构建信息安全障体系思考-精选课件.ppt

1、1i信息化成为经济发展的重要推动力信息化成为经济发展的重要推动力i信息化引发全球的产业革命信息化引发全球的产业革命i信息化成为国际经济竞争的焦点信息化成为国际经济竞争的焦点i信息化成为国力和经济增长力的重要标志信息化成为国力和经济增长力的重要标志i信息化是全球经济和社会发展的大趋势信息化是全球经济和社会发展的大趋势234567891011121314 15Hacker(黑客）黑客）MMMMaster(主攻手）主攻手）zzzz zz z zZombie（僵尸）僵尸）16Hacker(黑客）黑客）MMMMaster(主攻手）主攻手）zzzz zz z zZombie（僵尸）僵尸）Target（目标

2、机）目标机）17181920发展与安全发展与安全保驾护航保驾护航资产与威胁资产与威胁保障能力保障能力防护与检测防护与检测纵深防御纵深防御成本与风险成本与风险等级保护等级保护技术与管理技术与管理综合治理综合治理培训与自律培训与自律以人为本以人为本强度与弱点强度与弱点均衡设计均衡设计212223组织管理技术保障信息安全基础设施产业支撑人材教育和培养法规与标准 行政管理体制行政管理体制 技术管理体制技术管理体制 信息系统安全管理准则（信息系统安全管理准则（ISO 17799）管理策略管理策略 组织与人员组织与人员 资产分类与安全控制资产分类与安全控制 配置与运行配置与运行 网络信息安全域与通信安全网

3、络信息安全域与通信安全 异常事件与审计异常事件与审计 信息标记与文档信息标记与文档 物理与环境物理与环境 开发与维护开发与维护 作业连续性保障作业连续性保障 符合性符合性24创建一个具有一批高级信息安全人材、雄厚的安全创建一个具有一批高级信息安全人材、雄厚的安全技术队伍、普及安全意识和技术的人材大环境技术队伍、普及安全意识和技术的人材大环境学历教育：学历教育：专业设置、课程配套专业设置、课程配套高级人材培养：高级人材培养：研究生学院、博士后流动站研究生学院、博士后流动站职业和技能培训：职业和技能培训：上岗和在职培训、考核认证制度上岗和在职培训、考核认证制度信息安全意识提升：信息安全意识提升：学

4、会、协会、论坛、媒体学会、协会、论坛、媒体网上教育：网上教育：信息安全课件、网上课堂信息安全课件、网上课堂信息安全出版物：信息安全出版物：技术型、普及型技术型、普及型25推动安全产业发展，支撑安全保障体系建设推动安全产业发展，支撑安全保障体系建设掌握安全产品的自主权、自控权掌握安全产品的自主权、自控权建设信息安全产品基地建设信息安全产品基地形成信息安全产品配套的产业链形成信息安全产品配套的产业链造就出世界品牌的安全骨干企业造就出世界品牌的安全骨干企业安全产品制造业、集成业、服务业全面发展安全产品制造业、集成业、服务业全面发展尽快配套信息安全产业管理政策尽快配套信息安全产业管理政策（准入、测评、

5、资质、扶（准入、测评、资质、扶植、采购）植、采购）重视重视TBT条款运用，保护密码为代表的国内安全产条款运用，保护密码为代表的国内安全产品市场品市场26 加强信息安全标准化技术委员会工作加强信息安全标准化技术委员会工作 积极参予国际信息安全标准制订活动积极参予国际信息安全标准制订活动 注意采用国际与国外先进标准注意采用国际与国外先进标准 抓紧制订国家标准和协调行业标准抓紧制订国家标准和协调行业标准 重视强制性和保护性（重视强制性和保护性（TBT）标准的制订标准的制订 推动信息安全产品标准互操性的测试和认证推动信息安全产品标准互操性的测试和认证 兼容性和可扩展性的需要兼容性和可扩展性的需要27

6、密码算法、密钥管理及应用类密码算法、密钥管理及应用类 PKI/PMI类类 信息安全评估和保障等级类信息安全评估和保障等级类 电子证据类电子证据类 内容安全分级及标识类内容安全分级及标识类 信息安全边界控制及传输安全类信息安全边界控制及传输安全类 身份识别及鉴别协议类身份识别及鉴别协议类 网络应急响应与处理类网络应急响应与处理类 入侵检测框架类入侵检测框架类 信息安全管理类信息安全管理类 资源访问控制类资源访问控制类 安全体系结构与协议类安全体系结构与协议类 安全产品接口与集成管理类安全产品接口与集成管理类 信息系统安全工程实施规范类信息系统安全工程实施规范类 XML、CSCW、Web安全应用类

7、安全应用类28 电子文档与数字签章类电子文档与数字签章类 数据保密与公开类数据保密与公开类 网络信息内容安全监管类网络信息内容安全监管类 网络信息犯罪与惩治类网络信息犯罪与惩治类 个人数据保密类（隐私法）个人数据保密类（隐私法）数字内容产品版权保护类数字内容产品版权保护类 电子商务运营监管类（电子商务运营监管类（EC、NB、NS）网上交易税法类网上交易税法类 网络信息企业市场准入类网络信息企业市场准入类 密码研制、生产与应用管理类密码研制、生产与应用管理类 网络媒体监管类网络媒体监管类 网上娱乐活动监管类网上娱乐活动监管类 网上通信联络监管类网上通信联络监管类 信息安全法信息安全法29 基于数

8、字证书的信任体系（基于数字证书的信任体系（PKI/CA）信息安全测评与认证体系（信息安全测评与认证体系（CC/TCSEC）应急响应与支援体系（应急响应与支援体系（CERT）计算机病毒防治与服务体系（计算机病毒防治与服务体系（A-Virus）灾难恢复基础设施（灾难恢复基础设施（DRI）密钥管理基础设施（密钥管理基础设施（KMI）30 网上信息内容安全监控体系网上信息内容安全监控体系 网络犯罪监察与防范体系网络犯罪监察与防范体系 电子信息保密监管体系电子信息保密监管体系 网络侦控与反窃密体系网络侦控与反窃密体系 网络预警与网络反击体系网络预警与网络反击体系3132 组建研发国家队与普遍推动相结合组

9、建研发国家队与普遍推动相结合 推动自主知识产权与专利推动自主知识产权与专利 建设技术工程中心与加速产品孵化建设技术工程中心与加速产品孵化 加大技术研发专项基金加大技术研发专项基金 全面推动与突出重点的技术研发全面推动与突出重点的技术研发 基础类：风险控制、体系结构、协议工程、有效评估、工程方基础类：风险控制、体系结构、协议工程、有效评估、工程方法法 关键类：密码、安全基、内容安全、抗病毒、关键类：密码、安全基、内容安全、抗病毒、IDS、VPN、强强审计审计 系统类：系统类：PKI、PMI、DRI、网络预警、集成管理、网络预警、集成管理、KMI 应用类：应用类：EC、EG、NB、NS、NM、WF

10、、XML、CSCW 物理与环境类：物理与环境类：TEMPST、物理识别物理识别 前瞻性：免疫、量子、漂移、语义理解前瞻性：免疫、量子、漂移、语义理解33法规：法规：外购产品与服务的安全承诺外购产品与服务的安全承诺管理：管理：对分发式威胁的控制和操作规律规范对分发式威胁的控制和操作规律规范技术：技术：安全加固安全加固安全配置安全配置漏洞扫描漏洞扫描恶意功能发现恶意功能发现系统监控系统监控34 网络信息安全域的划分与隔离控制网络信息安全域的划分与隔离控制 内部网安全服务与控制策略内部网安全服务与控制策略 外部网安全服务与控制策略外部网安全服务与控制策略 互联网安全服务与控制策略互联网安全服务与控制

11、策略 公共干线的安全服务与控制策略公共干线的安全服务与控制策略（有线、无线、卫星）（有线、无线、卫星）计算环境的安全服务机制计算环境的安全服务机制 多级设防与科学布署策略多级设防与科学布署策略 全局安全检测、集成管理、联动控制与恢复全局安全检测、集成管理、联动控制与恢复（PDR）35信息网络安全纵深防御框架信息网络安全纵深防御框架36373839404142比较和对比可用攻击研究敌方行为理论开创任务影响理论比较和对比各种行为行动决策对策识别与特征描述任务关键性参数权衡脆弱性与攻击的识别与特征描述威胁的识别与特征描述任务影响的识别与描述基础研究与事件分离基础研究与事件分离系统改进系统改进风险分析风险分析43威胁级别威胁级别（Tn）资产价值等级资产价值等级（Vn）安全机制强度等级安全机制强度等级（SMLn)安全技术保障强壮性级别安全技术保障强壮性级别（IATRn）IATRn=f（Vn、Tn、SMLn、EALn）4445