Codelife.pdf

1

 内容笔记

说明：................................................................................................................................2

信息安全保障.....................................................................................................................2

发展历史......................................................................................................................2

安全模型............................................................................................................................4

信息安全实践.....................................................................................................................5

美国............................................................................................................................5

密码学..............................................................................................................................11

信息安全标准...................................................................................................................12

标准与标准化.............................................................................................................12

等级保护....................................................................................................................17

信息安全法律法规与政策.................................................................................................19

重要安全管理过程............................................................................................................23

信息安全工程原理............................................................................................................26

信息安全工程的基础..................................................................................................26

能力成熟度模型.........................................................................................................28

由来.....................................................................................................................28

域维：由所有定义的安全工程过程区构成。.........................................................32

工程类 PA：.........................................................................................................32

项目类和组织类 PA..............................................................................................32

能力维：代表组织实施这一过程的能力。............................................................33

风险过程：..........................................................................................................33

工程过程..............................................................................................................34

保证过程..............................................................................................................36

能力级别代表安全工程组织的成熟级别................................................................38

SSE-CMM 的使用细节.........................................................................................39

SSE-CMM 应用实例...................................................................................................41

1

和信息安全标准法规。

发展历史

从通信安全（）〉计算机安全（）〉信

息系统安全（）〉信息安全保障（） 〉

网络空间安全信息安全保障（：）

 中国：中办发  号文《国家信息化领导小组关于加强信息安全保障工作的意见》，

是信息安全保障工作的纲领性文件。

 信息安全的特征： 是系统的安全；动态的安全；无边界的安全；非传统的安全。

信息安全的内因：信息系统的复杂性（过程复杂，结构复杂，应用复杂）。

信息安全的外因：人为和环境的威胁（威胁和破坏）。

1

）生命周期：计划组织、开发采购、实施交付、运行维护、废弃；

）保障要素：技术、工程、管理、人员；

）安全特性：保密性、完整性、可用性。

$ 风险与策略

）信息安全策略必须以风险管理为基础；

）最适宜的信息安全策略就是最优的风险管理策略；

）防范不足会造成直接损失；防范过多会造成间接损失；

）信息安全保障的问题就是安全的效用问题。即经济、技术、管理的可行性和有效性作出

权衡。

1

安全模型

 安全基础模型分为多级安全模型（ %%&'% 模型【侧重保密性】、%(

)% 模型【侧重实用性】）和多边安全模型（*+%% 模型）。

） 的安全技术模型

）基于资产的安全风险模型、

）基于风险管理的信息安全保障模型

）基于时间的 ,- 模型

思想：承认漏洞，正视威胁，适度防护，加强检测，落实反应，建立威慑

出发点：任何防护措施都是基于时间的，是可以被攻破的

核心与本质：给出攻防时间表

固定防守、测试攻击时间；固定攻击手法，测试防守时间

特别考虑人为的管理因素

 基本原理：

1

体系包括策略的制定、评估与执行等。（访问控制策略、加密通信策略、身份认证策略、备

份恢复策略等）

：即防护（）。通过传统的静态安全技术和方法提高网络的防护能力。包括访

问 控 制 技 术 （ & 、 .-/+&&& ） 、 信 息 加 密 技 术 、 身 份 认 证 技 术 （ 一 次 性 口 令 、

0$"1）等。

,：即检测（,）。利用检测工具，监视、分析、审计网络活动，了解判断网络系

统的安全状态；使安全防护从被动防护演进到主动防御，是整个模型动态性的体现。方法包

括实时监控、检测、报警。

则该系统防护、检测和反应的时间关系如下：

如果 ＞,＋-，那么  是安全的；

如果 ＜,＋-，那么 /＝3,＋-4－。

 安全目标：

依据 ,-模型构筑的网络安全体系，在统一安全策略的控制下，在综合运用防护工具基

础上，利用检测工具检测评估网络系统的安全状态，通过及时的响应措施将网络系统调整到

风险最低的安全状态。

）安全管理的持续性、安全策略的动态性。以实时监视网络活动、发现威胁和弱点来调整

和填补网络漏洞；

）可测即可控。通过经常对网络系统的评估把握系统风险点，及时弱化甚至堵塞系统的安

设施这四个信息安全保障领域。在此基础上的多层防护叫“深度防护战略”（,

,*6） 7

信息安全实践

美国