國(guó)內(nèi)外信息安全標(biāo)準(zhǔn)與信息安全模型(ppt48頁(yè))(編輯修改稿)
2025-01-26 10:13 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 C 15408:1999 Security Techniques—Evaluation Criteria for IT Security）。目前的最新版本于 2023年發(fā)布。 ? ISO/IEC 15408是基于多個(gè)標(biāo)準(zhǔn)而產(chǎn)生的，它的演進(jìn)過(guò)程如下圖所示： 第 18 頁(yè) 第 19 頁(yè) ISO/IEC 15408的內(nèi)容 ? ISO/IEC 15408由以下三部分組成： – 第一部分：介紹和一般模型 – 第二部分：安全功能需求 – 第三部分：安全認(rèn)證需求 ? ISO/IEC 15408準(zhǔn)則比以往的其他信息技術(shù)安全評(píng)估標(biāo)準(zhǔn)更加規(guī)范，采用以下方式定義： – 類別（ CLASS）； – 認(rèn)證族（ ASSURANCE FAMILY）； – 認(rèn)證部件（ ASSURANCE COMPONENT）； – 認(rèn)證元素（ ASSURANCE ELEMENT）。 ? 其中類別中有若干族，族中有若干部件，部件中有若干元素 。 第 19 頁(yè) 第 20 頁(yè) ISO/IEC 15408的特點(diǎn) ? ISO/IEC 15408 信息技術(shù)安全評(píng)估準(zhǔn)則中討論的是 TOE （ target of evaluation), 即評(píng)估對(duì)象。該準(zhǔn)則關(guān)注于評(píng)估對(duì)象的安全功能，安全功能執(zhí)行的是安全策略。 ? ISO/IEC 15408 定義了安全屬性，包括用戶屬性、客體屬性、主體屬性、和信息屬性。 ? ISO/IEC 15408加強(qiáng)了完整性和可用性的防護(hù)措施，強(qiáng)調(diào)了抗抵賴性的安全要求。 ? ISO/IEC 15408 還定義了加密的要求，強(qiáng)調(diào)對(duì)用戶的隱私保護(hù)。 ? ISO/IEC 15408還討論了某些故障、錯(cuò)誤和異常的安全保護(hù)問(wèn)題。 第 20 頁(yè) 第 21 頁(yè) ISO/IEC15408的類別 ? ISO/IEC 15408中，類別（ class) 代表最概括的分類和定義方式。包括 : ? 安全功能類別 ，共 11個(gè)， 分別為安全審計(jì)、通信、加密支持、用戶數(shù)據(jù)防護(hù)、標(biāo)識(shí)與鑒別、安全管理、隱私、安全功能的防護(hù)、資源利用、對(duì)評(píng)估對(duì)象的訪問(wèn)、可信通路 /通道。 ? 安全認(rèn)知類別 ，共 8個(gè)，分別為配置管理、遞交和操作、開(kāi)發(fā)、指南文檔、生存期支持、測(cè)試、脆弱性評(píng)估、認(rèn)證維護(hù)。 ? 評(píng)估認(rèn)證級(jí)別類別， 共 7個(gè)，分別為評(píng)估功能測(cè)試、結(jié)構(gòu)測(cè)試、方法測(cè)試和檢查、半形式設(shè)計(jì)和測(cè)試、半形式驗(yàn)證設(shè)計(jì)和測(cè)試、形式驗(yàn)證設(shè)計(jì)和測(cè)試。 ? 評(píng)估類別 ，共 3個(gè)，包括 2個(gè)預(yù)評(píng)估類別和 TOE評(píng)估（即評(píng)估對(duì)象的評(píng)估）。其中預(yù)評(píng)估類別分別為： – 防護(hù)框架評(píng)估（ Protection Profile evaluation,簡(jiǎn)稱 PP評(píng)估） : 評(píng)估的一般是某類安全產(chǎn)品，如防火墻等，提出測(cè)評(píng)的常為是行業(yè)組織； – 安全目標(biāo)評(píng)估 （ Security Target evaluation, 簡(jiǎn)稱 ST評(píng)估）：評(píng)估的一般是某一類的特定產(chǎn)品，如某品牌的防火墻，提出測(cè)評(píng)的常為廠商。 第 21 頁(yè) 第 22 頁(yè) ISO/IEC15408的評(píng)估方法 ? 對(duì)于信息系統(tǒng)和產(chǎn)品進(jìn)行安全認(rèn)證 ISO/IEC15408通常采用如下方法進(jìn)行評(píng)估： – 分析和檢查進(jìn)程與過(guò)程 – 檢查進(jìn)程和過(guò)程被應(yīng)用的情況 – 分析 TOE設(shè)計(jì)表示一致性 – 分析 TOE設(shè)計(jì)表示與需求的滿足性 – 驗(yàn)證 – 分析指南文檔 – 分析功能測(cè)試和測(cè)試結(jié)果 – 獨(dú)立功能測(cè)試 – 分析脆弱性（包括漏洞假說(shuō)） – 侵入測(cè)試等 ? （ TOE是評(píng)估對(duì)象（ Target of Evaluation）的縮寫 ） 第 22 頁(yè) 第 23 頁(yè) 關(guān)于 ISO/IEC 13335 ? ISO/IEC 13335 Information Technology—Guidelines for the Management of IT Security 是一套關(guān)于信息安全管理的技術(shù)文件，共由五個(gè)部分組成，這五個(gè)組成部分分別在 1996至 2023年間發(fā)布。 ? 第一部分：安全概念和模型 （ Part 1—Concepts and Models for IT Security ），發(fā)布于 1996年 12月 15日。 ? 第二部分：安全管理和規(guī)劃 （ Part 2—Managing and Planning IT Security），發(fā)布于 1997年 12月 15日。 ? 第三部分：安全管理技術(shù)（ Part 3—Techniques for the Management of IT Security），發(fā)布于 1998年 6月 15日。 ? 第四部分：保護(hù)的選擇 （ Part 4—Selection of Safeguards），發(fā)布于2023年 3月 1日。 ? 第五部分：外部聯(lián)接的防護(hù)（ Part 5—Management Guidance on Network Security），發(fā)布于 2023年 1月 2日。 ? 其中第一部分分別于 1997年和 2023年發(fā)布了更新版本。 第 23 頁(yè) 第 24 頁(yè) 關(guān)于 ISO13569 ? ISO13569的全稱為 ISO/TR 13569:2023 Financial services Information security guidelines。 它 提供了對(duì)于金融服務(wù)行業(yè)機(jī)構(gòu)的信息安全程序開(kāi)發(fā)的指導(dǎo)方針。它包括了對(duì)制度，組織結(jié)構(gòu)和法律法規(guī)等內(nèi)容的討論。 ? 該標(biāo)準(zhǔn)對(duì)組織選擇和實(shí)施安全控制，和金融機(jī)構(gòu)用于管理信息安全風(fēng)險(xiǎn)的要素進(jìn)行了闡述。 ? ISO13569于 1997年首次發(fā)布，分別于 2023年和 2023年更新，目前的最新版本為 2023年的版本。 第 24 頁(yè) 第 25 頁(yè) ISO/IEC 13569的主要內(nèi)容 ? ISO/IEC 13569是針對(duì)金融行業(yè)的信息安全標(biāo)準(zhǔn)，包括以下主要內(nèi)容： – 組織的 IT安全政策 – IT安全管理 – 風(fēng)險(xiǎn)分析和評(píng)估 – 安全保護(hù)的實(shí)施和選擇 – IT系統(tǒng)保護(hù) – 金融服務(wù)行業(yè)專題，包括如銀行卡、電子資金傳輸 (Electronic Fund Transfer)、支票、電子商務(wù)等內(nèi)容； – 另外，還包括如加密、審計(jì)、事件管理等專項(xiàng)討論。 第 25 頁(yè) 第 26 頁(yè) 提綱 1. 信息安全標(biāo)準(zhǔn)概述 2. 國(guó)際標(biāo)準(zhǔn) – ISO/IEC 系列信息安全標(biāo)準(zhǔn) 3. 國(guó)際標(biāo)準(zhǔn) – COBIT 4. 國(guó)內(nèi)標(biāo)準(zhǔn) －等級(jí)保護(hù) 5. 安全標(biāo)準(zhǔn)的比較 6. 問(wèn)題與回答 第 26 頁(yè) 第 27 頁(yè) COBIT簡(jiǎn)介 ? COBIT（ Control
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1