银行及相关金融服务信息安全标准体系

《银行及相关金融服务信息安全标准体系》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全标准介绍中国信息安全产品测评认证中心张利博士主要内容信息安全基础标准信息安全评估标准发展史通用评估准则（CC）PP和ST产生指南IATFSCC2标准化基础标准：标准是对重复性事物和概念所做的统一规定。它以科学、技术和实践的综合成果为基础，经有关方面协商一致，由主管部门批准，以特定的方式发布，作为共同遵守的准则和依据。强制性标准：保障人体健康、人身、财产安全的标准和法律、行政法规规定强制执行的标准；其它标准是推荐性标准。我国标准分四级：国家标准、行业标准、地方标准、企业标准。3国家标准：对需要在全国范围内统一的技术要求(含标准样

2、品的制作）。GB/TXXXX.X-200XGBXXXX-200X行业标准：没有国家标准，需要在全国某个行业范围内统一的技术要求。GA,SJ地方标准：没有国家标准、行业标准而又需要在省、自治区、直辖市范围内统一的工业产品的安全、卫生要求。DBXX/TXXX-200XDBXX/XXX-200X企业标准：对企业范围内需要统一的技术要求、管理要求和工作要求。QXXX-XXX-200X标准化基础4标准化基础标准化：为在一定的范围内获得最佳秩序，对实际的或潜在的问题制定共同的和重复使用的规则的活动实质：通过制定、发布和实施标准，达到统一。目的：获

3、得最佳秩序和社会效益。5标准化基础标准化三维空间国际级区域级国家级行业级地方级企业级人员服务系统产品过程管理应用技术机制体系、框架术语XYZX轴代表标准化对象，Y轴代表标准化的内容，Z轴代表标准化的级别。6标准化基础我国通行“标准化八字原理”：“统一”原理“简化”原理“协调”原理“最优”化原理7我国标准工作归口单位2001年10月11日成立国家标准化委员会信息技术标准委员会数据加密技术标准委员会2002年4月15日成立信息安全技术标准委员会8标准化基础采标：等同采用idt（identical）：指技术内容相同，没有或仅有编辑性修改，编

4、写方法完全相对应；修改采用MOD（modified）：与国际标准之间存在技术性差异，有编辑性修改，可能不采用部分条款非等效采用NEQ（notequivalent）：指技术内容有重大差异，只表示与国际标准有关。9IT标准化IT标准发展趋势(1)标准逐步从技术驱动向市场驱动方向发展。(2)信息技术标准化机构由分散走向联合。(3)信息技术标准化的内容更加广泛，重点更加突出，从IT技术领域向社会各个领域渗透，涉及教育、文化、医疗、交通、商务等广泛领域，需求大量增加。(4)从技术角度看，IT标准化的重点将放在网络接口、软件接口、信息格式、安全等

5、方面，并向着以技术中立为前提，保证互操作为目的方向发展。10信息安全标准化组织ISOJTC1SC27，信息技术-安全技术ISO/TC68银行和有关的金融服务SC2，安全管理和通用银行运作；SC4，安全及相关金融工具；SC6，零售金融服务。JTC1其他分技术委员会：SC6—系统间通信与信息交换，主要开发开放系统互连下四层安全模型和安全协议，如ISO9160、ISO/IEC11557。SC17—识别卡和有关设备，主要开发与识别卡有关的安全标准ISO7816SC18—文件处理及有关通信，主要开发电子邮件、消息处理系统等。SC21—开放系统互

6、连，数据管理和开放式分布处理，主要开发开放系统互连安全体系结构，各种安全框架，高层安全模型等标准，如:ISO/IEC7498-2、ISO/IEC9594-1至8。SC22—程序语言，其环境及系统软件接口，也开发相应的安全标准。SC30—开放式电子数据交换，主要开发电子数据交换的有关安全标准。如ISO9735-9、ISO9735-10。11信息安全标准化组织（续）IECTC56可靠性；TC74IT设备安全和功效；TC77电磁兼容；CISPR无线电干扰特别委员会ITU前身是CCITT消息处理系统目录系统(X.400系列、X.500系列)安

7、全框架安全模型等标准12信息安全标准化组织（续）IETF（170多个RFC、12个工作组）PGP开发规范(openpgp)；鉴别防火墙遍历(aft)；通用鉴别技术(cat)；域名服务系统安全(dnssec)；IP安全协议(ipsec)；一次性口令鉴别(otp)；X.509公钥基础设施(pkix)；S/MIME邮件安全(smime)；安全Shell(secsh)；简单公钥基础设施(spki)；传输层安全(tls)Web处理安全(wts)13信息安全标准化组织（续）美国ANSINCITS-T4制定IT安全技术标准X9制定金融业务标准X12

8、制定商业交易标准NIST负责联邦政府非密敏感信息FIPS-197DOD负责涉密信息NSA国防部指令（DODI）（如TCSEC）14信息安全标准化组织（续）IEEESILS（LAN/WAN）安全P1363公钥密码标准ECM