CISM0101信息安全保障基础_V3.0(2016年)案例.pptx

信息安全保障基础 中国信息安全测评中心 版本：3.0 课程内容 2 信息安全 保障基础 信息安全保障 理论及实践 信息安全 法规政策标准 知识域：信息安全保障基础知识 理解信息安全的典型安全威胁 理解信息安全问题产生的根源 掌握信息安全三个基本要素（必威体育官网网址性、完整性和可用性）的概念和含义 了解信息安全发展的阶段及各阶段主要特点 理解信息安全保障的概念和内涵 3 信息和信息安全 信息 消息，泛指人类社会传播的一切内容 有意义的数据 在计算机系统中，信息通常以文字、声音、图像或数据的形式展现出来，它是按一定方式排列起来的、有意义的符号序列 信息安全 关注信息自身的安全 4 什么是信息安全 5 保持信息的必威体育官网网址性、完整性和可用性，即防止未经授权使用信息、防止对信息的非法修改和破坏、确保及时可靠地使用信息。（CIA） 必威体育官网网址性 必威体育官网网址性 Confidentiality（C） 也称机密性 确保信息没有泄漏，不被没有授权的个人、组织和计算机程序使用 必威体育官网网址性需求举例 国家秘密 企业或研究机构的核心知识产权 银行账号等个人信息 6 完整性 完整性 Integrity（I） 确保信息没有遭到篡改或破坏 信息保持原样，未受损坏 没有丢失、被篡改或被破坏 完整性需求举例 通信数据原样传送到对方 信息未被插入、增加、删除、修改 7 可用性 可用性 Availability（A） 确保拥有授权的用户或程序可以及时、正常使用信息 可用性需求举例 网站能支撑大量用户访问，正常提供服务 系统未受病毒影响，可以正常使用 系统能防御攻击者攻击，稳定可用 8 为什么会有信息安全问题？ 为什么会有信息安全问题？ 总有黑客来攻击 总有新病毒传播 某些软件配置错误 操作系统被发现了新的漏洞 领导不重视，施工人员不认真 写代码的程序员没有获得安全证书 ... 9 这些都对，怎么才能罗列完全？ 根本原因是什么？ 信息系统安全问题产生的根本原因 内因 系统自身的脆弱性 外因 来自恶意攻击者的攻击 来自自然灾害的破坏 10 安全问题根源—内因示例 复杂性导致脆弱性 凡是人做的东西总会存在问题 11 安全问题根源—外因示例 12 安全问题根源—外因示例 来自大自然的威胁 雷击、地震、火灾和洪水等自然灾害 电力、空调等被电磁脉冲破坏 信息系统机房和设备遭受破坏 13 信息安全的地位和作用 信息网络已逐渐成为经济繁荣、社会稳定和国家发展的基础 信息化深刻影响着全球经济的整合、国家战略的调整和安全观念的转变 信息安全适用于所有信息技术领域 学习、游戏、网络购物、电子邮件 信息化办公、电子商务 电子政务、电力供应、工业控制系统 核设施、军事情报系统 从单纯的技术性问题变成事关国家安全的全球性问题 14 信息安全发展阶段 15 通信安全 16 计算机安全 COMPUSEC Computer Security 20世纪，70-90年代 核心思想 确保信息系统的必威体育官网网址性、完整性和可用性 安全威胁 非法访问、恶意代码、脆弱口令等 安全措施 安全操作系统设计技术（TCB） 17 信息系统安全 18 信息安全保障 19 阶段 年代 安全威胁 安全措施 通信安全 20世纪， 40—70年代 搭线窃听、 密码学分析 加密 计算机安全 20世纪， 70-90年代 非法访问、 恶意代码、 脆弱口令等 安全操作系统设计技术（TCB） 信息系统安全 20世纪， 90年代后 网络入侵、 病毒破坏、 信息对抗等 防火墙、防病毒、 漏洞扫描、 入侵检测、 PKI、VPN等 信息安全保障 今天，…… 黑客、恐怖分子、 信息战、 自然灾难、 电力中断等 技术安全保障体系 安全管理体系 人员意识/培训/教育 信息安全发展各阶段特点 20 信息安全保障概念发展 第一次定义 1996年，美国国防部DoD指令5-3600.1（DoDD 5-3600.1）中，给出了信息安全保障的定义 中国 中办发27号文《国家信息化领导小组关于加强信息安全保障工作的意见》，是信息安全保障工作的纲领性文件 目前，信息安全保障的概念已逐渐被全世界信息安全领域所接受 美国 英国 日本 … 21 信息安全保障含义 保障目标 信息系统业务和使命安全 保障措施 防止信息泄露、修改和破坏 检测入侵行为，实施响应和改进措施 同传统信息安全概念相比较 强调检测和响应，强调动态安全 注重对信息系统进行全生命周期的保护 关注技术、管理、规范等方面 要求实现风险管控的目标 22 新阶段——网络空间安全/信息安全保障 CS/IA：Cyberspace Security/Information Assurance 威胁 有组织网络犯罪、网络恐怖主义、网络空间军事对抗、APT 共识：网络安全问题上升到国家安全的重要程度 2009年，在美国带动下，世界各国信息安全政策、技