【正文】 信息安全保障基本知識(shí) 培訓(xùn)機(jī)構(gòu)名稱 講師名字 課程內(nèi)容 2 知識(shí)域：信息安全保障背景 ?知識(shí)子域：信息技術(shù)發(fā)展階段 ? 了解電報(bào) /電話、計(jì)算機(jī)、網(wǎng)絡(luò)等階段信息技術(shù)發(fā)展概況 ? 了解信息化和網(wǎng)絡(luò)對(duì)個(gè)人、企事業(yè)單位和社會(huì)團(tuán)體、經(jīng)濟(jì)發(fā)展、社會(huì)穩(wěn)定、國家安全等方面的影響： 3 信息技術(shù)發(fā)展階段 網(wǎng)絡(luò)化社會(huì) 網(wǎng)絡(luò) 計(jì)算機(jī) 通信 （電報(bào) \電話） 4 信息技術(shù)的發(fā)展 電報(bào)電話通信 計(jì)算機(jī)加工存儲(chǔ) 網(wǎng)絡(luò)互聯(lián)時(shí)代 5 早期的通信方式 ? 人類開始信息的通信，信息安全的歷史就開始了 – 公元前 500年，斯巴達(dá)人用于加解密的一種軍事設(shè)備。發(fā)送者把一條羊皮螺旋形地纏在一個(gè)圓柱形棒上。 6 電報(bào)電話技術(shù) ?20世紀(jì)， 40年代 70年代 ? 通過密碼技術(shù)解決通信保密，內(nèi)容篡改 轉(zhuǎn)輪密碼機(jī) ENIGMA， 1944年裝備德國海軍 以二戰(zhàn)時(shí)期真實(shí)歷史為背景的，關(guān)于電報(bào)密文竊聽和密碼破解的故事 7 計(jì)算機(jī)與網(wǎng)絡(luò)技術(shù) ?20世紀(jì)， 7090年代后期，計(jì)算機(jī)和網(wǎng)絡(luò)改變了一切 ? 確保信息在網(wǎng)絡(luò)信息系統(tǒng)中的存儲(chǔ)、處理和傳輸過程中免受非授權(quán)的訪問，防止授權(quán)用戶的拒絕服務(wù) 8 網(wǎng)絡(luò)化社會(huì) ?新世紀(jì)信息技術(shù)應(yīng)用于人類社會(huì)的方方面面 ?軍事 ?經(jīng)濟(jì) ?文化 ?。 ?人們?cè)絹碓揭庾R(shí)到：技術(shù)很重要，但技術(shù)不是一切；信息系統(tǒng)很重要，但只有服務(wù)于組織業(yè)務(wù)使命才有意義 9 ?對(duì)個(gè)人 ? 人需要信息化還是信息化“綁架”人？ ?對(duì)企事業(yè)單位和社會(huì)團(tuán)體 ? 組織依賴信息化還是信息化成就組織？ ?對(duì)經(jīng)濟(jì)發(fā)展 ? 經(jīng)濟(jì)發(fā)展帶動(dòng)了信息技術(shù)還是信息技術(shù)促進(jìn)了經(jīng)濟(jì)發(fā)展？ ?對(duì)社會(huì)穩(wěn)定 ? 信息化的發(fā)展對(duì)社會(huì)穩(wěn)定的影響是正面的還是負(fù)面的？ ?對(duì)國家安全 ? 信息化是國家安全的利器還是禍害？ 如何看待網(wǎng)絡(luò)與信息化 10 知識(shí)域：信息安全保障背景 ?知識(shí)子域：信息安全發(fā)展階段 ? 了解通信保密、計(jì)算機(jī)安全和信息安全保障 ? 了解各個(gè)階段信息安全面臨的主要威脅和防護(hù)措施 11 信息安全發(fā)展階段 COMSEC 通信安全 COMPUSEC 計(jì)算機(jī)安全 INFOSEC 信息系統(tǒng)安全 IA 信息安全保障 12 CS/IA 網(wǎng)絡(luò)空間安全 /信息安全保障 信息安全保障發(fā)展歷史 ? 第一次定義： 在 1996年美國國防部 DoD指令 （DoDD ）中，美國信息安全界第一次給出了信息安全保障的標(biāo)準(zhǔn)化定義，現(xiàn)在：信息安全保障的概念已逐漸被全世界信息安全領(lǐng)域所接受。 ? 中國： 中辦發(fā) 27號(hào)文 《 國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見 》 ，是信息安全保障工作的綱領(lǐng)性文件 ? 信息安全保障發(fā)展歷史 ? 從通信安全（ COMSEC） 〉 計(jì)算機(jī)安全（ COMPUSEC） 〉 信息系統(tǒng)安全（ INFOSEC） 〉 信息安全保障（ IA） 〉 網(wǎng)絡(luò)空間安全 /信息安全保障（ CS/IA） 。 13 ?COMSEC： Communication Security ?20世紀(jì)， 40年代 70年代 ? 核心思想： ? 通過密碼技術(shù)解決通信保密，保證數(shù)據(jù)的保密性和完整性 ? 主要關(guān)注傳輸過程中的數(shù)據(jù)保護(hù) ? 安全威脅：搭線竊聽、密碼學(xué)分析 ? 安全措施：加密 ? 標(biāo)志 ? 1949年： shannon發(fā)表 《 保密通信的信息理論 》 ? 1977年：美國國家標(biāo)準(zhǔn)局公布數(shù)據(jù)加密標(biāo)準(zhǔn) DES ? 1976年： Diffle和 Hellman在“ New Directions in Cryptography” 一文中提出公鑰密碼體系 通信安全 14 ?COMPUSEC： Computer Security ?20世紀(jì)， 7090年代 ? 核心思想： ? 預(yù)防、檢測(cè)和減小計(jì)算機(jī)系統(tǒng)（包括軟件和硬件）用戶（授權(quán)和未授權(quán)用戶）執(zhí)行的未授權(quán)活動(dòng)所造成的后果。 ? 主要關(guān)注于數(shù)據(jù)處理和存儲(chǔ)時(shí)的數(shù)據(jù)保護(hù) 。 ? 安全威脅：非法訪問、惡意代碼、脆弱口令等 ? 安全措施：安全操作系統(tǒng)設(shè)計(jì)技術(shù)（ TCB） ? 標(biāo)志： ? 1985年，美國國防部的可信計(jì)算機(jī)系統(tǒng)評(píng)估保障（ TCSEC，橙皮書），將操作系統(tǒng)安全分級(jí)（ D、 C C B B B A1）；后補(bǔ)充紅皮書 TNI（ 1987）和 TDI（ 1991），發(fā)展為彩虹（ rainbow）系列 計(jì)算機(jī)安全 15 ?INFOSEC： Information Security ?20世紀(jì)， 90年代后 ? 核心思想： ? 綜合通信安全和計(jì)算機(jī)安全安全 ? 重點(diǎn)在于保護(hù)比“數(shù)據(jù)”更精煉的“信息”，確保信息在存儲(chǔ)、處理和傳輸過程中免受偶然或惡意的非法泄密、轉(zhuǎn)移或破壞 。 ? 安全威脅：網(wǎng)絡(luò)入侵、病毒破壞、信息對(duì)抗等 ? 安全措施：防火墻、防病毒、漏洞掃描、入侵檢測(cè)、 PKI、 VPN等 ? 標(biāo)志 ? 安全評(píng)估保障 CC（ ISO 15408， GB/T 18336） 信息系統(tǒng)安全 16 ?IA： Information Assurance ?今天，將來 …… ? 核心思想： ? 保障信息和信息系統(tǒng)資產(chǎn)，保障組織機(jī)構(gòu)使命的執(zhí)行； ? 綜合技術(shù)、管理、過程、人員； ? 確保信息的保密性、完整性和可用性。 ? 安全威脅：黑客、恐怖分子、信息戰(zhàn)、自然災(zāi)難、電力中斷等 ? 安全措施：技術(shù)安全保障體系、安全管理體系、人員意識(shí) /培訓(xùn) /教育、認(rèn)證和認(rèn)可 ? 標(biāo)志： ? 技術(shù)：美國國防部的 IATF深度防御戰(zhàn)略 ? 管理： BS7799/ISO 17799 ? 系統(tǒng)認(rèn)證：美國國防部 DITSCAP 信息安全保障 17 網(wǎng)絡(luò)空間安全 /信息安全保障 ?CS/IA： Cyber Security/Information Assurance ? 2022年起，在美國帶動(dòng)下，世界各國信息安全政策、技術(shù)和實(shí)踐等發(fā)生重大變革 …… ? 共識(shí)： 網(wǎng)絡(luò)安全問題上升到國家安全的重要程度 ? 核心思想： 從傳統(tǒng)防御的信息保障（ IA），發(fā)展到“威懾”為主的防御、攻擊和情報(bào)三位一體的信息保障 /網(wǎng)絡(luò)安全（ IA/CS）的網(wǎng)空安全 ? 網(wǎng)絡(luò)防御 Defense（運(yùn)維） ? 網(wǎng)絡(luò)攻擊 Offense（威懾） ? 網(wǎng)絡(luò)利用 Exploitation（情報(bào)） 18 階段 年代 安全威脅 安全措施 通信安全 20世紀(jì)， 40— 70年代 搭線竊聽、 密碼學(xué)分析 加密 計(jì)算機(jī)安全 20世紀(jì)， 7090年代 非法訪問、 惡意代碼、 脆弱口令等 安全操作系統(tǒng)設(shè)計(jì)技術(shù)（ TCB） 信息系統(tǒng)安全 20世紀(jì)， 90年代后 網(wǎng)絡(luò)入侵、 病毒破壞、 信息對(duì)抗等 防火墻、防病毒、 漏洞掃描、 入侵檢測(cè)、 PKI、 VPN等 信息安全保障 今天， …… 黑客、犯罪團(tuán)伙、 信息戰(zhàn)、 自然災(zāi)難、 電力中斷等 技術(shù)體系、管理體系、工程、 人員意識(shí) /培訓(xùn) 網(wǎng)絡(luò)安全空間 /信息安