【正文】 – 監(jiān)理方簽認(rèn)的 《 安全工程階段實施細(xì)則 》 附件一：監(jiān)理方簽認(rèn)的 《 實施細(xì)則報審表 》 – 監(jiān)理方簽認(rèn)的 《 質(zhì)量管理計劃 》 附件一：監(jiān)理方簽認(rèn)的 《 質(zhì)量管理計劃報審表 》 ? 其他證據(jù)：各種工程實施過程文件 ? 監(jiān)理工作：依據(jù)實施方案、實施方案細(xì)則和質(zhì)量管理計劃對工程實施過程進(jìn)行符合性監(jiān)督和檢查 承建方 監(jiān)理方 業(yè)主方 安全工程階段實施細(xì)則審核 安全工程階段實施細(xì)則 實施細(xì)則報審表 質(zhì)量管理計劃 質(zhì)量管理計劃審核 質(zhì)量管理計劃報審表 業(yè)主確認(rèn)認(rèn)可實施細(xì)則 業(yè)主確認(rèn)認(rèn)可質(zhì)量管理計劃 108 驗收階段監(jiān)理流程 驗收階段 描述和證據(jù) ? 主要完成證據(jù) – 三方簽認(rèn)的 《 初驗、終驗驗收方案 》 附件一：監(jiān)理方簽認(rèn)的 《 初驗、終驗驗收方案報審表 》 – 三方簽認(rèn)的 《 初驗、終驗報告 》 附件一：監(jiān)理方簽認(rèn)的 《 初驗、終驗報告報審表 》 ? 其他證據(jù)：各種工程驗收過程文件 承建方 監(jiān)理方 業(yè)主方 初驗、終驗方案審核 初驗、終驗驗收方案 驗收方案報審表 初驗、終驗報告 初驗、終驗審核 初驗、終驗報審表 業(yè)主簽認(rèn)方案 業(yè)主簽認(rèn)初驗、終驗報告 110 習(xí)題和思考題 ? 作業(yè) ? 1ISSE定義的安全工程過程包含哪些階段？ ? 2 如何解決安全工程需求的合理性和符合性？ ? 3為什么說風(fēng)險評估貫穿于安全工程的全過程？ ? 答疑 。 –協(xié)助業(yè)主單位、承建單位消除設(shè)計文檔在進(jìn)入工程實施前可預(yù)見的缺陷。 90 信息安全工程監(jiān)理模型 ? 信息安全工程監(jiān)理工作的意義 –對國家來說，建立具有中國特色的信息安全工程建設(shè)監(jiān)理制度，必將提高投資效益和建設(shè)水平，確保國家信息安全建設(shè)計劃和工程合同的實施，建立起信息化和信息安全領(lǐng)域的新秩序?！? – 風(fēng)險評估是評估信息保護(hù)系統(tǒng)的有效性的重要手段 78 評估信息保護(hù)系統(tǒng)的有效性 ? 信息安全工作需要覆蓋系統(tǒng)全生命周期 – 信息安全工作不是一勞永逸的，需要在全生命周期予以重視 – 要與風(fēng)險管理、安全保障等思想相結(jié)合，綜合認(rèn)識信息安全問題是覆蓋全生命周期 ? 持續(xù)的風(fēng)險評估和風(fēng)險控制是保障系統(tǒng)安全的必要工作 – 持續(xù)的風(fēng)險評估是信息安全保障的一項基礎(chǔ)性工作 – 持續(xù)的風(fēng)險評估為新的安全決策和需求提供重要依據(jù) 79 評估信息保護(hù)系統(tǒng)的有效性 ? 信息安全工作不是一勞永逸的，需要在全生命周期予以重視 ? 某行業(yè)通過五年安全防護(hù)體系建設(shè)，為全國省級單位部署了 12款安全產(chǎn)品。 基本消失。 –風(fēng)險評估是確保和驗證安全措施實現(xiàn)的重要手段 73 評估信息保護(hù)系統(tǒng)的有效性 – 設(shè)計和部署的信息安全措施應(yīng)發(fā)揮應(yīng)有的作用 署，部署上架后就可以簽字驗收，使用和配置是運維的事情（錯誤認(rèn)識） 2. “ 安全措施 ” 必須予以落實才可以稱為安全措施 落實才能發(fā)揮其安全作用 74 評估信息保護(hù)系統(tǒng)的有效性 ? 安全與效率的關(guān)系是互相促進(jìn)的，系統(tǒng)的效率是靠安全來保障的，以犧牲安全為代價換取系統(tǒng)的效率的短視行為 ，但為了視頻會議不受 “ 影響 ” ，策略為透明全通模式，短時的暢通換來的是病毒泛濫、入侵頻發(fā)，網(wǎng)絡(luò)癱瘓。 –安全建設(shè)是信息化建設(shè)的重要保障和基礎(chǔ)，不能分割置之 63 實施信息保護(hù)系統(tǒng) ? 案例 2 – 某部委開展應(yīng)用系統(tǒng)建設(shè)項目 ， 由于在開發(fā)過程中沒有使用必要的安全控制措施 （ 安全編程 、數(shù)據(jù)正確性處理 ） ， 導(dǎo)致系統(tǒng)出現(xiàn)諸多注入 、溢出等漏洞 ， 危害系統(tǒng)安全 。 – 病毒預(yù)警的功能實際上就是病毒日志的匯總和統(tǒng)計 – 所謂預(yù)警，目前只能做到用前 5天的數(shù)據(jù)，預(yù)測后 1天的病毒，且誤差在 2天左右 – 病毒預(yù)警產(chǎn)品只支持特定品牌的防病毒軟件 – 諸多省級單位為了適應(yīng)該預(yù)警系統(tǒng)，更換了原有的防病毒軟件，使特定品牌的病毒軟件“統(tǒng)一江湖” –安全設(shè)計要具備可行性 55 設(shè)計信息保護(hù)系統(tǒng) 實施信息保護(hù)系統(tǒng) ? 理解信息安全必須與信息系統(tǒng)同步實施、同步運行 ? 理解安全防護(hù)措施的部署需要符合總體安全需求和設(shè)計方案 57 信息系統(tǒng)安全工程 ISSE 發(fā)掘信息保護(hù)需求 定義信息保護(hù)系統(tǒng) 設(shè)計信息保護(hù)系統(tǒng) 實施信息保護(hù)系統(tǒng) 評估信息保護(hù)系統(tǒng)的有效性 58 實施信息保護(hù)系統(tǒng) ? ?? 購買 /開發(fā)采購 ? ?? 建設(shè)、集成 ? ?? 測試、認(rèn)證 59 實施信息保護(hù)系統(tǒng) ? 實施信息保護(hù)系統(tǒng) 子任務(wù) – –任務(wù) 支持對安全的實現(xiàn)和集成 ? 子任務(wù) 參與安全實現(xiàn)的規(guī)劃 ? 子任務(wù) 檢驗安全工具和機制的互操作性 ? 子任務(wù) 根據(jù)安全設(shè)計對實現(xiàn)進(jìn)行驗證 ? 子任務(wù) 根據(jù)所選擇的安全準(zhǔn)則，驗證安全組件是否已經(jīng)得到評估 ? 子任務(wù) 參與系統(tǒng)組件的集成，確保其滿足了系統(tǒng)安全規(guī) ? 范，且未改變組件的規(guī)范 ? 子任務(wù) 參與系統(tǒng)組件的配置，確保安全特性已經(jīng)激活，且安全參數(shù)已得到正確設(shè)置，能夠提供所需的安全服務(wù) ? 子任務(wù) 確保系統(tǒng)和組件的配置已得到紀(jì)錄，并實施了配 ? 置管理 60 實施信息保護(hù)系統(tǒng) ? 實施信息保護(hù)系統(tǒng) 子任務(wù) – –任務(wù) 支持測試和評估 ? 子任務(wù) 建立測試和評估戰(zhàn)略（包括示范、觀察、分析和 ? 測試） ? 子任務(wù) 評審可用的測試和評估證據(jù)（例如來自于 CCEP、NIAP、內(nèi)部測試的數(shù)據(jù)） ? 子任務(wù) 對測試和評估流程的開發(fā)提供支持 ? 子任務(wù) 對測試和評估活動提供支持 – –任務(wù) 評估信息保護(hù)的有效性 ? 子任務(wù) 監(jiān)督以確保安全設(shè)計的正確實現(xiàn) ? 子任務(wù) 實施并更新風(fēng)險分析 ? 子任務(wù) 定義風(fēng)險及其可能對使命帶來的影響，并通知客戶和認(rèn)可員及認(rèn)證員 61 實施信息保護(hù)系統(tǒng) ?實施信息保護(hù)系統(tǒng) 子任務(wù) ? – 任務(wù) 支持系統(tǒng)的認(rèn)證和認(rèn)可（ Camp。訪談其管理人員得到回答：“安全只是保障信息化經(jīng)費能夠充足的一種手段” – 安全不能只停留在立項報告、風(fēng)險評估報告和需求書中，不是為了通過評審和立項需要而做的“假把式” 51 設(shè)計信息保護(hù)系統(tǒng) ? 案例 2 – 某單位網(wǎng)絡(luò)擴(kuò)容和安全建設(shè)項目，首先更換了交換機設(shè)備，欲再使用 絡(luò)準(zhǔn)入產(chǎn)品，發(fā)現(xiàn)新增交換機無法匹配網(wǎng)絡(luò)準(zhǔn)入產(chǎn)品的認(rèn)證機制，于是再次更換全部樓層交換，問題得到解決。兩種不同的部署方式，也使得其面臨的風(fēng)險迥異 A省 B省 39 定義信息保護(hù)系統(tǒng) ? 綜上，從信息安全工程 /保障的角度定義或描述信息系統(tǒng)時，應(yīng)以保障業(yè)務(wù)安全的思想為基礎(chǔ)，清楚認(rèn)識業(yè)務(wù)安全風(fēng)險以及為業(yè)務(wù)提供服務(wù) /支撐的信息系統(tǒng)的安全風(fēng)險，從而科學(xué)、全面地認(rèn)識信息系統(tǒng)及其安全屬性。 – 政策要求：機密級網(wǎng)絡(luò)應(yīng)與非涉密網(wǎng)絡(luò)物理隔離 – 在機密級網(wǎng)絡(luò)中劃分秘密級的數(shù)據(jù)交換區(qū)（對網(wǎng)絡(luò)進(jìn)行降密處理），在非涉密業(yè)務(wù)專網(wǎng)建立專門的數(shù)據(jù)接收區(qū)，兩區(qū)域都只處理非涉密數(shù)據(jù) – 網(wǎng)絡(luò)方案設(shè)計中描述的需求是秘密級網(wǎng)絡(luò)與非涉密業(yè)務(wù)專網(wǎng)進(jìn)行非涉密數(shù)據(jù)的可控數(shù)據(jù)交換，成功通過專家評審 – 政策法規(guī)既是緊箍咒，也是保護(hù)傘，既要嚴(yán)格遵守又要合理運用。 – 2022年開展風(fēng)險評估，提出應(yīng)用層安全防護(hù)能力薄弱是其最主要風(fēng)險 –識別了主要風(fēng)險在于外網(wǎng)，并且是應(yīng)用層次 16 發(fā)掘信息保護(hù)需求 ? 案例 2 – 2022年