第六讲_系统评估准则与安全策略

《第六讲_系统评估准则与安全策略》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、第8章系统评估准则与安全策略8.1系统评估准则8.2信息安全测评认证准则8.3安全管理的实施8.4制定安全策略8.5系统备份和紧急恢复8.6审计与评估8.7容灾技术及其典型应用8.8分析评价目录2信息管理与信息系统引例：9·11启示录——数据存储不容忽视现在社会中，业务的连续性对一个组织越来越重要，在组织中已不是IT一个部门的问题，而是整个企业生死攸关的问题。为保障组织的业务连续运作，企业或政府必须建立具有高可用性和灾难恢复能力的IT系统。3信息管理与信息系统8.1系统评估准则8.1.1可信计算机系统评估准则8.1.2信息技术

2、安全评估准则8.1.3国际通用准则8.1.4安全评估的国内通用准则4信息管理与信息系统8.1系统评估准则时间国别名称1985年12月美国可信计算机系统评估准则（TCSEC）1990年5月法、德、英、荷四国信息技术安全评估准则（ITSEC）1990年5月加拿大加拿大可信计算机产品评估准则（CTCPEC）1991年2月美国美国信息技术安全联邦准则（FC）1996年1月北美及欧盟通用信息技术安全评估准则（CC）1999年7月国际标准化组织ISO批准CC成为国际标准组织ISO/IEC15408-19995信息管理与信息系统8.1.1可

3、信计算机系统评估准则8.1系统评估准则安全等级名称功能D低级保护系统已被评估，但不能满足A到C级要求，最低级安全产品C1自主安全保护该级产品提供一些必须要知道的保护，用户和数据分离C2受控存取保护该级产品提供了比C1级更细的访问控制，可把注册过程、审计跟踪和资源分配分开B1标记性安全保护除了C2级的安全需求外，增加数据标号、目标的强制性访问控制以及正规或非正规的安全模型规范B2结构性保护该级保护建立在B1级上，具有安全策略的形式描述，更多的自由选择和强制性访问控制措施，验证机制强，并含有隐蔽通道分析。通常，B2级可以相对较好地

4、防止非法访问B3安全域该级覆盖了B2级的安全要求，并增加了下述内容：传递所有用户行为，系统防篡改，安全特点完全是健全的和合理的，安全信息之中不含有任何附加代码或信息，系统必须提供管理支持以及审计、备份和恢复方法。通常，B3级能够完全防止非法访问A1验证设计A1级与B3级的功能完全相同，但A1级的安全特点经过了更正式的分析和验证。A1级只适用于军事计算机系统超A1该级已经超出了当前的技术发展，有待进一步描述6信息管理与信息系统8.1.2信息技术安全评估准则8.1系统评估准则ITSEC准则TCSEC准则含义功能级可信赖等级分类等级

5、D非安全保护F1E1C1自主安全保护F2E2C2可控安全保护F3E3B1标记强制安全保护F4E4B2结构强制保护级F5E5B3强制安全区域保护F6E6A1验证设计安全保护超A1超出当前技术发展7信息管理与信息系统8.1.3国际通用准则1.通用信息技术安全评估准则8.1系统评估准则功能类名称族成员数量功能类名称族成员数量通信2识别和验证10保密性4可信安全功能的保护14资源分配3安全审计10TOE入口9可信路径3用户数据保护138信息管理与信息系统8.1.3国际通用准则1.通用信息技术安全评估准则8.1系统评估准则可信赖性类名称

6、族成员数量可信赖性类名称族成员数量配置管理3传递和操作2开发10引导文件2寿命周期支持4测试4脆弱性测验49信息管理与信息系统8.1.3国际通用准则2.标准的评价8.1系统评估准则10信息管理与信息系统8.1.4安全评估的国内通用准则1.用户自主保护级2.系统审计保护级3.安全标记保护级4.结构化保护级5.访问验证保护级8.1系统评估准则11信息管理与信息系统8.1.4安全评估的国内通用准则8.1系统评估准则第一级第二级第三级第四级第五级自主访问控制√√√√√身份鉴别√√√√√数据完整性√√√√√客体重用√√√√审计√√√√强

7、制访问控制√√√标记√√√隐蔽信道分析√√可信路径√√可信恢复√12信息管理与信息系统8.2信息安全测评认证准则8.2.1信息安全测评认证制度8.2.2安全产品控制8.2.3测评认证的标准与规范8.2.4中国测评认证标准与工作体系13信息管理与信息系统8.2.1信息安全测评认证制度1.信息安全测评认证制度的组成2.信息安全测评认证制度的重要性8.2.2安全产品控制8.2.3测评认证的标准与规范8.2信息安全测评认证准则14信息管理与信息系统8.2.4中国测评认证标准与工作体系1.测评认证标准2.测评工作体系8.2信息安全测评认

8、证准则15信息管理与信息系统8.3安全管理的实施8.3.1安全管理的类型8.3.2安全管理的原则8.3.3安全管理的基础内容16信息管理与信息系统8.3.1安全管理的类型1.系统安全管理2.安全服务管理3.安全机制管理4.OSI管理的安全8.3安全管理的实施17信息管理与信息