网络金融安全管理.ppt

本章结构本章结构本章重点难点7.1网络金融的安全问题7.2相关安全技术与标准7.3金融认证体系重点：网络金融的安全问题及金融认证体系难点：相关安全技术与标准7.1网络金融的安全问题本节逻辑结构图7.1.1网络金融面临的安全挑战7.1.2制约我国网络金融安全防范能力的因素计算机安全01国际标准化组织（ISO）将“计算机安全”定义为：“为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件数据不因偶然或者恶意的原因而遭到破坏、更改和泄漏”。计算机安全包括物理安全和逻辑安全两个方面。027.1.1网络金融面临的安全挑战7.1.1网络金融面临的安全挑战物理安全物理安全就是保护信息系统的软硬件设备、设施以及其他媒体免遭地震、水灾、雷击等自然灾害、人为破坏或操作失误，以及各种计算机犯罪行为导致破坏的技术和方法。逻辑安全逻辑安全指的是信息不受偶然的或者而已的原因而遭到破坏、更改、泄露，正常可靠地运行系统，网络服务不中断。7.1.1网络金融面临的安全挑战四、立法安全二、感染病毒风险一、内部管理安全三、技术层面的安全7.1.2制约我国网络金融安全防范能力的因素一、缺乏自主的计算机网络和软件核心技术二、安全意识淡薄是网络金融安全的瓶颈三、运行管理机制存在缺陷和不足四、缺乏制度化的防范机制7.2相关安全技术与标准本节逻辑结构图7.2.1网络安全技术7.2.2网络信息安全标准7.2.1网络安全技术一、密码技术二、访问控制与防火墙技术三、入侵检测与安全审计四、黑客与病毒防范技术五、操作系统安全技术六、数据库系统安全技术七、数据安全技术7.2.2网络信息安全标准TCSEC是“可信计算机系统评估准则”的英文缩写，由美国国防部于1985年开发的，是彩虹系列丛书之一，已经成为现行的网络安全标准ITSEC是信息技术安全性评估准则的英文缩写，由西欧四国（英、法、荷、德）于1991年联合提出CC是通用准则的英文缩写。1996年六国七方签署了《信息技术安全评估通用准则》即CC1.0ITSECCC7.2.2网络信息安全标准我国有关网络信息安全的相关标准国内主要是等同采用国际标准《计算机信息系统安全保护等级划分准则》（GB17895-1999）《信息处理系统开放系统互联基本参考模型第二部分安全体系结构》（GB/T9387.21995）《信息处理数据加密实体鉴别机制第1部分：一般模型》（GB15834.11995）《信息技术设备的安全》（GB4943-1995）等7.3金融认证体系本节逻辑结构图7.3.1美国测评认证体系7.3.2英国测评认证体系7.3.3我国测评认证体系7.3.4我国金融行业中统一的PKI体系7.3.1美国测评认证体系国家标准技术研究所国家安全局国家信息保障伙伴安全要求规范测试和评估测评技术研究与开发CC评估认证方案7.3.2美国测评认证体系英国的IT安全评估认证机构是在1991年由商业工业部（DTI）和通信电子安全小组（CESG）共同建立的，所依据的评估认证标准主要是CC及其评估方法和ITSEC及其评估方法。英国的IT安全评估认证机构（GB）在行政上由CESG领导。CESG作为一个文职机构，隶属于政府通信指挥部（GCHQ）。其前身是通信电子安全局，主要负责保证政府和军事通信的安全。CESG的认证人员主要负责专业能力、技术目标和商业秘密方面的最高技术标准的开发。7.3.3我国测评认证体系中国国家信息安全测评认证中心中国国家信息安全测评认证中心计算机测评中心，由信息产业部及国家信息安全认证管理委员会批准，经中国国家信息安全测评认证中心授权，于2000年3月22日在北京成立，是由中国国家信息安全测评认证中心授权信息产业部第十五研究所太极联合实验室在信息产业部计算机安全技术检测中心基础上，建立的计算机测评中心。公安部计算机信息系统安全产品质量监督检验中心1、于1997年下半年开始筹备建立2、于1998年8月10日起，对在中华人民共和国境内销售的计算机信息系统安全专用产品中的网络安全类、访问控制类和鉴别类产品颁发《销售许可证》。7.3.4我国金融行业中统一的PKI体系安全特点优点可以达到金融统一认证体系的目的可以通过策略上的设置，在逻辑上区分不同银行的CA，确保各银行的自身业务特点，也可以塑造统一的品牌形象具有一个信任起点，互通互信过程简单，可以实现跨行交易层次结构的PKI系统易于维护和升级，易于增加新的商业银行的子CA认证中