美国信息安全教育和培训的启示.pdfVIP

第3期 计 算 机 教 育 112 2015年2月 10日 ComputerEducation 文章编号：1672—5913(2015)03．0112—04 中图分类号：G642 美国信息安全教育和培训的启示 黎妹红 ，赵 琳 ，张大伟 ，杜 晔 (1北京交通大学计算机与信息技术学院，北京 100044；2．北京交通大学 国家保密学院，北京 100044) 摘 要：介绍和分析美国国家标准与技术研究院 (NIST)出版的两个在信息安全意识教育和培训方面 的规范性文件及 3次修订过程，指出随着信息技术的发展和国家安全策略的变化，美国对于信息技术 安全培训的要求以及侧重点也在随之改变，总结从关国NIST关于信息技术安全培训的内容变迁中得 出的一些启示，希望对我国的信息安全与保密培训有一定的借鉴意义。 关键词：信息安全 ；意识教育；保密培训；NIST 0 引 言 业发展。NIST在 1998年、2003年和2009年分 别出台了一系列的保密培训领域的行业标准。自 1998年 4月，美国国家标准与技术研究院 1995年克林顿政府发布 12958号总统令提出 “疑 (NationalInstituteofStandardsandTechnology， 密从无”和 “疑密从低”的原则开始，到奥巴马 NIST)颁布了的关于信息技术安全常识和培训纲 政府于2009年颁布的13526号总统令提出保密教 要 SP800．16 信“息技术安全培训要求：基于角色 育培训工作的强制性规定，尽管期间保密管理理 和表现的模型”_1J。2003年 10月，NIST又发布 念和政策起伏较大，但在这个过程中美国的保密 SP800．50 建“立一个信息技术安全意识教育和培 教育培训却 日趋完善，这对我国的信息安全与保 训项 目”[2】，其 中SP800—50是为SP800—16设计 密教育培训工作的开展具有很大的借鉴和指导意义。 的指南文档，是建立或微调信息安全意识教育或 培训项 目的联邦组织的基础文档。在讨论信息安 1．1 SP800-16 全培训发展的那一部分，SP800—50指 向了SP800— NIST于 1998年 4月出版发行 了SP800．16 16。SP800—50致力于一个较高的战略水平，讨论如 标准，这是对SP500—172的取代和更新，奠定了 何建立一个信息安全意识教育和培训项 目，SP800— 针对美国政府工作人员保密教育培训的总体框架 16处于一个较低的策略水平，描述信息安全意识 和内容，提出了有效的框架并据此评估这一培训 培训和基于角色培训的方法。它们形成了美国在 体系 。 信息安全意识教育和培训方面的规范性指导意见。 SP800．16中提出了IT安全连续学习统一模 从 1998年NIST发布SP800-16以来，在这 17 型