等级保护创新和发展.pptx

我国信息安全等级我国信息安全等级保护制度保护制度 创新和发展创新和发展国家信息化专家咨询委员会委员国家信息化专家咨询委员会委员沈昌祥沈昌祥 院士院士X 信息安全等级保护是国家制度性工作信息安全等级保护是国家制度性工作 科学定级、全面建设科学定级、全面建设 主动应对、积极防御主动应对、积极防御 做好新型计算环境下信息安全等级保护工作做好新型计算环境下信息安全等级保护工作 目目 录录 一一二二三三四四X X 信息安全等级保护是国家制度性工作信息安全等级保护是国家制度性工作一一是我国信息安全保障的基本制度是我国信息安全保障的基本制度是网络空间安全保障体系的重要支撑是网络空间安全保障体系的重要支撑是应对强敌是应对强敌APTAPT的有效措施的有效措施信信息息安安全全等等级级保保护护美国国防部早在八十年代就推行美国国防部早在八十年代就推行“安全等级划分安全等级划分准则准则”（TCSECTCSEC）（CCSECCCSEC）20032003年，美国发布年，美国发布保护网络空间国家战略保护网络空间国家战略，提出按重要程度不同分五级保护，并通过了提出按重要程度不同分五级保护，并通过了联联邦信息安全管理法案邦信息安全管理法案（FISMAFISMA），要求），要求NISTNIST制定制定分类分级标准分类分级标准20052005年变成强制性标准（年变成强制性标准（FIPS200FIPS200），要求联邦机），要求联邦机构无条件执行构无条件执行20132013年年2 2月月1212日，奥巴马发布了日，奥巴马发布了增强关键基础增强关键基础设施网络安全设施网络安全行政令，按此令行政令，按此令NISTNIST于于20142014年年2 2月月1212日日1212日提出了日提出了美国增强关键基础设施网络美国增强关键基础设施网络安全框架安全框架，按风险程度不同分为四个等级，实，按风险程度不同分为四个等级，实行识别、保护、监测、响应、恢复全过程的风险行识别、保护、监测、响应、恢复全过程的风险管理管理19941994年，国务院发布年，国务院发布中华人民共和国计算机信中华人民共和国计算机信息系统安全保护条例息系统安全保护条例（国务院令第（国务院令第147147号），为号），为我国信息系统实行等级保护提供法律依据我国信息系统实行等级保护提供法律依据依据国务院依据国务院147147号令制定发布了强制性国家标准号令制定发布了强制性国家标准计算机信息系统安全保护等级划分准则计算机信息系统安全保护等级划分准则（GB17859-1999GB17859-1999），为等级划分和保护奠定了技），为等级划分和保护奠定了技术基础术基础我国等级保护工作有序推进我国等级保护工作有序推进国家信息化领导小组关于加强信息安全保障工国家信息化领导小组关于加强信息安全保障工作的意见作的意见（中办发（中办发200327200327号）进一步明确要号）进一步明确要求求“抓紧建立信息安全等级保护制度抓紧建立信息安全等级保护制度”国家有关部委多次联合发文，明确了等级保护的国家有关部委多次联合发文，明确了等级保护的原则、基本内容、工作流程和方法、实施要求和原则、基本内容、工作流程和方法、实施要求和计划等。目前国家各部门都按信息系统定级备案、计划等。目前国家各部门都按信息系统定级备案、整改建设和测评进行推进，国家重点工程的验收整改建设和测评进行推进，国家重点工程的验收要求必须通过信息安全等级保护的测评要求必须通过信息安全等级保护的测评20152015年年6 6月，第十二届全国人大常委会第十五次会议月，第十二届全国人大常委会第十五次会议初次审议了初次审议了中华人民共和国网络安全法中华人民共和国网络安全法(草案草案)。现将现将中华人民共和国网络安全法中华人民共和国网络安全法(草案草案)在中国人在中国人大网公布，向社会公开征求意见大网公布，向社会公开征求意见第十七条第十七条 国家实行网络安全等级保护制度。国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改网络数据泄露或者被窃取、篡改保障网络运行安全，必须落实网络运营者第一责任人保障网络运行安全，必须落实网络运营者第一责任人的责任。据此，草案将现行的网络安全等级保护制度的责任。据此，草案将现行的网络安全等级保护制度上升为法律，要求网络运营者按照网络安全等级保护上升为法律，要求网络运营者按照网络安全等级保护制度的要求，采取相应的管理措施和技术防范等措施，制度的要求，采取相应的管理措施和技术防范等措施，履行相应的网络安全保护义务。履行相应的网络安全保护义务。科学科学定级定级、全面建设、全面建设二二准确划分定级系统，从保护信息和计算两维资源准确划分定级系统，从保护信息和计算两维资源出发，根据在国家安全、经济建设、社会生活中出发，根据在国家安全、经济建设、社会生活中的重要程度，以及系统遭受破坏后的危害程度等的重要程度，以及系统遭受破坏后的危害程度等因素确定等级因素确定等级经各大单位、行业提出，专家评审，主管部门备经各大单位、行业提出，专家评审，主管部门备案案（一）定（一）定 级级业务处理流程的完整性业务处理流程的完整性软硬件设备相对的独立性软硬件设备相对的独立性安全管理责权的统一性安全管理责权的统一性定定级级系系统统的的特特征征多级互联隔离性多级互联隔离性按照按照信息安全等级保护管理办法信息安全等级保护管理办法、计算机计算机信息系统安全保护等级划分准则信息系统安全保护等级划分准则（GB17859-GB17859-19991999）1 1、制定安全方案、制定安全方案参照参照信息系统等级保护安全设计技术要求信息系统等级保护安全设计技术要求（GB25070-2010GB25070-2010）（二）建设步骤（二）建设步骤参照参照信息安全等级保护实施指南信息安全等级保护实施指南、信息信息系统等级保护安全设计技术要求系统等级保护安全设计技术要求等技术标准，等技术标准，从技术和管理两个方面进行安全建设从技术和管理两个方面进行安全建设2 2、开展安全建设、开展安全建设选择等级测评机构选择等级测评机构制定测评方案制定测评方案开展测评工作开展测评工作出具测评报告出具测评报告专家评审专家评审3 3、开展等级测评工作、开展等级测评工作4 4、整改工作进一步完善、整改工作进一步完善 主动应对、积极防御主动应对、积极防御三三 针对计算资源（软硬件）构建保护环境，针对计算资源（软硬件）构建保护环境，以可信计算基（以可信计算基（TCBTCB）为基础，层层扩）为基础，层层扩充，对计算资源进行保护充，对计算资源进行保护You canBe likeGod 1.1.可信可信You canBe likeGod 2.2.可控可控You canBe likeGod 3.3.可管可管 针对信息资源（数据及应用）构建业针对信息资源（数据及应用）构建业务流程控制链，以访问控制为核心，实务流程控制链，以访问控制为核心，实行主体（用户）按策略规则访问客体行主体（用户）按策略规则访问客体（信息资源）（信息资源）保证资源安全必须实行科学管理，强保证资源安全必须实行科学管理，强调最小权限管理，尤其是高等级系统实调最小权限管理，尤其是高等级系统实行三权分离管理体制，不许设超级用户行三权分离管理体制，不许设超级用户从技术和管理两个方面进行安全设计，做到从技术和管理两个方面进行安全设计，做到:（一）设计原则（一）设计原则 安全管理中心支持下的安全管理中心支持下的 计算环境计算环境 区域边界区域边界 通信网络通信网络三重防护结构框架三重防护结构框架（二）结构框架（二）结构框架类同于美国类同于美国“曼哈顿曼哈顿”计划计划 保护环境框架图保护环境框架图 计算环境计算环境区域边界区域边界通信网络通信网络 构建构建三重安全防护三重安全防护结构框架结构框架 划分为划分为节点、典型应用、区域边界、通信节点、典型应用、区域边界、通信网络网络、安全管理、审计管理安全管理、审计管理和和系统管理系统管理等子等子系统。系统。安全管理中心安全管理中心21 1、计算环境 典型应用子系统：安全保护环境为应用系统（如安全OA系统等）提供安全支撑服务。通过实施三级安全要求的业务应用系统，使用安全保护环境所提供的安全机制，为应用提供符合要求的安全功能支持和安全服务节点子系统：节点子系统通过在操作系统核心层、系统层设置以了一个严密牢固的防护层，通过对用户行为的控制，可以有效防止非授权用户访问和授权用户越权访问，确保信息和信息系统的保密性和完整性安全，从而为典型应用子系统的正常运行和免遭恶意破坏提供支撑和保障22 2、区域边界 区域边界子系统：区域边界子系统通过对进入和流出安全保护环境的信息流进行安全检查，确保不会有违背系统安全策略的信息流经过边界，是信息系统的第二道安全屏障23 3、通信网络 通信网络子系统：通信网络子系统通过对通信数据包的保密性和完整性进行保护，确保其在传输过程中不会被非授权窃听和篡改，使得数据在传输过程中的安全得到了保障，是信息系统的外层安全屏障24 4、管理中心 系统管理子系统：系统管理子系统负责对安全保护环境中的计算节点、安全区域边界、安全通信网络实施集中管理和维护，包括用户身份管理、资源管理、应急处理等，为信息系统的安全提供基础保障安全管理子系统：安全管理子系统是信息系统的控制中枢，主要实施标记管理、授权管理及策略管理等。安全管理子系统通过制定相应的系统安全策略，并且强制节点子系统、区域边界子系统、通信网络子系统及节点子系统执行，从而实现了对整个信息系统的集中管理，为信息系统的安全提供了有力保障审计子系统：审计子系统是系统的监督中枢，安全审计员通过制定审计策略，强制节点子系统、区域边界子系统、通信网络子系统、安全管理子系统、系统管理子系统执行，从而实现对整个信息系统的行为审计，确保用户无法抵赖违背系统安全策略的行为，同时为应急处理提供依据有效净化网络环境有效净化网络环境 在可信计算技术支持下做到：病毒染不了、木马注在可信计算技术支持下做到：病毒染不了、木马注不上、黑客进不来不上、黑客进不来（三）安全防护特点（三）安全防护特点加强定级对象信息系统整体防护，建设管理中心支加强定级对象信息系统整体防护，建设管理中心支持下的计算环境、区域边界、通信网络三重防护体持下的计算环境、区域边界、通信网络三重防护体系结构，实施多层隔离和保护，以防止某薄弱环节系结构，实施多层隔离和保护，以防止某薄弱环节影响整体安全影响整体安全 1 1、整体防御、分区隔离、整体防御、分区隔离 2 2、积极防护、积极防护、内外兼防内外兼防重点做好操作人员使用的终端防护，把住攻击发起重点做好操作人员使用的终端防护，把住攻击发起的源头关的源头关严格执行强制访问控制，有效防止非法操作严格执行强制访问控制，有效防止非法操作 3 3、自身防御、自身防御，主动免疫，主动免疫 避免网络封堵的被动局面避免网络封堵的被动局面 可信环境内保护资源主动免疫，使非法攻击者可信环境内保护资源主动免疫，使非法攻击者进不去，进去后拿不到，拿到后看不懂，想篡改进不去，进去后拿不到，拿到后看不懂，想篡改也改不了，想赖也赖不掉也改不了，想赖也赖不掉 4 4、纵深防御、技管并重、纵深防御、技管并重加强技术平台支持下的安全策略管理，实现管理加强技术平台支持下的安全策略管理，实现管理人性化和与业务流程有关的管理人性化和与业务流程有关的管理对系统资源、人员授权、审计追踪进行全面管理。对系统资源、人员授权、审计追踪进行全面管理。实现人、技术、管理的纵深防御。具有预警、应实现人、技术、管理的纵深防御。具有预警、应急处理能力急处理能力 做好新型计算环境下信息安全等级保护工作做好新型计算环境下信息安全等级保护工作四四云计算、物联网、工业控制、移动互联网、大数据云计算、物联网、工业控制、移动互联网、大数据等，都是通过网络以服务的方式提供给用户的计算等，都是通过网络以服务的方式提供给用户的计算模式，组成了新的计算环境和信息系统，都可以用模式，组成了新的计算环境和信息系统，都可以用等级保护制度进行安全防护体系建设等级保护制度进行安全防护体系建设以云计算为例：以云计算为例：构建等级保护技术框架构建等级保护技术框架信息系统云化是指其信息处理流程在云计算中心信息系统云化是指其信息处理流程在云计算中心完成。因此云计算中心负有安全保障责任，也有完成。因此云计算中心负有安全保障责任，也有信息系统用户的行为安全责任信息系统用户的行为安全责任（宾馆模式）（宾馆模式）云计算中心可以同时运行多个不同安全级别的信云计算中心可以同时运行多个不同安全级别的信息系统。云计算中心安全级别不低于承运最高等息系统。云计算中心安全级别不低于承运最高等级信息系统的级别级信息系统的级别n n云中心一般由用户云中心一般由用户网络接入网络接入、访问应用边界访问应用边界、计算环境计算环境和和管理平台管理平台组成（如下图所示），可组成（如下图所示），可形成虚拟应用、虚拟计算节点以及虚拟（逻辑）形成虚拟应用、虚拟计算节点以及虚拟（逻辑）计算环境，由此构建可信计算安全主体结构计算环境，由此构建可信计算安全主体结构可信计算是指：计算处理结果与预期的相一致，可信计算是指：计算处理结果与预期的相一致，中间过程可控制管理、可度量验证，实现主动免中间过程可控制管理、可度量验证，实现主动免疫计算疫计算 服务管理员服务管理员 平台层平台层 软件应用层软件应用层 用用户户终终端端 运维管理运维管理 用用户户终终端端 应用多用户应用多用户 应用虚拟化应用虚拟化 中间层服务中间层服务 数据库服务数据库服务 基础架构层基础架构层 虚拟化服务虚拟化服务 服务器服务器 网络网络 存储存储 物理资源物理资源 业务管理业务管理 安全管理安全管理 访问接口访问接口 WEB WEB服务服务 通信通信 网络网络 用户用户接入边界接入边界计算环境计算环境管理平台管理平台云 中 心 组 成 架 构 SaaSPaaSIaaS可信云计算体系安全架构可信云计算体系安全架构可可信信接接入入边边界界 用户用户 终端终端 可信通可信通信网络信网络 可信计算设备可信计算设备 应用服务资源应用服务资源 平台平台 虚拟层虚拟层 计算单元计算单元系统系统 安全安全 审计审计安全管理中心安全管理中心可信计算环境可信计算环境计计算算节节点点在安全管理中心支撑下的在安全管理中心支撑下的可信计算环境可信计算环境可信边界可信边界可信通信网络可信通信网络 三重防护架构三重防护架构35可信云计算环境可信云计算环境可信链传递可信接入平台 用户服务请求 服务提供 计算环境 应用服务 计算平台虚拟化基础设施（可信根）计算节点控制流程可信可信链传递可信链传递从基础设施可信根出发从基础设施可信根出发度量度量基础设施、计算平台基础设施、计算平台验证验证虚拟计算资源可信虚拟计算资源可信支持支持应用服务的可信应用服务的可信确保计算环境可信确保计算环境可信由用户确定主体由用户确定主体/客客体关系，制定访问体关系，制定访问控制策略，确保控控制策略，确保控制流程可信制流程可信36可信云计算应用边界可信云计算应用边界可可信信链链传传递递可可信信接接入入平平台台 用户服务请求用户服务请求 服务提供服务提供 计算环境计算环境 应用服务应用服务 计算平台计算平台虚拟化虚拟化基础设施基础设施（可信根）（可信根）计计算算节节点点控控制制流流程程可可信信可信接入可信接入验证用户请求和连接的计验证用户请求和连接的计算资源可信算资源可信可信云计算通信网络可信云计算通信网络可可信信接接入入边边界界 用户用户 终端终端 可信通可信通信网络信网络 可信计算设备可信计算设备 系统系统 安全安全 审计审计安全管理中心安全管理中心可信计算环境可信计算环境应用服务资源应用服务资源 平台平台 虚拟层虚拟层 计算单元计算单元计计算算节节点点保证用户与云中心通信保证用户与云中心通信安全可信安全可信可信云计算安全管理可信云计算安全管理可可信信接接入入边边界界 用户用户 终端终端 可信通可信通信网络信网络 可信计算设备可信计算设备 系统系统 安全安全 审计审计安全管理中心安全管理中心可信计算环境可信计算环境应用服务资源应用服务资源 平台平台 虚拟层虚拟层 计算单元计算单元计计算算节节点点基于策略的管理基于策略的管理系统管理保证资源可信系统管理保证资源可信 （中心）（中心）安全管理负责授权和策略安全管理负责授权和策略 （用户）（用户）审计管理负责追踪和应急处理（双方）审计管理负责追踪和应急处理（双方）谢谢大家！谢谢大家！