《信息安全概論》第8章 信息安全管理

1、第八章 信息安全管理第八章 信息安全管理8.1 組織基礎(chǔ)架構(gòu)8.2 管理要素和管理模型8.3 身份管理8.4 人員和物理環(huán)境安全8.1 組織基礎(chǔ)架構(gòu) 信息系統(tǒng)生命期安全管理問題安全管理貫穿于信息系統(tǒng)生命周期的各個(gè)階段：開發(fā)（Development）：包括需求分析、系統(tǒng)設(shè)計(jì)、組織設(shè)計(jì)和集成。制造（Manufacturing）：包括試制和批量生產(chǎn)。驗(yàn)證（Verification）：包括對(duì)設(shè)計(jì)的論證、試驗(yàn)、審查和分析（包括仿真），非正式的演示，全面的開發(fā)測(cè)試和評(píng)估，以及產(chǎn)品的驗(yàn)收測(cè)試。部署（Deployment）：包括對(duì)系統(tǒng)及其組件的配備、分布和放置。運(yùn)行（Operation）：包括對(duì)系統(tǒng)及其組件的

2、操作以及系統(tǒng)的運(yùn)轉(zhuǎn)。支持和培訓(xùn)（Support and Training）：包括對(duì)系統(tǒng)及其組件的維護(hù)，對(duì)操作、使用等的了解和指導(dǎo)。處置（Disposal）：包括報(bào)廢處理等。8.1 組織基礎(chǔ)架構(gòu) 信息系統(tǒng)生命期安全管理問題安全管理在信息系統(tǒng)整個(gè)生命期的各個(gè)階段中的實(shí)施內(nèi)容包括：制定策略：利用安全服務(wù)為組織提供管理、保護(hù)和分配信息系統(tǒng)資源的準(zhǔn)則和指令。資產(chǎn)分類保護(hù)：幫助組織識(shí)別資產(chǎn)類別并采取措施進(jìn)行適當(dāng)?shù)谋Ｗo(hù)。人事管理：減少人為錯(cuò)誤、盜竊、欺詐或設(shè)施誤用所產(chǎn)生的風(fēng)險(xiǎn)。物理和環(huán)境安全：防止非授權(quán)的訪問、損壞和干擾通信媒體和機(jī)房（及其附屬建筑設(shè)施）以及信息泄露。通信與運(yùn)營(yíng)管理：確保信息處理設(shè)施的正確和

3、安全運(yùn)營(yíng)。訪問控制：按照策略控制對(duì)信息資源的訪問。系統(tǒng)開發(fā)和維護(hù)：確保將安全服務(wù)功能構(gòu)建到信息系統(tǒng)中。業(yè)務(wù)連續(xù)性管理：制止中斷業(yè)務(wù)的活動(dòng)以及保護(hù)關(guān)鍵的業(yè)務(wù)過程不受大的故障或?yàn)?zāi)害影響，并具有災(zāi)難備份和快速恢復(fù)的能力。遵從：保持與信息安全有關(guān)的法律、法規(guī)、政策或合同規(guī)定的一致性，承擔(dān)相應(yīng)的責(zé)任。8.1 組織基礎(chǔ)架構(gòu) 信息安全中的分級(jí)保護(hù)問題信息系統(tǒng)保護(hù)的目標(biāo)信息系統(tǒng)安全的保護(hù)目標(biāo)與所屬組織的安全利益是完全一致的，具體體現(xiàn)為對(duì)信息的保護(hù)和對(duì)系統(tǒng)的保護(hù)。信息保護(hù)是使所屬組織有直接使用價(jià)值（用于交換服務(wù)或共享目的）的信息和系統(tǒng)運(yùn)行中有關(guān)（用于系統(tǒng)管理和運(yùn)行控制目的）的信息的機(jī)密性、完整性、可用性和可控性

4、不會(huì)受到非授權(quán)的訪問、修改和破壞。系統(tǒng)保護(hù)則是使所屬組織用于維持運(yùn)行和履行職能的信息技術(shù)系統(tǒng)的可靠性、完整性和可用性不受到非授權(quán)的修改和破壞。系統(tǒng)保護(hù)的功能有兩個(gè)：一是為信息保護(hù)提供支持，二是對(duì)信息技術(shù)系統(tǒng)自身進(jìn)行保護(hù)。信息系統(tǒng)分級(jí)保護(hù)對(duì)信息和信息系統(tǒng)進(jìn)行分級(jí)保護(hù)是體現(xiàn)統(tǒng)籌規(guī)劃、積極防范、重點(diǎn)突出的信息安全保護(hù)原則的重大措施。最有效和科學(xué)的方法是在維護(hù)安全、健康、有序的網(wǎng)絡(luò)運(yùn)行環(huán)境的同時(shí)，以分級(jí)分類的方式確保信息和信息系統(tǒng)安全既符合政策規(guī)范，又滿足實(shí)際需求。8.1 組織基礎(chǔ)架構(gòu) 計(jì)算機(jī)信息系統(tǒng)的安全保護(hù)等級(jí)GB 178591999計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則是我國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等

5、級(jí)系列標(biāo)準(zhǔn)的基礎(chǔ)，是進(jìn)行計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)制度建設(shè)的基礎(chǔ)性標(biāo)準(zhǔn)，也是信息安全評(píng)估和管理的重要基礎(chǔ)。此標(biāo)準(zhǔn)將計(jì)算機(jī)信息系統(tǒng)安全保護(hù)從低到高劃分為5個(gè)等級(jí)，即用戶自主保護(hù)級(jí)、系統(tǒng)審計(jì)保護(hù)級(jí)、安全標(biāo)記保護(hù)級(jí)、結(jié)構(gòu)化保護(hù)級(jí)和訪問驗(yàn)證保護(hù)級(jí)。高級(jí)別安全要求是低級(jí)別安全要求的超集。計(jì)算機(jī)信息系統(tǒng)安全保護(hù)能力隨著安全保護(hù)等級(jí)的增高逐漸增強(qiáng)。8.1 組織基礎(chǔ)架構(gòu) 基于通用準(zhǔn)則的安全等級(jí)GB/T 18336中定義的7個(gè)評(píng)估保證級(jí)為：評(píng)估保證級(jí)1（EAL1）功能測(cè)試。評(píng)估保證級(jí)2（EAL2）結(jié)構(gòu)測(cè)試。評(píng)估保證級(jí)3（EAL3）系統(tǒng)地測(cè)試和檢查。評(píng)估保證級(jí)4（EAL4）系統(tǒng)地設(shè)計(jì)、測(cè)試和復(fù)查。評(píng)估保證級(jí)5（E

6、AL5）半形式化設(shè)計(jì)和測(cè)試。評(píng)估保證級(jí)6（EAL6）半形式化驗(yàn)證的設(shè)計(jì)和測(cè)試。評(píng)估保證級(jí)7（EAL7）形式化驗(yàn)證的設(shè)計(jì)和測(cè)試。8.1 組織基礎(chǔ)架構(gòu) 信息安全管理的基本內(nèi)容信息系統(tǒng)的安全管理涉及與信息系統(tǒng)有關(guān)的安全管理以及信息系統(tǒng)管理的安全兩個(gè)方面。這兩方面的管理又分為技術(shù)性管理和法律性管理兩類。其中技術(shù)性管理以O(shè)SI安全機(jī)制和安全服務(wù)的管理以及物理環(huán)境的技術(shù)監(jiān)控為主，法律性管理以法律法規(guī)遵從性管理為主。信息安全管理本身并不完成正常的業(yè)務(wù)應(yīng)用通信，但卻是支持與控制這些通信的安全所必需的手段。信息系統(tǒng)管理的安全包括信息系統(tǒng)所有管理服務(wù)協(xié)議的安全，以及信息系統(tǒng)管理信息的通信安全，它們是信息系統(tǒng)安全的

7、重要組成部分。這一類安全管理將借助對(duì)信息系統(tǒng)安全服務(wù)與機(jī)制做適當(dāng)?shù)倪x取，以確保信息系統(tǒng)管理協(xié)議與信息獲得足夠的保護(hù)。8.1 組織基礎(chǔ)架構(gòu) 信息安全管理的指導(dǎo)原則信息安全管理的基本原則包括：以安全保發(fā)展，在發(fā)展中求安全受保護(hù)資源的價(jià)值與保護(hù)成本平衡明確國(guó)家、企業(yè)和個(gè)人對(duì)信息安全的職責(zé)和可確認(rèn)性信息安全需要積極防御和綜合防范定期評(píng)估信息系統(tǒng)的殘留風(fēng)險(xiǎn)綜合考慮社會(huì)因素對(duì)信息安全的制約信息安全管理體現(xiàn)以人為本8.1 組織基礎(chǔ)架構(gòu) 安全管理過程信息系統(tǒng)安全管理是一個(gè)過程，用來實(shí)現(xiàn)和維持信息系統(tǒng)及其資源適當(dāng)?shù)燃?jí)的機(jī)密性、完整性、可用性、不可抵賴性、可確認(rèn)性、真實(shí)性和可靠性等。信息系統(tǒng)安全管理包括分析系統(tǒng)資

8、產(chǎn)、分析系統(tǒng)風(fēng)險(xiǎn)、分析安全需求、制定滿足安全需求的計(jì)劃、執(zhí)行這些計(jì)劃并維持和管理安全設(shè)備的安全。8.1 組織基礎(chǔ)架構(gòu) OSI管理國(guó)際標(biāo)準(zhǔn)化組織（ISO）在ISO/IEC 7498-4中定義并描述了開放系統(tǒng)互連（Open System Interconnect，OSI）管理的術(shù)語(yǔ)和概念，提出了一個(gè)OSI管理的結(jié)構(gòu)并描述了OSI管理應(yīng)有的行為。OSI管理包括故障管理、計(jì)賬管理、配置管理、性能管理和安全管理等功能，這些管理功能對(duì)在OSI環(huán)境中進(jìn)行通信的資源進(jìn)行監(jiān)視、控制和協(xié)調(diào)。8.1 組織基礎(chǔ)架構(gòu) OSI安全管理OSI安全管理包括與OSI有關(guān)的安全管理和OSI管理的安全。OSI安全管理本身不是正常的

9、業(yè)務(wù)應(yīng)用通信，但卻為支持與控制這些通信的安全所必需。OSI安全管理涉及OSI安全服務(wù)的管理與安全機(jī)制的管理。這種管理要求給這些安全服務(wù)和機(jī)制分配管理信息，并收集與這些服務(wù)和機(jī)制運(yùn)行有關(guān)的信息。例如：密鑰分配、設(shè)置行政管理強(qiáng)加的安全參數(shù)、報(bào)告正常的與異常的安全事件以及安全服務(wù)的激活與停止等。安全管理并不保證在調(diào)用特定安全服務(wù)協(xié)議中傳遞與安全有關(guān)的信息，這些信息的安全由安全服務(wù)來提供。由分布式開放系統(tǒng)的行政管理強(qiáng)加的安全策略可以是各種各樣的，OSI安全管理應(yīng)該支持這些策略。OSI安全管理活動(dòng)可以分為4類：系統(tǒng)安全管理、安全服務(wù)管理、安全機(jī)制管理和OSI管理的安全。8.1 組織基礎(chǔ)架構(gòu) 信息安全組織

10、基礎(chǔ)架構(gòu)信息安全管理的組織結(jié)構(gòu)可以分為兩類：一類是行政管理、協(xié)調(diào)類型的機(jī)構(gòu)，另一類是技術(shù)服務(wù)、應(yīng)急響應(yīng)和技術(shù)支持類型的管理機(jī)構(gòu)。在組織內(nèi)部，組織的管理者應(yīng)當(dāng)負(fù)責(zé)信息安全相關(guān)事務(wù)的決策。一個(gè)規(guī)范的信息安全管理體系必須明確指出，組織機(jī)構(gòu)管理層應(yīng)當(dāng)負(fù)責(zé)相關(guān)信息安全管理體系的決策，同時(shí)，這個(gè)體系也應(yīng)當(dāng)能夠反映這種決策，并且在運(yùn)行過程中能夠提供證據(jù)證明其有效性。所以機(jī)構(gòu)組織內(nèi)部的信息安全管理體系的建立項(xiàng)目應(yīng)該由質(zhì)量管理負(fù)責(zé)人或者其他負(fù)責(zé)機(jī)構(gòu)內(nèi)部重大職能的負(fù)責(zé)人負(fù)責(zé)主持。同時(shí)，應(yīng)建立適當(dāng)?shù)男畔踩芾砦瘑T會(huì)對(duì)信息安全政策進(jìn)行審批，對(duì)安全權(quán)責(zé)進(jìn)行分配，并協(xié)調(diào)單位內(nèi)部安全的實(shí)施。如有必要，在單位內(nèi)部設(shè)立特別信

11、息安全顧問并指定相應(yīng)人選。同時(shí)，要設(shè)立外部安全顧問，以便跟蹤行業(yè)走向，監(jiān)視安全標(biāo)準(zhǔn)和評(píng)估手段，并在發(fā)生安全事故時(shí)建立恰當(dāng)?shù)穆?lián)絡(luò)渠道。在此方面，應(yīng)鼓勵(lì)跨學(xué)科的信息安全安排，比如，在管理負(fù)責(zé)人、用戶、程序管理員、應(yīng)用軟件設(shè)計(jì)師、審計(jì)人員和保安人員間開展合作和協(xié)調(diào)，或在保險(xiǎn)和風(fēng)險(xiǎn)管理兩個(gè)學(xué)科領(lǐng)域間進(jìn)行專業(yè)交流等。8.2 管理要素與管理模型 安全目標(biāo)、方針和策略一個(gè)組織的安全目標(biāo)、方針和策略是有效管理組織內(nèi)信息安全的基礎(chǔ)。它們支持組織的活動(dòng)并保證安全措施間的一致性。安全目標(biāo)表述的是信息系統(tǒng)安全要達(dá)到的目的，安全方針是達(dá)到這些安全目標(biāo)的方法和途徑，安全策略則是達(dá)到目標(biāo)所采取的規(guī)則和措施。目標(biāo)、方針和策略

12、的確定可以從組織的領(lǐng)導(dǎo)層到操作層分層次地進(jìn)行。它們應(yīng)該反映組織的行政管理強(qiáng)加給信息系統(tǒng)的安全要求，并且考慮各種來自組織內(nèi)外的約束，如國(guó)家法律法規(guī)、技術(shù)規(guī)范、社會(huì)文化及意識(shí)形態(tài)、組織的企業(yè)文化等，保證在各個(gè)層次上和各個(gè)層次之間的一致性。還應(yīng)該根據(jù)定期的安全性評(píng)審（如風(fēng)險(xiǎn)評(píng)估，安全評(píng)估）結(jié)果以及業(yè)務(wù)目標(biāo)的變化進(jìn)行更新。一個(gè)組織的安全策略只要由該組織的安全規(guī)劃和指令組成。這些安全策略必須反映更廣泛的組織策略，包括每個(gè)人的權(quán)利、合法的要求以及各種技術(shù)標(biāo)準(zhǔn)。一個(gè)信息系統(tǒng)的安全策略必須使包含在組織的安全策略之中的安全規(guī)劃和適用于該組織信息系統(tǒng)安全的指令相一致。8.2 管理要素與管理模型 與安全管理相關(guān)的要

13、素與安全管理相關(guān)的主要要素包括：資產(chǎn)、脆弱性、威脅、影響、風(fēng)險(xiǎn)、殘留風(fēng)險(xiǎn)、安全措施以及約束。8.2 管理要素與管理模型 管理模型信息安全管理又多種模型，各種模型都是從不同角度構(gòu)建的，也都有各自的優(yōu)缺點(diǎn)。幾種模型所提出的概念都有利于對(duì)信息安全管理的原理和實(shí)踐進(jìn)行理解。歸納起來有以下幾種模型：安全要素關(guān)系模型。風(fēng)險(xiǎn)管理關(guān)系模型?；谶^程的信息安全管理模型。PDCA（Plan-Do-Check-Act）模型。上述概念模型和組織的業(yè)務(wù)目標(biāo)一起可以形成一個(gè)組織的信息安全目標(biāo)、方針和策略。信息安全的目標(biāo)就是保證組織能夠安全地運(yùn)行，并且將風(fēng)險(xiǎn)控制在可以接受的水平。任何安全措施都不是萬能的，即不是對(duì)任何風(fēng)險(xiǎn)都

14、是完全有效的，因此需要規(guī)劃和實(shí)施意外事件后的恢復(fù)計(jì)劃，以及構(gòu)建可將損壞程度限制在一定范圍的安全體系。8.2 管理要素與管理模型 安全要素關(guān)系模型8.2 管理要素與管理模型 風(fēng)險(xiǎn)管理關(guān)系模型8.2 管理要素與管理模型 基于過程的信息安全管理模型8.2 管理要素與管理模型 PDCA模型8.2 管理要素與管理模型 風(fēng)險(xiǎn)評(píng)估信息安全風(fēng)險(xiǎn)評(píng)估作是信息安全建設(shè)的起點(diǎn)和基礎(chǔ)，為建立系統(tǒng)安全體系、評(píng)價(jià)系統(tǒng)安全等級(jí)、確定安全風(fēng)險(xiǎn)決策和組織平衡安全投入提供了重要依據(jù)，成為目前急需解決的首要任務(wù)。但是，風(fēng)險(xiǎn)是客觀存在的，由于信息系統(tǒng)的復(fù)雜性、安全事件發(fā)生的不確定性以及信息技術(shù)發(fā)展的局限性，使得試圖通過消除的方式，實(shí)

15、現(xiàn)對(duì)信息系統(tǒng)的安全保護(hù)并完全避免風(fēng)險(xiǎn)是不可能的。信息系統(tǒng)不存在卻對(duì)的安全，風(fēng)險(xiǎn)無處不在。因此，在風(fēng)險(xiǎn)管理過程中，我們?cè)诎踩录陌l(fā)生和影響可控的前提下，接受風(fēng)險(xiǎn)事件的存在，最終達(dá)到通過建立相應(yīng)的安全策略將風(fēng)險(xiǎn)降低可接受的范圍。信息安全風(fēng)險(xiǎn)評(píng)估是依照科學(xué)的風(fēng)險(xiǎn)管理程序和方法，充分的對(duì)組成系統(tǒng)的各部分所面臨的危險(xiǎn)因素進(jìn)行分析評(píng)價(jià)，針對(duì)系統(tǒng)存在的安全問題，根據(jù)系統(tǒng)對(duì)其自身的安需求，提出有效的安全措施，達(dá)到最大限度減少風(fēng)險(xiǎn)、降低危害和確保系統(tǒng)安全運(yùn)行的目的。8.2 管理要素與管理模型 風(fēng)險(xiǎn)評(píng)估8.3 身份管理身份管理（IdM：Identity Management），廣義上講應(yīng)當(dāng)包括用戶的認(rèn)證、授權(quán)以

16、及認(rèn)證和授權(quán)之后相關(guān)信息的保存和管理。它必須靈活地支持已有的和被廣泛使用的多種身份認(rèn)證機(jī)制和協(xié)議，還要支持各種不同的應(yīng)用和服務(wù)平臺(tái)。身份管理的框架必須在用戶、應(yīng)用平臺(tái)和網(wǎng)絡(luò)需求中尋求某種平衡。這些網(wǎng)絡(luò)需求對(duì)身份管理的設(shè)計(jì)有著深遠(yuǎn)的影響。此外，這還為各種身份管理系統(tǒng)的互聯(lián)性提供了新的商機(jī)。身份管理所涉及的用戶身份生命周期，主要包括賬戶建立、維護(hù)和撤消3個(gè)部分：賬戶建立包括給用戶建立賬戶并分配適當(dāng)?shù)募?jí)別以訪問完成工作所需的資源；賬戶維護(hù)包括保持用戶身份的更新、依據(jù)工作完成的需要適當(dāng)調(diào)整用戶可訪問資源的級(jí)別，以及用戶更改自身身份信息時(shí)在不同系統(tǒng)之間進(jìn)行修改的同步；賬戶撤消包括在用戶離開組織或公司之后

17、，使用戶賬戶及時(shí)失效以實(shí)現(xiàn)對(duì)用戶既得資源訪問權(quán)限的回收。8.3 身份管理身份管理生命周期8.3 身份管理ITU-T身份管理模型目前使用的身份管理生態(tài)系統(tǒng)8.3 身份管理ITU-T身份管理模型理想的身份管理生態(tài)系統(tǒng)8.3 身份管理身份管理的流程身份管理模型是由實(shí)體（Entity），服務(wù)提供方（SP），身份提供方（IdP）三個(gè)基本要素組成的，ITU-T提出的身份管理模型分為信任域內(nèi)的通信和其在一個(gè)信任域內(nèi)的身份認(rèn)證管理和跨域身份認(rèn)證管理。8.4 人員與物理環(huán)境安全崗位定義與資源分配安全組織應(yīng)該在新員工聘用階段就提出安全責(zé)任問題并將其包括在聘用合同條款中，在員工的雇傭期間對(duì)其進(jìn)行培訓(xùn)和監(jiān)管，從而降低

18、人為錯(cuò)誤的風(fēng)險(xiǎn)，如盜竊、詐騙或者濫用設(shè)備和信息等。在條件允許的情況下，組織可以對(duì)員工進(jìn)行充分選拔，尤其是對(duì)于從事敏感工作員工。所有雇員以及信息處理設(shè)施的第三方用戶（如產(chǎn)品供應(yīng)商、信息安全咨詢服務(wù)商和工程隊(duì)伍等）都應(yīng)該簽署并落實(shí)好保密協(xié)議。8.4 人員與物理環(huán)境安全用戶培訓(xùn)組織應(yīng)該開展對(duì)用戶的安全管理規(guī)程和正確使用信息處理設(shè)備的培訓(xùn)，以盡量降低可靠的安全風(fēng)險(xiǎn)，確保用戶意識(shí)到對(duì)信息安全的威脅和危害關(guān)系，并且具有在日常工作中支持安全策略的能力。組織中所有員工以及相關(guān)的第三方用戶，應(yīng)該接收適當(dāng)?shù)男畔踩逃团嘤?xùn)，以適應(yīng)組織的安全策略和管理規(guī)程。這包括安全要求、法律責(zé)任和業(yè)務(wù)控制措施，還包括在被授權(quán)訪問信息或者服務(wù)之前正確使用信息處理設(shè)備的培訓(xùn)，如信息系統(tǒng)登錄程序、軟硬件的使用等。8.4 人員與物理環(huán)境安全對(duì)安全事件和故障的響應(yīng)影響安全的事件應(yīng)該盡快通過適當(dāng)?shù)墓芾砬?/p>