网络安全评估和安全法规.ppt

1、第第11 11章章 网络安全评估和安全法规网络安全评估和安全法规11.1 11.1 安全评估的国际通用准则安全评估的国际通用准则11.2 11.2 安全评估的国内通用准则安全评估的国内通用准则11.1 11.1 安全评估的国际通用准则安全评估的国际通用准则11.1.1 可信计算机系统安全评估准则可信计算机系统安全评估准则 TCSEC将将计计算算机机系系统统的的安安全全划划分分为为4个个等等级级、8个级别。个级别。D类安全等级类安全等级 C类安全等级类安全等级 B类安全等级类安全等级 A类安全等级类安全等级 11.1.2 信息系统技术安全评估通用准则信息系统技术安全评估通用准则 国际通用准则（国

2、际通用准则（CC）是）是ISO统一现有多统一现有多种准则的结果，是目前最全面的评估准则。种准则的结果，是目前最全面的评估准则。CC认为安全的实现应构建在如下的层次框架之上认为安全的实现应构建在如下的层次框架之上（自下而上）。（自下而上）。（1）安全环境：使用评估对象时必须遵照的法律）安全环境：使用评估对象时必须遵照的法律和组织安全政策以及存在的安全威胁。和组织安全政策以及存在的安全威胁。（2）安全目的：对防范威胁、满足所需的组织安）安全目的：对防范威胁、满足所需的组织安全政策和假设声明。全政策和假设声明。（3）评估对象安全需求：对安全目的的细化，主）评估对象安全需求：对安全目的的细化，主要是一

3、组对安全功能和保证的技术需求。要是一组对安全功能和保证的技术需求。（4）评估对象安全规范：对评估对象实际实现或）评估对象安全规范：对评估对象实际实现或计划实现的定义。计划实现的定义。（5）评估对象安全实现：与规范一致的评估对象）评估对象安全实现：与规范一致的评估对象实际实现。实际实现。11.2 11.2 安全评估的国内通用准则安全评估的国内通用准则11.2.1 信息系统安全划分准则 国家标准国家标准GB17859-99是我国计算机信息系统安是我国计算机信息系统安全等级保护系列标准的核心，是实行计算机信息系全等级保护系列标准的核心，是实行计算机信息系统安全等级保护制度建设的重要基础。此标准将信统

4、安全等级保护制度建设的重要基础。此标准将信息系统分成息系统分成5个级别，分别是用户自主保护级、系个级别，分别是用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级和统审计保护级、安全标记保护级、结构化保护级和访问验证保护级。访问验证保护级。表11.1信息系统的5个级别第 一 级第 二 级第 三 级第 四 级第 五 级自主访问控制身份鉴别数据完整性客体重用审计强制访问控制标记隐蔽信道分析可信路径可信恢复 在在此此标标准准中中，一一个个重重要要的的概概念念是是可可信信计计算算基基（TCBTCB）。可可信信计计算算基基是是一一个个实实现现安安全全策策略略的的机机制制，包包括括硬硬件件、固固件

5、件和和软软件件，它它们们将将根根据据安安全全策策略略来来处处理理主主体体（例例如如：系系统统管管理理员员、安安全全管管理理员员和和用用户户等等）对对客客体体（例例如如：进进程程、文文件、记录和设备等）的访问。件、记录和设备等）的访问。11.2.2 信息系统安全有关的标准信息系统安全有关的标准 随着随着CCCC标准的不断普及，我国也在标准的不断普及，我国也在20012001年年发布了发布了GB/T 18336GB/T 18336标准，这一标准等同采用标准，这一标准等同采用ISO/IEC 15408-3ISO/IEC 15408-3：信息技术：信息技术 安全技术安全技术 信信息技术安全性评估准则息技术安全性评估准则