第八章信息安全管理.ppt

《第八章信息安全管理.ppt》由会员分享，可在线阅读，更多相关《第八章信息安全管理.ppt（32页珍藏版）》请在三一文库上搜索。

1、第八章 信息安全管理,第八章 信息安全管理,8.1 组织基础架构 8.2 管理要素和管理模型 8.3 身份管理 8.4 人员和物理环境安全,8.1 组织基础架构,信息系统生命期安全管理问题 安全管理贯穿于信息系统生命周期的各个阶段： 开发（Development）：包括需求分析、系统设计、组织设计和集成。 制造（Manufacturing）：包括试制和批量生产。 验证（Verification）：包括对设计的论证、试验、审查和分析（包括仿真），非正式的演示，全面的开发测试和评估，以及产品的验收测试。 部署（Deployment）：包括对系统及其组件的配备、分布和放置。 运行（Operation

2、）：包括对系统及其组件的操作以及系统的运转。 支持和培训（Support and Training）：包括对系统及其组件的维护，对操作、使用等的了解和指导。 处置（Disposal）：包括报废处理等。,8.1 组织基础架构,信息系统生命期安全管理问题 安全管理在信息系统整个生命期的各个阶段中的实施内容包括： 制定策略：利用安全服务为组织提供管理、保护和分配信息系统资源的准则和指令。 资产分类保护：帮助组织识别资产类别并采取措施进行适当的保护。 人事管理：减少人为错误、盗窃、欺诈或设施误用所产生的风险。 物理和环境安全：防止非授权的访问、损坏和干扰通信媒体和机房（及其附属建筑设施）以及信息泄露。

3、 通信与运营管理：确保信息处理设施的正确和安全运营。 访问控制：按照策略控制对信息资源的访问。 系统开发和维护：确保将安全服务功能构建到信息系统中。 业务连续性管理：制止中断业务的活动以及保护关键的业务过程不受大的故障或灾害影响，并具有灾难备份和快速恢复的能力。 遵从：保持与信息安全有关的法律、法规、政策或合同规定的一致性，承担相应的责任。,8.1 组织基础架构,信息安全中的分级保护问题 信息系统保护的目标 信息系统安全的保护目标与所属组织的安全利益是完全一致的，具体体现为对信息的保护和对系统的保护。信息保护是使所属组织有直接使用价值（用于交换服务或共享目的）的信息和系统运行中有关（用于系统管

4、理和运行控制目的）的信息的机密性、完整性、可用性和可控性不会受到非授权的访问、修改和破坏。系统保护则是使所属组织用于维持运行和履行职能的信息技术系统的可靠性、完整性和可用性不受到非授权的修改和破坏。系统保护的功能有两个：一是为信息保护提供支持，二是对信息技术系统自身进行保护。 信息系统分级保护 对信息和信息系统进行分级保护是体现统筹规划、积极防范、重点突出的信息安全保护原则的重大措施。最有效和科学的方法是在维护安全、健康、有序的网络运行环境的同时，以分级分类的方式确保信息和信息系统安全既符合政策规范，又满足实际需求。,8.1 组织基础架构,计算机信息系统的安全保护等级 GB 178591999

5、计算机信息系统安全保护等级划分准则是我国计算机信息系统安全保护等级系列标准的基础，是进行计算机信息系统安全等级保护制度建设的基础性标准，也是信息安全评估和管理的重要基础。此标准将计算机信息系统安全保护从低到高划分为5个等级，即用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级。高级别安全要求是低级别安全要求的超集。计算机信息系统安全保护能力随着安全保护等级的增高逐渐增强。,8.1 组织基础架构,基于通用准则的安全等级 GB/T 18336中定义的7个评估保证级为： 评估保证级1（EAL1）功能测试。 评估保证级2（EAL2）结构测试。 评估保证级3（EAL3）系统地测

6、试和检查。 评估保证级4（EAL4）系统地设计、测试和复查。 评估保证级5（EAL5）半形式化设计和测试。 评估保证级6（EAL6）半形式化验证的设计和测试。 评估保证级7（EAL7）形式化验证的设计和测试。,8.1 组织基础架构,信息安全管理的基本内容 信息系统的安全管理涉及与信息系统有关的安全管理以及信息系统管理的安全两个方面。这两方面的管理又分为技术性管理和法律性管理两类。其中技术性管理以OSI安全机制和安全服务的管理以及物理环境的技术监控为主，法律性管理以法律法规遵从性管理为主。信息安全管理本身并不完成正常的业务应用通信，但却是支持与控制这些通信的安全所必需的手段。 信息系统管理的安全

7、包括信息系统所有管理服务协议的安全，以及信息系统管理信息的通信安全，它们是信息系统安全的重要组成部分。这一类安全管理将借助对信息系统安全服务与机制做适当的选取，以确保信息系统管理协议与信息获得足够的保护。,8.1 组织基础架构,信息安全管理的指导原则 信息安全管理的基本原则包括： 以安全保发展，在发展中求安全 受保护资源的价值与保护成本平衡 明确国家、企业和个人对信息安全的职责和可确认性 信息安全需要积极防御和综合防范 定期评估信息系统的残留风险 综合考虑社会因素对信息安全的制约 信息安全管理体现以人为本,8.1 组织基础架构,安全管理过程 信息系统安全管理是一个过程，用来实现和维持信息系统及

8、其资源适当等级的机密性、完整性、可用性、不可抵赖性、可确认性、真实性和可靠性等。信息系统安全管理包括分析系统资产、分析系统风险、分析安全需求、制定满足安全需求的计划、执行这些计划并维持和管理安全设备的安全。,8.1 组织基础架构,OSI管理 国际标准化组织（ISO）在ISO/IEC 7498-4中定义并描述了开放系统互连（Open System Interconnect，OSI）管理的术语和概念，提出了一个OSI管理的结构并描述了OSI管理应有的行为。OSI管理包括故障管理、计账管理、配置管理、性能管理和安全管理等功能，这些管理功能对在OSI环境中进行通信的资源进行监视、控制和协调。,8.1

9、组织基础架构,OSI安全管理 OSI安全管理包括与OSI有关的安全管理和OSI管理的安全。OSI安全管理本身不是正常的业务应用通信，但却为支持与控制这些通信的安全所必需。 OSI安全管理涉及OSI安全服务的管理与安全机制的管理。这种管理要求给这些安全服务和机制分配管理信息，并收集与这些服务和机制运行有关的信息。例如：密钥分配、设置行政管理强加的安全参数、报告正常的与异常的安全事件以及安全服务的激活与停止等。安全管理并不保证在调用特定安全服务协议中传递与安全有关的信息，这些信息的安全由安全服务来提供。 由分布式开放系统的行政管理强加的安全策略可以是各种各样的，OSI安全管理应该支持这些策略。 O

10、SI安全管理活动可以分为4类：系统安全管理、安全服务管理、安全机制管理和OSI管理的安全。,8.1 组织基础架构,信息安全组织基础架构 信息安全管理的组织结构可以分为两类：一类是行政管理、协调类型的机构，另一类是技术服务、应急响应和技术支持类型的管理机构。 在组织内部，组织的管理者应当负责信息安全相关事务的决策。一个规范的信息安全管理体系必须明确指出，组织机构管理层应当负责相关信息安全管理体系的决策，同时，这个体系也应当能够反映这种决策，并且在运行过程中能够提供证据证明其有效性。 所以机构组织内部的信息安全管理体系的建立项目应该由质量管理负责人或者其他负责机构内部重大职能的负责人负责主持。同时

11、，应建立适当的信息安全管理委员会对信息安全政策进行审批，对安全权责进行分配，并协调单位内部安全的实施。如有必要，在单位内部设立特别信息安全顾问并指定相应人选。同时，要设立外部安全顾问，以便跟踪行业走向，监视安全标准和评估手段，并在发生安全事故时建立恰当的联络渠道。在此方面，应鼓励跨学科的信息安全安排，比如，在管理负责人、用户、程序管理员、应用软件设计师、审计人员和保安人员间开展合作和协调，或在保险和风险管理两个学科领域间进行专业交流等。,8.2 管理要素与管理模型,安全目标、方针和策略 一个组织的安全目标、方针和策略是有效管理组织内信息安全的基础。它们支持组织的活动并保证安全措施间的一致性。安

12、全目标表述的是信息系统安全要达到的目的，安全方针是达到这些安全目标的方法和途径，安全策略则是达到目标所采取的规则和措施。 目标、方针和策略的确定可以从组织的领导层到操作层分层次地进行。它们应该反映组织的行政管理强加给信息系统的安全要求，并且考虑各种来自组织内外的约束，如国家法律法规、技术规范、社会文化及意识形态、组织的企业文化等，保证在各个层次上和各个层次之间的一致性。还应该根据定期的安全性评审（如风险评估，安全评估）结果以及业务目标的变化进行更新。 一个组织的安全策略只要由该组织的安全规划和指令组成。这些安全策略必须反映更广泛的组织策略，包括每个人的权利、合法的要求以及各种技术标准。 一个信

13、息系统的安全策略必须使包含在组织的安全策略之中的安全规划和适用于该组织信息系统安全的指令相一致。,8.2 管理要素与管理模型,与安全管理相关的要素 与安全管理相关的主要要素包括：资产、脆弱性、威胁、影响、风险、残留风险、安全措施以及约束。,8.2 管理要素与管理模型,管理模型 信息安全管理又多种模型，各种模型都是从不同角度构建的，也都有各自的优缺点。几种模型所提出的概念都有利于对信息安全管理的原理和实践进行理解。归纳起来有以下几种模型： 安全要素关系模型。 风险管理关系模型。 基于过程的信息安全管理模型。 PDCA（Plan-Do-Check-Act）模型。 上述概念模型和组织的业务目标一起可

14、以形成一个组织的信息安全目标、方针和策略。信息安全的目标就是保证组织能够安全地运行，并且将风险控制在可以接受的水平。任何安全措施都不是万能的，即不是对任何风险都是完全有效的，因此需要规划和实施意外事件后的恢复计划，以及构建可将损坏程度限制在一定范围的安全体系。,8.2 管理要素与管理模型,安全要素关系模型,8.2 管理要素与管理模型,风险管理关系模型,8.2 管理要素与管理模型,基于过程的信息安全管理模型,8.2 管理要素与管理模型,PDCA模型,8.2 管理要素与管理模型,风险评估 信息安全风险评估作是信息安全建设的起点和基础，为建立系统安全体系、评价系统安全等级、确定安全风险决策和组织平衡

15、安全投入提供了重要依据，成为目前急需解决的首要任务。但是，风险是客观存在的，由于信息系统的复杂性、安全事件发生的不确定性以及信息技术发展的局限性，使得试图通过消除的方式，实现对信息系统的安全保护并完全避免风险是不可能的。信息系统不存在却对的安全，风险无处不在。因此，在风险管理过程中，我们在安全事件的发生和影响可控的前提下，接受风险事件的存在，最终达到通过建立相应的安全策略将风险降低可接受的范围。 信息安全风险评估是依照科学的风险管理程序和方法，充分的对组成系统的各部分所面临的危险因素进行分析评价，针对系统存在的安全问题，根据系统对其自身的安需求，提出有效的安全措施，达到最大限度减少风险、降低危

16、害和确保系统安全运行的目的。,8.2 管理要素与管理模型,风险评估,8.3 身份管理,身份管理（IdM：Identity Management），广义上讲应当包括用户的认证、授权以及认证和授权之后相关信息的保存和管理。它必须灵活地支持已有的和被广泛使用的多种身份认证机制和协议，还要支持各种不同的应用和服务平台。身份管理的框架必须在用户、应用平台和网络需求中寻求某种平衡。这些网络需求对身份管理的设计有着深远的影响。此外，这还为各种身份管理系统的互联性提供了新的商机。 身份管理所涉及的用户身份生命周期，主要包括账户建立、维护和撤消3个部分：账户建立包括给用户建立账户并分配适当的级别以访问完成工作所

17、需的资源；账户维护包括保持用户身份的更新、依据工作完成的需要适当调整用户可访问资源的级别，以及用户更改自身身份信息时在不同系统之间进行修改的同步；账户撤消包括在用户离开组织或公司之后，使用户账户及时失效以实现对用户既得资源访问权限的回收。,8.3 身份管理,身份管理生命周期,8.3 身份管理,ITU-T身份管理模型 目前使用的身份管理生态系统,8.3 身份管理,ITU-T身份管理模型 理想的身份管理生态系统,8.3 身份管理,身份管理的流程 身份管理模型是由实体（Entity），服务提供方（SP），身份提供方（IdP）三个基本要素组成的，ITU-T提出的身份管理模型分为信任域内的通信和其在一个

18、信任域内的身份认证管理和跨域身份认证管理。,8.4 人员与物理环境安全,岗位定义与资源分配安全 组织应该在新员工聘用阶段就提出安全责任问题并将其包括在聘用合同条款中，在员工的雇佣期间对其进行培训和监管，从而降低人为错误的风险，如盗窃、诈骗或者滥用设备和信息等。 在条件允许的情况下，组织可以对员工进行充分选拔，尤其是对于从事敏感工作员工。所有雇员以及信息处理设施的第三方用户（如产品供应商、信息安全咨询服务商和工程队伍等）都应该签署并落实好保密协议。,8.4 人员与物理环境安全,用户培训 组织应该开展对用户的安全管理规程和正确使用信息处理设备的培训，以尽量降低可靠的安全风险，确保用户意识到对信息安

19、全的威胁和危害关系，并且具有在日常工作中支持安全策略的能力。 组织中所有员工以及相关的第三方用户，应该接收适当的信息安全教育和培训，以适应组织的安全策略和管理规程。这包括安全要求、法律责任和业务控制措施，还包括在被授权访问信息或者服务之前正确使用信息处理设备的培训，如信息系统登录程序、软硬件的使用等。,8.4 人员与物理环境安全,对安全事件和故障的响应 影响安全的事件应该尽快通过适当的管理渠道报告给相关人员和机构，尽量较少安全事件造成的损失，监视此类事件并吸取教训。 应该使所有雇员和签约人员知道可能影响组织资产安全的不同种类事件的各种报告程序。应该要求他们以最快的速度把看到的或者可疑事件报告给

20、指定的联络人。组织应该建立正式的惩罚条款以处理破坏安全的员工。为了托当地处理安全事件，应该在安全事件发生后尽快搜集证据。,8.4 人员与物理环境安全,物理环境安全 组织内的关键或者敏感的业务信息处理设备应该放置在安全区域，有规定的安全防护带、适当的安全屏蔽和人员控制保护，这些设备应该受到物理保护，防止未授权的访问、破坏和干扰。 所提供的保护应该与识别出的风险相当。建议采用清空桌面和清除屏幕显示的策略降低对文件、介质和信息处理设备的未授权的访问或破坏的风险。,本章总结,人们常说，实现信息安全，“三分靠技术，七分靠管理”。信息安全管理是把分散的技术和人为因素通过规则和制度的形式统一协调整合为一体，是获得信息安全保障能力的重要手段，也是构建信息安全体系非常重要的一个环节。 信息安全管理涉及的内容非常庞杂，本章重点介绍了信息安全管理的以下几个方面：信息安全分级保护技术，信息安全管理的指导原则，安全过程管理与OSI安全管理，信息安全管理要素和管理模型，信息安全风险评估技术，身份管理技术，人员管理和物理环境安全。当然，信息安全管理涉及管理方法、实现技术、规章制度等多方面因素，需要高度重视信息安全管理在实现信息系统安全中的作用。,