第9章--信息系统安全评估

9.2.2 信息系统安全评估标准
• 五个属性是指: 机密性、完整性和可用性、可控性、责任可追 查性。
• 五个层面是指：物理层面、网络层面、系统层面、应用层面 、管理层面。
• 五个等级是指：用户自主保护级、系统审计保护级、安全标 记保护级、结构化保护级、访问验证保护级。以第一级为基 础，逐级增强保护能力。安全保护能力方面，第一级为基础 级，安全保护能力从第一级到第五级访问验证保护级，逐级 增强。在安全登记保护标准方面，安全保护范围从第一级到 第五级逐渐缩小，级别越高，保护强度越高，保护的范围越 小，级别越低，保护的强度越低，保护范围越大。
9.2.4 信息系统安全评估标准所面临的问题及改进建议
• 3.加强国内信息系统安全评估标准的研究 • 从沟通交流的角度说，最好全世界只有一个标准，从国家 安全的角度说，最好所有的标准都和国外的不同，就像中国 和俄罗斯之间的铁路一样，轨距是不同的。标准意味着开放 ，互通，弱点公开，如果你自豪的宣称你的系统达到了CC EAL4安全级别，那就意味着你同时也具有EAL4级缺陷，采用 EAL5分析方法就可以解决。
9.1.2 我国的信息系统安全标准
• 截至2002年初，我国正式颁布信息安全相关国家标准已达40 多项，规定了信息安全的不同技术要求。下面分类列表说明 。 • 1.安全技术及安全机制相关国家标准（表9-1） • 表9-1 安全技术及安全机制相关国家标准
9.1.2 我国的信息系统安全标准
• 2.物理安全相关国家标准（表9-2） • • 表9-2 物理安全相关国家标准
9.3 国际与国内信息系统安全测评认证
9.3.1测评认证的概念 9.3.2测评认证的标准与规范 9.3.3测评认证的方法与流程
9.3 国际与国内信息系统安全测评认证 • 信息系统安全测评认证制度是维护国家安全、加强信息安全 保障体系建设的重要手段。早期的信息系统安全标准主要是 在产品和组件级上提出安全要求，各国的信息系统安全测评 认证工作也曾一度围绕产品而展开。随着人们对信息系统安 全的认识的深化，以及信息系统安全保障体系建设的开展和 政府对信息安全宏观管理的需要，系统级上的测评认证工作 已经在很多国家得到重视，与之相关的研究也在大力开展。 但信息系统安全的评估、认证与认可是个复杂的问题。其复 杂性不但有来源于信息系统安全本身，更来源于评估中涉及 的角色、责任、流程以及行政管理问题。本节将简要介绍国 内外信息系统安全测评认证情况，探讨信息系统安全测评认 证的方法、流程和标准。
9.1.2 我国的信息系统安全标准
• 3.信息安全评估相关国家标准（表9-3） • • 表9-3 信息安全评估相关国家标准
9Hale Waihona Puke 2 信息系统安全评估标准9.2.1安全评估标准及其发展 9.2.2信息系统安全评估标准 9.2.3信息系统安全评估标准所面临的问题及改进建议
9.2.1安全评估标准及其发展
9.2.2 信息系统安全评估标准
• 三个过程控制是指：构建过程控制、测评过程控制、执行过 程控制。
9.2.3 信息系统安全评估标准比较分析
• 1.侧重于对系统和产品的技术指标方面的标准TCSEC、ITSEC、 CPCPEC、CC、ISO15408之间的比较 • 从图9-1中可以看出，信息评估标准是经历了TCSEC、ITSEC 、CPCPEC、CC、ISO15408五个发展阶段，最初的TCSEC是针对 孤立计算机系统提出的，该标准适用于军队，开始时应用在 OS的评估上，TCSEC与ITSEC均是不涉及开放系统的安全标准 ，仅针对产品的安全保证要求来划分等级并进行评测，并均 为静态模型，仅能反应静态安全状况，CPCPEC虽在两者的基 础上有一定的发展，但也未能突破上述的局限性，FC对TCSEC 做了补充和修改，但因其自身的缺陷一直没有正式投入使用 。CC与早期的评估标准相比，其优势体现在其结构的开放性 、表达方式的通用性以及结构和表达方式的内在完备性和实 用性等方面。总体来说，各标准适用范围略有不同，各有优 劣。这里将对目前主要使用的标准：TCSEC、ITSEC、CC、 ISO15408等进行简要介绍和比较。如表9-7和表9-8所示。
9.2.2 信息系统安全评估标准
• 信息系统安全管理标准发展过程如图9-2所示。
9.2.2 信息系统安全评估标准
• 3.我国目前的信息系统安全评估标准 • 我国2001年由中国信息安全产品测评认证中心牵头，将 ISO/IEC 15408转化为国家标准——GB/T 18336-2001《信息技 术安全性评估准则》，并直接应用于我国的信息安全测评认 证工作。其中，基础性等级划分标准--《GB17859—1999计算 机信息系统安全保护等级划分准则》是其他标准的基础，是 信息系统安全等级保护实施指南，为等级保护的实施提供指 导。 • 标准体系的基本思想概括为（如图9-3）：以信息安全的五个 属性为基本内容，从实现信息安全的五个层面，按照信息安 全五个等级的不同要求，分别对安全信息系统的构建过程、 测评过程和运行过程等三个过程进行控制和管理，实现对不 同信息类别按不同要求进行分等级安全保护的总体目标。
第9章 信息系统安全评估
9.1信息系统安全标准 9.2信息系统安全评估标准 9.3国际与国内信息系统安全测评认证
9.1信息系统安全标准
9.1.1信息系统安全标准简介 9.1.2我国的信息系统安全标准
9.1.1信息系统安全标准简介
• 信息系统安全标准是构建国家信息安全保护体系必须具备的 技术、管理规范。国家要尽快建立自主完善的标准体系，同 时要加强标准的普及使用。特别是要在主机等主要设备的操 作系统和数据库安全技术、安全服务器技术和产品研发等方 面实现迅速突破，为国家基础信息系统及重要信息系统提供 第二级以上信息安全等级保护产品。 • 信息系统安全的标准化是一项艰巨、长期的基础性工作。在 我国，有关主管部门十分关注信息安全标准化工作，在1984 年7月组建了数据加密技术委员会，并于1997年8月改组成全 国信息技术标准化委员会的信息安全技术分委员会，负责制 定信息安全的国家标准，本着积极采用国际标准的原则，转 化了一批国际信息安全基础技术标准。另外，公安部、安全 部、国家保密局、国家密码管理委员会等相继制定、颁布了 一批信息安全的行业标准，为推动信息安全技术在各行业的 应用和普及发挥了积极的作用。
9.2.3 信息系统安全评估标准比较分析
• 标准与BS 7799的异同点 • CC（即GB/T 18336:2001 idt ISO/IEC 15408:1999 ）和BS 7799标 准的共同点表现在以下四个方面： • （1）两个标准所涉及的范围从大的角度来说都是信息安全领 域； • （2）两个标准对信息安全的定义相同，都是指对信息保密性 、完整性和可用性的保护； • （3）两个标准对信息安全风险的定义基本相同，都是从资产 、威胁、薄弱点和影响来考察风险； • （4）两个标准都针对不同的风险提出了相应的控制目标和控 制措施。
9.2.4 信息系统安全评估标准所面临的问题及改进建议
• 1.建立多边安全的安全功能 • 安全评估标准从一开始就偏重于仅对系统拥有者和操作者 的保护，用户的安全，特别是通信系统用户的安全则没有被 考虑，因此提供双边或多边安全的各种技术，就不能用当前 标准来正确的描述。 • 2.增强标准的可操作性 • 目前的信息安全评估标准只是制定了一个框架，明确了标 准的主体，但是可操作性不强，具体的步骤需要大量文档进 行补充，而且评估结果最终是一个客观参考性的结构，对企 业的实际指导意义不强。
• 1.安全评估标准的概念 • 信息系统安全评估是指评估机构依据信息系统安全评估标准 （或准则），采用一定的方法（方案）对信息安全产品或系 统安全性进行评价。它包括对系统安全的技术和非技术环节 进行测试，检查、审核等，是系统进行认证与认可的前期工 作。与自评估相对，它是一种非常全面、深入、细致的评估 。信息系统安全评估标准是信息系统安全评估的行动指南。
9.2.2 信息系统安全评估标准
• 五个属性是指: 机密性、完整性和可用性、可控性、责任可追 查性。
• 五个层面是指：物理层面、网络层面、系统层面、应用层面 、管理层面。
• 五个等级是指：用户自主保护级、系统审计保护级、安全标 记保护级、结构化保护级、访问验证保护级。以第一级为基 础，逐级增强保护能力。安全保护能力方面，第一级为基础 级，安全保护能力从第一级到第五级访问验证保护级，逐级 增强。在安全登记保护标准方面，安全保护范围从第一级到 第五级逐渐缩小，级别越高，保护强度越高，保护的范围越 小，级别越低，保护的强度越低，保护范围越大。
9.3.1 测评认证的概念 • 1.什么是测评认证？ • 测评认证是现代质量认证制度的重要内容，其实质是由一个 中立的权威机构，通过科学、规范、公正的测试和评估向消 费者、购买者（即需方）证实生产者或供方所提供的产品和 服务，符合公开、客观和先进的标准。 • 具体言之，测评认证的对象是产品或过程、服务；它的依据 是国家标准、行业标准或认证机构确认的技术规范；它的方 法是对产品进行抽样测试检验和对供方的质量保证能力即质 量体系进行检查评审，以及事后定期监督；它的性质是由具 有检验技术能力和政府授权认证资格的权威机构，按照严格 程序进行的科学公正的评价活动；它的表示方式是颁发认证 证书和认证标志。
9.2.2 信息系统安全评估标准
• 2.偏重于安全管理方面的标准 • 1995年，英国贸工部根据英国国内企业对信息安全日益高涨 的呼声，组织大企业的信息安全经理们，制定了世界上第一 个信息安全管理体系标准BS7799-1：1995《信息安全管理实 施规则》，作为工商业和大、中、小型组织实施信息安全管 理的指南。 • 1998年，为了适应第三方认证的需要，英国又制定了第一个 信息安全管理体系认证标准-- BS7799-2：1998《信息安全管 理体系规范》，作为对一个组织的全面或部分信息安全管理 体系进行评审认证的依据标准。
9.2.3 信息系统安全评估标准比较分析
• 1.侧重于对系统和产品的技术指标方面的标准TCSEC、ITSEC、 CPCPEC、CC、ISO15408之间的比较 • 从图9-1中可以看出，信息评估标准是经历了TCSEC、ITSEC 、CPCPEC、CC、ISO15408五个发展阶段，最初的TCSEC是针对 孤立计算机系统提出的，该标准适用于军队，开始时应用在 OS的评估上，TCSEC与ITSEC均是不涉及开放系统的安全标准 ，仅针对产品的安全保证要求来划分等级并进行评测，并均 为静态模型，仅能反应静态安全状况，CPCPEC虽在两者的基 础上有一定的发展，但也未能突破上述的局限性，FC对TCSEC 做了补充和修改，但因其自身的缺陷一直没有正式投入使用 。CC与早期的评估标准相比，其优势体现在其结构的开放性 、表达方式的通用性以及结构和表达方式的内在完备性和实 用性等方面。总体来说，各标准适用范围略有不同，各有优 劣。这里将对目前主要使用的标准：TCSEC、ITSEC、CC、 ISO15408等进行简要介绍和比较。