文档介绍：信息安全保障体系信息安全保障体系
江常青江常青
中国信息安全产品测评认证中心中国信息安全产品测评认证中心
主要内容主要内容
n 信息安全历程
n 信息安全体系
n 信息安全保障体系
n 安全视角
cnitsec
从历史看信息安全从历史看信息安全
n SEC)
n pSEC)
n IT安全(ITSEC)
n 信息安全保障(IA)
cnitsec
信息安全问题之一信息安全问题之一
通信保密问题通信保密问题
n 40年代-70年代
•重点是通过密码技术解决通信保密问题,保证
数据的保密性与完整性
•主要安全威胁是搭线窃听、密码学分析
•主要保护措施是加密
•重要标志
–1949年Shannon发表的《保密系统的通信理论》
–1977年美国国家标准局公布的数据加密标准(
DES)
–1976年由Diffie与Hellman在“New Directions in
Cryptography”一文中提出了公钥密码体制
cnitsec
信息安全问题之二信息安全问题之二::
计算机系统安全问题计算机系统安全问题
n 70-80年代
•重点是确保计算机系统中硬件、软件及正在处理、
存储、传输信息的机密性、完整性和可控性
•主要安全威胁扩展到非法访问、恶意代码、脆弱口
令等
•主要保护措施是安全操作系统设计技术(TCB)
•主要标志是1985年美国国防部公布的可信计算机系
统评估准则(TCSEC)将操作系统的安全级别分
为四类七个级别(D、C1、C2、B1、B2、B3、
A1),后补充红皮书TNI(1987)和TDI(1991)
,构成彩虹(rainbow)系列
cnitsec
信息安全问题之三信息安全问题之三::
网络时代的信息安全问题网络时代的信息安全问题
n 年代以来
•重点需要保护信息,确保信息在存储、处理、传输
过程中及信息系统不被破坏,确保合法用户的服务和
限制非授权用户的服务,以及必要的防御攻击的措施
。强调信息的保密性、完整性、可控性、可用性
•主要安全威胁发展到网络入侵、病毒破坏、信息对抗
的攻击等
•主要保护措施包括防火墙、防病毒软件、***、
入侵检测、PKI、VPN、安全管理等
•(ISO
15408、GB/T 18336)
cnitsec
信息安全问题之四信息安全问题之四
信息安全保障(IA)
运行
技术
备份与灾难恢复边界安全网络安全基础设施安全评估
人
人员安全安全培训
安全意识安全管理
物理安全
证书系统授权系统
计算环境安全
监控检测
cnitsec
安全体系架构安全体系架构
安全体系安全体系((一一))
n 标准
• GB/T
–《信息处理系统开放系统互连基本参考模型第2部分:
安全体系结构》
–等同于ISO 7498-2
n 概述
•目的:是让异构型计算机系统的互连能达到应用
进程之间的有效通信。
•任务:
–
–
cnitsec
三维结构图三维结构图
Application layer
enciperment Digital signature
Representation layer
Data integrity Data Exchange
Session layer
Access control Traffic Padding
Transport layer
Route control notarization
Network layer
Link layer
Physical layer
authentication
Access control Trusted functionality
Data integrity Security Label
Data confidentiality Detection
Non-repudiation Security Audit Trail
Security itsec