【正文】 – 監(jiān)理方簽認的 《 安全工程階段實施細則 》 附件一：監(jiān)理方簽認的 《 實施細則報審表 》 – 監(jiān)理方簽認的 《 質量管理計劃 》 附件一：監(jiān)理方簽認的 《 質量管理計劃報審表 》 ? 其他證據：各種工程實施過程文件 ? 監(jiān)理工作：依據實施方案、實施方案細則和質量管理計劃對工程實施過程進行符合性監(jiān)督和檢查 承建方 監(jiān)理方 業(yè)主方 安全工程階段實施細則審核 安全工程階段實施細則 實施細則報審表 質量管理計劃 質量管理計劃審核 質量管理計劃報審表 業(yè)主確認認可實施細則 業(yè)主確認認可質量管理計劃 108 驗收階段監(jiān)理流程 驗收階段 描述和證據 ? 主要完成證據 – 三方簽認的 《 初驗、終驗驗收方案 》 附件一：監(jiān)理方簽認的 《 初驗、終驗驗收方案報審表 》 – 三方簽認的 《 初驗、終驗報告 》 附件一：監(jiān)理方簽認的 《 初驗、終驗報告報審表 》 ? 其他證據：各種工程驗收過程文件 承建方 監(jiān)理方 業(yè)主方 初驗、終驗方案審核 初驗、終驗驗收方案 驗收方案報審表 初驗、終驗報告 初驗、終驗審核 初驗、終驗報審表 業(yè)主簽認方案 業(yè)主簽認初驗、終驗報告 110 習題和思考題 ? 作業(yè) ? 1ISSE定義的安全工程過程包含哪些階段？ ? 2 如何解決安全工程需求的合理性和符合性？ ? 3為什么說風險評估貫穿于安全工程的全過程？ ? 答疑 。 –協助業(yè)主單位、承建單位消除設計文檔在進入工程實施前可預見的缺陷。 90 信息安全工程監(jiān)理模型 ? 信息安全工程監(jiān)理工作的意義 –對國家來說，建立具有中國特色的信息安全工程建設監(jiān)理制度，必將提高投資效益和建設水平，確保國家信息安全建設計劃和工程合同的實施，建立起信息化和信息安全領域的新秩序?！? – 風險評估是評估信息保護系統的有效性的重要手段 78 評估信息保護系統的有效性 ? 信息安全工作需要覆蓋系統全生命周期 – 信息安全工作不是一勞永逸的，需要在全生命周期予以重視 – 要與風險管理、安全保障等思想相結合，綜合認識信息安全問題是覆蓋全生命周期 ? 持續(xù)的風險評估和風險控制是保障系統安全的必要工作 – 持續(xù)的風險評估是信息安全保障的一項基礎性工作 – 持續(xù)的風險評估為新的安全決策和需求提供重要依據 79 評估信息保護系統的有效性 ? 信息安全工作不是一勞永逸的，需要在全生命周期予以重視 ? 某行業(yè)通過五年安全防護體系建設，為全國省級單位部署了 12款安全產品。 基本消失。 –風險評估是確保和驗證安全措施實現的重要手段 73 評估信息保護系統的有效性 – 設計和部署的信息安全措施應發(fā)揮應有的作用 署，部署上架后就可以簽字驗收，使用和配置是運維的事情（錯誤認識） 2. “ 安全措施 ” 必須予以落實才可以稱為安全措施 落實才能發(fā)揮其安全作用 74 評估信息保護系統的有效性 ? 安全與效率的關系是互相促進的，系統的效率是靠安全來保障的，以犧牲安全為代價換取系統的效率的短視行為 ，但為了視頻會議不受 “ 影響 ” ，策略為透明全通模式，短時的暢通換來的是病毒泛濫、入侵頻發(fā)，網絡癱瘓。 –安全建設是信息化建設的重要保障和基礎，不能分割置之 63 實施信息保護系統 ? 案例 2 – 某部委開展應用系統建設項目 ， 由于在開發(fā)過程中沒有使用必要的安全控制措施 （ 安全編程 、數據正確性處理 ） ， 導致系統出現諸多注入 、溢出等漏洞 ， 危害系統安全 。 – 病毒預警的功能實際上就是病毒日志的匯總和統計 – 所謂預警，目前只能做到用前 5天的數據，預測后 1天的病毒，且誤差在 2天左右 – 病毒預警產品只支持特定品牌的防病毒軟件 – 諸多省級單位為了適應該預警系統，更換了原有的防病毒軟件，使特定品牌的病毒軟件“統一江湖” –安全設計要具備可行性 55 設計信息保護系統 實施信息保護系統 ? 理解信息安全必須與信息系統同步實施、同步運行 ? 理解安全防護措施的部署需要符合總體安全需求和設計方案 57 信息系統安全工程 ISSE 發(fā)掘信息保護需求 定義信息保護系統 設計信息保護系統 實施信息保護系統 評估信息保護系統的有效性 58 實施信息保護系統 ? ?? 購買 /開發(fā)采購 ? ?? 建設、集成 ? ?? 測試、認證 59 實施信息保護系統 ? 實施信息保護系統 子任務 – –任務 支持對安全的實現和集成 ? 子任務 參與安全實現的規(guī)劃 ? 子任務 檢驗安全工具和機制的互操作性 ? 子任務 根據安全設計對實現進行驗證 ? 子任務 根據所選擇的安全準則，驗證安全組件是否已經得到評估 ? 子任務 參與系統組件的集成，確保其滿足了系統安全規(guī) ? 范，且未改變組件的規(guī)范 ? 子任務 參與系統組件的配置，確保安全特性已經激活，且安全參數已得到正確設置，能夠提供所需的安全服務 ? 子任務 確保系統和組件的配置已得到紀錄，并實施了配 ? 置管理 60 實施信息保護系統 ? 實施信息保護系統 子任務 – –任務 支持測試和評估 ? 子任務 建立測試和評估戰(zhàn)略（包括示范、觀察、分析和 ? 測試） ? 子任務 評審可用的測試和評估證據（例如來自于 CCEP、NIAP、內部測試的數據） ? 子任務 對測試和評估流程的開發(fā)提供支持 ? 子任務 對測試和評估活動提供支持 – –任務 評估信息保護的有效性 ? 子任務 監(jiān)督以確保安全設計的正確實現 ? 子任務 實施并更新風險分析 ? 子任務 定義風險及其可能對使命帶來的影響，并通知客戶和認可員及認證員 61 實施信息保護系統 ?實施信息保護系統 子任務 ? – 任務 支持系統的認證和認可（ Camp。訪談其管理人員得到回答：“安全只是保障信息化經費能夠充足的一種手段” – 安全不能只停留在立項報告、風險評估報告和需求書中，不是為了通過評審和立項需要而做的“假把式” 51 設計信息保護系統 ? 案例 2 – 某單位網絡擴容和安全建設項目，首先更換了交換機設備，欲再使用 絡準入產品，發(fā)現新增交換機無法匹配網絡準入產品的認證機制，于是再次更換全部樓層交換，問題得到解決。兩種不同的部署方式，也使得其面臨的風險迥異 A省 B省 39 定義信息保護系統 ? 綜上，從信息安全工程 /保障的角度定義或描述信息系統時，應以保障業(yè)務安全的思想為基礎，清楚認識業(yè)務安全風險以及為業(yè)務提供服務 /支撐的信息系統的安全風險，從而科學、全面地認識信息系統及其安全屬性。 – 政策要求：機密級網絡應與非涉密網絡物理隔離 – 在機密級網絡中劃分秘密級的數據交換區(qū)（對網絡進行降密處理），在非涉密業(yè)務專網建立專門的數據接收區(qū)，兩區(qū)域都只處理非涉密數據 – 網絡方案設計中描述的需求是秘密級網絡與非涉密業(yè)務專網進行非涉密數據的可控數據交換，成功通過專家評審 – 政策法規(guī)既是緊箍咒，也是保護傘，既要嚴格遵守又要合理運用。 – 2022年開展風險評估，提出應用層安全防護能力薄弱是其最主要風險 –識別了主要風險在于外網，并且是應用層次 16 發(fā)掘信息保護需求 ? 案例 2 – 2022年