IT法规与信息化安全讲座

22
中国工程院院长徐匡迪
“没有安全的工程就是豆腐渣工程”
IT法规与信息安全
23
谁来保障信息安全？
（1）国家机关：公、保、机、盯、军......
公安局：立法、执法、监察 保密局：监察 机要局：监察 国安局：国家信息安全 解放军：信息对抗 密码委：密码、算法的管理
（2）机构和组织内部
主管领导、信息主管：政策落实、组织落实、措施到位（帅） 信息安全主管：技术保障、人员培训、应急响应 （将） 安全技术人员：维护、更新、支持、协作 （士） 单位普通用户：安全意识 （兵）
（3）个人
法律意识、安全意识
IT法规与信息安全 பைடு நூலகம்4
1.2 信息安全的威胁
1)威胁和攻击 威胁和攻击
(1)威胁
具有足够的能力和机会的实施者对一个目标系统的脆弱性的窥视和破坏。 ”黎叔“：威胁着口袋里的钱 “黑客”：威胁者信息系统
(2)攻击
法律：入侵行为完成、入侵者已经在目标网络内。 现实：实施者开始在目标上采取行动，即已经开始了攻击 扫描、嗅探、渗透——>权限、窃密、破坏
广义的信息安全”域“：
信息安全（内容） 网络安全（通信） 物理安全（载体） 人员安全（管理）
IT法规与信息安全 5
1.1 信息安全的含义
2) 信息安全的要素
机密性(Confidentiality)： 信息内容的保密性和隐私权 完整性(Integrity)： 信息是完整的并未遭受破坏 真实性(Authentication): 信息是可信任的并不被篡改 可用性(Availability)： 信息和资源的正常可用状态 可控性(Non-repudiation)：信息的收发可以监督和审查
IT法规与信息安全
14
1.1 信息安全的含义
5) 我国信息安全面临的突出问题
(1)国家和地方政府——法律和法规问题
法律和规范不健全，跟不上信息化发展的需要（与西方国家相比） 趋势：逐渐完善
IT法规与信息安全
15
与信息安全相关的法律、法规
法律：《宪法》、《人民警察法》、《刑法》、《治 安管理处罚条例》、《刑事诉讼法》、《国家安全 法》、《保守国家秘密法》、《行政处罚法》、《行 政诉讼法》、《行政复议法》、《国家赔偿法》、 《立法法》、《全国人大常委会关于维护互联网安全 的决定》等。 行政法规：国务院令147号《中华人民共和国计算机信 息系统安全保护条例》、国务院令195号《中华人民共 和国计算机信息网络国际联网管理暂行规定》、公安 部令33号 《计算机信息网络国际联网安全保护管理办 法》、国务院令273号《商用密码管理条例》、国务院 令291号《中华人民共和国电信条例》、国务院令292 号《互联网信息服务管理办法》、国务院令339号《计 算机软件保护条例》等。
IT法规与信息安全 25
1.2 信息安全的威胁
2)攻击者的种类 攻击者的种类——有哪些敌人？ 有哪些敌人？ 攻击者的种类 有哪些敌人
(1)兴趣驱使者
Hacker：职业人员和技术高手，钻研技术或挑战自我，带来精神的满足 Cracker：准职业人员，带有恶意企图，善于利用社会工程学 Script Guys：业余人员，使用工具兴风作浪，为数众多 他们没有明显的界限，多为民间个人或组织，可能长期潜伏在系统中，伺机而动。
IT法规与信息安全
19
1.1 信息安全的含义
5)信息化安全中的“5710失误” 信息化安全中的“ 失误” 信息化安全中的 失误
(1)终端用户的5个失误
打开来历不明的电子邮件 没有及时打安全补丁 下载并安装来历不明的软件 没有生成备份或测试备份 没有很好地进行网络隔离 ......
IT法规与信息安全
IT法规与信息安全 16
1.1 信息安全的含义
5) 我国信息安全面临的突出问题
(2)领导阶层——信息化安全管理问题
组织建设薄弱，权责不分明 制度不健全，领导程度不够 重技术轻管理：7分技术 vs. 3分管理 缺乏系统管理的思想，治标不治本
IT法规与信息安全
17
1.1 信息安全的含义
5) 我国信息安全面临的突出问题
IT法规与信息安全 28
1.2 信息安全的威胁
3)信息安全的威胁 信息安全的威胁
(1)威胁的根源：
互联网最初的”君子“协议：忽略了安全 互联网本身的特性：高度开放、高度互联、边界模糊、动态演化 软件本身的漏洞：设计开发的时候存在缺陷，易被利用而造成安全威胁 系统后门：安装、调试的方便，但是却容易被利用 人（最重要）：利益趋势、兴趣所然、遭受不公等
IT法规与信息安全
11
1.1 信息安全的含义
4) 信息安全涉及的内容
信息内容的安全：保护信息的保密性、真实性、完整性， 所使用的技术手段如数据加密、数字签名等。 作业和交易的安全：网络中的两个实体之间的信息交流不 被非法窃取、篡改和冒充，保证信息在通信过程中的真实性、 完整性、保密性和不可否认性。
IT法规与信息安全
6
通用模型（最小化原则）
可信第三方
通信信道
安全组件
IT法规与信息安全 7
基本原理（木桶原理）
信息系统安全设计规范 信息系统安全工程
网络脆弱性分析
防火墙 数据库
IDS
安全产品 网络陷阱 操作系统
IT法规与信息安全 8
1.1 信息安全的含义
3) 信息安全的特殊性
中国工程院何德全院士
IT法规与信息安全 2
1.信息安全及其威胁
WWW 什么是信息安全？ 谁来保障信息安全？ 信息安全面临的威胁有哪些？
IT法规与信息安全
3
信息时代?
人网合一 高度分布、边界模糊、层次欠清、动态演化
IT法规与信息安全
4
1.1 信息安全的含义
1) 信息安全的概念
信息安全概括地讲，根据保护目标的要求和环境的状况，信息网络和 信息系统的硬件、软件及其数据需要受到可靠的保护，通信、交易、 作业、访问得到有效保障和合理的控制，不受偶然的或者恶意的原因 而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不被 中断。
IT法规与信息安全 30
1.2 信息安全的威胁
3)信息安全的威胁 信息安全的威胁
(2)威胁的主要内容（续）：
拒绝服务攻击：利用网络协议的漏洞，对网络和服务器提供干扰，使合 法用户不能取得正常的服务。DOS/DDOD攻击 恶意代码：病毒、蠕虫、木马、垃圾邮件等。可能会破坏信息资源、影 响系统正常工作、泄密、干扰人的工作等等。 破坏网络、硬件设备、软件的可用性：序列号问题、DDOS攻击、后门、 恶意删除文件和数据等。
IT法规与信息化安全 IT法规与信息化安全
重庆市信息安全技术中心 胡海波 技术保障部部长、CISP、 技术保障部部长、CISP、CASTE
IT法规与信息安全
1
考试内容
第一部分 1.信息安全及其威胁 2.信息安全的实施及风险评估 3.信息安全技术 4.信息安全的信任基础设施 第二部分 5.与IT相关的法律 6.与IT相关的标准
(3)工作人员——安全意识淡薄
轻易地打开匿名邮件和附件 下载不可信的软件 从来不更改口令和密码 ......
IT法规与信息安全
18
1.1 信息安全的含义
5) 我国信息安全面临的突出问题
(4)信息产业——基础设施建设落后
硬件不硬：核心的交换设备、芯片（Cisco 、Intel...） 软件太软：重要的软件系统（Office、DBMS、中间件、OS...）
IT法规与信息安全
29
1.2 信息安全的威胁
3)信息安全的威胁 信息安全的威胁
(2)威胁的主要内容：
人为的失误：安全配置不当、安全意识不强、误操作、弱口令等 恶意攻击：主动攻击，中断、篡改、冒充、破坏 被动攻击，窃听、嗅探 软件漏洞和后门：开发设计时留下隐患，易被利用 Unicode、RPC缓冲区溢出等 非授权访问：访问控制策略不当（冒充、身份攻击、非法进入） 信息泄漏或丢失：传输介质、存储介质、社会工程 数据的完整性遭到破坏：数据被篡改、删除等
21
1.1 信息安全的含义
5)信息化安全中的“5710失误” 信息化安全中的“ 失误” 信息化安全中的 失误
(3)IT技术人员的10大失误
赤膊上阵（不设防、防御弱，但仍连接到互联网） 懒惰1（使用缺省的用户名和密码、不定期更换等等） 懒惰2（不定期检查更新漏洞） 懒惰3（不及时查杀病毒和更新病毒库） 技术单一（只侧重某一方面，没有整体的解决方案） 社会工程（密码记在纸张上、通过电话泄漏信息等） 备份策略不足，应急机制薄弱（出现问题后手忙脚乱） 没有达到最小化原则（开放不必要的服务和端口） 对防火墙等设备的策略不严格 没有对用户进行相关培训（根源） IT法规与信息安全
安全无绝对：信息安全不是0与1的关系，在两个对立面 的关系上要把握好“度”；“度”既包括比例关系，也包 括结构和顺序。 以人为本：把握“度”的问题就是组织管理和决策；组 织管理、决策的核心是人，人的因素贯穿在所有的关系中。 与时俱进：安全是一个过程，是动态演化的。
IT法规与信息安全
9
1.1 信息安全的含义
2.信息安全的实施及风险评估
HH 如何实施信息化安全？ 风险评估的作用和意义？
IT法规与信息安全
34
2.1 信息化安全的实施
1)信息化安全实施的含义
信息化安全的实施，需要建立信息化安全管理体系，对信息化安全进行风险 评估，决策选择一种合适的安全策略和安全解决方案，构建安全防范队伍和规 章制度，搭建安全体系的基本框架，保持监察、响应、维护和脆弱性测试处于 正常状态，形成完整的人、制度、技术相结合的信息化安全防范体系，它是一 个长期的、持续改进的过程。 基本要素 管理体系：信息安全是一项工程，其实施需要建立健全管理体系；（战略） 风险评估：量体裁衣，有的放矢。确定需要保的信息资产及策略；（战局） 安全策略：分析各种可能性，制定应对策略； （战术） 解决方案：从技术的角度出发，提出完整的解决方案和措施； （布阵） 队伍建设：构建安全防范队伍，作为人员保障； （练兵） 制度建设：制定完善的管理制度和控制、约束机制，保障安全； （军法） 应急响应：在出现问题时保证能及时响应并解决问题。 （战备）