信息安全和风险管理-CTEC 7799讲座.pptVIP

信息安全和风险管理 － 7799标准与实施 概述 Part I 什么是信息安全？ Part II 什么是风险和风险管理 Part III 什么是7799？ Part IV 如何获得7799认证？ Part I什么是信息安全 1-1 看待信息安全的各种思路 需求 状态 结果 功能 过程 能力 对信息安全的各种思路 需求 信息系统乃至信息化社会的需要 状态 对应于信息不安全。难于描述。 结果 对应于人们的努力。表面看只有两个结果：出事和不出事。 对信息安全的各种思路 功能 应用和实现的各种安全功能（产品）。比如：访问控制（防火墙）、审计跟踪（IDS）等 过程 对应于人们努力的内容和时间。 能力 对应于努力的综合实力 安全需求的多样性 6项安全要求CIARAA (ISO13335) 必威体育官网网址性 Confidentiality 完整性 Integrity 可用性 Availability 可靠性 Reliability 认证性 Authenticity 审计性 Accountability 信息安全需求的演变？ 最权威的传统评估标准 美国国防部在1985年公布 可信计算机安全评估准则 Trusted Computer Security Evaluation Criteria (TCSEC) 为安全产品的测评提供准则和方法 指导信息安全产品的制造和应用 可信计算机系统安全等级 传统评估标准的演变 美国 DoD85 TESEC TCSEC网络解释（TNI 1987） TCSEC数据库管理系统解释（TDI 1991） 欧洲 – ITSEC 美国、加拿大、欧洲等共同发起Common Criteria(CC) Reference Monitor 主要传统安全技术 操作系统访问控制 网络访问控制（防火墙） 加密（对称、非对称） 身份认证（口令、强认证……） …… VRM TCSEC认为，一个安全机制的三个基本要求： 不可旁路 不可篡改 足够小，可以被证明 RM传统安全理念和技术的局限 适合于主机/终端环境，对网络环境难于适应 系统和技术的发展太快，安全技术跟进困难 没有研究入侵者的特点和技术 …… 典型的攻击过程 1-3 P2DR安全模型 动态安全模型 可适应网络安全模型 P2DR安全模型 动态/可适应安全的典范 什么是安全？ 新的定义 PDR理念的不足 缺少管理环节的描述和表达 因此，才有Policy环节的引入 实用的时间很难测量 时间计算的算法非常复杂和不确定 PDR的时间计算 PDR的时间计算 PDR的时间计算 PDR的时间计算 1-4 我们应当期待什么效果？ 目前普遍应用的信息安全技术 访问控制 操作系统访问控制 网络防火墙 病毒防火墙 审计跟踪 IDS 漏洞扫描 日志分析 加密 存储和备份 鉴别和认证 PKI和CA 双因子认证 生物认证 …… 信息安全问题的难点 超复杂性 牵扯很多技术环节 涉及大量的管理问题 涉及人的因素 …… 最成熟的“工程”方法 风险管理 风险评估 风险控制和监控 信息安全管理系统ISMS 管理驱动技术 Part II 什么是风险和风险管理 什么是风险？ 风险： 对目标有所影响的某个事情发生的可能性。它根据后果和可能性来度量。 Risk the chance of something happening that will have an impact upon objectives. It is measured in terms of consequences and likelihood. -AS/NZS 4360:1999《风险管理》 什么是风险 风险：指定的威胁利用单一或一群资产的脆弱点造成资产的损失或损坏的潜在的可能性。 Risk: the potential that a given threat will exploit vulnerabilities of an asset or group of assets to cause loss or damage to the assets. - ISO/IEC TR 13335-1:1996 ISO15408安全模型 ISO/IEC 15408-1 安全概念和关系模型 模型的对抗特性 模型的动态性和风险性 模型的资产属性 风险避免 vs 风险管理 风险避免 构建一个一次性的防御体系。它必须足够强壮以抵挡各种威胁。它可能是没有弹性而且非常昂贵的。 风险管理 动态的，可以持续不断地适应威胁的变化。构建的防御体系仅仅采用适度的措施去保护有价值的资产，阻止进一步的损失，有效地给予恢复。 只购买你需要的，而不是你可能需要的。 但是特别需要有效的管理。 风