构建信息安全保障体系44p.ppt

我国网络信息安全威胁增加迅速 （CNCERT/CC） 僵尸网络范围扩大，14万台主机被植入僵尸程序 木马/谍件威胁严重，4.5万IP地址植入木马 网页篡改数量迅速增加，达到24477次 政府网站被篡改3831次，占总量16% 安全事件报告的年增量为196% 网络恶意代码年增量12.8倍 漏洞发现量的年增196% 网络威胁的新动向值得高度关注 “零日攻击”现象出现（魔波蠕虫） 复合式病毒给防范增加难度 僵尸网成为DDos和垃圾邮件的源头 网络仿冒/劫持是在线窃信的重要途径 谍件泛滥是窃密/泄密的主要元凶 通过网页/邮件/P2P传播恶意代码的数量猛增 非法牟利动机明显增加和趋于嚣张 黑客地下产业链正在形成 僵尸源和木马源的跨国控制应该高度警惕 内部安全事件的增加引起高度重视 信息系统安全的全局对策 (一)科学划分信息安全等级 投入与风险的平衡点 安全资源的优化配置 (一)构建信息安全保障体系 重视顶层设计,做好信息安全技术体系与信息安全管理体系 强化信息安全的保障性 (二)作好信息安全风险评估 是信息安全建设的起点、也覆盖终生 提升信息安全的可信性 （一）科学划分信息安全等级 信息安全等级保护关注点 （公通字[2007]43号文）、（中保委发（2004）7号文） 等级保护涉及的内容：信息系统、信息安全产品、信息安全事件 分级依据：重要程度、危害程度、保护水平 (业务信息、系统服务） 保护级别划分： 自主保护级、指导保护级、监督保护级、强制保护级、专控保护级 系统管理模式 一级：自主保护 （一般系统/ 合法权益） 二级：指导保护（一般系统/ 合法权益、社会利益） 三级：监督检查（重要系统/ 社会利益、国家安全） —— (秘密) 四级：强制监督 （重要系统/ 社会利益、国家安全） —— (机密 、增强） 五级：专门监督 （极端重要系统/ 国家安全） —— (绝密) 安全管理 自主定级-----审核批准----系统建设----安全测评 信息安全等级保护相关规范 （公通字[2007]43号文） 信息系统安全等级保护定级指南 信息系统安全等级保护实施指南 信息安全技术信息系统安全管理要求GB/T20269--2006 信息系统安全等级保护测评要求 - - - - - - - - - - 涉及国家秘密的计算机信息系统分级保护技术要求 BMB 17-2006 涉及国家秘密的计算机信息系统分级保护测评指南 BMB 22-2007 涉及国家秘密的信息系统分级保护管理规范 BMB 20-2007 （二）构建信息安全保障体系 （三）重视信息安全风险评估 信息系统安全风险评估的特征 信息系统是一个巨型复杂系统（系统要素、安全要素） 信息系统受制于外部因素（物理环境、行政管理、人员） 信息系统安全风险评估是一项系统工程 发现隐患、采取对策、提升强度、总结经验 自评估/委托评估、检查评估 信息系统安全评估方法 定性分析与定量结合 评估机构与评估专家结合 评估考查与评估检测结合 技术安全与管理安全结合 信息系统安全分析与检测 管理安全分析 组织、人员、制度、资产控制、物理、操作、连续性、应急 过程安全分析 威胁、风险、脆弱性、需求、策略、方案、符合性 分发、运行、维护、更新、废弃 技术安全分析与检测 安全机制、功能和强度分析、 网络设施、安全设施及主机配置安全分析、脆弱性分析 系统穿透性测试 系统测试中风险的防范 事前：必威体育官网网址/持续/透明协议、应急予案、备份、测试床/离线 事中：测试监控、现场控制、应急对策 事后：消除残留、现场清理、原特权回复、原系统回复 信息系统安全的全局对策 (一)科学划分信息安全等级 投入与风险的平衡点 安全资源的优化配置 (一)构建信息安全保障体系 重视顶层设计,做好信息安全技术体系与信息安全管理体系 强化信息安全的保障性 (二)作好信息安全风险评估 是信息安全建设的起点、也覆盖终生 提升信息安全的可信性 —数字认证与网络信任体系的建设— （CA/ PKI） 适应开放型、大时空、无限边界 提供真实性、完整性、必威体育官网网址性、抗否认性 可以构建良好的信