CISM0101信息安全保障基础.pptx

信息安全保障基础中国信息安全测评中心重点信息安全政策解读我国信息安全保障实践信息安全标准知识重点信息安全法律解读信息安全保障模型信息安全保障基础知识课程内容（要改）信息安全保障理论及实践信息安全保障基础信息安全法规政策标准知识域：信息安全保障基础知识理解信息安全的典型安全威胁理解信息安全问题产生的根源掌握信息安全三个基本要素（必威体育官网网址性、完整性和可用性）的概念和含义了解信息安全发展的阶段及各阶段主要特点理解信息安全保障的概念和内涵什么是信息安全？安全 Security：事物保持不受损害什么是信息安全？必威体育官网网址！不该让别人知道的，不能泄漏！什么是信息安全？完整！信息要完整地传输和表达！什么是信息安全？可用！信息要方便、快捷！什么是信息安全 信息本身的必威体育官网网址性（Confidentiality）、完整性（Integrity）和可用性（Availability）的保持，即防止未经授权使用信息、防止对信息的非法修改和破坏、确保及时可靠地使用信息必威体育官网网址性：确保信息没有非授权的泄漏，不被非授权的个人、组织和计算机程序使用完整性：确保信息没有遭到篡改和破坏可用性：确保拥有授权的用户或程序可以及时、正常使用信息为什么会有信息安全问题？因为有病毒吗？因为有漏洞吗？这些都是原因，但没有说到根源因为有黑客吗？信息系统安全问题产生的根源与环节内因复杂性导致脆弱性过程复杂，结构复杂，使用复杂凡是人做的东西总会存在问题外因存在对手和恶意攻击者存在不可控制的自然灾害威胁与破坏导致信息安全问题安全问题根源—内因示例安全问题根源—外因示例安全问题根源—外因来自自然的破坏信息安全的地位和作用信息网络已逐渐成为经济繁荣、社会稳定和国家发展的基础信息化深刻影响着全球经济的整合、国家战略的调整和安全观念的转变信息安全适用于所有信息技术领域学习、游戏、网络购物、电子邮件信息化办公、电子商务电子政务、电力供应、工业控制系统核设施、军事情报系统从单纯的技术性问题变成事关国家安全的全球性问题COMSEC通信安全COMPUSEC计算机安全信息系统安全信息安全保障网络空间安全/信息安全保障INFOSECIACS/IA信息安全发展阶段通信安全计算机安全信息系统安全信息安全保障信息安全保障保障目标信息系统业务和使命安全保障措施防止信息泄露、修改和破坏还要检测入侵行为；还要响应和改进措施同传统信息安全概念相比较强调检测和响应，强调动态安全注重对信息系统进行全生命周期的保护关注技术、管理、规范等方面要求实现风险管控的目标信息安全保障发展历史第一次定义1996年，美国国防部DoD指令5-3600.1（DoDD 5-3600.1）中，给出了信息安全保障的定义中国中办发27号文《国家信息化领导小组关于加强信息安全保障工作的意见》，是信息安全保障工作的纲领性文件目前，信息安全保障的概念已逐渐被全世界信息安全领域所接受。信息安全保障发展历史从通信安全（COMSEC）-〉计算机安全（COMPUSEC）-〉信息系统安全（INFOSEC）-〉信息安全保障（IA） -〉网络空间安全/信息安全保障（CS/IA）网络空间安全/信息安全保障CS/IA：Cyberspace Security/Information Assurance威胁有组织网络犯罪、网络恐怖主义、网络空间军事对抗、APT共识：网络安全问题上升到国家安全的重要程度2009年，在美国带动下，世界各国信息安全政策、技术和实践等发生重大变革……核心思想：从传统防御的信息保障（IA），发展到“威慑”为主的防御、攻击和情报三位一体的信息保障/网络安全（IA/CS）的网空安全网络防御-Defense（运维）网络攻击-Offense（威慑）网络利用-Exploitation（情报）国家信息安全保障体系建设动态美国2008年1月，发布国家网络安全综合倡议（CNCI），号称网络安全“曼哈顿项目”，提出威慑概念2009年5月，发布《网络空间政策评估：确保信息和通讯系统的可靠性和韧性》报告 2009年6月，成立网络战司令部，随后，奥巴马任命网络安全专家担任“网络沙皇”2011年5月，发布《网络空间国际战略》，明确了针对网络攻击的指导原则；随后又发布《网络空间行动战略》英国2009年6月25日，英国推出了首份“网络安全战略”，并将其作为同时推出的新版《国家安全战略》的核心内容德国、法国、俄罗斯、…从技术角度看信息安全阶段年代安全威胁安全措施通信安全20世纪，40—70年代搭线窃听、密码学分析加密计算机安全20世纪，70-90年代非法访问、恶意代码、脆弱口令等安全操作系统设计技术（TCB）信息系统安全20世纪，90年代后网络入侵、病毒破坏、信息对抗等防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等信息安全保障今天，……黑客、恐怖分子、信息战、自然灾难、电力中断等技术安全保障体系安