向》；美国于1977年制定的数据加密标准DES，这两个事件标志着现代密码学的诞生，计算机安全走向标准化。美国军方提出了著名的TCSEC标准，为计算机安全评估奠定了基础。标准化的工作带动了安全产品的大量出现。28年代通信安全发展时期

古代至60年代60年代中期计算机安全发展时期

80年代中期信息安全发展时期

90年代中期信息安全保障发展时期安全保障能力信息安全发展的四个阶段80年代中期，美国和欧洲先后在学术界和军事领域开始使用“信息安全”这个名词。这一时期对于信息安全的认知得以发展，跳出了长久以来单纯关注机密性的局限，开始全方位关注“机密性、完整性、可用性、真实性、非否认性”等多种安全特性。对于安全保护目标的认识也从计算机转变为信息本身。密码技术得到了空前的发展，提出了很多新观点和新方法如ECC、密钥托管、盲签名、零知识证明协议。安全评估标准得到重视，可信计算机系统评估准则（TCSEC）、信息技术安全评估准则(ITSEC)、信息技术安全性评估通用准则（CC）相继颁布。计算机应急响应受到重视。“信息是资产”的概念确立，1989年NSA资助卡内基—梅隆大学建立世界上第一个“计算机应急小组（CERT）”及其协调中心（CERT/CC）CERT的成立标志着信息安全由静态保护向动态防护的转变。29年代通信安全发展时期

古代至60年代60年代中期计算机安全发展时期

80年代中期信息安全发展时期

90年代中期信息安全保障发展时期安全保障能力信息安全发展的四个阶段这一时期主要关注“保护、检测、响应、恢复”的动态、主动防御过程。在这一时期，被动防御被认为不足以应对信息安全威胁，信息安全保障强调保护、检测、反应和恢复这四种能力，围绕人、技术和管理这三个层面，以支持机构的任务和职能为目标，注重体系建设，强化组织与协调功能。1995年，美国国防部提出了“信息安全保障体系”（IA）概念，并给出了“保护（Protection）—监测（detection）—响应（Response）”即“P2DR”模型。后来增加了恢复（Restore）,变为“PDRR”模型。在这一时期，信息安全管理得到重视。人们逐渐意识到信息安全并非一个纯技术的过程，从长期来看是一个管理过程。信息安全管理不但要考虑技术机制的使用，还要考虑人事安全、物理安全、操作安全、符合性、业务连续性等多个方面。30年代通信安全发展时期

古代至60年代60年代中期计算机安全发展时期

80年代中期信息安全发展时期

90年代中期信息安全保障发展时期安全保障能力机密性机密性、访问控制与认证

机密性、完整性、可用性、可控性和非否认性

“预警、保护、检测、响应、恢复、反击”整个过程

信息安全发展的四个阶段312信息安全相关概念概念特征安全威胁关键技术保密性（confidentiality）：对信息资源开放范围的控制，不让不应涉密的人知道秘密。保密性措施：信息加密、解密；信息划分密级，对用户分配不同权限，对不同权限的用户访问的对象进行访问控制；防止硬件辐射泄露、网络截获、窃听等。33完整性（integrity）：使信息保持完整、真实或未受损状态，任何中断、窃取、篡改和伪造信息应用特性或状态等行为都是破坏信息的完整性的。完整性措施：严格控制对系统中数据的写访问。只允许许可的当事人进行更改。34可用性（availability）：意味着资源只能由合法的当事人使用，保证合法用户对信息的合法利用。可用性措施：在坚持严格的访问控制机制的条件下，为用户提供方便和快速的访问接口。提供安全性的访问工具。即使在突发事件下，依然能够保障数据和服务的正常使用，例如可防范病毒及各种恶意代码攻击包括DDos攻击，可进行灾难备份35不可否认性：信息的发送者无法否认已发出的信息，信息的接收者无法否认已经接收的信息。不可否认性措施：数字签名，可信第三方认证技术。36可控性：授权机构对信息的内容传播具有控制能力的特性，可以控制授权范围内的信息流向以及方式。

可控性措施：实现信息和信息系统的认证（可认证性即真实性）、授权（访问控制）和监控管理372信息安全相关概念概念特征安全威胁安全威胁的主要来源关键技术38安全威胁

拒绝服务攻击内部、外部泄密逻辑炸弹特洛伊木马黑客攻击计算机病毒信息丢失、篡改、销毁后门、隐蔽通道蠕虫Internet计算机病毒PVVPPPPPPPPPPPPPPPPPPPPPVPVPPVPVPVPVPVPVPVPVPVPVPVPVPVPVPVPVPVPVPVPVPVPVP系统有毒程序带毒潜伏代码满足条件否？监视满足而爆炸易损芯片,软件后门,政治目的满足而爆炸伊拉克的打印机香港的银行系统……..….间谍程序，后门TCPSYN攻击死亡之PingofDeah消耗系统资源(带宽、内存、队列、CPU…)当机……阻止授权用户正常访问服务(慢、不能连接、没有响应……)CPU拒绝服务DOSWeDoNotKnowWhatIsAddressed

AndWhatIs

Not!ModemAccess路由器CommsTheWorldTheWorld外部人员外部人员内部人员内部人员防火墙&路由器配置减少30%的漏洞内，外部人员的威胁搭线捕包窃听设备窃密以搭线窃听、电磁泄露捕获、信息流分析等为手段进行信息的非法获取的行为。线路窃听与截取系统分析--端口扫描PortScan弱点漏洞的利用--技术入侵Vulnerabilities特洛伊木马Trojan蠕虫Worm隐蔽通道Pipe，后门Backdoor，嗅探器Sniffer强力攻击Bruteforce拒绝服务DOS/分布式DOS电子欺骗IPSpoofing社会工程SocialEngineering……黑客的攻击462信息安全相关概念概念特征安全威胁关键技术信息安全信息传输安全（动态安全）

数据加密

数据完整性鉴别

防抵赖

信息存储安全（静态安全）

数据库安全终端安全

信息的防泄密信息内容审计

用户鉴别授权运行安全风险评估审计跟踪备份恢复应急响应。。。网络安全

身份认证，访问控制、入侵检测、网络安全检测、VPN、审计技术

……系统安全

身份认证，访问控制，防病毒技术，漏洞扫描技术。。物理安全

环境安全

设备安全

媒体安全

安全技术体系结构访问控制是主体对客体的一种访问授权。典型的访问控制有：----用户入网的访问控制----服务器的安全访问控制----目录级的访问控制----操作系统的访问控制安全技术体系结构◆访问控制技术例子安全技术体系结构防火墙在被保护网络和因特网之间，或在其他网络之间限制访问的一种或一系列部件。防火墙的作用：1、过滤进出网络的数据包2、管理进出网络的访问行为3、封堵某些禁止的访问行为4、记录通过防火墙的信息内容和活动5、对网络攻击进行检测和告警◆防火墙技术例子国外：CheckpointNetscreenCiscoPix国内：华为天融信飞塔安全技术体系结构入侵者攻击系统的行为称为入侵行为，主要是指对系统资源的非授权使用。IDS的作用

*监控网络和系统*发现入侵企图或异常现象*实时报警*主动响应*审计跟踪◆入侵检测系统（IDS）常见产品国外ISSRealSecureNFREnterasys公司DragonCAeTrustIntrusionDetection国内启明星辰天阗华为神州

监控室=控制中心CardKey入侵检测系统的作用监控前门和保安监控屋内人员监控后门监控楼外防病毒系统是用来实时检测病毒、蠕虫及后门的程序，通过不断更新病毒库来清除上述具有危害性的恶意代码。网络防病毒具有---全方位、多层次防病毒---统一安装，集中管理---自动更新病毒定义库的特点◆防病毒技术安全技术体系结构常见产品国外F-securePandaKillNorton国内360瑞星金山安全技术体系结构漏洞扫描是对网络和主机的安全性进行风险分析和评估的软件，是一种能自动检测远程或本地主机系统在安全性方面弱点和隐患的程序包。◆漏洞扫描技术常见产品国外SSSISSNessus国内启明星辰天镜绿盟极光54信息窃取信息传递信息冒充信息篡改信息抵赖加密技术完整性技术认证技术数字签名

关键技术◆加密技术安全技术体系结构加密技术是为保证数据的保密性和完整性通过特定算法完成的明文与密文的转换。◆签名技术安全技术体系结构数字签名技术为确保数据不被篡改而做的签名，不能保证数据的保密性。VPN即虚拟专用网，是实现数据在传输过程中的保密性和完整性而双方建立的安全通道。◆VPN技术安全技术体系结构VPN虚拟专用网防火墙内容检测防病毒入侵探测各技术在网络安全中的位置59目录信息安全现状与分析信息安全相关概念信息安全体系结构安全模型信息安全管理体系方法无论是OSI参考模型还是TCP／IP参考模型，它们在设计之初都没有充分考虑网络通信中存在的安全问题。因此，只要在参考模型的任何一个层面发现安全漏洞，就可以对网络通信实施攻击。在开放式网络环境中，网络通信会遭受两种方式的攻击：主动攻击和被动攻击。主动攻击包括对用户信息的篡改、删除及伪造，对用户身份的冒充和对合法用户访问的阻止。被动攻击包括对用户信息的窃取，对信息流量的分析等。因此，需要建立网络安全体系结构，以实现数据加密、身份认证、数据完整性鉴别、数字签名、访问控制等方面的功能。612024/3/31611.7.1ISO/OSI安全体系结构1982年，开放系统互联（OSI）基本模型建立之初，就开始进行OSI安全体系结构的研究。1989年12月ISO颁布了计算机信息系统互联标准的第二部分，即ISO7498-2标准，并首次确定了开放系统互联（OSI）参考模型的安全体系结构。我国将其称为GB／T9387-2标准，并予以执行。ISO安全体系结构包括了三部分内容：安全服务、安全机制和安全管理。安全服务:ISO安全体系结构确定了五大类安全服务：1认证服务2访问控制3数据保密性4数据完整性5不可否认（抗抵赖）性622024/3/3162安全机制为了支持ISO体系结构定义的安全服务，ISO安全体系结构定义了八大类安全机制，即：1加密机制2数据签名机制3访问控制机制4数据完整性机制5鉴别交换机制6业务填充机制7路由控制机制8公证机制

以上这些安全机制可以设置在适当的层次上，以便提供某些安全服务。63安全管理

（1）系统安全管理（2）安全服务管理（3）安全机制管理64目录信息安全现状与分析信息安全相关概念信息安全体系结构安全模型信息安全管理体系方法65安全模型•

P2DR模型•

PDR2模型在实际环境中没有绝对的安全网络的开放性越来越多的基于网络应用企业的业务要求网络连接的不间断性

糟糕的设计OS存在的安全漏洞应用存在的安全漏洞协议（Protocol）在设计时存在的安全漏洞错误的实现、错误的安全配置糟糕的管理和培训黑客的攻击为什么安全问题很难解决？所有软件都是有错的通常情况下99.99%无错的程序很少会出问题同安全相关的99.99%无错的程序可以确信会被人利用那0.01%的错误0.01%安全问题等于100%的失败68安全模型A.静态安全模型典型代表模型是美国国防部NCSC（国家计算机安全中心）于1995年推出的TCSEC（可信计算机安全评估准则）。TCSEC讲安全等级分为4类7级，由低到高依次是D级、C1~C2级、B1~B3级和A级。B.动态安全模型针对日益严重的网络安全问题和越来越突出的安全需求，人们一直致力于对传统安全模型的改进，使其能够适应动态变化的、多维互联的网络环境，于是动态网络安全理论逐步形成。 如P2DR模型、PDR2模型。策略P检测D响应R防护P69P2DR模型策略Policy保护Protection检测Detection响应Response安全＝风险分析＋执行策略＋系统实施＋漏洞监测＋实时响应70模型的基本描述：策略：系统核心，为安全管理提供管理方向和支持手段。保护：采用各种技术手段（如防火墙、加密技术、身份验证技术等）保护信息系统的5大基本特性。检测：是动态响应和加强防护的依据。利用检测工具（如漏洞评估、IDS等）了解和评估系统的安全状态。响应：在检测到安全漏洞之后及时做出正确的响应，把系统调整到安全状态。PDRR模型PDRR模型，或者叫PPDRR（或者P2DR2），与P2DR唯一的区别就是把恢复环节提到了和防护、检测、响应等环节同等的高度。在PDRR模型中，安全策略、防护、检测、响应和恢复共同构成了完整的安全体系。保护、检测、恢复、响应这几个阶段并不是孤立的，构建信息安全保障体系必须从安全的各个方面进行综合考虑，只有将技术、管理、策略、工程过程等方面紧密结合，安全保障体系才能真正成为指导安全方案设计和建设的有力依据。PDRR模型保护检测恢复响应信息保障采用一切手段（主要指静态防护手段）保护信息系统的五大特性。及时恢复系统，使其尽快正常对外提供服务，是降低网络攻击造成损失的有效途径对危及网络安全的事件和行为做出反应，阻止对信息系统的进一步破坏并使损失降到最低检测本地网络的安全漏洞和存在的非法信息流，从而有效阻止网络攻击73PDR2模型时间保护时间Pt检测时间Dt响应时间Rt+>及时的检测和响应就是安全保护检测响应恢复失败失败成功成功失败成功攻击74目录信息安全现状与分析信息安全相关概念安全协议安全模型信息安全等级与标准信息安全管理体系方法75信息安全等级与标准1．TCSEC标准2．欧洲ITSEC标准3．加拿大CTCPEC评价标准4．美国联邦准则FC5．联合公共准则CC标准6．BS7799标准7．我国有关网络信息安全的相关标准76目录信息安全现状与分析信息安全相关概念信息安全体系结构安全模型安全等级与标准信息安全管理体系方法信息安全管理体系方法什么是ISMS风险管理ISMS的实现方法什么是ISMSISMS：InformationSecurityManagementSystem信息安全管理体系ISO9000-2000术语和定义组织organization职责、权限和相互关系得到安排的一组人员及设施,如：公司、集团、商行、企事业单位、研究机构、慈善机构、代理商、社团、或上述组织的部分或组合。管理management指挥和控制组织的协调的活动体系system相互关联和相互作用的一组要素管理体系managementsystem建立方针和目标并实现这些目标的体系管理学中的定义管理是指通过计划、组织、领导、控制等环节来协调人力、物力、财力等资源，以期有效达到组织目标的过程。风险管理风险管理是信息安全管理体系的核心内容，是信息安全管理体系(ISMS)建立的基础风险与风险管理风险（Risk）在信息安全领域讲，就是指信息资产遭受损坏并给企业带来负面影响的潜在可能性。风险评估（RiskAssessment）就是对信息和信息处理设施面临的威胁、受到的影响、存在的弱点以及威胁发生的可能性的评估。风险管理（RiskManagement）就是以可接受的代价，识别、控制、减少或消除可能影响信息系统的安全风险的过程。风险RISKRISKRISKRISK风险只有靠相应的手段来降低企业风险基本的威胁采取措施后剩余的威胁资产威胁漏洞资产威胁漏洞安全成本与利益的平衡绝对安全是不现实的寻求达到安全目标与安全成本的平衡

ISO27001-风险管理的过程模型应用于ISMS过程的PDCA模型计划：建立与管理风险和改进信息安全有关的ISMS方针、目标、过程和规程，以提供与组织总体方针和总体目标一致的结果。实施：实施和运行ISMS方针、控制措施和规程。检查：基于ISMS内部审核和管理评审的结果或者其他相关信息，采取纠正和预防措施，已持续改进ISMS。处置：对照ISMS方针、目标和实践经验，评估并在适当时检测过程的执行情况，并将结果报告管理者以供评审。制订信息安全方针方针文档定义ISMS范围进行风险评估实施风险管理选择控制目标措施准备适用声明第一步：第二步：第三步：第四步：第五步：第六步：ISMS范围评估报告文件文件文件文件文件文件文档化文档化声明文件建立ISMS框架2024/3/31851.9.1网络信息安全度量标准美国是信息安全评测认证的发源地，早在20世纪70年代，就开展了信息安全评测认证标准的有关工作，并于1985年有美国国防部正式颁布了TCSEC（可信任计算机标准评估准则）评测标准。目前也是大家公认的第一个计算机信息系统评估标准。TCSEC已经成为了现行的网络安全标准。在随后的几十年里，许多国家以此为基础主动制定了相关评价准则，这些准则更加灵活，更适应IT技术的发展。

1993年6月，美国、加拿大、英国、法国、德国等联合行动将各自独立的准则整合成一系列单一的、能被广泛接受的IT安全准则，并提交给了ISO，称为信息技术安全性评估通用准则，通常简称为通用准则（CC），是评估信息技术产品和系统安全特性的基础准则。1.9网络信息安全评测认证体系2024/3/3186此标准是现阶段中最完善的信息技术的安全性评估标准，我国也将采用这一标准对产品、系统和系统方案进行测试、评估和认可。建立信息技术安全性评估的通用准则库，就是使评估结果能被更多的人所理解和信任，并让各种独立的安全评估结果具有可比性，从而达到了互相认可的目的。在1996年颁布了1.0版，1998年颁布了2.0版，199年12月ISO正式将CC2.0作为国际标准——ISO15408发布。

通用准则内容分为3部分：第1部分是“简介和一般模型”；第2部分是“安全功能要求”；而第3部分是“安全保证要求”。2024/3/3187通用准则评估保证级与常见的几种安全测评标准的对应关系如下表所示：CCTCSECFCCTEPECITSECEALl－－－－EAL2C1－－ElEAL3C2T—1T－1E2EAI4B1T－2T－2E3－－T－3T－3－－－T－4－－EAL5B2T－5T－4E4EAL6B3T－6T－5E5EAL7A1T－7T－6E6－－－T－7－2024/3/3188评估保证级别（1）评估保证级别1(EALl):功能测试；（2）评估保证级别2(EAL2):结构测试；（3）评估保证级别3(EAL3):功能测试与校验（4）评估保证级别4(EAL4):系统地设计、测试和评审（5）评估保证级别5(EAL5):半形式化设计和测试（6）评估保证级别6(EAL6):半形式化验证的设计和测试（7）评估保证级别7(EAL7):形式化验证的设计和测试2024/3/31891.9.2各国测评认证体系与发展现状美国

美国于1997年由国家标准技术研究所和国家安全局共同组建了国家信息保证伙伴(NIAP)，专门负责基于CC信息安全的测试和评估，并研究开发相关的测评认证方法和技术。在国家安全局中对NIAP的具体管理则由专门管理保密信息系统安全的办公室负责。英国

在英国的IT安全评估认证体系中，评估体系管委会主要负责制定国家信息安全评估认证政策、监督认证机构和仲裁诉讼及争议。它由评估认证体系的高级执行官、认证机构主任、CESG、DTI和国防部(MOD)的高级官员以及其他政府部门和工业界的代表所组成，其主席由CESG的人员担任。它直接向内阁会议建议和汇报认证机构的财政和资源状况。2024/3/31901.9.3我国网络信息安全评测认证体系中国国家信息安全测评认证中心：是经国家授权，依据国家认证的法律、法规和信息安全管理的政策，并按照国际通用准则建立的中立的技术机构。它代表国家对信息技术、信息系统、信息安全产品以及信息安全服务的安全性实施测试、评估和认证，为社会提供相关的技术服务，为政府有关主管部门的信息安全行政管理和行政执法提供必要的技术支持。

中华人民共和国国家信息安全认证:是国家对信息安全技术、产品或系统安全质量的最高认可。中国国家信息安全测评认证中心开展（1999年公布）四种认证业务（1）产品型号认证：是认证的基础形式，仅包括质量认证中的“型式试验”和“监督检验”两个要素2024/3/3191（2）产品认证：是认证的完整形式，包括了质量认证中从产品检验到质量保证能力评审的全部要素（3）信息系统安全认证：是对信息系统或网络的运行安全、信息安全和管理控制安全的综合认证（4）信息安全服务认证：是对向社会提供信息安全服务的企业、组织、机构或团体的技术实力、服务能力和资质条件的系统认证。2024/3/3192中国国家信息安全测评认证中心的认证准则（1）达到中心认证标准的产品或系统只是达到了国家规定的管理安全风险的能力，并不表明该产品完全消除了安全风险（2）中心的认证程序能够确保产品安全的风险降低到了国家标准规定的和公众可以接受的水平（3）中心的认证程序是一个动态的过程，中心将根据信息安全产品的技术发展和最终用户的使用要求，动态增加认证测试的难度（4）中心的认证准则和认证程序最终须经专家委员会和管理委员会审查批准。中国已接受了OSI安全体系结构即IS07498-2标准，在中国命名为GB/T9387-2标准，并完善了国家信息安全测评认证体系，即CC评估认证体系。931、我国等级保护工作创新发展我国的等级保护工作是有序推进的。在80年代兴起了计算机信息系统安全保护研究基础上，1994年，国务院发布《中华人民共和国计算机信息系统安全保护条例》（国务院令第147