信息安全保障概述

1、信息安全保障概述,中國信息安全測評中心,課程內(nèi)容,2,信息安全保障概述,信息安全保障 框架,國家信息安全 政策法規(guī),知識(shí)體：信息安全保障框架,知識(shí)域：安全保障框架基礎(chǔ)知識(shí) 理解信息安全的基本概念 理解信息安全保障的意義和內(nèi)涵； 了解信息安全保障工作的總體思路和基本實(shí)踐方法。 知識(shí)域：信息安全保障基本實(shí)踐 了解我國信息安全保障工作發(fā)展階段； 我國信息安全保障基本原則； 我國信息安全保障建設(shè)主要內(nèi)容； 我國信息安全保障工作的基本內(nèi)容。,3,什么是安全？,安全 Security：事物保持不受損害,4,什么是信息安全？,保密！,不該知道的人，不讓他知道！,5,什么是信息安全？,完整！,信息不能追求殘缺

2、美！,6,什么是信息安全？,可用！,信息要方便、快捷！ 不能像某國首都二環(huán)早高峰，也不能像春運(yùn)的火車站,7,什么是信息安全,信息本身的機(jī)密性（Confidentiality）、完整性（Integrity）和可用性（Availability）的保持，即防止防止未經(jīng)授權(quán)使用信息、防止對信息的非法修改和破壞、確保及時(shí)可靠地使用信息。,保密性：確保信息沒有非授權(quán)的泄漏，不被非授權(quán)的個(gè)人、組織和計(jì)算機(jī)程序使用 完整性：確保信息沒有遭到篡改和破壞 可用性：確保擁有授權(quán)的用戶或程序可以及時(shí)、正常使用信息,8,為什么會(huì)有信息安全問題？,因?yàn)橛胁《締幔?因?yàn)橛泻诳蛦幔?因?yàn)橛新┒磫幔?這些都是原因， 但沒有說到

3、根源,9,信息系統(tǒng)安全問題產(chǎn)生的根源與環(huán)節(jié),內(nèi)因 復(fù)雜性導(dǎo)致脆弱性：過程復(fù)雜，結(jié)構(gòu)復(fù)雜，使用復(fù)雜 外因 對手: 威脅與破壞,10,內(nèi)在復(fù)雜過程,信息系統(tǒng)理論 馮-諾伊曼機(jī)，在程序與數(shù)據(jù)的區(qū)分上沒有確定性的原則 設(shè)計(jì) 從設(shè)計(jì)的角度看，在設(shè)計(jì)時(shí)考慮的優(yōu)先級(jí)中安全性相對于易用性、代碼大小、執(zhí)行程度等因素被放在次要的位置 實(shí)現(xiàn) 由于人性的弱點(diǎn)和程序設(shè)計(jì)方法學(xué)的不完善，軟件總是存在BUG 生產(chǎn)與集成 使用與運(yùn)行維護(hù),11,安全問題根源內(nèi)因系統(tǒng)越來越復(fù)雜,工作計(jì)算機(jī),員工在使用,移動(dòng)介質(zhì),內(nèi)網(wǎng)中的其它系統(tǒng),單位連接因特網(wǎng),電話撥號(hào)上網(wǎng),連接其它單位網(wǎng)絡(luò),無線網(wǎng)絡(luò),12,安全問題根源內(nèi)因我們使用的網(wǎng)絡(luò)是開放

4、的,內(nèi)在復(fù)雜使用,14,安全問題根源外因來自對手的威脅,15,安全問題根源外因來自自然的破壞,16,信息安全的范疇,信息技術(shù)問題技術(shù)系統(tǒng)的安全問題 組織管理問題人+技術(shù)系統(tǒng)+組織內(nèi)部環(huán)境 社會(huì)問題法制、輿論 國家安全問題信息戰(zhàn)、虛擬空間,17,信息網(wǎng)絡(luò)已逐漸成為經(jīng)濟(jì)繁榮、社會(huì)穩(wěn)定和國家發(fā)展的基礎(chǔ) 信息化深刻影響著全球經(jīng)濟(jì)的整合、國家戰(zhàn)略的調(diào)整和安全觀念的轉(zhuǎn)變 從單純的技術(shù)性問題變成事關(guān)國家安全的全球性問題。 信息安全和信息安全保障適用于所有技術(shù)領(lǐng)域。 硬件 軟件 軍事計(jì)算機(jī)通訊指揮控制和情報(bào)(C4I)系統(tǒng)，制造工藝控制系統(tǒng)，決策支持系統(tǒng)，電子商務(wù)，電子郵件，生物醫(yī)學(xué)系統(tǒng)和智能運(yùn)輸系統(tǒng)(ITS)

5、。,信息安全的地位和作用,18,信息安全發(fā)展階段,19,COMSEC：Communication Security 20世紀(jì)，40年代-70年代 核心思想： 通過密碼技術(shù)解決通信保密，保證數(shù)據(jù)的保密性和完整性 主要關(guān)注傳輸過程中的數(shù)據(jù)保護(hù) 安全威脅：搭線竊聽、密碼學(xué)分析 安全措施：加密 標(biāo)志 1949年：shannon發(fā)表保密通信的信息理論 1977年：美國國家標(biāo)準(zhǔn)局公布數(shù)據(jù)加密標(biāo)準(zhǔn)DES 1976年：Diffle和Hellman在“New Directions in Cryptography”一文中提出公鑰密碼體系,通信安全,20,COMPUSEC：Computer Security 20世

6、紀(jì)，70-90年代 核心思想： 預(yù)防、檢測和減小計(jì)算機(jī)系統(tǒng)（包括軟件和硬件）用戶（授權(quán)和未授權(quán)用戶）執(zhí)行的未授權(quán)活動(dòng)所造成的后果。 主要關(guān)注于數(shù)據(jù)處理和存儲(chǔ)時(shí)的數(shù)據(jù)保護(hù) 。 安全威脅：非法訪問、惡意代碼、脆弱口令等 安全措施：安全操作系統(tǒng)設(shè)計(jì)技術(shù)（TCB） 標(biāo)志： 1985年，美國國防部的可信計(jì)算機(jī)系統(tǒng)評估保障（TCSEC，橙皮書），將操作系統(tǒng)安全分級(jí)（D、C1、C2、B1、B2、B3、A1）；后補(bǔ)充紅皮書TNI（1987）和TDI（1991），發(fā)展為彩虹（rainbow）系列,計(jì)算機(jī)安全,21,INFOSEC：Information Security 20世紀(jì)，90年代后 核心思想： 綜合通

7、信安全和計(jì)算機(jī)安全安全 重點(diǎn)在于保護(hù)比“數(shù)據(jù)”更精煉的“信息”，確保信息在存儲(chǔ)、處理和傳輸過程中免受偶然或惡意的非法泄密、轉(zhuǎn)移或破壞 。 安全威脅：網(wǎng)絡(luò)入侵、病毒破壞、信息對抗等 安全措施：防火墻、防病毒、漏洞掃描、入侵檢測、PKI、VPN等 標(biāo)志 安全評估保障CC（ISO 15408，GB/T 18336）,信息系統(tǒng)安全,22,信息安全保障發(fā)展歷史,第一次定義：在1996年美國國防部DoD指令5-3600.1（DoDD 5-3600.1）中，美國信息安全界第一次給出了信息安全保障的標(biāo)準(zhǔn)化定義 現(xiàn)在：信息安全保障的概念已逐漸被全世界信息安全領(lǐng)域所接受。 中國：中辦發(fā)27號(hào)文國家信息化領(lǐng)導(dǎo)小組關(guān)

8、于加強(qiáng)信息安全保障工作的意見，是信息安全保障工作的綱領(lǐng)性文件 信息安全保障發(fā)展歷史 從通信安全（COMSEC）-計(jì)算機(jī)安全（COMPUSEC）-信息系統(tǒng)安全（INFOSEC）-信息安全保障（IA） -網(wǎng)絡(luò)空間安全/信息安全保障（CS/IA） 。,23,IA：Information Assurance 今天，將來 核心思想： 保障信息和信息系統(tǒng)資產(chǎn)，保障組織機(jī)構(gòu)使命的執(zhí)行； 綜合技術(shù)、管理、過程、人員； 確保信息的保密性、完整性和可用性。 安全威脅：黑客、恐怖分子、信息戰(zhàn)、自然災(zāi)難、電力中斷等 安全措施：技術(shù)安全保障體系、安全管理體系、人員意識(shí)/培訓(xùn)/教育、認(rèn)證和認(rèn)可 標(biāo)志： 技術(shù)：美國國防部的

9、IATF深度防御戰(zhàn)略 管理：BS7799/ISO 17799 系統(tǒng)認(rèn)證：美國國防部DITSCAP,信息安全保障,24,網(wǎng)絡(luò)空間安全/信息安全保障,CS/IA：Cyber Security/Information Assurance 2009年，在美國帶動(dòng)下，世界各國信息安全政策、技術(shù)和實(shí)踐等發(fā)生重大變革 共識(shí)：網(wǎng)絡(luò)安全問題上升到國家安全的重要程度 核心思想：從傳統(tǒng)防御的信息保障（IA），發(fā)展到“威懾”為主的防御、攻擊和情報(bào)三位一體的信息保障/網(wǎng)絡(luò)安全（IA/CS）的網(wǎng)空安全 網(wǎng)絡(luò)防御-Defense（運(yùn)維） 網(wǎng)絡(luò)攻擊-Offense（威懾） 網(wǎng)絡(luò)利用-Exploitation（情報(bào)）,25,2

10、008年1月，布什政府發(fā)布了國家網(wǎng)絡(luò)安全綜合倡議（CNCI），號(hào)稱網(wǎng)絡(luò)安全“曼哈頓項(xiàng)目”，提出威懾概念，其中包括愛因斯坦計(jì)劃、情報(bào)對抗、供應(yīng)鏈安全、超越未來（“Leap-Ahead”）技術(shù)戰(zhàn)略 2009年5月29日發(fā)布了網(wǎng)絡(luò)空間政策評估：確保信息和通訊系統(tǒng)的可靠性和韌性報(bào)告 2009年6月25日，英國推出了首份“網(wǎng)絡(luò)安全戰(zhàn)略”，并將其作為同時(shí)推出的新版國家安全戰(zhàn)略的核心內(nèi)容 2009年6月，美國成立網(wǎng)絡(luò)戰(zhàn)司令部 12月22日，奧巴馬任命網(wǎng)絡(luò)安全專家擔(dān)任“網(wǎng)絡(luò)沙皇” ,26,網(wǎng)絡(luò)空間安全/信息安全保障,從技術(shù)角度看信息安全,27,組織機(jī)構(gòu)的使命/業(yè)務(wù)目標(biāo)實(shí)現(xiàn)越來越依賴于信息系統(tǒng) 信息系統(tǒng)成為組織

11、機(jī)構(gòu)生存和發(fā)展的關(guān)鍵因素 信息系統(tǒng)的安全風(fēng)險(xiǎn)也成為組織風(fēng)險(xiǎn)的一部分 為了保障組織機(jī)構(gòu)完成其使命，必須加強(qiáng)信息安全保障，抵抗這些風(fēng)險(xiǎn)。,為什么需要信息安全保障,28,信息安全保障的意義,29,信息安全保障的意義,30,信息安全保障是一種立體保障,31,信息系統(tǒng)安全保障是在信息系統(tǒng)的整個(gè)生命周期中，通過對信息系統(tǒng)的風(fēng)險(xiǎn)分析，制定并執(zhí)行相應(yīng)的安全保障策略，從技術(shù)、管理、工程和人員等方面提出安全保障要求，確保信息系統(tǒng)的保密性、完整性和可用性，降低安全風(fēng)險(xiǎn)到可接受的程度，從而保障系統(tǒng)實(shí)現(xiàn)組織機(jī)構(gòu)的使命。,信息安全保障定義,32,國家標(biāo)準(zhǔn)：GB/T 20274.1-2006 信息安全技術(shù) 信息系統(tǒng)安全保障

12、評估框架 第一部分：簡介和一般模型,信息系統(tǒng)安全保障模型-保障評估框架,33,信息系統(tǒng)安全保障模型-IATF,34,安全保障的目標(biāo)是支持業(yè)務(wù),信息安全保障是為了支撐業(yè)務(wù)高效穩(wěn)定運(yùn)行 要以安全促發(fā)展，在發(fā)展中求安全,35,信息安全保障需要持續(xù)進(jìn)行,時(shí)時(shí)刻刻不放松,如鉆石歷久彌新,36,信息安全、系統(tǒng)及業(yè)務(wù)關(guān)系,37,信息安全保障,通信安全,數(shù)據(jù)安全,網(wǎng)絡(luò)安全,現(xiàn)在人們意識(shí)到：技術(shù)很重要，但技術(shù)不是一切；信息系統(tǒng)很重要，只有服務(wù)于組織業(yè)務(wù)使命才有意義,個(gè)人信息可能面臨的安全威脅,1、外部人員通過互聯(lián)網(wǎng)利用木馬等攻擊手段竊取、篡改或破壞個(gè)人計(jì)算機(jī)中存放的敏感信息； 2、外部人員非法接入稅務(wù)系統(tǒng)內(nèi)網(wǎng)或

13、直接操作內(nèi)網(wǎng)計(jì)算機(jī)竊取、篡改或破壞敏感信息； 3、外部人員盜竊筆記本電腦、U盤等移動(dòng)計(jì)算和存儲(chǔ)設(shè)備竊取敏感信息； 4、病毒通過網(wǎng)絡(luò)或移動(dòng)介質(zhì)傳播造成個(gè)人計(jì)算機(jī)無法正常使用或數(shù)據(jù)破壞； 5、內(nèi)部工作人員由于誤操作等過失行為導(dǎo)致敏感信息丟失或被破壞； 6、內(nèi)部工作人員由于利益驅(qū)使，利用工作之便竊取他人個(gè)人計(jì)算機(jī)中工作敏感信息。,39,案例1,國內(nèi)最大的影音播放軟件暴風(fēng)影音爆出存在安全漏洞，該漏洞發(fā)生在暴風(fēng)影音II的一個(gè)activex控件上，當(dāng)安裝了暴風(fēng)影音II的用戶在瀏覽黑客精心構(gòu)造的包含惡意代碼的網(wǎng)頁后，會(huì)下載木馬病毒，并以當(dāng)前用戶權(quán)限自動(dòng)運(yùn)行。 某公司員工違反規(guī)定在工作用計(jì)算機(jī)及上安裝了“暴風(fēng)

14、影音”，上班時(shí)間上網(wǎng)瀏覽新聞。 黑客利用木馬竊取了該員工計(jì)算機(jī)及該公司局域網(wǎng)中的部分公司機(jī)密。,個(gè)人計(jì)算機(jī)作為稅務(wù)信息系統(tǒng)的一個(gè)組成部分，如果出現(xiàn)安全漏洞，就可能成為信息安全防護(hù)的薄弱環(huán)節(jié)，被竊密或破壞分子利用對整個(gè)系統(tǒng)造成破壞。,40,案例2,2001年初，查處了陳學(xué)軍團(tuán)伙虛開增值稅專用發(fā)票案件。主犯套購增值稅專用發(fā)票10900份，為數(shù)百家企業(yè)虛開增值稅專用發(fā)票2800余份，虛開稅款共計(jì)人民幣3.93億元。陳學(xué)軍以虛開增值稅專用發(fā)票罪被判處并已執(zhí)行死刑；吳芝剛以虛開增值稅專用發(fā)票罪、巨額財(cái)產(chǎn)來源不明罪兩罪并罰，一審判處死刑，二審改判死刑緩期執(zhí)行。,宣判現(xiàn)場,41,案例2（續(xù)）,3名工作人員在

15、案發(fā)過程中，由于思想疏忽大意，沒有嚴(yán)格保護(hù)個(gè)人工作計(jì)算機(jī)和應(yīng)用系統(tǒng)的密碼和使用權(quán)限，為吳芝剛趁工作之便，非法獲得計(jì)算機(jī)密碼，為作案行提供了便利。這3名工作人員，因工作嚴(yán)重違規(guī)失職也受到嚴(yán)厲的法律追究，根據(jù)情節(jié)輕重，分別被處以不同程度的刑事處罰。,42,單位信息系統(tǒng)面臨的主要安全威脅,網(wǎng)絡(luò)竊密 系統(tǒng)故障、網(wǎng)絡(luò)攻擊和病毒造成系統(tǒng)運(yùn)行中斷 系統(tǒng)故障或人為誤操作造成數(shù)據(jù)丟失,43,電話線或其它非法外聯(lián),竊密者,個(gè)人辦公用計(jì)算機(jī)或外網(wǎng)服務(wù)器,風(fēng)險(xiǎn)四：硬件故障或誤操作造成數(shù)據(jù)丟失,風(fēng)險(xiǎn)一：通過互聯(lián)網(wǎng)搜集我有價(jià)值的數(shù)據(jù),風(fēng)險(xiǎn)三：病毒泛濫影響正常辦公,風(fēng)險(xiǎn)二：利用非法外聯(lián)或網(wǎng)絡(luò)控制不嚴(yán)為跳板竊取核心機(jī)密,內(nèi)部

16、核心系統(tǒng),信息系統(tǒng)面臨的典型安全威脅,內(nèi)往U盤接入互聯(lián)網(wǎng),44,案例1：違規(guī)上網(wǎng)造成重大失泄密,違規(guī)操作泄密,敵對勢力竊密,互聯(lián)網(wǎng),部隊(duì)失密案：2003年初，軍隊(duì)某參謀違反規(guī)定，使用涉密計(jì)算機(jī)上因特網(wǎng)，一次竊走1000多份文檔資料，影響和損失極為嚴(yán)重。,45,IIS存在unicode漏洞,穿過防火墻,外部網(wǎng)絡(luò),內(nèi)部網(wǎng)絡(luò),案例2：某重要網(wǎng)絡(luò)系統(tǒng)被控制,46,案例3：網(wǎng)絡(luò)故障造成航班延誤和旅客滯留,2006年10月10日13時(shí)32分，某公司運(yùn)營的離港系統(tǒng)發(fā)生主機(jī)系統(tǒng)文件損壞，導(dǎo)致使用離港系統(tǒng)的航空公司和機(jī)場的正常運(yùn)行產(chǎn)生不同程度影響。經(jīng)過排查后故障系統(tǒng)于14時(shí)16分恢復(fù)正常。此次故障造成首都機(jī)場、

17、廣州機(jī)場、深圳機(jī)場等機(jī)場部分航班延誤。,47,什么是信息安全風(fēng)險(xiǎn),信息和其它資產(chǎn)一樣 是具有價(jià)值的,48,什么是信息安全風(fēng)險(xiǎn),信息面臨著外在的威脅,49,什么是信息安全風(fēng)險(xiǎn),信息系統(tǒng)存在著脆弱性,50,什么是信息安全風(fēng)險(xiǎn),外在威脅利用信息系統(tǒng)存在的脆弱性，致其損失或破壞對系統(tǒng)價(jià)值造成損害的可能性,51,信息系統(tǒng)安全保障含義總結(jié),出發(fā)點(diǎn)和核心 在信息系統(tǒng)所處的運(yùn)行環(huán)境里，以風(fēng)險(xiǎn)和策略為出發(fā)點(diǎn)，即從信息系統(tǒng)所面臨的風(fēng)險(xiǎn)出發(fā)制定組織機(jī)構(gòu)信息系統(tǒng)安全保障策略， 信息系統(tǒng)生命周期 通過在信息系統(tǒng)生命周期中從技術(shù)、管理、工程和人員等方面提出安全保障要求。,52,信息系統(tǒng)安全保障含義總結(jié),確保信息的安全特征

18、 確保信息的保密性、完整性和可用性特征，從而實(shí)現(xiàn)和貫徹組織機(jī)構(gòu)策略并將風(fēng)險(xiǎn)降低到可接受的程度， 保護(hù)資產(chǎn) 達(dá)到保護(hù)組織機(jī)構(gòu)信息和信息系統(tǒng)資產(chǎn)， 最終保障使命 從而保障組織機(jī)構(gòu)實(shí)現(xiàn)其使命的最終目的。,53,如何保障信息安全？,信息是依賴與承載它的信息技術(shù)系統(tǒng)存在的 需要在技術(shù)層面部署完善的控制措施,信息系統(tǒng)是由人來建設(shè)使用和維護(hù)的 需要通過有效的管理手段約束人,今天系統(tǒng)安全了明天未必安全 需要貫穿系統(tǒng)生命周期的工程過程,信息安全的對抗，歸根結(jié)底是人員知識(shí)、技能和素質(zhì)的對抗 需要建設(shè)高素質(zhì)的人才隊(duì)伍,信息安全保障體系構(gòu)成的要素,信息安全技術(shù)體系 信息安全管理體系 信息安全工程過程 高素質(zhì)的人員隊(duì)伍

19、,55,Modem,56,完善的信息安全技術(shù)體系,策略體系,風(fēng)險(xiǎn)管理,系統(tǒng)測評/風(fēng)險(xiǎn)評估,生命周期安全管理,對手，動(dòng)機(jī) 和攻擊,國家/業(yè)務(wù)/機(jī)構(gòu) 策略，規(guī)范，標(biāo)準(zhǔn),使命要求,組織體系建設(shè),業(yè)務(wù)持續(xù)性管理,應(yīng)急響應(yīng)管理,意識(shí)培訓(xùn)和教育,57,信息安全保障管理體系建設(shè),相關(guān)方,信息安全需求遭到破壞后對國家安全、社會(huì)秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度,91,關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見（公字通200466號(hào)）2,實(shí)施要求 完善標(biāo)準(zhǔn),分類指導(dǎo)（管理規(guī)范和技術(shù)標(biāo)準(zhǔn)） 科學(xué)定級(jí),嚴(yán)格備案（專家評審委員會(huì)。三級(jí)以上系統(tǒng)備案） 建設(shè)整改,落實(shí)措施（信息系統(tǒng)：已有、新建、改建、擴(kuò)建

20、） 自查自糾,落實(shí)要求（運(yùn)營、 使用單位及其主管部門） 建立制度,加強(qiáng)管理（運(yùn)營、 使用單位及其主管部門） 監(jiān)督檢查,完善保護(hù)（公安機(jī)關(guān)重點(diǎn)對第三、第四級(jí)系統(tǒng)） 其他等級(jí)要求 國家對信息安全產(chǎn)品的使用實(shí)行分等級(jí)管理 信息安全事件實(shí)行分等級(jí)響應(yīng)、處置的制度,92,關(guān)于印發(fā)的通知（公字通200743號(hào)）,通知是政策，管理辦法屬于法律法規(guī) 四部委聯(lián)合發(fā)文：公安部、保密局、密碼管理局、原國信辦 國家信息安全等級(jí)保護(hù)堅(jiān)持“自主定級(jí)、自主保護(hù)”的原則 信息系統(tǒng)的安全保護(hù)等級(jí)分為五級(jí) 實(shí)施與管理 具體實(shí)施等級(jí)保護(hù)工作 參照標(biāo)準(zhǔn)：信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南 確定安全保護(hù)等級(jí) 參照標(biāo)準(zhǔn)：信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南 系統(tǒng)建設(shè) 參照標(biāo)準(zhǔn)：信息系統(tǒng)安全等級(jí)保護(hù)基本要求等 等級(jí)測評 參照標(biāo)準(zhǔn)：信息系統(tǒng)安全等級(jí)保護(hù)測評要求 二級(jí)以上系統(tǒng)的備案要求（由公安機(jī)關(guān)頒發(fā)備案證明） 三級(jí)以上系統(tǒng)的定期自查、測評和檢查要求 三級(jí)以上系統(tǒng)的信息安全產(chǎn)品選擇使用要求 三級(jí)以上系統(tǒng)等級(jí)保護(hù)測評機(jī)構(gòu)的選擇要求 涉密信息系統(tǒng)按分級(jí)保護(hù)管理（略） 對信息安全等級(jí)保護(hù)的密碼實(shí)行分類分級(jí)管理（略）,93,國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見（中辦發(fā)200327號(hào)）1,意義 標(biāo)志著我國信息安全保障工作有了總體綱領(lǐng) 提出要在5年內(nèi)建設(shè)中國信息安全保障體系 總體要求 堅(jiān)持積極防