信息安全國際標(biāo)準(zhǔn)資料

1、Huawei Technologies Co.,LTD.信息安全國際標(biāo)準(zhǔn)培訓(xùn)華 為 技 術(shù) 有 限 公 司劉新娜 CISSP/CISA/CCIE提綱信息安全標(biāo)準(zhǔn)概述安全標(biāo)準(zhǔn)組織安全標(biāo)準(zhǔn)分類安全管理標(biāo)準(zhǔn)（ISO17799）安全技術(shù)標(biāo)準(zhǔn)安全產(chǎn)品標(biāo)準(zhǔn)（CC）安全工程標(biāo)準(zhǔn)（SSE-CMM）安全方法論安全資格認(rèn)證（CISSP/CISA）什么是信息安全？ 保密性 完整性 可用性 CONFIDENTIALATYINTEGRITYAVAILABILITY什么是標(biāo)準(zhǔn)？標(biāo)準(zhǔn)：標(biāo)準(zhǔn)是對重復(fù)性事物和概念所做的統(tǒng)一規(guī)定。它以科學(xué)、技術(shù)和實踐的綜合成果為基礎(chǔ)，經(jīng)有關(guān)方面協(xié)商一致，由主管部門批準(zhǔn)，以特定的方式發(fā)布，作為共同

2、遵守的準(zhǔn)則和依據(jù)。強制性標(biāo)準(zhǔn)：保障人體健康、人身、財產(chǎn)安全的標(biāo)準(zhǔn)和法律、行政法規(guī)規(guī)定強制執(zhí)行的標(biāo)準(zhǔn)；其它標(biāo)準(zhǔn)是推薦性標(biāo)準(zhǔn)。無規(guī)矩不成方圓無規(guī)矩不成方圓!提綱信息安全標(biāo)準(zhǔn)概述安全標(biāo)準(zhǔn)組織安全標(biāo)準(zhǔn)分類安全管理標(biāo)準(zhǔn)（ISO17799）安全技術(shù)標(biāo)準(zhǔn)安全產(chǎn)品標(biāo)準(zhǔn)（CC）安全工程標(biāo)準(zhǔn)（SSE-CMM）安全方法論安全資格認(rèn)證（CISSP/CISA）標(biāo)準(zhǔn)的來源政府組織NIST-National Institute of Standards and TechnologyNSA-National Security AgencyGAO- General Accounting OfficeBSI- British S

3、tandard Institution標(biāo)準(zhǔn)化組織ISO/IEC JTC1 SC27 ANSI -American National Standards Institute 專業(yè)組織/行業(yè)聯(lián)盟 IEEEIETFW3CISSA-Information Systems Security AssociationITAA-Information Technology Association Of America)大學(xué)ISO，國際標(biāo)準(zhǔn)化組織ISO是International Organization for Standardization的簡稱國際最大的標(biāo)準(zhǔn)化組織機構(gòu)與IEC聯(lián)合成立的JTC1/SC27

4、負(fù)責(zé)通用信息技術(shù)安全標(biāo)準(zhǔn)的制定ISO/TC68 負(fù)責(zé)銀行和金融服務(wù)業(yè)務(wù)應(yīng)用范圍內(nèi)信息安全標(biāo)準(zhǔn)的制定已發(fā)布的其他行業(yè)的重要標(biāo)準(zhǔn)ISO 9001ISO 14001IEC，國際電工委員會IEC是International Electrotechnical Commission的簡稱世界上最早的國際性電工標(biāo)準(zhǔn)化機構(gòu)負(fù)責(zé)有關(guān)電工、電子領(lǐng)域的國際標(biāo)準(zhǔn)化工作在信息安全技術(shù)標(biāo)準(zhǔn)化方面，同ISO聯(lián)合成立JTC1在電磁兼容EMC等方面成立技術(shù)委員會，制定相關(guān)國際標(biāo)準(zhǔn)ISO/IEC JTC1/SC27 JTC1(Joint Technical Committee 1)是ISO 及IEC的聯(lián)合技術(shù)委員會, SC27

5、小組專門負(fù)責(zé)安全技術(shù)標(biāo)準(zhǔn)的制定、審核 已發(fā)布的部分標(biāo)準(zhǔn)ISO/IEC 18033 加密機制ISO/IEC 9796,14888.15964 數(shù)字簽名ISO/IEC TR 13335 GMITSISO/IEC 15408 Evaluation criteria for IT SecurityISO/IEC 17799 Code of Practice for Information Security ManagementISO/IEC 21287 SSE-CMMNIST，國家標(biāo)準(zhǔn)技術(shù)協(xié)會NIST是美國National Institute of Standards and Technology的簡

6、稱已發(fā)布的部分文獻(xiàn)FIPS（Federal Information Processing Standards Publications ）FIPS PUB 140-2 Security Requirements for Cryptographic ModulesFIPS PUB 180-1 Secure Hash StandardFIPS PUB 197 Advanced Encryption StandardSP（Special Publications 800 series 是關(guān)于計算機安全的文獻(xiàn)）SP 800-12 Computer Security HandbookSP 800-30

7、Risk Management Guide for IT SystemsSP 800-44 Guidelines on Securing Public Web Servers其他組織ANSI，美國國家標(biāo)準(zhǔn)協(xié)會80年代初開始數(shù)據(jù)加密標(biāo)準(zhǔn)化工作制定了三個通用的國家標(biāo)準(zhǔn)ANSI X.9系列財務(wù)服務(wù)安全標(biāo)準(zhǔn)ITU-T，國際電訊聯(lián)盟 前身是CCITT，單獨或于ISO合作開發(fā)諸如消息處理系統(tǒng)、目錄系統(tǒng)（X.400系列、X.500系列）和安全框架、安全模型等標(biāo)準(zhǔn)ITU-T X.509 The Directory: Authentication Framework其他組織IEEE - 電氣電子工程師協(xié)會在信息

8、安全方面主要是提出了LAN/WAN安全方面的標(biāo)準(zhǔn)和公鑰密碼標(biāo)準(zhǔn)IETF - Internet工程任務(wù)組 主要提出Internet標(biāo)準(zhǔn)草案和成為RFC的協(xié)議文稿，內(nèi)容廣泛，也包括安全方面的建議稿，經(jīng)過網(wǎng)上討論修改，被大家廣泛接受就成了的事實上的標(biāo)準(zhǔn)標(biāo)準(zhǔn)提綱概述安全標(biāo)準(zhǔn)組織安全標(biāo)準(zhǔn)分類安全管理標(biāo)準(zhǔn)（ISO17799）安全技術(shù)標(biāo)準(zhǔn)安全產(chǎn)品標(biāo)準(zhǔn)（CC）安全工程標(biāo)準(zhǔn)（SSE-CMM）安全方法論安全資格認(rèn)證（CISSP/CISA）安全標(biāo)準(zhǔn)的類型安全管理框架安全技術(shù)標(biāo)準(zhǔn)安全方法論產(chǎn)品的安全性保證安全工程標(biāo)準(zhǔn)安全的資格認(rèn)證提綱概述安全標(biāo)準(zhǔn)組織安全標(biāo)準(zhǔn)分類安全管理標(biāo)準(zhǔn)（ISO17799）安全技術(shù)標(biāo)準(zhǔn)安全產(chǎn)品標(biāo)準(zhǔn)

9、（CC）安全工程標(biāo)準(zhǔn)（SSE-CMM）安全方法論安全資格認(rèn)證（CISSP/CISA）安全管理框架OSI ISO 7498-2 /10181開放系統(tǒng)互連第二部分 安全體系結(jié)構(gòu)，10181是7498-2的后續(xù)標(biāo)準(zhǔn)，分部分描述5類安全服務(wù)的實現(xiàn)GMITS, Guidelines for the Management of IT SecurityISO/IEC 13335 Guidelines for the Management of IT Security提供IT安全管理的指導(dǎo)BS 7799 AS/NZS 4444 ISO/IEC 17799信息安全管理的即成標(biāo)準(zhǔn)提供企業(yè)開發(fā)、實施、評估有效安全建

10、設(shè)的框架ISF SOGP Information Security Forum (ISF), 信息安全優(yōu)秀實踐標(biāo)準(zhǔn)（Standard of Good Practice for Information Security, 1998 ）BS 7799介紹BS 7799 AS/NZS 4444 ISO/IEC 17799信息安全管理的即成標(biāo)準(zhǔn)提供企業(yè)開發(fā)、實施、評估有效安全建設(shè)的框架BS 7799 包括兩部分第一部分: 提供安全管理的最佳實踐，等同于 ISO/IEC 17799:2000提供10個領(lǐng)域的127項安全措施整套的基于業(yè)界經(jīng)驗的安全性最佳實踐的指導(dǎo)第二部分ISMS規(guī)范 Specificat

11、ion for ISMS (Information Security Management Systems)提供依據(jù)第一部分進(jìn)行內(nèi)部審計、外部認(rèn)證的流程體系什么是ISO17799/ BS7799？關(guān)注于安全管理的框架和指導(dǎo)提供了10個方面36個安全目標(biāo)，127項安全控制措施，建立了Best Practice指引；廣泛應(yīng)用于在政府、企業(yè)、金融、電信等行業(yè)，應(yīng)用最廣泛的安全標(biāo)準(zhǔn)1993 1995 Department of Trade and Industry (UK) 建立工作組進(jìn)行信息系統(tǒng)安全研究 1995 BS7799正式發(fā)布1998 BS7799: PART 2ISMS 發(fā)布1999 BS

12、7799：1999發(fā)布ISO/IEC 17799: 200017799的十個方面Security Policy安全策略SecurityOrganization組織安全PersonnelSecurity人員安全AssetClassificationand Control資產(chǎn)分類與控制Physical andEnvironmentalSecurity物理與環(huán)境安全Communications& OperationsManagement通信與運作管理BusinessContinuityPlanning業(yè)務(wù)持續(xù)性管理SystemDevelopmentandMaintenance系統(tǒng)開發(fā)與維護Acces

13、sControl訪問控制Compliance符合性ISO17799 的文檔結(jié)構(gòu)分為10個領(lǐng)域的安全實踐建議分為36個子項，共127項安全控制措施安全方針（1）組織安全（3）資產(chǎn)分類與控制（2）人員安全（3）物理與環(huán)境安全（3）通信與操作安全（7）訪問控制（8）系統(tǒng)開發(fā)與維護（5）業(yè)務(wù)持續(xù)計劃（1）依從（3）安全策略控制目標(biāo):信息安全策略為信息安全提供管理指導(dǎo)和支持控制措施:信息安全策略文件復(fù)查和審查組織安全控制目標(biāo)一: 信息安全基礎(chǔ)設(shè)施管理組織內(nèi)部的信息安全控制目標(biāo)二: 第三方訪問安全維護被第三方訪問的基礎(chǔ)設(shè)施和信息資產(chǎn)的安全控制目標(biāo)三: 外包當(dāng)IT外包給其他組織負(fù)責(zé)時,維護信息的安全資產(chǎn)分類

14、與控制控制目標(biāo)一: 資產(chǎn)責(zé)任保證對組織資產(chǎn)做適當(dāng)?shù)谋Ｗo控制目標(biāo)二: 信息分類確保信息資產(chǎn)得到適當(dāng)級別的保護人員安全控制目標(biāo)一: 崗位安全責(zé)任和人員錄用要求控制目標(biāo)二: 用戶培訓(xùn)控制目標(biāo)三: 對安全事件和故障的響應(yīng)物理與環(huán)境安全控制目標(biāo)一: 安全區(qū)域防止非授權(quán)訪問控制目標(biāo)二: 設(shè)備安全防止資產(chǎn)的丟失,破壞和損壞; 防止業(yè)務(wù)活動被中斷控制目標(biāo)三: 一般性控制防止危害或竊取信息及設(shè)施通信和操作安全控制目標(biāo)一: 操作流程和責(zé)任控制目標(biāo)二: 系統(tǒng)規(guī)劃和驗收控制目標(biāo)三: 防范惡意軟件控制目標(biāo)四: 內(nèi)務(wù)管理(備份,日志)控制目標(biāo)五: 網(wǎng)絡(luò)管理控制目標(biāo)六: 介質(zhì)處理及安全控制目標(biāo)七: 信息和軟件的交換訪問控制

15、控制目標(biāo)一: 訪問控制的業(yè)務(wù)需求控制目標(biāo)二: 用戶訪問管理控制目標(biāo)三: 用戶責(zé)任控制目標(biāo)四: 網(wǎng)絡(luò)訪問控制控制目標(biāo)五: 操作系統(tǒng)訪問控制控制目標(biāo)六: 應(yīng)用系統(tǒng)訪問控制控制目標(biāo)七: 監(jiān)視系統(tǒng)訪問和使用控制目標(biāo)八: 移動計算和通信系統(tǒng)開發(fā)和維護控制目標(biāo)一: 系統(tǒng)的安全需求控制目標(biāo)二: 應(yīng)用系統(tǒng)的安全控制目標(biāo)三: 密碼控制控制目標(biāo)四: 系統(tǒng)文件的安全控制目標(biāo)五: 開發(fā)和支持過程的安全業(yè)務(wù)連續(xù)性管理控制目標(biāo): 業(yè)務(wù)連續(xù)性管理的各個方面控制措施業(yè)務(wù)連續(xù)性管理過程業(yè)務(wù)連續(xù)性和影響分析編寫并實施連續(xù)性計劃業(yè)務(wù)連續(xù)性計劃框架測試,維護和復(fù)審業(yè)務(wù)連續(xù)性計劃符合性控制目標(biāo)一: 符合法律要求控制目標(biāo)二: 對安全策略

16、和技術(shù)的評審控制目標(biāo)三: 系統(tǒng)審核的考慮BS7799 第2部分BS 7799 PART 2 是一個規(guī)范。使用該規(guī)范對組織的信息安全管理體系進(jìn)行審核與認(rèn)證。通過使用該規(guī)范能使組織建立信息安全管理體系（ISMS）。該規(guī)范提供以下內(nèi)容建立信息安全管理體系（ISMS）指導(dǎo)成功實施信息安全的關(guān)鍵因素PDCA (Plan-do-check-act)模型持續(xù)性改進(jìn)改進(jìn)安全管理評估業(yè)務(wù)變化、新技術(shù)、新威脅對安全管理流程的影響Plan ISMS的確立Do ISMS的運用CheckISMS的監(jiān)控Act ISMS的改善PDCA模型什么是ISO-7498-2信息處理系統(tǒng) 開放系統(tǒng)互連 基本參考模型 第2部分: 安全體

17、系結(jié)構(gòu)Information processing system-Open Systems Interconnection-Basic Reference Model -Part2: Security architecture提供安全服務(wù)與有關(guān)機制的一般描述, 這些服務(wù)與機制可以為GB938788/ISO7498-1參考模型所配備。確定在參考模型內(nèi)部可以提供這些服務(wù)與機制的位置已被接受為國標(biāo)GB/T 9387.21995五種安全服務(wù)認(rèn)證 對等實體認(rèn)證 數(shù)據(jù)原發(fā)認(rèn)證 訪問控制 數(shù)據(jù)機密性 連接機密性 無連接機密性 選擇字段機密性 通信業(yè)務(wù)流機密性 數(shù)據(jù)完整性 帶恢復(fù)的連接完整性 不帶恢復(fù)的連接完

18、整性 選擇字段的連接完整性 無連接完整性 選擇字段無連接完整性 抗抵賴 有數(shù)據(jù)原發(fā)證明的抗抵賴有交付證明的抗抵賴 八種安全機制特定的安全機制用來實現(xiàn)以上安全服務(wù)加密 數(shù)字簽名機制 訪問控制機制 數(shù)據(jù)完整性機制 認(rèn)證交換機制 通信業(yè)務(wù)填充機制 提供各種不同級別的保護, 抵抗通信業(yè)務(wù)分析 路由選擇控制機制 公證機制 服務(wù)與機制的關(guān)系機制服務(wù)加密 數(shù)字簽名 訪問控制數(shù)據(jù)完整性認(rèn)證交換通信業(yè)務(wù)填充路由控制 公證對等實體認(rèn)證數(shù)據(jù)原發(fā)認(rèn)證訪問控制服務(wù)連接機密性無連接機密性選擇字段機密性通信業(yè)務(wù)流機密性 帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段連接完整性無連接完整性選擇字段無連接完整性抗抵賴, 帶數(shù)據(jù)

19、原發(fā)證據(jù)抗抵賴, 帶交付接收證據(jù)服務(wù)應(yīng)用與OSI層的關(guān)系OSI層服務(wù)物理層鏈路層網(wǎng)絡(luò)層傳輸層會話層表示層應(yīng)用層對等實體認(rèn)證數(shù)據(jù)原發(fā)認(rèn)證訪問控制服務(wù)連接機密性無連接機密性選擇字段機密性通信業(yè)務(wù)流機密性帶恢復(fù)的連接完整性不帶恢復(fù)的連接完整性選擇字段連接完整性無連接完整性選擇字段無連接完整性抗抵賴, 帶數(shù)據(jù)原發(fā)證據(jù)抗抵賴, 帶交付證據(jù)安全管理安全管理信息庫(SMIB)是一個概念上的集存地, 存儲開放系統(tǒng)所需的與 安全有關(guān)的全部信息。這一概念對信息的存儲形式與實施方式不提出要求。SMIB能有多種實現(xiàn)辦法, 例如: a)數(shù)據(jù)表; b)文卷; c)嵌入實開放系統(tǒng) 軟件或硬件中的數(shù)據(jù)或規(guī)則。 OSI安全管理

20、的分類 ：系統(tǒng)安全管理 涉及總的OSI環(huán)境安全方面的管理；例：總體安全策略的管理、與別的OSI管理功能的相互作用、與安全服務(wù)管理和安全機制管理的交互作用、事件處理管理、安全審計管理、安全恢復(fù)管理安全服務(wù)管理 涉及特定安全服務(wù)的管理；例：指定特定服務(wù)的保護目標(biāo)、指定與維護特定的安全機制、安全機制協(xié)商(本地的與遠(yuǎn)程的)、調(diào)用特定的安全機制、與別的安全服務(wù)和安全機制的交互作用 安全機制管理 涉及的是特定安全機制的管理。例：密鑰管理、加密管理、數(shù)字簽名管理、訪問控制管理等等OSI管理本身的安全 所有OSI管理功能和信息自身的安全 。這一類安全管理將借助OSI安全服務(wù)與機制以確保OSI管理協(xié)議與信息獲得

21、足夠的保護。作為ISO 7498-2的后續(xù)標(biāo)準(zhǔn)，1988年開始建立ISO/IEC 10181ISO/IEC 10181 (Security frameworks for open systems) 有七個部分第 2-6部分對應(yīng)ISO 7498-2定義的5種服務(wù)Part 1: 概述Part 2: 認(rèn)證服務(wù)架構(gòu)Part 3: 訪問控制服務(wù)架構(gòu)Part 4: 防抵賴服務(wù)架構(gòu)Part 5: 數(shù)據(jù)保密服務(wù)架構(gòu)Part 6: 數(shù)據(jù)完整服務(wù)架構(gòu)Part 7: 安全審計、報警架構(gòu)ISO/IEC 10181什么是ISO 13335ISO/IEC 13335，即IT安全管理指南（Guidelines for th

22、e Management of IT Security, GMITS）, 是由ISO/IEC JTC制定的技術(shù)報告ISO/IEC 13335是一個信息安全管理方面的指導(dǎo)性標(biāo)準(zhǔn)其目的是為有效實施IT安全管理提供建議 ISO 13335(GMITS)的內(nèi)容13335-1: IT安全概念和模型包含了對IT安全和安全管理中一些基本概念和模型的解釋13335-2: IT安全計劃和管理建議性地介紹了IT安全管理和計劃的方式和要點 13335-3: IT安全管理技術(shù)描述了風(fēng)險管理技術(shù)、IT安全計劃的開發(fā)、實施和測試還包括策略審查、事件分析、IT安全教育等后續(xù)內(nèi)容。13335-4: 安全措施的選擇描述了針對一

23、個組織特定環(huán)境和安全需求可以選擇的安全措施,不僅僅是技術(shù)性措施13335-5: 網(wǎng)絡(luò)安全的管理指導(dǎo)提供了關(guān)于網(wǎng)絡(luò)和通信安全管理的指導(dǎo)性內(nèi)容,該指南為識別和分析建立網(wǎng)絡(luò)安全需求時需要考慮的通信相關(guān)因素提供支持,也包括對可能的安全措施方面的簡要介紹ISO13335 vs. BS7799與BS7799相比，ISO/IEC 13335只是一個技術(shù)報告和指導(dǎo)性文件，并不是可依據(jù)的認(rèn)證標(biāo)準(zhǔn)也不像BS7799那樣給出一個全面而完整的信息安全管理框架但13335在信息安全尤其是IT安全的某些具體環(huán)節(jié)切入較深，對實際的工作具有較好的指導(dǎo)價值，從可實施性上來說要比BS7799好些另外13335對安全計劃、安全策略

24、、控制措施選擇的內(nèi)容的闡述要比BS7799具體很多總之，作為一個框架、總體要求和目標(biāo)選擇，BS7799是我們信息安全管理體系建設(shè)過程中要貫徹的指導(dǎo)方針，而這期間的一些具體的活動則可以參考13335，比如風(fēng)險評估。提綱概述安全標(biāo)準(zhǔn)組織安全標(biāo)準(zhǔn)分類安全管理標(biāo)準(zhǔn)（ISO17799）安全技術(shù)標(biāo)準(zhǔn)安全產(chǎn)品標(biāo)準(zhǔn)（CC）安全工程標(biāo)準(zhǔn)（SSE-CMM）安全方法論安全資格認(rèn)證（CISSP/CISA）PKIFireWallLDAPVPN IDSAAAScannerSSO安全技術(shù)標(biāo)準(zhǔn) Application Protocols SSL, S-HTTP Network Protocols IPSec Cryptogr

25、aphy RSA, DSA, ECC DES, AES SHA-1 PKCSVulnerabilityCVE Authentication Kerberos RADIUS SAML Messaging S/MIME, OpenPGP, PEM XMLDSIG, XMLENC Application Security CORBA Security WS-Security提綱概述安全標(biāo)準(zhǔn)組織安全標(biāo)準(zhǔn)分類安全管理標(biāo)準(zhǔn)（ISO17799）安全技術(shù)標(biāo)準(zhǔn)安全產(chǎn)品標(biāo)準(zhǔn)（CC）安全工程標(biāo)準(zhǔn)（SSE-CMM）安全方法論安全資格認(rèn)證（CISSP/CISA） 產(chǎn)品安全性保證標(biāo)準(zhǔn)Common Criteria (CC

26、) ISO/IEC 15408 Evaluation criteria for IT Security 針對產(chǎn)品或組件的保證標(biāo)準(zhǔn)e.g. Firewalls, IDS, OS 定義了7個 Evaluation Assurance Levels (EAL) 一級最低，七級最高1996年國際上的六個國家（美、加、英、法、德、荷）聯(lián)合提出了信息技術(shù)安全評價的通用準(zhǔn)則（CC）。CC的基礎(chǔ)是歐州的ITSEC，美國的包括 TCSEC 在內(nèi)的新 的聯(lián)邦評價標(biāo)準(zhǔn)，加拿大的 CTCPEC，以及 國際標(biāo)準(zhǔn)化組織ISO :SC27 WG3 的安全評價標(biāo)準(zhǔn)。Trusted Computer System Evalua

27、tion Criteria （TCSEC）The Orange Book分為D/C1/C2/B1/B2/B3/A1七個等級C2-部分OS有: VMS, IBM OS/400, Windows NT, Novell NetWare 4.11, Oracle 7, DG AOS/VS II. B1-部分OS有: HP-UX BLS, Cray Research Trusted Unicos 8.0, Digital SEVMS, Harris CS/SX, SGI Trusted IRIX. B2-部分OS有: Honeywell Multics, Cryptek VSLAN, Trusted X

28、ENIX B3-僅有的OS:Getronics/Wang Federal XTS-300 A1-Boeing MLS LAN, Gemini Trusted Network Processor, Honeywell SCOMP. FIPS PUB 140-2 Cryptographic模塊的安全要求標(biāo)準(zhǔn) 定義了4個等級。美國TCSEC1970年由美國國防部提出。1985年公布。主要為軍用標(biāo)準(zhǔn)。延用至民用。安全級別從高到低分為A、B、C、D四級，級下再分小級。彩虹系列 桔皮書：可信計算機系統(tǒng)評估準(zhǔn)則黃皮書：桔皮書的應(yīng)用指南 紅皮書：可信網(wǎng)絡(luò)解釋 紫皮書：可信數(shù)據(jù)庫解釋美國TCSECD: 最小保護

29、Minimal ProtectionC1: 自主安全保護Discretionary Security ProtectionC2: 訪問控制保護Controlled Access ProtectionB1: 安全標(biāo)簽保護Labeled Security ProtectionB2: 結(jié)構(gòu)化保護Structured ProtectionB3: 安全域保護Security DomainA1: 驗證設(shè)計保護Verified Design低保證系統(tǒng)高保證系統(tǒng)CC標(biāo)準(zhǔn)的發(fā)展歷程CC驅(qū)動因素CC要實現(xiàn)的目標(biāo)成為統(tǒng)一的國際（通用）IT產(chǎn)品和系統(tǒng)安全標(biāo)準(zhǔn)目前， CC已經(jīng)成為ISO國際標(biāo)準(zhǔn)（15408）在不同國家間

30、達(dá)成協(xié)議，相互承認(rèn)產(chǎn)品評估為開發(fā)者拓展國際舞臺改善IT安全產(chǎn)品在全世界的可用性CC的目標(biāo)讀者消費者 - 具有IT安全功能的產(chǎn)品購買指南產(chǎn)品開發(fā)者和集成商 - 具有IT安全功能的產(chǎn)品的開發(fā)基礎(chǔ)評估員 - IT安全產(chǎn)品的評估基礎(chǔ)審核員, 認(rèn)證人員, 授權(quán)人員 - 對他們的特定應(yīng)用給予支持CC的內(nèi)容組織CC定義了兩類安全需求CC的關(guān)鍵概念評估目標(biāo) (TOE)IT產(chǎn)品或系統(tǒng)及其相關(guān)的管理指南和用戶指南等文檔，是評估的對象保護輪廓 (Protect Profile PP)滿足特定消費者需求的、獨立于實現(xiàn)的、關(guān)于某一類TOE的一組安全要求（用戶提出要求）安全目標(biāo) (Security Target ST)依

31、賴于實現(xiàn)的一組安全要求和說明，作為指定TOE的評估基礎(chǔ)（開發(fā)者給出）用戶借助PP定義需求廠商使用ST對用戶需求做出響應(yīng)PP、ST和TOE之間的關(guān)系評估保證等級CC總體結(jié)構(gòu)安全產(chǎn)品評估框架模型CC vs. BS7799都是認(rèn)證標(biāo)準(zhǔn)，但是對象不同，CC評估的對象是系統(tǒng)和產(chǎn)品，而7799關(guān)注的信息安全管理在依照BS7799標(biāo)準(zhǔn)來實施ISMS時，一些涉及系統(tǒng)和產(chǎn)品安全的技術(shù)要求，可以參考CC提綱概述安全標(biāo)準(zhǔn)組織安全標(biāo)準(zhǔn)分類安全管理標(biāo)準(zhǔn)（ISO17799）安全技術(shù)標(biāo)準(zhǔn)安全產(chǎn)品標(biāo)準(zhǔn)（CC）安全工程標(biāo)準(zhǔn)（SSE-CMM）安全方法論安全資格認(rèn)證（CISSP/CISA）什么是SSE-CMMSSE-CMM是系統(tǒng)安

32、全工程能力成熟模型（Systems Security Engineering Capability Maturity Model）的縮寫，它描述了一個組織的安全工程過程必須包含的本質(zhì)特征，這些特征是完善的安全工程保證,為安全工程的應(yīng)用提供了一個衡量和改進(jìn)的途徑 現(xiàn)代統(tǒng)計過程控制理論表明通過強調(diào)生產(chǎn)過程的高質(zhì)量和在過程中組織實施的成熟性可以低成本地生產(chǎn)出高質(zhì)量產(chǎn)品SSE-CMM項目的目標(biāo)是促進(jìn)安全工程成為一個確定的、成熟的和可度量的科目 SSE-CMM項目進(jìn)展來自于安全工程業(yè)界、美國國防部和加拿大通訊安全機構(gòu)積極參與和共同的投入1995 成立項目組1996 SSE-CMMv1正式發(fā)布1997 S

33、SE-CMM評定方法發(fā)布1999 SSE-CMMv2發(fā)布2002 ISO/IEC 218272003 SSE-CMMv3發(fā)布SSE-CMM模型結(jié)構(gòu)Base PracticesGenericPracticesProcess AreasProcess CategoryProcess AreasBase PracticesDomainCommonFeaturesGenericPracticesGenericPracticesGenericPracticesGenericPracticesGenericPracticesBase PracticesBase PracticesBase Practice

34、sBase PracticesProcess AreasProcess AreasCapabilityLevelCommonFeaturesCommonFeaturesCapability二維結(jié)構(gòu)：Domain, CapabilityDomain 包含安全工程中的實踐領(lǐng)域，分為3個主要的Process 類，22個PA，130多項BPCapability 表示過程管理、衡量及制度化的能力，共分為5級，下面細(xì)分為12個Common Features，以及近30個Generic Practices5級成熟能力12345非正式執(zhí)行 沒有控制計劃并跟蹤-引入了計劃、跟蹤和管理，周期性的評估執(zhí)行的效果，并

35、定義了改進(jìn)過程；適當(dāng)定義- 在組織內(nèi)建立并共享 bestPractices量化控制-收集量化指標(biāo)，進(jìn)行量化管理持續(xù)改進(jìn)系統(tǒng)安全工程過程風(fēng)險過程工程過程保證過程SSE-CMM與ISO17799的內(nèi)容比較SSE-CMMISO17799PA01：管理安全性控制(4BP)Section 5, Personnel SecuritySection 6, Communications and operationsManagementSection 8, Systems Development andMaintenancePA02：評估影響(6BP)IntroductionPA03：評估風(fēng)險(6BP)Intr

36、oductionPA04：評估威脅(6BP)IntroductionPA05：評估脆弱性(5BP)IntroductionPA06：建立保證論據(jù)(5BP)Section 10, CompliancePA07：協(xié)調(diào)安全性(4BP)Section 2, Security OrganizationSection 6, Communications and operationsManagementPA08：監(jiān)視安全狀態(tài)(7BP)Section 10, CompliancePA09：提供安全性條件(6BP)Section 1, Security PolicySection 3, Asset Classi

37、fication and ControlSection 5, Physical and Environmental SecurityPA10：特殊的安全性需求(11BP)Section 1, Security PolicySection 7, Access ControlSection 8, Systems Development andMaintenanceSection 9, Business Continuity PlanningPA11：確認(rèn)和證實（5BP）Section 10, Compliance提綱概述安全標(biāo)準(zhǔn)組織安全標(biāo)準(zhǔn)分類安全管理標(biāo)準(zhǔn)（ISO17799）安全技術(shù)標(biāo)準(zhǔn)安全產(chǎn)品標(biāo)

38、準(zhǔn)（CC）安全工程標(biāo)準(zhǔn)（SSE-CMM）安全方法論安全資格認(rèn)證（CISSP/CISA）安全方法論AS/NZS 4360澳洲/新西蘭風(fēng)險管理標(biāo)準(zhǔn)提供建立、實施風(fēng)險管理過程的指導(dǎo)NIST SP 800-30Risk Management Guide for IT Systems建立、實施風(fēng)險管理過程的指導(dǎo)OCTAVEOperationally Critical Threat, Asset, and Vulnerability Evaluation由CMU-SEI（Carnegie Mellon University-Software Engineering Institute）建立的風(fēng)險評估方法論提綱概述安全標(biāo)準(zhǔn)組織安全標(biāo)準(zhǔn)分類安全管理標(biāo)準(zhǔn)（ISO17799）安全技術(shù)標(biāo)準(zhǔn)安全產(chǎn)品標(biāo)準(zhǔn)（CC）安全工程標(biāo)準(zhǔn)（SSE-CMM）安全方法論安全資格認(rèn)證（CISSP/CISA） 安全資格認(rèn)證標(biāo)準(zhǔn)：CISSP Certified Information Systems Security Professional (CISSP) 由美國 (ISC)2進(jìn)行認(rèn)證管理 十個 Common Body of Knowledge (CBK) 訪問控制Access Control Systems & M