《信息安全概論》第8章 信息安全管理

1、第八章 信息安全管理第八章 信息安全管理8.1 組織基礎(chǔ)架構(gòu)8.2 管理要素和管理模型8.3 身份管理8.4 人員和物理環(huán)境安全8.1 組織基礎(chǔ)架構(gòu) 信息系統(tǒng)生命期安全管理問題安全管理貫穿于信息系統(tǒng)生命周期的各個階段：開發(fā)（Development）：包括需求分析、系統(tǒng)設(shè)計、組織設(shè)計和集成。制造（Manufacturing）：包括試制和批量生產(chǎn)。驗證（Verification）：包括對設(shè)計的論證、試驗、審查和分析（包括仿真），非正式的演示，全面的開發(fā)測試和評估，以及產(chǎn)品的驗收測試。部署（Deployment）：包括對系統(tǒng)及其組件的配備、分布和放置。運行（Operation）：包括對系統(tǒng)及其組件的

2、操作以及系統(tǒng)的運轉(zhuǎn)。支持和培訓(xùn)（Support and Training）：包括對系統(tǒng)及其組件的維護，對操作、使用等的了解和指導(dǎo)。處置（Disposal）：包括報廢處理等。8.1 組織基礎(chǔ)架構(gòu) 信息系統(tǒng)生命期安全管理問題安全管理在信息系統(tǒng)整個生命期的各個階段中的實施內(nèi)容包括：制定策略：利用安全服務(wù)為組織提供管理、保護和分配信息系統(tǒng)資源的準(zhǔn)則和指令。資產(chǎn)分類保護：幫助組織識別資產(chǎn)類別并采取措施進行適當(dāng)?shù)谋Ｗo。人事管理：減少人為錯誤、盜竊、欺詐或設(shè)施誤用所產(chǎn)生的風(fēng)險。物理和環(huán)境安全：防止非授權(quán)的訪問、損壞和干擾通信媒體和機房（及其附屬建筑設(shè)施）以及信息泄露。通信與運營管理：確保信息處理設(shè)施的正確和

3、安全運營。訪問控制：按照策略控制對信息資源的訪問。系統(tǒng)開發(fā)和維護：確保將安全服務(wù)功能構(gòu)建到信息系統(tǒng)中。業(yè)務(wù)連續(xù)性管理：制止中斷業(yè)務(wù)的活動以及保護關(guān)鍵的業(yè)務(wù)過程不受大的故障或災(zāi)害影響，并具有災(zāi)難備份和快速恢復(fù)的能力。遵從：保持與信息安全有關(guān)的法律、法規(guī)、政策或合同規(guī)定的一致性，承擔(dān)相應(yīng)的責(zé)任。8.1 組織基礎(chǔ)架構(gòu) 信息安全中的分級保護問題信息系統(tǒng)保護的目標(biāo)信息系統(tǒng)安全的保護目標(biāo)與所屬組織的安全利益是完全一致的，具體體現(xiàn)為對信息的保護和對系統(tǒng)的保護。信息保護是使所屬組織有直接使用價值（用于交換服務(wù)或共享目的）的信息和系統(tǒng)運行中有關(guān)（用于系統(tǒng)管理和運行控制目的）的信息的機密性、完整性、可用性和可控性

4、不會受到非授權(quán)的訪問、修改和破壞。系統(tǒng)保護則是使所屬組織用于維持運行和履行職能的信息技術(shù)系統(tǒng)的可靠性、完整性和可用性不受到非授權(quán)的修改和破壞。系統(tǒng)保護的功能有兩個：一是為信息保護提供支持，二是對信息技術(shù)系統(tǒng)自身進行保護。信息系統(tǒng)分級保護對信息和信息系統(tǒng)進行分級保護是體現(xiàn)統(tǒng)籌規(guī)劃、積極防范、重點突出的信息安全保護原則的重大措施。最有效和科學(xué)的方法是在維護安全、健康、有序的網(wǎng)絡(luò)運行環(huán)境的同時，以分級分類的方式確保信息和信息系統(tǒng)安全既符合政策規(guī)范，又滿足實際需求。8.1 組織基礎(chǔ)架構(gòu) 計算機信息系統(tǒng)的安全保護等級GB 178591999計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則是我國計算機信息系統(tǒng)安全保護等

5、級系列標(biāo)準(zhǔn)的基礎(chǔ)，是進行計算機信息系統(tǒng)安全等級保護制度建設(shè)的基礎(chǔ)性標(biāo)準(zhǔn)，也是信息安全評估和管理的重要基礎(chǔ)。此標(biāo)準(zhǔn)將計算機信息系統(tǒng)安全保護從低到高劃分為5個等級，即用戶自主保護級、系統(tǒng)審計保護級、安全標(biāo)記保護級、結(jié)構(gòu)化保護級和訪問驗證保護級。高級別安全要求是低級別安全要求的超集。計算機信息系統(tǒng)安全保護能力隨著安全保護等級的增高逐漸增強。8.1 組織基礎(chǔ)架構(gòu) 基于通用準(zhǔn)則的安全等級GB/T 18336中定義的7個評估保證級為：評估保證級1（EAL1）功能測試。評估保證級2（EAL2）結(jié)構(gòu)測試。評估保證級3（EAL3）系統(tǒng)地測試和檢查。評估保證級4（EAL4）系統(tǒng)地設(shè)計、測試和復(fù)查。評估保證級5（E

6、AL5）半形式化設(shè)計和測試。評估保證級6（EAL6）半形式化驗證的設(shè)計和測試。評估保證級7（EAL7）形式化驗證的設(shè)計和測試。8.1 組織基礎(chǔ)架構(gòu) 信息安全管理的基本內(nèi)容信息系統(tǒng)的安全管理涉及與信息系統(tǒng)有關(guān)的安全管理以及信息系統(tǒng)管理的安全兩個方面。這兩方面的管理又分為技術(shù)性管理和法律性管理兩類。其中技術(shù)性管理以O(shè)SI安全機制和安全服務(wù)的管理以及物理環(huán)境的技術(shù)監(jiān)控為主，法律性管理以法律法規(guī)遵從性管理為主。信息安全管理本身并不完成正常的業(yè)務(wù)應(yīng)用通信，但卻是支持與控制這些通信的安全所必需的手段。信息系統(tǒng)管理的安全包括信息系統(tǒng)所有管理服務(wù)協(xié)議的安全，以及信息系統(tǒng)管理信息的通信安全，它們是信息系統(tǒng)安全的

7、重要組成部分。這一類安全管理將借助對信息系統(tǒng)安全服務(wù)與機制做適當(dāng)?shù)倪x取，以確保信息系統(tǒng)管理協(xié)議與信息獲得足夠的保護。8.1 組織基礎(chǔ)架構(gòu) 信息安全管理的指導(dǎo)原則信息安全管理的基本原則包括：以安全保發(fā)展，在發(fā)展中求安全受保護資源的價值與保護成本平衡明確國家、企業(yè)和個人對信息安全的職責(zé)和可確認(rèn)性信息安全需要積極防御和綜合防范定期評估信息系統(tǒng)的殘留風(fēng)險綜合考慮社會因素對信息安全的制約信息安全管理體現(xiàn)以人為本8.1 組織基礎(chǔ)架構(gòu) 安全管理過程信息系統(tǒng)安全管理是一個過程，用來實現(xiàn)和維持信息系統(tǒng)及其資源適當(dāng)?shù)燃壍臋C密性、完整性、可用性、不可抵賴性、可確認(rèn)性、真實性和可靠性等。信息系統(tǒng)安全管理包括分析系統(tǒng)資

8、產(chǎn)、分析系統(tǒng)風(fēng)險、分析安全需求、制定滿足安全需求的計劃、執(zhí)行這些計劃并維持和管理安全設(shè)備的安全。8.1 組織基礎(chǔ)架構(gòu) OSI管理國際標(biāo)準(zhǔn)化組織（ISO）在ISO/IEC 7498-4中定義并描述了開放系統(tǒng)互連（Open System Interconnect，OSI）管理的術(shù)語和概念，提出了一個OSI管理的結(jié)構(gòu)并描述了OSI管理應(yīng)有的行為。OSI管理包括故障管理、計賬管理、配置管理、性能管理和安全管理等功能，這些管理功能對在OSI環(huán)境中進行通信的資源進行監(jiān)視、控制和協(xié)調(diào)。8.1 組織基礎(chǔ)架構(gòu) OSI安全管理OSI安全管理包括與OSI有關(guān)的安全管理和OSI管理的安全。OSI安全管理本身不是正常的

9、業(yè)務(wù)應(yīng)用通信，但卻為支持與控制這些通信的安全所必需。OSI安全管理涉及OSI安全服務(wù)的管理與安全機制的管理。這種管理要求給這些安全服務(wù)和機制分配管理信息，并收集與這些服務(wù)和機制運行有關(guān)的信息。例如：密鑰分配、設(shè)置行政管理強加的安全參數(shù)、報告正常的與異常的安全事件以及安全服務(wù)的激活與停止等。安全管理并不保證在調(diào)用特定安全服務(wù)協(xié)議中傳遞與安全有關(guān)的信息，這些信息的安全由安全服務(wù)來提供。由分布式開放系統(tǒng)的行政管理強加的安全策略可以是各種各樣的，OSI安全管理應(yīng)該支持這些策略。OSI安全管理活動可以分為4類：系統(tǒng)安全管理、安全服務(wù)管理、安全機制管理和OSI管理的安全。8.1 組織基礎(chǔ)架構(gòu) 信息安全組織

10、基礎(chǔ)架構(gòu)信息安全管理的組織結(jié)構(gòu)可以分為兩類：一類是行政管理、協(xié)調(diào)類型的機構(gòu)，另一類是技術(shù)服務(wù)、應(yīng)急響應(yīng)和技術(shù)支持類型的管理機構(gòu)。在組織內(nèi)部，組織的管理者應(yīng)當(dāng)負(fù)責(zé)信息安全相關(guān)事務(wù)的決策。一個規(guī)范的信息安全管理體系必須明確指出，組織機構(gòu)管理層應(yīng)當(dāng)負(fù)責(zé)相關(guān)信息安全管理體系的決策，同時，這個體系也應(yīng)當(dāng)能夠反映這種決策，并且在運行過程中能夠提供證據(jù)證明其有效性。所以機構(gòu)組織內(nèi)部的信息安全管理體系的建立項目應(yīng)該由質(zhì)量管理負(fù)責(zé)人或者其他負(fù)責(zé)機構(gòu)內(nèi)部重大職能的負(fù)責(zé)人負(fù)責(zé)主持。同時，應(yīng)建立適當(dāng)?shù)男畔踩芾砦瘑T會對信息安全政策進行審批，對安全權(quán)責(zé)進行分配，并協(xié)調(diào)單位內(nèi)部安全的實施。如有必要，在單位內(nèi)部設(shè)立特別信

11、息安全顧問并指定相應(yīng)人選。同時，要設(shè)立外部安全顧問，以便跟蹤行業(yè)走向，監(jiān)視安全標(biāo)準(zhǔn)和評估手段，并在發(fā)生安全事故時建立恰當(dāng)?shù)穆?lián)絡(luò)渠道。在此方面，應(yīng)鼓勵跨學(xué)科的信息安全安排，比如，在管理負(fù)責(zé)人、用戶、程序管理員、應(yīng)用軟件設(shè)計師、審計人員和保安人員間開展合作和協(xié)調(diào)，或在保險和風(fēng)險管理兩個學(xué)科領(lǐng)域間進行專業(yè)交流等。8.2 管理要素與管理模型 安全目標(biāo)、方針和策略一個組織的安全目標(biāo)、方針和策略是有效管理組織內(nèi)信息安全的基礎(chǔ)。它們支持組織的活動并保證安全措施間的一致性。安全目標(biāo)表述的是信息系統(tǒng)安全要達到的目的，安全方針是達到這些安全目標(biāo)的方法和途徑，安全策略則是達到目標(biāo)所采取的規(guī)則和措施。目標(biāo)、方針和策略

12、的確定可以從組織的領(lǐng)導(dǎo)層到操作層分層次地進行。它們應(yīng)該反映組織的行政管理強加給信息系統(tǒng)的安全要求，并且考慮各種來自組織內(nèi)外的約束，如國家法律法規(guī)、技術(shù)規(guī)范、社會文化及意識形態(tài)、組織的企業(yè)文化等，保證在各個層次上和各個層次之間的一致性。還應(yīng)該根據(jù)定期的安全性評審（如風(fēng)險評估，安全評估）結(jié)果以及業(yè)務(wù)目標(biāo)的變化進行更新。一個組織的安全策略只要由該組織的安全規(guī)劃和指令組成。這些安全策略必須反映更廣泛的組織策略，包括每個人的權(quán)利、合法的要求以及各種技術(shù)標(biāo)準(zhǔn)。一個信息系統(tǒng)的安全策略必須使包含在組織的安全策略之中的安全規(guī)劃和適用于該組織信息系統(tǒng)安全的指令相一致。8.2 管理要素與管理模型 與安全管理相關(guān)的要

13、素與安全管理相關(guān)的主要要素包括：資產(chǎn)、脆弱性、威脅、影響、風(fēng)險、殘留風(fēng)險、安全措施以及約束。8.2 管理要素與管理模型 管理模型信息安全管理又多種模型，各種模型都是從不同角度構(gòu)建的，也都有各自的優(yōu)缺點。幾種模型所提出的概念都有利于對信息安全管理的原理和實踐進行理解。歸納起來有以下幾種模型：安全要素關(guān)系模型。風(fēng)險管理關(guān)系模型?；谶^程的信息安全管理模型。PDCA（Plan-Do-Check-Act）模型。上述概念模型和組織的業(yè)務(wù)目標(biāo)一起可以形成一個組織的信息安全目標(biāo)、方針和策略。信息安全的目標(biāo)就是保證組織能夠安全地運行，并且將風(fēng)險控制在可以接受的水平。任何安全措施都不是萬能的，即不是對任何風(fēng)險都

14、是完全有效的，因此需要規(guī)劃和實施意外事件后的恢復(fù)計劃，以及構(gòu)建可將損壞程度限制在一定范圍的安全體系。8.2 管理要素與管理模型 安全要素關(guān)系模型8.2 管理要素與管理模型 風(fēng)險管理關(guān)系模型8.2 管理要素與管理模型 基于過程的信息安全管理模型8.2 管理要素與管理模型 PDCA模型8.2 管理要素與管理模型 風(fēng)險評估信息安全風(fēng)險評估作是信息安全建設(shè)的起點和基礎(chǔ)，為建立系統(tǒng)安全體系、評價系統(tǒng)安全等級、確定安全風(fēng)險決策和組織平衡安全投入提供了重要依據(jù)，成為目前急需解決的首要任務(wù)。但是，風(fēng)險是客觀存在的，由于信息系統(tǒng)的復(fù)雜性、安全事件發(fā)生的不確定性以及信息技術(shù)發(fā)展的局限性，使得試圖通過消除的方式，實

15、現(xiàn)對信息系統(tǒng)的安全保護并完全避免風(fēng)險是不可能的。信息系統(tǒng)不存在卻對的安全，風(fēng)險無處不在。因此，在風(fēng)險管理過程中，我們在安全事件的發(fā)生和影響可控的前提下，接受風(fēng)險事件的存在，最終達到通過建立相應(yīng)的安全策略將風(fēng)險降低可接受的范圍。信息安全風(fēng)險評估是依照科學(xué)的風(fēng)險管理程序和方法，充分的對組成系統(tǒng)的各部分所面臨的危險因素進行分析評價，針對系統(tǒng)存在的安全問題，根據(jù)系統(tǒng)對其自身的安需求，提出有效的安全措施，達到最大限度減少風(fēng)險、降低危害和確保系統(tǒng)安全運行的目的。8.2 管理要素與管理模型 風(fēng)險評估8.3 身份管理身份管理（IdM：Identity Management），廣義上講應(yīng)當(dāng)包括用戶的認(rèn)證、授權(quán)以

16、及認(rèn)證和授權(quán)之后相關(guān)信息的保存和管理。它必須靈活地支持已有的和被廣泛使用的多種身份認(rèn)證機制和協(xié)議，還要支持各種不同的應(yīng)用和服務(wù)平臺。身份管理的框架必須在用戶、應(yīng)用平臺和網(wǎng)絡(luò)需求中尋求某種平衡。這些網(wǎng)絡(luò)需求對身份管理的設(shè)計有著深遠(yuǎn)的影響。此外，這還為各種身份管理系統(tǒng)的互聯(lián)性提供了新的商機。身份管理所涉及的用戶身份生命周期，主要包括賬戶建立、維護和撤消3個部分：賬戶建立包括給用戶建立賬戶并分配適當(dāng)?shù)募墑e以訪問完成工作所需的資源；賬戶維護包括保持用戶身份的更新、依據(jù)工作完成的需要適當(dāng)調(diào)整用戶可訪問資源的級別，以及用戶更改自身身份信息時在不同系統(tǒng)之間進行修改的同步；賬戶撤消包括在用戶離開組織或公司之后

17、，使用戶賬戶及時失效以實現(xiàn)對用戶既得資源訪問權(quán)限的回收。8.3 身份管理身份管理生命周期8.3 身份管理ITU-T身份管理模型目前使用的身份管理生態(tài)系統(tǒng)8.3 身份管理ITU-T身份管理模型理想的身份管理生態(tài)系統(tǒng)8.3 身份管理身份管理的流程身份管理模型是由實體（Entity），服務(wù)提供方（SP），身份提供方（IdP）三個基本要素組成的，ITU-T提出的身份管理模型分為信任域內(nèi)的通信和其在一個信任域內(nèi)的身份認(rèn)證管理和跨域身份認(rèn)證管理。8.4 人員與物理環(huán)境安全崗位定義與資源分配安全組織應(yīng)該在新員工聘用階段就提出安全責(zé)任問題并將其包括在聘用合同條款中，在員工的雇傭期間對其進行培訓(xùn)和監(jiān)管，從而降低

18、人為錯誤的風(fēng)險，如盜竊、詐騙或者濫用設(shè)備和信息等。在條件允許的情況下，組織可以對員工進行充分選拔，尤其是對于從事敏感工作員工。所有雇員以及信息處理設(shè)施的第三方用戶（如產(chǎn)品供應(yīng)商、信息安全咨詢服務(wù)商和工程隊伍等）都應(yīng)該簽署并落實好保密協(xié)議。8.4 人員與物理環(huán)境安全用戶培訓(xùn)組織應(yīng)該開展對用戶的安全管理規(guī)程和正確使用信息處理設(shè)備的培訓(xùn)，以盡量降低可靠的安全風(fēng)險，確保用戶意識到對信息安全的威脅和危害關(guān)系，并且具有在日常工作中支持安全策略的能力。組織中所有員工以及相關(guān)的第三方用戶，應(yīng)該接收適當(dāng)?shù)男畔踩逃团嘤?xùn)，以適應(yīng)組織的安全策略和管理規(guī)程。這包括安全要求、法律責(zé)任和業(yè)務(wù)控制措施，還包括在被授權(quán)訪問信息或者服務(wù)之前正確使用信息處理設(shè)備的培訓(xùn)，如信息系統(tǒng)登錄程序、軟硬件的使用等。8.4 人員與物理環(huán)境安全對安全事件和故障的響應(yīng)影響安全的事件應(yīng)該盡快通過適當(dāng)?shù)墓芾砬?/p>