信息安全保障体系和测评认证.ppt

信息安全保障体系和测评认证我国国家领导高度重视信息安全我国国家领导高度重视信息安全n n胡锦涛总书记在一份报告上批示：信息安全事关国家安全，必须予以高度重视n n李岚清同志在中办的一份信息通报上批示：信息安全是危及国家安全的大事国家高度国家高度重视重视信息安全测评认证工作信息安全测评认证工作n胡锦涛总书记在一份报告上批示：信息安全事关国家安全，必须予以高度重视。在2000年3月29日的信息网络安全协调会议上又强调“要建设好信息安全测评认证中心”n吴邦国同志在一份报告上批示：信息安全认证中心的工作很重要，是确保国家信息安全，促进互联网健康发展的重大举措，又是当前急需解决的紧迫问题国家信息安全测评认证管理委员会国家信息安全测评认证管理委员会国家信息安全测评认证管理委员会国家信息安全测评认证管理委员会中国信息安全产品测评中国信息安全产品测评中国信息安全产品测评中国信息安全产品测评认证中心及其分支机构认证中心及其分支机构认证中心及其分支机构认证中心及其分支机构授权测试实验室授权测试实验室授权测试实验室授权测试实验室国家实验室国家实验室国家实验室国家实验室认可程序认可程序认可程序认可程序ISO65ISO65、2525认证申请者认证申请者认证申请者认证申请者授权授权授权授权质管质管质管质管测试测试测试测试报告报告报告报告申报申报申报申报测试报告测试报告测试报告测试报告评估报告评估报告评估报告评估报告认证证书认证证书认证证书认证证书监管机构监管机构监管机构监管机构国家认证实体国家认证实体国家认证实体国家认证实体授权测评机构授权测评机构授权测评机构授权测评机构国家信息安全测评认证体系组织结构认证中心的性质认证中心的性质n n中国信息安全产品测评认证中心是经中央批准成立的、代表国家实施信息安全测评认证的职能机构，依据国家有关产品质量认证和信息安全管理的法律法规，管理和运行国家信息安全测评认证体系认证中心的主要职能任务认证中心的主要职能任务1、对国内外信息安全设备和信息技术实施安全性检验、测试与认证2、对国内信息系统和工程进行安全性评估与认证3、对提供信息安全服务的单位、人员的资质进行评估与认证4、承担国家信息安全技术标准的研究、制订和信息安全培训5、与各国相应的测评认证机构进行国际交流与合作1 1、包过滤防火墙安全技术要求、包过滤防火墙安全技术要求2 2、应用级防火墙安全技术要求、应用级防火墙安全技术要求3 3、信息技术安全性评估准则、信息技术安全性评估准则4 4、信息系统安全工程能力成熟模型、信息系统安全工程能力成熟模型5 5、信息安全服务评价准则、信息安全服务评价准则6 6、信息安全工程质量管理要求、信息安全工程质量管理要求7 7、电信智能卡安全技术要求、电信智能卡安全技术要求8 8、商用密码产品安全技术要求、商用密码产品安全技术要求9 9、网上证券委托系统安全技术要求、网上证券委托系统安全技术要求1010、信息技术安全性评估方法、信息技术安全性评估方法 等共等共2020多项多项国家标准的制定情况国家标准的制定情况概述n n为推动信息系统安全测评认证工作开展，为推动信息系统安全测评认证工作开展，20022002年年1 1月，月，中国信息安全产品测评认证中心内部立中国信息安全产品测评认证中心内部立项，开始进行有关部门信息系统安全测评认证的项，开始进行有关部门信息系统安全测评认证的标准，程序，方法和工具的研究工作。标准，程序，方法和工具的研究工作。信息系信息系统安全通用评估准则统安全通用评估准则作为其中十分重要的工作作为其中十分重要的工作之一开始展开。之一开始展开n n经过两年的工作和实践，目前完成了：经过两年的工作和实践，目前完成了：信息系统安全保障通用评估准则信息系统安全保障通用评估准则（征求意见稿）（征求意见稿）电子政务信息系统安全保障评估准则电子政务信息系统安全保障评估准则（征求意见（征求意见稿）稿）信息系统使命信息系统使命信息系统建模，。信息系统建模，。GB 18336 idt ISO/IEC 15408信息技术安全性评估准则信息技术安全性评估准则IATF 信息保障技术框架信息保障技术框架ISSE 信息系统安全工程信息系统安全工程SSE-CMM系统安全工程能力成熟度模型系统安全工程能力成熟度模型BS 7799,ISO/IEC 17799信息安全管理实践准则信息安全管理实践准则其他相关标准、准则其他相关标准、准则例如：例如：ISO/IEC 15443,COBIT。系统认证和认可标准和实践系统认证和认可标准和实践例如：美国例如：美国DITSCAP,中国信息安全产品测评认证中心中国信息安全产品测评认证中心相关文档和系统测评认证实践相关文档和系统测评认证实践技术准则技术准则（信息技术系统评估准则）（信息技术系统评估准则）管理准则管理准则（信息系统管理评估准则）（信息系统管理评估准则）过程准则过程准则（信息系统安全工程评估准则）（信息系统安全工程评估准则）信信息息系系统统安安全全性性评评估估准准则则信息系统安全保障通用评估准则内容组成信息系统安全保障模型技术技术过程过程管理管理人员人员保保证证对对象象生命周期生命周期信信息息特特征征计计划划组组织织开开发发采采购购实实施施交交付付运运行行维维护护废废弃弃机密性机密性完整性完整性可用性可用性信息系统分类和安全保障分级信息系统使信息系统使命类命类信息系统威信息系统威胁分级胁分级信息系统信息系统安全保障级安全保障级ISAL+价值价值信息特征信息特征机密性机密性完整行完整行可用性可用性产品产品EAL级别要求级别要求EAL管理能力成熟度级别管理能力成熟度级别ISAM-CML 过程能力成熟度级别过程能力成熟度级别ISAE-CML 信息系统信息系统安全分类安全分类安全要求安全要求基线基线信息系统使命类分类信息系统使命类信息特征信息和信息系统价值机密性完整性可用性IBBB对对信息保障策略的信息保障策略的违违犯造成的犯造成的负负面影响和面影响和结结果果可以忽略。可以忽略。IIBMM对对信息保障策略的信息保障策略的违违犯会犯会对对安全、保安全、保险险、金融、金融状况、状况、组织组织机构的基机构的基础设础设施造成不良影响和施造成不良影响和/或或小的破坏。小的破坏。IIIBMH对对信息保障策略的信息保障策略的违违犯会犯会产产生一定破坏生一定破坏IVBHH对对信息保障策略的信息保障策略的违违犯会犯会严严重的破坏安全、保重的破坏安全、保险险、金融状况、金融状况、组织组织机构的基机构的基础设础设施施VMHH对对信息保障策略的信息保障策略的违违犯会造成异常犯会造成异常严严重的破坏重的破坏信息系统威胁分类威威胁级别胁级别威威胁说胁说明明T1无意的或意外的事件T2被动的、无意识的占有很少资源并且愿意冒少量风险的对手T3占有少量资源但是愿意冒很大风险的对手T4占有中等程度资源的熟练的对手，愿意冒少量风险T5占有中等程度资源的熟练的对手，愿意冒较大风险T6占有丰富程度资源的特别熟练的对手，愿意冒少量风险T7占有丰富程度资源的特别熟练的对手，愿意冒较大风险信息系统安全保障级信息系统安全保障级技术（主要安全产品EAL级）安全保障管理能力成熟度级别安全保障过程能力成熟度级别EGISAL 1EAL 1EGISAM-CML 1EGISAE-CML 1EGISAL2EAL 2EGISAM-CML 1EGISAE-CML 1EGISAL3EAL 3EGISAM-CML 2EGISAE-CML 2EGISAL4EAL 4EGISAM-CML 3EGISAE-CML 3EGISAL5EAL 5EGISAM-CML 3EGISAE-CML 3信息系统安全保障安全管理能力成熟度级别信息系统安全保障安全过程能力成熟度级别信息系统安全认证定义：“对信息系统在其运行环境中的技术和非技术环节进行全面的分析，从而确定与其所声称的安全目标和需求的符合性”(PP/ST)n n通过在系统生命周期过程中实施一整套结构化通过在系统生命周期过程中实施一整套结构化的活动来实现的活动来实现n n识别并降低系统非授权访问、修改信息和资源识别并降低系统非授权访问、修改信息和资源拒绝服务的风险拒绝服务的风险系统认可定义：“某个指定机构根据认证过程的结果和其他相关的考虑对信息系统的运行所作出的管理决定”n在实施恰当的安全措施后，平衡业务需求和信息系统的残余风险n将信息系统或网络安全和可靠运行的责任指派给了某个指定的机构信息系统测评认证流程申请及文档审查阶段项目启动阶段现场核查安全性测试综合评估阶段综合评估阶段 现现现现场场场场检检检检测测测测阶阶阶阶段段段段安全认证阶段安全认证阶段 信信息息系系统统安安全全策策略略信息系统安全技术方案信息系统安全技术方案信息系统安全管理机构及制度信息系统安全管理机构及制度信息系统安全工程过程信息系统安全工程过程信息系统安全审计与评估信息系统安全审计与评估提交的五类文档：提交的五类文档：用户申请书问题？系统安全保障方案（ISST）管理制度描述n n组织机构描述组织机构描述n n管理制度及流程描述管理制度及流程描述n n系统资产描述系统资产描述工程实施过程文档工程实施过程文档n n工程实施计划 n n安全产品及应用系统功能及系统测试纪录，选型依据n n实施过程的重大改进或意外事件纪录n n系统联调及测试报告n n系统验收报告系统自我风险评估文档系统自我风险评估文档n n信息系统威胁分析；n n信息系统脆弱性分析；n n信息系统威胁所产生的后果分析；n n风险分析；n n风险处理；现场核查n n管理核查n n运行核查n n审计核查n n网络结构探测；n nRouter,Firewall,IDSn nOS安全测试；n n脆弱性扫描；n n 口令猜解；n n 日志检查；n n渗透性测试安全性测试认证与认可阶段提交认证与认可批准包：提交认证与认可批准包：n n申请方系统安全计划；申请方系统安全计划；n n测评认证计划；测评认证计划；n n安全性测试计划；安全性测试计划；n n申请方风险自评报告；申请方风险自评报告；n n安全现场核查报告；安全现场核查报告；n n安全性测试报告；安全性测试报告；n n安全性综合评估报告；安全性综合评估报告；n n每年进行一次管理体系监督检查每年进行一次管理体系监督检查n n每年进行一次产品质量的监督检测每年进行一次产品质量的监督检测n n每年进行一次对系统运行维护状态的每年进行一次对系统运行维护状态的 监监 督核查督核查n n根据需要安排系统测试根据需要安排系统测试证后监督证后监督问题？