信息系统安全等级化保护原理与实践PDF电子书下载

第1章 网络与信息安全概述 1

1.1 引言 1

1.2 网络与信息安全的内涵、特性和历史 3

1.3 网络与信息安全在国家安全中的重要作用和战略地位 4

1.3.1 网络与信息安全对国家政治的影响 5

1.3.2 网络与信息安全对国家经济的影响 8

1.3.3 网络与信息安全对国家文化安全的影响 12

1.3.4 网络与信息安全对国家军事的影响 15

1.4 网络与信息安全新态势 20

1.4.1 国家与国家之间的网络空间安全冲突不断升级 20

1.4.2 针对政府部门的大规模网络攻击事件持续增多 21

1.4.3 军队频繁遭受网络攻击 22

1.4.4 基础设施领域持续遭受网络攻击 23

1.4.5 工控领域网络威胁持续不断 24

1.5 网络与信息安全面临的挑战 25

1.6 我国网络与信息安全存在的不足 28

1.7 网络与信息安全研究的重要价值和意义 31

1.8 网络与信息安全的新兴技术发展特点 32

1.9 本章小结 38

参考文献 38

第2章 信息系统等级保护的意义及发展 40

2.1 信息安全等级保护概述 40

2.1.1 信息安全等级保护的概念 40

2.1.2 传统的安全保障体系与等级保护安全体系的区别 41

2.2 信息系统等级化安全管理的重要意义 41

2.3 信息安全等级化保护思想的起源及发展 42

2.3.1 等级思想的起源 43

2.3.2 橘皮书和通用准则 44

2.3.3 等级保护架构的发展 45

2.3.4 等级保护体系的新综合 45

2.4 美国的信息安全等级化发展历程 46

2.4.1 美国信息系统分级的思路 46

2.4.2 安全措施的选择 48

2.5 我国信息安全等级化发展历程 49

2.6 本章小结 54

参考文献 55

第3章 信息安全等级保障体系 57

3.1 为什么要实行等级保护 57

3.2 基本安全要求的结构 57

3.3 等级化安全保障体系及其设计 58

3.3.1 安全保护对象框架 59

3.3.2 安全保护对策框架 59

3.3.3 等级化安全保障体系 61

3.4 信息安全等级保护体系设计方法及原则 62

3.4.1 安全体系设计原则 62

3.4.2 安全体系设计流程 64

3.5 安全组织体系设计 64

3.6 本章小结 66

参考文献 66

第4章 等级保护的保护对象体系设计 68

4.1 安全保护对象框架 68

4.2 保护对象框架建立 69

4.2.1 信息系统进行模型化处理 69

4.2.2 安全域划分 70

4.2.3 保护对象分类 71

4.2.4 保护对象划分方法 72

4.2.5 系统分域保护框架 73

4.2.6 保护对象等级化划分 73

4.3 本章小结 74

参考文献 74

第5章 等级保护策略体系设计 76

5.1 定级策略 77

5.1.1 定级范围 77

5.1.2 等级划分 77

5.1.3 不同等级的安全保护能力 78

5.2 等级保护评估策略 81

5.2.1 评估指标选择和组合 81

5.2.2 现状与评估指标对比 81

5.2.3 额外／特殊风险评估 82

5.2.4 综合评估分析 85

5.3 安全规划设计策略 85

5.4 等级保护测评策略 87

5.5 实施与运维要求策略 88

5.6 备案与管理策略 89

5.6.1 对涉密信息系统的管理 89

5.6.2 信息安全等级保护的密码管理 90

5.7 本章小结 91

参考文献 91

第6章 等级保护安全技术体系设计 94

6.1 通用定级要素 94

6.2 通用定级方法 95

6.2.1 确定定级对象 96

6.2.2 信息系统的基本属性CIA 97

6.2.3 定级流程 97

6.3 涉密信息系统的等级保护 99

6.4 信息系统安全技术体系结构设计 99

6.5 安全技术体系建设 100

6.5.1 物理安全防护 100

6.5.2 计算环境安全防护 101

6.5.3 应用安全监控子系统 104

6.5.4 通信与存储安全子系统 106

6.5.5 内网安全管理子系统 106

6.5.6 区域边界安全防护 109

6.5.7 网络入侵检测子系统 109

6.5.8 通信网络安全防护 111

6.5.9 网络设备安全检测与加固 112

6.5.10 安全支撑平台 113

6.6 本章小结 115

参考文献 115

第7章 信息安全等级保护运作体系设计 117

7.1 运作体系及其组成 117

7.2 定级阶段 118

7.2.1 定级准备 119

7.2.2 定级主要工作 123

7.3 总体安全规划阶段 124

7.3.1 安全等级评估 124

7.3.2 安全等级保护规划流程及过程 124

7.4 设计开发／实施阶段 125

7.5 运行维护阶段 125

7.6 系统终止阶段 126

7.7 本章小结 126

参考文献 126

第8章 信息系统安全等级保护基本要求 128

8.1 框架结构 128

8.2 描述模型 129

8.2.1 总体描述 129

8.2.2 保护对象 130

8.2.3 安全保护能力 130

8.2.4 安全要求 132

8.3 逐级增强的特点 133

8.3.1 增强原则 133

8.3.2 总体描述 134

8.3.3 控制点增加 135

8.3.4 要求项增加 136

8.3.5 控制强度增强 136

8.4 各级安全要求 137

8.4.1 技术要求 137

8.4.2 管理要求 139

8.5 本章小结 140

参考文献 141

第9章 信息系统定级方法研究 143

9.1 综合评价方法综述 143

9.2 系统定级对象的确定 144

9.3 综合评价方法综述 144

9.3.1 综合评价方法的基本流程 144

9.3.2 评价指标体系建立原则 146

9.3.3 评价指标体系框架 147

9.3.4 评价指标体系的建立方法 147

9.3.5 评价指标提取的相关问题 148

9.4 信息系统评价指标体系分析 148

9.4.1 系统安全属性分析 148

9.4.2 额外／特殊风险评估 150

9.4.3 评价指标的选取 153

9.4.4 量化定级模型 154

9.5 量化定级方法 157

9.5.1 构造单因素隶属函数 157

9.5.2 确定因素权重 159

9.5.3 计算安全等级 159

9.6 本章小结 161

参考文献 161

第10章 等级保护中的信息安全风险分析与评估 163

10.1 在等级保护周期中风险评估作用 163

10.2 信息安全风险评估原理 164

10.3 等级保护风险评估模型 167

10.3.1 信息系统风险评估模型现状 167

10.3.2 等级保护风险评估模型 168

10.4 等级保护信息安全风险评估的内容 172

10.4.1 技术层面威胁与风险 173

10.4.2 管理层面威胁与风险 175

10.5 风险评估与合规性检测 175

10.5.1 方法论 175

10.5.2 典型流程 176

10.5.3 专用工具 177

10.6 本章小结 182

参考文献 182

第11章 信息系统安全等级保护能力测评模型研究 184

11.1 信息系统安全等级保护能力测评概述 184

11.1.1 信息系统安全等级保护能力测评过程 185

11.1.2 信息系统安全等级保护能力测评存在的不足 185

11.2 信息系统安全等级保护能力测评指标体系 187

11.2.1 总体描述 187

11.2.2 基本要求和框架 188

11.2.3 测评指标体系 190

11.3 改进型信息系统安全等级保护能力测评模型 194

11.3.1 模型概述 194

11.3.2 测评对象确定 195

11.3.3 测评指标选取 195

11.3.4 测评指标数据采集 196

11.3.5 测评结果判定 197

11.3.6 基于知识的风险分析 202

11.3.7 安全效益度量及最优安全投入建议 203

11.4 本章小结 208

参考文献 209

第12章 等级保护实现的一般流程及实现方法 211

12.1 等级保护实施的基本流程 211

12.1.1 定级阶段 212

12.1.2 总体安全规划阶段 214

12.1.3 安全等级评估 214

12.1.4 设计开发／实施阶段 215

12.1.5 运行维护阶段 215

12.1.6 系统终止阶段 216

12.2 自我安全风险分析与评估 216

12.3 信息系统定级 216

12.3.1 定级流程 216

12.3.2 信息系统等级确定 217

12.3.3 定级报告 219

12.3.4 定级备案 219

12.4 差距分析 220

12.4.1 等级测评范围 220

12.4.2 等级测评内容 220

12.4.3 差距分析流程 221

12.4.4 报告编制 222

12.5 体系咨询规划 223

12.5.1 渗透测试与安全加固 223

12.5.2 风险评估与合规性检测 227

12.5.3 安全体系咨询规划 228

12.5.4 解决方案设计 231

12.6 整改及集成实施 240

12.6.1 安全管理体系建设 240

12.6.2 安全技术体系建设 240

12.7 等级测评 240

12.8 安全运维 241

12.8.1 安全运维服务 241

12.8.2 监控应急 242

12.8.3 审计追查 243

12.9 本章小结 243

参考文献 243

第13章 省级电信计费系统定级实例 246

13.1 省级电信计费系统概述 246

13.1.1 系统总体描述 246

13.1.2 系统主要业务 247

13.1.3 系统安全性能分析 248

13.2 安全等级定级计算过程 249

13.2.1 计算社会影响力等级 249

13.2.2 计算服务重要性等级 250

13.2.3 系统安全等级 251

13.3 本章小结 252

参考文献 252

第14章 我国信息安全等级保护制度的创新和发展 253

14.1 信息安全等级保护是国家制度性工作 253

14.2 科学定级，全面建设 254

14.2.1 定级 254

14.2.2 虚拟化技术典型架构 254

14.3 主动应对，积极防御 255

14.3.1 设计原则 255

14.3.2 结构框架 255

14.3.3 安全防护特点 257

14.4 做好新型计算环境下信息安全等级保护工作 257

14.5 本章小结 260

参考文献 260

第15章 基于云环境的等级化安全管理研究 262

15.1 云计算时代等级保护面临的挑战 262

15.1.1 云计算的定义 262

15.1.2 云计算安全 263

15.1.3 等级保护面临的挑战 265

15.2 改进型信息系统安全等级保护能力测评模型 268

15.2.1 虚拟化技术典型架构 268

15.2.2 虚拟化技术安全风险分析 269

15.2.3 虚拟化技术的等级保护基本要求 273

15.3 基于云安全模型的信息系统安全等级保护测评策略 277

15.3.1 云安全服务模型 277

15.3.2 基于云安全模型的信息安全等级测评 277

15.4 美国国防部等级化云计算安全体系分析与启示 278

15.4.1 美国国防部云计算安全管理的制度基础 279

15.4.2 美国国防部云计算安全管理框架 280

15.4.3 重点技术要求 281

15.4.4 分级网络安全管理模式对比 283

15.4.5 启发与建议 284

15.5 云计算虚拟化环境中的安全等级保护实例 285

15.5.1 云计算在电力行业的应用 285

15.5.2 云计算虚拟化带来的边界挑战 287

15.6 本章小结 290

参考文献 290

第16章 等级化安全管理支撑平台设计 292

16.1 平台系统设计原则 292

16.2 系统构架 293

16.2.1 系统角色 294

16.2.2 架构分层描述 294

16.3 功能构架 295

16.3.1 功能分解 295

16.3.2 功能划分 297

16.3.3 功能架构 298

16.4 数据架构 300

16.4.1 业务数据模型 301

16.4.2 技术数据模型 302

16.5 技术架构 303

16.6 系统设计 303

16.6.1 系统功能设计 304

16.6.2 数据模型设计 309

16.6.3 数据编码设计 315

16.6.4 系统接口分析与设计 318

16.6.5 知识库设计 320

16.7 本章小结 320

参考文献 321

附录1 信息系统安全等级保护备案表 323

附录2 信息系统安全等级保护定级报告模板 329

附录3 涉及国家秘密的信息分级系统备案表 331