信息安全标准

9.
安全Shell (secsh)；
10. 简单公钥基础设施(spki)； 11. 传输层安全(tls) 12. Web处理安全 (wts)
16
我国信息安全标准体系
• • • • •
基础标准 环境与平台安全标准 安全管理标准 测评认证标准 实用产品标准
17
标准化工作

标准研究与开发
– 标准研究 – 标准开发
机房适宜的温度是15-30℃，见GB2887 4.4.1。
36

湿度对计算机信息系统安全的影响
– 高湿度造成导电小路 – 高湿度影响磁头高速运转，并使磁带打滑 – 低湿度造成的高静电电压，影响设备正常工作 – 静电噪声干扰电子线路
– 静电引起存储器中的信息丢失或错误
机房适宜的湿度是40%-70%，见GB2887 4.4.1
14
信息安全标准化组织（续）
• IEC
TC56 可靠性； TC74 IT设备安全和功效； TC77 电磁兼容； CISPR 无线电干扰特别委员会
• ITU
前身是CCITT 消息处理系统 目录系统(X.400系列、X.500系列) 安全框架 安全模型等标准
15
信息安全标准化组织（续）
• IETF（170多个RFC、12个工作组）

国家标准GB/T 9387.2-1995《信息处理系统
开放系统互连 基本参考模型 第2部分：安全 体系结构》（idt ISO 7498-2）

RFC 2401 因特网安全体系结构
22
安全框架标准

安全框架
ISO/IEC 10181-1~7
鉴别框架


访问控制框架
抗抵赖框架
安全框架标准是安全服务、安全 机制及其相应安全协议的基础， 是信息系统安全的理论基础
行政法规规定强制执行的标准；其它标准是推荐性标准。

我国标准分四级：国家标准、行业标准、地方标准、企业
标准。
3
标准化基础

国家标准：对需要在全国范围内统一的技术要求(含标准样
品的制作）。

行业标准： 没有国家标准，需要在全国某个行业范围内统
一的技术要求。

地方标准：没有国家标准
、行业标准而又需要在省、自治
33
(2）计算站场地选址原则（B类）


避开易发生火灾的区域
避开存放易燃、易爆及有腐蚀性物品的地方 避开低洼、潮湿、落雷区和地震多发地区 避开强振动源和强噪声源 避开强电磁场 避免设在建筑物高层或地下室及用水设备的下层 避开重盐害地区 如无法避开，应采取相应措施
34
(3）计算中心或计算机站的区位布局 要求
19
二、基础标准
–信息技术安全词汇
–信息技术安全体系结构
–信息技术安全框架 –信息技术安全模型
20
安全术语
国家标准GB/T 5271.8-2001 《词汇 08部分 安全》 (idt ISO 2382.8-1996) GJB 2256-1994 《军用计算机安全术语》

21
安全体系结构

标准确认
– 认证受理阶段
– 证书制作阶段
– 管委会确认

指导测评工作
18
标准研究
研究标准化原理和标准文本，形成标准体系：
（1）跟踪国际先进标准； （2）对现有信息安全技术标准以及信息安全技术发 展趋势的研究； （3）依据国际标准化组织所颁布的或将要颁布的信 息安全标准，参照美国、英国、加拿大等发达国 家的信息安全标准化体系，并结合我国的具体国 情，研究国家信息安全标准体系； （4）依据ISO/IEC 15408（即CC）和信息系统安全工 程能力成熟模型（SSE-CMM）等研究信息安全 测评认证标准体系； （ 5 ） 研 究 ISO/IEC15408―IT 安 全 性 评 估 准 则 ” 和 ISO/IEC PDTR15446―PP和ST产生指南”。


机密性框架
完整性框架

安全审计和告警框架
23
信息安全管理框架(ISO 7498-4) 信息安全保证框架(ISO/IEC WD 15443)

24
安全服务与安全机制的关系
安全服务是由安全机制来实现的。 一个安全服务可以由一个或几个安全机 制来实现；同样，一个安全机制也可用 于实现不同的安全服务中。

计算机机房最小使用面积不得小于20m² 数据交换在尽可能少的房间内完成


数据交换在尽可能小的范围内完成
避免无关人员进入主机房 单独设立对外接待室
35
（4）环境条件对计算机信息系统安全 的影响

温度对计算机信息系统安全的影响
– 温度过高使元器件不能正常工作导致设备故障 – 高温导致电介质绝缘强度降低 – 导致机械传动部分金属变形，影响正常工作 – 导致磁介质损坏
37

灰尘对计算机信息系统安全的影响
– 灰尘造成磁盘或光盘驱动器读写错误 – 灰尘妨碍电子元件散热 – 导电性灰尘降低绝缘性，甚至短路
– 绝缘性灰尘造成接触不良
具体要求见GB2887 4.4.2
38

地线对计算机信息系统安全的影响
– 避雷地，防止雷击 – 交、直流电源地，保护人身和设备安全
– 安全防护地，防触电

国际通行“标准化七原理”：
– 原理1---简化 – 原理2---协商一致 – 原理3---实践、运用 – 原理4---选择、固定
– 原理5---修订
– 原理6---技术要求+试验方法+抽样 – 原理7---强制性适应于：安全、健康、环保等
9
标准化基础

我国通行“标准化八字原理”：
– “统一”原理 – “简化”原理 – “协调”原理 – “最优”化原理
10
我国标准工作归口单位

2001年10月11日成立国家标准化委员会 信息技术委员会 2002年成立信息安全技术委员会
11
标准化基础

采标：
– 等同采用：指技术内容相同，没有或仅有编辑性修
改，编写方法完全相对应；
– 等效采用：指主要技术内容相同，技术上只有很小
差异，编写方法完全相对应；
– 非等效采用：指技术内容有重大差异。
– 促进对自然资源的合理利用，保持生态平衡，维护人类社会当前和长远的利
– – –
–
–
益； 合理发展产品品种，提高企业应变能力，以更好地满足社会需求； 保证产品质量，维护消费者利益； 在社会生产组成部分之间进行协调，确立共同遵循的准则，建立稳定的秩序； 在消除贸易障碍，促进国际技术交流和贸易发展，提高产品在国际市场上的 竞争能力方面具有重大作用； 保障身体健康和生命安全。大量的环保标准、卫生标准和安全标准制定发布 后，用法律形式强制执行，对保障人民的身体健康和生命财产安全具有重大 作用。

27
密钥管理
第一部分 框架(GB 17901-1:1999 idt ISO/IEC 11770.1:1996) 第二部分 使用对称技术的机制(ISO/IEC 11770.2:1998) 第三部分 使用非对称技术的机制 (ISO/IEC 11770.3:1998)

28
鉴别的标准

– 屏蔽地，防电磁干扰和信息泄露 – 信号地，保证信息系统运行安全
具体要求见GB2887 4.6.2

有害气体对计算机信息系统安全的影响（4.12）
39
（5）环境安全保护

计算机中心防火 1） 起火原因
– 电器起火 – 空调加热器起火 – 人为事故或纵火
– 其他建筑物起火蔓延所致
– 记录介质及其他易燃物质起火
40
2）防护措施
– 建筑材料及机房构件要耐火（见标准GB9361） – 将各房间分为脆弱区、危险区和一般区
– 脆弱区与危险区隔离
– 设置安全出口，并有明显疏散指示标志 – 设置应急开关，及时切断电源 – 设置自动消防系统和人工灭火设备 – 使用CO2和卤代烷1211，1301灭火剂
41

计算机中心防水和防潮 1） 防水
标准化基础

标准化的基本特性：
① 抽象性 ② 技术性 ③ 经济性 ④ 连续性，亦称继承性 ⑤ 约束性 ⑥ 政策性
6
标准化基础

标准化的地位和作用
– 标准化为科学管理奠定了基础； – 促进经济全面发展，提高经济效益； – 标准化是科研、生产、使用三者之间的桥梁； – 标准化为组织现代化生产创造了前提条件；
(1) GB15843，2-95 实体鉴别机制第一部分——一般模型； (2) GB15843，2-95 实体鉴别机制第二部分——对称加密算 法的鉴别 (3) GB15843，2-95实体鉴别机制第三部分——公开加密算 法的鉴别机制 (4) GB15843，2-95实体鉴别机制第四部分——加密校验函 数机制 (5) ISO/IEC9594-82V，3目录：鉴别框架1993 ISO/IEC10181-2 1996(E)鉴别框架
29
数据完整性机制

数据完整性机制标准见GB15852-1995
30
三、环境与平台安全标准
物理环境 系统运行安全 网络平台安全 应用平台安全
31
（一）物理环境
涉及到的标准： 计算站场地安全要求（GB9361-88）
计算站场地技术要求（GB2887-2000）
计算机信息系统防雷保安器（GA173-98）
25
OSI参考模型与TCP/IP的对应关系
OSI参考模型
应用层 表示层 会话层 传输层 传输层 应用层
TCP/IP协议集模型
网络层
数据链路层 物理层
互联网层
网络接口层
26
加密技术
算法注册(ISO/IEC 9979:1999) 64位块加密算法操作方式(GB/T 15277 Idt ISO 8372) 随机比特生成(ISO/IEC WD 18031:2000) 素数生成(ISO/IEC WD 18032:2000)
区、直辖市范围内统一的工业产品的安全、卫生要求。

企业标准： 对企业范围内需要统一的技术要求、管理要求
和工作要求。
4
标准化基础

标准化：为在一定的范围内获得最佳秩序，对实际
的或潜在的问题制定共同的和重复使用的规则的活动。


实质：通过制定、发布和实施标准，达到统一。
目的：获得最佳秩序和社会效益。
5
第三层
13
IT标准化

IT标准发展趋势
(1)标准逐步从技术驱动向市场驱动方向发展。 (2)信息技术标准化机构由分散走向联合。 (3)信息技术标准化的内容更加广泛，重点更加突出，从IT技术 领域向社会各个领域渗透，涉及教育、文化、医疗、交通、 商务等广泛领域，需求大量增加。 (4)从技术角度看，IT标准化的重点将放在网络接口、软件接口、 信息格式、安全等方面，并向着以技术中立为前提，保证互 操作为目的方向发展。
12
标准化基础


标准体系：一定范围内标准按其内在联系形成的科
学的有机整体 标准体系是具有层次的，我国全国标准体系表可分成 五个层次。
1、全国通用标准 2、行业通用标准
3、专业通用标准 4、门类通用标准 5、产品、过程、 服务、管理标准 第一层 第二层 专 业 标 准 体 系 第一层 第二层 第三层 第四层 行 业 标 准 体 系 第一层 第二层 第三层 第四层 第五层 全 国 标 准 体 系
计算机机房用活动地板技术条件（GB6650-86）
军用通信设备及系统安全要求（GJZB663）
32
计算站场地是计算机系统的安置地点，计算机 供电、空调以及该系统的维修人员和工作人员
的工作场所。
(1）计算机机房安全等级划分
– A类，有完善的计算机机房安全措施
– B类，有较完善的计算机机房安全措施
– C类，有基本的计算机机房安全措施
7
标准化基础

标准化对象
– 标准化研究对象
√ √ √ √ √ √ √
标准化学的基本概念 支撑标准化学的理论基础 标准化原理的研究 标准化形式的研究 标准化系统的研究 标准体系的研究 标准化科学管理的研究
– 标准化工作对象
√ √
制定和实施标准：技术基础、产品标准、过程、服务
标准的实施监督来自百度文库
8
标准化基础
信息安全标准
中国信息安全产品测评认证中心
1
要 点
一、信息安全及标准化介绍 二、基础标准
三、环境与平台安全标准
四、安全管理标准
五、测评认证标准
六、实用产品标准
2
标准化基础

标准：为在一定的范围内获得最佳秩序，对活动或其结果规定
共同的和重复使用的规则、导则或特性的文件。

强制性标准：保障人体健康、人身、财产安全的标准和法律、
– 机房最好不要建在顶层或地下室 – 机房的屋顶和活动地板下不得穿过水管 – A、B类机房应安装防水检测和报警装置 – 专人负责检查阀门开关
1. 2. 3. 4. PGP开发规范(openpgp)； 鉴别防火墙遍历(aft)； 通用鉴别技术(cat) ； 域名服务系统安全(dnssec)；
5.
6. 7. 8.
IP安全协议(ipsec)；
一次性口令鉴别(otp)； X.509公钥基础设施(pkix)； S/MIME邮件安全(smime)；