【正文】 性 ? 案例 – 某單位在信息安全策略中明確指出，信息化建設項目在試運行階段必須執(zhí)行安全風險評估，并將評估結果和整改情況作為終驗和付款的重要依據(jù)。 – 信息化建設中必須引入必要的安全控制手段和措施 – 安全手段和措施必須與信息化建設同步落實到位 64 實施信息保護系統(tǒng) ? 案例 3 – 某行業(yè)開展對重要網(wǎng)絡設備和服務器設備的安全審計項目 – 設計方案中要求各省級單位把核心網(wǎng)絡設備、核心系統(tǒng)的主機設備、邊界安全設備等納入審計范圍 – 實施過程中由于產(chǎn)品通用性差、各單位有瞞報數(shù)據(jù)企圖等原因，導致審計范圍縮水嚴重，沒有達到預期效果 –安全措施部署和實施要依據(jù)安全設計 65 實施信息保護系統(tǒng) ? 案例 4 – 某行業(yè)采購了一批網(wǎng)絡行為管理產(chǎn)品，加強對互聯(lián)網(wǎng)訪問的管理和審計 – 在該產(chǎn)品到貨驗收時發(fā)現(xiàn)，到貨產(chǎn)品的外觀與送檢產(chǎn)品的外觀不一致 – 要求其把到貨產(chǎn)品交予檢測機構進行比對測試 – 根據(jù)比對測試結果，判斷其是否能夠在工程中予以繼續(xù)應用 –部署過程應重點關注變更環(huán)節(jié) 66 實施信息保護系統(tǒng) ? 安全工程應重點把握：風險、需求、設計、實施的一致性和協(xié)調性 風險 需求 設計 實施 67 評估信息保護系統(tǒng)的有效性 ? 理解信息安全工作需要覆蓋系統(tǒng)全生命周期 ? 理解持續(xù)的風險評估和風險消控是保障系統(tǒng)安全的必要工作 68 信息系統(tǒng)安全工程 ISSE 發(fā)掘信息保護需求 定義信息保護系統(tǒng) 設計信息保護系統(tǒng) 實施信息保護系統(tǒng) 評估信息保護系統(tǒng)的有效性 69 評估信息保護系統(tǒng)的有效性 ? 要在多項活動中評估信息保護的有效性：發(fā)掘信息保護需求、定義系統(tǒng)安全要求、定義系統(tǒng)安全體系結構、開展詳細的安全設計以及實現(xiàn)系統(tǒng)安全。這表面上是產(chǎn)品的普適性問題，根源是信息化建設在設計、部署過程缺乏統(tǒng)一的安全考慮。 22 定義信息保護系統(tǒng) ? 理解信息安全必須與信息系統(tǒng)同步規(guī)劃 ? 理解信息系統(tǒng)用途、架構等特征對安全風險特征的影響 23 信息系統(tǒng)安全工程 ISSE 發(fā)掘信息保護需求 定義信息保護系統(tǒng) 設計信息保護系統(tǒng) 實施信息保護系統(tǒng) 評估信息保護系統(tǒng)的有效性 24 定義信息保護系統(tǒng) ? 信息安全是信息化的重要組成部分，信息化是業(yè)務發(fā)展的重要組成部分，應根據(jù)業(yè)務目標和信息系統(tǒng)的目標來確定信息安全保障策略 – 安全與業(yè)務發(fā)展是一個事物的兩個方面，它們在一定的階段和不同的范疇相互獨立 – 安全與業(yè)務發(fā)展的矛盾在人上產(chǎn)生，又在人上統(tǒng)一和化解 我們要保障的是業(yè)務的安全，不是簡單的 IT安全 25 定義信息保護系統(tǒng) 26 BBS都是信息系統(tǒng)，需要得到同樣級別的保護 ，信息化是信息化， “ 井水與河水 ” 彼此不干，不相往來 斷、主機不停、數(shù)據(jù)不丟 ，完全是信息中心的工作失職 糾正錯誤認識 定義信息保護系統(tǒng) ? 定義信息保護系統(tǒng) 27 定義信息保護系統(tǒng) ? 定義信息保護系統(tǒng) 子任務 – –任務 定義系統(tǒng)安全背景環(huán)境 ? 子任務 定義系統(tǒng)邊界及與 SE的接口 ? 子任務 記錄目標系統(tǒng)和外部系統(tǒng)的安全分配 ? 子任務 標識目標系統(tǒng)與外部系統(tǒng)之間的數(shù)據(jù)流以及與這些數(shù)據(jù)流有關的保護要求 – –任務 定義安全運行概念（ CONOPS） – –任務 制定系統(tǒng)安全要求基線 ? 子任務 定義系統(tǒng)安全要求 ? 子任務 定義系統(tǒng)安全操作模式 ? 子任務 定義系統(tǒng)安全性能測度 – –任務 審查設計約束 28 定義信息保護系統(tǒng) ? 定義信息保護系統(tǒng) 子任務 – –任務 評估信息保護的有效性 ? 子任務 向客戶提供并展示安全背景環(huán)境、安全CONOPS及系統(tǒng)安全要求 ? 子任務 得到客戶對系統(tǒng)安全背景環(huán)境、 CONOPS及保護要求的認同 – –任務 支持系統(tǒng)的認證和認可（ Camp。 風險評估結果 解決方式 市、省、國均可實現(xiàn)網(wǎng)絡層未授權的互訪 部署防火墻產(chǎn)品 未授權訪問過程沒有監(jiān)控和審計措施 部署 IDS產(chǎn)品 沒有能力識別未授權訪問所使用惡意程序或代碼 部署防病毒產(chǎn)品 邊界防護體系建設 13 發(fā)掘信息保護需求 ? 案例 1 –某部委每年開展信息安全風險評估工作，定期根據(jù)評估結果確定信息安全工程建設項目。 風險評估結果 解決方式 私自修改主機、網(wǎng)絡設備配置參數(shù) 部署網(wǎng)絡和主機設備的安全審計產(chǎn)品 內外網(wǎng)混用、私接網(wǎng)線 部署網(wǎng)絡準入控制產(chǎn)品 非法拷貝、篡改數(shù)據(jù)庫數(shù)據(jù) 部署數(shù)據(jù)庫審計 內部防范體系建設 14 發(fā)掘信息保護需求 ? 案例 2 – 2022年某單位部署完成網(wǎng)絡準入系統(tǒng)，有效降低了終端的安全風險。A） ? 子任務 確保認可員和認證員對系統(tǒng)安全背景環(huán)境、CONOPS及保護要求的認同 29 定義信息保護系統(tǒng) ? 信息安全工程建設應與信息化工程建設同步規(guī)劃、同步設計、同步實施、同步驗收 – 這是國家的政策要求（國信辦 【 2022】 5號文、發(fā)改高技 【 2022】 2071號文） – 這是業(yè)界的最佳實踐，是規(guī)避和解決層出不窮的信息安全問題的最有效方式 30 定義信息保護系統(tǒng) ? 信息化建設與信息安全建設脫節(jié)的問題，往往是由于對系統(tǒng)缺乏安全方面的認識和了解，沒有清晰、完整定義和描述信息系統(tǒng)，因此信息系統(tǒng)的決策層和管理層應樹立以下認識： 決策層和管理層只有樹立良好的安全意識和原則，才能真正實現(xiàn)“高枕無憂” 31 定義信息保護系統(tǒng) 32 1.“2071號文 ” 明確提出了電子政務建設項目中的信息安全一票否決制 2.“ 重應用，輕安全 ” ，事前疏于防范，事后追悔莫及 諸多安全問題涌現(xiàn)的 “ 罪魁禍首 ” ，項目驗收要做風險評估 定義信息保護系統(tǒng) 一期為了部署網(wǎng)閘，犧牲了四臺浪潮服務器 , 新增購進了 2臺核心交換 部署網(wǎng)閘，需要分別在不同安全級別的網(wǎng)絡間建立數(shù)據(jù)交換區(qū)域，原有的設備存儲過高密級信息，因此不能利舊，需要再增添存儲設備，并且原有設備要進行銷毀。 –信息系統(tǒng)建設與信息安全建設同步設計可以避免重復投資，增強效益 52 設計信息保護系統(tǒng) ? 根據(jù)安全需求有針對性地設計安全措施是非常必要的 –安全設計要依據(jù)安全需求 –安全設計要具備可行性和一定的前瞻性 –達到風險 —需求 —設計的一致性和協(xié)調性 53 設計信息保護系統(tǒng) ? 案例 1 – 某單位提出安全建設的需求是加強網(wǎng)絡邊界的防護，集成單位根據(jù)需求，制定的設計方案中包含有數(shù)據(jù)庫審計產(chǎn)品、桌面防護系統(tǒng)、 SOC系統(tǒng)等，沒有實現(xiàn)邊界防護的目標，卻實現(xiàn)了內部防范與審計?！霸u估信息保護的有效性”中的各項任務和子任務已經(jīng)列入上述的活動中。 – 某部委信息安全處長：“風險評估的引入即保證和驗證了系統(tǒng)的安全有效性，同時也分擔了部分工程風險。 92 信息安全工程監(jiān)理模型 ? 信息安全工程監(jiān)理工作的意義 – 對施工單位（集成商）來說，在其與得到建設單位委托的監(jiān)理機構打交道，在技術上、管理上可以有共同語言，即使發(fā)生爭議，也比較容易按現(xiàn)行專業(yè)法規(guī)去妥善處理，將減少或杜絕過去甲、乙雙方之間那種不正常的“扯皮”，而提高施工及管理的效率 93 信息安全工程監(jiān)理模型 ? 信息安全工程監(jiān)理階段、監(jiān)理管理和控制手段和監(jiān)理支撐要素 監(jiān)理咨詢支撐要素