- 1、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。。
- 2、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
- 4、该文档为VIP文档,如果想要下载,成为VIP会员后,下载免费。
- 5、成为VIP后,下载本文档将扣除1次下载权益。下载后,不支持退款、换文档。如有疑问请联系我们。
- 6、成为VIP后,您将拥有八大权益,权益包括:VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 7、VIP文档为合作方或网友上传,每下载1次, 网站将根据用户上传文档的质量评分、类型等,对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
查看更多
信息系统安全威胁及等级保护.doc
信息系统安全威胁及等级保护
【摘 要】随着信息化水平的不断提高,各单位对其依赖程度前所未有的加大,然而随着各种攻击技术的发展,没有防御的系统则显得不堪一击。针对此,每个单位信息系统的安全运行都相应的加大了信息安全的关注与投入。鉴于此,研究不同等级的信息系统所需的安全措施就变得很有意义。主要说明了信息系统的不同等级及其安全防护水平。
【关键词】信息化;风险;等级保护;安全
1 信息化发展背景
1.1 全球背景
信息化是充分利用信息技术,开发利用信息资源,促进信息交流和知识共享,提高经济增长质量,推动经济社会发展转型的历史进程。随着信息技术发展,信息化对经济社会发展的影响更加深刻。信息资源日益成为重要生产要素、无形资产和社会财富。与此同时,信息安全的重要性也与日俱增,成为各国面临的共同挑战。
1.2 我国目标
我国信息化发展战略概括为:以信息化促进工业化,以工业化带动信息化,走出中国特色的信息化道路。信息化是当今世界发展的大趋势,是推动经济社会变革的重要力量。到2020年,我国信息化发展的战略目标是:综合信息基础设施基本普及,信息技术自主创新能力显著增强,信息产业结构全面优化,国家信息安全保障水平大幅提高,国民经济和社会信息化取得明显成效,新型工业化发展模式初步确立,国家信息化发展的制度环境和政策体系基本完善,国民信息技术应用能力显著提高,为迈向信息社会奠定坚实基础。
2 等级保护标准及其具体范围
信息安全等级保护是指对国家安全、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护,对信息系统中使用的信息安全产品实行按等级管理,对信息系统中发生的信息安全事件分等级响应、处置。
2.1 美国可信计算机安全评价标准
美国可信计算机安全评价标准(Trusted Computer System Evaluation Criteria,TCSEC),该标准是世界范围内计算机系统安全评估的第一个正式标准,具有划时代的意义。该准则于1970年由美国国防科学委员会提出,并于1985年12月由美国国防部公布。TCSEC最初只是军用标准,后来延至民用领域。TCSEC将计算机系统的安全划分为4个等级、7个级别。
D类安全等级:D类安全等级只包括D1一个级别。D1的安全等级最低。
C类安全等级:该类安全等级能够提供审计的保护,并为用户的行动和责任提供审计能力。C类安全等级可划分为C1和C2两类。
B类安全等级:B类安全等级可分为B1、B2和B3三类。B类系统具有强制性保护功能。
A类安全等级:A系统的安全级别最高。目前,A类安全等级只包含A1一个安全类别。A1系统的显著特征是,系统的设计者必须按照一个正式的设计规范来分析系统。
2.2 欧洲的安全评价标准
欧洲的安全评价标准ITSEC(Information Technology Security Evaluation Criteria)是英国、法国、德国和荷兰制定的IT安全评估准则,是欧洲多国安全评价方法的综合产物,应用领域为军队、政府和商业。该标准将安全概念分为功能与评估两部分。功能准则从F1~F10共分10级。1~5级对应于TCSEC的D到A。F6至F10级分别对应数据和程序的完整性、系统的可用性、数据通信的完整性、数据通信的保密性以及机密性和完整性的网络安全。
与TCSEC不同,它并不把保密措施直接与计算机功能相联系,而是只叙述技术安全的要求,把保密作为安全增强功能。另外,TCSEC把保密作为安全的重点,而ITSEC则把完整性、可用性与保密性作为同等重要的因素。ITSEC定义了从E0级(不满足品质)到E6级(形式化验证)的7个安全等级,对于每个系统,安全功能可分别定义。
2.3 我国计算机信息系统安全保护等级划分准则
我国根据世界范围内信息安全及计算机系统安全评估等技术的发展,并结合我国自身情况,制定并颁发了我国计算机信息系统安全保护等级划分准则(GB 17859-1999),在该准则中将信息系统分为下面五个等级:
第一级:用户自主保护级;
第二级:系统审计保护级;
第三级:安全标记保护级;
第四级:结构化保护级;
第五级:访问验证保护级。
3 风险分析和安全保护措施
3.1 漏洞、威胁、风险
在实际中,计算机信息系统在确定保护等级之前,首先要对该计算机信息系统进行风险分析。风险是构成安全基础的基本观念,风险是丢失需要保护的资产的可能性。如果没有风险就不需要安全。威胁是可能破坏信息系统环境安全的行动或事件。漏洞是各种攻击可能的途径。风险是威胁和漏洞的综合结果。没有漏洞的威胁没有风险
文档评论(0)