信息安全管理技术课件.ppt

ISO信息安全管理标准 国际标准化组织的英语简称。其全称是International Organization for Standardization或International Standard Organized 。ISO一来源于希腊语“ISOS”，即“EQUAL”——平等之意。国际标准化组织（ISO）是由各国标准化团体（ISO成员团体）组成的世界性的联合会。制定国际标准工作通常由ISO的技术委员会完成。ISO与国际电工委员会（IEC）在电工技术标准化方面保持密切合作的关系。。中国是ISO的正式成员，代表中国的组织为中国国家标准化管理委员会（Standardization Administration of China，简称SAC）。 信息安全管理技术 目录 信息安全等级保护 ISO信息安全管理标准 信息安全法规 信息安全等级保护 我们在13章提到的一些信息安全评估准则： 《可信技术安全评估准则》（ITSEC） 《信息安全技术通用评估准则》（CC） GB 17859—1999《计算机信息系统安全保护等级划分准则》 GB 18366—2001《信息技术 安全技术 信息技术安全性评估准则》 以上的安全评估准则既是信息安全评估的依据，也是政府、部队和企业实施信息安全管理的指导原则。在这些准则中，不同等级的信息系统或安全设备满足安全性的要求和程度不同，在应用中所适合的场合也不同，组织按照这些原则对信息系统和安全设备进行管理的措施称为信息安全等级保护。 信息安全等级保护 信息安全等级保护 西方发达国家和地区高度重视信息安全等级保护。其中，以美国国家标准与技术协会（NIST）与美国国家安全局（NSA）推出的一些标准和规范最具影响力。 信息安全等级保护 NIST颁布的技术文件分为特别出版物（SP，Special Publication）和联邦信息处理标准出版物（FIPS PUB，Federal Information Processing Standards Publication）两个系列。2003年颁布的FIPS PUB 199《联邦信息和信息系统安全分类标准》将信息和信息系统按照保密性、完整性和可用性3个安全目标被破坏的后果将他们分为低、中、高3个级别；同年颁布的NIST SP 800-53《联邦信息系统建议安全控制》将安全措施分为基本级、增强级和强健级，并针对FIPS Pub 199中3个级别的信息和信息系统分别给出了需要采取的最小保护措施；另外，NIST SP 800-37和NIST SP 800-53A向政府机构提供了如何对NIST SP 800-53所采取的安全措施进行有效性验证的指南。 信息安全等级保护 1999年，NSA制定了《信息保障技术框架》（IATF，Information Assurance Technical Framework），它将信息资产的价值分为V1~V5共5个级别，将威胁按照其危害程度分为T1~T7，将安全机制的强度分为SML1~SML3共3级，它还建议采用CC的评估保证级EAL1~EAL7衡量对安全功能的保障能力，并建议采用下图中的等级保护方法。 信息安全等级保护 我国政府高度重视信息安全等级保护工作。 1994年，国务院发布了《中华人民共和国计算机信息系统安全保护条例》，它是我国计算机信息系统安全保护的法律基础，其中规定我国计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法由公安部会同有关部门联合制定。 公安部在《条例》发布后制定了GB 17859—1999《计算机信息系统保护等级划分准则》国家标准。该准则的发布为计算机信息系统安全法规和配套标准的制定和执法部门的监督检查提供了依据，为安全产品的研制提供了技术支持，为安全系统的建设和管理提供了技术指导，是我国计算机信息系统安全保护等级工作的基础。 2006年，公安部、国家保密局、国家密码管理局、国务院信息化办公室联合颁布《信息安全等级保护管理办法》，它将信息系统划分为自主保护级、指导保护级、监督保护级、强制保护级、专控保护级由低到高5级，将信息系统运营、使用单位及个人分为5个级别，规定了它（他）们对信息安全等级保护的职责和义务。 ISO信息安全管理标准 ISO信息安全管理标准的发展起源于英国标准管理协会（BSI，British Standards Institute）制定的BS 7799系列标准。1995年BSI颁布了BS 7799-1：1995《信息安全管理实施细则》，1998年又公布了BS 7799-2:1999，前者于2000年被ISO采纳为ISO/IEC 17799-1号标准，20