信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估教學(xué)總論

1、s信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全實(shí)驗(yàn)室教學(xué)團(tuán)隊(duì)信息安全實(shí)驗(yàn)室教學(xué)團(tuán)隊(duì)重慶大學(xué)重慶大學(xué) 軟件學(xué)院軟件學(xué)院2 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt本門課的組織形式本門課的組織形式 n 討論、互動(dòng)、動(dòng)手討論、互動(dòng)、動(dòng)手 n 每次課程之后均需以小組為單位提交報(bào)告每次課程之后均需以小組為單位提交報(bào)告 n 23人一組（小組代號(hào)要有個(gè)性）人一組（小組代號(hào)要有個(gè)性） n 總成績(jī)總成績(jī) = 平時(shí)報(bào)告（平時(shí)報(bào)告（60%）+ Final Defense（40%）n 教師團(tuán)隊(duì)教師團(tuán)隊(duì) + 高年級(jí)本科生高年級(jí)本科生/研究生助教研究生助教

2、3 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt本次課程要點(diǎn)本次課程要點(diǎn)本書創(chuàng)作背景簡(jiǎn)介本書創(chuàng)作背景簡(jiǎn)介 信息安全測(cè)評(píng)方法信息安全測(cè)評(píng)方法 信息安全測(cè)評(píng)流程信息安全測(cè)評(píng)流程 案例討論與分析案例討論與分析 4 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt為什么要寫這部書為什么要寫這部書“八年抗戰(zhàn)八年抗戰(zhàn)” n “網(wǎng)絡(luò)安全研究室網(wǎng)絡(luò)安全研究室” 二十幾平米的二十幾平米的“豪宅豪宅”，十幾個(gè)朝氣蓬勃的年輕人，七八臺(tái)破電腦，還，十幾個(gè)朝氣蓬勃的年輕人，七八臺(tái)破電腦，還有兩個(gè)追夢(mèng)的有兩個(gè)追夢(mèng)的“老頑童

3、老頑童” ：CC、SSE-CMM、TCSEC（彩虹系列（彩虹系列/橘皮書）橘皮書）n “重慶市信息安全技術(shù)中心重慶市信息安全技術(shù)中心” 600余平米的專業(yè)實(shí)驗(yàn)室（群）、充滿余平米的專業(yè)實(shí)驗(yàn)室（群）、充滿“夢(mèng)想和激情夢(mèng)想和激情”的團(tuán)隊(duì)：重慶市的團(tuán)隊(duì)：重慶市和國家級(jí)的科研任務(wù)和測(cè)評(píng)工作：等級(jí)保護(hù)和風(fēng)險(xiǎn)評(píng)估系列標(biāo)準(zhǔn)和國家級(jí)的科研任務(wù)和測(cè)評(píng)工作：等級(jí)保護(hù)和風(fēng)險(xiǎn)評(píng)估系列標(biāo)準(zhǔn) n “武林豪杰的英雄帖武林豪杰的英雄帖” 王渝次、趙澤良、杜虹、詹榜華、馮登國：急需培養(yǎng)王渝次、趙澤良、杜虹、詹榜華、馮登國：急需培養(yǎng)既掌握了國家標(biāo)準(zhǔn)既掌握了國家標(biāo)準(zhǔn)又具有又具有“實(shí)戰(zhàn)能力實(shí)戰(zhàn)能力”的信息安全測(cè)評(píng)工程師。的信息安全測(cè)

4、評(píng)工程師。重慶大學(xué)這方面做得還不錯(cuò)，重慶大學(xué)這方面做得還不錯(cuò)，可以為我國高校信息安全專業(yè)的本科生寫一本這樣的教材嗎？可以為我國高校信息安全專業(yè)的本科生寫一本這樣的教材嗎？ 5 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt幾句心里話幾句心里話 n “不唯書、不唯上、只唯實(shí)不唯書、不唯上、只唯實(shí)”：做人的態(tài)度：做人的態(tài)度n “懷疑、批判、創(chuàng)新、求實(shí)、協(xié)作懷疑、批判、創(chuàng)新、求實(shí)、協(xié)作”：一名科技工作者的態(tài)度：一名科技工作者的態(tài)度n “居安思危，思則有備，有備無患居安思危，思則有備，有備無患”：一名測(cè)評(píng)工程師的態(tài)度：一名測(cè)評(píng)工程師的態(tài)度n “三嚴(yán)要求

5、三嚴(yán)要求”：嚴(yán)肅的科學(xué)精神，嚴(yán)謹(jǐn)?shù)墓ぷ髯黠L(fēng)，嚴(yán)格的貫標(biāo)過：嚴(yán)肅的科學(xué)精神，嚴(yán)謹(jǐn)?shù)墓ぷ髯黠L(fēng)，嚴(yán)格的貫標(biāo)過程程n “天作之合天作之合”：工程與藝術(shù)完美的結(jié)合：工程與藝術(shù)完美的結(jié)合6 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt系統(tǒng)科學(xué)的思想系統(tǒng)科學(xué)的思想 如何治理洪澇災(zāi)害？如何治理洪澇災(zāi)害？都江堰水利工程（都江堰水利工程（256 B.C.）對(duì)信息社會(huì)的啟示錄：）對(duì)信息社會(huì)的啟示錄：n “堵堵”還是還是“疏疏”？“道法自然道法自然”，“人水和諧人水和諧”n “三字經(jīng)、六字訣三字經(jīng)、六字訣”（深淘灘、低作堰（深淘灘、低作堰）n “八字格言八字格言”（

6、乘勢(shì)利導(dǎo)、因時(shí)制宜；遇彎截角，逢正抽（乘勢(shì)利導(dǎo)、因時(shí)制宜；遇彎截角，逢正抽心心）7 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt 復(fù)雜信息系統(tǒng)測(cè)評(píng)復(fù)雜信息系統(tǒng)測(cè)評(píng) 信息安全測(cè)評(píng)中的系統(tǒng)工程思想信息安全測(cè)評(píng)中的系統(tǒng)工程思想 懷疑、批判、創(chuàng)新懷疑、批判、創(chuàng)新 求實(shí)、協(xié)作求實(shí)、協(xié)作 系統(tǒng)工程系統(tǒng)工程 貫標(biāo)貫標(biāo) 8 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt國內(nèi)外標(biāo)準(zhǔn)化組織國內(nèi)外標(biāo)準(zhǔn)化組織n ISO/IEC（國際標(biāo)準(zhǔn)化組織（國際標(biāo)準(zhǔn)化組織/國際電工委員會(huì)）國際電工委員會(huì)） n ITU（國際電信聯(lián)盟

7、）（國際電信聯(lián)盟） n IETF（互聯(lián)網(wǎng)工程任務(wù)組）（互聯(lián)網(wǎng)工程任務(wù)組） n NIST（美國國家標(biāo)準(zhǔn)技術(shù)研究院）：（美國國家標(biāo)準(zhǔn)技術(shù)研究院）：NIST SP 800系列系列n BSI（英國標(biāo)準(zhǔn)技術(shù)研究院）：（英國標(biāo)準(zhǔn)技術(shù)研究院）：BS 7799 n CITS（中國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)）：已經(jīng)頒布了近（中國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)）：已經(jīng)頒布了近百個(gè)國家或行業(yè)標(biāo)準(zhǔn)（百個(gè)國家或行業(yè)標(biāo)準(zhǔn)（本書主要參考標(biāo)準(zhǔn)：本書主要參考標(biāo)準(zhǔn)：信息系統(tǒng)安全信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南等級(jí)保護(hù)定級(jí)指南（GB/T 22240-2008），），信息安全風(fēng)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范險(xiǎn)評(píng)估規(guī)范（GB/T 20984-2007）9

8、信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt其他有用的資源其他有用的資源 n / 美國政府計(jì)算機(jī)應(yīng)急響應(yīng)小組美國政府計(jì)算機(jī)應(yīng)急響應(yīng)小組n / 世界首家計(jì)算機(jī)應(yīng)急響應(yīng)小組（世界首家計(jì)算機(jī)應(yīng)急響應(yīng)小組（CMU/SEI）n / 國際國際“通用漏洞利用通報(bào)組織通用漏洞利用通報(bào)組織”n http:/ 中國計(jì)算機(jī)安全組織中國計(jì)算機(jī)安全組織 n http:/ 國家互聯(lián)網(wǎng)應(yīng)急響應(yīng)中心國家互聯(lián)網(wǎng)應(yīng)急響應(yīng)中心n http:/www.antiviru

9、s- 國家計(jì)算機(jī)病毒應(yīng)急處理中心國家計(jì)算機(jī)病毒應(yīng)急處理中心n http:/ 中國信息安全等級(jí)保護(hù)網(wǎng)中國信息安全等級(jí)保護(hù)網(wǎng)n http:/ 中國信息安全博士網(wǎng)中國信息安全博士網(wǎng)n /index.php 信息安全專業(yè)論壇信息安全專業(yè)論壇n http:/ 工業(yè)和信息化部信息安全協(xié)調(diào)司工業(yè)和信息化部信息安全協(xié)調(diào)司10 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt密碼研發(fā)是核心 安全協(xié)議是橋梁 體系結(jié)構(gòu)是基礎(chǔ) 安全芯片是關(guān)鍵 監(jiān)控管理是保障 系統(tǒng)測(cè)評(píng)是考驗(yàn) 信息安全技術(shù)保障框架信息安全技術(shù)保障框架11 信息安全測(cè)評(píng)

10、與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt測(cè)評(píng)測(cè)評(píng) 測(cè)評(píng)測(cè)評(píng) 信息安全技術(shù)保障框架信息安全技術(shù)保障框架測(cè)評(píng)測(cè)評(píng) 12 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt為何測(cè)評(píng)（為何測(cè)評(píng)（whywhy） 計(jì)算機(jī)信息系統(tǒng)等級(jí)保護(hù)溯源計(jì)算機(jī)信息系統(tǒng)等級(jí)保護(hù)溯源n 美國國防科學(xué)委員會(huì)（軍用計(jì)算機(jī)信息系統(tǒng)安全評(píng)價(jià)標(biāo)準(zhǔn)，美國國防科學(xué)委員會(huì)（軍用計(jì)算機(jī)信息系統(tǒng)安全評(píng)價(jià)標(biāo)準(zhǔn)，1967年）年）n 美國國防部（頒布美國國防部（頒布可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)準(zhǔn)則可信計(jì)算機(jī)系統(tǒng)評(píng)價(jià)準(zhǔn)則（TCSEC），），1985年）年） n 公安部開始

11、同步跟蹤研究公安部開始同步跟蹤研究 （1980年初）年初） n 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則（GB 17859，1997年）年）歷史的回聲歷史的回聲 對(duì)等級(jí)保護(hù)新的認(rèn)識(shí)對(duì)等級(jí)保護(hù)新的認(rèn)識(shí)n 信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南（GB/T 22240-2008） 從從“技術(shù)定級(jí)技術(shù)定級(jí)”到到“災(zāi)難定級(jí)災(zāi)難定級(jí)” 13 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt五級(jí)標(biāo)準(zhǔn)五級(jí)標(biāo)準(zhǔn) 第五級(jí)：信息系統(tǒng)受到破壞后，會(huì)對(duì)國家安全造成第五級(jí)：信息系統(tǒng)受到破壞后，會(huì)對(duì)國家安全造成特別嚴(yán)重特別嚴(yán)重的損

12、害的損害 第四級(jí)：信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成第四級(jí)：信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成特別嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害，或者對(duì)國家安全造成或者對(duì)國家安全造成嚴(yán)重?fù)p害嚴(yán)重?fù)p害 第三級(jí)：信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成第三級(jí)：信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害嚴(yán)重?fù)p害，或者對(duì)國家安全造成或者對(duì)國家安全造成損害損害 第二級(jí)：信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)利第二級(jí)：信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)利 產(chǎn)生產(chǎn)生嚴(yán)重?fù)p害嚴(yán)重?fù)p害，或者對(duì)社會(huì)秩序和公共利益造成，或者對(duì)社會(huì)秩序和公共利益造成損害損害，但，但不損

13、害不損害國家安全國家安全 第一級(jí)：信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的第一級(jí)：信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)利造成合法權(quán)利造成損害損害，但，但不損害不損害國家安全、社會(huì)秩序和公共利益國家安全、社會(huì)秩序和公共利益14 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt何時(shí)測(cè)評(píng)（何時(shí)測(cè)評(píng)（whenwhen） 設(shè)計(jì)階段設(shè)計(jì)階段 建設(shè)階段建設(shè)階段 運(yùn)維階段運(yùn)維階段 廢棄階段廢棄階段 全生命周期測(cè)評(píng)全生命周期測(cè)評(píng) 15 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt測(cè)評(píng)什么（測(cè)

14、評(píng)什么（whatwhat） 公網(wǎng)、外網(wǎng)、內(nèi)網(wǎng)公網(wǎng)、外網(wǎng)、內(nèi)網(wǎng)n 公網(wǎng)：互聯(lián)網(wǎng)、電子商務(wù)（公網(wǎng)：互聯(lián)網(wǎng)、電子商務(wù)（eBay，淘寶網(wǎng)，淘寶網(wǎng)，QQ）n 外網(wǎng)：電子政務(wù)外網(wǎng)、企事業(yè)單位外網(wǎng)外網(wǎng)：電子政務(wù)外網(wǎng)、企事業(yè)單位外網(wǎng)n 內(nèi)網(wǎng)：電子政務(wù)內(nèi)網(wǎng)、重要行業(yè)專網(wǎng)、涉密網(wǎng)內(nèi)網(wǎng)：電子政務(wù)內(nèi)網(wǎng)、重要行業(yè)專網(wǎng)、涉密網(wǎng) 外網(wǎng)測(cè)評(píng)特點(diǎn)外網(wǎng)測(cè)評(píng)特點(diǎn) n DMZ、安全域、安全域n 對(duì)內(nèi)保護(hù)、對(duì)外服務(wù)對(duì)內(nèi)保護(hù)、對(duì)外服務(wù)n 遵循國家通用標(biāo)準(zhǔn)遵循國家通用標(biāo)準(zhǔn) （如（如GB/T 22240-2008） 內(nèi)網(wǎng)測(cè)評(píng)特點(diǎn)內(nèi)網(wǎng)測(cè)評(píng)特點(diǎn) n 內(nèi)外網(wǎng)內(nèi)外網(wǎng)“絕對(duì)絕對(duì)”隔離隔離 n 內(nèi)部安全域及符合性測(cè)評(píng)內(nèi)部安全域及符合性測(cè)評(píng) n 遵循國家

15、特殊標(biāo)準(zhǔn)遵循國家特殊標(biāo)準(zhǔn) 16 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt誰來測(cè)評(píng)（誰來測(cè)評(píng)（whowho） 自評(píng)自評(píng)n 熟悉本單位業(yè)務(wù)特點(diǎn)熟悉本單位業(yè)務(wù)特點(diǎn)n 本單位管理和技術(shù)人員（例如信息中心）本單位管理和技術(shù)人員（例如信息中心） n 特殊技能的培養(yǎng)？特殊技能的培養(yǎng)？n 測(cè)評(píng)結(jié)果的可信性？測(cè)評(píng)結(jié)果的可信性？委評(píng)委評(píng)n 權(quán)威機(jī)構(gòu)授權(quán)權(quán)威機(jī)構(gòu)授權(quán)n 專業(yè)技術(shù)機(jī)構(gòu)管理和技術(shù)人員（現(xiàn)在的我們，將來的你們）專業(yè)技術(shù)機(jī)構(gòu)管理和技術(shù)人員（現(xiàn)在的我們，將來的你們） n 測(cè)評(píng)結(jié)果的可信性測(cè)評(píng)結(jié)果的可信性 n 急需此類人才急需此類人才 國家認(rèn)證認(rèn)可監(jiān) 督管

16、理委員會(huì)中國合格評(píng)定國家認(rèn)可中心CNABCNATCNAL17 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt如何準(zhǔn)備測(cè)評(píng)（如何準(zhǔn)備測(cè)評(píng)（howhow） 向測(cè)評(píng)機(jī)構(gòu)提交測(cè)評(píng)申請(qǐng)向測(cè)評(píng)機(jī)構(gòu)提交測(cè)評(píng)申請(qǐng) 測(cè)評(píng)機(jī)構(gòu)進(jìn)行初步審核測(cè)評(píng)機(jī)構(gòu)進(jìn)行初步審核 雙方簽署雙方簽署SLA 測(cè)評(píng)機(jī)構(gòu)向用戶提交工作計(jì)劃測(cè)評(píng)機(jī)構(gòu)向用戶提交工作計(jì)劃 18 信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估 工程工程 藝術(shù)藝術(shù) 天作之合天作之合整理整理ppt測(cè)評(píng)案例分析測(cè)評(píng)案例分析 巴山市政府電子政務(wù)信息系統(tǒng)，為本市提供巴山市政府電子政務(wù)信息系統(tǒng)，為本市提供n G2G：政府部門之間協(xié)同辦公：政府部門之間協(xié)同辦公n G2E：面向企業(yè)服務(wù)：面向企業(yè)服務(wù)n G2P：面向公眾服務(wù)：面向公眾服務(wù) G2G：http:/ G2E：http:/:8080/ztwsgs/NetWork/Main/index.aspx G2P：http:/ 請(qǐng)給上述兩個(gè)系統(tǒng)定