信息安全工程

信息安全工程概述

• 信息安全师信息系安全保障的重要组成部分，但是被广泛忽视
  • 登记保护–技术、管理
  • 传统风险评估–资产\威胁\脆弱性
• 原则：
  • 信息安全 工程师信息化建设必要的有机组成部分
  • 信息安全建设必须同信息化建设“同步规划、同步实施”
  • “重功能、轻安全”，“先建设、后安全”都是信息化建设的大忌
  • 信息安全工程是信息安全保障工作中不可或缺的环节

信息安全工程理论基础

• 安全工程概念：广义的工程包括了狭义工程的范围

• 安全工程原则：全生命周期的原则，同步规划、建设、使用原则

• 安全工程方面：1、动机、2、基址、3、策略、4、保证

• 4.安全工程理论基础
  （1）系统工程：方法论、软科学；霍尔三维模型（时间、知识、逻辑）。
  （2）项目管理：有限资源约束所有工作管理，包括质量、进度和成本管理。
  （3）质量管理：高质量过程控制（PDCA）保证高质量的产品和服务（结果）。
  （4）能力成熟度：个人及组织的过程控制质量水平的高低为CMM（1-5级）。

• 霍尔三维结构
  

霍尔三维结构是将系统工程整个活动过程分为前后紧密衔接的 7 个阶段和 7 个步骤，同时还考虑了为完成这些阶段和步骤所需要的各种专业知识和技能。这样就形成了由时间维、逻辑维和知识维所组成的三维空间机构

时间维：阶段、进程

逻辑维：工作步骤

知识维：专业、行业

支撑信息安全工程的理论基础

• 系统工程
  • 是由钱学森提出：“系统工程是组织管理系统规划、研究、制造、试验、使用的科学方法，是一种对所有系统都具有普遍意义的科学方法”
  • 系统工程不是基本理论，也不是技术实现，而是一种方法论

质量管理基本概念

• 质量：指产品或服务，满足规定或需要的特征。它既包括有形产品也包括无形产品。既包括产品内在的特征、也包括产品外在的特性、既包括了产品的适用性和复合型的全部内涵

• 质量控制（Quality Control，QC）

• 质量管理（Qualitu,QM）

• 质量管理体系将资源与过程结合，以过程管理方法进行的系统管理

• ISO 9000族标准在4个方面规范质量管理

  • 机构
  • 程序
  • 过程
  • 总结

• 能力成熟度模型

  • CMM–Capability Maturity Model
  • 是一种衡量工程实施能力的方法
  • 应用
    

信息安全工程原理

ISSE活动中支持认证和认可的活动

信息安全工程监理模型

• 信息安全工程监理阶段、建立管理和控制手段和监理支撑要素
  • 监理咨询阶段过程
    • 招标
    • 设计
    • 实施
    • 验收
  • 控制和管理手段
    • 质量控制
    • 进度控制
    • 成本控制
    • 合同管理
    • 信息管理
    • 组织协调
  • 监理咨询支撑要素
    

信息安全工程能力评估

SSE-CMM（系统安全工程能力成熟度模型）

• 发展历史
  • 美国国家安全局（NSA），ISO/IEC 21827标准
  • 目前为SSE-CMM v3.0
• 为信息安全工程过程改进建立一个框架模型
• 系统安全工程能力成熟度模型（Systems Security Engineering Capability Maturity Model，SSE-CMM）
• 作用
  • 帮助获取组织
  • 帮助工程组织
  • 帮助认证评估组织
• 覆盖范围
  • 涉及到可信产品或者系统整个生命周期的安全工程活动
  • 覆盖整个组织的活动
  • 不是孤立了工程而是和其他工程兵行且相互作业
  • 与其他组织的相互作用
• 体系结构

  • SSE-CMM 模型是一个两维的模型，分别称为“域维”和“能力维”

  • “域维”由所有安全工程定义的过程区域（Process Area，PA）构成

  • “能力维”代表组织能力，它由过程管理和制度化能力构成

（1）域维
构成：类（3类：组织、项目、工程）—>PA（过程区域-22个）—>BP（129基本实施）。

域维由所有安全工程定义的过程活动构成，这些实施活动称为“过程区域”

每个过程区域包括一组表示组织成功执行过程区域的目标。每个过程区域也包括一组集成的基本实施（Base Practice，BP）

基本实施定义了获得过程区域目标的必要步骤，它具有如下特证

• 应用于整个组织生命周期

• 和其他 BP 互补覆盖

• 代表安全业界“最好的实施”

• 在业务环境下不指定特定的方法或工具

SSE-CMM 域维涉及 3 个过程类，即工程过程类、组织过程类和项目过程类

基本实施 BP，Base Practice，域维的最小单位，如果选择执行其所属的PA，则必须执行它，共 129 个

过程区 PA，Process Area，由一些基本实施构成，这些 BP 共同实施以达到该 PA 的目标，共 22 个

• 22个PA分成三类
  • 工程过程类
  • 组织过程类
  • 项目过程类

（2）能力维

能力维按实施成熟型排序，共分为 5个级别，依次表示不断增强的组织能力。组织能力由被称之为“公共特征”的逻辑域组成，每一个公共特证包括一个或多个通用实施

通用实施 GP，Generic Practice 管理、度量和制度方面的活动，可用于决定所有活动的能力水平

公共特征 CF，Common Feature 由 GP 组成的逻辑域

能力级别 由公共特征组成的过程能力水平的级别划分，0 ~ 5 共 6 个级别

1 ~ 5 是有意义的

0 没有意义

一个组织机构可随意以他们所选择的方式和次序来计划、跟踪、定义、控制和改进他们的过程。然而，由于一些较高级别的通用实施依赖于较低级别的通用实施，因此，组织机构在视图达到较高级别之前，应首先实现较低级别通用实施

能力级别按最低的算，木桶理论

SSE-CMM 的安全工程过程

SSE-CMM将域维中的工程过程了的11个过程趋于划分为3个基本过程领域。分别是

• 风险过程
• 工程过程
• 保证过程

风险过程

- 系统安全工程的主要目标就是降低风险到可接受范围

- 安全工程中的风险三要素是影响、威胁和脆弱性

- 风险管理中的三要素是资产、威胁和脆弱性

1. PA04评估威胁
	- 评估威胁过程区域的亩的在于识别安全威胁及其性质和特征
	- 本过程区域基本实施有6 项
2. PA05评估脆弱性 
	- 本过程包括分析系统资产、定义特成熟的脆弱性以及对阵整个系统脆弱性的评估
	- 本过程基本实施有5箱
3. PA02评估影响
	- 评估影响的目的是识别对该系统有关的影响，并对发生影响的可能性进行评估
	- 准寻成本和效益的平衡原则
	- 本过程区域基本实施有6 项
4. PA03评估安全风险
	- 评估安全风险的目标是获得对在一个给定环境中运行该系统相关的安全风险的理解，并按照给定的方法论优先考虑风险问题
	- 本过程区域基本实施有6项

工程过程

• 系统安全过程包括概念、设计、实现、测试、部署、运行、维护、退出的完整过程

• SSE-CMM 强调系统安全工程师是一个大项目队伍中的组成部分，需要与其他科目工程师的活动相互协调
  

• PA10 确定安全需求

  • 该过程区域的主要工作是明确地识别出与安全相关的需求，它要求包括用户在内的所欲各方达成对安全需求的共同认识

  • 该过程区域包括定义整个信息系统中所有安全方面的活动

  • 本过程区域基本实施有 7 项

---

• PA09 提供安全输入

  • 本过程区域提供支持系统设计和实施活动的安全输入

  • 本过程区域包括适用于开发和运行的安全输入

  • 本过程区域基本实施有 6 项

---

• PA01 管理安全控制

  • 该项主要是确定集成到系统中的安全控制措施确实在系统运行过程中发挥预计的安全功能

  • 本过程区域基本实施有 4 项

---

• PA08 监控安全态势

  • 安全态势表明系统及其环境已准备好处理目前的威胁、脆弱性和对系统及其资源的任何影响

  • 本过程区域基本实施有 7 项

---

• PA07 协调安全

  • 安全工程不能独立地取得成功，要保证所有部门都有一种参与安全工程的意识，这样才能充分发挥他们的作用，并且，有关安全的决定和建议是互相沟通和协调才能达成一致

保证过程

• 保证是指安全需求得到满足的可信程度

  • PA11 验证和证实安全

    通过观察、论证、分析和测试来验证和证实解决方案满足安全需求；验证证据正确性，证实证据有效性。

    本过程区域基本实施有 5 项

  • PA06 建立保证论据

    通过证据的收集，建立保证论据，该论据应清楚地说明用户的安全需求已经得到满足，通过一系列证据建立了对系统安全的信息

    本过程区域基本实施有 5 项

SSE-CMM 的安全工程能力

能力级别

• 安全工程能力几倍是SSE-CMM模型中最重要的一个维度，它表示了过程的成熟性，即组织的过程管理和制度化能力的强弱
• 能力级别根据“公共特性”分级，共欧诺个特性由通用实施组成

SSE-CMM的能力级别

包含5个级别
能力级别代表安全工程组织的成熟级别

- 1级：非正规执行

该级别过程趋于的基本实施均被执行，单位经过严格的计划和跟踪，而是基于个人的知识和努力

- 2级：计划与跟踪

规划执行

规范化执行

验证执行

跟踪执行

- 3级：充分定义

3 级的公共特征有 3 项

定义标准过程

执行已定义的过程

协调安全措施

- 4级：量化控制

这个级别着重于测量
4 级的公共特征有两项

建立可测的质量目标

客观地管理执行

- 5级：连续改进

改进组织能力
改进过程的有效性