1、信息安全工程信息安全工程讲师姓名 机构名称版本：4.0课程内容课程内容信息安全保障信息安全保障信息安全工程信息安全工程知识域知识域知识子域知识子域知识子域：信息安全工程知识子域：信息安全工程v信息安全工程基础 理解信息安全工程的基本概念及信息安全工程的必要性；v信息安全工程理论基础 了解系统工程思想、项目管理方法、质量管理体系、能力成熟度模型等信息安全工程基础理论；理解能力成熟度模型的基本思想及相关概念；什么是安全工程什么是安全工程v采用工程的概念、原理、技术和方法，来研究、开发、实施与维护信息系统安全的过程v信息化建设活动中有关加强系统安全性活动的集合v良好安全工程的四个方面 策略 机制 保
2、证 动机为什么需要安全工程为什么需要安全工程v信息系统安全保障要素之一v解决信息系统生命周期的“过程安全”问题 信息安全是信息化的有机组成部分，必须与信息化同步规划、同步建设 信息系统的建设是一项系统工程，具有复杂性，安全工程是以最优费效比提供并满足安全需求“建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。”-中华人民共和国网络安全法信息安全工程理论基础信息安全工程理论基础v系统工程v项目管理v质量管理v能力成熟度模型信息安全工程理论基础信息安全工程理论基础-系统工程系统工程v什么是系统工程 以大型复杂系统为研究对象，按一定目的进
3、行设计、开发、管理与控制，以期达到总体效果最优的理论与方法v系统工程的概念 系统工程不是基本理论，也不属于技术实现，而是一种方法论 系统工程是一门高度综合性的管理工程技术，不同于一般的工程技术学科，如水利工程、机械工程等“硬”工程；系统工程偏重于工程的组织与经营管理一类“软”科学的研究信息安全工程理论基础信息安全工程理论基础-系统工程系统工程v霍尔三维结构图 时间维 逻辑维 知识维信息安全工程理论基础信息安全工程理论基础-项目管理项目管理v什么是项目管理 项目管理者在有限的资源约束下，运用系统的观点、方法和理论，对项目涉及的全部工作进行有效管理 项目管理是系统工程思想针对具体项目的实践应用v项
4、目管理的知识领域 范围、时间、成本、质量、人力资源、沟通、风险、采购和集成v项目的过程控制 启动、计划、执行、控制和收尾信息安全工程理论基础信息安全工程理论基础-质量管理质量管理v质量管理基本概念 质量：是一组固有特性满足要求的程度 治理管理：为了实现质量目标，而进行的所有管理性质的活动v质量管理体系 指挥和控制一个组织质量相关的管理体系 国际标准ISO9000系列ISO9000ISO9000规范质量管理的四个方面规范质量管理的四个方面v机构 标准明确规定了为保证产品质量而必须建立的管理机构及职责权限v程序 对组织的产品生产必须制定规章制度、技术标准、质量手册、质量体系和操作检查程序，并使之文
5、件化v过程 质量控制是对生产的全部过程加以控制，是面的控制，不是点的控制v总结 不断地总结、评价质量管理体系，不断地改进质量管理体系，使质量管理呈螺旋式升信息安全工程理论基础信息安全工程理论基础-能力成熟度模型能力成熟度模型v能力成熟度模型（Capability Maturity Model）一种衡量工程实施能力的方法 建立在统计过程控制理论基础上的v能力成熟度模型基础 现代统计过程控制理论表明通过强调生产过程的高质量和在过程中组织实施的成熟性可以低成本地生产出高质量产品；所有成功企业的共同特点是都具有一组严格定义、管理完善、可测可控从而高度有效的业务过程；CMM模型抽取了这样一组好的工程实践
6、并定义了过程的“能力”；能力成熟度模型基本思想能力成熟度模型基本思想v工程实施组织的能力成熟度等级越高，系统的风险越低vCMM为工程的过程能力提供了一个阶梯式的改进框架能力成熟模型SW-CMM软件能力成熟模型SE-CMM系统工程能力成熟模型SSE-CMM信息系统安全工程能力成熟模型软件工程传统制造业安全工程知识子域：信息安全工程知识子域：信息安全工程v信息系统安全工程 了解信息系统安全工程（ISSE）与系统工程(SE)工作内容的区别；理解确定信息保护需求、确定系统安全要求、设计系统安全架构、开发详细安全设计、实现系统安全、评估信息保护有效性这六个阶段主要工作内容。信息系统安全工程（信息系统安全
7、工程（ISSEISSE）v美国军方在20世纪90年代初发布的信息安全工程方法v通过实施系统工程过程来满足信息保护的需求v有助于开发可满足用户安全需求的系统产品和过程解决方案信息系统安全工程流程信息系统安全工程流程v将系统工程思想应用于信息安全领域，在系统生命周期的各阶段充分考虑和实施安全措施系统工程实施过程信息安全工程实施过程发掘信息保护需求发掘信息保护需求v了解组织机构的业务和使命v确定信息系统面临的风险v识别适用的保护策略合理性合理性符合性符合性安全工程建安全工程建设的需求从设的需求从哪里来？哪里来？发掘信息保护需求发掘信息保护需求-主要工作主要工作v界定范围v分析业务、使命v识别约束 法
8、律 法规 政策 合同v识别风险v记录需求v获得客户对需求的认可任务信息风险约束信息保护策略系统保护需求系统需求发掘保护需求发掘保护需求-识别风险识别风险v识别风险是发掘信息保护需求阶段工作的关键 一切工程皆有需求，需求与风险的一致性越强，则需求越准确 信息安全工程的需求应从风险评估结果分析中得出v识别风险工作方式 与客户进行沟通，并结合安全工程师专业知识 为每一个信息域指定信息受到的危害的度量准则和可能的危害事件 服务的强度要与信息威胁的等级相适应确定系统安全要求确定系统安全要求v考虑一个或多个可满足客户表达的信息保护需求，形成解决方案集v解决方案集定义以下概念：系统安全背景 安全操作概念 系
9、统安全要求（基线）系统安全背景系统安全背景v定义系统边界和与SE的接口v为目标或外部系统分配安全功能v识别目标和外部系统之间的数据流以及与这些流相关联的保护需求v信息管理需求和信息保护需求分配给目标系统和外部系统我们保障的目标是：业务安全，我们保障的目标是：业务安全，而不是简单的而不是简单的IT安全安全安全操作概念安全操作概念v用户的角度描述了系统在支持任务时将执行哪些信息管理和信息保护功能v确定任务或业务需求对其他系统及其提供的产品和服务的依赖高风险高风险低风险低风险系统安全要求系统安全要求v规定出系统必须完成的事情 明确定义功能要求（不考虑其设计或实现）包括数量（多少）、质量（多好）、覆盖
10、（多远）、时间表（何时和多长）、可用性（多久）等设计系统安全体系结构设计系统安全体系结构v完成安全功能的分析和分配v主要活动 设计并分析系统安全体系结构 向体系结构分配安全服务 选择安全机制类别24设计系统安全体系结构设计系统安全体系结构v根据安全需求有针对性地设计安全措施是非常必要的 安全设计要依据安全需求 安全设计要具备可行性和一定的前瞻性 达到风险需求设计的一致性和协调性25开发详细安全设计开发详细安全设计v做出合理的设计决策v阶段的主要活动 进行均衡取舍研究考虑优先级、成本、进度、性能以及残余安全风险 定义系统安全设计元素向系统安全设计元素分配安全机制识别备选的商用或政府所提供的现有安
11、全产品，并识别需要定制的安全产品检验并最终确定设计元素和系统接口，包括内部及外部接口制定安全规范，如编制安全编码规范等26信息安全工程实施信息安全工程实施-实现系统安全实现系统安全v使系统从设计转入运行 获取、集成、配置、测试、编制文档和培训v阶段活动 系统获取（选择特定产品集成到安全解决方案中）系统测试27风险风险需求需求设计设计实施实施评估信息保护有效性评估信息保护有效性v活动跨越了整个ISSE过程v信息安全工作需要覆盖系统全生命周期 信息安全工作不是一劳永逸的，需要在全生命周期予以重视 要与风险管理、安全保障等思想相结合，综合认识信息安全问题是覆盖全生命周期v持续的风险评估和风险控制是保
12、障系统安全的必要工作 持续的风险评估是信息安全保障的一项基础性工作 持续的风险评估为新的安全决策和需求提供重要依据28支持认证和认可的活动支持认证和认可的活动29知识子域：信息安全工程知识子域：信息安全工程v安全工程能力成熟度模型 理解安全工程能力成熟度模型及域维、能力维相关概念；掌握风险过程包括的评估威胁、评估脆弱性、评估影响及评估安全风险这四个过程区域及其基本实施；掌握工程过程包括的确定安全需求、提供安全输入、管理安全控制、监控安全态势及协调安全五个过程区域及其基本实施；掌握保证过程中验证和证实安全及建立保证论据两个过程区域及其基本实施；掌握05级不同成熟度级别的应具有的公共特征；系统安全
13、工程能力成熟度模型系统安全工程能力成熟度模型v什么是系统安全工程能力成熟模型（SSE-CMM）一种衡量SSE实施能力的方法 为信息安全工程过程改进建立一个框架模型vSSE-CM描述了一个组织的系统安全工程过程系统安全工程过程必须包含的基本特征基本特征 这些特征是完善的安全工程保证保证 也是系统安全工程实施的度量标准 还是一个易于理解的评估系统安全工程实施的框架31SSE-CMMSSE-CMM的作用的作用v获取组织（系统、产品的采购方）帮助选择合格的投标者，以统一的标准对安全工程过程进行监管提高工程实施质量，减少争议v工程组织（系统开发和集成商）通过可重复、可预测的过程减少返工、提高质量、降低成
14、本；改进安全工程实施能力；获得证明安全工程实施能力的资质v认证评估组织 获得独立于系统和产品的可重用的过程评估标准，用来确定被评估者将安全工程集成在系统工程之中，并且其系统安全工程是可信的32SSE-CMMSSE-CMM体系结构体系结构v“域维”由所有定义的安全工程过程区构成v“能力维”代表组织实施这一过程的能力能力维（Capability Dimension）域维（Domain Dimension）公共特征2.4跟踪执行PA 05评估脆弱性33域维域维-过程区域过程区域v过程区域（PA，Process Area）过程区域是过程的一种单位单位v基本实施（BP，Base Practice）过程区
15、域由BP组成 BP是强制实施v过程类 SSE-CMM包含22个PA，分为工程、项目、组织三类过程类Base PracticesBase PracticesBase PracticesBase PracticesBase Practices基本实施Process AreasProcess AreasProcess Areas过程区域34能力维能力维-过程能力过程能力v过程能力（Process Capability）对过程控制程度的衡量方法，采用成熟度级别划分v过程能力的作用 衡量组织达到过程目标的能力 成熟度低，成本、进度、功能和质量都不稳定 成熟度高，达到预定的成本、进度、功能和质量目标的就越
16、有把握能力维能力级别GP，Generic Practice 管理、度量和制度方面的活动，可用于决定所有活动的能力水平CF，Common Feature由GP组成的逻辑域由公共特征组成的过程能力水平的级别划分。0-5共6个级别公共特征通用实践35SSE-CMMSSE-CMM能力成熟度评价体系能力成熟度评价体系v通过设置这两个相互依赖的维，SSE-CMM在各个能力级别上覆盖了整个安全活动范围。v给每个PA赋予一个能力级别评分，所得到的两维图形便形象地反映一个工程组织整体上的系统安全工程能力成熟度，也间接的反映其工作结果的质量及其安全上的可信度。543210PA01PA02PA03PA04PA05能
17、力级别安全过程区域36域维域维-SSE-CMM-SSE-CMM的过程控制的过程控制v工程类 11个PA，描述了系统安全工程中实施的与安全直接相关的活动v组织和项目过程类 11个PA，并不直接同系统安全相关，但常与11个工程过程区域一起用来度量系统安全队伍的过程能力成熟度核实和确认安全PA11明确安全需求PA10提供安全输入PA09监视安全态势PA08协调安全PA07建立保证论据PA06评估脆弱性PA05评估威胁PA04评估安全风险PA03评估影响PA02管理安全控制PA01风险过程工程过程保证过程37工程类过程之间关系工程类过程之间关系v11个PA分为风险过程、工程过程、保证过程保证论据风险信
18、息产品或服务工程过程Engineering保证过程Assurance风险过程Risk38风险过程风险过程PA04：评估威胁威胁信息threat脆弱性信息vulnerability影响信息impact风险信息PA05：评估脆弱性PA02：评估影响PA03：评估安全风险39v调查和量化风险的过程PA04PA04：评估威胁：评估威胁v识别和描述系统面临的安全威胁及其特征 BP.04.01识别由自然因素所引起的有关威胁 BP.04.02识别由人为因素所引起的有关威胁 BP.04.03制定评判威胁的测度单位 BP.04.04评估威胁源的动机和能力 BP.04.05评估威胁事件出现的可能性 BP.04.0
19、6 监控威胁的变化40PA05PA05：评估脆弱性：评估脆弱性v识别和描述系统存在的脆弱性及其特征 BP.05.01选择识别和描述系统脆弱性的方法、技术和标准 BP.05.02识别系统存在的脆弱性 BP.05.03 收集与脆弱性特征有关的数据 BP.05.04 对脆弱性进行综合分析，评判脆弱性或脆弱性组合可能带来的危害 BP.05.05 监控脆弱性的变化41PA02PA02：评估影响：评估影响v识别和描述安全事件造成的影响 BP.02.01 对运行、业务或任务指令进行识别、分析和优先级排列 BP.02.02 识别系统资产 BP.02.03 选择用于评估影响的度量标准 BP.02.04 标识度量
20、标准以及（若需要）度量标准转换因子之间的关系 BP.02.05 识别影响 BP02.06 监控影响中发生的变化42PA03PA03：评估安全风险：评估安全风险v识别和描述系统面临的安全风险 BP.03.01 选择风险所依据的方法、技术和准则 BP.03.02 识别威胁/脆弱性/影响三组合（暴露）BP.03.03 评估与每个暴露有关的风险 BP.03.04 评估总体不确定性 BP.03.05 风险优先级排列 BP.03.06 监控风险的变化43工程过程工程过程v安全工程是一个包括概念、设计、实现、测试、部署、运行、维护、退出的完整过程。vSSE-CMM强调安全工程是一个大的项目队伍中的一部分，需
21、要与其它科目工程师的活动相互协调。PA10确定安全需求需求、策略等配置信息解决方案、指导等风险信息PA08监控安全态势PA07协调安全PA01管理安全控制PA09提供安全输入PA10PA10：确定安全需求：确定安全需求v本过程区域实现依赖的7项基本实施 BP.10.01 获得对顾客安全需求的理解 BP.10.02 识别可用的法律、策略、标准、外部影响和约束 BP.10.03 识别系统用途，以确定其安全关联性 BP.10.04 捕捉系统运行的安全视图 BP.10.05 捕捉高层的安全目标 BP.10.06 定义安全相关需求 BP.10.07 达成安全协议45PA09PA09：提供安全输入：提供安
22、全输入v此过程区域包括以下6项基本实施 BP.09.01 理解安全输入需求 BP.09.02 确定安全约束和需要考虑的问题 BP.09.03 识别安全解决方案 BP.09.04 分析工程可选方案的安全性 BP.09.05 提供安全工程指南 BP.09.06 提供运行安全指南46PA01PA01：管理安全控制：管理安全控制v此过程区域包括以下4项基本实施 BP.01.01 建立安全职责 BP.01.02 管理安全配置 BP.01.03 管理安全意识、培训和教育大纲 BP.01.04 安全服务及控制机制的管理47能力成熟度模型基本思想也是系统安全工程实施的度量标准成熟度高，达到预定的成本、进度、功
23、能和质量目标的就越有把握质量控制是对生产的全部过程加以控制，是面的控制，不是点的控制一种衡量SSE实施能力的方法良好安全工程的四个方面信息系统安全工程（ISSE）明确定义功能要求（不考虑其设计或实现）“建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。信息安全工程理论基础-能力成熟度模型信息安全工程的需求应从风险评估结果分析中得出04 监控安全防护措施的有效性信息管理需求和信息保护需求分配给目标系统和外部系统ISO9000规范质量管理的四个方面为每一个信息域指定信息受到的危害的度量准则和可能的危害事件PA08PA08：监控安全态势：
24、监控安全态势v此过程区域包括以下7项基本实施 BP.08.01 分析事件记录 BP.08.02 监视变化 BP.08.03 识别安全突发事件 BP.08.04 监控安全防护措施的有效性 BP.08.05 审核安全态势 BP.08.06 管理对安全突发事件的响应 BP.08.07 保护安全监视的记录数据48PA07PA07：协调安全：协调安全v此过程区域包括以下4项基本实施 BP.07.01 定义协调目标 BP.07.02 识别协调机制 BP.07.03 促进协调 BP.07.04 协调安全决定和建议49保证过程保证过程v保证是指安全需要得到满足的信任程度vSSE-CMM的信任程度来自于安全工程
25、过程可重复性的结果质量证据证据保证论据PA11验证和证实安全指定安全要求其他多个PAPA06建立保证论据50PA11PA11：验证和证实安全：验证和证实安全v此过程区域包括以下5项BP BP.11.01 识别验证和证实的目标 BP.11.02 定义验证和证实方法 BP.11.03 执行验证 BP.11.04 执行证实 BP.11.05 提供验证和证实的结果51PA06PA06：建立保证论据：建立保证论据v本过程区域包括以下5项基本实施 BP.06.01 识别保证目标 BP.06.02 定义保证策略 BP.06.03 控制保证证据 BP.06.04 分析证据 BP.06.05 提供保证论据52v
26、组织的过程管理和制度化能力的强弱能力级别：表示了过程的成熟性能力级别：表示了过程的成熟性计划执行规范化执行跟踪执行验证执行定义标准过程协调安全实施执行已定义的过程建立可测量的质量目标客观地管理过程的执行1非正规执行2计划与跟踪3充分定义4量化控制5连续改进执行基本实施改进组织能力改进过程的有效性公共特征未实施0能力级别能力级别能力级别-0-0级级v未实施级 没有公共特征 不能成功执行过程区域中的全部基本实施54如果某组织在某一过程区域的能力成熟度为0级，则该组织可能无法提供某一特定信息安全工程服务能力级别能力级别-1-1级级v非正规执行级 该级别过程区域的基本实施均被执行，但未经过严格的计划和
27、跟踪，而是基于个人的知识和努力 该级别包括一个公共特征执行基本实施所有BP以某种方式执行工作产品的一致性、性能和质量会因为缺乏适当控制而存在极大的差异55能力级别能力级别-2-2级级v规划和跟踪级 该级别包括四个公共特征：规划执行：分配资源、指定责任、提供工具、将规划形成文档规范化执行：使用标准和规程、进行配置管理跟踪执行：跟踪过程实施、采取修正措施验证执行：验证工作过程、验证工作产品56能力级别能力级别-3-3级级v充分定义级 该级别包括三个公共特征：定义标准化过程：制定标准化过程，从组织标准化过程中裁剪出针对特定需求的过程执行已定义过程：PA的实施使用充分定义的过程，对执行结果进行缺陷评审
28、，使用充分定义的数据协调安全实施：执行组内协调、执行组间协调、执行外部协调57能力级别能力级别-4-4级级v量化控制级 该级别包括两个公共特征：建立可测量的质量目标：为工作产品建立可测度的目标对执行情况实施客观管理：为工作过程能力建立量化测量和改进的标准58能力级别能力级别-5-5级级v持续改进级 该级别包括两个特征改进组织能力：建立过程有效性目标，持续改进标准过程改进过程有效性：进行因果分析，消除缺陷根源，持续改进已定义过程59SSE-CMMSSE-CMM评估方法（评估方法（SSAMSSAM）规划阶段范围评定计划评定准备阶段准备评定组分发调查表合并证物分析证物和调查表查表现场阶段领导简报/开幕式采访领导/专业人员分析数据确定调查结果产生排等级的轮廓管理记录工作结束报告阶段产生最终报告向发起者报告评定结果管理评定实物报告取得的经验教训60总结总结v安全工程的思想（能力成熟度模型）vISSE的六个阶段工作vSSE-CMM的体系架构 域维：工程类11个PA 能力维：成熟度05级61谢谢，请提问题！谢谢，请提问题！
