信息安全保障VPPT课件.pptx

信息安全保障信息安全保障讲师姓名 机构名称版本：4.0课程内容程内容2信息安全保障信息安全保障知知识域域知知识子域子域信息安全概念信息安全概念信息安全保障工作信息安全保障工作安全保障框架安全保障框架信息安全工程信息安全工程信息安全保障新信息安全保障新领域域知知识子域：信息安全保障基子域：信息安全保障基础v信息安全定义及理解理解信息安全定义及信息安全问题狭义、广义两层概念及区别；理解信息安全问题的根内因和外因；理解信息安全是系统的安全、动态的安全、无边界的安全、非传统的安全等相关概念；v信息安全属性理解信息安全属性的概念及CIA三元组（保密性、完整性、可用性）的概念；了解真实性、不可否认性、可问责、可控性等其他不可缺少的信息安全属性概念；3对信息安全的定信息安全的定义vISO对信息安全的定义“为数据处理系统建立和采取技术、管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到破坏、更改、泄露”v其他相关定义美国法典中的定义欧盟的定义4信息安全信息安全问题v狭义的信息安全问题是建立在以IT技术为主的安全范畴v广义的信息安全问题是一个跨学科领域的安全问题安全的根本目的是保证组织业务可持续性运行信息安全应该建立在整个生命周期中所关联的人、事、物的基础上，综合考虑人、技术、管理和过程控制，使得信息安全不是一个局部而是一个整体安全要考虑成本因素信息系统不仅仅是业务的支撑，而是业务的命脉5信息安全信息安全问题的根源及特征的根源及特征v信息安全问题的根源内因：息系统复杂性导致漏洞的存在不可避免外因：环境因素、人为因素v信息安全的特征系统的安全动态的安全无边界的安全非传统的安全6信息信息安全安全属性属性v基本属性保密性完整性可用性v其他属性真实性可问责性不可否认性可靠性7知知识子域：信息安全概念子域：信息安全概念v信息安全视角了解国家视角对信息安全关注点（网络战、关键基础设施保护、法律建设与标准化）相关概念；了解企业视角对信息安全关注点（业务连续性管理、资产保护、合规性）相关概念；了解个人视角对信息安全关注点（隐私保护、个人资产保护、社会工程学）相关概念；8信息安全信息安全视角角9国家视角网络战国家关键基础设施保护法律建设与标准化商业视角业务连续性管理可遵循的资产保护合规性个人视角隐私保护社会工程学个人电子资产安全国家国家视角角v网络战“一个民族国家为了造成损害或破坏而渗透另一个国家的计算机或网络的行动”网络战其作为国家整体军事战略的一个组成部分已经成为趋势10国家国家视角角v国家关键基础设施保护2016年11月通过的网络安全法第三章第二节第三十一条定义了我国关键基础设施，“公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的基础设施”为关键基础设施。11国家国家视角角v法律建设与标准化由于互联网的开放、自由和共有的脆弱性，使国家安全、社会公共利益以及个人权利在网络活动中面临着来自各方面的威胁，国家需要在技术允许的范围内保持适当的安全要求。所谓适度安全是指安全保护的立法的范围要和应用的重要性相一致，不要花费过多的成本，限制信息系统的可用性。信息安全风险具有“不可逆”的特点，需要信息安全法律采取以预防为主的法律原则。但是由于信息安全威胁的全局性特点，其法律原则更应当采取积极主动的预防原则。12商商业视角角vBCM也叫业务连续性管理（Business continuity manager）一项应对组织业务发生重大中断时产生综合管理流程它使企业认识到潜在的危机和相关影响，制订响应、业务和连续性的恢复计划总体目标是为了提高企业的风险防范能力，以有效地响应非计划的业务破坏并降低不良影响。13商商业视角角v可遵循的资产保护我们要保护什么？我们有什么？我们用他来做什么？我们需要保护他们吗？在安全事件降临时，我们优先保护什么？我们所保护的资产是组织的核心资产吗？在一个合理的成本情况下，我们需要放弃什么？14商商业视角角v合规性合规性两个层面的问题：法律法规的合规，如：知识产权侵犯，符合落地国法律的网络监控行为和数据出口行为；标准的合规性，如：第三方支付卡业务所需要的PCI-DSS；政府、国企所需要的信息安全等级保护等等标准规范文件。监管合规性描述了组织在努力确保他们意识到并采取措施遵守相关法律，政策和法规的过程中希望实现的目标。15个人个人视角角v从个人角度而言，这不仅仅是一个技术问题，还是一个社会问题、法律问题以及道德问题。v隐私保护由于隐私问题在我国法律中没有明确定义，因此隐私侵犯在互联网中比比皆是，常见的问题如：恶意发布他人身份信息、医疗健康信息、注册信息被泄露后被用作电信诈骗等等。v社会工程学社会工程学的实质是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段取得自身利益的手法。16个人个人视角角v个人电子资产安全当互联网不断在发展过程中，越来越多的互联网技术与个人生活息息相关。人们在不同的业务交互中紧密关联互联网，如：互联网社交、互联网支付、互联网政务平台以及智能家居等。v常见问题哪些信息资产被恶意利用后会形成人身的损害？哪些信息资产被恶意利用后会形成财务的损失？哪些信息资产被恶意利用后会形成法律责任？17知知识子域：信息安全概念子域：信息安全概念v信息安全发展阶段了解信息技术发展的变革及信息安全发展阶段；理解通信安全、计算机安全、网络安全、安全保障、网络空间安全等各个阶段的核心安全需求、主要技术措施及阶段的标志等概念；v信息安全国家战略了解国家网络空间面临的机遇与挑战，国家网络空间安全战略提出的目标、原则及任务等；18网网络空空间安全安全网网络安全安全计算机安全算机安全通信安全通信安全信息安全信息安全发展展阶段段19v20世纪，40年代-70年代v主要关注传输过程中的数据保护v安全威胁：搭线窃听、密码学分析v核心思想：通过密码技术解决通信保密，保证数据的保密性和完整性v安全措施：加密通信安通信安全全20影响现代通信安全因素越来越多，针对移动通信的伪基站、对通信链路的破坏、干扰等因素计算机安全算机安全v20世纪，70-90年代v主要关注于数据处理和存储时的数据保护v安全威胁：非法访问、恶意代码、脆弱口令等v核心思想：v预防、检测和减小计算机系统（包括软件和硬件）用户（授权和未授权用户）执行的未授权活动所造成的后果。v安全措施：通过操作系统的访问控制技术来防止非授权用户的访问21网网络安全安全v20世纪，90年代后v主要关注信息系统整体安全v安全威胁：网络入侵、病毒破坏、信息对抗等v核心思想：重点在于保护比“数据”更精炼的“信息”v 安全措施：防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等22把信息系统安全从技术扩展到管理，从静态扩展到动态，通过技术、管理、工程等措施的综合融合至信息化中，形成对信息、信息系统乃至业务使命的保障网网络空空间安全安全v互联网已经将传统的虚拟世界与物理世界相互连接，形成网络空间v新技术领域融合带来新的安全风险工业控制系统“云大移物智”v核心思想：强调“威慑”概念23将防御、威慑和利用结合成三位一体的网络空间安全保障威威胁情情报与与态势感知感知v情报是我们所处世界中的知识和预判，是政策制定者决策和行动的先导v威胁情报在信息安全中的重要性网络威胁轮廓的改变使得组织机构需要应对的威胁类型不断增多技术的发展及改变使得组织机构无法提供用于威胁情报分析的资源、能力和知识技能组织机构必须响应数量巨大的安全漏洞和攻击行为，因此如何有效的找到需要优先应对问题成为关键组织机构必须应对信息技术快速发展使得技术范围和环境不断扩展这一问题24威威胁情情报分析案例分析案例25态势感知感知v概念起源于20 世纪80 年代的美国空军：分析空战环境信息，快速判断当前及未来形势并做出正确反应v建立在威胁情报的基础上v利用大数据和高性能计算为支撑，综合如IDS、IPS、防火墙、防病毒等提供的数据，对相关的形式化及非形式化数据（已知的攻击行为、可能的攻击行为、进行中的攻击行为、漏洞等）进行分析，并形成对未来网络威胁状态进行预判以便调整安全策略，实现“御敌于国门之外”的策略26国家网国家网络空空间安全安全战略略v国家互联网信息办公室2016年12月发布七大机遇六项挑战五个总体目标四项原则九项战略任务27知知识子域：子域：安全保障框架安全保障框架v基于时间的PDR与PPDR模型理解基于时间的PDR模型的核心思想及出发点；理解PPDR模型与PDR模型的本质区别；了解基于时间的判断系统安全性的方式；28基于基于时间的的PDRPDR与与PPDRPPDR模型模型vPDR（Protection-Detection-Response，PDR）模型v思想：承认漏洞，正视威胁，采取适度防护、加强检测工作、落实响应、建立对威胁的防护来保障系统的安全。v出发点：任何安全防护措施都是基于时间的，超过该时间段，这种防护措施是可能被攻破的。v信息系统的攻防时间表。攻击时间防守时间29基于基于时间的的PDRPDR与与PPDRPPDR模型模型30系系统审计、分析、分析 入侵入侵检测 定定时响响应（警告、拒（警告、拒绝服服务）系系统的第的第一道一道防防线防止防止远程程攻攻击文件、数据安全文件、数据安全应用服用服务层安全安全系系统服服务层安全安全系系统内核安全内核安全物理安全物理安全系系统的第的第二道二道防防线防止防止内部内部权限限提升提升系系统备份份安安全全措措施施文件、数据安全文件、数据安全应用服用服务层安全安全系系统服服务层安全安全系系统内核安全内核安全物理安全物理安全漏洞分析漏洞分析 检测 漏洞修漏洞修补protectionReactionDetection攻攻击者者vPPDR模型（Policy-Protection-Detection-Response，PPDR）v核心：所有的防护、检测、响应都是依据安全策略实施。基于基于时间的的PDRPDR与与PPDRPPDR模型模型31基于基于时间的的PDRPDR与与PPDRPPDR模型模型v策略（P）信息系统的安全策略，包括访问控制策略、加密通信策略、身份认证策略、备份恢复策略等。策略体系的建立包括安全策略的制定、评估与执行等；v防护（P）通过部署和采用安全技术来提高网络的防护能力，如访问控制、防火墙、入侵检测、加密技术、身份认证等技术；v检测（D）利用信息安全检测工具，监视、分析、审计网络活动，了解判断网络系统的安全状态。使安全防护从被动防护演进到主动防御，整个模型动态性的体现。主要方法包括：实时监控、检测、报警等；v响应（R）检测到安全漏洞和安全事件时，通过及时的响应措施将网络系统的安全性调整到风险最低的状态，包括恢复系统功能和数据，启动备份系统等。其主要方法包括：关闭服务、跟踪、反击、消除影响等。32基于基于时间的的PDRPDR与与PPDRPPDR模型模型vP2DR模型中的数学法则假设S系统的防护、检测和反应的时间分别是Pt（防护时间、有效防御攻击的时间）Dt（检测时间、发起攻击到检测到的时间）Rt（反应时间、检测到攻击到处理完成时间）假设系统被对手成功攻击后的时间为Et（暴露时间）则该系统防护、检测和反应的时间关系如下：如果PtDtRt，那么S是安全的；如果PtDtRt，那么Et（DtRt）Pt。33基于基于时间的的PDRPDR与与PPDRPPDR模型模型v与PDR模型相比，P2DR模型则更强调控制和对抗，即强调系统安全的动态性v以安全检测、漏洞监测和自适应填充“安全间隙”为循环来提高网络安全。vP2DR模型考虑了管理因素，它强调安全管理的持续性、安全策略的动态性，以实时监视网络活动、发现威胁和弱点来调整和填补网络漏洞。v模型强调检测的重要性，通过经常对网络系统的评估把握系统风险点，及时弱化甚至消除系统的安全漏洞。34知知识子域：信息安全保障框架子域：信息安全保障框架v信息安全保障技术框架理解信息安全保障技术框架（IATF）的深度防御的核心思想、三个核心要素及四个焦点领域；了解保护区域边界的原则和技术实现方式；了解保护计算环境的原则和技术实现方式；了解保护网络基础设施的原则和技术实现方式；了解支撑性基础设施建设的概念及技术实现；35信息保障技信息保障技术框架框架v信息保障技术框架（Information Assurance Technical Framework，IATF），美国国家安全局（NSA）制定的，为保护美国政府和工业界的信息与信息技术设施提供技术指南。v核心思想：“深度防御”三个要素：人、技术、操作四个焦点领域保护网络和基础设施保护区域边界保护计算环境支持性基础设施36技术操作深度防御深度防御战略略人 人人 通通过 技技术 进行行 操作操作计算环境 区域边界网络基础设施支撑性基础设施密钥管理检测响应成功的成功的组织功能功能信息安全保障（信息安全保障（IA）信息保障技信息保障技术框架框架37信息保障信息保障技技术框架框架-核心要素核心要素v人人（PeoplePeople）：信息保障体系的核心，是第一位的要素，同时也是最脆弱的。基于这样的认识，安全管理在安全保障体系中愈显重要，包括：意识培训、组织管理、技术管理、操作管理v技技术（TechnologyTechnology）：技术是实现信息保障的重要手段。动态的技术体系：防护、检测、响应、恢复v操作（操作（OperationOperation）：也叫运行，构成安全保障的主动防御体系。是将各方面技术紧密结合在一起的主动的过程，包括风险评估、安全监控、安全审计跟踪告警、入侵检测、响应恢复38信息保障信息保障技技术框架框架-焦点焦点领域域v本地计算环境它包括服务器、客户以及其上所安装的应用程序。这些应用程序能够提供包括（但不仅限于）调度（或时间管理）、打印、字处理或目录在内的一些服务。39信息保障信息保障技技术框架框架-焦点焦点领域域v区域边界“区域”指是通过局域网相互连接、采用单一安全策略并且不考虑物理位置的本地计算设备的集合。目标：对进出某区域（物理区域或逻辑区域）的数据流进行有效的控制与监视。40信息保障信息保障技技术框架框架-焦点焦点领域域v保护网络基础设施目标：网络和支持它的基础设施必须防止数据非法泄露防止受到拒绝服务的攻击防止受到保护的信息在发送过程中的时延、误传或未发送。方法：骨干网可用性无线网络安全框架系统高度互联和虚拟专用网。41信息保障信息保障技技术框架框架-焦点焦点领域域v支撑性基础设施信息技术环境也包括作为网络、区域和计算环境中信息保障机制支持基础的支持性基础设施。IATF 所讨论的两个范围分别是：密钥管理基础设施（KMI），其中包括公钥基础设施（PKI）；检测与响应基础设施。密钥管理基础设施KMI 提供一种通用的联合处理方式，以便安全地创建、分发和管理公钥证书和传统的对称密钥，使它们能够为网络、区域和计算环境提供安全服务。检测与响应检测与响应基础设施能够迅速检测并响应入侵行为。检测与响应基础设施需要入侵检测与监视软件等技术解决方案以及训练有素的专业人员（通常指计算机应急响应小级（CERT）的支持。42信息保障技信息保障技术框架示例框架示例43知知识子域：信息安全保障框架子域：信息安全保障框架v信息系统安全保障评估框架理解信息系统保障相关概念及信息安全保障的核心目标；了解信息系统保障评估的相关概念和关系；理解信息系统安全保障评估模型主要特点，生命周期、保障要素等概念；44信息系信息系统安全保障安全保障评估框架估框架v信息系统用于采集、处理、存储、传输、分发和部署信息的整个基础设施、组织结构、机构人员和组件的总和。v信息系统安全风险是具体的风险，产生风险的因素主要有信息系统自身存在的漏洞和来自系统外部的威胁。信息系统运行环境存在特定威胁动机的威胁源。v信息系统安全保障在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提出信息安全保障要求，确保信息系统的保密性、完整性和可用性，把安全风险到可接受的程度，从而保障系统能够顺利实现组织机构的使命。45信息系信息系统安全保障安全保障评估框架估框架v信息系统安全保障评估概念和关系46信息系信息系统安全保障安全保障评估框架估框架v信息系统安全保障评估的描述47信息系信息系统安全保障安全保障评估框架估框架v信息系统保护轮廓（ISPP）根据组织机构使命和所处的运行环境，从组织机构的策略和风险的实际情况出发，对具体信息系统安全保障需求和能力进行具体描述。表达一类产品或系统的安全目的和要求。ISPP是从信息系统的所有者（用户）的角度规范化、结构化的描述信息系统安全保障需求。v信息系统安全目标（ISST）根据信息系统保护轮廓（ISPP）编制的信息系统安全保障方案。某一特定产品或系统的安全需求。ISST从信息系统安全保障的建设方（厂商）的角度制定的信息系统安全保障方案。48信息系信息系统安全保障安全保障评估框架估框架v信息系统安全保障评估模型将风险和策略作为信息系统安全保障的基础和核心；强调信息系统安全保障持续发展的动态安全模型信息系统安全保障应贯穿于整个信息系统生命周期的全过程；强调综合保障的观念。通过综合技术、管理、工程和人员的安全保障要求来实施和实现信息系统的安全保障目标，通过评估提供对信息系统安全保障的信心；以风险和策略为基础，在整个信息系统的生命周期中实施技术、管理、工程和人员保障要素，从而使信息系统安全保障实现信息安全的安全特征；达到保障组织机构执行其使命的根本目的。49信息系信息系统安全保障安全保障评估框架估框架v基于信息系统生命周期的信息安全保障信息系统的生命周期层面和保障要素层面不是相互孤立的，而是相互关联、密不可分的。在信息系统生命周期中的任何时间点上，都需要综合信息系统安全保障的技术、管理、工程和人员保障要素。50信息系信息系统安全保障安全保障评估框架估框架v计划组织阶段v开发采购阶段v实施交付阶段v运行维护阶段v废弃阶段51信息系信息系统安全保障安全保障评估框架估框架v信息安全保障要素-信息安全基础密码技术访问控制技术审计和监控技术网络安全技术操作系统技术数据库安全技术安全漏洞与恶意代码软件安全开发v信息安全保障要素-信息安全管理信息安全管理体系风险管理52信息系信息系统安全保障安全保障评估框架估框架v信息安全保障要素-信息安全工程信息安全工程涉及系统和应用的开发、集成、操作、管理、维护和进化以及产品的开发、交付和升级。v信息安全保障要素-信息安全人才保障信息安全保障诸要素中，人是最关键、也是最活跃的要素。网络攻防对抗，最终较量的是攻防两端的人，而不是设备。53信息系信息系统安全保障安全保障评估框架估框架v信息安全保障解决方案以风险评估和法规要求得出的安全需求为依据考虑系统的业务功能和价值考虑系统风险哪些是必须处置的，哪些是可接受的贴合实际具有可实施性可接受的成本合理的进度技术可实现性组织管理和文化的可接受性54知知识子域：安全保障框架子域：安全保障框架v舍伍德的商舍伍德的商业应用安全架构用安全架构了解企业安全架构的概念；了解舍伍德的商业应用安全架构模型构成；了解舍伍德的商业应用安全架构生命周期。55企企业安全架构安全架构v什么是企业安全架构企业架构的一个子集，它定义了信息安全战略，包括各层级的解决方案、流程和规程，以及它们与整个企业的战略、战术和运营链接的方式。开发企业安全架构的主要原因是确保安全工作以一个标准化的和节省成本的方式与业务实践相结合。v常见企业安全架构舍伍德的商业应用安全架构（Sherwood Applied Business Security Architecture，SABSA）Zachman框架开放群组架构框架（The Open Group Architecture Framework，TOGAF）56舍伍德的商舍伍德的商业应用安全架构用安全架构vSABSA（Sherwood Applied Business Security Architecture）用于开发风险驱动型企业的信息安全和信息安全保障体系结构。它是一个开放的标准，包括框架、模型、方法和流程，免费为所有最终用户制定和实施标准所需的任何许可的组织架构和解决方案。57资产（什么）（什么）动机（机（为什么）什么）过程（如何）程（如何）人（人（谁）地点（何地）地点（何地）时间（何（何时）背景背景层 业务业务风险模型业务过程模型业务组织和关系 业务地理布局业务时间依赖性概念概念层业务属性配置文件控制目标安全战略和架构分层安全实体模型和信任框架安全域模型安全有效期和截止时间逻辑层 业务信息模型安全策略安全服务实体概要和特权配置文件安全域定义和关系安全过程循环物理物理层 业务数据模型安全规则、实践和规程安全机制用户、应用程序和用户接口平台和网络基础设施控制结构执行组件件层 数据结构细节安全标准安全产品和工具标识、功能、行为和访问控制列表（ACL）过程、节点、地址和协议安全步骤计时和顺序运运营层业务连续性保障运营风险管理安全服务管理和支持应用程序和用户管理与支持站点、网络和平台的安全安全运营日程表SABSASABSA模型概述模型概述v主要特点一切都从业务需求的分析出发，比如说安全和风险管理，尤其是保证安全特性可以促进更多的商业机会v风险管理重点主要是达到商业机会和安全威胁之间的平衡。v分层模型在第一层从安全的角度定义了业务需求。模型的每一层在抽象方面逐层减少，细节逐层增加，它的层级都是建在其他层之上的，从策略逐渐到技术和解决方案的实施实践思路上创新提出了一个包括战略、概念、设计、实施、度量和审计层次的安全链条。58业务视图安全机构背景安全机构背景架构架构视图概念性的安全架构设计视图逻辑安全体系结构建建设试图物理安全体系结构实施者施者视图组件的安全架构服服务管理管理视图安全服务管理架构SABSASABSA模型架构模型架构v背景层（业务视图）业务视图说明所有架构必须满足业务要求。了解该系统的业务需求驱动，选择合适的架构。业务视图被称为背景环境的安全架构。这是安全系统必须设计、建造和经营的业务范围内的描述。v概念层（架构视图）架构是整体的概念，可满足企业的业务需求。也被称为概念性的安全架构。定义在较低层次的抽象逻辑和物理元素的选择和组织上，确定指导原则和基本概念。v逻辑层（设计视图）设计是架构的具体反映，设计过程通常被称为系统工程，涉及整个系统的架构元素的识别和规范。逻辑的安全架构应该反映和代表所有概念性的安全架构中的主要安全战略。59SABSASABSA模型架构模型架构v物理层（建设视图）设计是产生一套描述了系统的逻辑抽象，这些都需要形成一个物理的安全体系结构模型，该模型应描述实际的技术模式和指定的各种系统组件的详细设计。如需要描述提供服务的服务器的物理安全机制和逻辑安全服务等。v组件层（实施者视图）这层的模型也被称为组件安全架构。v运营层（服务和管理视图）当建设完成后，需要进行运维管理。保持各项服务的正常运作，保持良好的工作秩序和监测，以及按要求执行。也被称为服务管理安全架构。关注的焦点是安全性相关的部分。60SABSASABSA的的生命周期生命周期61战略与规划设计实施管理与测量知知识子域：信息安全保障工作内容与方法子域：信息安全保障工作内容与方法v信息安全保障工作内容理解标准化的作用和价值；了解信息安全应急处置工作在信息安全保障中的重要性；了解实施信息安全等级保护的重要性及等级保护的作用；理解信息安全风险评估在信息安全保障中的重要性和作用；了解灾难备份工作在信息安全保障中的重要性和作用；理解人才在信息安全保障工作的重要性；6263v意义政府进行宏观管理的重要依据，同时也是保护国家利益、促进产业发展的重要手段之一解决信息安全产品和系统在设计、研发、生产、建设、使用、测评中的一致性、可靠性、可控性、先进性和符合性的技术规范与依据v实践历程2002年4月，全国信息安全标准化技术委员会（简称“信安标委”，委员会编号为TC260）正式成立形成我国信息安全标准体系框架，并以该标准体系框架作为指导我国配套标准的研究制定工作信息安全信息安全标准化准化63信息信息安全安全应急急处理与信息通理与信息通报 v意义有利于提高基础信息网络与重要信息系统的信息安全防范、保障能力助于加强国家网络与信息安全应急处置工作v实践历程我国的应急响应机构包括CNCERT/CC、中国教育和科研计算机网紧急响应组（CCERT）、国家计算机病毒应急处理中心、国家计算机网络入侵防范中心、国家863计划反计算机入侵和防病毒研究中心根据“谁主管、谁负责；谁经营，谁负责”的原则，采用分类、分级的处理方式，规范网络与信息安全的预警和通报工作64信息信息安全等安全等级保保护 v意义保障信息安全与信息化建设相协调重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全v实践历程制定准则、规范和标准强化制度基础调研组织试点快速推进65信息信息安全安全风险评估估v意义信息安全建设的起点和基础信息安全建设和管理的科学方法倡导适度安全v实践历程2003年，国信办成立课题组，启动了信息安全风险评估工作2005年，国务院信息办组织开展了国家基础信息网络和重要信息系统信息安全风险评估试点工作2006年起，每年都组织风险评估专控队伍对全国基础信息网络和重要信息系统进行检查66灾灾难恢复恢复v意义保持业务连续运作的需要，长期可持续发展的要求对现有信息系统安全保护的延伸，是信息安全综合保障的最后一道防线v实践历程2000年的“千年虫”事件和2001年的“911”事件引发了国内对信息系统灾难的关注2004年9月，国信办印发了关于做好重要信息系统灾难备份工作的通知（信安通200411号）67人才人才队伍建伍建设v意义人是最核心、最活跃的因素，信息安全保障工作最终也是通过人来落实的v实践历程1999年，高校设立信息安全本科专业信息安全专业教育已经形成了从专科、本科、硕士、博士到博士后的正规高等教育人才培养体系信息安全专业人才缺口较大68知知识子域：信息安全保障工作内容和方法子域：信息安全保障工作内容和方法v信息安全保障工作方法了解确定信息安全保障需求的作用、方法和原则；了解信息安全方案的作用、主要内容和主要原则；了解信息安全方案实施的主要原则；了解信息安全测评的概念及信息技术产品、信息系统安全、服务商资质、信息安全专业人员资质测评方法；了解信息系统安全监测与维护的意义；69信息安全需求信息安全需求v信息安全需求是安全方案设计和安全措施实施的依据v准确地提取安全需求一方面可以保证安全措施可以全面覆盖信息系统面临的风险，是安全防护能力达到业务目标和法规政策的要求的基础，另一方面可以提高安全措施的针对性，避免不必要的安全投入，防止浪费70风险评估估法法规符合性符合性业务需求需求信息系信息系统安全保障需求描述安全保障需求描述标准化的安全保障需求文档准化的安全保障需求文档-ISPP-ISPPv信息系统安全保障的具体需求由信息系统保护轮廓(ISPP)确定信息系统保护轮廓（ISPP）是根据组织机构使命和所处的运行环境，从组织机构的策略和风险的实际情况出发，对具体信息系统安全保障需求和能力进行具体描述。表达一类产品或系统的安全目的和要求。ISPP是从信息系统的所有者（用户）的角度规范化、结构化的描述信息系统安全保障需求。71规范化保障需求范化保障需求vISPP引言v信息系统描述v信息系统安全环境v安全保障目的v安全保障要求vISPP应用注解v符合性声明72规范化、结构化信息系统安全保障具体需求信息安全保障解决方案制定的原信息安全保障解决方案制定的原则v以风险评估和法规要求得出的安全需求为依据考虑系统的业务功能和价值考虑系统风险哪些是必须处置的，哪些是可接受的v贴合实际具有可实施性可接受的成本合理的进度技术可实现性组织管理和文化的可接受性73规范化、范化、结构化信息系构化信息系统安全保障安全保障方案方案v信息系统安全目标（ISST）是根据信息系统保护轮廓（ISPP）编制的信息系统安全保障方案，从信息系统安全保障的建设方（厂商）的角度制定信息系统描述信息系统安全环境安全保障目的安全保障要求信息系统概要规范ISPP声明符合性声明74信息信息安全安全测评v信息安全测评依据相关标准，从安全技术、功能、机制等角度对信息技术产品、信息系统、服务提供商以及人员进行测试和评估v测评对象信息产品安全测评信息系统安全测评服务商资质测评信息安全人员资质测评75系系统安全安全监控控维护的意的意义v风险是动态变化的，信息系统安全保障需要覆盖信息系统的整个生命周期，形成持续改进的信息系统安全保障能力（技术/管理/工程能力）76持持续的的风险评估是估是信息安全保障的一信息安全保障的一项基基础性工作性工作持持续的的风险评估估为新新的安全决策和需求提供的安全决策和需求提供重要依据重要依据风险评风险评估估估估知知识子域：信息安全子域：信息安全风险管理管理v风险管理概念理解风险管理的概念、目的和意义；了解风险管理中威胁、脆弱性、防护措施、资产、影响、风险等风险管理要素及相互关系；了解在风险管理中相关的角色及职责；了解风险管理与其他信息安全保障工作的关系；v风险管理常用模型了解COSO、ITIL、Cobit、ISMS等风险管理中常使用的模型构成及适用范围;77信息安全信息安全风险管理管理v基本概念风险不确定性对目标的影响（ISO 31000）事态的概率及其结果的组合（GB/T 22081）风险管理：风险管理是风险的识别、评估和优化，然后协调和经济地应用资源以最小化监测和控制不良事件的可能性及影响，最大限度地实现业务。v风险管理的价值是管理信息安全风险的过程，是所有信息系统安全保障工作的总称基于风险的思想是所有信息系统安全保障工作的核心思想78风险管理各要素及相互关系管理各要素及相互关系79风险管理常用模型管理常用模型-COSO-COSO框架框架v四个类别战略运作报告合规性v八个框架组件内部控制内部环境目标设定事件识别80风险管理常用模型管理常用模型-ITIL-ITILv五个生命周期服务战略服务设计服务转换服务运营服务改进81风险管理常用模型管理常用模型-COBIT-COBIT82知知识子域：信息安全子域：信息安全风险管理管理v信息安全风险管理过程理解风险管理背景建立、风险评估、风险处理、批准监督四个基本步骤及贯穿是个基本步骤的监控审查和沟通咨询的工作内容83信息安全信息安全风险管理工作内容管理工作内容背景背景背景背景建立建立建立建立风险评风险评估估估估风险处风险处理理理理批准批准批准批准监监督督督督监控控审查沟沟通通咨咨询vGB/Z 24364信息安全风险管理指南：四个阶段，两个贯穿 84背景建立背景建立v背景建立是信息安全风险管理的第一步骤，确定风险管理的对象和范围，确立实施风险管理的准备，进行相关信息的调查和分析风险管理准备：确定对象、组建团队、制定计划、获得支持信息系统调查：信息系统的业务目标、技术和管理上的特点信息系统分析：信息系统的体系结构、关键要素信息安全分析：分析安全要求、分析安全环境85风险评估估v信息安全风险管理要依靠风险评估的结果来确定随后的风险处理和批准监督活动风险评估准备：制定风险评估方案、选择评估方法风险要素识别：发现系统存在的威胁、脆弱性和控制措施风险分析：判断风险发生的可能性和影响的程度风险结果判定：综合分析结果判定风险等级86风险处理理v风险处理是为了将风险始终控制在可接受的范围内。现存风险判断：判断信息系统中哪些风险可以接受，哪些不可以处理目标确认：不可接受的风险需要控制到怎样的程度处理措施选择：选择风险处理方式，确定风险控制措施处理措施实施：制定具体安全方案，部署控制措施87批准批准监督督v批准：是指机构的决策层依据风险评估和风险处理的结果是否满足信息系统的安全要求，做出是否认可风险管理活动的决定v监督：是指检查机构及其信息系统以及信息安全相关的环境有无变化，监督变化因素是否有可能引入新风险88监控控审查v监控与审查可以及时发现已经出现或即将出现的变化、偏差和延误等问题，并采取适当的措施进行控制和纠正，从而减少因此造成的损失，保证信息安全风险管理主循环的有效性89类似信息系统工程中的监理沟通咨沟通咨询v通过畅通的交流和充分的沟通，保持行动的协调和一致；通过有效的培训和方便的咨询，保证行动者具有足够的知识和技能，就是沟通咨询的意义所在90沟通咨沟通咨询 与领导沟通，以得到理解和批准单位内部各有关部位内部各有关部门相互相互沟通，以得到理解和协作 与支持支持单位和系位和系统用用户沟通，以得到了解和支持 为所有层面的相关人员提供咨询和培训等，以提高人员的安全意识、知识和技能总结v信息安全概念v信息安全保障框架PPDR、IATF、信息系统安全保障评估框架、舍伍德的商业应用安全架构v信息安全保障工作v信息安全风险管理风险管理的概念、要素风险管理工作过程91谢谢，请提提问题！谢谢观看！