計(jì)算機(jī)信息安全管理標(biāo)準(zhǔn)-資料下載頁(yè)
2024-11-22 04:54本頁(yè)面
【正文】 測(cè)試類； 7．脆弱性評(píng)定類； 8．PPEvaluation。 9．STEvaluation。 10．保證的維護(hù)類。,1 國(guó)外信息安全管理標(biāo)準(zhǔn),按照上述8類安全保證要求不斷遞增的次序，CC將TOE（測(cè)評(píng)對(duì)象）的安全保證級(jí)分為7級(jí)： 第一級(jí)：功能測(cè)試級(jí)； 第二級(jí)：結(jié)構(gòu)測(cè)試級(jí)； 第三級(jí)：系統(tǒng)測(cè)試和檢查級(jí)； 第四級(jí)：系統(tǒng)設(shè)計(jì)、測(cè)試和復(fù)查級(jí)； 第五級(jí)：半形式化設(shè)計(jì)和測(cè)試級(jí)； 第六級(jí)：半形式化驗(yàn)證的設(shè)計(jì)和測(cè)試級(jí)； 第七級(jí)：形式化驗(yàn)證的設(shè)計(jì)和測(cè)試級(jí)。,1 國(guó)外信息安全管理標(biāo)準(zhǔn),,,CC標(biāo)準(zhǔn) 一方面可以支持產(chǎn)品(最終已在系統(tǒng)中安裝的產(chǎn)品)中安全特征的技術(shù)性要求評(píng)估， 另一方面描述了用戶對(duì)安全性的技術(shù)需求. 然而，CC沒有包括對(duì)物理安全、行政管理措施、密碼機(jī)制等方面的評(píng)估，且未能體現(xiàn)動(dòng)態(tài)的安全要求。 因此，CC標(biāo)準(zhǔn)主要還是一套技術(shù)性標(biāo)準(zhǔn)。,1 國(guó)外信息安全管理標(biāo)準(zhǔn),CC標(biāo)準(zhǔn)的核心思想體現(xiàn)在兩方面： 一是信息安全技術(shù)本身和對(duì)信息安全技術(shù)的保證承諾之間獨(dú)立。也就是說，相同的安全功能可以有不同的安全可信度； 二是內(nèi)含了安全工程的思想，即通過對(duì)信息安全產(chǎn)品的開發(fā)、評(píng)價(jià)、使用全過程的各個(gè)環(huán)節(jié)實(shí)施安全工程來確保系統(tǒng)或產(chǎn)品的安全性。,2 我國(guó)的信息安全管理標(biāo)準(zhǔn),2.1 我國(guó)的信息安全管理標(biāo)準(zhǔn)概述 信息安全標(biāo)準(zhǔn)是我國(guó)信息安全保障體系的重要組成部分，是政府進(jìn)行宏觀管理的重要依據(jù)。 我國(guó)信息安全標(biāo)準(zhǔn)化工作，雖然起步較晚，但是近年來發(fā)展較快，入世后標(biāo)準(zhǔn)化工作在公開性、透明度等方面更加取得實(shí)質(zhì)性進(jìn)展。 我國(guó)對(duì)安全技術(shù)的標(biāo)準(zhǔn)化工作一直非常重視，于2002年單獨(dú)成立“全國(guó)信息安全”標(biāo)準(zhǔn)化技術(shù)委員會(huì)，該標(biāo)準(zhǔn)化技術(shù)委員會(huì)已制定了信息技術(shù)方面的國(guó)家標(biāo)準(zhǔn)53個(gè)。,安全管理方面的國(guó)家標(biāo)準(zhǔn)主要如下： GB/T 19715.12005《信息技術(shù) 信息技術(shù)安全管理指南 第1部分：信息技術(shù)安全概念和模型》（ISO/IEC 133351：1996，IDT） GB/T 19715.22005《信息技術(shù) 信息技術(shù)安全管理指南 第2部分：管理和規(guī)劃信息技術(shù)安全》（ISO/IEC 133352：1997，IDT） GB/T 197162005《信息技術(shù) 信息安全管理實(shí)用規(guī)則》（ISO/IEC 17799：2000，MOD）,2.2 GB/T 19715標(biāo)準(zhǔn) GB/T 19715標(biāo)準(zhǔn)在正文前設(shè)立了“前言”和“引言”?！扒把浴苯榻B了GB/T 19715《信息技術(shù) 信息技術(shù)安全管理指南》分為五部分： 第1部分：信息技術(shù)安全概念模型； 第2部分：管理規(guī)劃信息技術(shù)安全； 第3部分：信息技術(shù)安全管理技術(shù)； 第4部分：保護(hù)措施的選擇； 第5部分：網(wǎng)絡(luò)安全管理指南。,2 我國(guó)的信息安全管理標(biāo)準(zhǔn),“引言”部分指出，GB/T 19715標(biāo)準(zhǔn)的目的是提供關(guān)于IT安全管理方面的指南，而不是解決方案。 標(biāo)準(zhǔn)的主要目標(biāo)是： 1．定義和描述與IT安全管理相關(guān)的概念。 2．標(biāo)識(shí)IT安全管理和一般的IT管理之間的關(guān)系。 3．提出了幾個(gè)可用來解釋IT安全的模型。 4．提供了關(guān)于IT安全管理的一般的指南。,2 我國(guó)的信息安全管理標(biāo)準(zhǔn),,第1部分， 提供了描述IT安全管理用的基本概念和模型的概述，適用于負(fù)責(zé) IT安全的管理者，及那些負(fù)責(zé)組織的總體安全大綱的管理者。 第2部分 描述了管理和規(guī)劃方面。它和負(fù)責(zé)組織的IT系統(tǒng)的管理者相關(guān)。 他們可以是： 1．負(fù)責(zé)監(jiān)督IT系統(tǒng)的設(shè)計(jì)、實(shí)施、測(cè)試、采購(gòu)或運(yùn)行的IT管理者。 2．負(fù)責(zé)制定IT系統(tǒng)的實(shí)際使用活動(dòng)的管理者。 第3部分 描述了在一個(gè)項(xiàng)目的生存周期（比如規(guī)劃、設(shè)計(jì)、實(shí)施、測(cè)試、 采辦或運(yùn)行）所涉及的管理活動(dòng)中適于使用的安全技術(shù)。 第4部分 提供了選擇防護(hù)措施的指南，以及通過基線模型和控制的使用如 何受到支持。 第5部分 為組織提供了將它的IT系統(tǒng)連接到外部網(wǎng)絡(luò)的指南。,2 我國(guó)的信息安全管理標(biāo)準(zhǔn),2.3 GB/T 197162005 GB/T 197162005 《信息技術(shù) 信息安全管理實(shí)用規(guī)則》修改采用了ISO/IEC 17799:2000《信息技術(shù) 信息安全管理實(shí)用規(guī)則》。,2 我國(guó)的信息安全管理標(biāo)準(zhǔn),GB/T 197162005對(duì)ISO/IEC 17799:2000的修改在第十大管理要項(xiàng)“符合性”上。 符合性包含3個(gè)執(zhí)行目標(biāo) 符合法律要求 安全策略和技術(shù)符合性的評(píng)審 系統(tǒng)審核考慮,,對(duì)應(yīng)執(zhí)行目標(biāo)“符合法律要求”， 有7項(xiàng)控制措施 可用法律的標(biāo)識(shí)、 知識(shí)產(chǎn)權(quán)、 保護(hù)組織的記錄、 個(gè)人信息的數(shù)據(jù)保護(hù)和隱私、 防止濫用信息處理設(shè)施、 遵循密碼控制的規(guī)章、 證據(jù)的收集。,,,習(xí)題,一．名詞解釋 資產(chǎn) 威脅 脆弱性 影響 風(fēng)險(xiǎn) 防護(hù)措施 殘留風(fēng)險(xiǎn) 約束,習(xí)題,二．簡(jiǎn)答題 1. BS 77991包含哪些內(nèi)容？簡(jiǎn)述之。 2．BS 77992包含哪些內(nèi)容？簡(jiǎn)述之。 3．ISO/IEC 13335標(biāo)準(zhǔn)由哪5部分組成？ 4．在ISO/IEC 13335標(biāo)準(zhǔn)中信息安全有哪幾部分含義？ 5．在ISO/IEC 13335標(biāo)準(zhǔn)中規(guī)定IT安全管理包含哪些活動(dòng)？ 6．簡(jiǎn)述ISO/IEC 13335標(biāo)準(zhǔn)中風(fēng)險(xiǎn)關(guān)系模型的含義？ 7．GB/T 197152005《信息技術(shù) 信息技術(shù)安全管理指南》是采用了哪個(gè)國(guó)際標(biāo)準(zhǔn)？ 8．GB/T 197162005《信息技術(shù) 信息安全管理實(shí)用規(guī)則》是采用了哪個(gè)國(guó)際標(biāo)準(zhǔn)？,
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1