《第七課-信息系統(tǒng)安全保障體系結(jié)構(gòu)標準-信息安全體系結(jié)構(gòu)課件》由會員分享，可在線閱讀，更多相關《第七課-信息系統(tǒng)安全保障體系結(jié)構(gòu)標準-信息安全體系結(jié)構(gòu)課件（91頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、,,,,單擊此處編輯母版標題樣式,單擊此處編輯母版文本樣式,第二級,第三級,第四級,第五級,,*,*,,信息安全體系結(jié)構(gòu),第七課,北京交通大學 計算機學院,20,11,年,11,月,,1,信息安全體系結(jié)構(gòu)第七課北京交通大學 計算機學院1,信息系統(tǒng)安全保障體系結(jié)構(gòu)標準：,IEEE P 1700: ISSAA Standard,,,2,信息系統(tǒng)安全保障體系結(jié)構(gòu)標準：IEEE P 1700: IS,,介紹,NIST FISMA,相關計劃,安全控制,安全認證和認可,摘要,,3,介紹3,第,I,部分,,介紹,,4,第I部分介紹4,IEEE P 1700: ISSAA Standard,是正在制定

2、中的信息系統(tǒng)安全標準，其貫徹了美國聯(lián)邦政府信息安全認證認可的工作思路（也符合美國,《,信息安全管理法,》,（,fisma,）的要求）,,5,IEEE P 1700: ISSAA Standard是正在,現(xiàn)狀,高度交互的環(huán)境，全球網(wǎng)絡中遍布強大的計算設備和互聯(lián)的大系統(tǒng),聯(lián)邦機構(gòu)在日常中總與工業(yè)界、個體公民、州和地方政府以及其他國家政府相往來,當今系統(tǒng)和網(wǎng)絡的復雜性為信息技術(shù)的生產(chǎn)商和消費者帶來了巨大的安全挑戰(zhàn),,6,現(xiàn)狀高度交互的環(huán)境，全球網(wǎng)絡中遍布強大的計算設備和互聯(lián)的大系,攻擊的便利性,Internet,上到處都有功能強大的攻擊工具，任何人都可得到,大眾之間已經(jīng)擁有了能花得起錢、功能強大的計

3、算平臺，足以發(fā)起復雜的攻擊,制造一起危害性特別嚴重的攻擊事件所花費的技能和熟練度并不高,,后果:攻擊的,熟練度,在增長，但攻擊者的,熟練度,要求卻不高。,,7,攻擊的便利性Internet上到處都有功能強大的攻擊工具，任,如今的挑戰(zhàn),要在有限的預算內(nèi)對信息系統(tǒng)給予足夠的保護,要改變現(xiàn)在的習慣：,“,先連上……然后才問是否安全,”,要在下述方面制定標準:,信息系統(tǒng)安全控制,用于評估這些控制的有效性的驗證流程,,8,如今的挑戰(zhàn)要在有限的預算內(nèi)對信息系統(tǒng)給予足夠的保護8,保障信息系統(tǒng),建設更安全的系統(tǒng)，需要 ——,精心定義的系統(tǒng)級安全要求和安全規(guī)范,精心設計的組件產(chǎn)品,良好的系統(tǒng)安全工程實踐經(jīng)驗,合

4、格的系統(tǒng)安全工程師,用于產(chǎn)品/系統(tǒng)測試、評價和評估的適宜準則,綜合的系統(tǒng)安全規(guī)劃和生命周期管理,,9,保障信息系統(tǒng)建設更安全的系統(tǒng)，需要 ——9,安全鏈,,,安全鏈中的各節(jié),（,基于技術(shù)的若干例子）,,訪問控制機制,,標識和鑒別設備,,審計機制,,加密機制,,防火墻,,智能卡,,生物認證,安全鏈中的各節(jié),（基于非技術(shù)的若干例子）,,物理安全,,人員安全,,流程安全,,風險管理,,安全策略,,安全規(guī)劃,,應急規(guī)劃,攻擊者尋找的是最弱的環(huán)節(jié)……你的最弱環(huán)節(jié)何在？,,10,安全鏈安全鏈中的各節(jié)安全鏈中的各節(jié)攻擊者尋找的是最弱的環(huán)節(jié)…,支持性工具和項目,建立更安全系統(tǒng)的工作需要如下方面來促進——,標準

5、化的安全要求和規(guī)范,政府發(fā)起的保護輪廓開發(fā)項目,私營部門對保護輪廓的貢獻,組件級的產(chǎn)品測試和評估項目,NIAP CC,評估和認證制度,NIST,密碼模塊認證項目,安全實施指南,NIST,特別出版物,國防部安全技術(shù)實施指南,國家安全局安全參考指南,安全認證和認可,,11,支持性工具和項目建立更安全系統(tǒng)的工作需要如下方面來促進——1,第,II,部分,,NIST FISMA,相關計劃,,12,第II部分NIST FISMA相關計劃12,FISMA,綜述,“每一個聯(lián)邦機構(gòu)應該開發(fā)、記錄并實現(xiàn)一個機構(gòu)級的信息安全項目，以向用來支撐本機構(gòu)的運行及資產(chǎn)的信息和信息系統(tǒng)提供信息安全，包括那些由另一個聯(lián)邦機構(gòu)

6、、合同商或其他來源提供或管理的信息和信息系統(tǒng)……”,,,——,2002,年信息安全管理法案,,13,FISMA綜述 “每一個聯(lián)邦機構(gòu)應該開發(fā)、記錄并實現(xiàn)一個機,FISMA,為,NIST,提出的任務,制定標準，供聯(lián)邦機構(gòu)對其信息和信息系統(tǒng)分類時所用，針對相應的風險級提供適度的信息安全,制定指南，建議各種信息和信息系統(tǒng)如何歸入,FIPS 199,中提出的類別之中,為每一類別的信息和信息系統(tǒng)制定最小的信息安全要求（管理、運行和技術(shù)類安全控制）,,14,FISMA 為NIST提出的任務制定標準，供聯(lián)邦機構(gòu)對其信息,國家政策,管理和預算辦公室（,OMB）A-130,通告《聯(lián)邦信息資源管理》要求各聯(lián)邦機

7、構(gòu)：,制定安全計劃,確保適宜的官員被分配了安全責任,在系統(tǒng)運行之前對其進行授權(quán)，并在此后定期進行重授權(quán),,,15,國家政策管理和預算辦公室（OMB）A-130通告《聯(lián)邦信息資,認證認可計劃的目標,第,I,階段：,,制定如下方面的標準和指南：,聯(lián)邦信息和信息系統(tǒng)的分類,為聯(lián)邦信息系統(tǒng)選擇和規(guī)定安全控制,驗證聯(lián)邦信息系統(tǒng)安全控制的有效性,第,II,階段：,,建立一個國家級的、由經(jīng)過認可的機構(gòu)組成的網(wǎng)絡，能夠基于,NIST,標準和指南提供成本有效的、高質(zhì)量的安全評估服務,,16,認證認可計劃的目標第I階段： 制定如下方面的標準和指南：16,巨大的益處,更加一致和可比的信息系統(tǒng)安全控制規(guī)范,更加一致、

8、可比和可重復的信息系統(tǒng)級評估,為負責授權(quán)的官員提供更加完備和可靠的安全相關信息,更好地理解復雜的信息系統(tǒng)及其相關風險和脆弱性,更多更好的安全認證服務,,17,巨大的益處更加一致和可比的信息系統(tǒng)安全控制規(guī)范17,總體框架圖,信息安全項目,,機構(gòu)的信息和信息系統(tǒng),,,,,,SP 800-37 SP 800-53A,安全控制有效 性的驗證 （認證）,通過安全測試與評估，衡量信息系統(tǒng)中安全控制的有效性,根據(jù)保密性、完整性和可用性方面存在的風險程度，定義信息和信息系統(tǒng)的類別,信息和信息系統(tǒng)分類,,,FIPS 199

9、 SP 800-60,記錄安全需求以及規(guī)劃中或已部署的信息和信息系統(tǒng)保護安全控制,安全規(guī)劃,,SP 800-18,分析信息系統(tǒng)的威脅和脆弱性以及機構(gòu)的運行和資產(chǎn)可能因保密性、完整性和可用性的損失而遭到的潛在影響和危害,風險評估,,SP 800-30,安全授權(quán),（,認可）,基于控制的有效性和殘余風險，機構(gòu)的高級官員授權(quán)信息系統(tǒng)可以處理、存儲或傳輸信息,,SP 800-37,安全控制的選擇和實施,,,,規(guī)劃中或已經(jīng)部署的用來保護信息與信息系統(tǒng)的管理、技術(shù)和運行控制（即安全措施和對策）,,FIPS 200,,SP 800-53,,18,總體框架圖信息安全項目 SP 800-37 SP

10、,分類標準,NIST FISMA,要求 #1,制定標準，用于供聯(lián)邦機構(gòu)對其信息和信息系統(tǒng),分類,時所用，針對相應的風險級提供適度的信息安全,與聯(lián)邦的整體體系結(jié)構(gòu)相聯(lián)系，在參考模型中體現(xiàn),安全可追蹤性,,,19,分類標準NIST FISMA要求 #1制定標準，用于供聯(lián)邦,成果,各機構(gòu)將具有一種標準化的手段來判斷哪些基線安全控制是在有效地保護信息和信息系統(tǒng)時所需的，以：,,完成機構(gòu)的使命,保護機構(gòu)的資產(chǎn),,維護機構(gòu)的日常職能,,保護個人,,20,成果各機構(gòu)將具有一種標準化的手段來判斷哪些基線安全控制是在有,適用性,FIPS 199,適用于：,聯(lián)邦政府內(nèi)除下列信息外的所有信息：根據(jù)修訂過的1295

11、8號行政令或此前的任何相關命令，或根據(jù)修訂過的1954年《原子能法案》要求得到保護，防止未授權(quán)泄露，且被標識為涉密狀態(tài)的信息,除根據(jù)美國法典第44編第3542(,b)(2),定義的國家安全系統(tǒng)外的所有的聯(lián)邦信息系統(tǒng),,21,適用性FIPS 199適用于：21,安全目標,保密性,“,信息的訪問和披露要經(jīng)過授權(quán)，包括保護個人隱私和專屬信息的手段。”,[,美國法典第44編第3542款,],完整性,“,防止對信息進行不適當?shù)男薷幕蚱茐?，包括確保信息的不可否認性和真實性。,”,[,美國法典第44編第3542款,],可用性,“,確?？梢约皶r可靠地訪問和使用信息。,”,[,美國法典第44編第3542款,],

12、,22,安全目標保密性22,可能的損失類型,保密性,損失,,非授權(quán)泄漏信息,完整性,損失,,非授權(quán)修改或破壞信息,可用性,損失,,無法使用信息或信息系統(tǒng),,23,可能的損失類型保密性損失23,可能的影響,當下列情況發(fā)生時，可能的影響為,低,——,保密性、完整性或可用性的損失會給組織的運行、資產(chǎn)或個人帶來,有限的負面影響,。,進一步解釋,: 例如，有限的負面影響意味著保密性、完整性或可用性的損失可能：（,i,）引起使命能力的降低，其程度和持續(xù)時間使組織仍能夠履行其主要職能，但職能的效果有了明顯的下降；（,ii,）對組織的資產(chǎn)造成較小的破壞；（,iii,）造成了較小的金融損失；（,iv,）對人員造

13、成了較小的不利影響。,,24,可能的影響當下列情況發(fā)生時，可能的影響為低——24,可能的影響,當下列情況發(fā)生時，可能的影響為,中,——,保密性、完整性或可用性的損失會給組織的運行、資產(chǎn)或個人帶來,較大的負面影響,。,進一步解釋,: 例如，較大的負面影響意味著保密性、完整性或可用性的損失可能：（,i,）引起使命能力的較大降低，其程度和持續(xù)時間使組織仍能夠履行其主要職能，但職能的效果有了較大的下降；（,ii,）對組織的資產(chǎn)造成較大的破壞；（,iii,）造成了較大的金融損失；（,iv,）對人員造成了較大的不利影響，但不涉及到生命或肢體的損失。,,25,可能的影響當下列情況發(fā)生時，可能的影響為中——2

14、5,可能的影響,當下列情況發(fā)生時，可能的影響為,高,——,保密性、完整性或可用性的損失會給組織的運行、資產(chǎn)或個人帶來,嚴重的或災難性的負面影響,。,進一步解釋,: 例如，嚴重的災難性的負面影響意味著保密性、完整性或可用性的損失可能：（,i,）引起使命能力的巨大降低，其程度和持續(xù)時間使組織已無法履行其一項或多項主要職能；（,ii,）對組織的資產(chǎn)造成巨大的破壞；（,iii,）造成了巨大的金融損失；（,iv,）對人員造成了嚴重的或災難性的不利影響，涉及到了生命或肢體的損失。,,26,可能的影響當下列情況發(fā)生時，可能的影響為高——26,安全分類,,低,中,高,,保密性,信息的非授權(quán)泄露會給組織的運行、

15、資產(chǎn)或個人帶來有限的負面影響。,信息的非授權(quán)泄露會給組織的運行、資產(chǎn)或個人帶來較大的負面影響。,信息的非授權(quán)泄露會給組織的運行、資產(chǎn)或個人帶來嚴重的或災難性的負面影響。,,,完整性,信息的非授權(quán)修改或破壞會給組織的運行、資產(chǎn)或個人帶來有限的負面影響。,信息的非授權(quán)修改或破壞會給組織的運行、資產(chǎn)或個人帶來較大的負面影響。,,信息的非授權(quán)修改或破壞會給組織的運行、資產(chǎn)或個人帶來嚴重的或災難性的負面影響。,,可用性,信息或信息系統(tǒng)無法訪問、無法使用會給組織的運行、資產(chǎn)或個人帶來有限的負面影響。,信息或信息系統(tǒng)無法訪問、無法使用會給組織的運行、資產(chǎn)或個人帶來較大的負面影響。,信息或信息系統(tǒng)無法訪問、無

16、法使用會給組織的運行、資產(chǎn)或個人帶來嚴重的或災難性的負面影響。,舉例: 對使命而言很關鍵的信息及信息系統(tǒng),將信息及信息系統(tǒng)的類型映射到,FIPS 199,安全類別之中,,,27,安全分類低中高信息的非授權(quán)泄露會給組織的運行、資產(chǎn)或個人帶來,安全分類,舉例: 對使命而言很關鍵的信息及信息系統(tǒng),將信息及信息系統(tǒng)的類型映射到,FIPS 199,安全類別之中,,對高影響系統(tǒng)的基線安全控制,,低,中,高,,保密性,信息的非授權(quán)泄露會給組織的運行、資產(chǎn)或個人帶來有限的負面影響。,信息的非授權(quán)泄露會給組織的運行、資產(chǎn)或個人帶來較大的負面影響。,信息的非授權(quán)泄露會給組織的運行、資產(chǎn)或個人帶來嚴重的或災難性的負

17、面影響。,,,完整性,信息的非授權(quán)修改或破壞會給組織的運行、資產(chǎn)或個人帶來有限的負面影響。,信息的非授權(quán)修改或破壞會給組織的運行、資產(chǎn)或個人帶來較大的負面影響。,,信息的非授權(quán)修改或破壞會給組織的運行、資產(chǎn)或個人帶來嚴重的或災難性的負面影響。,,可用性,信息或信息系統(tǒng)無法訪問、無法使用會給組織的運行、資產(chǎn)或個人帶來有限的負面影響。,信息或信息系統(tǒng)無法訪問、無法使用會給組織的運行、資產(chǎn)或個人帶來較大的負面影響。,信息或信息系統(tǒng)無法訪問、無法使用會給組織的運行、資產(chǎn)或個人帶來嚴重的或災難性的負面影響。,,,28,安全分類舉例: 對使命而言很關鍵的信息及信息系統(tǒng)將信息及信息,映射指南,,NIST F

18、ISMA,要求 #2,制定指南，建議各種信息和信息系統(tǒng)如何歸入,FIPS 199,中提出的類別之中,NIST,還制定了：,SP 800-60《,如何將各種信息和信息系統(tǒng)映射到安全類別的指南》,,29,映射指南NIST FISMA要求 #2制定指南，建議各種信,最小安全控制,,NIST FISMA,要求#3,為每一類別的信息和信息系統(tǒng)制定最小的信息安全要求（管理、運行和技術(shù)類安全控制）,NIST,還制定了：,FIPS 200《,聯(lián)邦信息系統(tǒng)最小安全控制》,,30,最小安全控制NIST FISMA要求#3為每一類別的信息和,SP 800-53,,指導如何為聯(lián)邦信息系統(tǒng)選擇和規(guī)定安全控制,提供了

19、大量的信息系統(tǒng)安全控制（并入了,NIST SP 800-26、DoD8500、D/CID6-3、ISO/IEC 17799、GAO FISCAM、HHS-CMS）,為,FIPS 199,中各個類別的信息系統(tǒng)建議了基線（最小）安全控制,提供了供各機構(gòu)裁剪機線安全控制的指南,,31,SP 800-53指導如何為聯(lián)邦信息系統(tǒng)選擇和規(guī)定安全控制,認證和認可,定期測試和評估信息安全策略、流程以及措施（管理、運行、技術(shù)類安全控制）的有效性。,NIST,發(fā)布了：,SP 800-37《,聯(lián)邦信息系統(tǒng)安全認證和認可指南》,SP 800-53A《,聯(lián)邦信息系統(tǒng)安全有效性驗證技術(shù)和流程》,,32,認證和認可定期測

20、試和評估信息安全策略、流程以及措施（管理、運,SP 800-37,,聯(lián)邦信息系統(tǒng)安全認證和認可指南,建立了用以對聯(lián)邦政府行政部門內(nèi)的信息系統(tǒng)進行認證和認可的指南（包括任務和子任務）,可適用于,FISMA,中定義的非國家安全系統(tǒng),替代了,FIPS 102,,33,SP 800-37聯(lián)邦信息系統(tǒng)安全認證和認可指南建立了用以,SP 800-53A,,聯(lián)邦信息系統(tǒng)安全控制有效性驗證技術(shù)和流程,提供了標準化的技術(shù)和流程，用于獨立的認證人員去驗證安全控制的有效性,為,SP 800-53,中的每一種安全控制提供了單一的基線驗證流程,允許各機構(gòu)附加其它的驗證技術(shù)和流程,,34,SP 800-53A聯(lián)邦信息

21、系統(tǒng)安全控制有效性驗證技術(shù)和流,總體框架圖,信息安全項目,,機構(gòu)的信息和信息系統(tǒng),,,,,,SP 800-37 SP 800-53A,安全控制有效 性的驗證 （認證）,通過安全測試與評估，衡量信息系統(tǒng)中安全控制的有效性,根據(jù)保密性、完整性和可用性方面存在的風險程度，定義信息和信息系統(tǒng)的類別,信息和信息系統(tǒng)分類,,,FIPS 199 SP 800-60,記錄安全需求以及規(guī)劃中或已部署的信息和信息系統(tǒng)保護安全控制,安全規(guī)劃,,SP 800-18,分析信息系統(tǒng)的威脅和脆弱性以及機構(gòu)的運行和資產(chǎn)可能因保密性、

22、完整性和可用性的損失而遭到的潛在影響和危害,風險評估,,SP 800-30,安全授權(quán),（,認可）,基于控制的有效性和殘余風險，機構(gòu)的高級官員授權(quán)信息系統(tǒng)可以處理、存儲或傳輸信息,,SP 800-37,安全控制的選擇和實施,,,,規(guī)劃中或已經(jīng)部署的用來保護信息與信息系統(tǒng)的管理、技術(shù)和運行控制（即安全措施和對策）,,FIPS 200,,SP 800-53,,35,總體框架圖信息安全項目 SP 800-37 SP,第,III,部分,安全控制,,36,第III部分安全控制36,安全控制類,包含大約170條,根據(jù)類（,classes）,和族（,families）,組織,包括3個級別的安全控

23、制強健性（基本級、增強級、強壯級）,本質(zhì)上是動態(tài)的，允許修改和擴展，以滿足不斷變化的需求和技術(shù),,37,安全控制類包含大約170條37,安全控制,管理控制,針對,IT,系統(tǒng)的安全管理以及系統(tǒng)風險管理,運行控制,針對主要由人（與系統(tǒng)相對）來實施和執(zhí)行的安全機制,技術(shù)控制,針對包含在計算機系統(tǒng)中并由計算機系統(tǒng)來執(zhí)行的安全機制,,38,安全控制管理控制38,管理控制,風險管理,安全規(guī)劃,系統(tǒng)和服務的采辦,安全控制的檢查,處理授權(quán),,39,管理控制風險管理39,運行控制,人員安全,介質(zhì)保護,物理和環(huán)境保護,應急規(guī)劃和運行,管理配置,事件響應,,40,運行控制人員安全40,運行控制,硬件和軟件維護,系統(tǒng)

24、和數(shù)據(jù)完整性,安全意識、培訓和教育,,41,運行控制硬件和軟件維護41,技術(shù)控制,標識和鑒別,邏輯訪問控制,可追究性（包括審計跟蹤）,系統(tǒng)和通信保護,,42,技術(shù)控制標識和鑒別42,基線安全控制,三套基線（最小,）,安全控制是為,FIPS 199,中的不同安全類別定義的,在相應基線（即低、中、高）中的每一套安全控制可對抗預計的威脅,對于可以確定的威脅源，基線安全控制可以提供：（,i,）全面的對抗；（,ii,）部分的對抗；或者（,iii,）不對抗,,43,基線安全控制三套基線（最小）安全控制是為FIPS 199中的,基線安全控制,基線安全控制為一個組織在選擇安全控制時提供了出發(fā)點,安全控制可以由

25、組織根據(jù)風險評估的結(jié)果和/或特定的安全要求（例如,HIPAA、GLP,法案）進行裁減,,44,基線安全控制基線安全控制為一個組織在選擇安全控制時提供了出發(fā),威脅的特征,SP 800-53,根據(jù)如下方面刻畫了威脅源：,,類型,,能力,,資源,,意圖,,45,威脅的特征SP 800-53根據(jù)如下方面刻畫了威脅源：45,威脅的特征,,攻擊類型,本地的,攻擊者在物理上需要位于被攻擊的信息系統(tǒng)的地點,網(wǎng)絡的,攻擊者的物理位置不需要位于被攻擊的信息系統(tǒng)的地點——攻擊者是從網(wǎng)絡上發(fā)起攻擊的,,46,威脅的特征攻擊類型本地的46,威脅的特征,,攻擊者的能力,攻擊者的熟練程度,低：,攻擊者只具有普通的,IT,

26、技能，對于待攻擊信息系統(tǒng)的了解有限，不使用攻擊工具,高：,滿足下列兩個條件之一（或均滿足）：（,i,）使用了成熟的工具（包括可從公共渠道獲得的工具）；（,ii,）攻擊者使用了高級的攻擊技術(shù),對信息系統(tǒng)的訪問位置,內(nèi)部：,攻擊者有可能不是信息系統(tǒng)的用戶，或者是未授權(quán)的用戶，也可能是授權(quán)的用戶,外部：,攻擊者不是信息系統(tǒng)的用戶，或者是公共用戶,,47,威脅的特征攻擊者的能力攻擊者的熟練程度47,威脅的特征,,攻擊者的意圖,非惡意的,攻擊者的目的不是破壞信息系統(tǒng)或組織，而是出于好奇或厭煩，或者僅僅是因為要挑戰(zhàn)智力,惡意的,攻擊者具有破壞信息系統(tǒng)或組織的清晰意圖，旨在惡意影響組織的運行或資產(chǎn),,48

27、,威脅的特征攻擊者的意圖非惡意的48,威脅的特征,,攻擊者的資源,少量的,攻擊者：,自己指導自己，或自己激勵自己,單干（一個人或者是小的團體），沒有外部的影響或指導,只有少量的資源（一般少于一百萬美元）,,49,威脅的特征攻擊者的資源少量的49,威脅的特征,,攻擊者的資源,中度的,攻擊者：,來自一個團體或組織，但不涉及到國家（例如攻擊者是一個涉及商業(yè)間諜的公司，或者是一個涉及犯罪或恐怖主義活動的實體）,受到來自集團或組織的領導的充分指導和影響,擁有中度規(guī)模的資源（一般少于一千萬美元）,,50,威脅的特征攻擊者的資源中度的50,威脅的特征,,攻擊者的資源,豐富的,攻擊者：,來自一個涉及到國

28、家（例如涉及到情報搜集行為、信息戰(zhàn)的國家，或是資助恐怖主義的國家）的團體或組織,受到來自集團或組織的領導的充分指導和影響，并直接處在集團或組織的控制之下,擁有大量的資源（一般大于一千萬美元）,,51,威脅的特征攻擊者的資源豐富的51,安全控制的強健性,基于機制的強度和安全機制在實現(xiàn)時的有效性保障而定義了3種級別的強健性（基本級、增強級、強壯級）,根據(jù)安全控制的設計質(zhì)量、開發(fā)方法學、開發(fā)過程的成熟性、測試和評估的嚴格程度而定義了保障,,52,安全控制的強健性基于機制的強度和安全機制在實現(xiàn)時的有效性保障,安全控制示例,,類：管理,,族：安全控制檢查,CR-2,脆弱性掃描,,控制目標：,部署并有效

29、實施了用來定期掃描脆弱性的流程和機制。,CR-2.b,基本控制：,機構(gòu)實施了脆弱性評估工具；開發(fā)了評估工具的實施流程，機 構(gòu)的人員得到了對評估工具的操作培訓。機構(gòu)能夠時隔[賦值：時間；例如：每6個月]通過脆弱性檢測工具來掃描信息系統(tǒng)，從而測試信息系統(tǒng)的安全態(tài)勢。,,53,安全控制示例類：管理 族：安全控,安全控制示例,,類：管理,,族：安全控制檢查,CR-2,脆弱性掃描,,控制目標：,部署并有效實施了用來定期掃描脆弱性的流程和機制。,CR-2.e,增強的控制：,機構(gòu)實施了脆弱性評估工具；開發(fā)了評估工具的實施流程，機 構(gòu)的人員得到了對評估工具的操作培訓。機構(gòu)能夠時

30、隔[賦值：時間；例如：每6個月]通過脆弱性檢測工具來掃描信息系統(tǒng)，從而測試信息系統(tǒng)的安全態(tài)勢。,,脆弱性掃描工具包括即時升級脆弱性列表的能力。脆弱性列表要至少在每次定期掃描之前得到升級。脆弱性掃描的流程包括：在列表升級時掃描，且當一個重大的新脆弱性被宣布時也要進行掃描。,,,54,安全控制示例類：管理 族：安全控,安全控制示例,,類：管理,,族：安全控制檢查,CR-2,脆弱性掃描,,控制目標：,部署并有效實施了用來定期掃描脆弱性的流程和機制。,CR-2.s,強壯的控制：,機構(gòu)實施了脆弱性評估工具；開發(fā)了評估工具的實施流程，機 構(gòu)的人員得到了對評估工具的操作培訓。機

31、構(gòu)能夠時隔[賦值：時間；例如：每6個月]通過脆弱性檢測工具來掃描信息系統(tǒng)，從而測試信息系統(tǒng)的安全態(tài)勢。,,脆弱性掃描工具包括即時升級脆弱性列表的能力。脆弱性列表要至少在每次定期掃描之前得到升級。脆弱性掃描的流程包括：在列表升級時掃描，且當一個重大的新脆弱性被宣布時也要進行掃描。,脆弱性掃描流程還包括確保掃描全面性的手段，不管是在所檢查的脆弱性方面，還是在所掃描的信息資源方面。,,55,安全控制示例類：管理 族：安全控,安全要求的映射,判斷是否遵循了法律、行政令、指令、政策或規(guī)章（例如,HIPAA）,中提出的安全要求，這要將這些要求映射到安全控制中,所選擇的安全控制可

32、以在信息系統(tǒng)中實現(xiàn),安全控制的有效性可以通過安全認證過程得到驗證——這將導向安全認可（授權(quán)信息系統(tǒng)投入運行）,,56,安全要求的映射判斷是否遵循了法律、行政令、指令、政策或規(guī)章（,第,IV,部分,,認證和認可,,57,第IV部分認證和認可57,安全認可,,“管理層做出的決策，用來授權(quán)一個信息系統(tǒng)投入運行——,,這種授權(quán)是由機構(gòu)的高級官員給予的，與具體的運行環(huán)境相吻合，清晰地說明了機構(gòu)的運行、資產(chǎn)或個人所能接受的風險級別，這些風險是在實施了一致同意地安全控制后仍然存在的……,”,,58,安全認可 “管理層做出的決策，用來授權(quán)一個信息系統(tǒng)投入運,安全認證,,“對信息系統(tǒng)的技術(shù)類、管理類和運行

33、類安全控制所進行的綜合評估——,,這種評估要對安全授權(quán)過程提供支持，它將判斷安全控制在一個特定環(huán)境中的有效性以及信息系統(tǒng)在實施了安全控制之后存在的脆弱性……,”,,59,安全認證 “對信息系統(tǒng)的技術(shù)類、管理類和運行類安全控制所,關鍵角色,授權(quán)官員,授權(quán)官員的指派代表,信息系統(tǒng)擁有者,信息系統(tǒng)安全官,認證主體,用戶代表,注意：機構(gòu)應當對上述推薦的角色進行裁減。例如，對一個小的組織而言，有可能需要制定更適合組織結(jié)構(gòu)的類似角色。但這些角色的責任分離是重要的，不管組織的規(guī)模如何。,,60,關鍵角色授權(quán)官員60,授權(quán)官員,檢查和批準信息系統(tǒng)的安全計劃,基于在安全認證過程中收集的信息來判斷機構(gòu)的運行或

34、資產(chǎn)中存在的殘余風險,做出安全認可決策，對認可包簽署相關的轉(zhuǎn)交證書（只限授權(quán)官員）,檢查在對信息系統(tǒng)運行的不斷監(jiān)視中做出的安全狀態(tài)報告,發(fā)起安全重認可決策,,61,授權(quán)官員檢查和批準信息系統(tǒng)的安全計劃61,指派代表,由授權(quán)官員選擇，用來協(xié)調(diào)和履行安全認證及認可過程中必需的活動,被授權(quán)來對如下事項做出決策：,安全認證和認可活動的規(guī)劃和資源準備,接受安全計劃,判斷機構(gòu)的運行和資產(chǎn)中的殘余風險,準備最終的安全認可包,得到授權(quán)官員對安全認可證書的簽名，將認可包轉(zhuǎn)交給合適的機構(gòu)官員,,62,指派代表由授權(quán)官員選擇，用來協(xié)調(diào)和履行安全認證及認可過程中必,信息系統(tǒng)擁有者,代表了用戶的利益,準備安全計劃，實施

35、風險評估,向機構(gòu)的認證、認可官員提供信息；確保認證認可過程中所需的合適資源,向認證主體提供與系統(tǒng)相關的必備文檔,制定行動計劃（和里程碑），減少或消除信息系統(tǒng)中的脆弱性,組合最終的安全認證包，提交給授權(quán)官員,,63,信息系統(tǒng)擁有者代表了用戶的利益63,信息系統(tǒng)安全官,在所有涉及到信息系統(tǒng)安全的事項中作為系統(tǒng)擁有者的咨詢?nèi)藛T,管理信息系統(tǒng)的安全，并在某些情況下還要負責監(jiān)督系統(tǒng)的日常運行,在如下方面協(xié)助系統(tǒng)擁有者：,制定并執(zhí)行信息系統(tǒng)安全策略,組合安全認證包,管理和控制信息系統(tǒng)的變更，評估這些變更所帶來的安全影響,,64,信息系統(tǒng)安全官在所有涉及到信息系統(tǒng)安全的事項中作為系統(tǒng)擁有者,認證主體,對安全

36、計劃進行獨立評估,評估信息系統(tǒng)中的安全控制，以判斷：,這些控制在具體運行環(huán)境中的有效性,系統(tǒng)在實施完安全控制后存在的脆弱性,提出校正措施建議，用以減少或消除信息系統(tǒng)中的脆弱性,,65,認證主體對安全計劃進行獨立評估65,用戶代表,代表了用戶團體的運行利益和使命要求,標識使命和運行要求,在整個信息系統(tǒng)的生命周期中擔當用戶團體的聯(lián)絡員,在必要時協(xié)助安全認證和認可過程,,66,用戶代表代表了用戶團體的運行利益和使命要求66,其他的支持性角色,信息安全項目經(jīng)理,信息擁有者,運行管理員,設備管理員,,,67,其他的支持性角色信息安全項目經(jīng)理67,類型認證,主應用或通用支撐系統(tǒng)，是硬件、軟件和/或固件的通

37、用集合,擬安裝在多個位置,,位置,A,位置,B,位置,C,,68,類型認證主應用或通用支撐系統(tǒng)，是硬件、軟件和/或固件的通用集,現(xiàn)場認證,主應用或通用支撐系統(tǒng)，具有共同的使命和威脅/脆弱性,一個自包含的位置處有多個組織；他們具有共同的上級,,,69,現(xiàn)場認證主應用或通用支撐系統(tǒng)，具有共同的使命和威脅/脆弱性6,安全認證包,關鍵文檔——,安全計劃,安全測試和評估報告,行動和里程碑計劃,,70,安全認證包關鍵文檔——70,安全認證包,記錄安全認證的結(jié)果,向授權(quán)官員提供重要的信息，以使其在是否允許信息系統(tǒng)投入運行方面做出可靠的基于風險的決策,使用來自信息系統(tǒng)安全官和認證主體的輸入信息,,71,安全認

38、證包記錄安全認證的結(jié)果71,安全認可決策,全認可,臨時認可,拒絕認可,,72,安全認可決策全認可72,全認可,組織的運行和資產(chǎn)中的殘余風險被認為完全可被授權(quán)官員接受,被認可的信息系統(tǒng)可以在運行中沒有任何重大約束或限制,在成本有效性允許的地方，授權(quán)官員可能會推薦特定的工作來減少或消除已經(jīng)發(fā)現(xiàn)的脆弱性,,73,全認可組織的運行和資產(chǎn)中的殘余風險被認為完全可被授權(quán)官員接受,臨時認可,組織的運行和資產(chǎn)中的殘余風險被認為不是可被完全接受的，但由于使命的原因，系統(tǒng)有強烈的需要投入運行（或繼續(xù)運行）,在特定的時期和狀態(tài)下進行受限運行——但被告知系統(tǒng)在這段受限的時期內(nèi)具有較高的風險,,74,臨時認可組織的運行

39、和資產(chǎn)中的殘余風險被認為不是可被完全接受的,臨時認可,授權(quán)官員規(guī)定的時期和狀態(tài)是對信息系統(tǒng)運行的限制,在這段受限授權(quán)的時期內(nèi)，信息系統(tǒng)并未獲得認可,最大可允許的時間段應該與,FIPS 199,中規(guī)定的安全類別相稱,,75,臨時認可授權(quán)官員規(guī)定的時期和狀態(tài)是對信息系統(tǒng)運行的限制75,臨時認可,在受限運行的時間末，信息系統(tǒng)應當滿足全認可的要求，否則不能被授權(quán)進一步運行,只有在非常極端或有充分理由的情況下，才能被授權(quán)官員允許重新臨時認可或擴展臨時認可期限，但不鼓勵這樣做,在臨時認可的時間段內(nèi)，安全控制的有效性應該得到監(jiān)視,,76,臨時認可在受限運行的時間末，信息系統(tǒng)應當滿足全認可的要求，否,拒絕認可

40、,機構(gòu)運行或資產(chǎn)中的殘余風險被授權(quán)官員認為不可接受,拒絕認可中，信息系統(tǒng)不能得到認可，不能投入運行——如果信息系統(tǒng)已經(jīng)在運行，則所有的活動應當停止,應當立即發(fā)起矯正行為，以處理信息系統(tǒng)安全控制中的重大缺陷,,77,拒絕認可機構(gòu)運行或資產(chǎn)中的殘余風險被授權(quán)官員認為不可接受77,認可包,轉(zhuǎn)達最終的認可決策,根據(jù)認證包中提供的信息構(gòu)建,由下列內(nèi)容組成：,認可決策證書,用來支持認可決策的原理,對系統(tǒng)擁有者指定的具體期限和狀態(tài),,安全認證和認可文檔中的內(nèi)容（尤其是與系統(tǒng)脆弱性有關的信息）應當?shù)玫綐擞?，并根?jù)機構(gòu)的策略得到妥善保護。,,78,認可包轉(zhuǎn)達最終的認可決策78,認證和認可過程,啟動階段,認證階段

41、,認可階段,持續(xù)監(jiān)視階段,,79,認證和認可過程啟動階段79,啟動階段,,關鍵問題,安全計劃中制定的,FIPS 199,安全類是否正確？,執(zhí)行計劃是否正確地標識了安全認證和認可活動所需的資源？,安全計劃中是否正確地闡述了預期的安全風險？,如果預期的風險是正確的，那么這些風險是否可接受？,,80,啟動階段關鍵問題安全計劃中制定的FIPS 199安全類是否,啟動階段,,,主要任務,準備,通知有關各方并標識資源,安全計劃的分析、更新和接受,,81,啟動階段 主要任務準備81,認證階段,,關鍵問題,信息系統(tǒng)中有哪些實際的脆弱性？,已經(jīng)實施或計劃實施哪些具體的矯正行動來減少或消除信息系統(tǒng)中的脆弱性？

42、,,,82,認證階段關鍵問題信息系統(tǒng)中有哪些實際的脆弱性？82,認證階段,,主要任務,安全控制的驗證,安全認證文檔,,,83,認證階段主要任務安全控制的驗證83,認可階段,,關鍵問題,信息系統(tǒng)中實際的脆弱性是如何解釋成機構(gòu)的運行和資產(chǎn)中的實際風險的？,風險可以接受嗎？,,84,認可階段關鍵問題信息系統(tǒng)中實際的脆弱性是如何解釋成機構(gòu)的運,認可階段,,主要任務,安全認可決策,安全認可文檔,,,85,認可階段主要任務安全認可決策85,持續(xù)監(jiān)視階段,,關鍵問題,信息系統(tǒng)中的任何變更是如何影響系統(tǒng)中當前已經(jīng)發(fā)現(xiàn)的脆弱性的？,如果已經(jīng)影響到了脆弱性，機構(gòu)的運行或資產(chǎn)中的風險是否受到了信息系統(tǒng)變更的

43、影響？,或,根據(jù)聯(lián)邦政策或本機構(gòu)的政策，信息系統(tǒng)需要進行重認可的時間段是否已經(jīng)過期？,,86,持續(xù)監(jiān)視階段關鍵問題信息系統(tǒng)中的任何變更是如何影響系統(tǒng)中當,持續(xù)監(jiān)視階段,,主要任務,配置管理和控制,對安全控制的持續(xù)驗證,狀態(tài)報告和文檔記錄,,,87,持續(xù)監(jiān)視階段主要任務配置管理和控制87,第,V,部分,摘要,,88,第V部分摘要88,NIST,標準和指南,旨在推動和促進——,更加一致和可比的信息系統(tǒng)安全控制規(guī)范,更加一致和可比的信息系統(tǒng)安全控制規(guī)范,更加一致、可比和可重復的信息系統(tǒng)級評估,為負責授權(quán)的官員提供更加完備和可靠的安全相關信息,更好地理解復雜的信息系統(tǒng)及其相關風險和脆弱性,更多更

44、好的安全認證服務,,89,NIST標準和指南旨在推動和促進——89,總體框架圖,信息安全項目,,機構(gòu)的信息和信息系統(tǒng),,,,,,SP 800-37 SP 800-53A,安全控制有效 性的驗證 （認證）,通過安全測試與評估，衡量信息系統(tǒng)中安全控制的有效性,根據(jù)保密性、完整性和可用性方面存在的風險程度，定義信息和信息系統(tǒng)的類別,信息和信息系統(tǒng)分類,,,FIPS 199 SP 800-60,記錄安全需求以及規(guī)劃中或已部署的信息和信息系統(tǒng)保護安全控制,安全規(guī)劃,,SP 800-18,分析信息系統(tǒng)的威脅和脆弱性以及機構(gòu)的運行和資產(chǎn)可能因保密性、完整性和可用性的損失而遭到的潛在影響和危害,風險評估,,SP 800-30,安全授權(quán),（,認可）,基于控制的有效性和殘余風險，機構(gòu)的高級官員授權(quán)信息系統(tǒng)可以處理、存儲或傳輸信息,,SP 800-37,安全控制的選擇和實施,,,,規(guī)劃中或已經(jīng)部署的用來保護信息與信息系統(tǒng)的管理、技術(shù)和運行控制（即安全措施和對策）,,FIPS 200,,SP 800-53,,90,總體框架圖信息安全項目 SP 800-37 SP,謝謝大家！,,91,謝謝大家！91,