【文章內(nèi)容簡(jiǎn)介】 信息安全評(píng)估標(biāo)準(zhǔn)的發(fā)展方向，基于 CC的 IT安全測(cè)評(píng)認(rèn)證正在逐漸為更多的國(guó)家所采納， CC的互認(rèn)可協(xié)定簽署國(guó)也在不斷增多。根據(jù) IT安全領(lǐng)域內(nèi) CC認(rèn)可協(xié)議 ，在協(xié)議簽署國(guó)范圍內(nèi)，在某個(gè)國(guó)家進(jìn)行的基于 CC的安全評(píng)估將在其他國(guó)家內(nèi)得到承認(rèn)。截止 2023年 3月，加入該協(xié)議的國(guó)家共有十五個(gè)：澳大利亞、新西蘭、加拿大、芬蘭、法國(guó)、德國(guó)、希臘、以色列、意大利、荷蘭、挪威、西班牙、瑞典、英國(guó)及美國(guó)。 ?到 2023年底，所有已經(jīng)經(jīng)過(guò) TCSEC評(píng)估的產(chǎn)品，其評(píng)估結(jié)果或者過(guò)時(shí)，或者轉(zhuǎn)換為 CC評(píng)估等級(jí)。 CC優(yōu)缺點(diǎn) ? CC缺點(diǎn)： ?CC應(yīng)用的局限性，比如該標(biāo)準(zhǔn)在開(kāi)篇便強(qiáng)調(diào)其不涉及五個(gè)方面的內(nèi)容：行政性管理安全措施、物理安全、評(píng)估方法學(xué)、認(rèn)可過(guò)程、對(duì)密碼算法固有質(zhì)量的評(píng)價(jià)，而這些被 CC忽略的內(nèi)容恰恰是信息安全保障工作中需要特別予以注意的重要環(huán)節(jié)。 ?CC還有一個(gè)明顯的缺陷，即它沒(méi)有數(shù)學(xué)模型的支持，即理論基礎(chǔ)不足。 TCSEC還有 BLP模型的支持。其安全功能可以得到完善的解釋，安全功能的實(shí)現(xiàn)機(jī)制便有章可循。對(duì)于增加的完整性、可用性、不可否認(rèn)性等要求，只局限于簡(jiǎn)單的自然語(yǔ)言描述，不能落實(shí)到具體的安全機(jī)制上。更無(wú)從評(píng)價(jià)這些安全要求的強(qiáng)度。 CC優(yōu)缺點(diǎn) ? 所以： ?CC并不是萬(wàn)能的，它仍然需要與據(jù)各個(gè)國(guó)家的具體要求，與其他安全標(biāo)準(zhǔn)相結(jié)合，才能完成對(duì)一個(gè)信息系統(tǒng)的完整評(píng)估。 ?目前得到國(guó)際范圍內(nèi)認(rèn)可的是 ISO/IEC 15408（ CC） ,我國(guó)的 GB/T 18336等同采用 ISO /IEC 15408。 安全評(píng)估 ? 安全評(píng)估發(fā)展過(guò)程 ? 安全評(píng)估標(biāo)準(zhǔn)介紹 ?可信計(jì)算機(jī)系統(tǒng)評(píng)估準(zhǔn)則（ TCSEC ） ?通用準(zhǔn)則 CC ?信息安全保證技術(shù)框架 IATF ?BS779 ISO17799 ? 我國(guó)信息安全保護(hù)準(zhǔn)則 ?《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》 ?《信息系統(tǒng)安全保護(hù)等級(jí)應(yīng)用指南》 信息安全保證技術(shù)框架 (IATF) ? 信息保證技術(shù)框架（ Information Assurance Technical Framework： IATF）為保護(hù)政府、企業(yè)信息及信息基礎(chǔ)設(shè)施提供了技術(shù)指南 ? IATF對(duì)信息保證技術(shù)四個(gè)領(lǐng)域的劃分同樣適用于信息系統(tǒng)的安全評(píng)估，它給出了一種實(shí)現(xiàn)系統(tǒng)安全要素和安全服務(wù)的層次結(jié)構(gòu) 信息安全保證技術(shù)框架 (IATF) ? 信息安全保證技術(shù)框架將計(jì)算機(jī)信息系統(tǒng)分 4個(gè)部分： ? 本地計(jì)算環(huán)境 ? 區(qū)域邊界 ? 網(wǎng)絡(luò)和基礎(chǔ)設(shè)施 ? 支撐基礎(chǔ)設(shè)施 信息安全保證技術(shù)框架 (IATF) ? 本地計(jì)算環(huán)境一般包括 ? 服務(wù)器 ? 客戶端及其上面的應(yīng)用（如打印服務(wù)、目錄服務(wù)等） ? 操作系統(tǒng) ? 數(shù)據(jù)庫(kù) ? 基于主機(jī)的監(jiān)控組件（病毒檢測(cè)、入侵檢測(cè)） 信息安全保證技術(shù)框架 (IATF) ? 區(qū)域是指在單一安全策略管理下、通過(guò)網(wǎng)絡(luò)連接起來(lái)的計(jì)算設(shè)備的集合 ? 區(qū)域邊界是區(qū)域與外部網(wǎng)絡(luò)發(fā)生信息交換的部分 ? 區(qū)域邊界確保進(jìn)入的信息不會(huì)影響區(qū)域內(nèi)資源的安全，而離開(kāi)的信息是經(jīng)過(guò)合法授權(quán)的 ? 邊界的主要作用是防止外來(lái)攻擊 ? 它也可以來(lái)對(duì)付某些惡意的內(nèi)部人員 ? 這些內(nèi)部人員有可能利用邊界環(huán)境來(lái)發(fā)起攻擊 ? 通過(guò)開(kāi)放后門 /隱蔽通道來(lái)為外部攻擊提供方便 信息安全保證技術(shù)框架 (IATF) ? 區(qū)域邊界上有效的控制措施包括 ? 防火墻 ? 門衛(wèi)系統(tǒng) ? VPN ? 標(biāo)識(shí)和鑒別 ? 訪問(wèn)控制等 ? 有效的監(jiān)督措施包括 ? 基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)（ IDS） ? 脆弱性掃描器 ? 局域網(wǎng)上的病毒檢測(cè)器等 信息安全保證技術(shù)框架 (IATF) ? 網(wǎng)絡(luò)和基礎(chǔ)設(shè)施在區(qū)域之間提供連接 ,包括 ? 局域網(wǎng)（ LAN） ? 校園網(wǎng)（ CAN） ? 城域網(wǎng)（ MAN） ? 廣域網(wǎng)等 ? 其中包括在網(wǎng)絡(luò)節(jié)點(diǎn)間（如路由器和交換機(jī)）傳遞信息的傳輸部件（如：衛(wèi)星，微波，光纖等），以及其他重要的網(wǎng)絡(luò)基礎(chǔ)設(shè)施組件如網(wǎng)絡(luò)管理組件、域名服務(wù)器及目錄服務(wù)組件等 信息安全保證技術(shù)框架 (IATF) ? 對(duì)網(wǎng)絡(luò)和基礎(chǔ)設(shè)施的安全要求主要是 ? 鑒別 ? 訪問(wèn)控制 ? 機(jī)密性 ? 完整性 ? 抗抵賴性 ? 可用性 信息安全保證技術(shù)框架 (IATF) ? 支撐基礎(chǔ)設(shè)施提供了一個(gè) IA機(jī)制在網(wǎng)絡(luò)、區(qū)域及計(jì)算環(huán)境內(nèi)進(jìn)行安全管理、提供安全服務(wù)所使用的基礎(chǔ) ? 主要為以下內(nèi)容提供安全服務(wù)： ? 終端用戶工作站 ? web服務(wù) ? 應(yīng)用 ? 文件 ? DNS服務(wù) ? 目錄服務(wù)等 信息安全保證技術(shù)框架 (IATF) ? IATF中涉及到兩個(gè)方面的支撐基礎(chǔ)設(shè)施： ? KMI/PKI ? 檢測(cè)響應(yīng)基礎(chǔ)設(shè)施 ? KMI/PKI提供了一個(gè)公鑰證書及傳統(tǒng)對(duì)稱密鑰的產(chǎn)生、分發(fā)及管理的統(tǒng)一過(guò)程 ? 檢測(cè)及響應(yīng)基礎(chǔ)設(shè)施提供對(duì)入侵的快速檢測(cè)和響應(yīng)，包括入侵檢測(cè)、監(jiān)控軟件、CERT等 信息安全保證技術(shù)框架 (IATF) ? 深度保衛(wèi)戰(zhàn)略在信息保證技術(shù)框架（ IATF）下提出 ?保衛(wèi)網(wǎng)絡(luò)和基礎(chǔ)設(shè)施 ?保衛(wèi)邊界 ?保衛(wèi)計(jì)算環(huán)境 ?支持基礎(chǔ)設(shè)施 信息安全保證技術(shù)框架 (IATF) ? 其中使用多層信息保證（ IA）技術(shù)來(lái)保證信息的安全 ? 意味著通過(guò)對(duì)關(guān)鍵部位提供適當(dāng)層次的保護(hù)就可以為組織提供有效的保護(hù) ? 這種分層的策略允許在恰當(dāng)?shù)牟课淮嬖诘捅ＷC級(jí)別的應(yīng)用，而在關(guān)鍵部位如網(wǎng)絡(luò)邊界部分采用高保證級(jí)別的應(yīng)用 信息安全保證技術(shù)框架 (IATF) ? 區(qū)域邊界保護(hù)內(nèi)部的計(jì)算環(huán)境，控制外部用戶的非授權(quán)訪問(wèn)，同時(shí)控制內(nèi)部惡意用戶從區(qū)域內(nèi)發(fā)起攻擊 ? 根據(jù)所要保護(hù)信息資源的敏感級(jí)別以及潛在的內(nèi)外威脅，可將邊界分為不同的層次 信息安全保證技術(shù)框架 (IATF) 在對(duì)信息系統(tǒng)進(jìn)行安全評(píng)估時(shí)： ? 可以依據(jù)這種多層的深度保衛(wèi)戰(zhàn)略對(duì)系統(tǒng)的構(gòu)成進(jìn)行合理分析 ? 根據(jù)系統(tǒng)所面臨的各種威脅及實(shí)際安全需求 ? 分別對(duì)計(jì)算環(huán)境、區(qū)域邊界、網(wǎng)絡(luò)和基礎(chǔ)設(shè)施、支撐基礎(chǔ)設(shè)施進(jìn)行安全評(píng)估 ? 對(duì)系統(tǒng)的安全保護(hù)等級(jí)作出恰當(dāng)?shù)脑u(píng)估 信息安全保證技術(shù)框架 (IATF) ? 在網(wǎng)絡(luò)上，有三種不同的通信流： ?用戶通信流 ?控制通信流 ?管理通信流 ? 信息系統(tǒng)應(yīng)保證局域內(nèi)這些通信流的安全 ? 直接假設(shè) KMI/PKI等支撐基礎(chǔ)設(shè)施的實(shí)施過(guò)程是安全的 安全評(píng)估 ? 安全評(píng)估發(fā)展過(guò)程 ? 安全評(píng)估標(biāo)準(zhǔn)介紹 ?可信計(jì)算機(jī)系統(tǒng)評(píng)估準(zhǔn)則（ TCSEC ） ?通用準(zhǔn)則 CC ?信息安全保證技術(shù)框架 IATF ?BS779 ISO17799 ? 我國(guó)信息安全保護(hù)準(zhǔn)則 ?《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》 ?《信息系統(tǒng)安全保護(hù)等級(jí)應(yīng)用指南》 BS7799 ? 1995年，英國(guó)制定國(guó)家標(biāo)準(zhǔn) BS 7799第一部分：“信息安全管理事務(wù)準(zhǔn)則”，并提交國(guó)際標(biāo)準(zhǔn)組織 (ISO)，成為 ISO DIS 14980。 ? 1998年，英國(guó)公布 BS 7799第二部分“信息安全管理規(guī)范”并成為信息安全管理認(rèn)證的依據(jù)；同年，歐盟于 1995年 10月公布之“個(gè)人資料保護(hù)指令，自 1998年 10月 25日起正式生效，要求以適當(dāng)標(biāo)準(zhǔn)保護(hù)個(gè)人資料”。 ? 2023年，國(guó)際標(biāo)準(zhǔn)組織 ISO/IEC JTC SC 27在日本東京 10月 21日通過(guò) BS 77991，成為 ISO DIS 177991， 2023年 12月 1日正式發(fā)布。 BS7799 ? 目前除英國(guó)之外，國(guó)際上已有荷蘭、丹麥、挪威、瑞典、芬蘭、澳大利亞、新西蘭、南非、巴西已同意使用 BS 7799；日本、瑞士、盧森堡表示對(duì) BS 7799感興趣；我國(guó)的臺(tái)灣、香港地區(qū)也在推廣該標(biāo)準(zhǔn)。 ? BS 7799(ISO/IEC17799)在歐洲的證書發(fā)放量已經(jīng)超過(guò) ISO9001。 但是： ? ISO17799 不是認(rèn)證標(biāo)準(zhǔn)，目前正在修訂。 ? BS77992 是認(rèn)證標(biāo)準(zhǔn)，作為國(guó)際標(biāo)準(zhǔn)目前正在討論。 BS7799內(nèi)容：總則 ? 要求各組織建立并運(yùn)行一套經(jīng)過(guò)驗(yàn)證的 信息安全管理體系（ ISMS），用于解決如下問(wèn)題：資產(chǎn)的保管、組織的風(fēng)險(xiǎn)管理、管理標(biāo)的和管理辦法、要求達(dá)到的安全程度。 ? 建立管理框架 ? 確立并驗(yàn)證管理目標(biāo)和管理辦法時(shí)需采取如下步驟： ? 定義信息安全策略 ? 定義信息安全管理體系的范圍 ? 進(jìn)行合理的風(fēng)險(xiǎn)評(píng)估 ? 決定應(yīng)加以管理的風(fēng)險(xiǎn)領(lǐng)域 ? 選出合理的管理標(biāo)的和管理辦法，并加以實(shí)施 ? 準(zhǔn)備可行性聲明 ? 對(duì)上述步驟的合理性應(yīng)按規(guī)定期限定期審核。 BS7799部分 ? BS77991:1999 《信息安全管理實(shí)施細(xì)則》是組織建立并實(shí)施信息安全管理體系的一個(gè)指導(dǎo)性的準(zhǔn)則， 主要為組織制定其信息安全策略和進(jìn)行有效的信息安全控制提供的一個(gè)大眾化的最佳慣例。 ? BS77992:2023 《信息安全管理體系規(guī)范》規(guī)定了建立、實(shí)施和文件化信息安全管理體系 (ISMS)的要求，規(guī)定了根據(jù)獨(dú)立組織的需要應(yīng)實(shí)施安全控制的要求。即本標(biāo)準(zhǔn)適用以下場(chǎng)合 : 組織按照本標(biāo)準(zhǔn)要求建立并實(shí)施信息安全管理體系，進(jìn)行有效的信息安全風(fēng)險(xiǎn)管理，確保商務(wù)可持續(xù)性發(fā)展； 作為尋求信息安全管理體系第三方認(rèn)證的標(biāo)準(zhǔn)。 ? BS7799標(biāo)準(zhǔn)第二部分明確提出安全控制要求，標(biāo)準(zhǔn)第一部分對(duì)應(yīng)給出了通用的控制方法（措施），因此可以說(shuō)，標(biāo)準(zhǔn)第一部分為第二部分的具體實(shí)施提供了指南。