【正文】 China Univ. of Tech. 通用準(zhǔn) 則 CC 七個(gè)安全保 證類 1. ACM類 ：配置管理 ? CM 自 動(dòng) 化 ? CM 能力 ? CM 范 圍 2. ADO類 ：交付和運(yùn)行 ? 交付 ? 安裝 、生成和啟 動(dòng) 3. ADV類 ：開(kāi) 發(fā) ? 功能 規(guī) 范 ? 高 層設(shè)計(jì) ? 實(shí)現(xiàn) 表示 ? TSF內(nèi)部 ? 低 層設(shè)計(jì) ? 表示 對(duì)應(yīng) 性 ? 安全策略模型 74 South China Univ. of Tech. 4. AGD類 ：指南文檔 ? 管理 員 指南 ? 用 戶 指南 5. ALC類 ：生命周期支持 ? 開(kāi) 發(fā) 安全 ? 缺陷 糾 正 ? 生命周期定 義 ? 工具和技 術(shù) 6. ATE類 ：測(cè)試 ? 覆蓋范 圍 ? 深度 ? 功能 測(cè)試 ? 獨(dú)立性 測(cè)試 7. AVA類 ：脆弱性 評(píng) 定 ? 隱 蔽信道分析 ? 誤 用 ? TOE安全功能 強(qiáng) 度 ? 脆弱性分析 通用準(zhǔn) 則 CC 75 South China Univ. of Tech. 通用準(zhǔn) 則 CC 安全保 證 要求部分提出了七個(gè) 評(píng) 估保 證級(jí)別 （Evaluation Assurance Levels：EALs）分 別 是： 76 South China Univ. of Tech. 通用準(zhǔn) 則 CC： EAL解 釋 77 South China Univ. of Tech. 通用準(zhǔn) 則 CC： EAL解 釋 78 South China Univ. of Tech. CC的 EAL與其他 標(biāo) 準(zhǔn)等 級(jí) 的比 較 79 South China Univ. of Tech. 80 South China Univ. of Tech. 81 South China Univ. of Tech. PP基本原理 ? 對(duì) PP進(jìn) 行 評(píng) 估的依據(jù) ，證 明 PP是一個(gè)完整的 、緊 密 結(jié) 合的要求集合 ，滿 足 該 PP的 TOE將在安全 環(huán)境內(nèi)提供一 組 有效的 IT安全 對(duì) 策 – 安全目的基本原理 – 安全要求基本原理 威脅 組織安全策略 假設(shè) 安全需求 IT安全要求 TOE 目的 環(huán)境的目的 安全目的 相互支持 支持 恰好滿足 恰好滿足 功能強(qiáng)度聲明 一致 82 South China Univ. of Tech. 威 脅舉 例 重放 當(dāng)截獲了有效用戶的識(shí)別和鑒別數(shù)據(jù)后，未授權(quán)用戶可能在將來(lái)使用這些鑒別數(shù)據(jù)，以訪問(wèn) TOE提供的功能。 受保護(hù)的審計(jì)蹤跡存儲(chǔ)：放在審計(jì)蹤跡中的數(shù)據(jù)將受到保護(hù) ， 以避免未授權(quán)的刪除或修改 。TCSEC還 有 BLP模型的支持 。 ? 2022年 ，國(guó) 際標(biāo) 準(zhǔn) 組織 ISO/IEC JTC SC 27在日本 東 京 10月 21日通 過(guò) BS 77991，成 為 ISO DIS 177991，2022年 12月 1日正式 發(fā) 布 。 ? BS77992:2022 《信息安全管理體系 規(guī) 范 》規(guī) 定了建立 、實(shí) 施和文件化信息安全管理體系 (ISMS)的要求 ，規(guī) 定了根據(jù)獨(dú)立 組織 的需要 應(yīng)實(shí) 施安全控制的要求 。 ? 總 的來(lái) 說(shuō) ，BS7799涵蓋了安全管理所 應(yīng) 涉及的方方面面 ，全面而不失可操作性 ，提供了一個(gè)可持續(xù) 提高的信息安全管理 環(huán) 境 。 建立 ISMS框架 98 South China Univ. of Tech. 第一步 制訂信息安全方針 信息安全方針的內(nèi)容 包括但不限于： ? 組織對(duì)信息安全的定義 ? 信息安全總體目標(biāo)和范圍 ? 最高管理者對(duì)信息安全的承諾與支持的聲明 ? 符合相關(guān)標(biāo)準(zhǔn)、法律法規(guī)、和其它要求的聲明 ? 對(duì)信息安全管理的總體責(zé)任和具體責(zé)任的定義 ? 相關(guān)支持文件 注意事項(xiàng) ? 簡(jiǎn)單明了 ? 易于理解 ? 可實(shí)施 ? 避免太具體 建立 ISMS框架 99 South China Univ. of Tech. 第二步 確定 ISMS范圍 BS77992對(duì) ISMS的要求： ? 組織應(yīng)定義信息安全管理體系的范圍，范圍的邊界應(yīng)依據(jù)組織的結(jié)構(gòu)特征、地域特征、資產(chǎn)和技術(shù)特點(diǎn)來(lái)確定。 建立 ISMS框架 未來(lái)實(shí)現(xiàn)公司 ISMS 適用聲明 105 South China Univ. of Tech. 風(fēng)險(xiǎn)評(píng)估如何貫穿于安全管理 BS 77992:2022 設(shè)計(jì) ISMS Implement and use the ISMS Monitoring and review the ISMS Improve and update the ISMS 計(jì)劃 DO CHECK ACT ISMS 定義 ISMS 的 執(zhí)行范圍和政策 執(zhí)行風(fēng)險(xiǎn)評(píng)估 對(duì)風(fēng)險(xiǎn)評(píng)估處理作出決定 選擇控制 106 South China Univ. of Tech. Design the ISMS 執(zhí)行和使用 ISMS Monitoring and review the ISMS Improve and update the ISMS PLAN 行動(dòng) CHECK ACT ISMS 執(zhí)行風(fēng)險(xiǎn)評(píng)估 處理計(jì)劃 執(zhí)行控制 執(zhí)行意識(shí) /培訓(xùn) 將 ISMS 放到 操作使用中 風(fēng)險(xiǎn)評(píng)估如何貫穿于安全管理 BS 77992:2022 107 South China Univ. of Tech. Design the ISMS Implement and use the ISMS 監(jiān)控和檢查ISMS Improve and update the ISMS PLAN DO 檢查 ACT ISMS 執(zhí)行監(jiān)控進(jìn)程 執(zhí)行定期檢查 檢查剩余風(fēng)險(xiǎn)和可接受的風(fēng)險(xiǎn) 內(nèi)部審計(jì) 風(fēng)險(xiǎn)評(píng)估如何貫穿于安全管理 BS 77992:2022 108 South China Univ. of Tech. Design the ISMS Implement and use the ISMS Monitoring and review the ISMS 改進(jìn)和升級(jí)ISMS PLAN DO CHECK ACT ISMS 實(shí)現(xiàn)改進(jìn) 矯正性和預(yù)防性 的活動(dòng) 傳達(dá)結(jié)果 檢查改進(jìn)達(dá)到的目標(biāo) 風(fēng)險(xiǎn)評(píng)估如何貫穿于安全管理 BS 77992:2022 109 South China Univ. of Tech. ISMS 資產(chǎn) Business processes Information People Services ICT Physical location Applications asset directory Assets Corporate image People Information/information systems Processes Products/services Applications ICT Physical ISO/IEC 17799 Inventory of assets 110 South China Univ. of Tech. ISMS 風(fēng)險(xiǎn) Asset threats amp。 3 – 高 高或非常高 完整性 對(duì) 信息的非授 權(quán) 的 損 害或更改危及 業(yè)務(wù)應(yīng) 用 ，且 對(duì)業(yè)務(wù)的影響是 嚴(yán) 重的并會(huì) 導(dǎo) 致 業(yè)務(wù)應(yīng) 用的重大或全局失 敗 。 ? IT驅(qū)動(dòng)和業(yè)務(wù)驅(qū)動(dòng)同樣需要 。 實(shí) 例 不太可能 發(fā) 生的機(jī)會(huì)小于 1/10 可能 出 現(xiàn) 的機(jī)會(huì)小于 25% 很可能 /大概 機(jī)會(huì) 50:50 高可能 發(fā) 生的機(jī)會(huì)多于 75% 非?？赡? 不 發(fā) 生的機(jī)會(huì)小于 1/10 絕對(duì) 無(wú)疑 100%會(huì) 發(fā) 生 116 South China Univ. of Tech. 風(fēng)險(xiǎn) 控制 00 . 20 . 40 . 60 . 81p e o p l ei n f o r m a t i o n s y s t e m sp r o c e s s e sp r o d u c t s / s e r v i c e sa p p l i c a t i o n sI C Tp h y s i c a lRisk threshold 117 South China Univ. of Tech. 風(fēng)險(xiǎn)控制 020406080100p e o p l ei n f o r m a t i o n s y s t e m sp r o c e s s e sp r o d u c t s / s e r v i c e sa p p l i c a t i o n sI C Tp h y s i c a lJ a n 0 2J u n 0 2J a n 0 3Continual Improvement 118 South China Univ. of Tech. 統(tǒng) 安全保障管理 級(jí)別 等 級(jí) 能力描述 SAMCML 1 組織 內(nèi)部能 夠 依據(jù) 經(jīng)驗(yàn)進(jìn) 行部分的安全管理工作 SAMCML 2 組織 能 夠 建立完善的管理體系來(lái) 規(guī) 范安全管理 SAMCML 3 組織 能 夠 采取有效措施來(lái)敦促所制定管理體系的落 實(shí) 和 實(shí) 施 ，從而能確保管理體系有效 實(shí) 施 SAMCML 4 組織 所制定的管理體系不 僅 能 夠 有效 實(shí) 施 ，而且 還 能 夠?qū)?shí) 施的管理措施的效果 進(jìn) 行 測(cè)試 ，盡量采用量化的數(shù)據(jù)來(lái)分析和 驗(yàn)證 所采用的管理措施 SAMCML 5 組織 能 夠?qū)?管理體系 進(jìn) 行持 續(xù) 改 進(jìn) ，使管理體系始 終對(duì)組織 安全保障體系的運(yùn)行 發(fā)揮 最大效 應(yīng) 119 South China Univ. of Tech. 幾點(diǎn)認(rèn)識(shí) ? 風(fēng)險(xiǎn)評(píng)估是落實(shí)等級(jí)保護(hù)的抓手 。 資產(chǎn)分級(jí) 113 South China Univ. of Tech. 完整性要求 (I) 資產(chǎn) 價(jià) 值 分 級(jí) 描述 1 – 低 低完整性 對(duì) 信息的非授 權(quán) 的 損 害或更改不會(huì)危及 業(yè)務(wù)應(yīng) 用或 對(duì)業(yè)務(wù) 的影響可以忽略 。 ? 選擇控制措施的示意圖 ? 選擇的控制措施是否建立在風(fēng)險(xiǎn)評(píng)估的結(jié)果之上？ ? 是否能從風(fēng)險(xiǎn)評(píng)估中清楚地看出哪一些是基本控制措施，哪一些是必須的，哪一些是可以考慮選擇的控制措施？ ? 選擇的控制措施是否反應(yīng)了組織的風(fēng)險(xiǎn)管理戰(zhàn)略？ ? 針對(duì)每一種風(fēng)險(xiǎn)，控制措施都不是唯一的，要根據(jù)實(shí)際情況進(jìn)行選擇 建立 ISMS框架 安全問(wèn)題 安全需求 控制目標(biāo) 控制措施 解決 指出 定義 被滿足 103 South China Univ. of Tech. 第五步 選擇控制目標(biāo)和控制措施 BS77992對(duì) ISMS的要求： ? 未選擇某項(xiàng)控制措施的原因 ? 風(fēng)險(xiǎn)原因 沒(méi)有識(shí)別出相關(guān)的風(fēng)險(xiǎn) ? 財(cái)務(wù)原因 財(cái)務(wù)預(yù)算的限制 ? 環(huán)境原因 安全設(shè)備、氣候、空間等 ? 技術(shù) 某些控制措施在技術(shù)上不可行 ? 文化 社會(huì)環(huán)境的限制 ? 時(shí)間 某些要求目前無(wú)法實(shí)施 ? 其它 ？ 建立 ISMS框架 104 South China Univ. of Tech. 第六步 準(zhǔn)備適用聲明 BS77992對(duì) ISMS的要求： ? 組織應(yīng)準(zhǔn)備適用聲明，記錄已選擇的控制措施和理由，以及未選擇的控制措施及其理由。 ? 信息安全方針是由組織的最高管理者正式制訂和發(fā)布的該組織的信息安全的目標(biāo)和方向，用于指導(dǎo)信息安全管理體系的建立和實(shí)施過(guò)程。 ? 同 BS 7799相比 ，信息技 術(shù) 安全性 評(píng) 估準(zhǔn) 則 (CC)和美國(guó)國(guó)防部可信 計(jì) 算機(jī) 評(píng) 估準(zhǔn) 則 (TCSEC)等更側(cè) 重于 對(duì) 系 統(tǒng) 和 產(chǎn) 品的技 術(shù) 指 標(biāo) 的 評(píng) 估 ；系 統(tǒng) 安全工程能力成熟模型 (SSECMM)更 側(cè) 重于 對(duì) 安全產(chǎn) 品開(kāi) 發(fā) 、安全系 統(tǒng) 集成等安全工程 過(guò) 程的管理 。 ? 建立管理框架 – 確立并 驗(yàn)證 管理目 標(biāo) 和管理 辦 法 時(shí) 需采取如下步 驟 ： – 定 義 信息安全策略 – 定 義 信息安全管理體系的范 圍 ，包括定 義該組織 的特征 、地點(diǎn) 、資產(chǎn) 和技 術(shù) 等方面的特征 – 進(jìn) 行合理的 風(fēng)險(xiǎn)評(píng) 估 ，包括找出 資產(chǎn) 面 臨 的威 脅 、弱點(diǎn) 、對(duì)組織 的沖 擊 、風(fēng)險(xiǎn) 的 強(qiáng) 弱程度等等 – 根據(jù)