CISP信息安全工程.pptx

1、信息安全工程信息安全工程 培训机构培训讲师课程内容课程内容2信息安全工程理论背景知识体知识域信息安全工程信息安全工程基础理论基础理论信息安全工程基础理论信息安全工程基础理论简介简介信息安全工程信息安全工程概述概述知识子域课程内容课程内容3信息安全工程方法知识体知识域信息系统安全信息系统安全工程生命周期工程生命周期SSE-CMM体系与原理体系与原理安全工程过程安全工程过程安全工程能力安全工程能力信息安全工程信息安全工程监理监理安全工程安全工程能力能力成熟度模型成熟度模型知识子域发掘信息保护需求发掘信息保护需求开展详细安全设计开展详细安全设计实施系统安全实施系统安全确定系统安全要求确定系统安全要求

2、设计系统设计系统安全体系结构安全体系结构评估评估信息保护的有效性信息保护的有效性监理阶段监理阶段目标目标与各方职责与各方职责信息安全工程信息安全工程监理模型监理模型知识子域ISSE过程过程学习目标学习目标v了解信息安全工程的基本概念v掌握系统安全工程能力成熟度模型（SSE-CMM），能应用SSE-CMM指导开展信息安全工程建设、改进安全服务质量4知识域知识域：信息安全：信息安全工作理论背景工作理论背景v知识域：信息安全工程基础知识域：信息安全工程基础知识子域：信息安全工程概述了解信息安全工程的重要性和意义（政策要求和案例）了解信息安全工程的基本原则了解系统工程、项目管理、质量管理、能力成熟度基

3、本概念5信息安全工程信息安全工程概述概述v信息安全工程是信息安全保障的重要组成部分，但是却被广泛忽视等级保护技术、管理传统风险评估资产威胁脆弱性v从普通管理者的角度看信息安全状况是“重技术、轻管理”；从一般安全人员看信息安全是“重应用、轻安全”；从专业人员的角度看信息安全的状况是“重要素、轻过程”，情况更严重。v信息安全工程就是要解决信息系统生命周期的“过程安全”问题6信息化建设中的案例信息化建设中的案例vA公司开展家用电话自助刷卡支付业务v用户可以通过其网站查询个人付款信息v第三方安全测平发现该网站存在SQL注入漏洞，可以泄露用户交易信息7信息化建设中的案例（续）信息化建设中的案例（续）v当

4、初外包开发此网站的公司已经倒闭vA公司技术人员对网站系统开发情况不了解，没有能力消除该漏洞。公司董事会研究最终决定，为保护用户隐私，暂时不再为用户提供网上交易信息查询服务！8需要牢记在心的原则需要牢记在心的原则v信息安全工程是信息化建设必要的有机组成部分v信息安全建设必须同信息化建设“同步规划、同步实施”v“重功能、轻安全”，“先建设、后安全”都是信息化建设的大忌v信息安全工程是信息安全保障工作中不可或缺的环节9支撑信息安全工程的支撑信息安全工程的理论基础理论基础v系统工程思想v项目管理方法v质量管理体系v能力成熟度模型10什么是系统工程什么是系统工程v钱学森：“系统工程是组织管理系统规划、研

5、究、制造、试验、使用的科学方法，是一种对所有系统都具有普遍意义的科学方法”v系统工程不是基本理论，也不属于技术实现，而是一种方法论v系统工程不同于一般的工程技术学科，如水利工程、机械工程等“硬”工程；系统工程偏重于工程的组织与经营管理一类“软”科学的研究v一个系统的功能由要素结构环境组成，在要素和环境不变的情况下就要在结构上下功夫11系统工程基础系统工程基础v霍尔三维结构图系统指标设计知识维（专业、行业）逻辑维（工作步骤）时间维（阶段、进程）工程技术医学社会科学规划计划系统开发制造安装运行更新明确问题系统综合系统分析决策最优化实施计划12项目管理项目管理v所谓项目管理，就是项目的管理者，在有限

6、的资源约束下，运用系统的观点、方法和理论，对项目涉及的全部工作进行有效地管理。即从项目的投资决策开始到项目结束的全过程进行计划、组织、指挥、协调、控制和评价，以实现项目的目标。v可以说项目管理是系统工程思想针对具体项目的实践应用。13质量管理基本概念质量管理基本概念v质量质量指产品或服务，满足规定或需要的特征。它既包括有形产品也包括无形产品；既包括产品内在的特性、也包括产品外在的特性。即包括了产品的适用性和符合性的全部内涵。v质量控制（QC）是对生产的全部过程加以控制，是面的控制，不是点的控制。为保证产品过程或服务质量，必须采取一系列的作业、技术、组织、管理等有关活动，这些都属于质量控制的范畴

7、 v质量管理（QM）质量管理是指为了实现质量目标，而进行的所有管理性质的活动。在质量方面的指挥和控制活动，通常包括制定质量方针和质量目标以及质量策划、质量控制、质量保证和质量改进。14质量管理规范和主要内容质量管理规范和主要内容vISO9000族标准并不是产品的技术标准，而是针对组织的管理结构、人员、技术能力、各项规章制度、技术文件和内部监督机制等一系列体现组织保证产品及服务质量的管理措施的标准。v具体地讲ISO9000族标准就是在以下四个方面规范质量管理：1.机构：标准明确规定了为保证产品质量而必须建立的管理机构及职责权限。2.程序：组织的产品生产必须制定规章制度、技术标准、质量手册、质量体

8、系、操作检查程序，并使之文件化。3.过程：质量控制是对生产的全部过程加以控制，是面的控制，不是点的控制。从根据市场调研确定产品、设计产品、采购原材料，到生产、检验、包装和储运等，其全过程按程序要求控制质量。并要求过程具有标识性、监督性、可追溯性。4.总结：不断地总结、评价质量管理体系，不断地改进质量管理体系，使质量管理呈螺旋式上升。15能力成熟度模型的概念能力成熟度模型的概念vCMM Capability Maturity Model现代统计过程控制理论表明通过强调生产过程的高质量和在过程中组织实施的成熟性可以低成本地生产出高质量产品；所有成功企业的共同特点是都具有一组严格定义、管理完善、可测

9、可控从而高度有效的业务过程；CMM模型抽取了这样一组好的工程实践并定义了过程的“能力”；16能力成熟度模型的应用能力成熟度模型的应用CMM能力成熟模型SW-CMM软件能力成熟模型SE-CMM系统工程能力成熟模型SSE-CMM信息系统安全工程能力成熟模型SSAM信息系统安全工程能力成熟性模型评估方法评定软件工程传统制造业安全工程。17信息安全工程的有关标准背景信息安全工程的有关标准背景18知识域：知识域：安全工程能力成熟度模型安全工程能力成熟度模型v知识子域：SSE-CMM体系与原理了解SSE-CMM的适用范围了解过程、过程区和过程能力的概念了解域维/安全过程区与能力维/公共特征的关系v知识子域

10、：安全工程过程了解过程类、过程区和基本实施的关系理解风险过程、工程过程和保证过程的含义了解各个安全工程过程区的含义v知识子域：安全工程能力理解能力级别、公共特征和通用实施的关系理解各个信息安全工程能力级别的含义 19安安全工程能力成熟度模全工程能力成熟度模型的价值型的价值vSSE-CMM为信息安全工程过程改进建立一个框架模型v通过SSE-CMM的学习了解信息安全工程通常要实施哪些活动？评价和改进这些过程指标是什么？20什么是什么是SSE-CMMSSE-CMMv系统安全工程能力成熟模型（Systems Security Engineering Capability Maturity Model）

11、v描述了一个组织组织的系统安全工程过程系统安全工程过程必须包含的基本特征基本特征这些特征是完善的安全工程保证保证也是系统安全工程实施的度量标准还是一个易于理解的评估系统安全工程实施的框架21SSE-CMMSSE-CMM的作用的作用v帮助获取组织（系统、产品的采购方）选择合格的投标者，以统一的标准对安全工程过程进行监管提高工程实施质量，减少争议v帮助工程组织（系统开发和集成商）通过可重复、可预测的过程减少返工、提高质量、降低成本；改进安全工程实施能力；获得证明安全工程实施能力的资质v帮助认证评估组织获得独立于系统和产品的可重用的过程评估标准用来确定被评估者将安全工程集成在系统工程之中，并且其系统

12、安全工程是可信的22SSE-CMMSSE-CMM覆盖范围覆盖范围vSSE-CMM涉及到可信产品或者系统整个生命周期的安全工程活动，其中包括概念定义、需求分析、设计、开发、集成、安装、运行、维护和终止。v覆盖整个组织的活动，包括管理、组织和工程活动等，而不仅仅是系统安全的工程活动；v它不是孤立了工程，而是与其它工程并行且相互作用，包括企业工程、软件工程、硬件工程、基建工程、人力资源工程、通信工程、测试工程、系统管理等；v与其它组织的相互作用，涉及开发者、产品供应商、集成商、采购者、安全评估组织、资质评估认证组织、咨询服务商等；vSSE-CMM可应用于所有类型和大小的安全工程机构，如商务机构、政府

13、机构和学术机构。23SSE-CMMSSE-CMM发展历史发展历史v1993年4月美国国家安全局（NSA）开始酝量v1996年10月出版了SSE-CMM模型的第一个版本，1997年4月出版了评定方法的第一个版本。v从1996年6月到1997年6月进行许多实验项目 v1999年4月出版了第二版。v2002年，ISO/IEC IS 21827v目前，SSE-CMM V3.0v与其配套的评估方法，SSAM,系统安全工程能力成熟度模型评估方法24SSE-CMMSSE-CMM体系结构体系结构能力维（Capability Dimension）域维（Domain Dimension）公共特征2.4跟踪执行PA

14、 05评估脆弱性两维模型：“域维”由所有定义的安全工程过程区构成。“能力维”代表组织实施这一过程的能力。25域维域维过程类域维Base PracticesBase PracticesBase PracticesBase PracticesBase Practices基本实施Process AreasProcess AreasProcess Areas过程区BP,Base Practice。域维的最小单位。如果选择执行其所属的PA，则必须执行它。共129个PA，Process Area由一些基本实施构成，这些BP共同实施以达到该PA的目标。共22个PA被分为安全工程类、组织管理类和项目管理类。2

15、6能力维能力维能力维能力级别GP，Generic Practice 管理、度量和制度方面的活动，可用于决定所有活动的能力水平CF，Common Feature由GP组成的逻辑域由公共特征组成的过程能力水平的级别划分。0-5共6个级别公共特征通用实践27SSE-CMMSSE-CMM能力成熟度评价能力成熟度评价v通过设置这两个相互依赖的维，SSE-CMM在各个能力级别上覆盖了整个安全活动范围。v给每个PA赋予一个能力级别评分，所得到的两维图形便形象地反映一个工程组织整体上的系统安全工程能力成熟度，也间接的反映其工作结果的质量及其安全上的可信度。543210PA01PA02PA03PA04PA05能

16、力级别安全过程区域28域维域维-22-22个个PAPA分成三类分成三类v系统安全工程涉及到三个过程类工程过程类（Engineering）组织过程类（Organization）项目过程类（Project）v工程过程类中包含11个过程区域，描述了系统安全工程中实施的与安全直接相关的活动v组织和项目过程类中包含11个过程区域，并不直接同系统安全相关，但常与11个工程过程区域一起用来度量系统安全队伍的过程能力成熟度29域维域维-工程类工程类PAPA核实和确认安全（Verify and Validate Security）PA11明确安全需求（Specify Security Needs）PA10提供安全输入（Provide Security Input）PA09监视安全态势（Monitor Security Posture）PA08协调安全（Coordinate Security）PA07建立保证论据（Build Assurance Argument)PA06评估脆弱性（Assess Vulnerability）PA05评估威胁（Assess Threat）PA04评估安全风险（Assess