电子商务安全管理秦成德第9章--信息系统安全评估新.ppt

《电子商务安全管理秦成德第9章--信息系统安全评估新.ppt》由会员分享，可在线阅读，更多相关《电子商务安全管理秦成德第9章--信息系统安全评估新.ppt（55页珍藏版）》请在三一文库上搜索。

1、第9章 信息系统安全评估 9.1信息系统安全标准 9.2信息系统安全评估标准 9.3国际与国内信息系统安全测评认证 2019/5/221 9.1信息系统安全标准 9.1.1信息系统安全标准简介 9.1.2我国的信息系统安全标准 2019/5/222 9.1.1信息系统安全标准简介 信息系统安全标准是构建国家信息安全保护体系必须具备的 技术、管理规范。国家要尽快建立自主完善的标准体系，同 时要加强标准的普及使用。特别是要在主机等主要设备的操 作系统和数据库安全技术、安全服务器技术和产品研发等方 面实现迅速突破，为国家基础信息系统及重要信息系统提供 第二级以上信息安全等级保护产品。 信息系统安全的

2、标准化是一项艰巨、长期的基础性工作。在 我国，有关主管部门十分关注信息安全标准化工作，在1984 年7月组建了数据加密技术委员会，并于1997年8月改组成全 国信息技术标准化委员会的信息安全技术分委员会，负责制 定信息安全的国家标准，本着积极采用国际标准的原则，转 化了一批国际信息安全基础技术标准。另外，公安部、安全 部、国家保密局、国家密码管理委员会等相继制定、颁布了 一批信息安全的行业标准，为推动信息安全技术在各行业的 应用和普及发挥了积极的作用。 2019/5/223 9.1.2 我国的信息系统安全标准 截至2002年初，我国正式颁布信息安全相关国家标准已达40 多项，规定了信息安全的不

3、同技术要求。下面分类列表说明 。 1.安全技术及安全机制相关国家标准（表9-1） 表9-1 安全技术及安全机制相关国家标准 2019/5/224 9.1.2 我国的信息系统安全标准 2.物理安全相关国家标准（表9-2） 表9-2 物理安全相关国家标准 2019/5/225 9.1.2 我国的信息系统安全标准 3.信息安全评估相关国家标准（表9-3） 表9-3 信息安全评估相关国家标准 2019/5/226 9.2 信息系统安全评估标准 9.2.1安全评估标准及其发展 9.2.2信息系统安全评估标准 9.2.3信息系统安全评估标准所面临的问题及改进建议 2019/5/227 9.2.1安全评估标

4、准及其发展 1.安全评估标准的概念 信息系统安全评估是指评估机构依据信息系统安全评估标准 （或准则），采用一定的方法（方案）对信息安全产品或系 统安全性进行评价。它包括对系统安全的技术和非技术环节 进行测试，检查、审核等，是系统进行认证与认可的前期工 作。与自评估相对，它是一种非常全面、深入、细致的评估 。信息系统安全评估标准是信息系统安全评估的行动指南。 2019/5/228 9.2.1安全评估标准及其发展 2.安全评估标准的发展 在国际上，针对信息系统安全的等级防护和评估，先后制定 了多个标准，其发展过程和关系见下图（图9-1）。但是，由 于标准众多，对于标准的争论从未停息过。 2019/

5、5/229 9.2.2 信息系统安全评估标准 1.侧重于对系统和产品的技术指标方面的标准 美国国防部于1985年公布可信的计算机系统安全评估标准 （TCSEC，从橘皮书到彩虹系列），是计算机系统信息安全评 估的第一个正式标准。它把计算机系统的安全分为4类、7个 级别，对用户登录、授权管理、访问控制、审计跟踪、隐蔽 通道分析、可信通道建立、安全检测、生命周期保障、文档 写作、用户指南等内容提出了规范性要求。 法、英、荷、德欧洲四国90年代初联合发布信息技术安全 评估标准（ITSEC，欧洲百皮书），它提出了信息安全的机密 性、完整性、可用性的安全属性。ITSEC把可信计算机的概念 提高到可信信息技

6、术的高度上来认识，对国际信息安全的研 究、实施产生了深刻的影响。 2019/5/2210 9.2.2 信息系统安全评估标准 2.偏重于安全管理方面的标准 1995年，英国贸工部根据英国国内企业对信息安全日益高涨 的呼声，组织大企业的信息安全经理们，制定了世界上第一 个信息安全管理体系标准BS7799-1：1995信息安全管理实 施规则，作为工商业和大、中、小型组织实施信息安全管 理的指南。 1998年，为了适应第三方认证的需要，英国又制定了第一个 信息安全管理体系认证标准- BS7799-2：1998信息安全管 理体系规范，作为对一个组织的全面或部分信息安全管理 体系进行评审认证的依据标准。

7、2019/5/2211 9.2.2 信息系统安全评估标准 信息系统安全管理标准发展过程如图9-2所示。 2019/5/2212 9.2.2 信息系统安全评估标准 3.我国目前的信息系统安全评估标准 我国2001年由中国信息安全产品测评认证中心牵头，将 ISO/IEC 15408转化为国家标准GB/T 18336-2001信息技 术安全性评估准则，并直接应用于我国的信息安全测评认 证工作。其中，基础性等级划分标准-GB178591999计算 机信息系统安全保护等级划分准则是其他标准的基础，是 信息系统安全等级保护实施指南，为等级保护的实施提供指 导。 标准体系的基本思想概括为（如图9-3）：以信

8、息安全的五个 属性为基本内容，从实现信息安全的五个层面，按照信息安 全五个等级的不同要求，分别对安全信息系统的构建过程、 测评过程和运行过程等三个过程进行控制和管理，实现对不 同信息类别按不同要求进行分等级安全保护的总体目标。 2019/5/2213 9.2.2 信息系统安全评估标准 五个属性是指: 机密性、完整性和可用性、可控性、责任可追 查性。 五个层面是指：物理层面、网络层面、系统层面、应用层面 、管理层面。 五个等级是指：用户自主保护级、系统审计保护级、安全标 记保护级、结构化保护级、访问验证保护级。以第一级为基 础，逐级增强保护能力。安全保护能力方面，第一级为基础 级，安全保护能力从

9、第一级到第五级访问验证保护级，逐级 增强。在安全登记保护标准方面，安全保护范围从第一级到 第五级逐渐缩小，级别越高，保护强度越高，保护的范围越 小，级别越低，保护的强度越低，保护范围越大。 2019/5/2214 9.2.2 信息系统安全评估标准 五个属性是指: 机密性、完整性和可用性、可控性、责任可追 查性。 五个层面是指：物理层面、网络层面、系统层面、应用层面 、管理层面。 五个等级是指：用户自主保护级、系统审计保护级、安全标 记保护级、结构化保护级、访问验证保护级。以第一级为基 础，逐级增强保护能力。安全保护能力方面，第一级为基础 级，安全保护能力从第一级到第五级访问验证保护级，逐级 增

10、强。在安全登记保护标准方面，安全保护范围从第一级到 第五级逐渐缩小，级别越高，保护强度越高，保护的范围越 小，级别越低，保护的强度越低，保护范围越大。 2019/5/2215 9.2.2 信息系统安全评估标准 三个过程控制是指：构建过程控制、测评过程控制、执行过 程控制。 2019/5/2216 9.2.3 信息系统安全评估标准比较分析 1.侧重于对系统和产品的技术指标方面的标准TCSEC、ITSEC、 CPCPEC、CC、ISO15408之间的比较 从图9-1中可以看出，信息评估标准是经历了TCSEC、ITSEC 、CPCPEC、CC、ISO15408五个发展阶段，最初的TCSEC是针对 孤

11、立计算机系统提出的，该标准适用于军队，开始时应用在 OS的评估上，TCSEC与ITSEC均是不涉及开放系统的安全标准 ，仅针对产品的安全保证要求来划分等级并进行评测，并均 为静态模型，仅能反应静态安全状况，CPCPEC虽在两者的基 础上有一定的发展，但也未能突破上述的局限性，FC对TCSEC 做了补充和修改，但因其自身的缺陷一直没有正式投入使用 。CC与早期的评估标准相比，其优势体现在其结构的开放性 、表达方式的通用性以及结构和表达方式的内在完备性和实 用性等方面。总体来说，各标准适用范围略有不同，各有优 劣。这里将对目前主要使用的标准：TCSEC、ITSEC、CC、 ISO15408等进行简

12、要介绍和比较。如表9-7和表9-8所示。 2019/5/2217 9.2.3 信息系统安全评估标准比较分析 1.侧重于对系统和产品的技术指标方面的标准TCSEC、ITSEC、 CPCPEC、CC、ISO15408之间的比较 从图9-1中可以看出，信息评估标准是经历了TCSEC、ITSEC 、CPCPEC、CC、ISO15408五个发展阶段，最初的TCSEC是针对 孤立计算机系统提出的，该标准适用于军队，开始时应用在 OS的评估上，TCSEC与ITSEC均是不涉及开放系统的安全标准 ，仅针对产品的安全保证要求来划分等级并进行评测，并均 为静态模型，仅能反应静态安全状况，CPCPEC虽在两者的基

13、础上有一定的发展，但也未能突破上述的局限性，FC对TCSEC 做了补充和修改，但因其自身的缺陷一直没有正式投入使用 。CC与早期的评估标准相比，其优势体现在其结构的开放性 、表达方式的通用性以及结构和表达方式的内在完备性和实 用性等方面。总体来说，各标准适用范围略有不同，各有优 劣。这里将对目前主要使用的标准：TCSEC、ITSEC、CC、 ISO15408等进行简要介绍和比较。 2019/5/2218 9.2.3 信息系统安全评估标准比较分析 2.CC标准与BS 7799的异同点 CC（即GB/T 18336:2001 idt ISO/IEC 15408:1999 ）和BS 7799标 准的

14、共同点表现在以下四个方面： （1）两个标准所涉及的范围从大的角度来说都是信息安全领 域； （2）两个标准对信息安全的定义相同，都是指对信息保密性 、完整性和可用性的保护； （3）两个标准对信息安全风险的定义基本相同，都是从资产 、威胁、薄弱点和影响来考察风险； （4）两个标准都针对不同的风险提出了相应的控制目标和控 制措施。 2019/5/2219 9.2.4 信息系统安全评估标准所面临的问题及改进建议 1.建立多边安全的安全功能 安全评估标准从一开始就偏重于仅对系统拥有者和操作者 的保护，用户的安全，特别是通信系统用户的安全则没有被 考虑，因此提供双边或多边安全的各种技术，就不能用当前 标准

15、来正确的描述。 2.增强标准的可操作性 目前的信息安全评估标准只是制定了一个框架，明确了标 准的主体，但是可操作性不强，具体的步骤需要大量文档进 行补充，而且评估结果最终是一个客观参考性的结构，对企 业的实际指导意义不强。 2019/5/2220 9.2.4 信息系统安全评估标准所面临的问题及改进建议 3.加强国内信息系统安全评估标准的研究 从沟通交流的角度说，最好全世界只有一个标准，从国家 安全的角度说，最好所有的标准都和国外的不同，就像中国 和俄罗斯之间的铁路一样，轨距是不同的。标准意味着开放 ，互通，弱点公开，如果你自豪的宣称你的系统达到了CC EAL4安全级别，那就意味着你同时也具有E

16、AL4级缺陷，采用 EAL5分析方法就可以解决。 2019/5/2221 9.3 国际与国内信息系统安全测评认证 9.3.1测评认证的概念 9.3.2测评认证的标准与规范 9.3.3测评认证的方法与流程 2019/5/2222 9.3 国际与国内信息系统安全测评认证 信息系统安全测评认证制度是维护国家安全、加强信息安全 保障体系建设的重要手段。早期的信息系统安全标准主要是 在产品和组件级上提出安全要求，各国的信息系统安全测评 认证工作也曾一度围绕产品而展开。随着人们对信息系统安 全的认识的深化，以及信息系统安全保障体系建设的开展和 政府对信息安全宏观管理的需要，系统级上的测评认证工作 已经在很

17、多国家得到重视，与之相关的研究也在大力开展。 但信息系统安全的评估、认证与认可是个复杂的问题。其复 杂性不但有来源于信息系统安全本身，更来源于评估中涉及 的角色、责任、流程以及行政管理问题。本节将简要介绍国 内外信息系统安全测评认证情况，探讨信息系统安全测评认 证的方法、流程和标准。 2019/5/2223 9.3.1 测评认证的概念 1.什么是测评认证？ 测评认证是现代质量认证制度的重要内容，其实质是由一个 中立的权威机构，通过科学、规范、公正的测试和评估向消 费者、购买者（即需方）证实生产者或供方所提供的产品和 服务，符合公开、客观和先进的标准。 具体言之，测评认证的对象是产品或过程、服务

18、；它的依据 是国家标准、行业标准或认证机构确认的技术规范；它的方 法是对产品进行抽样测试检验和对供方的质量保证能力即质 量体系进行检查评审，以及事后定期监督；它的性质是由具 有检验技术能力和政府授权认证资格的权威机构，按照严格 程序进行的科学公正的评价活动；它的表示方式是颁发认证 证书和认证标志。 2019/5/2224 9.3.1 测评认证的概念 2.安全性认证的概念 安全性认证是指，随着信息产品、信息安全产品和信息系统 的增多，面对越来越多的向社会提供专门的信息安全服务， 包括安全技术开发、产品经营和系统集成的公司、企业，如 何让消费者、管理者乃至国家确信它们是“安全的”，这就需 要一个高

19、度专业化、具有专门技术手段和能力的权威机构， 通过科学公正和有效手段对它们作安全性测评认证。因此， 信息安全性认证成为信息化时代国家测评认证工作的新领域 。 2019/5/2225 9.3.1 测评认证的概念 3. 测评认证的产生 国际上信息大国每年用于信息安全领域的预算开支都在10亿 美元以上。中国的信息安全产业近10年以惊人的速度发展起 来。2000年底与信息安全相关的注册公司达1300多家，随着 中国信息化水平的全面提高，将拥有世界最大的信息安全市 场。 2019/5/2226 9.3.1 测评认证的概念 4.测评认证的重要性 就我国而言，如何吸取国外测评认证的先进经验，采用国外 信息安

20、全管理的通行办法，建立起我国的信息安全测评认证 制度和实施体系，就成为我国信息化发展的当务之急。信息 安全测评认证体系的建立和运行，对我国国家信息化的各个 方面都具有十分现实的意义。首先，对我国按国际惯例建立 和实施有关信息产品、信息安全产品的市场准入制度、技术 管理和信息系统运行控制制度等方面的决策，提供科学公正 的技术依据。其次，对各方用户采购信息安全产品，设计、 建设、使用和管理安全的信息系统提供权威公正的专业指导 ；第三，对信息安全产品的研究、开发、生产企业和提供其 他信息安全服务的企业，进行严格规范与科学引导，提高其 市场竞争能力和技术进步水平。 2019/5/2227 9.3.2

21、测评认证的标准与规范 1.标准的作用 标准是技术性法规，作为一种依据和尺度，没有标准就没有 测评认证。在信息安全这一特殊高技术领域，没有标准，国 家有关的立法、执法就会因缺乏相应的技术尺度而失之偏颇 ，最终会给国家信息安全的管理带来严重后果。比如，对信 息安全产品的生产、销售管理，对产品的市场准入管理，对 信息安全产品采购政策的制订，对社会各类信息系统（网络 ）的安全管理，对电子网络违法犯罪行为的司法管理等等， 无一不依据相应标准。 2019/5/2228 9.3.2 测评认证的标准与规范 2.国内外测评认证标准 在信息安全标准的体系性、详尽性和先进性各方面都走在前 面的是美国。美国国家安全局

22、、美国国家标准技术局、美国 联邦政府、美国国防部、美国商务部等，都不断推出自己的 适用标准。这些标准，基本上左右了全球信息安全技术的走 向。 但是，由于信息安全产品和系统的安全性评价，事关国家主 权和安全利益，通常，任何国家不会轻易相信由别的国家所 作的评价结果，为保险起见，总要通过自己的测试才认为可 靠。因此没有一个国家会把事关国家安全利益的信息安全产 品和系统的安全可信性建立在别人的评价基础上。而是在充 分借鉴国际标准的前提下，制订自己的测评认证标准。以美 国诞生TCSEC为契机，世界其他先进国家也开始制定本国的信 息技术安全评估标准。 2019/5/2229 9.3.2 测评认证的标准与

23、规范 3测评认证工作体系 （1）体系 信息安全测评认证体系，由三个层次的组织和功能构成，第 一层次是国家信息安全测评认证管理委员会。这个管理委员 会是一个跨部门的机构。代表国家有关信息产业和信息安全 主管部门以及信息安全产品的供方、需方，对中国国家信息 安全测评认证中心运作的独立性、测评认证活动的公正性、 科学性和规范性进行监督管理。其主要职责是：制订、修订 有关认证实施的方针、政策性文件；审批中国国家信息安全 测评认证中心工作规划；审查拟开展认证产品目录并报经国 务院产品质量监督行政主管部门批准实施；审批因现行标准 不能满足认证需要时由认证中心设定的有关技术规范和补充 技术要求；审批测评认证

24、中心的外部检验机构和审核机构以 及批准认证证书的撤消，受理有关投诉、申诉等。 2019/5/2230 9.3.2 测评认证的标准与规范 （2）中国国家信息安全测评认证中心 1997年初，经国务院信息化工作领导小组批准，国务院信息 化工作领导小组办公室立项筹建“中国互联网络安全产品测评 认证中心”。1998年7月，中心建成并通过国家验收。邹家华 副总经理专门发来贺信。1998年10月，经国家质量技术监督 局授权，成立“中国国家信息安全测评认证中心”。再经过4个 月的评审、整改和复查，通过“中国产品质量认证机构国家认 可委员会”和“中国实验室国家认可委员会”的认可。1999年2 月，国家质量技术监

25、督局批准了中国国家信息安全测评认证 管理委员会的组成及其章程，批准了信息产品安全测评认证 管理办法、首批认证目录和国家信息安全认证标志。自此， 中国国家信息安全测评认证中心可正式对外开展信息安全测 评认证工作。 2019/5/2231 9.3.3测评认证的方法与流程 1.美国的测评认证过程 为了对联邦政府行政部门中的资讯技术(Information Technology，简称IT)系统进行验证和认证(Certification and Accreditation，简称C&A)，美国国家标准与技术研究院 (National Institute of Standards and Technolog

26、y，简称NIST)于 1983年9月制定并颁布了第102号联邦资讯处理标准(Federal Information Process Standard，简称FIPS 102)。FIPS 102中指出 ：信息系统的安全测评认证应经过6个基本阶段：计划、数据 收集、基本评估、详细评估、认证报告和认可。 2019/5/2232 9.3.3测评认证的方法与流程 2.我国的测评认证过程 （1）五个步骤 第一步：方案评审。 第二步：技术文档审查。 第三步：现场管理核查。包括：安全管理核查；关键商业应 用程序核查；信息处理核查；通讯网络核查；系统开发规范 核查。 第四步：安全测试与评估。 第五步：发布认证。

27、（2）依据的标准 依据的测评标准主要有：ISO 17799；ISO 13335；ISO 15408； 信息系统通用评估准则（内部试用)；NIST SP 800-42等。 2019/5/2233 在线教务辅导网：http:/ 更多课程配套课件资源请访问在线教务辅导网 2019/5/2234 Date35 Date36 Date37 Date38 Date39 馋死 Date40 Date41 Date42 Date43 Date44 Date45 Date46 Date47 Date48 Date49 Date50 Date51 Date52 PPT研究院 POWERPOINT ACADEMY Date53 Date54 Date55