cisp培训授课知识要点

CISP培训课程知识总结中国信息安全测评中心2知识体系关联安全 保障技术密码学基础密码学应用访问控制软件安全 开发 网络安全系统安全应用安全恶意代码安全攻防管理安全管理体系安全风险管理基本管理措施重要管理过程安全工程法规政策 与标准3知识体系关联安全安全 保障保障技术密码学基础密码学应用访问控制软件安全 开发 网络安全系统安全应用安全恶意代码安全攻防管理安全管理体系安全风险管理基本管理措施重要管理过程安全工程法规政策 与标准4课程知识关键点信息安全保障信息安全保障概念信息技术及信息安全发展信息安全问题的产生信息安全保障体系PPDR模型及IATF信息安全工作概括我国信息安全保障工作概况信息安全保障需求信息安全保障目标信息安全测评持续改进5网络化社会网络计算机通信 （电报电话）信息安全发展阶段6COMSEC通信安全COMPUSEC计算机安全INFOSEC信息系统安全IA信息安全保障CS/IA网络空间安全/信息安全保障信息系统安全保障是在信息系统的整个生命 周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和 人员等方面提出安全保障要求，确保信息系统的 保密性、完整性和可用性，降低安全风险到可接 受的程度，从而保障系统实现组织机构的使命。 信息安全保障定义7信息安全保障的目标是支持业务 ！国家标准：GB/T 20274.1-2006 信息安全技术 信息系统 安全保障评估框架 第一部分：简介和一般模型 信息系统安全保障模型8vP2DR策略、防护、检测、响应 § 在统一安全策略的控制下， § 在综合运用防护工具基础上， § 利用检测工具检测评估网络系统的安全状态， § 通过及时的响应措施将网络系统调整到风险最 低的安全状态分布式动态主动模型P2DR模型9技术操作深度防御战略人人通过 技术进行 操作计算环境 区域边界网络 基础设施支撑性基础设施密钥管理检测响应成功的组织功能信息安全保障（IA）IATF框架10国家信息安全保障工作要点v方针：积极防御、综合防范 v基本原则：§ 立足国情，以我为主，坚持管理与技术并重。正 确处理安全与发展的关系，以安全保发展，在 发展中求安全；统筹规划，突出重点，强化基 础性工作；明确国家、企业、个人的责任和义 务，充分发挥各方面的积极性，共同构筑国家 信息安全保障体系。 § 等级保护制度 v我国信息安全保障建设主要内容1112v 制定信息安全保障需求的作用 v 制定信息系统安全保障需求的方法和原则v 信息安全保障解决方案 v 确定安全保障解决方案的原则 v 实施信息安全保障解决方案的原则v 信息安全测评 v 信息安全测评的重要性 v 国内外信息安全测评现状 v 产品、人员、服务商、系统测评的方法和流程v 持续提高信息系统安全保障能力。 v 信息系统安全监护和维护确定需求制定方案开展测评持续改进信息系统安全保障工作建设步骤1213v 信息系统保护轮廓（ISPP）是根据组织机构使命和所处的运行环境，从组织机构的策略和风险的实际情况出发，对 具体信息系统安全保障需求和能力进行具体描述。 v 表达一类产品或系统的安全目的和要求。v ISPP是从信息系统的所有者（用户）的角度规范化、结构 化的描述信息系统安全保障需求。信息系统安全保障的具体需求由信息系统保护轮廓 (ISPP)确定。ISPP 13标准化的安全保障需求文档-ISPP14v 信息系统安全目标（ISST）是根据信息系统保护 轮廓（ISPP）编制的信息系统安全保障方案。v 某一特定产品或系统的安全需求。 v ISST从信息系统安全保障的建设方（厂商）的角度制定的信息系统安全保障方案。信息系统安全目标（ISST）规范化、结构化信息系统安全保障方案1415信息安全保障评估v评估是信息系统安全保障的一个重要概念，系 统所有者可以根据评估所得到的客观评估结果 建立其主观的信心。v评估对象是信息系统，不仅包含了信息技术系 统，还包括同信息系统所处的运行环境相关的 人和管理等领域。v评估是一种动态持续的评估过程。 15持续的风险评估是 信息安全保障的一 项基础性工作持续的风险评估为新 的安全决策和需求提供 重要依据风险评估风险评估信息系统安全监控与保持的工作内容16知识体系关联安全 保障技术密码学基础密码学应用访问控制软件安全 开发 网络安全系统安全应用安全恶意代码安全攻防管理安全管理体系安全风险管理基本管理措施重要管理过程安全工程法规政策 与标准17课程知识关键点信息安全工程安全工程基础系统工程、项目管理、质量管理成熟度模型安全工程能力成熟度模型SSE-CMMSSE-CMM体系、原理（域维、能力维）安全工程类能力成熟度安全工程生命周期信息系统监理18信息安全工程基本概念v信息安全工程的重要性 § 国家要求：同步规划、同步实施 v信息安全工程基础 § 系统工程思想 § 项目管理方法 § 质量管理体系 § 能力成熟度模型19能力成熟度模型的概念v能力成熟度模型（CMM-Capability Maturity Model） § 由质量管理工作发展的“过程改进” § 过程能力的提高，过程变得可预测和可度量，控制 或消除造成质量低劣和生产率不高 v现代统计过程控制理论表明通过强调生产过程的 高质量和在过程中组织实施的成熟性可以低成本 地生产出高质量产品； § 所有成功企业的共同特点是都具有一组严格定义、 管理完善、可测可控从而高度有效的业务过程； § CMM模型抽取了这样一组好的工程实践并定义了过 程的“能力”； 20SSE-CMM体系结构能力维（Capability Dimension）域维（Domain Dimension）公共特征2.4 跟踪执行PA 05 评估脆弱性两维模型： “域维” 由所有定义的安全工程过程区构 成。 “能力维”代表组织实施这一过程的能力。21SSE-CMM能力成熟度评价v通过设置这两个相互依赖的维，SSE-CMM在各个能 力级别上覆盖了整个安全活动范围。 v给每个PA赋予一个能力级别评分，所得到的两维 图形便形象地反映一个工程组织整体上的系统安 全工程能力成熟度，也间接的反映其工作结果的 质量及其安全上的可信度。543210 PA01PA02PA03PA04PA05能力 级别安全过程区域22SSE-CMM的使用vSSE-CMM可应用于所有从事某种形式的安全工程组 织，这种应用与生命期、范围、环境或专业无关 。该模型适用于以下三种方式： § “评定”，允许获取组织了解潜在项目参加者的组 织层次上的安全工程过程能力。 § “改进”，使安全工程组织获得自身安全工程过程 能力级别的认识，并不断地改进其能力。 § “保证”，通过有根据地使用成熟过程，增加可信 产品、系统和服务的可信度。23SSE-CMM的主要概念v过程区域（PA，Process Area） § 过程的一种单位 § 是由一些基本实施（BP，Base Practice）组成的 ，这些BP共同实施以达到该PA的目标。这些BP是强 制性的，只有全部成功执行，才能满足PA规定的目 标； § SSE-CMM包含三类过程区域：工程、项目和组织三 类；24域维过程类域维Base PracticesBase PracticesBase PracticesBase PracticesBase Practices基本实施Process AreasProcess AreasProcess Areas过程区BP,Base Practice。域维的最小 单位。如果选择执行其所属的 PA，则必须执行它。共129个PA，Process Area由一些基本 实施构成，这些BP共同实施以 达到该PA的目标。共22个PA被分为安全工程类、组织 管理类和项目管理类 域维-22个PA分成三类v系统安全工程涉及到三类过程区域PA § 工程过程区域（Engineering PA） § 组织过程区域（Organization PA） § 项目过程区域（Project PA） v工程过程区域11个PA描述了系统安全工程中实施 的与安全直接相关的活动 v组织和项目过程区域（共11个）并不直接同系统 安全相关，但常与11个工程过程区域一起用来度 量系统安全队伍的过程能力成熟度26风险过程PA04：评估威胁威胁信息 threat脆弱性信息 vulnerability影响信息 impact风险信息PA05：评估脆弱性PA02：评估影响PA03：评估安全风险v 风险就是有害事件发生的可能性 v 一个有害事件有三个部分组成：威胁、脆弱性和影响。 27工程过程v 安全工程与其它科目一样，它是一个包括概念、设计、实现、测试 、部署、运行、维护、退出的完整过程。 v SSE-CMM强调安全工程是一个大的项目队伍中的一部分，需要与其 它科目工程师的活动相互协调。 PA10 确定安全需求需求、策略等配置信息解决方案、指导等风险信息PA08 监控安全态势PA07 协调安全PA01 管理安全控制PA09 提供安全输入28保证过程证据证据保证论据PA11 验证和证实安全指定安全要求其他多个PAPA06 建立保证论据v保证是指安全需要得到满足的信任程度 vSSE-CMM的信任程度来自于安全工程过程可重 复性的结果质量。 29SSE-CMM的主要概念v过程能力（Process Capability） § 一个过程是否可以达到预期效果的度量方法，即执 行一个过程的成熟度级别划分； § 过程能力可帮助组织预见达到过程目标的能力，如 果一个组织某个过程的能力级别低，意味着完成该 过程投入的成本，实现的进度、功能和质量都是不 稳定的；或者说过程能力越高则达到预定的成本、 进度、功能和质量目标的就越有把握30能力维能力维能力级别GP，Generic Practice 管理、度 量和制度方面的活 动，可用于决定所 有活动的能力水平CF，Common Feature由GP组 成的逻辑域由公共特征组成 的过程能力水平 的级别划分。0-5 共6个级别公共特征通用实践能力级别代表安全工程组织的成熟级别31计划执行 规范化执行 跟踪执行 验证执行定义标准过程 协调安全实施 执行已定义的过程建立可测量的 质量目标 客观地管理过 程的执行1 非正规 执行2 计划与跟踪3 充分定义4 量化控制5 连续改进执行 基本 实施改进组织能 力 改进过程的 有效性能力级别 公共特征未实施0 能力级别32信息系统安全工程ISSE发掘信息保 护需求确定系统安 全要求设计系统安 全体系结构开展详细安 全设计实施系统安 全评估信息保护有效性33信息安全工程监理模型 v信息安全工程监理阶段、监理管理和控制手段和 监理支撑要素知识体系关联安全 保障技术密码学基础密码学应用访问控制软件安全 开发 网络安全系统安全应用安全恶意代码安全攻防管理安全管理体系安全风险管理基本管理措施重要管理过程安全工程法规政策 与标准35课程知识关键点安全管理体系信息安全管理概念信息安全管理概念信息安全管理体系概念信息安全管理体系过程方法与PDCA循环建立、运行、评审及改进ISMS信息安全控制措施36信息安全管理37v什么是信息安全管理 § 组织中为了完成信息安全目标，针对信息系统，遵循 安全策略，按照规定的程序，运用恰当的方法，而进 行的规划、组织、指导、协调和控制等活动 § 信息安全管理工作的对象规则人员目标组织·信息输入·立法·摘要变化？关键活动测量拥有者资 源记录标 准输入输出生 产经 营过程信息安全管理的基本概念38v信息安全管理是基于风险的管理 § 信息安全管理体系建立需要安全需求 § 安全需求来源于风险评估 § 风险处置的的最佳集合就是信息安全管理体系中的措 施集合 v信息安全管理价值及实施成功的关键 § 弥补技术之外的安全不足； § 技管并重是我国信息安全保障基本原则 v成功实施信息安全管理关键要素 § 理解组织文化、高层支持等信息安全管理国际标准：ISO 27000系列39vISO 27000系列270002700