國內(nèi)外信息安全標(biāo)準(zhǔn)與信息安全模型(編輯修改稿)
2025-01-26 10:10 本頁面
【文章內(nèi)容簡介】 私保護。 ? ISO/IEC 15408還討論了某些故障、錯誤和異常的安全保護問題。 第 20 頁 第 21 頁 ISO/IEC15408的類別 ? ISO/IEC 15408中，類別（ class) 代表最概括的分類和定義方式。包括 : ? 安全功能類別 ，共 11個， 分別為安全審計、通信、加密支持、用戶數(shù)據(jù)防護、標(biāo)識與鑒別、安全管理、隱私、安全功能的防護、資源利用、對評估對象的訪問、可信通路 /通道。 ? 安全認(rèn)知類別 ，共 8個，分別為配置管理、遞交和操作、開發(fā)、指南文檔、生存期支持、測試、脆弱性評估、認(rèn)證維護。 ? 評估認(rèn)證級別類別， 共 7個，分別為評估功能測試、結(jié)構(gòu)測試、方法測試和檢查、半形式設(shè)計和測試、半形式驗證設(shè)計和測試、形式驗證設(shè)計和測試。 ? 評估類別 ，共 3個，包括 2個預(yù)評估類別和 TOE評估（即評估對象的評估）。其中預(yù)評估類別分別為： – 防護框架評估（ Protection Profile evaluation,簡稱 PP評估） : 評估的一般是某類安全產(chǎn)品，如防火墻等，提出測評的常為是行業(yè)組織； – 安全目標(biāo)評估 （ Security Target evaluation, 簡稱 ST評估）：評估的一般是某一類的特定產(chǎn)品，如某品牌的防火墻，提出測評的常為廠商。 第 21 頁 第 22 頁 ISO/IEC15408的評估方法 ? 對于信息系統(tǒng)和產(chǎn)品進行安全認(rèn)證 ISO/IEC15408通常采用如下方法進行評估： – 分析和檢查進程與過程 – 檢查進程和過程被應(yīng)用的情況 – 分析 TOE設(shè)計表示一致性 – 分析 TOE設(shè)計表示與需求的滿足性 – 驗證 – 分析指南文檔 – 分析功能測試和測試結(jié)果 – 獨立功能測試 – 分析脆弱性（包括漏洞假說） – 侵入測試等 ? （ TOE是評估對象（ Target of Evaluation）的縮寫 ） 第 22 頁 第 23 頁 關(guān)于 ISO/IEC 13335 ? ISO/IEC 13335 Information Technology—Guidelines for the Management of IT Security 是一套關(guān)于信息安全管理的技術(shù)文件，共由五個部分組成，這五個組成部分分別在 1996至 2023年間發(fā)布。 ? 第一部分：安全概念和模型 （ Part 1—Concepts and Models for IT Security ），發(fā)布于 1996年 12月 15日。 ? 第二部分：安全管理和規(guī)劃 （ Part 2—Managing and Planning IT Security），發(fā)布于 1997年 12月 15日。 ? 第三部分：安全管理技術(shù)（ Part 3—Techniques for the Management of IT Security），發(fā)布于 1998年 6月 15日。 ? 第四部分：保護的選擇 （ Part 4—Selection of Safeguards），發(fā)布于2023年 3月 1日。 ? 第五部分：外部聯(lián)接的防護（ Part 5—Management Guidance on Network Security），發(fā)布于 2023年 1月 2日。 ? 其中第一部分分別于 1997年和 2023年發(fā)布了更新版本。 第 23 頁 第 24 頁 關(guān)于 ISO13569 ? ISO13569的全稱為 ISO/TR 13569:2023 Financial services Information security guidelines。 它 提供了對于金融服務(wù)行業(yè)機構(gòu)的信息安全程序開發(fā)的指導(dǎo)方針。它包括了對制度，組織結(jié)構(gòu)和法律法規(guī)等內(nèi)容的討論。 ? 該標(biāo)準(zhǔn)對組織選擇和實施安全控制，和金融機構(gòu)用于管理信息安全風(fēng)險的要素進行了闡述。 ? ISO13569于 1997年首次發(fā)布，分別于 2023年和 2023年更新，目前的最新版本為 2023年的版本。 第 24 頁 第 25 頁 ISO/IEC 13569的主要內(nèi)容 ? ISO/IEC 13569是針對金融行業(yè)的信息安全標(biāo)準(zhǔn)，包括以下主要內(nèi)容： – 組織的 IT安全政策 – IT安全管理 – 風(fēng)險分析和評估 – 安全保護的實施和選擇 – IT系統(tǒng)保護 – 金融服務(wù)行業(yè)專題，包括如銀行卡、電子資金傳輸 (Electronic Fund Transfer)、支票、電子商務(wù)等內(nèi)容； – 另外，還包括如加密、審計、事件管理等專項討論。 第 25 頁 第 26 頁 提綱 1. 信息安全標(biāo)準(zhǔn)概述 2. 國際標(biāo)準(zhǔn) – ISO/IEC 系列信息安全標(biāo)準(zhǔn) 3. 國際標(biāo)準(zhǔn) – COBIT 4. 國內(nèi)標(biāo)準(zhǔn) －等級保護 5. 安全標(biāo)準(zhǔn)的比較 6. 問題與回答 第 26 頁 第 27 頁 COBIT簡介 ? COBIT（ Control Objectives for Information and related Technology）是由信息系統(tǒng)審計與控制學(xué)會 ISACA（ Information Systems Audit and Control Association）在 1996年所公布的控制框架； ? 目前已經(jīng)更新至第 。 ? COBIT的主要目的是研究、發(fā)展、宣傳權(quán)威的、最新的國際化的公認(rèn)信息技術(shù)控制目標(biāo)以供企業(yè)經(jīng)理、 IT專業(yè)人員和審計專業(yè)人員日常使用。 ? COBIT框架共有 34個 IT的流程，分成四個領(lǐng)域： PO（ 計劃與組織 ）、AI（ 獲取與實施 ）、 DS（ 交付與支持 ）、和 ME（ 監(jiān)控與評估 ）。 第 27 頁 第 28 頁 COBIT來源 ? 1992年： ISACF (Information System Audit and Control Foundation)發(fā)起 ， 參閱全球不同國家 、政府、 標(biāo)準(zhǔn)組織的 26份文件 后 ， 基于 其中之 18份文件，研擬 COBIT， 同時籌組 COBIT指導(dǎo)委員會 (Steering Committee)。 – 1996年： COBIT指導(dǎo)委員會公布 COBIT第一版。 – 1998年： COBIT指導(dǎo)委員會公布 COBIT第二版，將第一版之 32個 高級控制目標(biāo) (High Level Control Objectives)擴充成 34個 。 – 2023年： COBIT指導(dǎo)委員會公布 COBIT第三版。 – 2023年： COBIT指導(dǎo)委員會公布 COBIT第 四 版 。 – 2023年：發(fā)布 COBIT ，為目前最新版本。 第 28 頁 第 29 頁 COBIT涉及領(lǐng)域 商業(yè)目標(biāo)及 IT治理目標(biāo) 效率 應(yīng)用系統(tǒng) 信息 基礎(chǔ)架構(gòu) 人力 交付與支持 監(jiān)控與評估 獲得與實施 信息 IT資源 CobiT框架 效果 保密性 完整性 可用性 合規(guī)性 DS1 定義和管理服務(wù)水平 DS2 管理第三方服務(wù) DS3 性能管理和容量管理 DS4 確保服務(wù)的連續(xù)性 DS5 確保系統(tǒng)安全 DS6 確定并分配成本 DS7 教育和培訓(xùn)用戶 DS8 服務(wù)臺和緊急事件管理 DS9 配置管理 DS10 問題管理 DS11 數(shù)據(jù)管理 DS12 物理環(huán)境管理 DS13 運營管理
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1