【正文】 事件發(fā)生的可能性 ? 一個有害事件有三個部分組成：威脅、脆弱性和影響。 信息安全工程 安全風(fēng)險過程 證據(jù) 證據(jù) 保證論據(jù) PA11 驗證和證實安全 指定安全要求 其他多個 PA PA06 建立保證論據(jù) ? 保證是指安全需要得到滿足的信任程度 ? SSECMM的信任程度來自于安全工程過程可重復(fù)性的結(jié)果質(zhì)量。 信息安全工程 安全保證過程 信息安全工程 ＳＳＥ－ＣＭＭ周期 ?計劃執(zhí)行 ?規(guī)范化執(zhí)行 ?跟蹤執(zhí)行 ?驗證執(zhí)行 ?定義標(biāo)準(zhǔn)過程 ?協(xié)調(diào)安全實施 ?執(zhí)行已定義的過程 ?建立可測量的質(zhì)量目標(biāo) ?客觀地管理過程的執(zhí)行 1 非正式 執(zhí)行 2 計劃與跟蹤 3 充分定義 4 量化控制 5 連續(xù)改進(jìn) ?執(zhí)行 基本 實施 ?改進(jìn)組織能力 ?改進(jìn)過程的有效性 公共特性 信息安全工程 能力成熟度 信息安全工程 信息安全工程能力成熟度 生命周期 描 述 相關(guān)過程域 挖掘安全需求 （ DPN） 本階段建立項目組織，了解系統(tǒng)的上下文環(huán)境，決定開始進(jìn)行安全工程，制定初步計劃和預(yù)算等。 本階段信息系統(tǒng)安全工程師幫助用戶挖掘并理解完成系統(tǒng)的任務(wù)和業(yè)務(wù)所需的信息保護(hù)需求。信息保護(hù)需求的確定建立在對系統(tǒng)的安全風(fēng)險分析的基礎(chǔ)上。 ? 系統(tǒng)定義（ PSD） ? 評估威脅（ PAT） ? 評估脆弱性（ PAV） ? 評估影響（ PAI） ? 評估安全風(fēng)險（ PAR） ? 確定安全要求（ PSR） 定義安全要求 （ DSR） 本階段信息系統(tǒng)工程師將已識別出來的信息保護(hù)需求落實到各子系統(tǒng)中，包括開發(fā) 系統(tǒng)安全上下文，初步的系統(tǒng)安全運(yùn)行設(shè)想和安全要求基線等。 設(shè)計體系結(jié)構(gòu) （ DSA） 本階段信息系統(tǒng)安全工程師與系統(tǒng)工程師一起進(jìn)行分析候選體系結(jié)構(gòu)、分配安全服務(wù)和選擇安全機(jī)制，從而完成安全功能分析和落實。信息系統(tǒng)安全工程師選擇適用的組件或元件并把安全功能分配給這些元件，同時描述這些元件之間的關(guān)系。 ? 提供安全輸入（ PPI） ? 高層安全設(shè)計（ PHD） ? 詳細(xì)安全設(shè)計（ PDD） 詳細(xì)安全設(shè)計 （ DSD） 本階段信息系統(tǒng)安全工程師分析設(shè)計的約束條件，分析折衷辦法，進(jìn)行詳細(xì)的系統(tǒng)和安全設(shè)計并考慮生命周期支持。信息系統(tǒng)安全工程師檢查所有系統(tǒng)安全需求落實到了組件。最終的詳細(xì)安全設(shè)計結(jié)果為實現(xiàn)系統(tǒng)提供充分的組件和接口描述信息。 實現(xiàn)系統(tǒng)安全 （ ISS） 本階段信息系統(tǒng)安全工程師把系統(tǒng)設(shè)計轉(zhuǎn)移到運(yùn)行，參與對所有系統(tǒng)問題的多學(xué)科綜合分析，并為認(rèn)證認(rèn)可活動提供輸入。例如驗證系統(tǒng)已經(jīng)實現(xiàn)了對抗威脅評估中識別出的威脅；追蹤與系統(tǒng)實現(xiàn)和測試活動相關(guān)的信息保護(hù)保障機(jī)制；為系統(tǒng)生命周期支持計劃、運(yùn)行規(guī)程、培訓(xùn)材料維護(hù)提供輸入。本階段信息系統(tǒng)已到位并開始運(yùn)行，通過定期的評估和不斷監(jiān)視系統(tǒng)的安全狀況，確定如何獲得更高的安全性能和效率等來滿足用戶變化的安全需求，進(jìn)行軟硬件升級和修改并進(jìn)行相應(yīng)的測試。 ? 安全工程實施（ PEI） ? 安全協(xié)調(diào)（ PCS） ? 監(jiān)視安全狀況（ PMS） ? 管理安全控制（ PAS） 有效性評估 （ APE） 本階段信息系統(tǒng)安全工程師關(guān)注信息保護(hù)的有效性 系統(tǒng)是否能夠保證其處理的信息的機(jī)密性、完整性、可用性、鑒別和不可否認(rèn)性，確保成功完成使命。 ? 驗證和證實安全（ PVV） ? 建立保證論據(jù)（ PBA） 信息安全工程 ＳＳＥ－ＣＭＭ過程 安全保障體系實施 信息安全工程 安全體系實踐 ?評估審查內(nèi)容： ?安全管理健康狀況 ?安全技術(shù)健康狀況 ?評估審查方式： 問卷調(diào)研＋現(xiàn)場訪談 + 文檔復(fù)審＋工具＋人工檢查＋模擬測試 IT安全策略、安全組織、個人安全、資產(chǎn)分類和控制、網(wǎng)絡(luò)通信安全、系統(tǒng)訪問安全、災(zāi)難恢復(fù)計劃、系統(tǒng)開發(fā)和維護(hù)、物理和環(huán)境安全、一致性 ?數(shù)據(jù)備份與信息存儲保護(hù) ?計算機(jī)訪問控制機(jī)制 ?網(wǎng)絡(luò)訪問控制機(jī)制 ?計算機(jī)場地、環(huán)境、設(shè)備、物理安全 ?入侵檢測和攻擊保護(hù) ?事件響應(yīng)規(guī)劃和災(zāi)難恢復(fù)規(guī)劃 ?信息輸入控制 ?信息保密機(jī)制 ?遠(yuǎn)程訪問安全控制 ?病毒防護(hù)系統(tǒng) ?通信協(xié)議使用和設(shè)置 ?UNIX系統(tǒng)配置和使用 ?NT服務(wù)器配置和使用 ?個人 PC配置和使用 ?數(shù)據(jù)庫配置和使用 ?WEB訪問安全 ?防火墻配置和使用 信息安全工程 風(fēng)險評估與審計 管理體系文檔 ?安全組織與責(zé)任分工 ?安全內(nèi)部評審及考核辦法 ?工作人員安全守則 ?機(jī)房安全管理規(guī)定 ?信息系統(tǒng)設(shè)備安全管理規(guī)定 ?用戶名、口令安全管理規(guī)定 ?電子郵件使用安全管理規(guī)定 ?第三方安全須知 日常運(yùn)維文檔 ?系統(tǒng)管理員安全操作手冊 ?網(wǎng)絡(luò)設(shè)備安全操作和管理 ?操作系統(tǒng)安全操作和管理 ?用戶設(shè)置和口令管理 ?信息資產(chǎn)分類與安全責(zé)任表 ?信息分類標(biāo)準(zhǔn)與方法 ?應(yīng)用開發(fā)安全管理注意事項 ?新系統(tǒng)上線檢查列表 ?預(yù)防病毒防范策略 ?外部訪問安全策略 ?內(nèi)部訪問安全策略 ?WEB安全保護(hù)策略 信息安全工程 安全策略審計 ? 安全管理流程 – 安全基礎(chǔ)和系統(tǒng)配置流程 – 訪問設(shè)置流程 – 安全預(yù)防和監(jiān)視流程 – 安全事件匯報 /處理流程 – 安全日志維護(hù)流程 – 安全補(bǔ)丁管理流程 – 安全變更管理流程 – 安全風(fēng)險評估流程 – 業(yè)務(wù)連續(xù)性管理基礎(chǔ)流程 技術(shù)產(chǎn)品規(guī)范 ?預(yù)防病毒防范策略（管理員及最終用戶） ?網(wǎng)絡(luò)設(shè)備配置策略； ?安全產(chǎn)品使用原則（需要根據(jù)風(fēng)險評估和安全策略的具體實際要求確定的安全子項目來確定安全產(chǎn)品范圍）； ?動態(tài)口令 ?集中用戶管理和單點登錄 ?防火墻 ?代理服務(wù)器 ?掃描器 ?網(wǎng)絡(luò)入侵檢測 ?防病毒 信息安全工程 安全策略審計 信息安全工程 安全檢查列表 信息安全工程 安全檢查列表 信息安全工程 建立內(nèi)部審核體系 信息安全工程 內(nèi)部審核表 確定不同等級的風(fēng)險 安全威脅 機(jī)密性 完整性 可用性 信息泄露 … 非法訪問 信息篡改 … 信息破壞 無法正常訪問 … 系統(tǒng)癱瘓 保 護(hù) 對 象 框 架 系統(tǒng) 1 子系統(tǒng) 1 3級 2級 3級 3級 1級 1級 3級 3級 1級 子系統(tǒng) 2 2級 1級 1級 2級 2級 2級 2級 2級 1級 … 1級 3級 1級 1級 1級 1級 1級 3級 3級 子系統(tǒng) n 2級 1級 3級 1級 3級 2級 1級 2級 2級 系統(tǒng) 2 子系統(tǒng) 1 3級 2級 3級 2級 3級 1級 2級 3級 2級 子系統(tǒng) 2 1級 1級 3級 1級 1級 1級 1級 1級 1級 … 1級 1級 2級 2級 2級 2級 3級 2級 3級 子系統(tǒng) m 1級 2級 1級 1級 1級 1級 2級 1級 1級 系統(tǒng) 3 子系統(tǒng) 1 1級 1級 1級 3級 1級 2級 子系統(tǒng) 2 1級 1級 2級 2級 2級 2級 1級 … 2級 2級 1級 2級 2級 2級 子系統(tǒng) n 1級 1級 3級 2級 3級 3級 2級 二 安全風(fēng)險分析 一 子系統(tǒng)劃分與定級 保 護(hù) 對 象 框 架 系統(tǒng) 1 子系統(tǒng) 1 子系統(tǒng) 2 … 子系統(tǒng) n 系統(tǒng) 2 子系統(tǒng) 1 子系統(tǒng) 2 … 子系統(tǒng) m 系統(tǒng) 3 子系統(tǒng) 1 子系統(tǒng) 2 … 子系統(tǒng) n ? 信息安全事件監(jiān)控予警 ? 信息安全事件通報： 定級（ GB/Z 20982— 2022） ? 啟動應(yīng)急予案 ? 事件應(yīng)急抑制： 物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用、服務(wù) ? 事件應(yīng)急根除 ? 事件應(yīng)急恢復(fù)： 恢復(fù)、搶救、災(zāi)備、回退 ? 應(yīng)急審計評估： 設(shè)施、數(shù)據(jù)、服務(wù)、審計、修訂 “ 災(zāi)難恢復(fù)”是 BCM關(guān)鍵之一，是“應(yīng)急恢復(fù)”的最后一道防線 信息安全工程 應(yīng)急預(yù)案與響應(yīng)流程 我國災(zāi)難恢復(fù)等級劃分：六級、七要素 大致可以分為二類： 數(shù)據(jù)類、應(yīng)用類 ? “第 1級”： 數(shù)據(jù)介質(zhì)轉(zhuǎn)移（異地存放、安全保管、定期更新） ? “第 2級”： 備用場地支持（異地介質(zhì)存放、系統(tǒng)硬件網(wǎng)絡(luò)可調(diào)） ? “第 3級”： 電子傳送和部分設(shè)備支持（網(wǎng)絡(luò)傳送、磁盤鏡像復(fù)制） ? “第 4級”： 電子傳送和完整設(shè)備支持（網(wǎng)絡(luò)傳送、網(wǎng)絡(luò)與系統(tǒng)就緒） ? “第 5級”： 實時數(shù)據(jù)傳送及完整設(shè)備支持（關(guān)鍵數(shù)據(jù)實時復(fù)制、網(wǎng) 絡(luò)系統(tǒng)就緒、人機(jī)切換） ? “第 6級”： 數(shù)據(jù)零丟失和遠(yuǎn)程（在線實時鏡像、作業(yè)動態(tài)分配、 實時 無縫切換） 信息安全工程 “信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范” (安標(biāo)委 GB/T 20988—2022) 確定安全區(qū)域的保護(hù)措施 三 安全策略設(shè)計 二 安全風(fēng)險分析 一 子系統(tǒng)劃分與定級 安全威脅 機(jī)密性 完整性 可用性 信息泄露 … 非法訪問 信息篡改 … 信息破壞 無法正常訪問 … 系統(tǒng)癱瘓 保 護(hù) 對 象 框 架 系統(tǒng) 1 子系統(tǒng) 1 3級 2級 3級 3級 1級 1級 3級 3級 1級 子系統(tǒng) 2 2級 1級 1級 2級 2級 2級 2級 2級 1級 … 1級 3級 1級 1級 1級 1級 1級 3級 3級 子系統(tǒng) n 2級 1級 3級 1級 3級 2級 1級 2級 2級 系統(tǒng) 2 子系統(tǒng) 1 3級 2級 3級 2級 3級 1級 2級 3級 2級 子系統(tǒng) 2 1級 1級 3級 1級 1級 1級 1級 1級 1級 … 1級 1級 2級 2級 2級 2級 3級 2級 3級 子系統(tǒng) m 1級 2級 1級 1級 1級 1級 2級 1級 1級 系統(tǒng) 3 子系統(tǒng) 1 1級 1級 1級 3級 1級 2級 子系統(tǒng) 2 1級 1級 2級 2級 2級 2級 1級 … 2級 2級 1級 2級 2級 2級 子系統(tǒng) n 1級 1級 3級 2級 3級 3級 2級 安全評估審計： ?資產(chǎn)清單 ?工具分析審計報告 ?人工分析審計報告 ?管理分析審計報告 ?訪談記錄 ?項目過程文件 ?滲透測試報告 ?風(fēng)險評估報告 ?安全差距與需求分析報告 ?安全體系框架 信息安全工程 相關(guān)項目文件 安全目標(biāo) 戰(zhàn)略 績效記分卡 指導(dǎo) 指導(dǎo) 評價 評價 IT要實現(xiàn)的業(yè)務(wù)目標(biāo) 業(yè)務(wù)需求 治理需求 信息服務(wù) 信息標(biāo)準(zhǔn) 需求 影響 應(yīng)滿足 IT要實現(xiàn)的業(yè)務(wù)目標(biāo) 企業(yè) IT基礎(chǔ)架構(gòu) 規(guī)范 應(yīng)用安全 結(jié)構(gòu)安全 和人員安全 信息安全 交付 運(yùn)行 需要 基礎(chǔ)安全 信息安全工程 建立信息安全績效考核 驅(qū) 動 執(zhí)行 確 定 目 標(biāo) 評 價 成 果 改 進(jìn) 與 再 校 準(zhǔn) 了解安全需求、威脅及其弱點 活動目標(biāo) 發(fā)現(xiàn)并解決對信息、應(yīng)用系統(tǒng)、基礎(chǔ)架構(gòu)的未授權(quán)訪問 確保安全服務(wù)能夠抵御攻擊并恢復(fù) 維護(hù)組織的聲譽(yù)和權(quán)威形象 對被監(jiān)控的安全事件進(jìn)行檢查的頻率 非法訪問的數(shù)量 影響業(yè)務(wù)的突發(fā)安全事件的數(shù)量 影響組織業(yè)務(wù)目標(biāo)實現(xiàn)的突發(fā)安全事件事件的數(shù)量 流程目標(biāo) IT目標(biāo) 業(yè)務(wù)目標(biāo) 通過評價 通過評價 通過評價 通過評價 信息安全工程 評價體系 謝謝