信息安全定义#

• ISO 定义：为数据处理系统建立和采取技术、管理的安全保护，保护计算机硬件、软件、数据不因偶然或恶意原因收到破坏、更改、泄漏。
• 美国定义：防止未经授权的访问、使用、披露、中断、修改、检查、记录和破坏信息。
• 欧盟定义：在既定秘级条件下，网络与信息系统抵御意外事件或恶意行为的能力。

信息安全问题#

• 狭义：以 IT 技术为主的安全范畴
• 广义：
  • 跨学科的安全问题
  • 根本目的保证组织业务可持续运行
  • 建立在整个生命周期中关联的人、事、物，综合考虑人、技术、管理和过程控制
  • 要考虑成本问题

信息安全问题根源#

• 内因：信息系统的复杂性
• 外因：环境因素（互联网环境）、人为因素

信息安全特征#

• 系统性：技术、管理、人等多个方面
• 动态性：安全威胁和防护措施不断变化
• 无边界：开放、连接的特性
• 非传统：与传统安全不同（不可见性）
  • 威胁情报：为管理人员提供行动和制定决策的依据
  • 态势感知：建立在威胁情报的基础上，利用大数据和高性能计算为支撑，对未来网络威胁状态进行预判

信息安全属性#

从组织层面到人员层面再到物理层面（硬件、软件、通信），信息安全具有以下核心属性：

• 保密性
• 完整性
• 可靠性
• 真实性
• 不可否认性
• 可问责性

信息安全视角#

• 国家视角：网络战、关键基础设施保护（系统后门、信创国产化需求）、法律建设与标准化（网络安全法、等级保护、密码评测）等
  • 2003年7月《关于加强信息安全保障工作的意见》（中办发第27号文件）：积极防御、综合防范
• 企业视角：业务连续性、资产保护（成本）、合规性（等保密评）等
• 个人视角：隐私保护、个人资产保护、社会工程学

工业控制系统（ICS）安全风险#

• 管理控制：风险评估、规划、系统和服务采购、认证、认可和安全评价
• 操作控制（运维）
• 技术控制

云计算安全风险#

• 数据管理和访问失控风险：数据存储位置对用户失控、服务商的数据权限高于用户、用户无法有效监管服务商内部人员的非授权访问
• 数据管理责任风险
• 数据保护风险
• 云计算安全服务体系：云安全基础设施、云安全基础服务、云安全应用服务
• 虚拟化安全：云平台管理系统的安全、虚拟机之间的隔离

物联网安全#

• 技术架构：
  • 感知层：网关节点被控制、拒绝服务；接入节点标识、识别、认证和控制
  • 传输层：拒绝服务、欺骗
  • 支撑层：来自终端的虚假数据识别和处理、可用性保护、人为干预
  • 应用层：隐私保护、知识产权保护、取证、数据销毁

大数据安全#

• 价值：趋势分析
• 数据生命周期安全
• 技术平台安全

移动互联网（APP）安全#

• 系统安全
• 移动应用安全
• 个人隐私安全
• 安全策略：政策规范、应用分发管控、加强隐私保护

PDR 模型#

• 核心思想：承认漏洞、正视威胁，采取适度防护、加强检测工作、落实响应，建立对威胁的防护来保障系统安全
• 出发点：基于时间的可证明安全模型
  • 防护时间（攻破系统需要的时间）>检测时间+响应时间
• 局限性：实际上无法阻止攻击者进入（防护时间<<检测+响应时间）

PPDR 模型#

• 核心思想：承认攻击者可以进入系统，但可以及时的检测和响应就是安全
• 改进：在 PDR 模型基础上，增加了 策略 要素，形成 Policy（策略）、Protection（防护）、Detection（检测）、Response（响应）的完整模型

核心思想#

• 深度防御：通过多层防护机制来保障信息安全

核心要素#

• 人（核心）：安全管理、安全意识培训、组织管理、技术管理、操作管理
• 技术：防护、检测、响应、恢复
• 运维：风险评估、安全监控、安全审计、跟踪告警、入侵检测、响应恢复

焦点领域#

1. 保护网络基础设施
2. 保护区域边界：对进出某区域（物理或逻辑）的数据流进行有效控制与监视
   • 防火墙
   • 入侵检测
   • WAF（Web 应用防火墙）
3. 保护计算边界：使用信息保障技术确保数据在进离开或驻留在客户机和服务器时具有保密性完整性和可用性
   • 使用安全的操作系统：信创
   • 安全的应用程序
   • 主机入侵检测系统：EDR
   • 防病毒系统：EDR
   • 主机脆弱性扫描：漏扫
   • 文件完整性保护：密码机
4. 支持性基础设施：为安全保障服务提供一套相互关联的活动与基础设施
   • 密钥管理基础设施
   • 检测和响应基础设施：态势感知、日志审计等

安全原则#

• 保护多个位置：全网覆盖
• 分层防御：多层防护
• 安全强健性：分级保护

特点#

• 全方位防御：纵深防御将系统风险降到最低
• 系统工程：信息安全不是纯粹技术问题、而是复杂的系统工程
• 人的重要性：提出人这一要素的重要性，人即管理

基本概念#

1. 信息系统：由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

2. 信息系统安全风险：由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生的可能性及其造成的影响。

3. 信息系统安全保障：在信息系统整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提升信息安全保障要求，确保信息系统的保密性、完整性和可用性，保证安全风险降低到可接受的程度，从而保障系统能顺利实现组织机构的使命。

4. 信息系统保护轮廓（ISPP）：根据组织机构使命和所处的运行环境，从组织机构的策略和风险的实际情况出发，对具体信息系统安全保障需求和能力进行描述。表达一类产品或系统的安全目的和要求。ISPP是从信息系统的所有者的角度规范化、结构化的描述信息系统安全保障需求。

5. 信息系统安全目标（ISST）：根据ISPP编制的新系统安全保障方案。某一特定产品或系统的安全需求。ISST从信息系统安全保障的建设方的角度制定的信息系统安全保障方案。

6. 评估模型：

   

   • 特点：
     • 将风险和策略作为信息系统安全保障的基础和核心
     • 强调安全贯彻信息系统生命周期
     • 强调综合保障的观念
   • 信息安全保障要素：
     • 信息安全技术：密码、访问控制、审计监控、网络安全、操作系统、数据库、安全漏洞与恶意代码、安全开发等
     • 信息安全管理：信息安全管理体系、风险管理
     • 信息安全工程：系统和应用开发、集成、操作、管理、维护和进化以及产品开发、交付和升级
     • 信息安全人才：安全意识、技能培训、人员管理

7. 信息安全保障解决方案：

   • 依据：以风险评估和法规要求得出的安全需求为依据
     • 考虑系统的业务功能和价值
     • 考虑哪些系统风险是必须处置的，哪些是可接受的
   • 实施要求：贴合实际具有可实施性
     • 可接受的成本
     • 合理的进度
     • 技术可实现
     • 组织管理上是否可行

SABSA 舍伍德商业应用安全架构#

• 背景层（业务视图）：业务人员描述业务需求
• 概念层（架构视图）：安全架构师针对业务需求设计所需的安全能力
• 逻辑层（设计视图）：安全设计方案，确定需要哪些安全服务（对应招标文件）
• 物理层（建设视图）：安全建设方案，如何提供需要的安全服务（对应投标文件）
• 组件层（实施者视图）：具体的实施方案
• 运营层（服务和管理视图）：服务方案和运营管理