【正文】 控制和管理手段監(jiān)理咨詢階段過程設計招標實施驗收變更監(jiān)理咨詢組織結構監(jiān)理咨詢設施信息安全保障專業(yè)知識質量管理質量控制進度控制成本控制合同管理信息管理組織協(xié)調― 三控制、兩管理、一協(xié)調 ‖監(jiān)理規(guī)劃標準規(guī)范 合同 監(jiān)理實施細則監(jiān)理規(guī)劃標準規(guī)范 監(jiān)理實施細則監(jiān)理范圍 ? 信息安全工程監(jiān)理內容范圍是信息安全工程，并不專注于某一產品的性能和功能 – 查驗產品型號與合同型號是否一致 – 查驗貨品及配件是否完好無破損 – 查驗產品是否能夠通過加電測試 – 查驗產品部署位置是否與實施方案一致 – 查驗產品配置策略是否與實施方案一致 – 檢測產品的性能和功能是否滿足本次項目需求 95 監(jiān)理范圍 ? 信息安全工程監(jiān)理的時間范圍是從簽署監(jiān)理合同開始到工程的結束 – 業(yè)主單位應先選擇監(jiān)理方，再選擇集成方，最后選擇產品供應方 – 信息安全工程監(jiān)理覆蓋的階段為需求、設計、實施和驗收，并不包含運維階段，是全工程實施周期的，不是全生命周期的。 –協(xié)助業(yè)主單位、承建單位消除設計文檔在進入工程實施前可預見的缺陷。” – 風險評估是評估信息保護系統(tǒng)的有效性的重要手段 78 評估信息保護系統(tǒng)的有效性 ? 信息安全工作需要覆蓋系統(tǒng)全生命周期 – 信息安全工作不是一勞永逸的，需要在全生命周期予以重視 – 要與風險管理、安全保障等思想相結合，綜合認識信息安全問題是覆蓋全生命周期 ? 持續(xù)的風險評估和風險控制是保障系統(tǒng)安全的必要工作 – 持續(xù)的風險評估是信息安全保障的一項基礎性工作 – 持續(xù)的風險評估為新的安全決策和需求提供重要依據 79 評估信息保護系統(tǒng)的有效性 ? 信息安全工作不是一勞永逸的，需要在全生命周期予以重視 ? 某行業(yè)通過五年安全防護體系建設，為全國省級單位部署了 12款安全產品。 –風險評估是確保和驗證安全措施實現的重要手段 73 評估信息保護系統(tǒng)的有效性 – 設計和部署的信息安全措施應發(fā)揮應有的作用 署，部署上架后就可以簽字驗收，使用和配置是運維的事情（錯誤認識） 2. “ 安全措施 ” 必須予以落實才可以稱為安全措施 落實才能發(fā)揮其安全作用 74 評估信息保護系統(tǒng)的有效性 ? 安全與效率的關系是互相促進的，系統(tǒng)的效率是靠安全來保障的，以犧牲安全為代價換取系統(tǒng)的效率的短視行為 ，但為了視頻會議不受 “ 影響 ” ，策略為透明全通模式，短時的暢通換來的是病毒泛濫、入侵頻發(fā)，網絡癱瘓。 – 病毒預警的功能實際上就是病毒日志的匯總和統(tǒng)計 – 所謂預警，目前只能做到用前 5天的數據，預測后 1天的病毒，且誤差在 2天左右 – 病毒預警產品只支持特定品牌的防病毒軟件 – 諸多省級單位為了適應該預警系統(tǒng)，更換了原有的防病毒軟件，使特定品牌的病毒軟件“統(tǒng)一江湖” –安全設計要具備可行性 55 設計信息保護系統(tǒng) 實施信息保護系統(tǒng) ? 理解信息安全必須與信息系統(tǒng)同步實施、同步運行 ? 理解安全防護措施的部署需要符合總體安全需求和設計方案 57 信息系統(tǒng)安全工程 ISSE 發(fā)掘信息保護需求 定義信息保護系統(tǒng) 設計信息保護系統(tǒng) 實施信息保護系統(tǒng) 評估信息保護系統(tǒng)的有效性 58 實施信息保護系統(tǒng) ? ?? 購買 /開發(fā)采購 ? ?? 建設、集成 ? ?? 測試、認證 59 實施信息保護系統(tǒng) ? 實施信息保護系統(tǒng) 子任務 – –任務 支持對安全的實現和集成 ? 子任務 參與安全實現的規(guī)劃 ? 子任務 檢驗安全工具和機制的互操作性 ? 子任務 根據安全設計對實現進行驗證 ? 子任務 根據所選擇的安全準則，驗證安全組件是否已經得到評估 ? 子任務 參與系統(tǒng)組件的集成，確保其滿足了系統(tǒng)安全規(guī) ? 范，且未改變組件的規(guī)范 ? 子任務 參與系統(tǒng)組件的配置，確保安全特性已經激活，且安全參數已得到正確設置，能夠提供所需的安全服務 ? 子任務 確保系統(tǒng)和組件的配置已得到紀錄，并實施了配 ? 置管理 60 實施信息保護系統(tǒng) ? 實施信息保護系統(tǒng) 子任務 – –任務 支持測試和評估 ? 子任務 建立測試和評估戰(zhàn)略（包括示范、觀察、分析和 ? 測試） ? 子任務 評審可用的測試和評估證據（例如來自于 CCEP、NIAP、內部測試的數據） ? 子任務 對測試和評估流程的開發(fā)提供支持 ? 子任務 對測試和評估活動提供支持 – –任務 評估信息保護的有效性 ? 子任務 監(jiān)督以確保安全設計的正確實現 ? 子任務 實施并更新風險分析 ? 子任務 定義風險及其可能對使命帶來的影響，并通知客戶和認可員及認證員 61 實施信息保護系統(tǒng) ?實施信息保護系統(tǒng) 子任務 ? – 任務 支持系統(tǒng)的認證和認可（ Camp。兩種不同的部署方式，也使得其面臨的風險迥異 A省 B省 39 定義信息保護系統(tǒng) ? 綜上，從信息安全工程 /保障的角度定義或描述信息系統(tǒng)時，應以保障業(yè)務安全的思想為基礎，清楚認識業(yè)務安全風險以及為業(yè)務提供服務 /支撐的信息系統(tǒng)的安全風險，從而科學、全面地認識信息系統(tǒng)及其安全屬性。 – 2022年開展風險評估，提出應用層安全防護能力薄弱是其最主要風險 –識別了主要風險在于外網，并且是應用層次 16 發(fā)掘信息保護需求 ? 案例 2 – 2022年某單位部署完成網絡準入系統(tǒng)，有效降低了內網終端的安全風險。A） ? 子任務 標識指派的批準官員（ DAA） /認可員 ? 子任務 標識認證專家（ CA） /認證員 ? 子任務 確定可適用的 Camp。 19 發(fā)掘信息保護需求 合理性 符合性 安全工程建設的需求從哪里來？ 20 發(fā)掘信息保護需求 ?風險評估機制的引入，解決了工程建設需求合理性的問題，符合性的問題如何來解決？ 國家政策法規(guī)和合同協(xié)議等符合性要求也是安全需求的重要決定因素 21 發(fā)掘信息保護需求 ? 案例 – 某單位因業(yè)務需求，欲實現機密級網絡與非涉密業(yè)務專網非涉密數據的雙向交換。A） ? 子任務 準備并提交詳細設計文檔，用于風險分析 ? 子任務 與認可員和認證員一起協(xié)商風險分析的結果 49 設計信息保護系統(tǒng) ? 信息安全建設必須與信息系統(tǒng)建設同步設計 –安全是信息系統(tǒng)建設過程的重要組成部分，忽視了安全的信息化建設是不完整的 – 信息系統(tǒng)建設與信息安全建設同步設計可以避免重復投資，增強效益 50 設計信息保護系統(tǒng) ? 案例 1 – 某單位在信息化建設立項階段，高舉風險評估、等級保護大旗，提出“以風險評估為依據、以等級保護為基準”，保障信息化建設的安全性，卻在預算中沒有風險評估經費；在需求書中明確了邊界防護安全需求，卻沒有后續(xù)的安全設計。A過程提供文檔記錄和分析 ? – 任務 支持安全培訓 62 實施信息保護系統(tǒng) ? 案例 1 – 某部委開展網絡改造建設項目，實施方案中安排首先完成網絡割接，之后進行防火墻部署和配臵，再后進行 VLAN劃分，導致系統(tǒng)頻繁出現網絡中斷，疲于應急。 2. “ 一把手 ” 簽發(fā)安裝命令，張貼海報、進行宣講，大規(guī)?？焖偻瓿砂惭b部署，即刻配置策略，速戰(zhàn)速決。它無論是對國家，還是對建設單位（業(yè)主），對施工單位（承包商）都是有明顯的積極意