《系统架构设计师教程（第2版）》第4章-信息安全技术基础知识-05-信息安全的保障体系与评估方法

1. 计算机信息系统安全保护等级

扩展的一些概念，教材涉及到但未说明。

• TCSEC（Trusted Computer System Evaluation Criteria）：美国的计算机系统安全评估标准
• 计算机信息系统的可信计算基（TCB）：为实现计算机系统安全保护的所有安全保护机制的集合，这些机制可以以硬件、固件和软件的形式出现。

《计算机信息系统安全保护等级划分准则》 (GB 17859—1999) 规定了计算机系统安全保护
能力的5个等级：

第1级：用户自主保护级

• 对应TCSEC 的C 1 级
• 本级计算机信息系统的可信计算基功能：
  • 隔离用户及数据
• 适用：普通内联网

第2级：系统审计保护级

• 对应TCSEC的 C 2 级
• 本级计算机信息系统的可信计算基功能：
  • 登录规程、审计安全性相关事件
  • 隔离资源（上等级所有功能）
• 使用户对自己的行为负责
• 适用：内联网或国际网

第3级：安全标记保护级

• 对应TCSEC 的B 1 级
• 本级计算机信息系统的可信计算基功能：
  • 相关安全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述
  • 准确地标记输出信息的能力
  • 消除通过测试发现的任何错误
  • 上级所有功能
• 适用：地方各级国家机关、金融、邮电通信、能源、交通等部门，大型工商与信息技术企业、重点工程建设等单位

第4级：结构化保护级

• 对应 TCSEC的 B 2 级
• 本级计算机信息系统的可信计算基：
  • 建立于一个明确定义的形式化安全策略模型之上
  • 三级系统中的自主和强制访问控制扩展到所有主体与客体
• 适用：中央级国家机关、广电部门、重点物资存储单位、尖端科技企业集团、国家重点科研单位、国防建设等部门

第5级：访问验证保护级

• 对应TCSEC的B 3级
• 本级计算机信息系统的可信计算基：
  • 满足访问监控器需求
  • 其它一堆不需要了解
• 适用：国家关键部门和依法需要对计算机信息系统实施特殊隔离的单位

2.安全风险管理

2.1 概述

• 信息系统的安全风险：由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生所造成的影响。
• 信息安全风险评估：指依据国家有关信息安全技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程。
• 按实施者分类
  • 自评估：由被评估信息系统的拥有者依靠自身的力量，对其自身的信息系统进行的风险评估活动
  • 他评估：被评估信息系统拥有者的上级主管机关或业务主管机关发起的，依据已经颁布的法规或标准进行的具有强制意味的检查活动，是通过行政手段加强信息安全的重要措施

2.2 风险评估实施前考虑如内容

1）确定风险评估的范围

• 评估根据：商业、战略及其他相关要求
• 可能的范围：
  • 组织全部的信息和信息系统
  • 单独的信息系统
  • 组织的关键业务流程
  • 客户的知识产权

2）确定风险评估的目标

组织风险评估的目标基本上来源于组织业务持续发展的需要、满足相关方的要求、满足法律法规的要求等方面。

3）建立适当的组织结构

风险评估小组：管理层、相关业务骨干、 IT 技术人员等组成

4）建立系统性的风险评估方法

风险评估方法应考虑评估的范围、目的、时间、效果、组织文化、人员素质以及开展程度等因素来确定，使之能够与环境和安全要求相适应。

5）获得最高管理者对风险评估策划的批准

上述所有内容应得到组织的最高管理者的批准，并对管理层和员工进行传达。

2.3 风险评估的要素

2.3.0 概述

• ·基本要素：资产、脆弱性、威胁、风险、安全措施
• 其他要素：业务战略、资产价值、安全需求、安全事件和残余风险
• 要素之间的关系（了解即可）
  

  业务战略依赖于资产去完成；资产拥有价值，单位的业务战略越重要，对资产的依赖度越高，资产的价值则就越大，风险也越大，并可能演变成安全事件；威胁都要利用脆弱性，脆弱性越大则风险越大；脆弱性使资产暴露，是未被满足的安全需求，威胁要通过利用脆弱性来危害资产，从而形成风险；资产的重要性和对风险的意识会导出安全需求；安全需求要通过安全措施来得以满足，且是有成本的；安全措施可以抗击威胁，降低风险，减弱安全事件的影响；风险不可能也没有必要降为零，在实施了安全措施后还会有残留下来的风险——一部分残余风险来自于安全措施可能不当或无效，在以后需要继续控制这部分风险，另一部分残余风险则是在综合考虑了安全的成本与资产价值后，有意未去控制的风险，这部分风险是可以被接受的；残余风险应受到密切监视，因为它可能会在将来诱发新的安全事件

2.3.1 资产

1）资产分类

• 重要性：将信息系统及其中的信息资产进行恰当的分类，才能进行下一步的风险评估工作
• 分类方法：在实际项目中灵活把握

2）资产赋值

• 概述：是对资产安全价值的估价（而不是以价格来衡量）
  • 即根据资产损失所引发的潜在商务影响来决定
• 赋值过程：
  • 建立资产价值尺度，明确如何赋值
  • 是对资产保密性、完整性和可用性影响分析的过程
• 对资产“影响”的考虑因素（了解即可）
  • 违反了有关法律或(和)规章制度。
  • 影响了业务执行。
  • 造成了信誉、声誉损失。
  • 侵犯了个人隐私。
  • 造成了人身伤害。
  • 对法律实施造成了负面影响。
  • 侵犯了商业机密。
  • 违反了社会公共准则。
  • 造成了经济损失。
  • 破坏了业务活动。
  • 危害了公共安全。

2.3.2 资产价值

通过考察保密性、完整性、可用性3种不同的安全属性，能够基本反映资产的价值。

2.3.3 威胁

• 安全威胁：对机构及其资产构成潜在破坏的可能性因素或者事件。
• 威胁因素
  • 人为因素
    • 有意
    • 无意
  • 环境因素
    • 自然环境不可抗因素
    • 其他物理因素

2.3.4 脆弱性

1）弱点

• 包括：物理环境、组织、过程、人员、管理、配置、硬件、软件和信息等各种资产的脆弱性
• 弱点特性：
  • 是资产本身固有的，它本身不会造成损失
  • 被威胁利用才会造成资产损失
• 弱点的处理：
  • 没有安全威胁的弱点：
    • 可以不需要实施安全保护措施
    • 但必须记录（当环境、条件有所变化时能随之加以改变）

2） 脆弱性评估

• 概述：对脆弱性被威胁利用的可能性进行评估，最终为其赋相对等级值

将针对每一项需要保护的信息资产，找出每一种威胁所能利用的脆弱性，并对脆弱性
的严重程度进行评估。

• 评估方法：问卷调查、人员问询、工具扫描、手动检查、文档审查、渗透测试等
  • 技术方面：
    • 远程和本地两种方式进行系统扫描
    • 网络设备和主机等进行人工抽查
  • 管理方面：
    • （按照BS7799 等标准的安全管理要求）对现有的安全管理制度及其执行情况进行检查

2.3.5 风险

1） 风险计算模型

其模型包括：

• 信息资产
  • 属性：资产价值
• 弱点/脆弱性
  • 属性：弱点被威胁利用后对资产带来的影响的严重程度
• 威胁
  • 属性：威胁发生的可能性
    信息资产的属性是资产价值，弱点的属性是弱点被威胁利用后对资产带来的影响的严重程度，威胁的属性是。

2） 风险计算过程

• 对信息资产进行识别，并对资产赋值
• 对威胁进行分析，并对威胁发生的可能性赋值
• 识别信息资产的脆弱性，并对弱点的严重程度赋值
• 根据威胁和脆弱性计算安全事件发生的可能性
• 结合信息资产的重要性和发生安全事件的可能性，计算信息资产的风险值

---