【正文】 國 NSF執(zhí)行；另外的 研究計(jì)畫獎(jiǎng)勵(lì) …… ，由美國 NIST執(zhí)行之 Cyber Security Research and Development Act (CSRDA)）。 Homeland Security Presidential Directive (HSPD7): Critical Infrastructure Identication, Prioritization, and Protection (December 17,2023)。 2. NSTISSI: National Security Telemunications and Information System Security Instruction。 Any interruption or manipulation of these critical functions must be brief, infrequent, manageable geographically isolated, and minimally detrimental to the welfare of the United States. President Clinton in PDD63. 7 全面性方法 結(jié)合關(guān)鍵的評(píng)鑑行動(dòng) 一般資訊技 術(shù) (IT)產(chǎn)品 實(shí)驗(yàn)室環(huán)境 保護(hù)剖繪 (PP) 密碼模組 已認(rèn)證測(cè)試實(shí)驗(yàn)室 NIAP CCEVS NIST CMVP 共同準(zhǔn)則 (CC)評(píng)估 FIPS 1402測(cè)試 有效的 產(chǎn)品 產(chǎn)品 剖繪 證據(jù) ?安全標(biāo)的 ?評(píng)估報(bào)告 ?確認(rèn)報(bào)告 作業(yè)環(huán)境 認(rèn)證機(jī)構(gòu) 真實(shí)世界的威脅與脆弱性 系統(tǒng)等級(jí) PPs 特定的 IT系統(tǒng) 產(chǎn)品 一般系統(tǒng) 技術(shù)性 的安全 ?風(fēng)險(xiǎn)管理 ?人員安全 ?安全政策 ?程序安全 ?系統(tǒng)安全計(jì)畫 ?實(shí)體安全 ?標(biāo)準(zhǔn) ?驗(yàn)證 ?指導(dǎo)方針 ?認(rèn)證 資料來源： Katzke, S.(2023) Protecting Federal Information Systems and Networks, In Presentation of the 4 th International Common Criteria Conference, Sept. 7~9, 2023, Stockholm, Sweden. 8 美國資訊保證認(rèn)驗(yàn)證過程之出版品 認(rèn)證範(fàn)疇聯(lián)邦資訊與資訊系統(tǒng)風(fēng)險(xiǎn)評(píng)鑑S P 80 0 30安全規(guī)劃S P 80 0 18組態(tài)管理與控制S P 80 0 37資訊與資訊系統(tǒng)類別S P 80 0 60F IPS 19 9系統(tǒng)授權(quán)認(rèn)證S P 80 0 37安全控制評(píng)鑑(驗(yàn) 證)S P 80 0 53 AS P 80 0 37安全控制選擇與實(shí)作S P 80 0 53F IPS 20 0說明：1. FIPS : F d ee ra l Informat ion Pro ce ss ing Stand ar d s。 ISO資訊安全管理模型與 WSIS 11 ISO/IEC JTC1/SC27安全管理模型觀點(diǎn)之 CNS標(biāo)準(zhǔn)對(duì)照 分類 標(biāo)準(zhǔn)與原則 對(duì)照之 CNS標(biāo)準(zhǔn) 名詞暨使用 指導(dǎo)綱要 風(fēng)險(xiǎn)管理詞彙暨標(biāo)準(zhǔn)使用指導(dǎo)綱要： ISO/IEC Guide 73:2023(E/F) 。 備考：宜遵循 OECD於 2023年 7月 25日公布之「資訊系統(tǒng)安全指導(dǎo)綱要」的「資訊系統(tǒng)與網(wǎng)路安全指導(dǎo)綱要 朝向安全之文化」。 (Metrics)與測(cè)量： ISO/IEC 24742。 。 2023年 5月 16日參照 ISO TR 13569:1997(E)公布 CNS 14644。 ： ISO/IEC TR 14516:2023(E)。 CNS擬定相關(guān)標(biāo)準(zhǔn)。 1. ISO/IEC 27001 ： 資訊安全管理系統(tǒng)要求，已於 20231015公布。 6. ISO/IEC 27005： 風(fēng)險(xiǎn)管理之原則與實(shí)作的通用指導(dǎo)綱要 (General guidelines for principles and implementation of risk management)， 2023年 09月 57日召開第 1次工作小組會(huì)議。 2. 機(jī)密性 (Confidentiality)： 資料不得被未經(jīng)授權(quán)之個(gè)人、實(shí)體或程序所取得或揭露的特性。 鑑別性適用於如使用者、程序、系統(tǒng)與資訊等實(shí)體。 6. 資料來源： ISO, (2023), Information technology – Security techniques Code of practice for information security management, ISO/IEC 17799:20230615, ,頁 1, ISO。 4. 缺點(diǎn)修補(bǔ)程序文件應(yīng)描述用來為更正動(dòng)作提供 TOE使用者缺點(diǎn)資訊、更正措施和指引的方法。 18 微軟 (Microsoft) WSSRA(Windows Server System Reference Architecture)發(fā)展示意 營運(yùn)架構(gòu)（ Busines s Archi tecture ）功能需求（F u n c t i o n a l R e q u i r e m e n t s ）作業(yè)需求（O p e r a t i o n a l R e q u i r e m e n t s ）應(yīng)用（ Appli cati on ）架構(gòu) 技術(shù)（T e c h n o l o g y ）架構(gòu)概念圖（C o n c e p t u a l V i e w s ）實(shí)作（I m p l e m e n t a t i o n ）圖邏輯（L o g i c a l ）圖概念圖（C o n c e p t u a l V i e w s ）邏輯（L o g i c a l ）圖實(shí)作（I m p l e m e n t a t i o n ）圖應(yīng)用發(fā)展（A p p l i c a t i o n D e v e l o p m e n t ）建立資訊技術(shù)基礎(chǔ)建設(shè)樣型（ Pa t t e r n s ）與實(shí)踐（ Pr a c t i c e ）部署（D e p l o y m e n t ）套件（Pa c k a g e ）與政策（Po l i c i e s ）網(wǎng)路裝置（N e t w o r k o f D e v i c e ）樣型（Pa t t e r n s ）輿實(shí)踐（Pr a c t i c e ）19 資訊安全管理系統(tǒng)控制措施框架示意說明 20 可信賴資訊系統(tǒng)安全評(píng)估準(zhǔn)則簡史 1985US Trus t edComputerS y s t emE v aluat ionCr it er ia(TC S E C)1990E ur opean I nf or mat ionTec hnology S ec ur it yE v aluat ion Cr it er ia(IT S E C)1990Can adian Trus t edComputer P ro duc tE v aluat ion Cr it er ia(C TCP E C)1993US Federa l Cr it er ia(FC )CTCPE C 3. 01994S ec ur it yReq uirement s f orCr y pt ogr aphicModules1996Common Cr it er iaf or I nf or mat ionTec hnology S ec ur it yE v aluat ion (C C)1998I S O/ I E C15408( DIS )(C C 2. 0)19991. I S O/ I E C 15408 (C C 2. 1)2. Common Met hodology f or I nf or mat ion Tec hnology S ec ur it y E v aluat ion (C E M 1. 0)20231. CC 2. 22. CC 2. 43. I S O/ I E C 15446說明： 1. 　表示研究工作，產(chǎn)出物為技術(shù)報(bào)告。 3. 2023年 05月：共同準(zhǔn)則 。 23 脆弱性評(píng)比 (Rating of Vulnerabilities) 資料來源： ISO/IEC JTC 1/SC27 WG 3 (2023) ISO/IEC WD 18045： 2023(E), p294。 4. 機(jī)會(huì)之窗 (Window of opportunity，簡稱 PAV_WOP)： 5組件。28 微軟公司通過資訊安全評(píng)估共同準(zhǔn)則產(chǎn)品列表 (20231231) 產(chǎn)品 證書類型 (Certification Type) 標(biāo)的 獲證日期 Windows XP Professional, Windows Server 2023 (Standard, Enterprise and Data Center Edition) 1. Operating System 2. Sensitive Data Protection 3. Network Management Directive Server 4. Firewall 5. VPN 6. Desktop Management PKI 7. Embedded System Operating System 8. Web Server EAL4+: 1. 20231106 Windows Server 2023 Certification Server Certification Management EAL4+: 1. 2. 3. 4. 20231115 29 微軟公司通過資訊安全評(píng)估共同準(zhǔn)則產(chǎn)品列表 (20231231) (續(xù) ) 產(chǎn)品 證書類型 (Certification Type) 標(biāo)的 獲證日期 Inter Security and Acceleration Server 2023 Standard Edition Firewall EAL4+: 1. 2. 20230920 Exchange Server 2023 Enterprise Edition EAL4+: 1. 20231109 說明： 1. EAL： Evaluation Assurance Level。 偵測(cè)型控制措施 經(jīng)由 資訊系統(tǒng)暴 露之脆弱性 造成 資訊資產(chǎn)之機(jī)密性 / 完 整性 / 可用性之損失 防護(hù)等級(jí)： 基礎(chǔ)、中與高強(qiáng)健級(jí) ： 對(duì)策 1 防範(fàn)型控制措施 。 ：中 (適 )度抵抗 (EAL5)。 指引之檢驗(yàn) ()。 測(cè)試：低階設(shè)計(jì) ()。 安全施行 (Security – enforcing)之高階設(shè)計(jì) (ADV_HLD_(EXP).1)。 系統(tǒng)性密碼組成單位隱密通道分析 (AVA_CCA_(EXP).1)。 The security approach whereby layers of protection are needed to establish an adequate security posture for a system。 2.「 資訊安全管理系統(tǒng) 」 之標(biāo)的在於： 「 從確保資訊資源的合法存取 ， 到在所有可能遭受資訊攻擊之階段 ， 提供完整 、 未中斷的資訊系統(tǒng)運(yùn)行 」 。宜考慮作業(yè)系統(tǒng)，以及其它使用中的應(yīng)用。 採取適當(dāng)與及時(shí)的行動(dòng)以因應(yīng)識(shí)別出的潛在技術(shù)脆弱性。 技術(shù)脆弱性管理能被視為變更管理的次功能，同時(shí)能利用變更管理的過程與程序。 若不可能充分地測(cè)試修補(bǔ)程式，例如：因?yàn)槌杀净蛉狈Y源，依據(jù)其他使用者報(bào)告的經(jīng)驗(yàn)，考慮延後安裝修補(bǔ)程式以評(píng)估相關(guān)的風(fēng)險(xiǎn)。早期公開發(fā)現(xiàn)的安全性缺點(diǎn)。組織察覺的的安全性缺點(diǎn)。 ? T7 = 組織進(jìn)行安全性相關(guān)軟體更新測(cè)試。 附錄 2:資訊安全管理系統(tǒng)技術(shù)性控制措施之說明 與實(shí)作－以 Microsoft修補(bǔ)程式作業(yè)為例 (續(xù) ) 58 附錄 2:資訊系統(tǒng)組態(tài)管理實(shí)作 :以修補(bǔ)程式安裝為例 (一 ) 開始 檢查修補(bǔ)程式簽名 檢查修補(bǔ)程式內(nèi)的檔案版本 根據(jù)修補(bǔ)程式發(fā)布日期確定安裝順序 查證快速修補(bǔ)程式安裝成