第1章 信息安全概述 1

1.1引 言1

1.2信息安全的内涵及特性2

1.3信息安全在国家安全中的重要作用和战略地位3

1.3.1信息安全对国家政治的影响4

1.3.2信息安全对国家经济的影响8

1.3.3信息安全对国家文化安全的影响13

1.3.4信息安全对国家军事的影响17

1.4信息安全的面临的挑战22

1.4.1通用计算设备的计算能力越来越强带来的挑战22

1.4.2计算环境日益复杂多样带来的挑战22

1.4.3云计算服务给密码保护造成的新挑战22

1.4.4大数据技术带来的安全隐患23

1.4.5网络融合新技术带来安全新的挑战和威胁23

1.4.6恶意代码层出不穷，病毒传播途径多样化，网络攻击日益趋利化23

1.4.7世界大国都将信息安全问题上升为国家战略问题加剧了信息安全的竞争24

1.4.8“网络战”已成为各国竞相发展的核心安全力量，网络空间已成为各国情报机构的主要战场25

1.5我国信息安全防护存在的问题25

1.6信息安全研究的重要价值和意义26

1.7信息安全的主要研究问题27

1.7.1可信计算平台及其安全关键技术27

1.7.2信息安全新技术开发与安全测试评估的模型和工具27

1.7.3网络监控、应急响应与安全管理关键技术28

1.7.4网络信任保障的理论、技术和体系28

1.7.5密码与安全协议的新理论与新方法28

1.7.6网络可生存性理论和技术28

1.7.7逆向分析与可控性技术29

1.7.8网络病毒与垃圾信息防范技术29

1.7.9新型网络、计算和应用下的信息安全技术29

1.7.10主动实时防护模型和技术29

1.8小 结29

参考文献30

第2章信息系统等级保护的意义及发展31

2.1信息安全等级保护概述31

2.1.1什么是信息安全等级保护31

2.1.2传统的安全保障体系与等级保护安全体系区别32

2.2状信息系统等级化安全管理的重要意义32

2.3信息安全等级化保护思想的起源及发展33

2.3.1等级思想的起源34

2.3.2橘皮书和通用准则35

2.3.3等级保护架构的发展36

2.3.4等级保护体系的新综合37

2.4美国的信息安全等级化发展历程38

2.4.1美国信息系统分级的思路38

2.4.2安全措施的选择40

2.5我国信息安全等级化发展历程42

2.6小 结48

参考 文 献48

第3章信息安全等级保障体系50

3.1为什么要实行等级保护50

3.2基本安全要求的结构50

3.3等级化安全保障体系及其设计51

3.3.1安全保护对象框架52

3.3.2安全保护对策框架53

3.3.3等级化安全保障体系55

3.4信息安全等级保护体系设计方法及原则56

3.4.1安全体系设计原则56

3.4.2安全体系设计流程58

3.5安全组织体系设计59

3.6小 结61

参考文献61

第4章等级保护的保护对象体系设计63

4.1安全保护对象框架63

4.2保护对象框架建立64

4.2.1信息系统进行模型化处理64

4.2.2安全域划分65

4.2.3保护对象分类67

4.2.4保护对象划分方法67

4.2.5系统分域保护框架68

4.2.6保护对象等级化划分68

4.3小 结69

参考文献70

第5章等级保护策略体系设计72

5.1定级策略73

5.1.1定级范围73

5.1.2等级划分73

5.1.3不同等级的安全保护能力74

5.2等级保护评估策略77

5.2.1评估指标选择和组合77

5.2.2现状与评估指标对比77

5.2.3额外/特殊风险评估78

5.2.4综合评估分析81

5.3安全规划设计策略82

5.4等级保护测评策略84

5.5实施与运维要求策略85

5.6备案与管理策略85

5.6.1对涉密信息系统的管理85

5.6.2信息安全等级保护的密码管理87

5.7小 结88

参考文献88

第6章等级保护安全技术体系设计90

6.1通用定级要素90

6.2通用定级方法91

6.2.1确定定级对象91

6.2.2信息系统的基本属性CIA92

6.2.3定级流程93

6.3涉密信息系统的等级保护95

6.4信息系统安全技术体系结构设计95

6.5安全技术体系建设96

6.5.1物理安全防护96

6.5.2计算环境安全防护97

6.5.3应用安全监控子系统101

6.5.4通信与存储安全子系统102

6.5.5内网安全管理子系统103

6.5.6区域边界安全防护105

6.5.7网络入侵检测子系统106

6.5.8通信网络安全防护107

6.5.9网络设备安全检测与加固108

6.5.10安全支撑平台109

6.6小 结111

参考文献112

第7章信息安全等级保护运作体系设计114

7.1运作体系及其组成114

7.2定级阶段115

7.2.1定级准备116

7.2.2定级主要工作119

7.3总体安全规划阶段120

7.3.1安全等级评估120

7.3.2安全等级保护规划流程及过程121

7.4设计开发/实施阶段121

7.5运行维护阶段122

7.6系统终止阶段122

7.7小 结122

参考文献123

第8章信息系统安全等级保护基本要求125

8.1框架结构125

8.2描述模型126

8.2.1总体描述126

8.2.2保护对象127

8.2.3安全保护能力128

8.2.4安全要求130

8.3逐级增强的特点131

8.3.1增强原则131

8.3.2总体描述132

8.3.3控制点增加133

8.3.4要求项增加133

8.3.5控制强度增强134

8.4各级安全要求135

8.4.1技术要求135

8.4.2管理要求137

8.5小 结139

参考文献139

第9章信息系统定级方法研究141

9.1综合评价方法综述141

9.2系统定级对象的确定142

9.3综合评价方法综述142

9.3.1综合评价方法的基本流程142

9.3.2评价指标体系建立原则144

9.3.3评价指标体系框架145

9.3.4评价指标体系的建立方法145

9.3.5评价指标提取的相关问题146

9.4信息系统评价指标体系分析146

9.4.1系统安全属性分析146

9.4.2额外/特殊风险评估148

9.4.3评价指标的选取151

9.4.4量化定级模型152

9.5量化定级方法156

9.5.1构造单 因 素隶 属函 数156

9.5.2确定因 素权 重158

9.5.3计算安全等级159

9.6小结161

参考文献161

第10章等级保护中的信息安全风险分析与评估163

10.1在等级保护周期中风险评估作用163

10.2信息安全风险评估原理164

10.3等级保护风险评估模型167

10.3.1信息系统风险评估模型现状167

10.3.2等级保护风险评估模型169

10.4等级保护信息安全风险评估的内容173

10.4.1技术层面威胁与风险173

10.4.2管理层面威胁与风险175

10.5风险评估与合规性检测176

10.5.1方法论176

10.5.2典型流程178

10.5.3专用工具178

10.6小 结182

参考文献182

第11章信息系统安全等级保护能力测评模型研究185

11.1信息系统安全等级保护能力测评概述185

11.1.1信息系统安全等级保护能力测评过程186

11.1.2信息系统安全等级保护能力测评存在的不足188

11.2信息系统安全等级保护能力测评指标体系188

11.2.1总体描述188

11.2.2基本要求和框架189

11.2.3测评指标体系191

11.3改进型信息系统安全等级保护能力测评模型195

11.3.1模型概述195

11.3.2测评对象确定196

11.3.3测评指标选取196

11.3.4测评指标数据采集197

11.3.5测评结果判定199

11.3.6基于知识的风险分析204

11.3.7安全效益度量及安全投入建议205

11.4小 结212

参考文献212

第12章等级保护实现的一般流程及实现方法215

12.1等级保护实施的基本流程215

12.1.1定级阶段216

12.1.2总体安全规划阶段217

12.1.3安全等级评估218

12.1.4设计开发/实施阶段218

12.1.5运行维护阶段219

12.1.6系统终止阶段219

12.2自我安全风险分析与评估220

12.3信息系统定级220

12.3.1定级流程220

12.3.2信息系统等级确定220

12.3.3定级报告223

12.3.4定级备案223

12.4差距分析223

12.4.1等级测评范围223

12.4.2等级测评内容224

12.4.3差距分析流程225

12.4.4报告编制226

12.5体系咨询规划226

12.5.1渗透测试与安全加固227

12.5.2风险评估与合规性检测231

12.5.3安全体系咨询规划231

12.5.4解决方案设计235

12.6整改及集成实施244

12.6.1安全管理体系建设244

12.6.2安全技术体系建设245

12.7等级测评245

12.8安全运维245

12.8.1安全运维服务245

12.8.2监控应急246

12.8.3审计追查247

12.9小 结247

参考文献247

第13章省级电信计费系统定级实例250

13.1省级电信计费系统概述250

13.1.1系统总体描述250

13.1.2系统主要业务251

13.1.3系统安 全性 能分析252

13.2安全等级定级计算过程253

13.2.1计算社会影响力等级253

13.2.25.2.2计算服务重要性等级254

13.2.3系统安全等级256

13.3小结256

参考文献256

第14章我国信息安全等级保护制度的创新和发展1

14.1信息安全等级保护是国家制度性工作1

14.1.1概述1

14.2科学定级、建设2

14.2.1定级2

14.2.2虚拟化技术典型架构2

14.3主动应对、积极防御3

14.3.1设计原则3

14.3.2结构框架3

14.3.3安全防护特点5

14.4做好新型计算环境下信息安全等级保护工作5

14.4.1概述5

14.5小 结9

参考文献10

第15章基于云环境的等级化安全管理研究260

15.1云计算时代等级保护面临的挑战260

15.1.1云计算的定义260

15.1.2云计算安全261

15.1.3等级保护面临的挑战263

15.2改进型信息系统安全等级保护能力测评模型266

15.2.1虚拟化技术典型架构266

15.2.2虚拟化技术安全风险分析267

15.2.3虚拟化技术的等级保护基本要求272

15.3基于云安全模型的信息系统安全等级保护测评策略276

15.3.1云安全服务模型277

15.3.2基于云安全模型的信息安全等级测评277

15.4美国国防部等级化云计算安全体系分析与启示278

15.4.1美国国防部云计算安全管理的制度基础279

15.4.2美国国防部云计算安全管理框架280

15.4.3重点技术要求281

15.4.4分级网络安全管理模式对比283

15.4.5启发与建议284

15.5云计算虚拟化环境中的安全等级保护实例285

15.5.1云计算在电力行业的应用285

15.5.2云计算虚拟化带来的边界挑战288

15.6小 结291

1参考文献292

第16章等级化安全管理支撑平台设计285

16.1平台系统设计原则285

16.2系统构架287

16.2.1系统角色287

16.2.2架构分层描述287

16.3功能构架288

16.3.1功能分解288

16.3.2功能划分290

16.3.3功能架构291

16.4数据架构293

16.4.1业务数据模型294

16.4.2技术数据模型295

16.5技术架构296

16.6系统设计296

16.6.1系统功能设计297

16.6.2数据模型设计302

16.6.3数据编码设计308

16.6.4系统接口分析与设计312

16.6.5知识库设计314

16.7小 结315

参考文献315