信息與網(wǎng)絡安全標準與規(guī)范-文庫吧資料
2025-01-24 08:07本頁面
【正文】 資產(chǎn)管理權責 ? 確保信息資產(chǎn)得以適當保護。 ? 委外資源管理 ? 委外加工處理時相關信息的安全管理。 ? 外部存取的安全管理 ? 外來組織存取組織內(nèi)部信息及信息處理設施時的安全管理。 17 Copyright ??2022 XExploit Team XExploit Team 控制點管理 ? 安全策略 ? 安全組織 ? 資產(chǎn)分類與管理 ? 個人安全守則 ? 設備及使用環(huán)境安全管理 ? 溝通及操作過程管理 ? 存取控制 ? 信息系統(tǒng)開發(fā)及維護 ? 可持續(xù)運營管理符合性 18 Copyright ??2022 XExploit Team XExploit Team 安全策略 ? 信息安全策略 ? 為信息安全提供管理指導和支持 ? 控制點包括 ? 信息安全策略文件 ? 審核與評估。 16 Copyright ??2022 XExploit Team XExploit Team BS7799內(nèi)容：總則 ? 要求各組織建立并運行一套經(jīng)過驗證的信息安全管理體系，用于解決如下問題：資產(chǎn)的保管、組織的風險管理、管理標的和管理辦法、要求達到的安全程度。 ? 目前除英國之外，國際上已有荷蘭、丹麥、挪威、瑞典、芬蘭、澳大利亞、新西蘭、南非、巴西已同意使用 BS 7799； ? 日本、瑞士、盧森堡表示對 BS 7799感興趣； ? 我國的臺灣、香港地區(qū)也在推廣該標準。 ? 2022年，國際標準組織 ISO/IEC JTC SC 27在日本東京 10月 21 日通過 BS 77991， 成為 ISO DIS 177991， 2022年 12月 1日正式發(fā)布。 ? 1998年，英國公布 BS 7799第二部分 “ 信息安全管理規(guī)范 ” 并成為信息安全管理認證的依據(jù)；同年，歐盟于 1995年 10月公布之 “ 個人資料保護指令，自 1998年 10月 25日起正式生效，要求以適當標準保護個人資料 ” 。 ? 1996年， BS 7799第一部分提交 ISO審議的結果，于 1996年 2月 24日結束 6個月的審議后，參與投票的成員國未超過三分之二。 1993年，英國工業(yè)與貿(mào)易部 (DTI)頒布 “ 信息安全管理事務準則 ” 。 BS7799 Copyright ??2022 XExploit Team XExploit Team 14 Copyright ??2022 XExploit Team XExploit Team 歷史沿革 ? 1990年，世界經(jīng)濟合作開發(fā)組織 (OECD)下轄的信息、計算機與通信政策組織開始起草 “ 信息系統(tǒng)安全指導方針 ” 。 ? 1999年 10月澳大利亞和新西蘭的 DSD加入了 CC互認協(xié)定。 ? 早在 1995年， CC項目組成立了 CC國際互認工作組，此工作組于 1997年制訂了過渡性 CC互認協(xié)定，并在同年10月美國的 NSA和 NIST、 加拿大的 CSE和英國的 CESG簽署了該協(xié)定。 ? 具體體現(xiàn)在 “ 保護輪廓 ” 和 “ 安全目標 ” 中， “ 保護輪廓 ” 和“ 安全目標 ” 的概念和原理由第 1部分介紹， “ 保護輪廓 ” 和 “安全目標 ” 中的安全功能要求和安全保證要求在第 3部分選取，這些安全要求的完備性和一致性，由第 3兩部分來保證。 ? 第 1部分是介紹 CC的基本概念和基本原理； ? 第 2部分提出了技術要求； ? 第 3部分提出了非技術要求和對開發(fā)過程、工程過程的要求。 10 Copyright ??2022 XExploit Team XExploit Team CC的內(nèi)容 ? 第 1部分 “ 簡介和一般模型 ” ? 正文介紹了 CC中的有關術語、基本概念和一般模型以及與評估有關的一些框架， ? 附錄部分主要介紹 “ 保護輪廓 ” 和 “ 安全目標 ” 的基本內(nèi)容； ? 第 2部分 “ 安全功能要求 ” ? 按 “ 類 ——子類 ——組件 ” 的方式提出安全功能要求，每一個類除正文以外，還有對應的提示性附錄作進一步解釋； ? 第 3部分 “ 安全保證要求 ” ? 定義了評估保證級別，介紹了 “ 保護輪廓 ” 和 “ 安全目標 ” 的評估，并按 “ 類 ——子類 ——組件 ” 的方式提出安全保證要求。常見的實用方案就可以當成 “ 安全目標 ” 對待。 ? “ 保護輪廓 ” 編制，一方面解決了技術與真實客觀需求之間的內(nèi)在完備性； ? 另一方面用戶通過分析所需要的產(chǎn)品和系統(tǒng)面臨的安全問題，明確所需的安全策略，進而確定應采取的安全措施，包括技術和管理上的措施，這樣就有助于提高安全保護的針對性、有效性。 ? “ 保護輪廓 ” 主要用于表達一類產(chǎn)品或系統(tǒng)的用戶需求，在標準化體系中可以作為安全技術類標準對待。在經(jīng)濟全球化發(fā)展、全球信息化發(fā)展的趨勢下，這種特點也是進行合格評定和評估結果國際互認的需要。例如，用戶使用 CC的語言表述自己的安全需求，開發(fā)者就可以更具針對性地描述產(chǎn)品和系統(tǒng)的安全性，評估者也更容易有效地進行客觀評估，并確保對用戶更容易理解評估結果。 ? 表達方式的通用性 ? 即給出通用的表達方式。 8 Copyright ??2022 XExploit Team XExploit Team CC的先進性 ? 結構的開放性 ? 即功能和保證要求都可以在具體的 “ 保護輪廓 ” 和 “ 安全目標 ”中進一步細化和擴展，如可以增加 “ 備份和恢復 ” 方面的功能要求或一些環(huán)境安全要求。 ? 功能和保證要求又以 “ 類 ——子類 ——組件 ” 的結構表述，組件作為安全要求的最小構件塊，可以用于 “ 保護輪廓 ” 、 “ 安全目標 ” 和 “ 包 ” 的構建，例如由保證組件構成典型的包 ——“ 評估保證級 ” 。 ? 隨著信息技術的發(fā)展， CC全面地考慮了與信息技術安全性有關的所有因素，以 “ 安全功能要求 ” 和 “ 安全保證要求 ” 的形式提出了這些因素，這些要求也可以用來構建 TCSEC的各級要求。 6 Copyright ??2022 XExploit Team XExploit Team CC vs TCSEC ? CC源于 TCSEC， 但已經(jīng)完全改進了 TCSEC。中軟信息安全博士后科研工作站 馬東平 博士 20221023 信息與網(wǎng)絡 安全標準與規(guī)范 Version 3 Copyright ??2022 XExploit Team XExploit Team 2 Copyright ??2022 XExploit Team XExploit Team 日程安排 ? ISO 15408（ CC) ? BS7799 ? SSECMM ? CVE ISO15408(CC) Copyright ??2022 XExploit Team XExploit Team 4 Copyright ??2022 XExploit Team XExploit Team
試題試卷相關推薦
鄂ICP備17016276號-1