安全集成培訓：第2章 信息系統(tǒng)安全工程綜述

第2章信息系統(tǒng)安全工程綜述本章結構2.1系統(tǒng)工程概述2.2系統(tǒng)安全工程2.3信息系統(tǒng)安全工程2.4小結2.1系統(tǒng)工程概述2.1.1基本概念2.1.2系統(tǒng)工程的范圍2.1.3系統(tǒng)工程的背景2.1.4系統(tǒng)工程模型2.1.1基本概念1.系統(tǒng)2.安全工程策略—機制—保證—動機3.系統(tǒng)安全工程4.信息系統(tǒng)安全工程2.1.2系統(tǒng)工程的范圍2.1.3系統(tǒng)工程的背景系統(tǒng)工程標準和模型的發(fā)展史系統(tǒng)工程關鍵項生命周期平衡解決方案2.1.4系統(tǒng)工程模型開發(fā)制造驗證部署運行支持和培訓處置典型系統(tǒng)工程模型基本獲取過程2.2系統(tǒng)安全工程2.2.1概念2.2.2SSE-CMM2.2.1概念1.定義（暫無）

主要目標：1) 獲得對企業(yè)安全風險的理解；2) 根據(jù)已識別的安全風險建立一組平衡的安全需求；3) 將安全需求轉換成安全的指導原則，這些安全指導原則將被綜合到項目實施中的其他科目活動和系統(tǒng)配置或運行的定義中；4) 通過正確有效的安全機制建立信心和保證；5) 判斷系統(tǒng)中和系統(tǒng)運行時殘留的安全風險對運行的影響是否可容忍（即可接受的風險）；6) 將所有科目和專業(yè)活動即成為一個具有共識的系統(tǒng)安全可信性工程。2.系統(tǒng)安全工程過程

SSE-CMM將系統(tǒng)安全工程劃分為風險過程（Riskprocess）、工程過程（Engineeringprocess）和保證過程（Assuranceprocess）三個基本的過程域。風險管理過程安全工程過程保證過程3.系統(tǒng)安全工程活動

先期概念

概念開發(fā)和定義

證明與證實

工程實踐、開發(fā)和制造

生產(chǎn)和部署

運營和支持

淘汰或報廢2.2.2SSE-CMM系統(tǒng)安全工程能力成熟度模型（SSE-CMM，SystemsSecurityEngineeringCapabilityMaturityModel）是一種衡量系統(tǒng)安全工程實施能力的方法，是一種使用面向工程過程的方法。1.主要概念

過程

過程域

工作產(chǎn)品

過程能力2.SSE-CMM發(fā)展3.SSE-CMM用戶主要適用于安全的

工程組織（EngineeringOrganizations）

獲取組織（AcquiringOrganizations）

評估組織（EvaluationOrganizations）4.SSE-CMM體系結構

基本模型

域維/安全過程域（PA01-PA22）

能力維/公共特性（1-5級）

能力級別（1-5級）2.3信息系統(tǒng)安全工程2.3.1概述2.3.2信息系統(tǒng)生命周期安全工程2.3.3ISSE基本功能2.3.1概述1.信息安全工程過程目的是：1) 將用戶的有效安全需求轉換成一組生命周期均衡的系統(tǒng)產(chǎn)品和過程的安全解決方案；2) 將信息安全工程和其他科學的技術問題綜合起來，以達到項目的安全目標；3) 使系統(tǒng)需求的所有功能的和物理的接口（包括內、外接口）有關（包括硬件、軟件、設施、人員、數(shù)據(jù)和服務等各個方面）的信息安全問題得到處理；4) 對安全風險進行識別、定義和分級，找出解決辦法。在項目早期向決策者提供安全風險信息，以采取措施降低安全風險。2.信息系統(tǒng)安全工程的“階段”概述

系統(tǒng)工程各階段和重大事件系統(tǒng)生命周期內的ISSE流程3.與系統(tǒng)獲取的關系2.3.2信息系統(tǒng)生命周期安全工程系統(tǒng)獲取各階段系統(tǒng)工程各階段先期概念先期概念概念研究和定義概念驗證和證實需求系統(tǒng)設計工程和制造概要（初步）設計詳細設計實現(xiàn)和測試生產(chǎn)和部署配置審計運行和支持運行和支持1.先期概念階段2.概念階段3.需求階段4.系統(tǒng)設計階段5.初步設計階段6.詳細設計階段7.實現(xiàn)和測試階段8.配置審計階段9.運行和支持階段2.3.3IS